Privacybeleid

Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de gegevens is SAS GELMIX (zie de Juridische vermeldingen). U kunt schrijven naar bonjour@baza.fr.

Verwerkte gegevens

De dienst verwerkt uitsluitend de gegevens die nodig zijn voor de werking ervan:

• mobiel telefoonnummer (identificatie van het account, geverifieerd per sms) ;
• e-mailadres (verplicht bij registratie — inloggen en accountherstel) ;
• wachtwoord (uitsluitend opgeslagen in gehashte vorm — scrypt-afdruk —, nooit in leesbare vorm en nooit in een omkeerbare vorm) ;
• geboortedatum (controle van de meerderjarigheid — alleen de berekende leeftijd wordt weergegeven, en deze weergave kan worden uitgeschakeld) ;
• schuilnaam, profieltype (vrouw, man, koppel), introductietekst, geselecteerde ontmoetingsvoorkeuren ;
• profielfoto, via berichten verzonden foto's en foto's uit uw privé-albums ;
• ongeveer positie (alleen met uw uitdrukkelijke toestemming) ;
• privéberichten en berichten uit groepen ;
• favorieten, verborgen profielen en blokkeringen ;
• verzonden en ontvangen meldingen, en bijlagen die u ervoor kiest daaraan toe te voegen ;
• technische risicosignalen die worden geproduceerd door de preventie van oplichting en spam (type, niveau, datum, redenencode) — nooit de inhoud van een bericht ;
• onomkeerbare afdrukken: afdruk van de tekst van een verzonden bericht (herkenning van massaverzendingen) en lokale afdruk van de profielfoto (detectie van dezelfde foto die op meerdere accounts wordt hergebruikt). Deze afdrukken maken het niet mogelijk het bericht of de afbeelding te reconstrueren, en zijn geen biometrische gegevens ;
• verificatiestatus van uw profiel (geverifieerd of niet, methode en datum) ;
• verificatiefoto, uitsluitend als u om verificatie vraagt EN als de automatische analyse twijfel laat bestaan: zij wordt dan tijdelijk bewaard, in een privéruimte, om door een lid van het team te worden beoordeeld (zie « Bewaartermijnen ») ;
• abonnement op pushmeldingen, uitsluitend als u deze activeert (abonneeradres verstrekt door uw browser, bijbehorende openbare coderingssleutels, gehashte vingerafdruk van de browser en type platform) ;
• technische verbindingsgegevens (serverlogs, sessie-id's).

Minimalisatie

Er worden geen echte voor- of achternaam, geen postadres en geen identiteitsbewijs gevraagd: alleen de gegevens die nodig zijn voor de beveiliging van het account en de controle van de meerderjarigheid worden verzameld.

Doeleinden en rechtsgronden

De verwerkingen berusten op de volgende rechtsgronden:

• levering van de dienst (profielen, berichten, favorieten) — uitvoering van de overeenkomst ;
• weergave van profielen in de buurt — toestemming (geolocatie) ;
• veiligheid, preventie van misbruik, oplichting en massaverzendingen, moderatie van de profielfoto, behandeling van meldingen — gerechtvaardigd belang en wettelijke verplichtingen ;
• verificatie van het profiel via foto — toestemming (u vraagt dit alleen zelf aan; de dienst werkt ook zonder) ;
• pushmeldingen — toestemming (toestemming gegeven aan uw browser, op elk moment in te trekken) ;
• transactionele e-mails (accountherstel, veiligheidsmeldingen) — uitvoering van de overeenkomst.

Geolocatie

Uw positie wordt alleen geregistreerd met uw uitdrukkelijke toestemming. Zij wordt nooit weergegeven: geen exacte coördinaten of adres wordt getoond, noch aan u noch aan de andere leden.

De andere leden zien alleen een afgeronde afstand (veelvoud van 100 m), berekend aan serverzijde. De modus « discret » verbergt uw positie volledig (geen afstand weergegeven).

Intrekking van de toestemming wist uw positie onmiddellijk: na intrekking wordt geen positie bewaard.

