Privacy

Wat we bewaren, en wat niet.

Geschreven om te laten zien hoe Kino echt werkt.

Laatst bijgewerkt: 17 oktober 2026

Deze pagina beschrijft hoe Kino nu werkt. De datum hierboven is die van de laatste inhoudelijke wijziging.

1. Wie verantwoordelijk is voor je gegevens

Kino wordt gerund door Gijs Addas, met een eenmanszaak die in Nederland is gevestigd en handelt onder de naam Kino.

Adres: Marnixstraat 69a, 1015 VC Amsterdam, Netherlands
Ingeschreven in het Handelsregister van de Kamer van Koophandel (KVK), onder nummer 91722063
Btw-identificatienummer: NL004910829B80
Contact: privacy@kinoapp.eu

Volgens de Algemene verordening gegevensbescherming (AVG) zijn wij de verwerkingsverantwoordelijke voor de persoonsgegevens die hier worden beschreven. Voor alles over je gegevens, waaronder een vraag, een verzoek of een klacht, mail je naar privacy@kinoapp.eu. Een mens leest het.

Kino is zo klein dat de wet ons niet verplicht een functionaris voor gegevensbescherming aan te stellen, en we hebben er ook geen aangesteld. Vragen over privacy gaan naar ons, via privacy@kinoapp.eu. We zijn gevestigd in de Europese Unie, dus we hebben geen vertegenwoordiger nodig als bedoeld in artikel 27 van de AVG, en we hebben er ook geen aangesteld.

2. Waar dit beleid over gaat

De Kino-apps voor iPhone en Android, de website op kinoapp.eu, inclusief de deelpagina’s die een voorbeeldweergave van een film, lijst of recensie openen, het dashboard voor medewerkers, en de e-mails en pushmeldingen die we versturen.

Het gaat niet over diensten van anderen. Log in met Apple, Inloggen met Google, de App Store, Google Play en The Movie Database hebben elk hun eigen beleid, en in paragraaf 9 staat waar de grenzen liggen.

3. In het kort

We verzamelen wat de app nodig heeft om te werken, en niet veel meer.
Geen advertenties, geen advertentie-ID’s, geen trackers van derden. Niet op de website, niet in de apps.
De website telt bezoeken, en zet daarvoor geen cookie. Ze legt vast welke pagina's worden geopend en welke links naar een store leiden, en nooit wie je bent. De apps meten hoe ze worden gebruikt, en dat kun je uitzetten in Instellingen. Beide gebruiken PostHog. In paragraaf 4.13 en 4.16 staat precies wat er wordt verstuurd.
We verkopen je gegevens en wat je schrijft niet, en we geven ze niet aan datahandelaren.
We trainen geen generatieve AI-modellen met je recensies, beoordelingen of kijkgeschiedenis, en we laten ook niemand anders dat doen.
Je dagboek, recensies en lijsten zijn zichtbaar voor het publiek dat jij kiest, en elk item heeft een eigen privé-instelling.
Je adresboek verlaat je telefoon nooit. Alleen onherkenbaar gemaakte e-mailadressen doen dat, en die bewaren we niet. Telefoonnummers worden nooit verstuurd.
Locatie staat uit tenzij je er een instelt, en het is een plek die jij kiest, geen spoor dat wij volgen.
Je kunt alles wat we over je hebben exporteren en je account verwijderen vanuit de app, zonder het ons te vragen. In paragraaf 13 staat wat de export bevat.

De rest van deze pagina is de uitwerking van die regels.

4. Wat we verzamelen, en waarom

4.1 Je account

Om een account te maken heb je een e-mailadres, een gebruikersnaam en een wachtwoord nodig. We slaan je wachtwoord alleen op als bcrypt-hash. We hebben het wachtwoord zelf dus nooit en kunnen het niet terughalen, niet voor jou en niet voor iemand anders die erom vraagt. Gebruik een wachtwoord dat je nergens anders gebruikt. Als je alleen maar inlogt met Apple of Google, hebben we helemaal geen wachtwoord van je.

