Privacyverklaring Liefdesbrieven

Wie is verantwoordelijk

Bram Luiken is de verwerkingsverantwoordelijke voor Liefdesbrieven. Vragen, verzoeken of klachten over je gegevens: privacy@liefdesbrieven.bramluiken.org. We reageren binnen een maand.

Welke gegevens we bewaren en waarvoor

• Account: e-mailadres, naam, geboortedatum en een versleutelde afgeleide van je wachtwoord (scrypt-hash; het wachtwoord zelf bewaren we niet). Nodig om je te laten inloggen en om te controleren dat je 18 jaar of ouder bent.
• Wie je bent: gender (vrouw, man, non-binair), of je trans bent, en of je een relatie hebt. Nodig om je te tonen aan mensen die passen bij wat jij zoekt — en alleen aan hen.
• Wat je zoekt: gender(s), leeftijdsbereik, of je ook mensen in een relatie en/of trans personen wilt zien, en eventueel een straal in kilometers. Dit filter werkt wederzijds: het bepaalt ook wie jóu ziet.
• Profieltekst: wat je zelf over jezelf schrijft. Doorzoekbaar voor mensen bij wie jullie filters wederzijds passen.
• Locatie (optioneel): breedte- en lengtegraad, afgerond tot ongeveer 1 kilometer. Alleen om afstanden te tonen en op afstand te kunnen filteren. Anderen zien nooit je locatie, alleen de afstand.
• Brieven: de tekst van elke brief die je schrijft of ontvangt, met tijdstip van versturen en lezen. Dat is de kern van de app.
• Foto's bij brieven: hoogstens één per brief, met de beschrijving die de afzender erbij typt. In een eerste brief kan geen foto mee — dat kan pas als de ander teruggeschreven heeft. De foto wordt op je eigen toestel verkleind en opnieuw opgeslagen vóór hij verstuurd wordt; daarmee verdwijnen de gegevens die je camera meestuurt — waaronder de plek waar de foto genomen is. Wij krijgen alleen het beeld zelf.
• Favorieten en blokkades: wie je als favoriet markeert of blokkeert. Alleen jij ziet dat; de ander niet.
• Meldingen: als je iemand of een brief meldt, bewaren we wie je meldt, waarover, welke reden je koos en de toelichting die je zelf typt. Nodig om misbruik te kunnen aanpakken. De gemelde persoon hoort niet van wie de melding komt.
• Maatregelen: als er naar aanleiding van een melding iets tegen jou wordt ondernomen — een waarschuwing, het verwijderen van een brief, een schorsing — leggen we vast wat er is gedaan, wanneer en waarom. Bij een schorsing staat de reden en de einddatum ook in je account, zodat je die bij het inloggen te zien krijgt. Nodig om te kunnen handhaven en om een tweede keer van een eerste te kunnen onderscheiden.
• Sessies: per ingelogd toestel een willekeurig token (wij bewaren alleen de hash) met tijdstip van inloggen en laatste gebruik. Een sessie verloopt na 90 dagen zonder gebruik.
• Technische logs: de server logt welke API-paden wanneer zijn opgevraagd en of dat lukte, en beperkt het aantal inlogpogingen per adres. Geen briefteksten, geen wachtwoorden, en nadrukkelijk ook niet wat je in de zoekbalk typte: de log bewaart het pad zonder wat erachter staat. Alleen voor beveiliging en storingen.
• Waar op gezocht wordt: van wat je in Zoeken intypt tellen we de losse woorden mee in een dagteller — 'wandelen' plus één, samen met iedereen die dat vandaag ook zocht. Niet je zoekopdracht, niet wanneer je zocht, en niet dat jíj het was: er is geen rij die naar jou terug te leiden is, en daarom staat dit ook niet in je gegevensexport (er valt niets over jou op te vragen). Waarvoor: om te zien waar mensen naar zoeken en niets vinden.
• Grenzen aan wat één account kan: de server telt hoeveel brieven je het afgelopen uur en het afgelopen etmaal verstuurde, en hoe vaak je kort achter elkaar zocht. Daar komt niets nieuws voor in de database — de brieven staan er al — en er wordt niets van bewaard: het is er alleen om te voorkomen dat één account de app als verzendmachine gebruikt.
• De brief bij je vertrek: verwijder je je account, dan kun je de beheerder een brief achterlaten — wat je hier gevonden hebt, of wat er mis was. Dat is vrijwillig en het verandert niets aan het verwijderen zelf. Wat we van die brief bewaren is de tekst en de datum, en verder niets: geen naam, geen e-mailadres, geen verwijzing naar het account dat net gewist is. Wij weten dus ook niet van wie hij is, en kunnen er niet op antwoorden. Schrijf er daarom niets in dat je niet wilt achterlaten — wat jij in de tekst zet, staat er.
• De betaling voor je account: er is een beperkt aantal gratis plekken, en zijn die vergeven dan kost een account eenmalig geld. Het betalen zelf gaat volledig buiten ons om — de app-store is de verkoper, incasseert en ziet je betaalgegevens. Bij ons komt alleen een bonnetje binnen: een tekenreeks en een bonnummer, die we bij de store natrekken om te weten dát er betaald is. We bewaren geen naam, geen bedrag en geen kaart- of rekeninggegevens; die hebben we nooit gehad.

