Preemie Companion Privacy Notice

Last updated: 29 April 2026 · Effective date: 29 April 2026 · Version 2.1

This Privacy Notice supplements the Alatapps Privacy Policy and applies specifically to your use of Preemie Companion — the Preemie Companion app, web service, and related services operated by Alatapps (together, the "Service"). Where this Notice and the Alatapps Privacy Policy address the same subject, this Notice prevails for processing performed inside the Service.

This Notice explains how Alatapps ("we", "us", "our") processes personal data through the Service. It is written for parents and caregivers of premature infants and reflects our obligations under the General Data Protection Regulation (Regulation (EU) 2016/679, the "GDPR"), the Dutch GDPR Implementation Act (Uitvoeringswet AVG, "UAVG"), the EU Digital Services Act (Regulation (EU) 2022/2065), the Dutch Telecommunications Act, and other applicable privacy laws.

We process special-category data concerning the health of infants. This carries heightened legal obligations and we have designed the Service to minimise the data we collect and to keep as much of it as possible on your device.

At a glance

The summary below is informational; the full sections that follow are the binding text of this policy.

Photos never leave your device. They are stored locally in your browser only.
We never sell your data and never use it for advertising.
You can export everything you entered in JSON or CSV at any time and delete your account with one click.
All sub-processors are based in the EU or covered by Standard Contractual Clauses with a Transfer Impact Assessment.
For privacy questions or to exercise your rights, write to privacy@preemiecompanion.com.

1. Controller and contact

Alatapps is the data controller for the personal data described in this policy and the operator of the Preemie Companion App and Service.

Alatapps
Verdunplein 17
5627 SZ Eindhoven, Netherlands
Chamber of Commerce (KVK) number: 42044797
VAT (BTW) number: NL005453160B44

General support: support@preemiecompanion.com
Privacy and data-protection requests: privacy@preemiecompanion.com
Reports of illegal content under the EU Digital Services Act: abuse@preemiecompanion.com

We have not appointed a formal Data Protection Officer because the appointment thresholds in Article 37 GDPR — in particular, large-scale processing of special-category data as further explained in EDPB Guidelines WP243 rev.01 — are not currently met given the early-access scale of the Service. Privacy and data-protection matters are handled internally by our Privacy Contact, reachable at privacy@preemiecompanion.com. We re-evaluate the threshold each calendar year and will formally appoint a DPO when our processing reaches large scale, updating this policy accordingly.

2. Scope and definitions

This policy applies to the Service worldwide. References to "you" mean the adult account holder. References to "your child" or "the infant" mean the premature infant whose data you enter as their parent or legal representative.

3. Lawful basis for processing the infant’s data

The Service is used by adults to record information about an infant. Under Dutch civil law (Burgerlijk Wetboek Book 1, in particular Articles 1:245 and 1:247), a parent who exercises parental authority ("ouderlijk gezag") has the legal capacity to make decisions about their minor child’s personal data, including health data, where doing so serves the child’s welfare. By creating a child profile, you confirm that you hold parental responsibility (or comparable legal authority under your home law) for that child and that you exercise it for the child’s benefit when you enter information into the Service.

We rely on the following lawful bases under the GDPR:

For our contract with you (the adult account holder): Article 6(1)(b) GDPR — performance of the contract under our Terms of Service (account creation, authentication, sync, support, billing).
For information about your child (special-category health data): Article 6(1)(a) GDPR (your consent, given in your capacity as legal representative of the child) combined with Article 9(2)(a) GDPR (your explicit consent, given in your capacity as legal representative of the child, for the processing of special-category health data for the purpose of operating the Service’s tracking features).
For the safety of the child in exceptional circumstances: Article 9(2)(c) GDPR — vital interests of a data subject who is physically or legally incapable of giving consent (for example, where you or another caregiver instruct us to retrieve historical tracking data in a medical emergency).
For service operation, security, fraud prevention and product improvement: Article 6(1)(f) GDPR — our legitimate interest in operating a secure, reliable Service. We have completed a legitimate-interests balancing assessment which is available on request.
For optional features (e.g. the weekly digest email): Article 6(1)(a) GDPR — your consent. Consent is opt-in only and can be withdrawn at any time in Settings.
For legal compliance: Article 6(1)(c) GDPR — compliance with our legal obligations (e.g. responding to law-enforcement requests valid under EU/Dutch law, tax record-keeping).

You may withdraw any consent at any time, free of charge and with effect for the future, by deleting your account or by writing to privacy@preemiecompanion.com. Withdrawal does not affect the lawfulness of processing carried out before withdrawal.