Privéberichten en privémedia

De inhoud van privéberichten wordt nooit door een mens gelezen, nooit doorgegeven aan een externe analysedienst, en nergens anders bewaard dan in het gesprek: zij valt onder de vertrouwelijkheid van correspondentie en is alleen toegankelijk voor de deelnemers.

Er wordt een automatische controle uitgevoerd op onze eigen servers op het moment dat een tekstbericht wordt verzonden, uitsluitend ter preventie van oplichting en massaverzendingen. Er wordt geen fragment van een bericht opgeslagen: alleen een onomkeerbare afdruk van de tekst en technische gegevens (aantal ontvangers, verzendfrequentie, ouderdom van het account) worden gebruikt. Wat wordt bewaard is een technisch signaal — type, niveau, datum, redenencode — nooit een zin.

De via berichten verzonden foto's worden nooit doorgestuurd naar een moderatie- of analysedienst. Zij worden gecomprimeerd en geweigerd als zij metadata bevatten (EXIF/GPS) — uitsluitend technische bescherming.

Uw privé-albums en de foto's die u daarin plaatst worden nooit automatisch geanalyseerd en nooit doorgestuurd naar een externe analysedienst. Zij worden uitsluitend weergegeven aan de personen die u hebt geautoriseerd, via een geauthenticeerd adres, en zijn noch openbaar noch indexeerbaar.

Groepsberichten vallen onder dezelfde preventie van oplichting en massaverzendingen als privéberichten, binnen dezelfde grenzen: geen bewaard fragment, geen inhoud gelezen door een mens, geen inhoud doorgestuurd naar buiten.

Preventie van oplichting en spam

Dit systeem heeft slechts één doel: voorkomen dat een lid wordt opgelicht, overspoeld wordt met identieke berichten of commercieel wordt benaderd. Het is NOOIT gebaseerd op het land, de nationaliteit, het telefoonvoorvoegsel, het opgegeven geslacht, de oriëntatie, de taal van een lid, noch op het ontbreken van een geverifieerd nummer: alleen gedragingen, en de combinatie van meerdere daarvan, worden in aanmerking genomen.

Elk geregistreerd signaal bevat zijn type, niveau, datum en een technische redenencode. Een maatregel is dus altijd uitlegbaar, verifieerbaar en betwistbaar; er wordt geen ondoorzichtige beslissing genomen.

De automatische maatregelen zijn gradueel, tijdelijk en omkeerbaar: technische registratie, waarschuwing, beperking van het aantal nieuwe gesprekken, weigering van een specifieke verzending. Een schorsing of verwijdering van een account is nooit automatisch: zij wordt door een mens beslist. U kunt heronderzoek vragen van een maatregel die u betreft via de pagina Contact.

Geen enkel bericht, geen enkel fragment van een bericht en geen enkele foto uit berichten wordt in het kader van dit systeem doorgestuurd naar een dienst voor kunstmatige intelligentie of naar een derde.

Profielfoto: geautomatiseerde moderatie gevolgd door menselijke beoordeling

De profielfoto is OPENBAAR: zij is de enige foto die aan geautomatiseerde moderatie wordt onderworpen, vóór elke publicatie. De afbeelding wordt doorgestuurd naar OpenAI voor analyse — eerst naar een classificatiedienst, daarna, indien nodig, naar een beeldanalysemodel. Als de analyse niet beschikbaar is, wordt de foto geweigerd: er wordt standaard nooit een foto gepubliceerd.

Wanneer de weigering betrekking heeft op de inhoud, wordt de foto nooit gepubliceerd maar kan zij tijdelijk worden bewaard in een privéruimte, zodat een lid van het moderatieteam haar kan beoordelen. Als zij wordt aanvaard, wordt zij uw profielfoto; als zij wordt geweigerd, wordt het bestand verwijderd. Zonder menselijke beslissing wordt zij automatisch vernietigd uiterlijk 3 dagen na het plaatsen.

Een foto die wordt geweigerd omdat er twijfel bestaat over de minderjarigheid van de afgebeelde persoon komt nooit in deze wachtrij terecht: zij wordt onmiddellijk vernietigd.

Profielverificatie (optioneel)

Verificatie is een VRIJWILLIGE handeling: alleen u kunt hierom vragen, en de dienst werkt volledig zonder. Zij bestaat erin een foto van u op het exacte moment zelf te nemen, met de camera van uw telefoon, terwijl u een code reproduceert die gedurende een beperkte tijd op het scherm wordt weergegeven.

Deze foto wordt doorgestuurd naar OpenAI voor één enkele vraag: gaat het om een echt, scherp, correct belicht en correct gekadreerd gezicht? Zij wordt NOOIT vergeleken met uw profielfoto, leidt tot GEEN enkele gezichtsherkenning van identiteit, geeft GEEN enkele identiteitskaart, GEEN video en GEEN locatiegegevens (de metadata van de afbeelding worden geweigerd). De verificatie bevestigt een niveau van vertrouwen; zij garandeert niet de burgerlijke identiteit van een lid.

Als de analyse de foto accepteert, is uw profiel geverifieerd en wordt de foto NIET bewaard. Als zij deze weigert, wordt de reden aan u meegedeeld en wordt de foto NIET bewaard. Als zij twijfel laat bestaan, wordt de foto bewaard in een privéruimte om door een gemachtigd persoon te worden beoordeeld, en vervolgens automatisch vernietigd bij het verstrijken van de bewaartermijn (3 dagen standaard, maximaal 30 dagen). Alleen het resultaat (geverifieerd of niet) is zichtbaar voor de andere leden.

Pushmeldingen

Pushmeldingen zijn optioneel en werken alleen met uw toestemming, gegeven aan uw browser. Wanneer u ze activeert, registreert de dienst het abonneeadres dat door uw browser wordt verstrekt, de bijbehorende openbare coderingssleutels, een gehashte vingerafdruk van de browser en het type platform — nooit uw nummer, uw e-mail of uw positie.

De inhoud van een melding is MINIMAAL: een type gebeurtenis, de schuilnaam van de afzender, de identificatie van het gesprek en, indien van toepassing, uw totaal aantal ongelezen berichten. De tekst van uw berichten staat daar NOOIT in, evenmin als enige foto.

Deze inhoud wordt versleuteld volgens de Web Push-standaard: de meldingsdienst van uw browser (geleverd door de uitgever van uw browser of uw systeem) bezorgt het bericht zonder het te kunnen lezen. U kunt meldingen op elk moment uitschakelen; het abonnement wordt dan verwijderd.

Ontvangers en verwerkers

Uw gegevens worden niet verkocht en niet gebruikt voor reclamedoeleinden. Zij worden alleen doorgegeven aan de technisch strikt noodzakelijke verwerkers:

• Hetzner Online GmbH (Duitsland) — hosting van de servers, binnen de Europese Unie ;
• Mailjet — verzending van transactionele e-mails ;
• OpenAI — beeldanalyse: geautomatiseerde moderatie van uitsluitend de profielfoto, en, als u om verificatie van uw profiel vraagt, analyse van de verificatiefoto (nooit uw berichten, nooit uw foto's uit berichten, nooit uw privé-albums, nooit uw positie) ;
• Capitol Mobile — verzending van verificatiecodes per sms ;
• de meldingsdienst van de uitgever van uw browser of uw systeem (Apple, Google of Mozilla afhankelijk van het apparaat) — verzending van pushmeldingen, als u deze hebt geactiveerd: hij ontvangt het abonneeadres en een versleutelde inhoud die hij niet kan lezen.

Doorgiften buiten de Europese Unie

De servers die de dienst en uw gegevens hosten bevinden zich in de Europese Unie (Duitsland).

Twee verwerkingen betrekken een dienstverlener die buiten de Europese Unie is gevestigd: de moderatie van de openbare profielfoto en, indien u daarom vraagt, de analyse van de verificatiefoto, toevertrouwd aan OpenAI, een in de Verenigde Staten gevestigde onderneming. Deze doorgiften zijn strikt beperkt tot de betreffende afbeelding en tot dit enige doel: noch uw berichten, noch uw foto's uit berichten, noch uw privé-albums, noch uw positie worden doorgegeven.