Zolang Kino alleen op uitnodiging toegankelijk is, heb je ook een uitnodigingslink nodig die we naar je adres mailen, voordat je je kunt registreren. De uitnodiging is eenmalig te gebruiken en gekoppeld aan dat ene adres.

Je kunt ook een naam, een bio en een profielfoto (paragraaf 4.14) toevoegen, en maximaal zes films op je plank zetten, die op je profiel te zien zijn. Die zijn optioneel, en openbaar op dezelfde manier als de rest van je profiel. Zonder foto toont je profiel de eerste letter van je naam.

We houden bij of je e-mailadres is geverifieerd, en we bewaren de verificatiecodes en de tokens om je wachtwoord opnieuw in te stellen die we je sturen. We slaan een code of een token nooit leesbaar op: we bewaren van elk alleen een bcrypt-hash, met dezelfde sterkte als bij je wachtwoord. Een verificatiecode voor je e-mailadres is 15 minuten geldig en een link om je wachtwoord opnieuw in te stellen 24 uur. Beide zijn eenmalig te gebruiken, beide werken niet meer na vijf foute pogingen, en als je een nieuwe aanvraagt, vervalt de oude. Als je je e-mailadres wijzigt, leggen we die wijziging vast.

Er is geen veld voor je geboortedatum, je telefoonnummer of je huisadres. We vragen er niet om, dus we hebben ze niet.

Moet je ons iets hiervan geven? Geen enkele wet verplicht je daartoe. Een account bestaat uit een e-mailadres, een gebruikersnaam en een wachtwoord, dus zonder die drie kunnen we er geen voor je openen. Al het andere op deze pagina is optioneel: je naam, je bio, je foto, je plank, toegang tot je contacten, een opgeslagen locatie, pushmeldingen. Als je die met rust laat, werkt de rest van Kino precies zoals nu, alleen zonder de functie waar ze bij horen.

4.2 Inloggen met Apple of Google

Als je inlogt met Apple of Google, slaan we de vaste account-ID op die deze aanbieder ons geeft, het e-mailadres dat de aanbieder doorgeeft, of dat adres is geverifieerd, en wanneer de koppeling voor het laatst is gebruikt. We bewaren ook de rest van het inlogtoken zoals de aanbieder het stuurt, in één veld in hetzelfde record. Bij Google staan daar meestal je naam en het webadres van je Google-profielfoto in, en bij Apple staat erin of het adres een afgeschermd doorstuuradres is.

Twee details die goed zijn om te weten:

Als je Verberg mijn e-mailadres gebruikt, krijgen wij het afgeschermde doorstuuradres van Apple. Dat is het adres waarop we je bereiken, en het adres dat in onze database staat.
Apple stuurt je voor- en achternaam maar één keer, bij de eerste autorisatie, en daarna nooit meer. Daarom slaan we die dan op. Als je account met die inlog is aangemaakt, wordt die naam ook de naam op je profiel, en daar kun je hem altijd wissen. Als je hem wist, verdwijnt de kopie die Apple stuurde niet. Die blijft in het record van je koppeling met Apple staan tot je je account verwijdert.

We ontvangen nooit je wachtwoord voor Apple of Google.

4.3 Je filmarchief

Het meeste van wat we opslaan, gaat over wat je in Kino doet:

bekeken films en afleveringen: de films en afleveringen die je hebt gelogd, wanneer je ze hebt gekeken, en of je ze opnieuw keek;
beoordelingen en recensies, inclusief of je er een als spoiler hebt gemarkeerd, en de bewerkingsgeschiedenis van een recensie;
lijsten die je maakt, en lijsten waarvoor anderen je hebben uitgenodigd om mee te werken;
je watchlist en favorieten;
reacties en likes, op je eigen inhoud en die van anderen;
wie je volgt, wie jou volgt, en openstaande volgverzoeken;
sessies om samen te kijken, of je er nu zelf een bent begonnen of bent uitgenodigd, inclusief wie er is uitgenodigd en of elke persoon heeft geaccepteerd, heeft geweigerd of nog niet heeft gereageerd;
wie je hebt gedempt, en welke items in je feed of welke suggesties je hebt verborgen;
onafgemaakte concepten, zodat een half geschreven recensie bewaard blijft als je de app sluit;
de antwoorden die je gaf tijdens het instellen: je smaak, hoe je van Kino hoorde, waarvoor je het vooral wilt gebruiken, en wie je heeft uitgenodigd, als iemand dat deed;
stille signalen die meebepalen wat je te zien krijgt: hoe je elke kaart in Voor jou hebt geswipet, wat bewaard blijft ook als je het ongedaan maakt, wanneer je je feed voor het laatst opende, en welke suggesties je hebt verborgen.

4.4 Je instellingen

Thema, taal, hoe je speelduur en beoordelingen wilt zien, hoe je bibliotheek is ingedeeld, hoe lijsten zijn gesorteerd, welke meldingen je wilt, je privacyschakelaars en je opgeslagen plek. We slaan deze op zodat je voorkeuren op al je apparaten hetzelfde blijven.

4.5 Locatie, alleen als je er een instelt

Kino volgt je locatie niet. Er is geen locatie op de achtergrond, geen geofencing, en de app vraagt nooit om de toegang “Altijd”. Op Android vraagt de app alleen om je locatie bij benadering, nooit om je precieze locatie.

Je kunt een locatie instellen in Instellingen, dan Locatie, of vanuit het venster Waar te zien, en de iPhone-app biedt het ook aan tijdens het instellen. We gebruiken die om speeltijden van bioscopen bij jou in de buurt te tonen en om de juiste regio te kiezen voor de beschikbaarheid bij streamingdiensten. Je kunt een stad zoeken, of tikken om je huidige locatie te gebruiken. In beide gevallen wordt een plaatsnaam of een coördinaat omgezet in een stad en een land door een dienst die je telefoon levert, niet door ons:

op iPhone door Apple, op de servers van Apple, met de geocoder van het systeem, en het zoeken naar een stad gebruikt Apple Kaarten;
op Android door de geocoder die in Android is ingebouwd, die op de meeste telefoons door Google wordt geleverd via Google Play-services.

De tekst die je typt en de coördinaat die je gebruikt, gaan dus naar Apple of Google, onder hun privacybeleid, en niet naar ons.

Wat we daarna opslaan, is het resultaat, de plek: breedtegraad, lengtegraad, het label, de ISO-landcode en een zoekstraal. Als je op Android je huidige locatie gebruikt, is de coördinaat die we opslaan de positie van je telefoon bij benadering, en niet het midden van de stad. De plek blijft in je instellingen staan tot je hem wijzigt of wist. Als je speeltijden bekijkt, stuurt de app die coördinaat mee met het verzoek, zodat onze servers de bioscopen in de buurt kunnen vinden. Zoals elk verzoek komt dit daarna in onze request-traces terecht, die na 7 dagen worden verwijderd (paragraaf 4.11). Als het venster Waar te zien een land nodig heeft dat je opgeslagen plek niet heeft, zoekt de app het op uit je opgeslagen coördinaat, met dezelfde geocoder, en slaat het op.

4.6 Mensen vinden die je kent

Als je tikt om je contacten te doorzoeken, in Vrienden zoeken of tijdens het instellen, en alleen dan, vraagt de app je telefoon om toegang tot je contacten. Zo werkt het vergelijken van contacten:

de app leest de e-mailadressen op elke contactkaart, en de naam en het telefoonnummer, die de app je laat zien zodat je kunt kiezen wie je uitnodigt. Geen verjaardagen, geen foto’s, geen adressen, en ook niets anders;
elk adres wordt omgezet naar kleine letters en gehasht met SHA-256 op je apparaat. Telefoonnummers worden niet gehasht en niet verstuurd: ze zijn er alleen zodat je zelf een uitnodiging kunt sturen, vanaf je eigen telefoon, in je eigen berichtenapp (Berichten op iPhone; je sms-app, WhatsApp of Telegram op Android);
alleen de hashes van de adressen worden naar ons gestuurd, in groepen van maximaal 2.000. Je adresboek verlaat je telefoon nooit, en iemands naam of nummer ook niet;
we vergelijken ze met de hashes die we hebben van mensen die al op Kino zitten, sturen de overeenkomsten terug en gooien de hashes weg die jij hebt gestuurd. Die schrijven we nooit naar een database of een cache. Bij normale werking worden ze ook nooit gelogd. De enige uitzondering is een serverfout: dan kan ons foutenlog de inhoud van het verzoek vastleggen, en dat record wordt na 7 dagen verwijderd, samen met de rest van onze applicatielogs;
we vergelijken alleen met een hash van het adres waarmee elk account is aangemaakt, en met niets anders. Dat is een echte beperking, en die benoemen we liever duidelijk: we kunnen alleen iemand vinden van wie jij het e-mailadres hebt opgeslagen en die met datzelfde adres een account heeft gemaakt, en dat is vaak niemand. We vinden liever minder mensen dan dat we meer over je bewaren;
iemand verschijnt alleen in je resultaten als die persoon “Mijn account aan anderen voorstellen” heeft aanstaan. Dat je iemands e-mailadres hebt, betekent niet dat die persoon toestemming geeft om daarmee gevonden te worden.

Eén belangrijk punt: een hash is geen anoniem gegeven. Wie de hash heeft van een waarde die al te raden valt, kan de overeenkomst bevestigen. Een gehasht adres is dus een onherkenbaar gemaakt adres, geen anoniem adres. We behandelen deze hashes als persoonsgegevens. Daarom gooien we de hashes die je ons stuurt weg, in plaats van ze te bewaren om later beter te kunnen vergelijken.

4.7 Pushmeldingen en apparaten

Als je pushmeldingen aanzet in de iPhone-app, slaan we het APNs-apparaattoken op, het platform, de apparaatnaam die iOS ons geeft, de appversie, welke functies die versie van de app ondersteunt, en het moment waarop dat apparaat zich voor het laatst heeft gemeld, dat de app bij het opstarten bijwerkt. Sinds iOS 16 is de apparaatnaam die we ontvangen het model, bijvoorbeeld “iPhone”, en niet een naam die je zelf hebt gekozen. Maar het record is gekoppeld aan je account, dus we behandelen het als persoonsgegevens, en je kunt er het ene apparaat mee van het andere onderscheiden. We verwijderen het record als je uitlogt. Als Apple ons laat weten dat het token niet meer werkt, markeren we het record als ingetrokken en sturen we er niets meer naartoe. De rij bewaren we, zodat hetzelfde apparaat zich netjes opnieuw kan registreren.

De Android-app ontvangt nog geen pushmeldingen, dus er wordt niets over een Android-telefoon bij ons geregistreerd. De meldingsschakelaars die je daar instelt, worden in je account opgeslagen, net als de rest van je instellingen.

Herinneringen voor de releasedag die je in de iPhone-app voor een film instelt, worden op je apparaat ingepland en bereiken ons nooit.

4.8 Aankopen

In de iPhone-app vindt de aankoop plaats in de App Store van Apple, of je nu een abonnement op Kino Plus neemt of een eenmalige bijdrage doet, en we zien nooit je kaart, je factuuradres of je Apple ID. Als je een aankoop start, koppelt de app de ID van je Kino-account eraan, zodat een later bericht over die aankoop aan je account kan worden gekoppeld. Apple ontvangt die ID, maar verder niets over jou.

In de Android-app vindt de aankoop plaats in Google Play, als je Kino steunt met een eenmalige of een maandelijkse bijdrage, en we zien nooit je kaart, je factuuradres of je Google-account. Kino Plus zelf wordt voorlopig alleen in de iPhone-app verkocht.

We gebruiken RevenueCat om aankopen uit beide stores bij te houden. Uit de ruwe berichten van de stores afleiden of een abonnement op dit moment loopt, is namelijk iets wat makkelijk net verkeerd gaat. RevenueCat is een bedrijf in de Verenigde Staten. Het handelt alleen volgens onze instructies, op basis van een schriftelijke overeenkomst. Wat het over je heeft, is de ID van je Kino-account en je aankoopgeschiedenis: het product, de prijs en de valuta, de datums, de transactie-ID’s van de store, en of een abonnement actief is, in een proefperiode zit, in een nieuwe betaalpoging zit, is opgezegd of is terugbetaald. Het ontvangt nooit je e-mailadres, je naam of iets wat je in Kino hebt geschreven.

Bij een aankoop in de App Store krijgen wij een ondertekend record van de transactie terug, dat we bewaren zoals het is ondertekend. Daaruit lezen en bewaren we het product, het bedrag en de valuta, de aankoopdatum, de transactie-ID’s van Apple, de omgeving en, bij abonnementen, de status, de verlengingsdatum en of automatisch verlengen aanstaat. Dit komt niet maar één keer binnen: zolang een abonnement loopt, krijgen we bericht telkens als het wordt verlengd, verloopt, wordt opgezegd of wordt terugbetaald, of als je automatisch verlengen aan- of uitzet.

Bij een aankoop in Google Play komen dezelfde soorten berichten bij ons binnen via RevenueCat, en we bewaren van elk een kopie zoals het binnenkwam. Anders dan die van Apple zijn ze niet ondertekend. Direct na een aankoop stuurt de Android-app ons ook de prijs die de app je liet zien en het bestelnummer van Google, zodat de aankoop meteen op je account te zien is. Hieruit bewaren we het product, het bedrag en de valuta die je hebt betaald, de aankoopdatum, het bestelnummer van Google, de omgeving en, bij een maandelijkse bijdrage, de status, de verlengingsdatum en of automatisch verlengen aanstaat.

We bewaren dit allemaal zodat we Kino Plus voor je account kunnen ontgrendelen, je supportersbadge kunnen tonen, een transactie niet dubbel tellen en onze boekhouding op orde houden. Als je je account verwijdert, worden je aankoopgeschiedenis en je record bij RevenueCat verwijderd. De berichten die Apple en RevenueCat ons over elke transactie sturen, worden zeven jaar bewaard, omdat de Nederlandse boekhoudwetgeving ons verplicht de administratie die onze inkomsten onderbouwt zo lang te bewaren (paragraaf 11).

4.9 Importeren uit Letterboxd

Als je een Letterboxd-export importeert, upload je een ZIP-bestand dat we omzetten in je bekeken films, dagboek, beoordelingen, recensies, watchlist, likes en lijsten. We bewaren de omgezette inhoud als je Kino-gegevens, plus een record van de importtaak met aantallen, tijden en alles wat we niet aan een film konden koppelen, zodat je dat kunt herstellen. Alles wat een import aanmaakt, komt privé binnen, zodat niemand anders het ziet terwijl de import loopt. Als de import klaar is, vragen we of je het openbaar wilt maken, en je antwoord wordt toegepast op de recensies en de bekeken films die de import heeft aangemaakt. Lijsten die een import aanmaakt, zijn altijd privé, en je kunt een lijst altijd zelf aanpassen. Opnieuw importeren overschrijft een bestaande recensie van dezelfde film, ook een die je met de hand hebt geschreven.

4.10 Melden en ondersteuning

Als je een recensie, reactie, lijst of profiel meldt, leggen we vast wie wat heeft gemeld, de reden en alles wat je erbij hebt geschreven, zodat een mens ernaar kan kijken. Als je ons mailt, hebben we je e-mail en alles wat je ons vertelt.

Als je het formulier op de contactpagina gebruikt, bewaren we de naam en het e-mailadres die je invult, het onderwerp dat je kiest en je bericht, en mailen we een kopie naar de inbox voor dat onderwerp, zodat iemand je kan antwoorden. Het IP-adres waarvandaan het formulier is verstuurd, slaan we niet op. Het wordt alleen gebruikt om verzoeken te tellen voor een verzoeklimiet, zoals beschreven in 4.11. Je kunt ons altijd vragen om een bericht dat je hebt gestuurd te verwijderen: zie paragraaf 13.

Als je feedback stuurt vanuit de app, bewaren we je bericht, het soort feedback dat je hebt gekozen, je appversie en build, het besturingssysteem van je telefoon en de versie daarvan, en het merk en model, die de app je laat zien voordat je verstuurt. Als je een screenshot toevoegt, coderen we die eerst opnieuw op onze servers. Daarmee verdwijnen de locatie en alles wat verder in het bestand is opgeslagen. Daarna bewaren we de screenshot in afgeschermde opslag die alleen onze medewerkers kunnen openen, via een link die maar kort geldig is. Feedback en de bijbehorende screenshot worden samen met je account verwijderd.

4.11 Beveiligings- en auditgegevens

We houden drie soorten operationele gegevens bij, plus servicestatistieken.

Applicatielogs. De logregel die we per verzoek schrijven, legt alleen de methode, het pad, de status, de duur en een ID per verzoek vast, en nooit je IP-adres of je user agent. Een klein aantal andere logregels legt je IP-adres wel vast: als een verzoek wordt geweigerd omdat het een verzoeklimiet raakt, en als het opnieuw instellen van een wachtwoord wordt aangevraagd of afgerond, of als een wachtwoord wordt gewijzigd. Inloggegevens die in een querystring meereizen, worden verwijderd voordat er iets wordt weggeschreven. Een waarde die in het pad zelf staat, zoals het pushtoken dat wordt gebruikt als een apparaat uitlogt, wordt niet verwijderd.
Request-traces. Bij elk verzoek leggen onze servers vast hoe lang elke stap duurde, samen met het adres dat werd opgevraagd, inclusief het deel na het vraagteken. Inloggegevens worden uit dat deel verwijderd, maar bij het zoeken naar speeltijden staat daar de coördinaat in waarvoor is gezocht. Request-traces worden na 7 dagen verwijderd.
De audittrail. Wijzigingen in accounts en inhoud worden vastgelegd, samen met wie het deed, de handeling, het record waar het om gaat, en een volledige momentopname van wat dat record bevatte. Bij een recensie of een lijst zit daar de tekst bij die je hebt geschreven. Deze records bevatten ook je IP-adres en user agent, zodat we misbruik, accountovername en onze eigen fouten kunnen onderzoeken. Bij een verzoek om een wachtwoord opnieuw in te stellen wordt het adres vastgelegd waarvandaan het kwam.

Autorisatiebeslissingen worden apart gelogd: we leggen elke weigering vast en alles wat een beheerder doet, en nemen een steekproef van gewone goedkeuringen. Deze records bevatten geen IP-adres. Servicestatistieken (aantallen verzoeken, fouten, vertraging) zijn niet aan jou gekoppeld.

Verzoeklimieten. Om te voorkomen dat één persoon of één machine het inloggen, registreren en opnieuw instellen van wachtwoorden bestookt, tellen we verzoeken per IP-adres waarvandaan ze komen. De telling staat in het geheugen zolang het tijdvenster duurt, en verdwijnt daarna.

4.12 De wachtlijst

Als je op de website je e-mailadres invult om een plek aan te vragen, wordt het opgeslagen in onze wachtlijst. We bewaren het adres, waar de aanmelding vandaan kwam (voor de website alleen dat het de landingspagina was), en waar je in de rij staat: wachtend, uitgenodigd of geweigerd. Als we je een uitnodiging sturen, leggen we vast dat die is verstuurd en wanneer.

We gebruiken het voor één ding: je een plek aanbieden zodra er een vrijkomt. We zetten je niet op een nieuwsbrief, we gebruiken het niet om je iets anders aan te prijzen, en we geven het aan niemand anders door. Het wordt bewaard tot je bent uitgenodigd of tot je ons vraagt het te verwijderen.

Je kunt ons altijd vragen je te verwijderen door te mailen naar privacy@kinoapp.eu, en dan verwijderen we de inschrijving.

Horen wanneer Kino uitkomt. Als je op de website vraagt om bericht te krijgen wanneer Kino voor jouw telefoon uitkomt, slaan we je e-mailadres op, naar welk platform je vroeg, of je het adres hebt bevestigd en wanneer, wanneer we je bericht hebben gestuurd, waar je je hebt aangemeld, je taal, en het IP-adres en de browsergegevens van het moment waarop je je aanmeldde, als vastlegging van je toestemming. We sturen je een bevestigingsmail, daarna één e-mail als Kino op jouw platform uit is, en verder niets. Een adres dat nooit wordt bevestigd, wordt na 14 dagen verwijderd. Een inschrijving wordt verwijderd 90 dagen nadat we je hebben gemaild. En als je vraagt om van de lijst te worden gehaald, is de inschrijving binnen 30 dagen voorgoed weg.

