Privacyverklaring

1. Wie zijn wij

Verwerkingsverantwoordelijke (art. 4(7) AVG):

Maatschappelijke benaming

GS Software BV

Handelsnaam

Fotofee

Maatschappelijke zetel

Da Vincilaan 1, 1930 Zaventem, België

Ondernemingsnummer (KBO)

0801.407.862

Btw-nummer

BE 0801.407.862

Rechtspersonenregister

RPR Brussel

E-mail

[email protected]

Privacycontact

[email protected]

Toezichthoudende autoriteit: Belgische Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel — gegevensbeschermingsautoriteit.be.

U hebt het recht een klacht in te dienen bij de GBA, bij de toezichthouder van uw gewone verblijfplaats of bij een rechtbank (art. 77–79 AVG).

2. Welke gegevens en waarvoor

Fotometadata. Van elke foto bewaren we het opnametijdstip, de GPS-locatie en cameragegevens als die in het originele bestand staan, en de oorspronkelijke bestandsnaam. We gebruiken ze enkel om uw foto’s op datum en plaats te ordenen en te groeperen wanneer we uw boek maken. Uw foto’s blijven privé voor u, behalve dat personen die u uitnodigt om het boek te bewerken de originele fotobestanden, met deze metadata, kunnen openen; wie een deellink heeft, kan de cover zien en de pagina’s van het boek lezen, gemaakt uit kleinere kopieën van uw foto’s, nooit uw originele fotobestanden (zie “Uw boek delen” hieronder). De metadata wordt samen met de foto, het boek of het account verwijderd: bij verwijdering van een foto wissen we ze meteen, en de databaserijen en bestanden worden binnen 7 dagen definitief gewist, volgens de data in de rij hierboven.

Gegevens die wij van anderen krijgen: meldingen over uw deellink. Wie een boek via een deellink opent, kan het bij ons melden als illegale inhoud of als inbreuk op onze voorwaarden (digitaledienstenverordening art. 16). Zo’n melding is een bron van persoonsgegevens over u als eigenaar van het boek (AVG art. 14(2)(f)): de link, de reden, de betrokken dubbele pagina’s en, later, onze beslissing. Wij mailen u wanneer een melding uw link verbergt en wanneer wij beslissen, met onze motivering (DSA art. 17). De meldingen over uw links staan in uw data-export op fotofee.be/account, zonder de naam, het e-mailadres, de taal en de eigen woorden van de melder: wij zeggen u niet wie uw boek gemeld heeft, tenzij de wet dat vereist (AVG art. 15(4), DSA art. 17(3)(b)). U kunt de woorden van de melder opvragen via [email protected]; wij bezorgen ze u zonder wat de melder kan identificeren. Waar de wet of de bescherming van anderen vereist dat wij een melding achterhouden, staat ze niet in de export. Meldt u zelf een boek, dan gebruiken wij uw naam, e-mailadres, taal en toelichting alleen om de melding te behandelen en u te antwoorden, en geven wij uw naam en e-mailadres niet aan de eigenaar van het boek.

Uw boek delen. Wanneer u een boek deelt, kan iedereen met de deellink de cover zien en het boek online lezen, met uw voornaam; de link werkt niet meer zodra u hem intrekt of na één jaar. Apps en sites waar u de link plakt (zoals WhatsApp, Facebook of iMessage) halen de titel, ondertitel en cover bij ons op om een voorbeeld te tonen, en bewaren een eigen kopie onder hun eigen privacyvoorwaarden; als u de link intrekt, verdwijnt die kopie daar niet. De story-afbeelding (voor Instagram, Facebook of een andere app die u kiest) maken wij op onze server uit uw cover, met uw deellink erop, en geven wij aan uw toestel; wat u daarmee publiceert, kiest u zelf, en het platform waarop u publiceert, verwerkt ze als eigen verwerkingsverantwoordelijke. Wie uw bericht ziet, kan de link openen tot u hem intrekt of hij verloopt. Wij doen dit op uw verzoek (AVG art. 6(1)(b) voor uw gegevens; art. 6(1)(f) voor de personen in het boek, zie §3).

Wij gebruiken uw foto’s nooit om AI-modellen te trainen. Wij gebruiken uw foto’s nooit voor marketing, testimonials of voorbeeldboeken.

3. Bijzondere categorieën — biometrische gezichtsclustering

Schakelt u gezichtsclustering in, dan leidt onze pijplijn gezichtsembeddings (numerieke vectoren die gezichtskenmerken weergeven) af uit de foto’s in het album waaraan u werkt, clustert die in het geheugen en schrijft enkel een ondoorzichtige integer “cluster-id” naar elke foto. De embeddings zelf worden niet bewaard. Er wordt geen gezichtendatabank over gebruikers of albums heen opgebouwd.

