Servi

Privacybeleid

Servi · Laatst bijgewerkt op 26 oktober 2026

Servi is een persoonlijke app, gemaakt voor één gezin. In dit beleid staat elke soort informatie die de app verwerkt en waar die informatie naartoe gaat. Het is kort omdat de app weinig doet: er zit geen reclame in, geen tracking, geen extern analysebureau, en er wordt niets verkocht of gedeeld met derden voor hun eigen doeleinden.

Wat er op je apparaat en in je iCloud staat

Je receptenbibliotheek, je weekplan, je boodschappenlijst, je kooknotities en je gezinsleden (met de foto's die je van ze toevoegt) staan op je apparaat. Ze worden nooit als back-up naar onze server gestuurd. Twee dingen kunnen er wel komen: een boodschappenlijst die je zelf deelt, en de tekst of foto van een lijst die je door Servi laat lezen, zie hieronder. Als je de app verwijdert, verdwijnt de kopie op dat apparaat; staat iCloud-synchronisatie aan, dan blijft de kopie in je eigen iCloud bestaan en komt hij terug als je de app opnieuw installeert. Wil je die ook weg, verwijder dan de gegevens van de app via Instellingen, onder je naam → iCloud → Accountopslag beheren.

Met Servi Plus, en als je bent ingelogd bij iCloud, wordt deze informatie ook gesynchroniseerd met je andere Apple-apparaten via je eigen iCloud-account, in de privédatabase van Apple's CloudKit. Dat gaat tussen jou en Apple: wij hebben er geen toegang toe, kunnen het niet lezen en krijgen er geen kopie van. Ook receptfoto's worden gesynchroniseerd; die tellen mee voor je iCloud-opslag. Hoe Apple daarmee omgaat, staat in het privacybeleid van Apple. Je kunt het op elk moment uitzetten via Instellingen, onder je naam → iCloud; de app blijft werken en je gegevens blijven op het apparaat staan.

Recepttitels, de namen van hun ingrediënten en hun categorieën, en de maaltijden die de komende twee weken gepland staan, worden ook aangeboden aan de zoekindex van je eigen apparaat, zodat je een recept vanaf je beginscherm kunt terugvinden. iOS bouwt en bewaart die index op het apparaat zelf; hij wordt niet naar ons gestuurd en gaat niet verder dan dat apparaat. Je kooknotities en de bereidingsstappen horen er bewust niet bij. Je kunt dit uitzetten in de app via Instellingen → Bibliotheek, waarmee ook wordt verwijderd wat er al in stond.

Wat er naar onze server gaat

Servi gebruikt een server die wij beheren om recepten te lezen en vragen te beantwoorden. Het volgende gaat daarnaartoe, en alleen als je iets doet waarvoor dat nodig is:

Het lezen van recepten, het beantwoorden van vragen en het maken van afbeeldingen gebeurt met de Gemini API van Google, en zoeken op internet vanuit Ontdekken of Vragen gebruikt Google Zoeken via diezelfde API. Wat daarvoor wordt verstuurd, verwerkt Google onder de voorwaarden voor betalende API-klanten en wordt niet gebruikt om hun modellen te trainen. Deze AI-functies horen bij hoe de app werkt en zijn voor mensen van 18 jaar of ouder. Er wordt alleen iets verstuurd als je er een gebruikt; wil je dat er niets naar Gemini gaat, gebruik ze dan niet of verwijder je gegevens.

Je Apple Account, en geen Servi-account

Servi heeft geen inlog, geen wachtwoord en geen account om aan te maken, en vraagt niet om je naam of e-mailadres. In plaats daarvan stuurt de app de eerste keer dat je hem opent het ondertekende bewijs van Apple dat de app op je Apple Account is geïnstalleerd (een AppTransaction) naar onze server, samen met de leveranciers-ID van je apparaat. Die dient om de handtekening van Apple met het apparaat te controleren en wordt zelf nooit bewaard (zie de controle op misbruik hieronder). In dat bewijs zit een nummer, de appTransactionId, dat voor één Apple Account hetzelfde is, op welke iPhone of iPad je hem ook gebruikt, en na een herinstallatie. Het geeft de installatie van Servi op je Apple Account aan; het vertelt ons niet wie je bent, en we kunnen er je naam, e-mailadres of Apple Account niet mee opzoeken.

Onze server bewaart dat nummer, en een account-identificatie die daarvan is afgeleid, als sleutel voor alles wat hij voor je bewaart, en antwoordt met een sessietoken dat één uur geldig is. Het token wordt ondertekend en niet bewaard; de app vraagt een nieuw token als het verloopt. Hiermee blijven je credits, je gezinslinks en een gedeelde boodschappenlijst blijven werken, ook na een herinstallatie. Hetzelfde nummer staat in Instellingen als Support-ID, zodat je het ons kunt geven als je hulp nodig hebt. Gebruik je geen functie die de server nodig heeft, dan wordt er verder niets voor je bewaard.

