Taal
Nederlands
Privacyverklaring
Laatst bijgewerkt: 19. August 2026. Deze tekst wordt uit dezelfde bron gegenereerd als de versie in de app en is er daarom woordelijk gelijk aan.
Waarvoor deze verklaring geldt
Dit is de privacyverklaring van de Qardbox-app, niet die van deze website. Ze beschrijft wat de app op je apparaat en in je iCloud doet. Wat deze website verwerkt, staat in de privacyverklaring voor de website.
Overzicht
Deze privacyverklaring informeert conform art. 13 AVG over aard, omvang en doel van de verwerking van persoonsgegevens bij het gebruik van Qardbox. De aanbieder heeft geen eigen server en verzamelt geen gebruiks-, tracking- of advertentiegegevens.
Wat dat concreet voor je betekent
Deze verklaring zegt wat er met je gegevens gebeurt als je Qardbox gebruikt. Ze is kort, omdat er weinig gebeurt: er is geen server van de ontwikkelaar, geen account en geen login. Wat je in de app schrijft, blijft op je apparaat, en als je iCloud-synchronisatie inschakelt, in je eigen iCloud-account.
Elke sectie staat er dubbel: bovenaan de juridisch precieze versie, daaronder in het kader hetzelfde in alledaagse taal.
Doelen en rechtsgrond
Doel van de verwerking is het aanbieden van de leerkaartfunctie, inclusief de herhaalplanning (FSRS). Rechtsgrond is art. 6, lid 1, onder b, AVG (uitvoering van een overeenkomst waarbij de betrokkene partij is); de lokale opslag is voor de door de gebruiker gewenste functie strikt noodzakelijk (§25, lid 2, TDDDG).
Wat dat concreet voor je betekent
Je invoer wordt voor precies één doel verwerkt: zodat de app doet waarvoor je hem hebt geopend. Hij bewaart je kaarten en rekent uit wanneer je welke weer zou moeten zien.
Toestemming hoef je daarvoor niet te geven, en er valt er ook geen te weigeren. De wet voorziet er niet in waar verwerking voor de gevraagde dienst sowieso nodig is. Daarom verschijnt er in Qardbox geen toestemmingsbanner.
Welke gegevens en waar ze blijven
Verwerkt worden uitsluitend de door de gebruiker gemaakte inhoud (kaarten, vakken, notities), de leerstanden en beoordelingen (FSRS) en de app-instellingen. Deze gegevens worden lokaal op het apparaat opgeslagen. Doorgifte aan de verwerkingsverantwoordelijke vindt niet plaats.
Wat dat concreet voor je betekent
Verwerkt wordt wat je zelf aanmaakt: je vakken, je kaarten met vraag, antwoord, categorieën en notitie, plus je beoordelingen, de daaruit berekende herhaaldatums en je instellingen in de app.
Dat alles staat op je apparaat. De ontwikkelaar krijgt er niets van te zien, en niet uit terughoudendheid, maar omdat er simpelweg geen server is waar iets naartoe zou kunnen.
iCloud-synchronisatie en derde landen
Is iCloud-synchronisatie ingeschakeld (standaard uitgeschakeld), dan worden de gegevens verwerkt in de privé-iCloud-database van de gebruiker bij Apple. De verwerkingsverantwoordelijke heeft geen toegang tot deze database; hij kent de Apple ID van de gebruiker niet en beschikt niet over sleutelmateriaal. Een band met een derde land kan uit de infrastructuur van Apple voortvloeien; Apple Inc. is gecertificeerd onder het EU-US Data Privacy Framework. De inhoudsvelden van de kaarten (vraag, antwoord, categorieën, notitie) en de vaknamen zijn in de database als versleutelde velden gedeclareerd; met ingeschakelde functie “Geavanceerde gegevensbescherming” (Advanced Data Protection) vallen ze daarmee onder end-to-end-versleuteling waartoe ook Apple geen toegang heeft. De overige velden, met name beoordelingen, tijdstempels en herhaaldatums, vallen hier niet onder.
Wat dat concreet voor je betekent
Synchronisatie staat af fabriek uit; je zet haar bewust aan. Daarna staan je gegevens in JOUW privé-iCloud, niet bij ons: de ontwikkelaar heeft daar geen toegang en kent je Apple ID niet eens.
