Privacybeleid

Wat op je telefoon blijft

Je dagboek, gewicht, plan, maten, voortgangsfoto’s van je lichaam en instellingen staan in de eigen opslag van de app op je telefoon. Voortgangsfoto’s van je lichaam stuurt de app nergens heen, en ze zitten niet in de back-up op onze server. Ook de kleine bordfoto’s die de app bewaart voor de wekelijkse bordcheck en de foto’s die je aan de coach laat zien, blijven op je telefoon; ze verlaten die alleen als onderdeel van een AI‑verzoek (zie hieronder). In de herkenningsmodus ‘Op apparaat’ verlaat een foto je telefoon helemaal niet. (Staat iCloud-reservekopie aan in iOS, dan bevat Apples eigen reservekopie van de iPhone ook de bestanden van 17 Fit, net als bij elke andere app.)

Uit Apple Gezondheid leest 17 Fit alleen stappen, actieve calorieën en gewicht – om je energieverbruik te baseren op hoeveel je echt beweegt – en het schrijft er niets naar terug. Die toegang geef en trek je zelf in: Gezondheid-app → Profiel → Apps → 17 Fit. De Apple Watch heeft geen eigen verbinding met onze server: het horloge wisselt alleen gegevens uit met je iPhone. Een Bluetooth-keukenweegschaal maakt rechtstreeks verbinding met je telefoon.

Wat er op onze server wordt bewaard

• Een anoniem account: een willekeurige identificatiecode; een vingerafdruk (HMAC) van de identificatiecode van je apparaat, zodat je gegevens na een herinstallatie terugkomen; het platform en de systeemversie; en de datum waarop het account is aangemaakt en het laatst is gebruikt. We vragen nooit om een e‑mailadres of telefoonnummer, en alleen bij Begeleiding om een naam – een bijnaam is ook goed. Het toegangstoken bewaren we alleen als hash.
• Een back-up van de gegevens in de app, zolang synchronisatie aanstaat: je dagboek, je gewicht (ook de wegingen uit Apple Gezondheid), maten, plan en menu, water, vasten, supplementen, instellingen, je gesprek met de coach, wat de coach over je onthoudt, het dossier van de Ultimate-coach, en de stappen en actieve calorieën uit Apple Gezondheid. Foto’s gaan er niet in mee. Je kunt hem uitzetten en van de server wissen via Profiel → Instellingen → Gegevens → Privacy en gegevens.
• Een logboek van AI‑verzoeken: het tijdstip, het soort verzoek, het model, het aantal tokens, de kosten, hoe lang het duurde en – als het verzoek mislukte – de foutmelding van de aanbieder; bij een AI‑concept van een specialist ook voor welke begeleiding het is gemaakt. Daarmee worden de daglimieten van je abonnement geteld. De foto’s, de tekst van de verzoeken en de antwoorden zelf worden niet bewaard.
• Je beoordelingen van de antwoorden van de coach (duim omhoog of omlaag, plus redenen en een opmerking als je die toevoegt) – om de coach beter te maken. De vraag en het antwoord gaan alleen mee als je zelf ‘Vraag en antwoord meesturen’ aanzet; je invoer en foto’s nooit.
• Je abonnement: de transactie-ID van de App Store, het product en het abonnement, of het maandelijks of jaarlijks is, of het om een proefperiode gaat, de einddatum, of automatische verlenging aanstaat en of er is terugbetaald – zodat het abonnement waarvoor je hebt betaald werkt. Je betaalgegevens zien we nooit: de betaling loopt via Apple.
• Gebruiksgebeurtenissen: het afronden van de eerste instellingen, de eerste invoer, het openen van het scherm Abonnementen, aankopen, bereikte limieten, gedeelde kaarten, imports en stappen in Begeleiding (een sleutel gedeeld, een besluit over een voorstel) – zodat we zien wat er in de app werkt. Nooit de inhoud van je dagboek. De app stuurt ze alleen naar onze eigen server, nooit naar derden; ze worden 180 dagen bewaard. Zolang synchronisatie uitstaat, wordt er niets van vastgelegd of verstuurd.
• Uitnodigingen: kwam je binnen via een uitnodigingslink of heb je een uitnodigingscode ingevuld, dan onthouden we van wie de code was en wanneer – om jullie allebei de Pro-dagen te geven.
• Begeleiding, als je die gebruikt: de naam of bijnaam die je kiest en eventueel een profielfoto; de toegangssleutels en wat elke sleutel openzet; commentaar, voorgestelde wijzigingen en een toegangslogboek (wie wat heeft gewijzigd, en wanneer je specialist je gegevens heeft bekeken). Een specialist ziet alleen de onderdelen die jij openzet – het dossier van de AI‑coach alleen als je dat openzet – en alleen zolang de toegang loopt; op de telefoon van de specialist staan je gegevens alleen in het werkgeheugen van de app, en ze raken nooit vermengd met diens eigen gegevens. Lichaams- en maaltijdfoto’s worden nooit gedeeld. Op het niveau ‘Beslist’ gaan wijzigingen in je menu, supplementen, doelen, water en vasten in zonder jouw bevestiging: je ziet ze allemaal en kunt ze altijd terugdraaien. Tikt een specialist op het niveau ‘Adviseert’ of ‘Beslist’ op ‘AI‑concept’, dan stuurt diens app via onze server het deel van je gegevens dat voor de specialist openstaat naar de AI‑aanbieder: je profiel en doelen, voedingsbeperkingen, de afgelopen twee weken in cijfers en je vaste producten, je gewichtstrend, menu en supplementen – zonder je naam en zonder enige identificatiecode.
• Je IP‑adres gebruiken we alleen om te beperken hoeveel accounts er per uur vanaf één adres kunnen worden aangemaakt en hoeveel toegangssleutels en uitnodigingscodes er kunnen worden geprobeerd. Het staat alleen in het werkgeheugen van de server en wordt nooit in de database opgeslagen. Ook Cloudflare, het netwerk waarover de verbinding loopt, ziet het (zie hieronder).

