Vertrouwen & Privacy

Je telefoon fluistert een verzonnen woord, een beetje zoals een geheim wachtwoord op het schoolplein. Alleen telefoons van mensen die óók meedoen herkennen dat woord. Je echte naam fluistert hij nooit. En dat verzonnen woord verandert steeds, zodat niemand je ermee kan volgen.

Ontdekken werkt via Bluetooth, niet via een kaart. Jouw telefoon zendt een anoniem, steeds wisselend kenmerk uit — geen naam, geen account, geen locatie. Beide mensen moeten Beacon-modus zélf aanzetten; heeft één van de twee hem uit, dan gebeurt er niets. De app zegt alleen “hier vlakbij” of “in de buurt”. Nooit een aantal meters, en nooit een pijl die ergens heen wijst.

• Het uitgezonden kenmerk is anoniem en ververst zichzelf om de paar minuten, over een radioadres dat het besturingssysteem zelf al willekeurig maakt. Twee sessies zijn daardoor niet aan elkaar te knopen.
• De scanner ontvangt onvermijdelijk ook koptelefoons, auto’s en laptops. Alles zonder ons kenmerk wordt weggegooid in de ontvangstfunctie zelf — vóórdat er ook maar iets wordt weggeschreven. Dat is in code afgedwongen, niet in een afspraak.
• Signaalsterkte wordt uitsluitend op jouw toestel omgezet naar een label. Die meting verlaat je telefoon niet, wordt niet bewaard en bereikt de ander nooit.
• Blokkades worden op de server afgedwongen, vóórdat een kenmerk aan een profiel wordt gekoppeld. Wie jou blokkeert, bestaat voor jou simpelweg niet in de radar.
• Een sessie loopt af, en verlengen kan tot een harde bovengrens per sessie die de server bewaakt. De radio werkt alleen op de voorgrond — een telefoon in je zak zendt niets uit.

Dit is de verwerking met het hoogste risico in onze eigen beoordeling, en zo schrijven we het ook op. De gegevensbeschermingseffectbeoordeling (DPIA) registreert het als risico R8: iemand kan vaststellen dat een specifiek persoon, met naam en foto, hier en nu aanwezig is. Dat risico is niet weg te nemen — het ís de functie — maar het is ingeperkt met maatregelen die wij verplicht hebben gesteld in plaats van optioneel.

• AVG art. 35 — DPIA uitgevoerd, versie 2.2 (augustus 2026). BLE-nabijheid valt onder de AP-trigger “innovatieve technologie met grote privacyrisico’s”.
• AVG art. 5(1)(c) — dataminimalisatie. Meterwaarden zijn gebouwd, gemeten en weer weggegooid: de metingen konden een getal niet dragen (18 dB spreiding op één vaste meter). Twee grove labels is wat de radio wél kan waarmaken.
• AVG art. 25 — privacy by design: symmetrische opt-in, wisselende kenmerken, alleen voorgrond, server-side blokkades.
• Restrisico R10, open en zichtbaar: een passieve scanner kan zien dát iemand deze app draait. Zie het open punt hieronder.

Als je meedoet zetten we één wazig stipje op een kaart — als een vingertop op een atlas, niet een speld. Na ongeveer een uur veegt de kaart zichzelf schoon. Het stipje is dan echt weg, niet verstopt.

Bij het aanzetten van Beacon-modus leggen we één locatie vast, zodat de kaart kan laten zien waar het ongeveer druk is. Niet doorlopend, nooit op de achtergrond. Wat anderen zien is bewust onnauwkeurig gemaakt, en je stip verschuift pas als je een flink stuk hebt gelopen. Na 60 minuten wordt de coördinaat verwijderd — niet verborgen, verwijderd.

• Vastgelegd op het moment dat jij zelf de beacon start. Er is geen achtergrondproces dat je volgt.
• Wat anderen te zien krijgen is vervaagd tot een tiental meters, en de positie wordt pas herschreven na een ruime verplaatsing — zodat een stip niet zachtjes met je meebeweegt.
• Andere gebruikers krijgen een grove afstandsband, nooit ruwe coördinaten.
• Een achtergrondproces ruimt met vaste tussenpozen op wat buiten het uur valt, en maakt álle velden leeg waarin die coördinaat voorkomt — ook de precieze variant die de kaartfunctie zelf nooit uitleest. Een lopende sessie wordt nooit halverwege opgeruimd.

Op onze website stond al dat de locatie na maximaal 60 minuten wordt verwijderd. Bij controle bleek dat die 60 minuten alleen een weergavefilter waren: de kaart toonde de stip niet meer, maar de coördinaat bleef staan. We hebben toen de belofte waargemaakt in plaats van de tekst af te zwakken. Dat is de richting die we aanhouden wanneer gepubliceerde tekst en draaiende code het oneens zijn.