Wat je kaarten inhoudelijk zeggen, is extra beschermd. Vraag, antwoord, categorieën, notitie en de vaknamen zijn als versleutelde velden aangelegd. Zet je in de iCloud-instellingen “Geavanceerde gegevensbescherming” aan, dan kan ook Apple ze niet meer lezen.
Eerlijk erbij gezegd: dat geldt voor de inhoud, niet voor alles. Wanneer je hebt geleerd en hoe je een kaart hebt beoordeeld, blijft onversleuteld. Daaruit valt af te lezen DAT je hebt geleerd, niet WAT.
Ontvangers van de Gegevens
Doorgifte van persoonsgegevens aan derden vindt niet plaats. Er zijn geen ontvangers en geen categorieën van ontvangers in de zin van art. 4, punt 9, AVG. Er gaan met name geen gegevens naar analyse-, advertentie- of trackingdiensten, betaaldienstverleners of kredietbureaus; de app bindt geen diensten van derden in en maakt geen verbinding met servers van de verwerkingsverantwoordelijke. Schakelt de gebruiker iCloud-synchronisatie in, dan verwerkt Apple de gegevens binnen de contractuele relatie tussen de gebruiker en Apple; Apple treedt daarbij niet op in opdracht van de verwerkingsverantwoordelijke.
Wat dat concreet voor je betekent
Aan niemand. Er zijn geen advertentienetwerken, geen analysediensten, geen betaalprovider en geen server van de ontwikkelaar waar iets naartoe zou gaan.
De enige uitzondering is er een die je zelf inschakelt: gebruik je iCloud, dan staan je gegevens bij Apple, en wel in je eigen account. Dat is jouw afspraak met Apple, niet de onze.
Ook het voorlezen blijft op je apparaat: iOS maakt de uitspraak zelf en de kaarttekst wordt daarvoor nergens heen gestuurd.
Geen plicht tot verstrekking
De gebruiker is wettelijk noch contractueel verplicht persoonsgegevens te verstrekken. Het invoeren van inhoud is voor de leerfunctie feitelijk nodig, maar gebeurt uitsluitend lokaal op het apparaat en vormt geen verstrekking aan de verwerkingsverantwoordelijke. Niet verstrekken heeft als enige gevolg dat de betreffende functies van de app niet kunnen worden gebruikt; verdere gevolgen zijn er niet.
Wat dat concreet voor je betekent
Je hoeft de ontwikkelaar niets te geven, en je geeft hem ook niets. Wat je intypt, heb je voor jezelf nodig: zonder kaarten geen overhoring.
Wie niets invoert, overkomt niets ergers dan dat de app leeg blijft. Een account, een mailadres of een naam vraagt hij nergens.
Bewaartermijn en wissing
Er bestaan geen bewaartermijnen aan de kant van de aanbieder. De gegevens worden bewaard tot de gebruiker ze verwijdert (art. 17 AVG). Verwijderen gebeurt in de app of door de app te wissen; met actieve synchronisatie worden verwijderingen aan iCloud doorgegeven.
Wat dat concreet voor je betekent
Er is geen termijn waarna iets wordt verwijderd, en geen waarna iets bewaard zou moeten blijven. Je gegevens liggen er zolang jij ze laat liggen.
Verwijderen kan per stuk in de app, volledig via Instellingen, Privacy, “Alle gegevens verwijderen”, of door de app te wissen. Staat iCloud-synchronisatie aan, dan werken die verwijderingen ook daar.
Een aanbieder die daarna nog een kopie zou hebben, bestaat niet.
Je rechten (art. 15 t/m 21 AVG)
De betrokkene heeft recht op inzage (art. 15), rectificatie (art. 16), wissing (art. 17), beperking (art. 18), overdraagbaarheid van gegevens (art. 20) en bezwaar (art. 21). Deze rechten zijn direct in de app uit te oefenen, omdat de gebruiker volledige controle heeft over de lokaal opgeslagen gegevens.
Wat dat concreet voor je betekent
Je rechten zijn al ingebouwd: inzage = je ziet alles direct in de app. Rectificatie = je bewerkt elke kaart. Wissing = Instellingen → Privacy → Alle gegevens verwijderen. Gegevenskopie = Instellingen → Privacy → Gegevenskopie bewaren.