4. Categories of personal data we process

Account data: email address, hashed password, authentication tokens, language preference, account-creation and last-login timestamps.
Child profile: given name or nickname, date of birth, sex, gestational age at birth (weeks and days), birth weight, due date, NICU discharge date (optional), birth length (optional), head circumference at birth (optional), and feeding method (breast / bottle / mixed / tube). This is health data within the meaning of Article 4(15) and Article 9 GDPR.
Care-team contacts: name, role (e.g. paediatrician, NICU nurse), and an optional phone number for healthcare providers you choose to record in the App. This is personal data of identified third parties. Lawful basis: Article 6(1)(f) GDPR — our legitimate interest, and yours, in being able to maintain a list of contacts for your child’s care. We do not contact your care-team members ourselves; we rely on you to inform those individuals that their contact details have been entered.
Health tracking entries: feeds (method, volume, duration, side, milk type), sleep periods, diaper events (type, colour, consistency, amount), weight, length, head-circumference measurements, medications (name, dose, frequency, scheduled time, administration record), temperature readings (with method), pumping sessions, and milestones. This is special-category health data under Article 9 GDPR.
Photos and free-text notes: stored on your device only (browser IndexedDB). These are never uploaded to any server and we cannot access them.
Doctor Report PDFs: when you generate a Doctor Report, the PDF is assembled in your browser and downloaded or shared directly from your device. We do not upload, store, transmit, or have access to the generated PDF; the report contents do not leave your device through us.
Sharing data: if you invite a co-caregiver, we process the invitee’s email address and an invite token solely to deliver the invitation and grant access. The invite expires automatically and can be revoked.
Device, technical and security data: IP address (truncated where possible), user-agent string, timestamps of authentication events, session identifiers. Used for security, fraud prevention and abuse detection.
Diagnostic data (Sentry): pseudonymous error reports including stack trace, browser version, anonymised session identifier and the URL where the error occurred. Personal-data scrubbing is enabled and we do not send tracking-entry payloads to Sentry.
Aggregate usage analytics: pseudonymous daily-rotating hash, event names, counts. No persistent identifier, no name, email or raw account ID.
Communications: emails you send to support, including any information you choose to include.
Payment data (when paid features are introduced): handled by a regulated payment service provider; we do not see or store full card numbers.

5. Purposes of processing

To provide all tracking, charting, sharing and reporting features of the Service.
To synchronise your data across your devices when you are signed in.
To authenticate you and protect your account from unauthorised access.
To send transactional emails (account verification, password reset, security alerts).
To send the weekly digest, but only if you have opted in.
To detect, investigate and prevent fraud, abuse and security incidents.
To diagnose crashes and bugs through pseudonymous error reports.
To understand which features are used, in aggregate, to improve the Service.
To comply with our legal obligations and to establish, exercise or defend legal claims.

We do not use your or your child’s data for advertising, profiling for advertising, sale to data brokers, or training of generative AI models.

6. Cookies and similar technologies

The Service does not use advertising cookies, cross-site tracking, fingerprinting, social-media pixels, or third-party fonts. Every static asset (including fonts) is served from our own origin, so your IP address is not exposed to font CDNs, ad networks, or third-party trackers when you load a page. The technologies we do use are limited to:

Strictly necessary: an authentication session cookie set by Supabase to keep you signed in; a small number of localStorage and IndexedDB entries to make the Service work offline. These are exempt from the consent requirement under Article 11.7a of the Dutch Telecommunications Act (cookie law) because they are strictly necessary for the service you have requested.
Pseudonymous diagnostics: an anonymised session identifier used by Sentry. We do not link this to your account.
Aggregate analytics: an in-memory counter only — no persistent cookie, no fingerprinting.

7. Sub-processors

We use the following sub-processors, each governed by a written data-processing agreement compliant with Article 28 GDPR:

Supabase Inc. (database, authentication, file storage). Hosting region: EU — AWS eu-west-1, Ireland. Data processed: account data, synced tracking data. DPA: supabase.com/privacy.
Resend (Resend Inc.) (transactional and digest email delivery). Hosting region: EU — eu-west-1, Ireland.
Functional Software, Inc. d/b/a Sentry (pseudonymous error monitoring). We configure Sentry to use the EU data-residency region where available. All data sent to Sentry passes through a multi-layer PHI/PII scrubber before transmission (see section 9).
Vercel Inc. (static hosting and CDN for the web Service).
Analytics endpoint — pseudonymous daily-rotating hash, event names and counts. No cross-site tracking.
Payment service provider — named at the point of purchase when paid features are introduced.