• AVG art. 5(1)(e) — opslagbeperking. De bewaartermijn wordt nu afgedwongen door een opruimproces, niet slechts beweerd in beleid.
• AVG art. 5(1)(c) — minimalisatie: één momentopname per activering, vervaagd vóór deling, afstandsband in plaats van coördinaten.
• DPIA-punt L1 — GESLOTEN vóór publicatie. In de DPIA staat er expliciet bij dat de eerste reparatiepoging zélf onvolledig was: één opslagveld met dezelfde coördinaat op volle precisie werd gemist, en is daarna alsnog meegenomen. Een DPIA die alleen geslaagde pogingen vermeldt is niets waard.
• DPIA-risico R11 — van “zeker” naar “laag”.

We vragen twee keer of iets mag, op twee verschillende momenten. Niet één groot vinkje waar stiekem tien dingen in zitten. En als je later “toch maar niet” zegt, mag dat — met één tik, en dan stopt het meteen.

Bij registratie staat een apart vinkje, los van de privacyverklaring en de voorwaarden, voor de gevoelige gegevens die nu eenmaal bij een datingapp horen. Het staat standaard uit. Bij de eerste keer Beacon-modus volgt een tweede, aparte toestemming voor Bluetooth-aanwezigheid en die ene locatie. Die tweede is géén voorwaarde om de app te gebruiken: je account werkt volledig zonder. Intrekken doe je in de instellingen, met één bevestigde tik.

• De twee toestemmingen worden los van elkaar vastgelegd, met tijdstip én met de versie van de tekst waarmee je akkoord ging — een ja/nee-vinkje kan niet laten zien wáár je ja tegen zei.
• De weigering wordt afgedwongen op de server, niet in de app. Zonder geldige tweede toestemming wordt het starten van een beacon geweigerd, ook als iemand de app omzeilt en rechtstreeks met onze servers praat.
• Intrekken beëindigt een lopende beacon onmiddellijk en wist meteen de bijbehorende kaartgegevens — niet pas wanneer de sessie vanzelf afloopt.
• Dit staat volledig los van de Bluetooth-toestemming van je telefoon. Dat is een toegangsrecht van je besturingssysteem, geen AVG-toestemming, en we behandelen het ook niet zo.

Wat vaststaat: toestemming die verstopt zit in “ik ga akkoord met de voorwaarden” is geen uitdrukkelijke toestemming. Dat was de situatie hier, en die is opgeruimd — vandaar twee losse vinkjes op twee momenten. Wat niet vaststaat is of die opzet juridisch volstaat; dat is ons belangrijkste open punt en het staat voluit onderaan dit onderwerp.

• AVG art. 9(2)(a) — uitdrukkelijke toestemming voor bijzondere categorieën. Zie het open punt hieronder (C1).
• AVG art. 7(2) — een toestemmingsverzoek dat samen met andere zaken wordt gedaan, moet duidelijk te onderscheiden zijn. Vandaar een eigen vinkje in een eigen kader, standaard uit.
• AVG art. 7(1) — aantoonbaarheid. Daarom leggen we de versie van de tekst vast, en niet alleen een vinkje.
• AVG art. 7(3) — intrekken moet net zo eenvoudig zijn als geven. Eén tik, met onmiddellijk effect.
• AVG art. 7(4) / overweging 43 — “vrijelijk gegeven”. Dat is exact de vraag die openstaat voor het eerste vinkje. Door de tweede toestemming los te houden, geldt die vraag alleen voor verwerking die onlosmakelijk bij een datingdienst hoort, en niet voor locatie.
• Bestaande accounts en twee oude registratieroutes staan op niet vastgelegd. Bewust niet met terugwerkende kracht ingevuld: een achteraf ingevulde toestemming is bewijs dat instort zodra iemand vraagt waar het vandaan komt.

Alles wat wij van jou hebben, is eigenlijk van jou. Je mag het bekijken. Je mag er een kopie van meenemen naar een andere plek. En je mag zeggen: gooi maar weg. Dan gooien we het echt weg.

Je kunt in de app een kopie van je gegevens downloaden in een formaat dat andere software kan lezen, en je kunt je account zelf verwijderen — zonder tussenkomst van een medewerker en zonder wachttijd bij een helpdesk. Verwijderen betekent verwijderen: je profiel, je berichten, je crush-geschiedenis. Wat overblijft is een klein, opzettelijk kaal spoor waar de wet ons dat verplicht — zie het onderdeel over meldingen hieronder.