We verzamelen niets anders: geen tracking, geen advertentieprofielen, geen cookies van derden, geen analytics. Op je toestel zelf staat alleen je sessietoken, en — als je het bericht bij nieuwe post hebt aangezet — dat je dat aan hebt en over welke brief je het laatst een melding kreeg. Die laatste twee blijven op het toestel; wij weten niet dat je ze hebt.

Op welke grond

• Uitvoering van de overeenkomst met jou (AVG art. 6 lid 1 sub b): account, profieltekst, filter, brieven, favorieten, blokkades, sessies — zonder die gegevens werkt de app niet. Ook het bonnetje van een betaalde plek hoort hier: zonder dat kunnen we je account niet aanmaken en jij niet aantonen dat je betaald hebt.
• Jouw uitdrukkelijke toestemming (AVG art. 9 lid 2 sub a) voor de gevoelige gegevens: gender, trans-status, relatiestatus en wat je zoekt zeggen iets over je seksuele gerichtheid en genderidentiteit. Die toestemming geef je bij het aanmaken van je account en kun je altijd intrekken door je account te verwijderen.
• Gerechtvaardigd belang (AVG art. 6 lid 1 sub f) voor beveiliging: technische logs, het beperken van inlogpogingen en de grenzen aan wat één account per uur kan versturen en opvragen.
• Gerechtvaardigd belang (AVG art. 6 lid 1 sub f) om te begrijpen wat mensen hier zoeken: het tellen van de losse woorden uit de zoekbalk. Het gaat om één optelling per woord per dag, zonder wie of wanneer; de zoekopdracht zelf wordt niet bewaard en er ontstaat geen zoekgeschiedenis. Wat er overblijft wijst naar niemand, en daarom weegt dit belang op tegen de inbreuk — die er in de bewaarde vorm niet is.
• Gerechtvaardigd belang (AVG art. 6 lid 1 sub f) om te leren van wie weggaat: de brief die je bij je vertrek achterlaat. Je schrijft hem zelf en alleen als je wilt, en wat er bewaard blijft is de tekst zonder afzender — er is geen rij die naar jou wijst, dus er valt met het bewaren niets over jou prijs te geven.
• Gerechtvaardigd belang (AVG art. 6 lid 1 sub f) voor de veiligheid van gebruikers: meldingen van misbruik, de maatregelen die we nemen en het logboek daarvan. Het belang van iemand die zich onveilig voelt weegt hier zwaarder dan het belang van degene over wie gemeld wordt om dat niet te laten vastleggen.

Wie ziet wat

Andere gebruikers zien van jou: naam, leeftijd (niet je geboortedatum), gender en trans-status, relatiestatus, profieltekst, hoe lang geleden je actief was en — als jullie allebei een locatie hebben — de afstand in kilometers. Nooit je e-mailadres, geboortedatum of locatie.

Je verschijnt alleen bij mensen bij wie jullie filters wederzijds passen. Wie in een relatie is of trans is, verschijnt alleen bij mensen die daar bewust voor openstaan. Iemand die je blokkeert ziet je niet meer.

Brieven zijn alleen zichtbaar voor de schrijver en de ontvanger. Wij lezen ze niet, behalve als dat strikt nodig is om een storing of misbruikmelding te onderzoeken. Meld je één brief, dan kan de beheerder juist die brief lezen om te beoordelen wat er aan de hand is — dat is de bedoeling van melden.

Wie meldt blijft anoniem tegenover de gemelde persoon. Meldingen over jou krijg je daarom niet te zien in je gegevensexport: daarin zou staan wie je gemeld heeft, en dat hoort bij die ander (AVG art. 15 lid 4).

Voor een foto bij een brief geldt hetzelfde, en de server dwingt dat af: bij elk verzoek om een foto controleert hij eerst of jij de afzender of de ontvanger van die brief bent. Er bestaat geen openbare of te raden adres waarop een foto te bereiken is, en foto's worden nergens onderweg bewaard.