Om misbruik te signaleren bewaren we maximaal twee dagen een verkorte eenrichtings-hash van de identificatiecode van elk apparaat dat Servi met je Apple Account gebruikt; de code zelf wordt nooit bewaard.

Bij dat nummer bewaart onze server wat je hebt gekocht — de transactienummers van Apple, nooit betaalgegevens — en hoeveel AI-credits je hebt gebruikt, met per dag wat elke AI-functie kostte, voor de laatste 90 dagen. Zodat een aankoop die je herstelt nadat je je gegevens hebt verwijderd niet weer bij nul begint, blijft het aantal gebruikte credits per Apple-aankoop bewaard na het verwijderen, zonder account-identificatie.

De naam die je intypt om een lijst met Samen boodschappen doen te delen of eraan deel te nemen, gaat naar onze server en wordt aan de andere persoon getoond; buiten die lijst is hij niet aan je Apple Account gekoppeld.

Gebruikte je Servi vóór 21 oktober 2026, dan had je een account met een e-mailadres (en, als je inlogde met Google of Apple, de naam die die dienst meegaf). Je aankopen, credits en gezinslinks zijn naar het nieuwe nummer meegenomen. Onze server verwijdert dat e-mailadres zodra de bijgewerkte app er voor het eerst contact mee maakt. Firebase Authentication van Google, destijds onze inlogdienst, bewaart het oude account nog. Op 15 november 2026 verwijderen we die oude accounts, en vergeet onze server het e-mailadres van elk account waarvan de app dan nog niet is bijgewerkt. Wil je het jouwe eerder laten verwijderen, mail ons dan op het adres hieronder.

Foutrapporten en gebruiksgegevens

De app stuurt crashmeldingen door (Firebase Crashlytics), zodat crashes verholpen kunnen worden. Een crashmelding beschrijft de app en het apparaat op het moment van de crash; het nummer dat onze server voor je gegevens gebruikt staat er niet in. (Versies van de app van vóór november 2026 voegden het wel toe; Google verwijdert die meldingen volgens dezelfde termijn als de rest.) Eenvoudige gebruiksgebeurtenissen zoals "er is een recept toegevoegd" of "de week is gewijzigd" (Firebase Analytics) worden alleen verstuurd als je ze toestaat: de app vraagt het één keer, na het welkomstscherm, en je kunt je antwoord altijd wijzigen via Instellingen → Privacy → Gebruiksgegevens delen. Tot je ze toestaat staan ze uit. Er wordt geen advertentie-identificatie uitgelezen, er wordt geen profiel opgebouwd, en niets wordt gebruikt voor reclame of gedeeld met datahandelaren. De app volgt je niet in andere apps of op andere websites.

Om te voorkomen dat scripts misbruik maken van de betaalde AI-functies, laat de app aan onze server zien dat een verzoek echt van de echte Servi-app op een echt Apple-apparaat komt. Dit gebeurt met Firebase App Check en App Attest van Apple: Apple staat in voor de app en het apparaat, Firebase maakt daar een kort geldig token van, en de app stuurt dat token mee met zijn verzoeken. Onze server controleert het token en bewaart er niets van. Er staan geen recepten, namen of allergieën in, en het wordt niet gebruikt om je te identificeren of een profiel op te bouwen.

Onze server schrijft ook logboeken van verzoeken, die Cloudflare voor ons bewaart. Een logregel legt vast dat er een verzoek was — het opgevraagde adres, het tijdstip en de uitkomst — plus technische gegevens die Cloudflare toevoegt, zoals het land waar het verzoek vandaan kwam. Onze eigen code voegt een paar regels toe: hoeveel AI-tokens een verzoek gebruikte en, bij een paar account- en aankoopgebeurtenissen, je account-identificatie (afgeleid van het Apple-nummer hierboven). Recepten, namen of allergieën schrijven we er nooit in. We gebruiken ze om storingen en misbruik te vinden en te verhelpen, en Cloudflare bewaart ze niet langer dan zeven dagen.

Bij elk AI-verzoek stuurt onze server Cloudflare ook een gebruiksregistratie: je account-identificatie, welke AI-functie en welk model draaiden, of het betaald of gratis was, hoeveel AI-tokens het gebruikte en wat het ons kostte. Het verzoek zelf, recepten, namen of allergieën staan er nooit in. We gebruiken deze registraties om te zien wat de AI per account kost en om misbruik te signaleren. Cloudflare bewaart ze drie maanden, daarna vervallen ze.