We will notify you of any new or replacement sub-processor at least 30 days before they begin processing personal data, by email and in-app notice. If you object to a new sub-processor on reasonable data-protection grounds, you may terminate your account and request deletion of your data without further obligation.

8. International data transfers

Personal data is stored in the European Union. Some of our sub-processors (in particular Supabase Inc., Sentry and Vercel Inc.) are corporate entities established in the United States, which means support staff may technically be able to access EU-stored data from the US.

Where transfers of personal data outside the EEA are required, we rely on the European Commission’s Standard Contractual Clauses adopted in Implementing Decision (EU) 2021/914 ("SCCs") under Article 46(2)(c) GDPR. Following the Court of Justice judgment in Case C-311/18 (Schrems II), we have completed a Transfer Impact Assessment for each US sub-processor and apply supplementary measures including encryption in transit, encryption at rest, EU-region-only data hosting, and contractual prohibitions on government access beyond what is legally required. Our current Transfer Impact Assessment is available on request.

9. Security

We apply technical and organisational measures appropriate to the risk, including:

HTTPS/TLS 1.2+ for all data in transit.
Encryption at rest of all server-stored personal data (AES-256, provided by Supabase / AWS).
Password hashing performed by Supabase Auth using industry-standard adaptive algorithms (currently bcrypt). We never see or store your password.
Row-level security policies on every database table that holds user data.
Principle of least privilege for staff access; multi-factor authentication is enabled where supported by the underlying service provider.
A strict Content Security Policy, HTTP Strict Transport Security with preload, X-Frame-Options DENY, a restrictive Permissions-Policy disabling camera, microphone, geolocation and payment APIs, and Referrer-Policy strict-origin-when-cross-origin.
No third-party fonts, scripts, advertising tags, or social-media pixels — every static asset is served from our own origin, so your IP address is not exposed to font CDNs, ad networks, or other third-party trackers.
Outbound diagnostic data (Sentry) is run through a multi-layer PHI/PII scrubber that redacts known health-data fields, strips email patterns from free text, drops cookies and authentication headers, removes URL query strings, and replaces user identifiers with an opaque internal ID.
Regular dependency and vulnerability scanning; security patches applied promptly.
Encrypted backups held in the EU.

Data stored locally on your device when you are not signed in is protected by your device’s operating system security only and is not separately encrypted by the Service. We recommend you use a device passcode and biometric lock.

10. Data retention

Account data: until you delete your account. Deletion requests are actioned within 30 days; encrypted server backups are purged within a further 90 days.
Tracking data: until you delete the entries or the account.
Diagnostic data (Sentry): 90 days, then permanently deleted.
Aggregate analytics: stored only in aggregated, non-identifiable form; source events expire within 30 days.
Authentication and security logs: 12 months, after which they are aggregated or deleted.
Support communications: 24 months from the last message, unless legal obligations require longer retention.
Invoices and tax records (where applicable): 7 years, in accordance with Article 52 of the Dutch General Tax Act (AWR).
Local device data: until you reset, sign out, or clear browser data on your device.

11. Your rights

You have the following rights under the GDPR:

Access (Article 15) — via Settings → Export data, or by writing to us.
Rectification (Article 16) — edit data directly in the app, or contact us.
Erasure (Article 17, "right to be forgotten") — Settings → Delete account, or Settings → Reset all data for local-only data.
Restriction of processing (Article 18) — contact us at the privacy address.
Data portability (Article 20) — export as JSON or CSV via Settings → Export data.
Objection (Article 21) — you may object at any time, on grounds relating to your particular situation, to processing based on legitimate interests.
Not to be subject to automated decision-making (Article 22) — we do not engage in such decision-making (see section 13).
Withdraw consent at any time, free of charge, with effect for the future.
Lodge a complaint with a supervisory authority — in the Netherlands, the Autoriteit Persoonsgegevens at autoriteitpersoonsgegevens.nl. You may also complain to the supervisory authority in your EU country of residence.

We respond to verified rights requests within one month (extendable by two further months for complex requests, with notice to you). Identity verification may be required to protect your data; we will request only the minimum information necessary.

12. Children

The Service is intended for use by adults (parents and caregivers). Account holders must be at least 16 years old, the digital-consent age set by Article 5 of the Dutch UAVG. Data about an infant is provided by the account holder; we do not collect data directly from infants or other children. If we learn that an account has been created by a person under 16 without parental consent, we will close that account.

13. Automated decision-making and profiling

We do not carry out automated decision-making, including profiling, that produces legal or similarly significant effects on you (Article 22 GDPR). Charts, percentile lines and growth curves shown in the app are descriptive visualisations of data you have entered and are not medical decisions or advice.