Geen geautomatiseerde besluiten
Geautomatiseerde besluitvorming, met inbegrip van profilering in de zin van art. 22 AVG, vindt niet plaats. Het FSRS-algoritme dient uitsluitend voor de lokale berekening van herhaaldatums en heeft geen juridisch of vergelijkbaar wezenlijk gevolg.
Wat dat concreet voor je betekent
De app beoordeelt jou niet en beslist niets over je. Hij deelt je niet in, vergelijkt je met niemand en geeft niets over je door.
Het algoritme FSRS rekent uitsluitend één ding uit: wanneer je een bepaalde kaart het best terugziet. Dat gebeurt op je apparaat en heeft buiten de app nergens invloed op.
Kinderen
De dienst richt zich niet gericht op kinderen. Omdat er geen persoonsgegevens aan de verwerkingsverantwoordelijke worden doorgegeven, worden ook van kinderen geen gegevens verzameld; toestemming van de drager van de ouderlijke verantwoordelijkheid volgens art. 8 AVG is daarom niet vereist.
Wat dat concreet voor je betekent
De app richt zich niet speciaal op kinderen, maar sluit ze ook niet uit. Omdat er sowieso niets naar de ontwikkelaar gaat, worden ook van kinderen geen gegevens verzameld.
Daarom is er hier geen leeftijdscheck en geen toestemming van ouders: er is simpelweg niets waarvoor toestemming nodig zou zijn.
Gegevensbeveiliging
Er worden bij het risico passende technische en organisatorische maatregelen getroffen (art. 32, lid 1, AVG). Daartoe behoren in het bijzonder: versleuteling van de gegevens in rust door iOS Data Protection op besturingssysteemniveau, transportversleuteling met TLS 1.3 bij de synchronisatie, beperking van de toegang tot de privédatabase die aan de Apple ID van de gebruiker is gebonden, het achterwege laten van elke logging van inhoud, en het declareren van de inhoudsvelden als versleutelde velden, wat bij ingeschakelde “Geavanceerde gegevensbescherming” end-to-end-versleuteling oplevert. De maatregelen worden gekozen met inachtneming van de stand van de techniek, de implementatiekosten en de aard, omvang, context en doelen van de verwerking.
Wat dat concreet voor je betekent
Op het apparaat zijn je gegevens beschermd door de versleuteling van iOS, zolang je apparaat een code heeft. Onderweg naar iCloud zijn ze bovendien tijdens transport versleuteld.
De inhoud van je kaarten wordt nergens meegeschreven, niet in logboeken en niet in foutrapporten. En met “Geavanceerde gegevensbescherming” zijn ze in iCloud zo versleuteld dat ook Apple ze niet kan lezen.
Toezichthouder en klachtrecht
Onverminderd andere bestuursrechtelijke of gerechtelijke rechtsmiddelen heeft de betrokkene het recht een klacht in te dienen bij een toezichthouder voor gegevensbescherming (art. 77 AVG). Bevoegd is de autoriteit van de vestigingsplaats van de verwerkingsverantwoordelijke (zie onder).
Wat dat concreet voor je betekent
Heb je de indruk dat er met je gegevens iets niet klopt, dan kun je een klacht indienen bij een toezichthouder voor gegevensbescherming. Bevoegd is de autoriteit van de vestigingsplaats van de verwerkingsverantwoordelijke; haar adres staat aan het einde van deze verklaring.
Dat kost je niets en levert je geen nadelen op. Andere rechtsmiddelen blijven onaangetast; je hoeft dus niet één weg te kiezen.
Wijzigingen in deze verklaring
De verwerkingsverantwoordelijke behoudt zich het recht voor deze privacyverklaring aan te passen wanneer dat nodig is door gewijzigde functies van de app of een gewijzigde rechtssituatie. Bepalend is steeds de verklaring in de geïnstalleerde versie van de app; die wordt met de app-update geleverd. Buiten de app aangeboden versies (pdf, website) worden uit dezelfde bron gegenereerd en geven dezelfde stand weer.
Wat dat concreet voor je betekent
Deze verklaring kan veranderen als de app iets nieuws doet of de wet verandert. Wat geldt, staat altijd in de app zelf, in de versie die je hebt geïnstalleerd: een nieuwe verklaring bereikt je met een app-update, niet stilletjes in de nacht.