Bij elk verzoek aan onze server sturen we Cloudflare ook een verzoekregistratie: je account-identificatie (als je bent aangemeld), welke functie of welk eindpunt is aangeroepen, de uitkomst (gelukt of de soort fout), hoe lang het duurde en de versie van de app. De inhoud van het verzoek, recepten, namen of allergieën staan er nooit in. We gebruiken deze registraties om te zien hoe de dienst wordt gebruikt en hoe snel hij is, en om storingen te vinden. Cloudflare bewaart ze drie maanden, daarna vervallen ze.

Beoordelingslinks voor het gezin

Met Servi Plus krijgt elk gezinslid een eigen, niet-openbare weblink om maaltijden te beoordelen; daar is geen account en geen app voor nodig. Op die pagina staan de voornamen van het gezin, de maaltijden die de komende dagen gepland staan, en de beoordelingen die al zijn gegeven. Iedereen die de link heeft, kan dat zien en kan beoordelingen achterlaten als dat gezinslid — ga er dus mee om zoals met een gedeelde link naar een fotoalbum. Je kunt een link altijd vervangen via de pagina van dat gezinslid onder Plan → Gezin (Link vernieuwen); de oude link werkt dan meteen niet meer.

Kinderen

De app is bedoeld voor de volwassene die de maaltijden van het gezin plant, en de AI-functies zijn voor mensen van 18 jaar en ouder. Kinderen mogen de beoordelingslinks gebruiken. Daarmee wordt alleen verzameld wat ze er zelf aantikken of typen: een beoordeling, eventueel een kort briefje, en of ze van plan zijn mee te eten. Er wordt geen account, e-mailadres of apparaat-identificatie van hen verzameld.

Als je de allergieën van een kind in de app zet, geef je die informatie namens dat kind door. Ze wordt op je apparaat bewaard, en de regel "Namen gaan niet mee" hierboven geldt voor hen precies zoals voor iedereen — een allergie kan worden meegestuurd om een vraag te beantwoorden, maar dan gekoppeld aan een code en niet aan de naam van een kind. Je kunt elk gezinslid verwijderen, of al je gegevens wissen, wanneer je maar wilt in Instellingen.

Je gegevens verwijderen

Met Instellingen → Mijn gegevens verwijderen wis je alles wat onze server voor je Apple Account bewaart: je gezinsleden, elke beoordelingslink die nog openstaat, de gepubliceerde periode met geplande maaltijden, alle beoordelingen en reacties, een boodschappenlijst die je deelde, je creditsaldo en, bij accounts die er een hadden, het bewaarde e-mailadres. Ook de koppeling tussen je Apple Account en die gegevens wordt verwijderd, en daarna de recepten en plannen op het apparaat waarop je het doet. Dat is definitief en kan niet ongedaan worden gemaakt. Servi Plus gaat niet verloren: met Aankopen herstellen, op een apparaat waarop je bent aangemeld met die Apple Account, komt het terug op een nieuw account (zonder dat al bestede credits weer worden aangevuld). Wil je voorkomen dat onze server een nieuw, leeg record voor je aanmaakt, verwijder dan daarna de app. Een paar tellers van verzoeken (het aantal verzoeken van die dag en het gebruik in een gratis maand, nooit je e-mailadres of aankopen) blijven tot 31 dagen na het verwijderen bewaard, zodat verwijderen geen manier is om een daglimiet te omzeilen. Ook de AI-gebruiksregistraties en verzoekregistraties die Cloudflare voor ons bewaart, blijven staan: ze zijn niet één voor één te verwijderen en vervallen elk drie maanden na het verzoek. Gratis toegang of testtoegang die we je gaven, blijft gekoppeld aan het nummer van je Apple Account, zodat die er weer is als je terugkomt. Als je de app verwijdert, verdwijnen de recepten en plannen op dát apparaat; staat iCloud-synchronisatie aan, dan blijft de kopie in je eigen iCloud bestaan en komt hij terug als je de app opnieuw installeert. Die kopie weghalen is een aparte stap — zie "Wat er op je apparaat en in je iCloud staat" hierboven.