14. Personal data breach notification

We maintain an incident-response procedure. In the event of a personal data breach we will notify the Autoriteit Persoonsgegevens within 72 hours of becoming aware of the breach, as required by Article 33 GDPR. If the breach is likely to result in a high risk to your rights and freedoms, we will notify you directly without undue delay, in accordance with Article 34 GDPR.

15. Data Protection Impact Assessment

Because the Service involves large-scale processing of special-category data of vulnerable data subjects (infants), we maintain a Data Protection Impact Assessment under Article 35 GDPR. The DPIA is reviewed at least annually and whenever a material change to processing is planned. A summary is available on request to privacy@preemiecompanion.com.

16. Users outside the EU/EEA

If you access the Service from the United Kingdom, the UK GDPR and the Data Protection Act 2018 apply alongside this policy. Your supervisory authority is the Information Commissioner’s Office (ico.org.uk). Residents of California, Brazil and other jurisdictions retain rights under their local laws (CCPA/CPRA, LGPD and equivalents); these rights are honoured to the extent applicable. The controller named in section 1 is the responsible entity for all such requests.

17. Changes to this policy

We will notify you of material changes via the app or by email at least 30 days before they take effect, except where shorter notice is required by law. The "last updated" date at the top indicates when the policy was last revised. Previous versions are available on request.

18. Contact

Privacy and data-protection requests: privacy@preemiecompanion.com
General support: support@preemiecompanion.com

Preemie Companion Privacyverklaring

Laatste update: 29 april 2026 · Ingangsdatum: 29 april 2026 · Versie 2.1

Deze Privacyverklaring vormt een aanvulling op het Alatapps Privacybeleid en is specifiek van toepassing op uw gebruik van Preemie Companion — de Preemie Companion-app, webdienst en aanverwante diensten die door Alatapps worden geëxploiteerd (samen de "Dienst"). Waar deze Verklaring en het Alatapps Privacybeleid hetzelfde onderwerp behandelen, prevaleert deze Verklaring voor de verwerking binnen de Dienst.

Deze Verklaring legt uit hoe Alatapps ("wij", "ons", "onze") persoonsgegevens verwerkt via de Dienst. Het is geschreven voor ouders en verzorgers van te vroeg geboren baby’s en weerspiegelt onze verplichtingen onder de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, "AVG"), de Uitvoeringswet AVG ("UAVG"), de EU-verordening digitale diensten (Verordening (EU) 2022/2065), de Telecommunicatiewet en andere toepasselijke privacywetgeving.

Wij verwerken bijzondere categorieën persoonsgegevens over de gezondheid van baby’s. Dit brengt verzwaarde wettelijke verplichtingen met zich mee. Wij hebben de Dienst zo ontworpen dat we zo min mogelijk gegevens verzamelen en zo veel mogelijk gegevens op uw apparaat blijven.

In het kort

Onderstaande samenvatting is informatief; de volledige tekst hieronder vormt de bindende inhoud van dit beleid.

Foto’s blijven op uw apparaat. Ze worden alleen lokaal in uw browser opgeslagen.
Wij verkopen uw gegevens nooit en gebruiken ze nooit voor advertenties.
U kunt al uw gegevens op elk moment exporteren als JSON of CSV en uw account met één klik verwijderen.
Alle verwerkers bevinden zich in de EU of vallen onder Standaardcontractbepalingen met een Transfer Impact Assessment.
Voor privacyvragen of het uitoefenen van uw rechten: privacy@preemiecompanion.com.

1. Verwerkingsverantwoordelijke en contact

Alatapps is de verwerkingsverantwoordelijke voor de in dit beleid beschreven persoonsgegevens en de exploitant van de Preemie Companion App en Dienst.

Alatapps
Verdunplein 17
5627 SZ Eindhoven, Nederland
KVK-nummer: 42044797
BTW-nummer: NL005453160B44

Algemene support: support@preemiecompanion.com
Privacy- en gegevensbeschermingsverzoeken: privacy@preemiecompanion.com
Meldingen van onwettige inhoud onder de EU-verordening digitale diensten: abuse@preemiecompanion.com

Wij hebben geen formele Functionaris Gegevensbescherming (FG) aangesteld, omdat de drempels van artikel 37 AVG — in het bijzonder grootschalige verwerking van bijzondere categorieën persoonsgegevens, zoals nader toegelicht in EDPB-richtsnoer WP243 rev.01 — bij de huidige early-access-schaal van de Dienst niet worden gehaald. Privacy- en gegevensbeschermingsvraagstukken worden intern behartigd door onze privacycontactpersoon, bereikbaar op privacy@preemiecompanion.com. Wij beoordelen deze drempel jaarlijks opnieuw en zullen een FG formeel aanstellen zodra onze verwerking grootschalig wordt; wij werken dit beleid dan dienovereenkomstig bij.

2. Reikwijdte en definities

Dit beleid geldt wereldwijd voor de Dienst. "U" verwijst naar de volwassen accounthouder. "Uw kind" of "de baby" verwijst naar de premature baby wiens gegevens u als ouder of wettelijk vertegenwoordiger invoert.

3. Rechtsgrondslag voor de verwerking van gegevens van de baby

De Dienst wordt gebruikt door volwassenen om gegevens over een baby vast te leggen. Onder Nederlands recht (Burgerlijk Wetboek Boek 1, in het bijzonder artikelen 1:245 en 1:247) heeft een ouder die het ouderlijk gezag uitoefent de bevoegdheid om beslissingen te nemen over de persoonsgegevens van het minderjarige kind, inclusief gezondheidsgegevens, voor zover dat het belang van het kind dient. Door een kindprofiel aan te maken bevestigt u dat u het ouderlijk gezag (of een vergelijkbare wettelijke bevoegdheid onder uw eigen recht) over het kind heeft en dat u dit gezag uitoefent in het belang van het kind wanneer u gegevens invoert.

Wij baseren ons op de volgende rechtsgrondslagen onder de AVG:

Voor onze overeenkomst met u (de volwassen accounthouder): artikel 6 lid 1 sub b AVG — uitvoering van de overeenkomst onder onze Gebruiksvoorwaarden (account, authenticatie, synchronisatie, support, facturatie).
Voor gegevens over uw kind (bijzondere gezondheidsgegevens): artikel 6 lid 1 sub a AVG (uw toestemming, gegeven in uw hoedanigheid van wettelijk vertegenwoordiger van het kind) in combinatie met artikel 9 lid 2 sub a AVG (uw uitdrukkelijke toestemming, gegeven in dezelfde hoedanigheid, voor de verwerking van bijzondere gezondheidsgegevens ten behoeve van de tracking-functies van de Dienst).
Voor de veiligheid van het kind in uitzonderlijke gevallen: artikel 9 lid 2 sub c AVG — vitaal belang van een betrokkene die fysiek of juridisch niet in staat is toestemming te geven (bijvoorbeeld wanneer u of een andere verzorger ons opdracht geeft historische trackinggegevens te raadplegen in een medisch noodgeval).
Voor werking, beveiliging, fraudebestrijding en productverbetering: artikel 6 lid 1 sub f AVG — ons gerechtvaardigd belang om een veilige, betrouwbare Dienst te leveren. Een belangenafweging is op verzoek beschikbaar.
Voor optionele functies (bijv. wekelijkse digest): artikel 6 lid 1 sub a AVG — uw toestemming. Toestemming gaat uitsluitend via opt-in en kunt u op elk moment in Instellingen intrekken.
Voor naleving van wettelijke verplichtingen: artikel 6 lid 1 sub c AVG — bijvoorbeeld het beantwoorden van rechtmatige verzoeken van bevoegde autoriteiten en het bewaren van fiscale gegevens.

U kunt elke toestemming op elk moment kosteloos en met werking voor de toekomst intrekken door uw account te verwijderen of te schrijven naar privacy@preemiecompanion.com. Intrekking laat de rechtmatigheid van eerdere verwerking onverlet.

4. Categorieën persoonsgegevens die wij verwerken

Accountgegevens: e-mailadres, gehasht wachtwoord, authenticatietokens, taalvoorkeur, tijdstippen van aanmaken en laatste login.
Babyprofiel: voornaam of bijnaam, geboortedatum, geslacht, zwangerschapsduur bij geboorte (weken en dagen), geboortegewicht, uitgerekende datum, ontslagdatum NICU (optioneel), geboortelengte (optioneel), hoofdomtrek bij geboorte (optioneel) en voedingsmethode (borst / fles / gemengd / sonde). Dit zijn gezondheidsgegevens in de zin van artikel 4 lid 15 en artikel 9 AVG.
Contactgegevens zorgteam: naam, rol (bijv. kinderarts, NICU-verpleegkundige) en optioneel telefoonnummer van zorgverleners die u in de App opneemt. Dit zijn persoonsgegevens van geïdentificeerde derden. Rechtsgrondslag: artikel 6 lid 1 sub f AVG — ons en uw gerechtvaardigd belang om de zorg rond uw kind te kunnen organiseren. Wij benaderen deze contactpersonen zelf niet; wij vertrouwen erop dat u hen informeert dat hun gegevens zijn ingevoerd.
Trackinggegevens: voedingen (methode, volume, duur, kant, melksoort), slaapperiodes, luiergebeurtenissen (type, kleur, consistentie, hoeveelheid), gewicht, lengte, hoofdomtrek, medicatie (naam, dosis, frequentie, geplande tijd, registratie van toediening), temperatuurmetingen (met methode), kolfsessies en mijlpalen. Bijzondere gezondheidsgegevens onder artikel 9 AVG.
Foto’s en vrije notities: alleen op uw apparaat opgeslagen (browser IndexedDB). Worden nooit naar een server geüpload en zijn voor ons niet toegankelijk.
Doctor Report-PDF’s: wanneer u een Doctor Report genereert, wordt de PDF in uw browser samengesteld en direct vanaf uw apparaat gedownload of gedeeld. Wij uploaden, bewaren of verzenden deze PDF niet en hebben geen toegang tot de inhoud ervan.
Deelgegevens: nodigt u een mede-verzorger uit, dan verwerken wij diens e-mailadres en een uitnodigingstoken uitsluitend om de uitnodiging te bezorgen en toegang te verlenen. De uitnodiging verloopt automatisch en kan worden ingetrokken.
Apparaat-, technische en beveiligingsgegevens: IP-adres (waar mogelijk afgekort), user-agent, tijdstempels van inlogacties, sessie-ID’s. Voor beveiliging, fraudepreventie en misbruikdetectie.
Diagnostische gegevens (Sentry): pseudonieme foutmeldingen met stacktrace, browserversie, anonieme sessie-ID en de URL waar de fout optrad. Persoonsgegevens worden afgeschermd; trackinggegevens worden niet naar Sentry verzonden.
Geaggregeerde analyses: pseudonieme dagelijks roterende hash, gebeurtenisnamen en tellers. Geen persistente identificatie, geen naam, e-mail of ruw account-ID.
Communicatie: e-mails die u aan support stuurt, inclusief de gegevens die u erin opneemt.
Betaalgegevens (zodra betaalde functies worden geïntroduceerd): verwerkt door een gereguleerde betaaldienstverlener; wij zien of bewaren geen volledige kaartnummers.

5. Doeleinden van de verwerking

Het leveren van alle tracking-, grafiek-, deel- en rapportagefuncties.
Synchronisatie van uw gegevens tussen apparaten wanneer u bent ingelogd.
U authenticeren en uw account beschermen tegen ongeoorloofde toegang.
Versturen van transactionele e-mails (verificatie, wachtwoordherstel, beveiligingsmeldingen).
Versturen van de wekelijkse digest, alleen bij opt-in.
Detecteren, onderzoeken en voorkomen van fraude, misbruik en beveiligingsincidenten.
Diagnose van crashes en bugs aan de hand van pseudonieme foutmeldingen.
Geaggregeerd inzicht in welke functies worden gebruikt, om de Dienst te verbeteren.
Naleving van wettelijke verplichtingen en het instellen, uitoefenen of onderbouwen van rechtsvorderingen.

Wij gebruiken uw gegevens of die van uw kind niet voor advertenties, profilering voor advertenties, verkoop aan databrokers of training van generatieve AI-modellen.

6. Cookies en vergelijkbare technieken

De Dienst gebruikt geen advertentiecookies, cross-site tracking, fingerprinting, social-media-pixels of fonts van derden. Alle statische bestanden (inclusief lettertypen) worden van onze eigen oorsprong geserveerd, zodat uw IP-adres bij het laden van een pagina niet wordt blootgesteld aan font-CDN’s, advertentienetwerken of andere trackers van derden. De technieken die wij wel gebruiken beperken zich tot:

Strikt noodzakelijk: een authenticatiesessiecookie van Supabase om u ingelogd te houden; enkele localStorage- en IndexedDB-items om de Dienst offline te laten werken. Deze zijn op grond van artikel 11.7a Telecommunicatiewet vrijgesteld van het toestemmingsvereiste omdat zij strikt noodzakelijk zijn voor de door u gevraagde dienst.
Pseudonieme diagnostiek: een anonieme sessie-ID die door Sentry wordt gebruikt. Wij koppelen deze niet aan uw account.
Geaggregeerde analyses: alleen een teller in het geheugen — geen persistente cookie, geen fingerprinting.

7. Verwerkers

Wij gebruiken de volgende verwerkers, met elk een verwerkersovereenkomst conform artikel 28 AVG:

Supabase Inc. (database, authenticatie, bestandsopslag). Hostingregio: EU — AWS eu-west-1, Ierland. DPA: supabase.com/privacy.
Resend (Resend Inc.) (transactionele en digest-mails). EU — eu-west-1, Ierland.
Functional Software, Inc. d/b/a Sentry (pseudonieme foutmonitoring). Wij configureren Sentry waar mogelijk in de EU-data-residency-regio. Alle gegevens die naar Sentry worden verzonden worden eerst door een meerlaagse PHI/PII-scrubber gehaald (zie sectie 9).
Vercel Inc. (statische hosting en CDN voor de webdienst).
Analytics-eindpunt — pseudonieme dagelijks roterende hash, gebeurtenisnamen en tellers. Geen cross-site tracking.
Betaaldienstverlener — benoemd bij introductie van betaalde functies, op het moment van aankoop.

Wij stellen u ten minste 30 dagen voor de inzet van een nieuwe of vervangende verwerker op de hoogte, per e-mail en in-app. Maakt u op redelijke gegevensbeschermingsgronden bezwaar tegen een nieuwe verwerker, dan kunt u uw account beëindigen en verwijdering van uw gegevens verzoeken.

8. Internationale doorgifte

Persoonsgegevens worden binnen de Europese Unie opgeslagen. Sommige verwerkers (met name Supabase Inc., Sentry en Vercel Inc.) zijn vennootschappen in de Verenigde Staten, waardoor support-medewerkers in de VS technisch toegang kunnen hebben tot in de EU opgeslagen gegevens.

Voor doorgiftes buiten de EER baseren wij ons op de Standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914) op grond van artikel 46 lid 2 sub c AVG. Naar aanleiding van het Schrems II-arrest (zaak C-311/18) hebben wij voor elke Amerikaanse verwerker een Transfer Impact Assessment uitgevoerd en passen wij aanvullende maatregelen toe, waaronder versleuteling tijdens transport, versleuteling at rest, hosting uitsluitend in de EU-regio en contractuele beperkingen op overheidsverzoeken. Onze huidige TIA is op verzoek beschikbaar.

9. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder:

HTTPS/TLS 1.2+ voor alle gegevens in transit.
Versleuteling at rest van alle server-opgeslagen persoonsgegevens (AES-256, geleverd door Supabase / AWS).
Wachtwoord-hashing door Supabase Auth met industriestandaard adaptieve algoritmes (op dit moment bcrypt). Wij zien of bewaren uw wachtwoord nooit.
Row-level security policies op elke databasetabel met gebruikersgegevens.
Beperkte rechten voor medewerkers volgens least-privilege; multifactorauthenticatie waar ondersteund door de onderliggende dienstverlener.
Een strikt Content Security Policy, HTTP Strict Transport Security met preload, X-Frame-Options DENY, een restrictieve Permissions-Policy die camera, microfoon, geolocatie en betalings-API’s uitschakelt, en Referrer-Policy strict-origin-when-cross-origin.
Geen fonts, scripts, advertentie-tags of social-media-pixels van derden — alle statische bestanden worden van onze eigen oorsprong geserveerd, zodat uw IP-adres niet wordt blootgesteld aan font-CDN’s, advertentienetwerken of andere trackers.
Uitgaande diagnostische gegevens (Sentry) worden door een meerlaagse PHI/PII-scrubber gehaald die bekende gezondheidsvelden redact, e-mailpatronen uit vrije tekst verwijdert, cookies en authenticatieheaders weghaalt, query strings uit URL’s strip en gebruikersidentifiers vervangt door een ondoorzichtig intern ID.
Periodieke afhankelijkheids- en kwetsbaarheidsscans; tijdige patching.
Versleutelde backups in de EU.

Lokaal opgeslagen gegevens (zonder account) zijn alleen beveiligd door het besturingssysteem van uw apparaat en worden niet aanvullend door de Dienst versleuteld. Wij adviseren een toegangscode en biometrische vergrendeling.

10. Bewaartermijnen

Accountgegevens: tot u uw account verwijdert. Verzoeken worden binnen 30 dagen verwerkt; versleutelde back-ups worden binnen aanvullende 90 dagen gewist.
Trackinggegevens: tot u de gegevens of het account verwijdert.
Diagnostische gegevens (Sentry): 90 dagen, daarna definitief verwijderd.
Geaggregeerde analyses: alleen geaggregeerd opgeslagen; brongebeurtenissen binnen 30 dagen verwijderd.
Authenticatie- en beveiligingslogs: 12 maanden, daarna geaggregeerd of verwijderd.
Support-communicatie: 24 maanden vanaf het laatste bericht, tenzij wettelijke verplichtingen langere bewaring vereisen.
Facturen en fiscale administratie: 7 jaar (artikel 52 AWR).
Lokale gegevens op apparaat: tot u reset, uitlogt of browsergegevens wist.