• Export en verwijdering zijn zelfbedieningsfuncties in de app. Een recht dat alleen via een formulier bestaat, is in de praktijk een recht met drempel.
• Verwijderen loopt door alle gekoppelde gegevens heen in één handeling, zodat er geen wees-records achterblijven die niemand meer opruimt.
• Beheerdershandelingen op een account worden zonder uitzondering in een auditlog vastgelegd — wie, wat, wanneer, en de toestand vóór en ná.
• Toegang tot de beheeromgeving vereist tweestapsverificatie. Geen uitzonderingen, ook niet voor de oprichter.

De AVG geeft je een reeks rechten. De vraag is nooit of ze op papier staan, maar of je ze kunt uitoefenen zonder eerst iemand te moeten overtuigen. Daarom zitten inzage, overdraagbaarheid en verwijdering in de app zelf, en niet achter een e-mailadres.

• AVG art. 15 — inzage. Art. 20 — overdraagbaarheid, in een gestructureerd, machineleesbaar formaat.
• AVG art. 17 — vergetelheid, uitgevoerd als zelfbediening met cascade over gekoppelde gegevens.
• AVG art. 16 / 18 / 21 — rectificatie, beperking en bezwaar via de profielinstellingen respectievelijk het contactadres.
• AVG art. 17(3)(b) en (e) — de enige uitzondering: veiligheidsmeldingen blijven bewaard in gepseudonimiseerde vorm. Het recht op verwijdering zelf wordt daarmee niet geblokkeerd; het account en alle overige gegevens gaan wél weg.
• AVG art. 5(2) — verantwoordingsplicht: beheerdershandelingen zijn herleidbaar via een auditlog.

Als iemand vervelend doet, kun je dat zeggen. Er kijkt dan echt iemand naar — het verdwijnt niet in een la. En je hoort ook wat ermee is gebeurd. Wil je die persoon gewoon nooit meer zien? Dan kan dat ook, meteen.

Melden en blokkeren zitten daar waar je ze nodig hebt: direct op de kaart in de radar, niet drie schermen verderop. Elke melding komt in een wachtrij die op volgorde van urgentie wordt behandeld. Je krijgt bericht over de uitkomst. Iemand blokkeren werkt onmiddellijk en werkt beide kanten op.

• Meldingen komen in een moderatiewachtrij, gesorteerd op het aantal meldingen tegen dezelfde persoon; vanaf drie meldingen wordt er automatisch geëscaleerd.
• Een account kan omkeerbaar geschorst worden. Die schorsing geldt overal tegelijk: bij het inloggen, bij gewone verzoeken én bij de live verbinding. Er is geen ingang die de schorsing niet kent.
• Een geschorste gebruiker krijgt een scherm met uitleg in plaats van een app die stilletjes kapot lijkt — en kan daar nog steeds zijn gegevens exporteren en zijn account verwijderen.
• De melder wordt geïnformeerd via e-mail én een pushbericht. E-mail is het kanaal van vastlegging, omdat dat het enige kanaal is waarvan wij de aflevering daadwerkelijk kunnen waarnemen. Een push die we niet kunnen bevestigen, wordt niet als “geïnformeerd” geboekt.
• Wat een melder te zien krijgt over de afloop is een categorie, nooit de interne notitie van de moderator — die zou de melder kunnen verraden.

De Digital Services Act verplicht platforms niet alleen om meldingen aan te nemen, maar om er iets mee te doen en de melder over de uitkomst te informeren. Vóór augustus 2026 kwamen meldingen bij ons in een tabel terecht die door niets werd uitgelezen. Dat stond als risico R9 in onze DPIA en is nu opgelost.

• DSA art. 16 — notice-and-action: ontvangst, triage, besluit. Art. 16(5) — de melder wordt over de uitkomst geïnformeerd. Art. 16(6) — niet-willekeurige, zorgvuldige behandeling.
• DSA art. 17 — motivering richting de betrokkene bij een maatregel.
• AVG art. 6(1)(c) — wettelijke verplichting (DSA-verwerkingsplicht) en art. 6(1)(f) — gerechtvaardigd belang (platformveiligheid, verdediging tegen rechtsvorderingen).
• Bewaartermijn vastgesteld en afgedwongen: 2 jaar voor afgewezen meldingen, 5 jaar wanneer er is opgetreden, opgeruimd door een dagelijks proces. Daarna blijft er bewust alleen een turfje over — welke persoon, en dát er ooit een melding was. Alle inhoud gaat weg: de vrije tekst, de identiteit van de melder, de beschuldiging en de notitie van de moderator.
• Wat dat turfje kost, eerlijk gezegd: het is een permanent spoor dat aan een persoon hangt. We houden het omdat anders het patroon “één melding per jaar, jarenlang” nooit zou opvallen — precies het geduldige gedrag dat je wilt zien. Die afweging staat zo opgeschreven in ons verwerkingsregister, mét de prijs erbij.

Deze app is alleen voor volwassenen. Bij het aanmelden moet je zeggen dat je 18 of ouder bent, en dat schrijven we op. Als iemand liegt kunnen we dat niet altijd zien — dat vertellen we er eerlijk bij in plaats van te doen alsof.

MySecretCrush is uitsluitend voor volwassenen. Bij registratie bevestig je dat je 18 of ouder bent; die bevestiging wordt nu vastgelegd bij je account. De app hanteert nultolerantie voor materiaal of gedrag met betrekking tot minderjarigen, met een apart kindveiligheidsbeleid en een meldkanaal.

• De bevestiging wordt vastgelegd met tijdstip. Een expliciete weigering wordt door de server geweigerd — de controle zit niet alleen in de knop op je scherm.
• Accounts van vóór deze wijziging, en twee oude registratieroutes, staan op niet vastgelegd. Bewust niet met terugwerkende kracht ingevuld: een verklaring die achteraf is ingevuld, is geen verklaring.
• Een technische leeftijdscontrole (dus meer dan een eigen verklaring) staat op de roadmap en is nog niet gebouwd. Dat staat er zo in plaats van “leeftijdsverificatie” te noemen wat een vinkje is.

Dit onderdeel bevat een correctie die we niet wegpoetsen. Onze kindveiligheidspagina presenteerde “18+-bevestiging bij aanmelding” als maatregel. Het vinkje bestond wél, maar werd daarna weggegooid: geen enkel account droeg er bewijs van. Een maatregel die je niet kunt aantonen, is geen maatregel. Nu wordt hij vastgelegd.

• DSA art. 28 — bescherming van minderjarigen op onlineplatforms. Bevestiging in de app plus een controle aan de serverkant.
• AVG art. 8 — niet van toepassing bij een uitsluitend volwassen dienst, maar wél de reden dat leeftijd als eerste drempel geldt.
• AVG art. 5(2) — verantwoordingsplicht: hier zat het echte gat. De maatregel werkte in de interface en liet geen enkel spoor na.
• Restrisico: in de DPIA gewaardeerd als LAAG-MIDDEL. Zie het open punt hieronder.
• Apart beleid: zie de kindveiligheidsnormen en de veiligheidspagina voor volwassenen.

Je wachtwoord bewaren we niet als woord, maar als een soort geheimschrift waar je niet meer op terug kunt rekenen. Alles wat heen en weer gaat, zit in een gesloten envelop. En wie bij de knoppen mag, moet twee keer bewijzen dat hij het echt is.

Alles tussen je telefoon en onze servers gaat versleuteld over de lijn. Wachtwoorden worden nooit als leesbare tekst bewaard. Toegang tot beheerfuncties vereist tweestapsverificatie, en elke handeling daar wordt gelogd. Onze eigen servers en onze database staan bewust in dezelfde regio — dat is een beschikbaarheidsmaatregel, geen detail.

• Transport uitsluitend over actueel TLS. Opslag versleuteld door het databaseplatform.
• Wachtwoorden gaan door een bewust trage hashfunctie met salt; ze zijn niet terug te rekenen, ook niet door ons.
• Rechten zijn gescheiden per rol: een gewone app-gebruiker kan met zijn sleutel eenvoudigweg niet bij andermans gegevens, en de beheeromgeving zit achter een eigen, afgeschermde ingang.
• Productiegeheimen staan alleen in de omgevingsconfiguratie van de hosting — nooit in de app, nooit in de broncode-repository.
• Schema-wijzigingen aan de database lopen uitsluitend via een geautomatiseerde procedure die eerst een momentopname maakt. Handmatig sleutelen aan productie is geen toegestane werkwijze.
• Alle code wordt vóór samenvoegen beoordeeld, inclusief een controle op de bekende OWASP-categorieën.

De AVG schrijft geen specifieke techniek voor, maar wél een beveiligingsniveau dat past bij het risico — en het vermogen om dat aan te tonen. Wij documenteren daarom niet alleen de maatregelen, maar ook de risico’s die we bewust hebben geaccepteerd, met de reden erbij.

• AVG art. 32 — beveiliging van de verwerking: versleuteling in transport en in rust, toegangsscheiding, tweestapsverificatie voor beheer, auditlog.
• AVG art. 33 / 34 — meldplicht datalekken: procedure vastgelegd, melding aan de toezichthouder binnen 72 uur, betrokkenen geïnformeerd bij hoog risico.
• AVG art. 5(2) & art. 24 — verantwoordingsplicht: informatiebeveiligingsbeleid met jaarlijkse herziening en een expliciete lijst van aanvaarde restrisico’s.
• Aanvaarde restrisico’s, open opgeschreven: geen aparte web application firewall (de hosting levert basisbescherming) en nog geen jaarlijkse externe pentest — die volgt zodra de omzet dat draagt. Kwetsbaarhedenbeheer gebeurt nu via periodieke dependency-audits en handmatige review.

Als je iets typt, doet je telefoon het in een kluisje op slot vóórdat het weggaat. Wij bewaren alleen het kluisje — en wij hebben geen sleutel. Van jouw sleuteltje ligt er wel een reservekopie bij ons, maar die zit zélf ook in een kluisje dat alleen jij open krijgt. Daardoor ben je je oude berichten niet meer kwijt als je een nieuwe telefoon krijgt.

Berichten worden op je eigen toestel versleuteld en pas op het toestel van de ander weer geopend. Wat op onze servers staat is versleutelde inhoud waar wij niets mee kunnen. Sinds september 2026 bewaren wij daarnaast een versleutelde reservekopie van je sleutel. Die wordt op jouw toestel dichtgezet met een herstelcode die je zelf bewaart, en — zodra de app je wachtwoord voorhanden heeft — daarnaast ook met dat wachtwoord. Wij ontvangen alleen het dichtgezette resultaat. Daarmee overleeft je gespreksgeschiedenis een nieuw toestel of opnieuw inloggen; vóór die datum was ze in dat geval definitief weg. Eén eerlijke uitzondering blijft: als je pushberichten aan hebt staan, ziet de voorvertoning onderweg langs Apple of Google — dat hoort bij hoe pushmeldingen werken en dat vertellen we erbij.

• Elk toestel maakt een eigen sleutelpaar. Het geheime deel staat in de beveiligde opslag van het besturingssysteem en verlaat het toestel uitsluitend als versleutelde reservekopie — nooit in een vorm die wij kunnen lezen.
• Een bericht wordt versleuteld met een sleutel die per bericht wordt gemaakt; die sleutel wordt daarna zó ingepakt dat alleen jullie twee hem kunnen uitpakken.
• De koppeling tussen bericht en gesprek wordt op de server opnieuw berekend in plaats van van de app overgenomen — zo kan een gemanipuleerde app een bericht niet aan een ander gesprek hangen.
• Die reservekopie kan twee keer los dichtgezet worden voor dezelfde sleutel: onder een herstelcode die op je eigen toestel wordt gegenereerd en die wij nooit ontvangen, en onder je wachtwoord. De herstelcode-envelop wordt altijd geschreven; de wachtwoord-envelop alleen wanneer de app je wachtwoord voorhanden heeft — na een tweestapsverificatie bijvoorbeeld niet, en dan blijft de herstelcode de weg terug. Het afleiden gebeurt op het toestel met een bewust trage sleutelafleidingsfunctie, op de sterkte die OWASP aanbeveelt. Twee envelopes, omdat een vergeten wachtwoord anders het einde van je geschiedenis zou zijn.
• Wisselt de ontvanger van sleutel terwijl de afzender nog de vorige kende, dan weigert de server het bericht op te slaan in plaats van iets te bewaren dat niemand ooit nog kan openen. De app versleutelt opnieuw naar de actuele sleutel en verstuurt één keer opnieuw.
• Heeft de ontvanger nog geen sleutel gepubliceerd (bijvoorbeeld direct na installatie), dan valt het bericht terug op versleuteling aan de serverkant. Onversleuteld opslaan gebeurt in geen van beide gevallen, en als de eigen sleutel niet beschikbaar is, wordt het versturen afgebroken in plaats van uitgeweken.

Versleuteling is hier geen marketingterm maar een gegevensbeschermingsmaatregel: wat wij technisch niet kunnen lezen, kunnen wij ook niet verstrekken, verliezen of misbruiken. Dat verkleint de gevolgen van vrijwel elk denkbaar incident met berichten. De reservekopie van de sleutel verandert daar niets aan: hij komt versleuteld binnen, wordt versleuteld bewaard, en verdwijnt mee wanneer je je account verwijdert.

• AVG art. 32(1)(a) — versleuteling expliciet genoemd als passende maatregel. Hier toegepast als end-to-end-versleuteling met de bruikbare private sleutel op het toestel.
• AVG art. 25 — gegevensbescherming door ontwerp: de bruikbare sleutel ligt buiten ons bereik, dus het risico is bij het ontwerp weggenomen in plaats van met beleid afgedekt.
• AVG art. 34(3)(a) — bij een lek hoeven betrokkenen niet te worden geïnformeerd wanneer de gegevens onbegrijpelijk zijn voor onbevoegden. Dat is precies waar deze maatregel voor zorgt.
• AVG art. 17 — verwijder je je account, dan verdwijnt ook de versleutelde reservekopie van je sleutel. Dat is op de productiedatabase getest en aangetoond, niet alleen als beleid opgeschreven.
• Bewust vermeld: een reservekopie die met een wachtwoord te openen is, is nooit sterker dan dat wachtwoord. Daarom bestaat de herstelcode: die wordt willekeurig gegenereerd en is de sterkste van de twee. Raak je je wachtwoord, je herstelcode én elk toestel met de sleutel kwijt, dan is je geschiedenis onleesbaar — ook voor ons. En berichten die al verloren waren voordat deze reservekopie bestond, blijven verloren.
• Bewust vermeld: de voorvertoning in een pushmelding passeert de push-dienst van Apple of Google. Dat is inherent aan pushmeldingen; wie dat niet wil, kan voorvertoningen uitzetten.

Stel dat er iets kapotgaat: dan hebben we van tevoren opgeschreven wat we dan doen, in welke volgorde, en hoe snel het weer moet werken. Een beetje zoals een brandoefening — je wilt niet pas gaan nadenken als het al brandt.

NIS2 is de Europese cyberbeveiligingswet voor bedrijven in kritieke sectoren. Wij vallen daar op grond van onze omvang niet verplicht onder, en we noemen ons dus niet “NIS2-compliant”. Wat we wél doen: de maatregelen die NIS2 vraagt zijn uitgewerkt en vastgelegd — beveiligingsbeleid, incidentafhandeling, herstelplan met concrete hersteltijden, en een risicobeoordeling van elke leverancier.

• Hersteldoelen zijn getallen, geen intenties: de app moet binnen 4 uur weer werken, met maximaal 24 uur dataverlies in het slechtste geval, en gebruikers worden binnen 2 uur geïnformeerd bij een bevestigde langere storing.
• Per storingsscenario ligt een draaiboek klaar: wat je ziet, hoe je het vaststelt, wat je in welke volgorde doet.
• Elke wijziging aan de database maakt automatisch een momentopname vooraf — herstellen is daardoor een terugrol-actie, geen reconstructie.
• Rekencapaciteit en gegevensopslag staan in dezelfde regio. Dat is niet alleen snelheid: een eerdere splitsing over twee werelddelen heeft de app een keer volledig platgelegd. Sindsdien is co-locatie een harde regel en zijn alle aanroepen naar de cache voorzien van een tijdslimiet, zodat één trage afhankelijkheid nooit meer de hele app kan meeslepen.

Er is een verschil tussen “de wet geldt niet voor ons” en “we doen er niets aan”. Wij zitten onder de drempel van NIS2, maar de onderliggende maatregelen zijn hoe dan ook goed beleid — en als de drempel ooit verschuift, hoeven we niet vanaf nul te beginnen.

• NIS2 / Cyberbeveiligingswet — buiten verplicht bereik op grond van omvang (minder dan 50 medewerkers, minder dan €10 mln omzet). Bewust vastgelegd als beoordeling, niet als stilzwijgen.
• NIS2 art. 21(2)(a) — risicoanalyse en informatiebeveiligingsbeleid: aanwezig, jaarlijkse herziening.
• NIS2 art. 21(2)(b) — incidentafhandeling: gedocumenteerde procedure, aansluitend op de AVG-meldplicht.
• NIS2 art. 21(2)(c) — bedrijfscontinuïteit en back-upbeheer: herstelplan met hersteltijd- en herstelpuntdoelstelling.
• NIS2 art. 21(2)(d) — ketenbeveiliging: leveranciersrisicoregister met een scoremethodiek, zie het volgende onderwerp.
• AVG art. 32(1)(b) en (c) — doorlopende beschikbaarheid en het vermogen gegevens tijdig te herstellen. Hetzelfde plan dient beide kaders.

Wij bouwen niet alles zelf. Voor opslag, e-mail en betalen huren we hulp in. Van elke helper hebben we opgeschreven wat ze mogen zien, hoe erg het is als zij omvallen, en wat we dan doen.

De app draait op diensten van derden: databasehosting, servers, e-mailbezorging, pushmeldingen, betalingen, abonnementsbeheer en GIF-zoeken. Elke leverancier is beoordeeld op vier punten — hoe gevoelig de gegevens zijn, wat er stukgaat als zij uitvallen, hoe moeilijk vervangen is, en welke certificeringen zij hebben. Er is geen advertentie- of trackingdienst in de app. Dat is geverifieerd, niet aangenomen.

• Elke leverancier krijgt een risicoscore uit vier factoren; boven een drempel is het een hoog risico en volgt er een expliciete beheersmaatregel.
• Voor de kritieke diensten ligt vast wát er precies stukgaat bij uitval, en welk draaiboek er dan geldt.
• Het ontbreken van tracking is gecontroleerd op de afhankelijkheden van de app zelf, niet afgeleid uit een beleidsstuk. Onze eigen advertenties zijn rotatiegebaseerd en worden niet gericht op geslacht, voorkeur, leeftijd of locatie.

Wanneer een ander bedrijf gegevens namens ons verwerkt, moet daar een verwerkersovereenkomst onder liggen, en bij verwerking buiten de EU een geldig doorgiftemechanisme. Wij houden daar een register van bij, per leverancier, inclusief hun eigen sub-verwerkers. Eén punt daarvan is nog niet af — zie het open punt onderaan dit onderwerp.

• AVG art. 28 — verwerkersovereenkomsten, bijgehouden in een register per leverancier, inclusief hun certificeringen en hun eigen sub-verwerkers.
• AVG art. 30 — verwerkingsregister: welke gegevens, welke grondslag, welke ontvangers, welke bewaartermijn, per verwerkingsactiviteit.
• AVG art. 44–49 — doorgifte naar derde landen op basis van standaardcontractbepalingen voor de Amerikaanse diensten die wij gebruiken.
• NIS2 art. 21(2)(d) — ketenbeveiliging: hetzelfde register dient hier als onderbouwing.

Als je iets koopt, gaat het geld via de winkel van je telefoon. Wij krijgen alleen te horen “betaald”. Je bankpasnummer komt nooit bij ons langs. En als je er spijt van hebt, mag je het binnen twee weken terugdraaien.

Abonnementen lopen via de App Store en Google Play. Je opzeggen doe je daar ook — wij kunnen dat niet voor je vasthouden. Kaartgegevens komen nooit op onze servers: die worden afgehandeld door partijen die daar specifiek voor gecertificeerd zijn. Advertentiebetalingen lopen via een gecertificeerde betaaldienst. De prijs die je ziet is inclusief btw.

• Er is geen enkel betaalveld op onze eigen pagina’s. De betaalpagina’s zijn van de betaaldienst zelf.
• Meldingen van betaalstatus worden op echtheid gecontroleerd voordat er iets mee gebeurt — een vervalst bericht kan geen abonnement activeren.
• Abonnementsstatus wordt afgeleid uit de winkel, zodat opzeggen in de winkel meteen doorwerkt in de app.

Twee kaders komen hier samen: de beveiligingsstandaard voor kaartbetalingen, en het Nederlandse en Europese consumentenrecht waar de ACM op toeziet. Het tweede is voor jou het belangrijkst: heldere prijzen, geen verborgen verlenging, en een herroepingsrecht.

• PCI-DSS — SAQ-A, de lichtste categorie, en wij komen daarvoor in aanmerking juist omdat kaartgegevens volledig zijn uitbesteed. In de app loopt betalen via de App Store en Google Play, die zelf gecertificeerd zijn.
• Richtlijn consumentenrechten 2011/83/EU, art. 9 — 14 dagen herroepingsrecht, ook zichtbaar in onze voorwaarden.
• Prijstransparantie — de weergegeven prijs is inclusief btw; bij een jaarabonnement wordt zowel het jaarbedrag als het maandequivalent getoond, zodat de vergelijking eerlijk is.
• AVG art. 6(1)(b) en 6(1)(c) — uitvoering van de overeenkomst, plus de wettelijke bewaarplicht voor de administratie (7 jaar, art. 52 AWR).

Sommige mensen laten hun telefoon voorlezen wat er op het scherm staat. Daarom heeft bij ons elke knop een naam die hardop voorgelezen kan worden. En we zorgen dat letters genoeg opvallen tegen de achtergrond.

De app is te bedienen met de voorleesfuncties van iOS en Android. Alle knoppen en velden hebben een uitgesproken naam, niet alleen een plaatje. Het kleurcontrast is doorgemeten en waar het te laag was, is het aangepast — dat betrof echte tekst op echte schermen, geen theoretische controle.

• Bedieningselementen hebben expliciete labels voor de voorleesfunctie; een icoon zonder tekst is anders letterlijk onbenoembaar.
• Contrastverhoudingen zijn berekend, niet op het oog beoordeeld — inclusief halftransparante tekst, die eerst tegen de werkelijke achtergrond is doorgerekend.
• Aanraakvlakken zijn groot genoeg om te raken zonder te mikken, en een raakvlak mag nooit buiten het element vallen waar het bij hoort.

De European Accessibility Act geldt sinds juni 2025 voor digitale consumentendiensten. De praktische invulling daarvan is de WCAG-norm. Wij hebben een auditverslag; dat is intern beschikbaar en op verzoek op te vragen.

• EAA — richtlijn (EU) 2019/882, van toepassing op digitale consumentendiensten sinds juni 2025.
• WCAG 2.1 niveau AA — contrastdrempels 4,5:1 voor normale tekst, 3:1 voor grote tekst en voor bedieningselementen.
• Auditverslag — contrastaudit over de primaire schermen, met de gebruikte rekenmethode erbij, zodat de uitkomst herhaalbaar is.

Er zit geen slimme robot in de app die iets over jou raadt. Matchen gebeurt omdat jullie het allebei zelf aanklikken — niet omdat een computer denkt dat het wel bij elkaar past.

MySecretCrush gebruikt geen kunstmatige intelligentie. Matchen is een wederzijdse handeling van twee mensen, geen aanbeveling van een systeem. Er is geen ranglijst, geen score en geen profilering. Het nabijheidslabel komt uit een vaste vergelijking die door mensen is opgeschreven.

• Vastgesteld door de afhankelijkheden van de app en de server na te lopen: geen taalmodel, geen gezichtsherkenning, geen aanbevelings- of sentimentbibliotheek.
• Er zijn geen geautomatiseerde besluiten met rechtsgevolg of vergelijkbaar effect. Wat de app doet is vergelijken en tonen, niet beslissen.

Een “niet van toepassing” met onderbouwing is meer waard dan stilzwijgen, zeker als iemand er ooit naar vraagt. Daarom staat de beoordeling opgeschreven, inclusief twee rode lijnen voor het geval de app ooit een andere kant op gaat.

• AI-verordening (EU) 2024/1689, art. 3(1) en overweging 12 — vaste, door mensen geschreven regels vallen buiten de definitie van een AI-systeem. Geen aanbieder- of gebruiksverantwoordelijke-verplichtingen, geen transparantieplicht uit art. 50, en de kennisplicht uit art. 4 bijt niet.
• AVG art. 22 — niet van toepassing: geen geautomatiseerde besluitvorming met rechtsgevolgen.
• Rode lijn 1 — art. 5(1)(g): biometrische categorisering om seksuele gerichtheid af te leiden is verboden, en dat is geen risicoklasse maar een verbod. Elke toekomstige fotoanalyse moet hieraan getoetst worden vóór de eerste regel code.
• Rode lijn 2 — art. 50: een AI-chatassistent, AI-gegenereerde profielteksten of algoritmische rangschikking van matches zouden onmiddellijk transparantieverplichtingen activeren.

Sommige regels gelden alleen in andere landen, of alleen voor hele grote bedrijven. Die gelden nu niet voor ons. Maar we hebben wel opgeschreven wanneer ze dat wél zouden gaan doen, zodat we niet verrast worden.

Niet elke wet die je op een compliancepagina ziet staan, geldt voor elk bedrijf. Wij zetten de kaders die niet op ons van toepassing zijn er toch bij, met de reden en met de gebeurtenis die dat zou veranderen. Een lijst die alleen groene vinkjes toont is minder bruikbaar dan een lijst die laat zien waar de grenzen liggen.

• Per kader is één concrete trigger vastgelegd — een gebeurtenis, geen datum — waarop de beoordeling opnieuw moet worden gedaan.
• De onderliggende analyses liggen klaar, zodat een eventuele uitbreiding een uitvoerklus is en geen onderzoek vanaf nul.

Voor elk van deze kaders geldt: nu niet van toepassing, met een vastgelegde herbeoordeling. Dat is een bewuste keuze, geen omissie.

• UK GDPR — niet van toepassing: de app wordt niet in het Verenigd Koninkrijk aangeboden. Trigger: een Britse app-storevermelding. Dan volgen ICO-registratie en mogelijk een vertegenwoordiger onder art. 27.
• CCPA / CPRA (Californië) — niet van toepassing: geen Amerikaanse vermelding, geen Californische gebruikers, en geen van de drie drempels wordt gehaald. Trigger: een Amerikaanse app-storevermelding.
• SOX — niet van toepassing: dat is Amerikaanse wetgeving voor beursgenoteerde ondernemingen. Wij zijn een Nederlandse besloten vennootschap. Trigger: een gesprek over institutionele investering — dan gaat het om de controles die investeerders vragen, niet om de wet.
• Functionaris voor gegevensbescherming (AVG art. 37) — nu niet verplicht, op grond van de schaal. Maar heropend: nabijheidsbepaling plus locatie schuiven de app richting “stelselmatige observatie op grote schaal”. De beoordeling wordt opnieuw gedaan bij de volgende herziening of bij 10.000 gebruikers, wat eerder komt.