Hoe lang we dingen bewaren

De inhoud van receptpagina’s die je meestuurt om te importeren, wordt gebruikt om dat recept te maken en staat daarna niet meer op de server — het afgeronde recept wordt alleen op je apparaat bewaard. Recepten die je laat verrijken, voorbeeldrecepten die worden verstuurd om een exportformaat te controleren of te leren, en de tekst van documenten (pdf’s, tekstbestanden) die wordt verstuurd om de recepten erin te vinden en te lezen, worden daarvoor gebruikt en daarna niet bewaard. Een geleerde formaatbeschrijving bevat geen receptinhoud en wordt verwijderd als hij een jaar niet is gebruikt, samen met — als je meldt dat een formaat niet klopt — een pseudonieme code die van je account is afgeleid, zodat een melding maar één keer telt. Tellers die het aantal verzoeken beperken, vervallen binnen 48 uur. Gegevens over de deelname van je gezin bewaren we tot je je gegevens verwijdert; de beoordelingen, briefjes en reacties van een gezinslid verdwijnen van onze server als je dat gezinslid verwijdert. Wat je hebt gekocht, bewaren we tot je je gegevens verwijdert; het aantal gebruikte credits per Apple-aankoop bewaren we zonder einddatum, omdat een aankoop altijd kan worden hersteld. Een meldingstoken bewaren we tot je je gegevens verwijdert, of tot Apple ons laat weten dat het apparaat geen meldingen meer aanneemt. De koppeling tussen het nummer van je Apple Account en je gegevens bewaren we zolang je Servi gebruikt, en verwijderen we als je je gegevens verwijdert. Een sessietoken is een uur geldig en wordt niet bewaard. Een gedeelde boodschappenlijst wordt na 60 dagen zonder gebruik verwijderd, verwijderde artikelen na 30 dagen. De dagtotalen van de AI-kosten bewaren we 90 dagen, de AI-gebruiksregistraties en verzoekregistraties bij Cloudflare drie maanden. Logboeken van serververzoeken bewaart Cloudflare niet langer dan zeven dagen. Google bewaart crashmeldingen 90 dagen, en gebruiksgegevens, als je die hebt toegestaan, twee maanden; de kopieën van crashmeldingen en van die gebruiksgegevens die we exporteren naar onze eigen Google BigQuery-opslag worden na 60 dagen verwijderd. Inloggen op de besloten pagina’s van deze website zet één cookie, die je maximaal 30 dagen ingelogd houdt; andere cookies zet de site niet. E-mail die je ons stuurt, bewaren we zolang we die nodig hebben om je te helpen, en niet langer dan twee jaar.

Grondslag

Op grond van de Algemene verordening gegevensbescherming (AVG, in het Engels GDPR) baseren we ons op:

Wie je gegevens voor ons verwerkt

Behalve TikTok en de receptensites hierboven, die van onze server alleen een link krijgen en niets over jou, krijgt niemand anders je gegevens, en niets ervan wordt verkocht.

Doorgifte buiten de EU

Google, Cloudflare en Apple kunnen gegevens verwerken in de Verenigde Staten en andere landen buiten de Europese Economische Ruimte. Die doorgifte is gebaseerd op het EU-VS-gegevensprivacykader, waarvoor deze bedrijven zijn gecertificeerd, en op de standaardcontractbepalingen van de Europese Commissie.

Je rechten

Je kunt ons vragen om een kopie van je gegevens, ons vragen ze te verbeteren of te verwijderen, ons vragen het gebruik ervan te beperken, bezwaar maken tegen het gebruik, en je gegevens meenemen. Veel daarvan kun je zelf: Instellingen → Gegevens exporteren geeft je een kopie van je bibliotheek en je gezin, een gezinslid bewerken verbetert diens gegevens, en Mijn gegevens verwijderen wist alles wat onze server bewaart. Voor al het andere kun je ons mailen op het adres hieronder; we antwoorden binnen een maand. Omdat er geen account is, zet je de Support-ID uit Instellingen erbij, zodat we je gegevens kunnen vinden; we kunnen je vragen het verzoek vanuit de app te bevestigen. Heeft iemand anders jouw gegevens ingevoerd — als gezinslid — dan kun je die persoon vragen ze te wijzigen of te verwijderen, of het ons vragen.

Je bent niet verplicht ons gegevens te geven. Zonder het Apple-nummer hierboven werken de functies die onze server nodig hebben niet — aankopen, credits en de AI-functies, gezinslinks en Samen boodschappen doen; de rest van de app werkt gewoon op je apparaat. Servi neemt geen besluiten over je die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor je hebben. We hoeven geen functionaris voor gegevensbescherming aan te stellen; vragen over je gegevens stuur je naar het adres hieronder.

Vind je dat we niet goed met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), of bij de toezichthouder waar je woont.

Wie er verantwoordelijk is

Verwerkingsverantwoordelijke voor je persoonsgegevens is Slipstream Development, Rembrandtlaan 12, 1213 BH Hilversum, Nederland (KvK-nummer 42157958). Je bereikt ons via het adres hieronder.

Wijzigingen

Verandert dit beleid wezenlijk, dan verandert de datum hierboven mee en publiceren we de nieuwe versie hier voordat de wijziging in de app ingaat.

Contact

Vragen over dit document, of over de app in het algemeen: support@serviapp.net.