Rechtsgrond: art. 9(2)(a) AVG — uitdrukkelijke toestemming (GBA-aanbeveling 01/2021 §§3–5). De toestemming wordt gevraagd op het moment dat u voor het eerst een boek genereert, met de foto’s in de hand — niet verstopt bij de registratie.

U kunt uw toestemming op elk moment intrekken via uw accountinstellingen. Bij intrekking: (1) stoppen wij onmiddellijk met gezichtsclustering in nieuwe pijplijnrondes; (2) wissen wij binnen 72 uur de cluster-id’s op uw bestaande foto’s en uw lijst van personen die in het boek moeten.

Foto’s van kinderen kunnen in familiealbums voorkomen. Wij maken geen onderscheid tussen volwassen en kindergezichten; de cluster-id’s zijn ondoorzichtig en er wordt geen demografische, leeftijds-, geslachts- of emotie-afleiding gedaan.

Voor uw eigen kinderen treedt u op als houder van het ouderlijk gezag en kunt u in hun naam toestemming geven. Voor afgebeelde kinderen die niet de uwe zijn (een nichtje, het kind van een vriend, klasgenoten) bevestigt u dat u redelijkerwijs mag aannemen dat de houder van het ouderlijk gezag geen bezwaar heeft tegen opname in uw persoonlijke fotoboek, en verbindt u zich ertoe elke foto op verzoek van die houder te verwijderen.

4. AI in de pijplijn

Wij gebruiken AI voor selectie, rangschikking, bijsnijden en lay-out van uw eigen foto’s. AI stelt ook de korte teksten in uw boek voor, zoals hoofdstuktitels, inleidingen en bijschriften, op basis van wat uw foto’s tonen, van hun datum en plaats, en van de titel en beschrijving die u bij het opzetten van het boek intypt. Wij gebruiken geen AI om nieuwe beelden te maken of om te veranderen wat uw foto’s tonen. U ziet elke tekst in uw boek voordat u bestelt, en u kunt titels in de editor aanpassen.

Deze AI draait in de EU: Google Gemini op Vertex AI in een EU-regio en, als reserve, Mistral AI op zijn EU-servers. Deze aanbieders verwerken uw foto’s alleen om ons verzoek te beantwoorden en mogen ze niet gebruiken om hun modellen te trainen; ook wij gebruiken uw foto’s nooit om een model te trainen. Voor de inhoudsmoderatie gebruiken wij dezelfde middelen: een veiligheidscontrole op onze eigen servers en de EU-AI-dienst hierboven. De volledige lijst van subverwerkers staat in §5.

Stemming en gezichtsuitdrukkingen. Onze tools geven elke foto een stemmingslabel (bijvoorbeeld “vrolijk” of “sereen”) op basis van het hele beeld, om het ritme van het boek te bepalen; de EU-AI-dienst hierboven kan dat label bepalen op basis van wat hij op de foto ziet. Onze tools merken ook gesloten ogen of een open mond op, zodat geen knipperend gezicht voor de cover wordt gekozen. Niets hiervan benoemt of labelt de emoties, de leeftijd, het geslacht of de afkomst van een persoon, en er wordt niets per persoon bewaard. Het is geen “emotieherkenningssysteem” in de zin van art. 3(39) AI-verordening (zie overweging 18 over duidelijk zichtbare uitdrukkingen).

Volgens de AI-verordening (Verordening (EU) 2024/1689) zijn onze fototools geen AI-systeem met een hoog risico: ze kiezen, snijden bij en schikken uw eigen foto’s en hebben geen rechtsgevolgen voor u.

Jaarboek. Een jaarboek wordt gemaakt van maximaal 2.000 foto’s. In de Fotofee-app kiest u één kalenderjaar en de app toont de foto’s van dat jaar; de app laat screenshots op uw telefoon weg vóór er iets wordt geüpload, zodat ze nooit onze opslag of de AI-dienst bereiken. Op de website kiest u de foto’s zelf. De foto’s worden gecontroleerd zoals voor elk ander boek: onze eigen tools op onze servers zetten eerst zwakkere foto’s en dubbels opzij, en de foto’s die overblijven, worden beoordeeld door de EU-AI-dienst hierboven (Gemini op Vertex AI in de EU, of Mistral AI in de EU als reserve).

5. Subverwerkers

Wij delen uw gegevens met de dienstverleners hieronder. Wie uw gegevens voor ons verwerkt, doet dat alleen op onze instructies en onder een verwerkersovereenkomst (art. 28 AVG); die overeenkomst sluiten wij voordat er gegevens van u naartoe gaan. Mollie hoort daar niet bij: voor uw betaalgegevens is Mollie een afzonderlijke verwerkingsverantwoordelijke, met een eigen privacyverklaring. Doorgiften buiten de EER komen aan bod in §6.

Andere ontvangers (geen verwerkers van ons).

• Apps en sites waar u uw link deelt (linkvoorbeelden): titel, ondertitel en cover; zelfstandige verwerkingsverantwoordelijken, geen verwerkers van ons.

Wij verifiëren de certificeringen onder het Data Privacy Framework elk kwartaal. De gedetailleerde lijst van subverwerkers en de Transfer Impact Assessments (TIA’s) zijn op verzoek beschikbaar voor de GBA.

6. Internationale doorgiftes

De Europese Economische Ruimte is onze standaard. Voor doorgiftes buiten de EER baseren wij ons op een adequaatheidsbesluit, het EU-US Data Privacy Framework (DPF), of modelcontractbepalingen met de aanvullende maatregelen die in de betrokken TIA zijn geïdentificeerd. De adrestekst voor de adrescontrole bij het afrekenen gaat naar Google Maps Platform (VS / wereldwijd), en onze dienstmails worden verstuurd door Resend (VS), beide onder het DPF met modelcontractbepalingen als terugvaloptie. Meldingen in de app lopen via Expo (650 Industries, Verenigde Staten) onder de modelcontractbepalingen in zijn voorwaarden, en van Expo naar Apple of Google (Verenigde Staten) om uw telefoon te bereiken.

7. Uw rechten

U hebt het recht om:

• Inzage te krijgen in de gegevens die wij over u bewaren (art. 15).
• Onjuiste gegevens te laten verbeteren (art. 16).
• Uw gegevens te laten wissen (art. 17), onder voorbehoud van wettelijke bewaarplichten naar Belgisch recht.
• De verwerking te laten beperken (art. 18).
• Overdraagbaarheid in een machineleesbaar formaat (art. 20).
• Bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang (art. 21), ook als een foto van u in de upload van een andere klant voorkomt.
• Uw toestemming in te trekken op elk moment, met gevolg voor de toekomst (art. 7(3)).
• Niet onderworpen te worden aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en dat rechtsgevolgen of vergelijkbaar ingrijpende gevolgen voor u heeft (art. 22). Onze geautomatiseerde lay-outkeuzes (welke foto op de cover komt, wat wordt bijgesneden) hebben zulke gevolgen niet: het zijn voorstellen die u nakijkt en goedkeurt.

U oefent uw rechten uit via de ingebouwde tools in uw accountinstellingen (data-export, accountverwijdering, toestemmingsschakelaars) of via een e-mail naar [email protected]. Wij antwoorden binnen één maand. Is een verzoek complex of zijn er veel verzoeken, dan kunnen wij twee maanden langer nemen; dat laten wij u binnen de eerste maand weten (art. 12(3)).

8. Bewaartermijnen — samenvatting

• Accountgegevens: tot u het account verwijdert.
• Foto’s: bewaard tot u ze, het boek of uw account verwijdert. Een boek dat niet besteld is, wordt met zijn foto’s 30 dagen na het aanmaken verwijderd (wij mailen u 14 en 3 dagen vooraf). Zodra een bestelling bij de drukker is, worden de niet gedrukte foto’s gewist; de gedrukte foto’s, het printbestand en de lay-out van het boek blijven bewaard tot 2 jaar na levering (verzending + 7 dagen). Daarna blijven alleen een coverafbeelding van 512 px en de titel over. Back-ups en versiegeschiedenis: binnen 30 dagen na elke verwijdering gewist.
• Geüploade foto’s in geen enkel boek: 30 dagen na upload verwijderd, 7 dagen later definitief gewist.
• Gezichtsembeddings: enkel in geheugen; nooit bewaard.
• Gezichts-cluster-id’s: binnen 72 uur na intrekking van de toestemming; bij accountverwijdering.
• Het gegenereerde boek: bewaard tot u het verwijdert of het vervalt; binnen 30 dagen na verwijdering gewist.
• Bestellingen / facturen: 7 jaar vanaf einde boekjaar (art. 60 §4 btw-Wetboek).
• Bewijs van de bestelling (hash van de goedgekeurde PDF, versie van de voorwaarden, de getoonde versie van die melding): 5 jaar vanaf levering.
• Technische logs: 7 dagen. Auth- en juridische auditgebeurtenissen: 7 dagen volledig (Fly.io), een ingekorte kopie 24 maanden in een beveiligd archief dat niet gewijzigd kan worden (Cloudflare R2, EU); daarna verwijderd. Logs van de boekgeneratie: 30 dagen, meteen gewist als u uw account verwijdert. Foutmeldingen, applicatielogs en traces: 30 dagen. Sitestatistieken (met toestemming): afzonderlijke metingen 7 dagen bij Cloudflare, 30 dagen bij Sentry.
• Meldingen in de app: de pushtoken zolang u op dat toestel in de app aangemeld bent; nadat u zich afmeldt, wordt hij niet meer gebruikt en 30 dagen later verwijderd. De gegevens van elke verstuurde melding: 30 dagen. Alles wordt meteen verwijderd met uw account.
• Cookie-toestemmingsrecords: 24 maanden.
• Marketing-toestemmingsrecords: tot intrekking, + 24 maanden nadien voor de aantoonbaarheid onder art. 7(1).

Bij accountverwijdering wordt uw accountrecord geanonimiseerd — e-mail vervangen door een neutrale vervangwaarde, naam gewist, OAuth-identiteit gewist — zodat de boekhouding intact blijft zonder u verder te identificeren.

Een ingekort beveiligings- en juridisch verslag van de gebeurtenissen op uw account (zonder naam of e-mailadres) blijft tot 24 maanden bewaard in een beveiligd archief dat niet gewijzigd kan worden, om de dienst te beschermen en ons te verdedigen bij juridische geschillen; daarna wordt het verwijderd.

9. Kinderen

Accounthouders zijn 18 jaar of ouder. U moet 18 jaar of ouder zijn om een account aan te maken en te bestellen (algemene voorwaarden §3); vernemen wij dat een account van iemand jonger dan 18 jaar is, dan sluiten wij het. Kinderen mogen uiteraard op de foto’s staan die u uploadt; in §3 leest u hoe wij met de gezichten op die foto’s omgaan.

Wij identificeren, classificeren of leiden geen attributen af van afgebeelde minderjarigen — geen leeftijdsafleiding, geen geslachtsafleiding, geen emotie-afleiding. De pijplijn behandelt alle gedetecteerde gezichten op dezelfde manier.

10. Cookies

Wij gebruiken een klein aantal cookies. Zie ons Cookiebeleid voor de volledige lijst. Strikt noodzakelijke cookies (sessie-id, CSRF-token, taalvoorkeur, toestemmingsrecord) zijn vrijgesteld van toestemming op grond van art. 10/2 §2 van de Wet van 30 juli 2018. Al het andere wacht op uw keuze in de cookiebanner; u kunt die op elk moment wijzigen via Cookie-instellingen onderaan elke pagina.

11. Beveiliging

• Foto’s worden opgeslagen in EU-regio’s met AES-256 in rust en TLS 1.2+ tijdens de overdracht.
• Authenticatie gebeurt via ondoorzichtige sessie-cookies (HttpOnly + Secure + SameSite=Lax) — uw browser bezit nooit een toegangstoken.
• Auth-gebeurtenissen worden in opslag waarin elke wijziging zichtbaar is gelogd (met HMAC gepseudonimiseerd) met alarmering bij afwijkende patronen.
• Interne toegang tot biometrische clustergegevens is beperkt en wordt geregistreerd conform de Wet van 30 juli 2018.

Wij melden elke inbreuk in verband met persoonsgegevens aan u en aan de GBA zoals vereist door art. 33–34 AVG (aan de GBA binnen 72 uur; aan u zonder onnodige vertraging wanneer de inbreuk een hoog risico voor uw rechten inhoudt).

12. Wijzigingen

Wij actualiseren deze verklaring zodra onze verwerking wijzigt. Wezenlijke wijzigingen worden minstens 30 dagen vóór hun inwerkingtreding per e-mail aangekondigd. De versiedatum hierboven is de huidige versie.

13. Klachten

U hebt het recht een klacht in te dienen bij:

• De Belgische Gegevensbeschermingsautoriteit — gegevensbeschermingsautoriteit.be — op grond van art. 77 AVG.
• De toezichthoudende autoriteit van uw gewone verblijfplaats (bv. de Nederlandse Autoriteit Persoonsgegevens voor Nederlandse inwoners) op grond van art. 77 AVG.
• De Belgische rechtbanken op grond van art. 78–79 AVG.

U kunt uw recht van bezwaar onder art. 21 ook uitoefenen via een e-mail naar [email protected].