De verzending van pushmeldingen, als u deze activeert, verloopt via de meldingsdienst van uw browser of uw systeem, die buiten de Europese Unie gevestigd kan zijn; de verzonden inhoud is versleuteld en kan door deze dienst niet worden gelezen.

Voor elke vraag over de waarborgen die deze doorgiften omkaderen, schrijft u naar bonjour@baza.fr.

Bewaartermijnen

• accountgegevens: bewaard zolang het account actief is ;
• verwijdering van het account: onmiddellijke verwijdering van de gegevens (zie de pagina Account verwijderen) ;
• sms-verificatiecodes: vluchtig, uitsluitend opgeslagen in gehashte vorm, voor eenmalig gebruik ;
• risicosignalen: automatisch verwijderd bij het verstrijken van de termijn, uiterlijk 90 dagen na registratie (7, 14, 30 of 90 dagen afhankelijk van het type signaal) ;
• tekstafdrukken die dienen om massaverzendingen te herkennen: 31 dagen, daarna verwijderd ;
• profielfoto geweigerd door de automatische moderatie en in afwachting van een menselijke beoordeling geplaatst: vernietigd (bestand en registratie) uiterlijk 3 dagen na het plaatsen als geen beslissing wordt genomen, en onmiddellijk in geval van beslissing ;
• verificatiefoto die twijfel laat bestaan: bewaard zolang de menselijke beoordeling duurt en vervolgens automatisch vernietigd bij het verstrijken van de bewaartermijn — 3 dagen standaard, maximaal 30 dagen ; geaccepteerd of geweigerd door de automatische analyse, wordt zij helemaal niet bewaard ;
• abonnement op pushmeldingen: bewaard zolang u deze geactiveerd laat, verwijderd bij afmelding, bij verwijdering van het account, of wanneer de meldingsdienst aangeeft dat het abonnement niet meer bestaat ;
• technische logs: bewaard maximaal 12 maanden (wettelijke verplichtingen), nooit langer dan de toepasselijke wettelijke termijnen ; back-ups: uiterlijk 30 dagen na hun aanmaak verwijderd.
• definitieve schorsing van een account: onomkeerbare afdrukken (hashes) van de telefoon en de e-mail worden bewaard met het enige doel herinschrijving te voorkomen (gerechtvaardigd belang — veiligheid van de dienst) ; zij worden verwijderd in geval van rehabilitatie van het account.

Uw rechten (AVG)

U beschikt over de rechten van inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid met betrekking tot uw gegevens. U kunt deze uitoefenen via de pagina Contact.

U kunt ook een klacht indienen bij de CNIL (cnil.fr).

Beveiliging

De uitwisselingen met de dienst zijn versleuteld tijdens transport. Sessies kunnen worden ingetrokken (afmelden maakt de token ongeldig). Verificatiecodes worden nooit in leesbare vorm opgeslagen.

Uw wachtwoord wordt niet versleuteld: het wordt GEHASHt (scrypt-functie, met een unieke zoutwaarde per wachtwoord). Een hash is niet omkeerbaar — niemand, ook wij niet, kan uw wachtwoord terugvinden op basis van wat is opgeslagen.

Foto's worden opgeslagen buiten elke openbare map en worden alleen verstrekt aan geautoriseerde personen (u voor uw profielfoto, de deelnemers voor een foto in berichten, de geautoriseerde leden voor een privéalbum).

Cookies en lokale opslag

De dienst gebruikt geen advertentiecookies. Alleen opslag die strikt noodzakelijk is voor de werking wordt gebruikt (sessie, weergavevoorkeuren).

Als hulpmiddelen voor publieksmeting zouden worden toegevoegd, zouden zij het voorwerp uitmaken van specifieke informatie en, indien vereist, van een voorafgaand toestemmingsvenster.

Minderjarigen

De dienst is verboden voor minderjarigen. Elke melding « Vermeende minderjarige » wordt met voorrang behandeld en leidt tot verwijdering van het account in geval van vastgestelde minderjarigheid.