Privacybeleid

De app slaat op je telefoon op:

• je capsules en concepten: naam, tekst van de brief, de datum van schrijven, de openingsdatum, de kleur van het zegel, of de capsule al is geopend, en op welke eerdere brief ze antwoordt;
• kopieën van de foto’s en video’s die je toevoegt (foto’s worden verkleind), en de spraakberichten die je opneemt;
• “dit moment”: je stemming, een nummer, de stad en het weer als je ze toevoegt en, in brieven aan jezelf, de naam van de telefoon (die je hem gaf, anders de maker en het model) en het batterijniveau;
• capsules die vrienden je sturen en, voor een groepscapsule die je organiseert, de tot nu toe verzamelde brieven;
• je instellingen (taal, thema, je verjaardag als je die voor een capsule gebruikt, het e-mailadres van het gekoppelde Google-account).

Foto’s en video’s worden gekozen via de eigen fotokiezer van Android, dus de app ziet alleen degene die je kiest, nooit je hele galerij. De microfoon wordt alleen gebruikt terwijl je een spraakbericht opneemt. Dit alles wordt bewaard in de privéopslag van de app, die andere apps niet kunnen lezen, maar de bestanden zelf zijn niet versleuteld. De app zet de automatische back-up van Android uit. Foto’s en video’s die je in Kolys maakt, worden gemaakt door de camera-app van je telefoon; Kolys zelf heeft geen cameratoestemming.

Een verzegelde brief is door de app vergrendeld: Kolys opent of toont hem niet vóór zijn dag, en de datum wordt online gecontroleerd. Dit is een slot in de app, geen versleuteling.

Op je telefoon zijn brieven, foto’s en opnamen gewone bestanden en database-items in de privéopslag van de app. Iemand die langs de appbeveiliging van Android komt, bijvoorbeeld op een geroote telefoon of een telefoon die met speciale hulpmiddelen is geopend, zou ze kunnen lezen. De zip in je Google Drive is ook niet versleuteld, dus Google zou hem kunnen lezen, zoals alles wat op Drive staat.

Cadeaubestanden en groepscapsules werken anders, zie “Capsules als cadeau” hieronder. Stop niets in een capsule wat voor anderen onleesbaar moet blijven.

Als je inlogt met Google, vraagt Kolys om één toestemming: drive.appdata. Daarmee kan de app alleen haar eigen bestanden maken, lezen en verwijderen in een verborgen app-map op je Google Drive. De app kan geen andere bestanden in je Drive zien of wijzigen.

Elke verzegelde capsule wordt daar opgeslagen als één gewoon zipbestand dat is genoemd naar de willekeurige id van de capsule (de brief, de foto’s, video’s, spraakberichten en “dit moment”), niet versleuteld. De openingsdatum en de datum waarop hij is geopend, worden ook bewaard als eigenschappen van het bestand. Concepten worden niet geüpload. Een synchronisatie start een paar seconden na een wijziging als er internet is, en ongeveer twee keer per dag. Dit haalt je verzegelde capsules terug op een nieuwe telefoon. De app leest ook het e-mailadres van je account, alleen om je te tonen welk account is gekoppeld.

Gegevens gaan rechtstreeks tussen je telefoon en Google, via een versleutelde verbinding. Er zit geen andere server tussen. Op wat er in je Drive is opgeslagen, is het eigen privacybeleid van Google van toepassing.

In Instellingen kun je al je capsules en concepten opslaan in één bestand, op een plek die jij kiest, zonder Google. De app stuurt dit bestand nergens naartoe. Als je het opslaat in een cloudmap, bewaart die dienst het.

Zonder geheim woord is het bestand niet versleuteld: wie het heeft, kan alle brieven lezen, ook verzegelde. Met een woord is het versleuteld en zo veilig als het woord moeilijk te raden is. Als je het woord vergeet, kan niemand het bestand openen.

Herstellen zet de capsules terug die niet op de telefoon staan, en verzegelde blijven verzegeld. Brieven die nog worden verzameld voor een groep en de woorden van cadeaus die je hebt verstuurd, staan niet in het bestand.

Het gebruik door Kolys van informatie die is ontvangen van Google API’s, en de overdracht daarvan aan andere apps, voldoet aan de Google API Services User Data Policy, inclusief de vereisten voor beperkt gebruik (Limited Use).

• Gegevens uit je Google Drive worden alleen gebruikt om je capsules te bewaren en ze terug te zetten op je telefoons.
• Ze worden nooit verkocht, nooit voor advertenties gebruikt en nooit met iemand gedeeld.
• Geen mens leest ze: de ontwikkelaar heeft geen toegang tot je Drive of je brieven.

Zodat een capsule niet eerder kan worden geopend door de klok van de telefoon te verzetten, vraagt de app een webserver om de actuele tijd (www.google.com of www.cloudflare.com) en leest de datum uit het antwoord. Ze vraagt het opnieuw als de dag van een capsule komt, voordat ze het je zegt. Er wordt niets over jou of je capsules verzonden. Zoals bij elk webverzoek zien deze diensten je IP-adres.

Alleen wanneer je tijdens het schrijven op “De stad en het weer toevoegen” tikt, vraagt de app Android één keer om je geschatte locatie (nooit de nauwkeurige). De locatiedienst van Android, meestal van Google, zet die om in een plaatsnaam, en de app vraagt MET Norway (Noors Meteorologisch Instituut, api.met.no) om het actuele weer, waarbij de locatie op ongeveer een kilometer wordt afgerond. Alleen de plaatsnaam en het weer worden in de capsule bewaard; de locatie zelf wordt niet opgeslagen. Je kunt dit altijd weglaten.

Als je zoekt naar het nummer van het moment, worden de woorden die je typt naar MusicBrainz (musicbrainz.org) gestuurd, een open muziekdatabase, om bijpassende titels te vinden. Alleen de titel, de artiest en het jaar van het nummer worden in de capsule bewaard, nooit hoezen of opnamen. “Luisteren” geeft de titel van het nummer door aan de muziek-app op je telefoon (of opent een zoekopdracht in YouTube Music), en die app werkt volgens haar eigen regels. Je kunt ook gewoon zelf een nummer typen zonder te zoeken.

Een capsule voor iemand anders wordt één bestand dat je zelf verstuurt, met de app die je kiest (een berichtenapp, e-mail, Google Drive). De ontwikkelaar ontvangt het nooit. Het bestand bevat de brief met foto’s, video’s, spraakberichten en “dit moment” (zonder de naam van de telefoon of het batterijniveau), en je naam als je die opgeeft. De bestandsnaam bevat de naam die je voor de ontvanger of de groep hebt getypt, en die kan de berichtenapp of e-maildienst zien. Video’s worden ongewijzigd verstuurd en kunnen de opnamelocatie bevatten.

Zonder geheim woord is het bestand versleuteld, maar de sleutel staat in het bestand zelf. Dit voorkomt dat een vriend het per ongeluk eerder uitpakt, niet dat iemand die het bestand heeft en wat vaardigheid, het opent. Vergrendel je het met een geheim woord, dan wordt de sleutel uit het woord gemaakt en staat hij in geen enkel bestand, dus het bestand is zo veilig als het woord moeilijk te raden is. Het woord blijft alleen op je telefoon, zodat je het weer kunt opzoeken, en komt nooit in het bestand, je Google Drive of bij de ontwikkelaar. Alleen de hint die je schrijft, is te lezen vóór het ontgrendelen.

Een capsule voor een groep bevat ook de naam van de groep en de namen die je opgeeft. Als een groep samen een capsule schrijft, bevat het uitnodigingsbestand de sleutel van de groep onversleuteld, dus iedereen die de uitnodiging heeft, kan de teruggestuurde brieven lezen. De brief van elke persoon gaat als bestand naar degene die ze verzamelt, versleuteld met die sleutel. Zolang de capsule niet is verzegeld, staan de verzamelde brieven als gewone bestanden in de appopslag van de organisator; de app toont alleen wie er heeft geschreven, niet wat, en ze worden niet naar Drive gekopieerd.

Zodra de ontvanger het bestand in Kolys opent, leeft zijn of haar kopie in de eigen app, onversleuteld zoals elke capsule, en, als die dat gebruikt, in de eigen Google Drive. Bestanden die je hebt verstuurd, blijven bij de ontvangers en in de berichtenapp of mailservice; een capsule in Kolys verwijderen kan ze niet terughalen.

De melding op de openingsdag wordt op je telefoon gepland en wacht op een internetverbinding, omdat eerst de datum wordt gecontroleerd; er wordt niets daarover naar ergens heen gestuurd. “Aan agenda toevoegen” opent de agenda-app van je telefoon met een kant-en-klare afspraak (de naam van de capsule en de openingsdatum). Jij beslist of je hem opslaat, en hij wordt dan bewaard door je agenda-app. Kolys kan je agenda niet lezen. De widget op het startscherm toont de naam van je dichtstbijzijnde capsule en de resterende dagen; de grote toont tot drie capsules met een voortgangsbalk en de openingsdatums.

Staan automatische controles aan (standaard wel), dan kijkt de versie van Kolys van deze website op de website van Kolys (pegasohlib.github.io) of er een nieuwe versie is als je de app opent, hooguit één keer per 30 minuten. Er is geen controle op de achtergrond. Ze downloadt de update alleen van GitHub als je op Bijwerken tikt, en controleert de SHA-256 van het bestand vóór het installeren. Zoals elke website ziet GitHub het IP-adres van je apparaat; er wordt verder niets verzonden, en geen gegevens uit de app.

Je kunt automatische controles uitzetten in Instellingen. Als de app uit Google Play komt, werkt Google Play haar in plaats daarvan bij.

GitHub telt ook hoe vaak elk bestand is gedownload. Dat is alleen een getal, zonder iets over wie het heeft gedownload; de website toont het als een geschat aantal downloads.

• geen accounts bij de ontwikkelaar en geen eigen servers;
• geen analyse, geen advertenties, geen tracking, geen crashrapporten die ergens naartoe worden gestuurd;
• geen verkoop van gegevens, en niets verzonden naar de ontwikkelaar;
• geen toegang tot je contacten, bestanden of galerij, en geen locatie op de achtergrond.

Internet

om de datum en het weer te controleren, Google Drive te gebruiken, naar nummers te zoeken en op updates te controleren.

Netwerkstatus

om op een verbinding te wachten voordat de datum wordt gecontroleerd of wordt gesynchroniseerd.

Meldingen

de openingsdag en de seintjes onderweg.

Microfoon (optioneel)

alleen voor spraakberichten, terwijl je opneemt.

Locatie bij benadering (optioneel)

alleen voor de stad en het weer, als je daarom vraagt.

Trillen

als een capsule opengaat.

Apps installeren

om de eigen updates te installeren (alleen in de versie van deze website).

• Een capsule in de app verwijderen haalt de brief, de bestanden, “dit moment”, de herinneringen en het opgeslagen cadeauwoord meteen van je telefoon, of je nu bent ingelogd of niet. Alleen een lege rij met de willekeurige id van de capsule blijft staan tot de volgende synchronisatie. Restanten van oudere versies worden geleegd als de nieuwe versie start.
• Op Google Drive wordt de zip van de capsule verwijderd en blijft een klein bestand met de id van de capsule en de extensie .gone staan. Het bevat alleen het woord “gone” en zegt je andere telefoons de capsule ook te verwijderen. Een capsule die je sindsdien op een andere telefoon hebt gewijzigd, blijft staan. Een reactie bewaart een eigen kopie van de brieven waarop ze antwoordt, zodat die het verwijderen van het origineel overleven.
• Als je de app verwijdert, verdwijnt alles wat ze op de telefoon had opgeslagen, maar niet de kopie in je Google Drive, niet de kopiebestanden die je hebt opgeslagen en niet de bestanden die je naar anderen hebt gestuurd.
• Om de kopie in Drive zonder de app te verwijderen: open Google Drive op het web → Instellingen → Apps beheren → Kolys → Opties → Verborgen app-gegevens verwijderen.
• Je kunt de toegang van de app op elk moment intrekken op myaccount.google.com/connections.

Als de app iets nieuws met gegevens gaat doen, wordt deze pagina eerst bijgewerkt, met een nieuwe datum bovenaan.

Wie verantwoordelijk is. PegasoHlib, een particulier die deze apps ontwikkelt, is verantwoordelijk voor de gegevens die hier worden beschreven. Contact: support@pegasohlib.com.

Waarom gegevens worden gebruikt, en op welke rechtsgrond.

De app laten werken, en de back-up of synchronisatie die je aanzet

Overeenkomst: nodig om te leveren waar je om hebt gevraagd (AVG, art. 6, lid 1, onder b)

Stad en weer, liedjes zoeken

Toestemming: je kunt dit op elk moment uitzetten (art. 6, lid 1, onder a)

Updatecontrole en veiligheid

Gerechtvaardigd belang: de app veilig en up-to-date houden (art. 6, lid 1, onder f)

Een e-mail die je stuurt

Gerechtvaardigd belang: je antwoord geven (art. 6, lid 1, onder f)

Wie ze ontvangt, en doorgifte buiten de EU. Google (je Drive, de adresdienst van Android op de meeste telefoons en de tijdcontrole), Cloudflare (de tijdcontrole), MET Norway (weer), MusicBrainz (liedjes zoeken) en GitHub (updatecontrole en downloads). E-mail die je stuurt, gaat via Cloudflare en wordt door Google bewaard in een Gmail-postvak, en Anthropic kan die verwerken wanneer een AI-assistent helpt met lezen. Sommige van deze bedrijven zijn gevestigd in de Verenigde Staten of andere landen buiten de EU. Die doorgiften berusten op het EU-VS-kader voor gegevensprivacy, als het bedrijf eraan deelneemt, of op de standaardcontractbepalingen van het bedrijf.

Hoe lang ze worden bewaard. Gegevens in de app blijven staan tot je ze verwijdert of de app verwijdert. Kopieën in je eigen cloudopslag blijven staan tot je ze verwijdert. E-mails die je stuurt worden bewaard tot de kwestie is afgehandeld, en niet langer dan 2 jaar.

Je rechten. Je kunt vragen om inzage in je gegevens, correctie, verwijdering, beperking van de verwerking en een kopie om elders mee naartoe te nemen (overdraagbaarheid), en je kunt bezwaar maken tegen de verwerking of je toestemming op elk moment intrekken. Schrijf naar het adres hierboven. Je krijgt binnen een maand antwoord. Het meeste van de gegevens staat alleen op je apparaat, dus meestal kun je dit zelf in de app doen.

Klachten. Je kunt een klacht indienen bij de toezichthouder voor gegevensbescherming in je land.

Leeftijd. Je moet minstens 15 zijn om de app zelfstandig te gebruiken. Ben je jonger, vraag dan eerst toestemming aan een ouder of voogd.

Taal. De vertalingen van dit beleid worden met hulp van AI gemaakt. Wijkt een vertaling af van de Engelse tekst, dan geldt de versie die voor jou gunstiger is.

Vragen over privacy: support@pegasohlib.com.