Notificaties

Dit staat uit tot je het zelf aanzet, bij Mijn profiel → Notificaties. Zet je het aan, dan kijkt de app op vaste momenten — standaard één keer per dag, rond 08:00 volgens de tijd van je eigen toestel — of er nieuwe post voor je is, en zet daar een melding bij. Hoe laat dat gebeurt kies je zelf, en je kunt er een tweede moment bij zetten. Uitzetten kan op dezelfde plek, en dan stopt het kijken meteen.

Het toestel vraagt het zelf aan onze server; er wordt niets naar je toestel gestuurd. Dat is met opzet, want de gewone manier om meldingen te versturen loopt langs de fabrikant van je besturingssysteem — op Android via Google, op iOS via Apple — en die weet dan van elke melding dát er post voor jou is en wanneer. Bij ons komt daar geen enkel ander bedrijf aan te pas.

De server houdt van dit alles niets bij: dat je meldingen aan hebt staat alleen op je toestel, en de dagelijkse vraag 'ligt er post?' wordt met opzet niet geteld als gebruik van de app — je sessie verloopt er dus ook niet minder snel door.

In de melding staat nooit een brief. Er staat dat er post is, met hoogstens twee namen: die van je favorieten, en bij precies één afzender die van hem of haar. Verder hooguit hoeveel mensen er schreven. Wie op zijn vergrendelscherm helemaal geen namen wil zien, kan dat per app instellen in het toestel zelf (bij Android en bij iOS in de instellingen voor meldingen).

Wie ons helpt (verwerkers) en waar de gegevens staan

De server en database draaien bij Hetzner Online GmbH in een datacenter binnen de Europese Unie (Finland). Hetzner is verwerker en heeft alleen technische toegang tot de machine; met Hetzner is een verwerkersovereenkomst gesloten. Er gaan geen gegevens buiten de EU.

Betaal je voor je account, dan is de app-store de verkoper: Google (Google Play) op Android, en de App Store als Liefdesbrieven daar verschijnt. Zij zijn daarvoor zelf verantwoordelijk, niet onze verwerker — hun eigen privacybeleid geldt voor wat zij bij die betaling verwerken. Wij sturen ze niets over jou; we vragen ze alleen of het bonnetje dat de app ons geeft echt is.

We verkopen of delen je gegevens met niemand anders. Alleen als de wet ons daartoe verplicht (bijvoorbeeld een bevel van een rechter) verstrekken we gegevens aan een overheidsinstantie.

Hoe lang we bewaren

• Je account met alles erin: tot je het zelf verwijdert, of tot je 2 jaar niet meer hebt ingelogd, je profiel niet hebt aangepast en geen brief hebt gestuurd — dan wissen we het automatisch.
• Sessies: verlopen 90 dagen na het laatste gebruik en worden dan gewist; uitloggen wist de sessie meteen.
• Brieven en de foto's erbij: zolang jouw account en dat van de ander bestaan. Wordt een van beide accounts verwijderd, dan verdwijnen de brieven én de foto's aan beide kanten.
• Technische logs: maximaal 30 dagen.
• De tellers van gezochte woorden: die blijven staan. Er zit geen persoon in — het zijn woorden met een aantal en een datum — dus er valt met het verstrijken van tijd niets te beschermen. Verwijder je je account, dan verandert er niets aan die tellers, want er staat niet in dat jij het was.
• Meldingen van misbruik: 365 dagen, daarna wissen we ze automatisch. Verwijder je je account, dan blijven de meldingen die jij maakte nog wel bestaan, maar zonder jouw naam of gegevens eraan — anders zou een melding verdwijnen zodra degene die zich onveilig voelde vertrekt. Meldingen óver jou verdwijnen mét je account: er valt dan niets meer te beoordelen.
• De brief die je bij je vertrek achterlaat: die blijft staan, net als de tellers hierboven — er zit geen persoon in, alleen tekst die jij zelf hebt geschreven en de datum. Hij verdwijnt dus niet mét je account; dat is het hele idee ervan. Schrijf je geen brief, dan is er ook niets.
• Het bonnetje van een betaalde plek: dat blijft staan, ook nadat je je account hebt verwijderd — maar dan zonder verwijzing naar jou, dus voor ons is het daarna niet meer dan een tekenreeks. Dat moet, want anders levert dezelfde aankoop na verwijderen opnieuw een account op, en dan is de betaling geen drempel meer.

Verwijderde gegevens zijn definitief weg; we bewaren geen kopie.

Jouw rechten

• Inzage en overdraagbaarheid: bij Mijn profiel → Jouw gegevens → 'Mijn gegevens opvragen' krijg je alles wat we van je bewaren als leesbaar JSON-bestand — inclusief de foto's bij je brieven en de meldingen die je zelf hebt gemaakt. Je bewaart het bestand op je eigen toestel: in de app kies je waar het heen gaat (bijvoorbeeld je bestanden, een cloudmap, of een mailtje aan jezelf).
• Rectificatie: je profiel, filter en locatie pas je aan bij Mijn profiel; naam, e-mailadres, geboortedatum, gender, trans-status en wachtwoord bij Mijn profiel → Account.
• Verwijdering en intrekken van toestemming: bij Mijn profiel → Jouw gegevens → 'Account verwijderen' (bevestigen met je wachtwoord). Alles wordt direct en definitief gewist, inclusief álle brieven — ook bij je correspondenten. Je kunt daarbij een brief voor de beheerder achterlaten; die is niet verplicht en blijft bewaard zonder jouw naam of gegevens (zie hierboven).
• Bezwaar, beperking, of een verzoek dat niet in de app past: mail privacy@liefdesbrieven.bramluiken.org vanaf het e-mailadres van je account.
• Klacht: vind je dat we niet goed met je gegevens omgaan, dan kun je terecht bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Laat het ons liever eerst weten.

Account verwijderen zonder de app

Heb je de app niet meer, mail dan privacy@liefdesbrieven.bramluiken.org vanaf het e-mailadres van je account met het verzoek je account te verwijderen. We wissen het binnen 30 dagen en bevestigen dat per e-mail. Er wordt precies hetzelfde gewist als via de knop in de app.

Misbruik melden

Kom je iemand tegen die niet deugt — bedreiging, intimidatie, een ongewenst seksueel voorstel, een nepprofiel, iemand die minderjarig lijkt of om geld vraagt — meld het dan. In een correspondentie staat de knop ⚑ meld bovenaan, naast de naam; onder elke ontvangen brief staat 'meld deze brief' als het om die ene brief gaat; en in Zoeken staat de knop onder het profiel. Je kunt er meteen voor kiezen om die persoon ook te blokkeren.

De melding gaat naar de beheerder, niet naar de ander: die krijgt geen bericht en ziet niet dat er gemeld is. We bekijken de melding en de brief die erbij hoort. Liever mailen kan ook: moderatie@liefdesbrieven.bramluiken.org. Gaat het om acuut gevaar, bel dan 112 — een melding in de app wordt gelezen, maar niet meteen.

Blokkeren blijft daarnaast bestaan en werkt direct: dat regel je voor jezelf, zonder dat er iemand naar hoeft te kijken.

Wat er kan gebeuren na een melding over jou

Er zijn vier maatregelen, van licht naar zwaar. Een waarschuwing: je krijgt bij het openen van de app een bericht van de beheerder te zien dat je moet wegklikken voordat je verder kunt. Het verwijderen van één brief: die brief en de foto erbij zijn dan aan beide kanten weg. Een schorsing: je kunt tijdelijk of voorgoed niet meer inloggen, je verschijnt niet meer in Zoeken en niemand kan je nog schrijven — je brieven blijven wel staan. En als laatste het verwijderen van je account, met alles erin.

Bij een schorsing krijg je bij het inloggen de reden te zien en, als de schorsing tijdelijk is, tot wanneer hij duurt. Ben je het er niet mee eens, of klopt er iets niet, mail dan klachten@liefdesbrieven.bramluiken.org — dan kijken we er opnieuw naar.

Wat er is ondernomen leggen we vast: wat, wanneer en waarom. Wordt je account verwijderd, dan blijft van dat logboek alleen staan dát er is opgetreden en om welke reden — je naam en je gegevens gaan mee met het account.

Een schorsing verandert niets aan je rechten. Omdat je tijdens een schorsing niet kunt inloggen, kun je de knoppen in de app niet gebruiken: mail dan privacy@liefdesbrieven.bramluiken.org vanaf het e-mailadres van je account om je gegevens op te vragen of je account te laten verwijderen. Dat doen we ook als je geschorst bent.

Beveiliging

Alle verkeer tussen app en server loopt versleuteld (https). Wachtwoorden worden alleen als scrypt-hash bewaard, sessietokens alleen als sha256-hash. Het aantal inlogpogingen per adres is beperkt. We bewaren zo min mogelijk: alleen wat de app nodig heeft, en locaties afgerond.

Mocht er ondanks alles een datalek zijn met risico voor jou, dan melden we dat bij de Autoriteit Persoonsgegevens en, waar nodig, aan jou.

Leeftijd

Liefdesbrieven is voor mensen van 18 jaar en ouder. We vragen je geboortedatum en weigeren accounts van jongere mensen; we hebben geen andere manier om leeftijd te controleren dan wat je zelf opgeeft.

Wijzigingen

Deze verklaring kan veranderen als de app verandert. Bovenaan staat de versiedatum (20 augustus 2026). Bij een wezenlijke wijziging vragen we je opnieuw om akkoord voordat je verder kunt.