De pdf- en webversies komen uit dezelfde bron als die in de app. Ze kunnen dus niet iets anders zeggen, alleen ouder zijn.
Wat hier NIET nodig is
Deze gebruikelijke privacyverplichtingen zijn getoetst en hier gemotiveerd niet van toepassing, omdat Qardbox geen gegevens verzamelt en geen server heeft.
Geen verwerkersrelatie (art. 28)
Er bestaat geen verwerkersrelatie. De verwerkingsverantwoordelijke schakelt geen dienstverleners in voor de verwerking van persoonsgegevens. Apple stelt iCloud onder eigen voorwaarden aan de gebruiker beschikbaar en is in zoverre geen verwerker namens de aanbieder.
Wat dat concreet voor je betekent
We geven je gegevens aan geen enkele dienstverlener door die ze in onze opdracht verwerkt. Zo’n contract is er dus ook niet.
Geen functionaris gegevensbescherming (art. 37, §38 BDSG)
Er bestaat geen plicht om een functionaris gegevensbescherming aan te wijzen. Aan de voorwaarden van art. 37, lid 1, AVG en §38, lid 1, BDSG (o.a. permanent minstens 20 personen met geautomatiseerde verwerking) wordt niet voldaan.
Wat dat concreet voor je betekent
Een officiële functionaris gegevensbescherming is wettelijk pas vanaf een bepaalde omvang nodig. Die wordt bij een solo-ontwikkelaar niet gehaald. Aanspreekpunt is de verwerkingsverantwoordelijke zelf.
Geen gegevensbeschermingseffectbeoordeling (art. 35)
Een gegevensbeschermingseffectbeoordeling is niet vereist. De verwerking levert geen waarschijnlijk hoog risico op voor de rechten en vrijheden van natuurlijke personen; er vindt geen omvangrijke profilering, geen systematische monitoring en geen omvangrijke verwerking van bijzondere categorieën plaats.
Wat dat concreet voor je betekent
Zo’n risicobeoordeling is alleen verplicht bij bijzonder ingrijpende verwerkingen. Omdat hier vrijwel niets wordt verwerkt, is ze niet nodig.
Geen doorgifte aan derde landen door de aanbieder (art. 44 e.v.)
De verwerkingsverantwoordelijke geeft geen gegevens door aan derde landen. Standaardcontractbepalingen of andere waarborgen volgens art. 46 AVG zijn daarom niet aan de orde. Een eventuele band met een derde land ontstaat uitsluitend binnen de verantwoordelijkheid van Apple in het kader van de iCloud van de gebruiker.
Wat dat concreet voor je betekent
We sturen niets naar het buitenland. Ontstaat er via je iCloud een buitenlandband, dan is dat de zaak van Apple, en Apple is daarvoor gecertificeerd.
Geen toestemmingsbeheer (art. 7)
De verwerking steunt niet op toestemming, maar op art. 6, lid 1, onder b, AVG. Toestemmingsbeheer is niet vereist; het lokaal opslaan van de voor de functie nodige gegevens is volgens §25, lid 2, TDDDG strikt noodzakelijk en daarmee toestemmingsvrij.
Wat dat concreet voor je betekent
Er zijn geen cookiebanners of toestemmingsvragen, omdat de app geen toestemming nodig heeft: hij bewaart alleen wat voor zijn functie nodig is.
Geen ISO 27001-certificering
Certificering volgens ISO/IEC 27001 is geen wettelijke plicht. Voor de omvang en het risico van deze app zou het opzetten van een gecertificeerd managementsysteem voor informatiebeveiliging onevenredig zijn; de getroffen maatregelen passen bij het risico (art. 32).
Wat dat concreet voor je betekent
Zo’n groot beveiligingscertificaat is voor een gratis leerapp niet voorgeschreven en zou overdreven zijn. De feitelijke beschermingsmaatregelen zijn er niettemin.
Verwerkingsverantwoordelijke
Verwerkingsverantwoordelijke in de zin van art. 4, punt 7, AVG en dienstaanbieder volgens §5 DDG.
Simon Harre
Walter-Klausch-Str. 15
14482 Potsdam
Deutschland
privacy@qardbox.com
Bevoegde toezichthouder
Bij deze toezichthouder kun je op grond van art. 77 AVG een klacht indienen.
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht
Land Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow