Privacyverklaring

1. Verantwoordelijke (Art. 4 AVG)

MY YACHTWEEK SL
Paseo del Borne 14
07012 Palma de Mallorca
Balearen, Spanje
E-mail: privacy@hellokiwi.app
Vertegenwoordigd door de Directeur: Pierre Schorb

2. Doeleinden

• Reisplanning, paklijsten, taken, uitgaven en bestemmingsbeheer – in eerste instantie volledig lokaal op je apparaat.
• Optioneel account met aanmelding via Apple, Google, een e-mailcode of een passkey, om je reizen tussen apparaten te synchroniseren en met anderen te delen.
• Optionele AI-ondersteuning (paklijst-assistent, informatie over het land en over vluchten).
• Informatie over plaatsen, kaarten, weer, vluchten en valuta en aanbiedingen (onder andere Google, Apple, OpenStreetMap, Open-Meteo, AeroDataBox, Wikipedia, Wikidata, Viator).
• Meldingen en herinneringen voor afspraken, taken en reizen (lokaal op het apparaat).
• Werking, beveiliging en foutoplossing van onze servers (serverlogs) en – alleen met jouw toestemming – gebruiksstatistieken (Matomo).

3. Account & aanmelden (optioneel)

Je kunt HelloKiwi zonder account gebruiken; alle gegevens blijven dan op je apparaat. Voor synchronisatie via de HelloKiwi-server en voor het delen van reizen meld je je aan in de instellingen. Daarvoor zijn er vier manieren; een eigen wachtwoord is er niet:

• Google: we ontvangen van Google een aanmeldbewijs en slaan de unieke Google-ID, je e-mailadres, je weergavenaam en – indien aanwezig – je profielfoto op.
• Apple: we ontvangen van Apple een inlogbewijs en slaan het unieke Apple-kenmerk op, en je e-mailadres en naam als Apple die doorgeeft. Kies je „Verberg mijn e-mailadres”, dan ontvangen we alleen een doorstuuradres van Apple. Daarnaast slaan we versleuteld een door Apple uitgegeven token op, zodat we de koppeling met je Apple ID kunnen intrekken wanneer je je account verwijdert. Op Android verloopt inloggen met Apple via een webpagina van Apple; het inlogresultaat blijft maximaal 10 minuten op onze server staan tot de app het ophaalt.
• E-mailcode: we sturen een zescijferige code naar je e-mailadres. We slaan het adres op; de code wordt alleen als controlesom opgeslagen, is 10 minuten geldig en wordt uiterlijk na één dag verwijderd. Ter voorkoming van misbruik is het aantal codes per adres en per IP-adres beperkt.
• Passkey: je kunt een passkey aan je account toevoegen en je aanmelden met gezichtsherkenning, vingerafdruk of apparaatcode. We slaan alleen de openbare sleutel, een ID van de passkey, een gebruiksteller en de naam die je eraan geeft op. Biometrische gegevens verlaten je apparaat nooit.

Daarnaast zijn er technische sessiegegevens (tijdstippen, verloop; aanmeldtokens alleen als controlesom). De wachtwoorden van je Apple- of Google-account zien we nooit. Verschillende aanmeldmethoden leveren aparte accounts op.

Je kunt je op elk moment afmelden. Je account en alle servergegevens kun je in de instellingen met „Account en servergegevens verwijderen” definitief verwijderen (zie de sectie „Opslag & bewaartermijn”).

4. Synchronisatie via de HelloKiwi-server

Wanneer je inlogt, synchroniseert HelloKiwi je gegevens met onze server, zodat je ze op meerdere apparaten hebt en met anderen kunt delen. Alle inhoud van je reizen wordt gesynchroniseerd: titels, periodes, bestemmingen, accommodaties, vluchten, treinen, cruises, activiteiten, taken, deelnemers (namen, e-mailadressen en andere gegevens die je zelf invoert), uitgaven, paklijsten, notities, resultaten van de paklijstassistent, bewaarde plaatsen, omslagafbeeldingen en bijlagen (foto’s, documenten) en je profiel en instellingen (bijv. taal).

De server staat in een datacenter in de Europese Unie (Spanje). De verzending is versleuteld (TLS), bijlagen worden versleuteld op de server opgeslagen en back-ups zijn versleuteld.

Synchronisatie is vrijwillig. Ze eindigt bij het uitloggen; je gegevens blijven op het apparaat (desgewenst kun je ze bij het uitloggen van het apparaat laten verwijderen). Reeds gesynchroniseerde gegevens blijven op de server staan tot ze worden verwijderd (zie “Opslag en bewaartermijn”).

Op iOS slaat de paklijst-assistent tijdens het werken een apparaat-ID van de app-uitgever (identifierForVendor) bij de reis op, zodat niet twee apparaten tegelijk dezelfde lijst maken. Het wordt met de reis gesynchroniseerd en is daardoor ook voor de leden van de reis opgeslagen; het dient geen ander doel.

Als je namen, e-mailadressen of andere gegevens van medereizigers invoert, zorg er dan voor dat je daartoe bevoegd bent.

5. Eerdere iCloud-gegevens (iOS)

Eerdere versies van de iOS-app synchroniseerden je gegevens tussen je apparaten via iCloud (Apple CloudKit) en boden het delen van reizen via iCloud aan. Beide bestaan niet meer: synchronisatie en delen verlopen nu via de HelloKiwi-server (zie hierboven).

Zodat er niets verloren gaat, neemt de app bij de eerste start van de nieuwe versie eenmalig de gegevens uit je privé-iCloudopslag over en slaat ze op je apparaat op. Daarna leest en schrijft de app niets meer in iCloud. Via iCloud ontvangen deelacties van anderen worden niet overgenomen en niet meer getoond.

Wij hebben geen toegang tot je iCloud-gegevens. Ze blijven in je iCloudopslag tot je ze verwijdert: in de iOS-instellingen onder je naam → iCloud → Beheer opslag → HelloKiwi.

6. Reizen met anderen delen (HelloKiwi-delen)

Je kunt een reis delen met andere HelloKiwi-gebruikers. Daarvoor maak je een uitnodiging (“Iemand uitnodigen”), eventueel met naam en e-mailadres van de uitgenodigde persoon, en stuur je de uitnodigingscode, een link of een QR-code. Een uitnodiging geldt voor één persoon en is 14 dagen geldig.

De uitgenodigde persoon logt in en stuurt een aanvraag. Als eigenaar van de reis zie je haar naam en e-mailadres en beslis je of je haar goedkeurt. Pas na jouw goedkeuring krijgt zij toegang.

Alle leden van een gedeelde reis zien de inhoud (ook bijlagen) en kunnen die wijzigen, maar kunnen de reis niet verwijderen. Alle leden zien de namen en e-mailadressen van de andere leden. De eigenaar kan leden op elk moment verwijderen, en leden kunnen de reis op elk moment verlaten („Reis verlaten”). Wat een lid al heeft ingevoerd, blijft in de reis.

Verwijdert de eigenaar zijn account, dan gaat de reis over op het lid dat het langst betrokken is; is er geen, dan wordt de reis verwijderd.

Geef geen gegevens van derden door zonder hun toestemming. Controleer vóór elke goedkeuring naam en e-mailadres van de aanvrager.

7. Rechtsgronden

• Overeenkomst (art. 6, lid 1, sub b AVG): levering van de app, het account, de synchronisatie en het delen.
• Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): werking en beveiliging van de servers (serverlogs, verzoekbeperking, back-ups).
• Toestemming (art. 6 lid 1 sub a AVG): optionele machtigingen (agenda, meldingen), de optionele AI-functie en de gebruiksstatistieken (voor het opslaan van de ID op je apparaat bovendien § 25 lid 1 van de Duitse TDDDG); op elk moment in te trekken.

8. Ontvangers en diensten van derden

We geven gegevens alleen door voor zover dat nodig is om de functies te leveren:

• Hostingprovider (datacenters in Spanje en Duitsland, EU): beheer van onze servers (verwerker).
• Google: inloggen met je Google-account, plaatsen zoeken, plaatsen in de buurt en foto’s van plaatsen (Google Places: zoektekst, coördinaten van de bestemming), kaartlinks (Google Maps).
• OpenAI: optionele paklijst-assistent, informatie over het land en over vluchten (zie hieronder).
• Open-Meteo (Android): weersverwachting voor bestemmingen (coördinaten, periode).
• OpenStreetMap (Android): kaarttegels bij het kiezen van een locatie en – via Nominatim – het adres bij coördinaten (kaartuitsnede, coördinaten).
• Wikipedia: korte beschrijvingen van bestemmingen (stad, land, eventueel coördinaten).
• AeroDataBox (via RapidAPI): vluchtinformatie (vluchtnummer, datum, luchthavencode).
• Viator: aanbiedingen en activiteiten voor bestemmingen (coördinaten, bestemming, periode, valuta) en de bijbehorende afbeeldingen.
• Wikimedia (Wikidata): valuta van bestemmingen (landcodes, taal).
• Esri (ArcGIS) (Android): satellietkaart bij het kiezen van een locatie (kaarttegels).
• Apple: inloggen met Apple; op iOS daarnaast weer (WeatherKit: coördinaten van de bestemming), kaarten en plaatsen zoeken (MapKit: zoektekst, coördinaten), pushdiensten, de controle op app-updates in de App Store en het eenmalig overnemen van eerdere iCloud-gegevens (zie „Eerdere iCloud-gegevens”).
• Microsoft (Microsoft 365, verwerker): verzending van de aanmeldcodes per e-mail (e-mailadres, code). Verzonden berichten worden niet in onze mailbox bewaard.
• Frankfurter / Europese Centrale Bank: wisselkoersen voor uitgaven in andere valuta. Onze server haalt de koersen op; er worden geen gegevens van jou doorgegeven.
• Andere leden van gedeelde reizen (zie “Reizen met anderen delen”).

Verzoeken aan OpenAI, Google Places, Open-Meteo, OpenStreetMap, AeroDataBox en Viator lopen via onze tussenserver (api.hellokiwi.app): de aanbieders ontvangen het verzoek, maar niet je IP-adres. Inloggen met Google en Apple, verzoeken aan Wikipedia en Wikidata, de Apple-diensten op iOS en het laden van kaarttegels en Viator-afbeeldingen gebeuren rechtstreeks vanaf je apparaat – je IP-adres is dan zichtbaar voor de aanbieder. Open je een kaartlink, dan wordt Google Maps of je browser geopend.

AI-functies (OpenAI): voor de optionele paklijst-assistent sturen we OpenAI de reistitel, de periode, het aantal deelnemers, de bestemmingen (stad, landcode), de gekozen reisthema’s en vervoermiddelen, de al aanwezige items van de paklijst en de app-taal. Voor informatie over het land sturen we het land en de coördinaten van de bestemming, voor vluchtinformatie de luchtvaartmaatschappij, het vluchtnummer, de luchthavens en de vluchtdatum. Namen van personen, e-mailadressen, adressen of accountgegevens worden niet verstuurd; omdat de reistitel vrije tekst is, vul daar geen persoonsgegevens in. De inhoud dient alleen om de betreffende suggesties te maken; de resultaten worden in de reis opgeslagen en zijn zichtbaar voor de leden. Volgens de aanbieder wordt de verstuurde inhoud niet gebruikt om modellen te trainen, maar kan hij kort worden bewaard om misbruik op te sporen. AI-inhoud kun je met „Inhoud melden” melden bij support@hellokiwi.app.

9. Serverlogboeken (logbestanden)

Bij toegang tot onze servers ontstaan technische logs. Ze bevatten het tijdstip, het opgevraagde pad, de antwoordcode en een ingekort IP-adres (bij IPv4 zonder de laatste byte); op de tussenserver (api.hellokiwi.app) daarnaast de aanduiding van de app-versie (user agent). Fout- en beveiligingslogs (serverfouten, firewall, inlogpogingen op de server) kunnen het volledige IP-adres bevatten. Alle logs worden uiterlijk na 7 dagen verwijderd. De hostingprovider kan eigen logs bijhouden.

Doel zijn werking, foutopsporing en afweer van aanvallen (gerechtvaardigd belang). Om verzoeken te beperken wordt het IP-adres kortstondig in het geheugen gebruikt. Deze juridische teksten worden zonder toegangslogboek geleverd.

10. Opslag en bewaartermijn

We bewaren gegevens alleen zo lang als nodig is voor het betreffende doel.

• Op je apparaat: reizen, foto’s, notities en instellingen staan in de app-database op je apparaat en worden bij het verwijderen van de app gewist. Bij het uitloggen kun je ze van het apparaat laten verwijderen; bij het overstappen naar een ander account vraagt de app het je.
• Op de HelloKiwi-server: zolang je account bestaat. Verwijder je een reis, dan worden de inhoud en bijlagen direct verwijderd; een lege verwijdermarkering blijft 90 dagen staan, zodat je andere apparaten de verwijdering ook overnemen. Verwijder je afzonderlijke items, dan worden bijlagen direct verwijderd en de overige inhoud uiterlijk na 90 dagen.
• Account verwijderen: met „Account en servergegevens verwijderen” worden je account, je profiel, je inloggegevens, je reizen zonder andere leden met inhoud en bijlagen en je uitnodigingen definitief van de server verwijderd; een eventuele koppeling met je Apple ID trekken we bij Apple in. Reizen met andere leden gaan over naar het lid dat het langst bij de reis hoort; wat jij daar hebt ingevoerd, blijft voor de anderen bewaard. Hebben anderen je als deelnemer in hun reizen opgenomen, dan blijven die gegevens daar staan. Zonder app kun je verwijdering aanvragen via legal.hellokiwi.app/account-deletion.
• Back-ups: de server wordt dagelijks versleuteld geback-upt (14 dagen op de server, een extra versleutelde kopie tot 60 dagen). Verwijderde gegevens kunnen dus tot 60 dagen in back-ups blijven staan en worden daarna volledig gewist.
• Uitnodigingen: gelden 14 dagen en blijven bij de reis opgeslagen tot de reis of het account wordt verwijderd.
• Serverlogboeken: 7 dagen.
• Gebruiksstatistieken: ruwe gegevens maximaal 13 maanden, daarna automatische verwijdering.
• Inlogcodes per e-mail: maximaal 1 dag (inclusief het voor de begrenzing gebruikte IP-adres); resultaten van inloggen met Apple op Android maximaal 10 minuten.
• Back-ups van het besturingssysteem (bijv. iCloud op iOS) vallen onder het beleid van de aanbieders. De Android-app doet niet mee aan de automatische back-up van Google.

11. Uw Rechten

• Inzage, rectificatie, verwijdering, beperking
• Overdraagbaarheid van gegevens
• Bezwaar
• Intrekking van toestemming
• Klacht bij een toezichthouder (AEPD, Spanje)

www.aepd.es

Zo oefen je je rechten uit: in de instellingen van de app kun je je gegevens downloaden met „Mijn gegevens exporteren” (op Android als ZIP met een leesbaar overzicht, een machineleesbaar JSON-bestand en alle bijlagen; op iOS als machineleesbaar JSON-bestand) en je account verwijderen met „Account en servergegevens verwijderen”. Je kunt ook contact opnemen via privacy@hellokiwi.app – ook als de app niet meer is geïnstalleerd.

12. Derde landen

Onze servers staan in de EU (Spanje, Duitsland). Sommige diensten van derden verwerken gegevens mogelijk buiten de EU, met name in de VS (bijv. OpenAI, Google, Microsoft, Wikimedia, Esri). Zulke doorgiften vinden alleen plaats op basis van erkende waarborgen, zoals een adequaatheidsbesluit van de Europese Commissie (EU-VS-privacykader) of de standaardcontractbepalingen van de EU.

13. Beveiliging

• Versleutelde verzending (TLS) tussen app en servers.
• Bijlagen worden versleuteld op de server opgeslagen (AES-256); back-ups zijn versleuteld met een sleutel die niet op de server staat.
• Inlogtokens staan op de server alleen als controlesom; toegang tot reizen is alleen mogelijk voor leden en wordt bij elk verzoek gecontroleerd.
• Beveiligde servers (firewall, toegang alleen met sleutel, beperking van verzoeken, automatische beveiligingsupdates); toegang alleen voor de beheerder.
• Niemand kan absolute veiligheid beloven: beveilig je apparaat (schermvergrendeling) en geef uitnodigingen alleen aan mensen die je kent.

14. Gebruiksstatistieken (Matomo)

Als je toestemming geeft, gebruiken we de opensourcesoftware Matomo om vast te leggen hoe de app wordt gebruikt, zodat we hem gericht kunnen verbeteren. De app vraagt dit bij de tweede start met twee gelijkwaardige knoppen („Nee, bedankt” en „Graag”); er is niets vooraf geselecteerd. Zonder je toestemming wordt niets vastgelegd. Je keuze geldt voor het betreffende apparaat en wordt niet met je account gesynchroniseerd.

Matomo draait uitsluitend op onze eigen server (track.hellokiwi.app) in een datacenter in de EU. Er is geen doorgifte aan derden en geen overdracht naar derde landen.

Wat wordt vastgelegd:

• welke schermen en functies worden gebruikt (bijv. „reis aangemaakt”, „paklijst geëxporteerd”) en wanneer (datum, tijd, lokale tijd);
• app-versie, platform (iOS/Android), app-taal, aanmeldmethode (bijv. Apple, Google, niet aangemeld), apparaatmodel, versie van het besturingssysteem, schermresolutie en apparaattaal;
• een willekeurige ID die de app bij je toestemming op je apparaat aanmaakt en opslaat, plus tijdstip en aantal eerdere bezoeken. Dit dient alleen om terugkerend gebruik te herkennen; de ID is niet aan je account gekoppeld;
• je IP-adres: hiermee wordt je land bepaald; het wordt alleen ingekort opgeslagen (de laatste twee bytes worden verwijderd).

Wat niet wordt vastgelegd: geen inhoud zoals reistitels, namen, e-mailadressen, plaatsen, bedragen, notities of paklijstitems, geen account-ID en geen advertentie-ID. Er is geen tracking over apps of platforms heen.

Rechtsgrond: jouw toestemming (art. 6 lid 1 sub a AVG; voor het opslaan van de ID op je apparaat § 25 lid 1 van de Duitse TDDDG).

Intrekken: je kunt je toestemming op elk moment intrekken in de instellingen onder „Privacy → Gebruiksstatistieken”. De app verstuurt dan niets meer, en de ID en nog niet verzonden gegevens worden van je apparaat verwijderd.

Bewaartermijn: ruwe gegevens worden na 13 maanden automatisch verwijderd. Samengevatte statistieken zonder verband met individuele gebruikers kunnen langer worden bewaard.

Oudere iOS-versies (tot en met 1.4.x) versturen een anonieme gebruiksanalyse zonder opgeslagen ID. Deze gegevens worden apart opgeslagen en eveneens na 13 maanden verwijderd.

15. Verplichting tot verstrekking

Voor lokaal gebruik van de app hoef je ons geen gegevens te verstrekken. Voor account, synchronisatie en delen is aanmelden nodig (Apple, Google, e-mailcode of passkey); zonder aanmelding zijn deze functies niet beschikbaar. De gebruiksstatistieken zijn vrijwillig. Sommige functies hebben daarnaast bepaalde gegevens of machtigingen nodig (bijv. herinneringen zonder meldingstoestemming, vluchtinformatie zonder vluchtnummer).

16. Toegang tot het apparaat

De app kan de volgende rechten vragen – alleen wanneer je de functie gebruikt; je kunt ze op elk moment intrekken in de systeeminstellingen:

• Agenda: reis- en afspraakgebeurtenissen toevoegen en controleren (lokaal; alleen met je toestemming).
• Meldingen en – op Android – exacte alarmen en start na het herstarten van het apparaat: herinneringen voor reizen, taken en afspraken betrouwbaar tonen (lokaal).
• Camera / foto’s / bestanden: afbeeldingen en documenten maken of kiezen (via de keuze van het systeem; alleen de bestanden die jij kiest, worden gebruikt). Als je bent ingelogd, worden bijlagen en omslagafbeeldingen met de reis gesynchroniseerd (zie „Synchronisatie”); op iOS leest de camera ook QR-codes van uitnodigingen.
• Contacten: bij het toevoegen van deelnemers kun je een contact kiezen via de keuze van het systeem. De app ontvangt alleen het gekozen contact en neemt naam en e-mailadres over als deelnemer; er is geen toegang tot je adresboek.
• QR-codescanner (Android): uitnodigingscodes scannen. Het scannen gebeurt door de Google-scanner van Google Play-services op je apparaat; de app ontvangt alleen de gelezen code, geen camerabeeld.
• Internet: voor synchronisatie, delen en de onlinediensten.

17. Geen tracking (advertenties & profielen)

De app gebruikt geen advertentie-tracking-SDK’s, geen advertentieprofilering, geen advertentienetwerken en geen tracking over apps of websites heen.

De gebruiksstatistieken (sectie „Gebruiksstatistieken (Matomo)”) werken alleen met jouw toestemming op onze eigen server en worden niet gecombineerd met gegevens van andere aanbieders.

18. Wijzigingen

Aanpassingen worden doorgevoerd wanneer diensten of wettelijke vereisten veranderen. Zie de kop voor de laatste versie.

Contact

privacy@hellokiwi.app

Versie 2.3 • Document-ID: HK-PRIV-2026-10-01-NL