11. Uw rechten

U heeft de volgende rechten onder de AVG:

Inzage (artikel 15) — via Instellingen → Gegevens exporteren, of door ons te schrijven.
Rectificatie (artikel 16) — bewerk gegevens direct in de app of neem contact op.
Verwijdering (artikel 17) — Instellingen → Account verwijderen, of Instellingen → Alle gegevens opnieuw instellen voor lokale gegevens.
Beperking van verwerking (artikel 18) — neem contact op via het privacyadres.
Gegevensoverdraagbaarheid (artikel 20) — export als JSON of CSV.
Bezwaar (artikel 21) — tegen verwerking op basis van gerechtvaardigd belang, op gronden die verband houden met uw specifieke situatie.
Geen geautomatiseerde besluitvorming (artikel 22) — wij doen hier niet aan (zie sectie 13).
Toestemming intrekken op elk moment, kosteloos, met werking voor de toekomst.
Klacht indienen bij een toezichthoudende autoriteit. In Nederland is dat de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl. U kunt ook klagen bij de toezichthouder in uw EU-land van verblijf.

Wij reageren op geverifieerde verzoeken binnen een maand (verlengbaar met twee maanden bij complexe verzoeken, met kennisgeving). Identiteitsverificatie kan vereist zijn ter bescherming van uw gegevens; wij vragen alleen het minimum noodzakelijke.

12. Kinderen

De Dienst is bedoeld voor volwassenen (ouders en verzorgers). Accounthouders moeten ten minste 16 jaar zijn, de leeftijd voor digitale toestemming uit artikel 5 UAVG. Gegevens over een baby worden door de accounthouder ingevoerd; wij verzamelen geen gegevens rechtstreeks van baby’s of andere kinderen. Constateren wij dat een account is aangemaakt door iemand jonger dan 16 zonder ouderlijke toestemming, dan sluiten wij dat account.

13. Geautomatiseerde besluitvorming en profilering

Wij voeren geen geautomatiseerde besluitvorming, inclusief profilering, uit met rechtsgevolgen of vergelijkbaar significante effecten (artikel 22 AVG). Grafieken, percentiel- en groeicurven in de app zijn beschrijvende visualisaties van door u ingevoerde gegevens en zijn geen medische beslissing of advies.

14. Melding van datalekken

Wij hebben een incidentresponsprocedure. Bij een inbreuk op persoonsgegevens stellen wij de Autoriteit Persoonsgegevens binnen 72 uur na het bekend worden op de hoogte (artikel 33 AVG). Levert de inbreuk waarschijnlijk een hoog risico op voor uw rechten en vrijheden, dan stellen wij u rechtstreeks en onverwijld op de hoogte (artikel 34 AVG).

15. Gegevensbeschermingseffectbeoordeling (DPIA)

Omdat de Dienst grootschalige verwerking van bijzondere persoonsgegevens van kwetsbare betrokkenen (baby’s) inhoudt, voeren wij een DPIA uit op grond van artikel 35 AVG. Deze wordt ten minste jaarlijks geactualiseerd en steeds wanneer een wezenlijke wijziging in de verwerking is gepland. Een samenvatting is op verzoek beschikbaar via privacy@preemiecompanion.com.

16. Gebruikers buiten de EU/EER

Gebruikt u de Dienst vanuit het Verenigd Koninkrijk, dan zijn de UK GDPR en de Data Protection Act 2018 mede van toepassing. Uw toezichthouder is de Information Commissioner’s Office (ico.org.uk). Inwoners van Californië, Brazilië en andere rechtsgebieden behouden rechten onder hun lokale wetgeving (CCPA/CPRA, LGPD en gelijkwaardige); deze worden gehonoreerd voor zover van toepassing. De verwerkingsverantwoordelijke uit sectie 1 is hiervoor het aanspreekpunt.

17. Wijzigingen in dit beleid

Wij stellen u ten minste 30 dagen voor inwerkingtreding van wezenlijke wijzigingen op de hoogte via de app of per e-mail, tenzij een kortere termijn wettelijk vereist is. De datum "laatste update" geeft de meest recente revisie aan. Eerdere versies zijn op verzoek beschikbaar.

18. Contact

Privacy- en gegevensbeschermingsverzoeken: privacy@preemiecompanion.com
Algemene support: support@preemiecompanion.com