AI

• Wat naar de AI gaat. Foto’s van maaltijden, menukaarten en voedingsetiketten, maaltijden die je inspreekt of typt, recepten (een foto, een tekst of de tekst van een gelinkte pagina) en vragen aan de coach gaan via onze server naar de aanbieder van het model – OpenAI (VS) of DeepSeek (China). Valt de ene aanbieder uit, dan neemt de andere hetzelfde verzoek over, zodat je antwoord niet verloren gaat. De Ultimate-coach antwoordt via DeepSeek: laat je hem een foto zien, dan beschrijft één DeepSeek-model de foto en antwoordt een ander op basis van die beschrijving. Alleen als DeepSeek uitvalt, antwoordt OpenAI in zijn plaats. Verlaat je het gesprek, dan vat het gewone model (OpenAI of DeepSeek, zoals hierboven) het samen en werkt het dossier van de Ultimate-coach bij.
• Het web. Kent Open Food Facts een barcode niet, of zoek je een restaurantgerecht op naam, dan gaan de barcode of de naam via onze server naar de webzoekmachine van DeepSeek, en een DeepSeek-model leest de resultaten om de voedingswaarden van het product te vinden. Wat het vindt, bewaren we op onze server als een gedeelde catalogusregel – het product en zijn voedingswaarden, zonder enige koppeling aan jou of je account – zodat de volgende die het scant het meteen krijgt. Een receptlink die je telefoon niet kon openen, of een recept dat je op naam zoekt, gaat op dezelfde manier naar de paginalezer van DeepSeek. Zoekt de Ultimate-coach bronnen op, dan krijgt de zoekmachine van DeepSeek de zoekvraag van de coach en jouw vraag. Je dagboek, je naam en je identificatiegegevens maken nooit deel uit van een zoekopdracht op het web.
• Spraak. De spraakherkenning van Apple zet wat je zegt om in tekst – op de iPhone, op de Apple Watch of in Siri; of dat op het apparaat zelf of op de servers van Apple gebeurt, bepaalt het systeem. Alleen de tekst bereikt onze server: een opname van je stem ontvangen we nooit.
• Apple Intelligence. Staat Apple Intelligence aan op je iPhone en staat de app in het Engels, Duits, Spaans, Frans, Italiaans of Portugees (met iOS 26) of in het Nederlands, Noors, Zweeds of Turks (met iOS 26.1 of nieuwer), dan wordt een maaltijd die je inspreekt of typt op de iPhone zelf begrepen, en blijft de tekst daar. Alleen als het model op het apparaat er niets van kan maken, gaat de tekst naar onze server, zoals hierboven.
• Wat de coach ziet. Een samenvatting van je invoer: je profiel en doelen, voedingsbeperkingen, wat je vandaag hebt gegeten en de afgelopen dagen in cijfers, het weekmenu, gewicht en maten, water, vasten, vitamines en supplementen, en – als Apple Gezondheid is gekoppeld – stappen en actieve calorieën. Daarnaast elke dag uit je dagboek die de coach opzoekt om je te antwoorden, wat hij over je onthoudt (‘Wat ik onthoud’), de foto’s die je hem laat zien en, bij de Ultimate-coach, diens dossier. Voor de wekelijkse bordcheck krijgt de AI de bordfoto’s van de week – maximaal één per dag – en de cijfers van de week.
• De app voegt geen naam en geen contactgegevens aan een verzoek toe; wat je zelf in de chat schrijft, gaat mee zoals je het hebt geschreven. De aanbieder verwerkt het verzoek volgens zijn eigen voorwaarden; de gegevensbescherming in die landen kan zwakker zijn dan in de EU.

Wat we niet doen

• We tonen geen advertenties en bouwen geen advertentietrackers of analysetools van derden in die volgen wat je in de app doet.
• We verkopen je gegevens niet, maken geen profiel van je en nemen geen geautomatiseerde besluiten met rechtsgevolgen.
• We delen gegevens alleen als een functie die je gebruikt niet zonder kan: met de AI‑aanbieder, voor je verzoeken en voor AI‑concepten van een specialist die jij hebt uitgenodigd; met Apple, voor betalingen en spraakherkenning; met een specialist die je uitnodigt voor Begeleiding – alleen wat jij openzet; en met Cloudflare, het netwerk waarover al het verkeer naar onze site en server loopt en dat IP‑adressen ziet.
• Een paar dingen doet je telefoon zelf, zonder onze server. Zoek je een product op barcode of naam, dan stuurt je telefoon de zoekvraag rechtstreeks naar de database van Open Food Facts, die de zoekvraag en je IP‑adres ziet, maar niet je account; alleen een barcode die ze niet kent, gaat via onze server verder naar de zoekopdracht op het web (zie ‘AI’). Een receptlink opent je telefoon zelf, zoals een browser dat doet – onze server leest de pagina alleen als je telefoon dat niet lukt – en het ‘Uitgebreid model op het apparaat’ downloadt hij van Hugging Face als je ervoor kiest het te installeren.
• Om voor de automatische foto eten in beeld te vinden en foto’s te herkennen in de modus ‘Op apparaat’, gebruikt je telefoon het model ML Kit van Google. Dat stuurt nergens beelden heen, maar wel technische statistieken over zijn eigen werking naar Google: het apparaatmodel en de systeemversie, de appversie, een installatie-ID, en zijn snelheid en fouten.

Hoe lang we het bewaren

De back-up en het account blijven bestaan zolang je de app gebruikt. Het logboek van AI‑verzoeken blijft in de geschiedenis van het account – het is nodig voor de limieten en voor onze eigen boekhouding. Gebruiksgebeurtenissen worden 180 dagen bewaard. Een beëindigde begeleiding blijft 90 dagen in de geschiedenis van de cliënt staan en wordt daarna verwijderd. Eén keer per dag wordt de database gekopieerd naar een snapshot op dezelfde server; snapshots die ouder zijn dan twee weken worden verwijderd, dus gewiste gegevens verdwijnen binnen die tijd ook daaruit.

Hoe je het wist

• Synchronisatie uitzetten (Profiel → Instellingen → Gegevens → Privacy en gegevens) – de server krijgt geen nieuwe gegevens meer, en de app stuurt geen gebruiksgebeurtenissen meer. De AI werkt zoals voorheen.
• Mijn gegevens van de server wissen – de hele back-up op de server (dagboek, gewicht, instellingen en al het andere dat is gesynchroniseerd), je beoordelingen van de antwoorden van de coach en alles van jou in Begeleiding (sleutels, koppelingen met hun gesprekken en logboeken, je naam en foto) worden in één keer verwijderd, en synchronisatie gaat uit. Koppelingen waarin jij de specialist bent, worden beëindigd; je berichten blijven in de geschiedenis van de cliënt. Het account, je abonnement en het AI‑logboek blijven bestaan, zodat de app en het abonnement blijven werken; alles op je telefoon blijft zoals het is.
• Alles wissen – hetzelfde op de server, plus alles op deze telefoon: het dagboek, gewicht, plan, instellingen, voortgangsfoto’s, bordfoto’s en de foto’s die je aan de coach hebt laten zien. Je abonnement blijft, en de app begint weer van voren af aan.
• Back-up naar een bestand – op dezelfde plek, als je je gegevens wilt meenemen.
• Het geheugen van de coach – elk feit in ‘Wat ik onthoud’ en elk punt in het dossier van de Ultimate-coach kun je direct in de app wijzigen of verwijderen.
• Het account helemaal verwijderen – op verzoek: stuur ons een bericht, dan wissen we het account met de vingerafdruk van je apparaat, de back-up, je beoordelingen van de coach, Begeleiding, de gebruiksgebeurtenissen, de uitnodigingen en de gegevens van je abonnement. Er blijven maar twee dingen achter, zonder koppeling aan een account: de regels van het AI‑logboek, als anonieme kostencijfers, en de meldingen van Apple over wijzigingen in abonnementen.
• Een abonnement zeg je op via je iPhone of iPad: Instellingen → je naam → Abonnementen. Het account verwijderen zegt het abonnement niet op.

Je rechten

We verwerken deze gegevens om onze overeenkomst met jou uit te voeren (zodat synchronisatie en de limieten van je abonnement werken) en op basis van ons gerechtvaardigd belang om de dienst draaiende en vrij van misbruik te houden. Ben je in de EU, de EER of het Verenigd Koninkrijk, dan heb je recht op inzage, rectificatie, gegevenswissing, overdraagbaarheid van gegevens en bezwaar, en kun je een klacht indienen bij de toezichthouder voor gegevensbescherming in je land (in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit). De meeste van deze rechten zijn knoppen in de app (zie hierboven); de rest regelen we op verzoek. Toegang tot Apple Gezondheid, de camera, de microfoon en spraakherkenning kun je op elk moment intrekken in de iOS-instellingen en in de Gezondheid-app.