Laatst bijgewerkt: oktober 2026. Dit privacybeleid geldt voor de website vokakitty.nl, voor de mobiele app “VokaKitty” voor Android en voor de web-app “VokaKitty” die in de browser draait (onder meer op iPhone en iPad). De Android-app en de web-app worden samen de “app” genoemd; waar ze van elkaar verschillen, staat dat uitdrukkelijk vermeld. Dit is een vertaling voor het gemak; de juridisch bindende versie is de Duitse Datenschutzerklärung.
1. Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke voor de gegevensverwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG) is:
Christian Staehler
Wendelsweg 60
60599 Frankfurt am Main
Duitsland
E-mail: info@vokakitty.nl
Volgens de huidige stand van zaken bestaat er geen wettelijke verplichting om een functionaris voor gegevensbescherming aan te stellen, en is er ook geen aangesteld.
2. Uitgangspunten
Wij verwerken persoonsgegevens alleen voor zover dat nodig is om een werkende dienst en de door jou gevraagde functies te leveren. VokaKitty is ontworpen met dataminimalisatie als uitgangspunt: er is geen analyse van je gebruiksgedrag, geen advertentietracking en geen verzameling van locatiegegevens. Er zijn geen analytics- of crash-SDK’s van derden geïntegreerd. Er vindt geen geautomatiseerde besluitvorming met rechtsgevolgen in de zin van art. 22 AVG plaats.
3. Bezoek aan deze website
3.1 Serverlogbestanden
Wanneer je de website bezoekt, slaat de hostingprovider automatisch informatie op die door je browser wordt verzonden in serverlogbestanden: IP-adres, datum en tijd van toegang, de opgevraagde URL, de hoeveelheid overgedragen gegevens, de verwijzende URL, browsertype en besturingssysteem. De rechtsgrond is art. 6, lid 1, onder f AVG (gerechtvaardigd belang bij technische werking en IT-beveiliging). De toegangslogs van de host worden na ongeveer acht weken verwijderd of geanonimiseerd (IONOS-standaardbewaartermijn).
3.2 Hosting
De website, de web-app en de servercomponent van de app worden gehost bij IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Duitsland. De aanbieder verwerkt de hierboven genoemde gegevens uitsluitend in onze opdracht; met IONOS is een verwerkersovereenkomst volgens art. 28 AVG afgesloten (IONOS-verwerkersovereenkomst versie 1.3, van 03/2026). Verwerking vindt plaats in een lidstaat van de EU of de EER; doorgifte aan derde landen vindt alleen plaats wanneer dat nodig is om de dienst te leveren, en dan onder de voorwaarden van art. 44 e.v. AVG. IONOS is ISO 27001-gecertificeerd en schakelt subverwerkers in op basis van een algemene toestemming met recht van bezwaar.
3.3 Cookies
Zoals uitgeleverd, plaatst de website alleen technisch noodzakelijke cookies (bijvoorbeeld voor de reactiefunctie of bij het inloggen op het WordPress-beheerpaneel). Er worden geen cookies geplaatst voor analyse- of marketingdoeleinden. De rechtsgrond voor technisch noodzakelijke cookies is § 25, lid 2 TDDDG in combinatie met art. 6, lid 1, onder f AVG.
4. Gebruik van de app “VokaKitty”
4.1 Account en registratie
Voor het gebruik van de app is een account nodig. Bij de registratie verwerken we: gebruikersnaam, e-mailadres, wachtwoord (alleen opgeslagen als cryptografische hash), geboortedatum en de door jou gekozen taal, samen met de versie van de voorwaarden die je hebt geaccepteerd. Als alternatief kun je inloggen via Google (Android-app en web-app) of Apple (alleen Android-app) (OAuth); in dat geval ontvangen we van die aanbieders een ID samen met de profielgegevens die je hebt vrijgegeven.
De geboortedatum wordt bij registratie verzameld en dient om de leeftijd te verifiëren (zie 4.2). We verzamelen geen land van herkomst en doen geen IP-geolocatie.
Rechtsgrond: art. 6, lid 1, onder b AVG (uitvoering van een overeenkomst); met betrekking tot de leeftijdsinformatie bovendien art. 6, lid 1, onder c in combinatie met art. 8 AVG.
4.2 Minimumleeftijd en kinderen
De app kan worden gebruikt vanaf 4 jaar. De bij registratie verzamelde geboortedatum dient om de leeftijd te verifiëren. Voor gebruikers onder de 16 jaar blijven de sociale en online functies – de vriendenfunctie, het delen van pools en de online uitdaging – geblokkeerd totdat toestemming van een ouder of voogd volgens art. 8 AVG is gegeven. Het vrijgeven wordt door de server geregeld via zogenoemde capabilities; de geboortedatum zelf stuurt de interface niet aan. Leren met eigen woordenlijsten kan hier los van worden gebruikt.
Als we te weten komen dat de sociale functies voor iemand onder de 16 jaar zijn vrijgegeven zonder de vereiste toestemming, blokkeren we deze onverwijld en verwijderen we de gegevens die uit dat gebruik zijn ontstaan. Meld dit alsjeblieft aan info@vokakitty.nl.
4.3 Leerinhoud en voortgang
Wij verwerken de woordenlijsten (pools) en woorden die je aanmaakt, je leervoortgang (posities in de kaartenbak, vervaldatums, antwoordresultaten), je leerinstellingen en spelelementen zoals de streakteller en munten. Deze gegevens worden lokaal opgeslagen – in de Android-app in een versleutelde database, in de web-app in de opslag van je browser (zie 4.10) – en gesynchroniseerd met de server, zodat ze op meerdere toestellen beschikbaar zijn en niet verloren gaan. Rechtsgrond: art. 6, lid 1, onder b AVG.
4.4 Vrienden en delen
Voor de vriendenfunctie verwerken we je vriendencode, inkomende en uitgaande vriendschapsverzoeken, je vriendenlijst en je blokkeerlijst. Aan andere gebruikers worden alleen je gebruikers-ID en gebruikersnaam getoond – nooit je e-mailadres, geboortedatum, munten, reeks of instellingen. Rechtsgrond: art. 6, lid 1, onder b AVG.
4.5 Online uitdaging
Bij de online uitdaging verwerken we wedstrijdgegevens (deelnemers, rondes, resultaten, scores). Deze zijn voor beide deelnemers zichtbaar, samen met de wedstrijdgeschiedenis. Rechtsgrond: art. 6, lid 1, onder b AVG (uitvoering van een overeenkomst). De app biedt geen chat- of berichtenfunctie.
4.6 Pushmeldingen (Firebase Cloud Messaging, alleen Android-app)
Voor pushmeldingen (uitnodigingen voor uitdagingen, sociale gebeurtenissen, gedeelde pools, optionele leerherinneringen) gebruiken we Firebase Cloud Messaging (FCM) van Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland. Daarbij wordt een apparaattoken naar Google verzonden en daar opgeslagen. De inhoud van de meldingen is tot een minimum beperkt (alleen het type gebeurtenis, het betreffende ID en de gebruikersnaam van wie de melding heeft veroorzaakt) – geen woordinhoud, poolnamen, e-mailadressen of scores. Een doorgifte naar de VS kan niet worden uitgesloten; Google baseert zich op de EU-standaardcontractbepalingen of het EU-VS Data Privacy Framework.
De rechtsgrond voor transactiegerelateerde meldingen is art. 6, lid 1, onder b AVG. Leer- en streakherinneringen zijn uitdrukkelijk opt-in (art. 6, lid 1, onder a AVG) en kunnen op elk moment in de app-instellingen worden uitgeschakeld. Je kunt pushmeldingen ook volledig uitschakelen op besturingssysteemniveau. De web-app gebruikt Firebase Cloud Messaging niet (zie 4.10).
4.7 AI-functies
Enkele optionele functies gebruiken een extern taalmodel: AI-invulteksten in oefenmodus D (losse zinnen en korte verhalen), vertaalsuggesties, het herkennen van de taal van een woord, aanvullende informatie bij woorden en het importeren van woordenlijsten uit geplakte tekst, uit bestanden en uit foto’s. De aanbieder wordt tijdens runtime door de server geconfigureerd; momenteel is dat OpenAI, L.L.C. (3180 18th Street, San Francisco, CA 94110, VS). De aanbieder kan wijzigen – bijvoorbeeld naar een met OpenAI compatibele aanbieder of naar Anthropic; de actuele gegevens worden op deze plek in de tekst bijgehouden.
Aan de aanbieder wordt alleen doorgegeven wat de betreffende functie nodig heeft: de betrokken woorden of woordparen en talen, bij verhalen bovendien de door jou optioneel opgegeven interesses, en bij het importeren de door jou geplakte tekst of de door jou gekozen foto’s. Niet doorgegeven worden gebruikersnaam, gebruikers-ID, e-mailadres, geboortedatum, poolnaam, apparaat-ID of locatie. Let op: foto’s en geplakte teksten worden doorgegeven zoals jij ze kiest. Bevatten ze namen of andere persoonlijke gegevens (bijvoorbeeld op een werkblad), dan komen ook die bij de aanbieder terecht – knip zulke plekken er vooraf af.
De verzoeken lopen via onze eigen server: de app stuurt ze naar de VokaKitty-backend, die ze doorstuurt naar de aanbieder. De aanbieder ziet daardoor het IP-adres van onze server, niet dat van jou, en de toegangssleutel voor de aanbieder verlaat onze server nooit. Noch de Android-app noch de web-app neemt rechtstreeks contact op met de aanbieder. De aanbieders zijn gevestigd in de VS; de doorgifte is gebaseerd op de EU-standaardcontractbepalingen of – als de ontvanger gecertificeerd is – op het EU-VS Data Privacy Framework. Gebruik je geen van deze functies, dan vindt er geen doorgifte naar de aanbieder plaats. Rechtsgrond: art. 6, lid 1, onder b AVG (het leveren van de door jou gevraagde functie).
4.8 Media
Korte beloningsclips (kattenfilmpjes) worden statisch geleverd vanaf de webruimte en op het toestel of in de browser gecachet. Hierbij is alleen de technisch noodzakelijke verbinding met de webserver betrokken (zie 3.1).
4.9 Opslag op het toestel (Android-app)
Toegangs- en vernieuwingstokens worden opgeslagen in de Android keystore of in versleutelde opslag, en de lokale leerdatabase is versleuteld met SQLCipher. De database en de tokens zijn uitgesloten van de automatische back-up van het toestel.
4.10 Bijzonderheden van de web-app
De web-app wordt als programmabestanden van onze server bij IONOS geladen en draait vervolgens in je browser. Bij het laden ontstaan de in 3.1 beschreven serverlogbestanden. De web-app integreert geen analyse-, advertentie- of trackingdiensten en plaatst geen cookies voor dergelijke doeleinden.
Opslag in je browser: zodat de web-app ook offline werkt, slaat ze in je browser op: de leerdatabase (pools, woorden, leervoortgang, instellingen) in IndexedDB, toegangs- en vernieuwingstokens, een willekeurig gegenereerd apparaat-ID en apparaatinstellingen (bijv. taal) in localStorage, en de programmabestanden en beloningsclips in de cache van een service worker. Anders dan in de Android-app zijn deze gegevens niet extra versleuteld; browser en besturingssysteem schermen ze af van andere websites. Wij krijgen geen toegang tot andere gegevens in je browser. Rechtsgrond voor het opslaan en uitlezen is § 25, lid 2, nr. 2 TDDDG (strikt noodzakelijk voor de door jou gewenste dienst) in combinatie met art. 6, lid 1, onder b AVG.
Bij het uitloggen worden de toegangstokens verwijderd. De overige lokaal opgeslagen gegevens verwijder je volledig door de websitedata van de web-app in je browser te wissen (op iPhone en iPad: Instellingen → Apps → Safari → Geavanceerd → Websitedata). Nog niet gesynchroniseerde wijzigingen gaan hierbij verloren. Op gedeelde toestellen moet je na gebruik uitloggen en de websitedata wissen.
Inloggen met Google: tik je in de web-app op “Inloggen met Google”, dan laadt je browser pas op dat moment een script van Google (accounts.google.com). Daarbij ontvangt Google Ireland Limited je IP-adres en technische browsergegevens; het inloggen zelf is onderworpen aan de voorwaarden van Google. Een doorgifte naar de VS kan niet worden uitgesloten (zie 6). Zonder deze tik wordt er geen Google-script geladen. Inloggen met Apple is in de web-app niet beschikbaar.
Herinneringen in plaats van push: de web-app verstuurt geen pushberichten via Google of Apple. Leerherinneringen toont ze – alleen als je dat in de browser toestaat – als lokale melding zolang de web-app geopend is. Daarbij worden geen gegevens aan derden doorgegeven.
Camera en foto’s: de web-app gebruikt de camera of fotobibliotheek alleen wanneer je zelf een foto maakt of kiest bij het importeren van woordenlijsten; zie 4.7 voor de verdere verwerking. Vrienden uitnodigen: deel je je vriendencode, dan gebruikt de web-app de deelfunctie van je besturingssysteem; welke route je kiest, krijgen wij niet te zien. Opent iemand een uitnodigingslink, dan leest de web-app de daarin opgenomen vriendencode uit het adres.
5. Ontvangers en verwerkers
- IONOS SE, Montabaur – beheer van de website, de web-app en de app-server, evenals postbussen en e-mailverzending voor systeem- en bevestigingsmails (verwerking in onze opdracht, EU/Duitsland).
- Google Ireland Limited – pushmeldingen via Firebase Cloud Messaging (alleen Android-app).
- Google Ireland Limited / Apple Inc. – bij inloggen via “Inloggen met Google” (Android-app en web-app) of “Inloggen met Apple” (alleen Android-app).
- OpenAI, L.L.C. (VS) – bij gebruik van de AI-functies (zie 4.7), uitsluitend via onze server, nooit rechtstreeks vanaf je toestel. De aanbieder van het taalmodel kan wijzigen.
6. Doorgifte naar derde landen
Doorgiftes naar de VS (onder andere Google, OpenAI en – bij inloggen via Apple – Apple) vinden plaats op basis van de EU-standaardcontractbepalingen volgens art. 46, lid 2, onder c AVG en, wanneer de ontvangers gecertificeerd zijn, het EU-VS Data Privacy Framework volgens art. 45 AVG. Een kopie van de waarborgen is bij de verwerkingsverantwoordelijke verkrijgbaar.
7. Bewaartermijnen
- Account- en leergegevens: tot het account wordt verwijderd.
- Na verwijdering van het account: definitieve verwijdering van identificerende gegevens, onomkeerbare anonimisering van de inhoud; daarna definitieve verwijdering na de genoemde termijn.
- Wedstrijdgegevens: zolang de betrokken accounts bestaan; bij verwijdering van het account als hierboven.
- Serverlogbestanden: ongeveer acht weken.
- Gegevens in de browser (web-app): tot je de websitedata in de browser wist; de toegangstokens hooguit tot het uitloggen.
- Toegangstokens: 30 dagen, vernieuwingstokens: 180 dagen (daarna automatisch ongeldig).
8. Jouw rechten
Je hebt recht op inzage (art. 15), rectificatie (art. 16), verwijdering (art. 17), beperking van de verwerking (art. 18), overdraagbaarheid van gegevens (art. 20) en bezwaar (art. 21 AVG). Je kunt een gegeven toestemming op elk moment met werking voor de toekomst intrekken.
Je kunt je recht op verwijdering rechtstreeks in de app uitoefenen: het hele account via Profiel → Account verwijderen (instructies onder account verwijderen), en losse woorden, pools of leervoortgang rechtstreeks in het gedeelte “Pools” (instructies onder woorden en pools verwijderen). Voor al het andere kun je contact opnemen met info@vokakitty.nl.
Je hebt het recht om een klacht in te dienen bij een toezichthoudende autoriteit. Bevoegd is de gegevensbeschermingsautoriteit van je woonplaats, of de autoriteit die verantwoordelijk is voor de verwerkingsverantwoordelijke:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 31 63, 65021 Wiesbaden, Duitsland
Telefoon: +49 611 1408-0 · E-mail: poststelle@datenschutz.hessen.de
9. Verplichting om gegevens te verstrekken
Het verstrekken van gebruikersnaam, e-mailadres, wachtwoord en geboortedatum is noodzakelijk om de overeenkomst aan te gaan. Zonder deze gegevens kan er geen account worden aangemaakt en kan de app niet worden gebruikt.
10. Wijzigingen in dit privacybeleid
Wij passen dit privacybeleid aan wanneer de gegevensverwerking wijzigt of wettelijke vereisten dit noodzakelijk maken. De actuele versie is altijd op deze pagina beschikbaar.