4.13 Hoe de apps worden gebruikt

De apps meten hoe ze worden gebruikt, zodat we kunnen zien welke onderdelen werken en welke niet. Daarvoor is er precies één tool, PostHog, en we gebruiken de Europese dienst daarvan, dus de gegevens blijven in de EU. De apps versturen ze via een hostnaam van ons, e.kinoapp.eu, die PostHog voor ons draait als proxy vóór die dienst, op het netwerk van Cloudflare. Dat is er zodat de meting niet op sommige netwerken ongemerkt wordt geblokkeerd en op andere niet, want dan zouden we een beeld krijgen dat scheef is in de richting van mensen met minder beschermende instellingen. De website gebruikt dezelfde dienst, en dat staat in paragraaf 4.16.

Wat het vastlegt. Het scherm waarop je bent, en een gebeurtenis voor elk ding dat je doet: een titel openen, een bekeken film loggen, het instellen afronden, een kaart swipen, een aankoop starten. Elke gebeurtenis heeft een paar eigenschappen die de vorm beschrijven van wat er gebeurde, zoals van welk tabblad je kwam, hoeveel items er op het scherm stonden of hoe lang een kaart zichtbaar was. Het legt ook vast wanneer de app wordt gestart (en op Android ook installaties, updates en wanneer de app naar de achtergrond gaat), of je Kino steunt en met welk plan, of je het instellen hebt afgerond, of pushmeldingen aanstaan, en crashes en fouten, samen met de technische details van waar de code faalde. Elke gebeurtenis bevat je appversie en de basisgegevens van je telefoon: merk en model, besturingssysteem en versie, taal, tijdzone en schermgrootte, en, afhankelijk van de telefoon, of je op wifi of mobiele data zit en de naam van je mobiele netwerk.

Wat het niet vastlegt. Niets wat je schrijft. Geen recensie, geen reactie, geen lijstnaam, geen bio, geen zoekopdracht, geen bericht en geen bijschrift. Dat is afgedwongen en niet alleen de bedoeling: in beide apps wordt een eigenschap waarvan de naam lijkt op vrije tekst of op een persoonlijke ID, verwijderd en vervangen door een markering voordat er iets het apparaat verlaat, en in de iPhone-app mislukt de build als iemand er een toevoegt. Er is geen advertentie-ID, en sessieopname, die je scherm zou opnemen, staat in de code uit.

Waar je bent. De apps versturen je locatie nooit. Elk verzoek op internet laat het IP-adres zien waar het vandaan komt. PostHog leidt daar een stad en een land uit af, bewaart die twee bij de gebeurtenis en gooit het adres weg. Sinds oktober 2026 bewaart het niets dat preciezer is. Tot dan bewaarde het ook een postcode en coördinaten bij benadering, die op dezelfde manier werden afgeleid, en gebeurtenissen van voor die wijziging hebben ze nog.

Over wie het gaat. Gebeurtenissen worden gekoppeld aan dezelfde nietszeggende account-ID die elders in dit beleid wordt gebruikt, nooit aan je e-mailadres of je naam. De app heeft ook een willekeurige ID voor de installatie zelf, zodat we het ene apparaat van het andere kunnen onderscheiden. Die is niet gekoppeld aan iets wat Apple of Google ons geeft, en blijft bestaan als je uitlogt. Als je telefoon op Android een back-up van appgegevens maakt in je Google-account, komt dezelfde ID terug wanneer je die back-up terugzet.

Uitzetten. Instellingen, dan Privacy, dan Gebruiksgegevens delen, in beide apps. Het staat standaard aan. Als je het uitzet, stuurt de app vanaf dat moment niets meer. Onze servers stoppen dan ook met versturen wat ze over je versturen: een handvol gebeurtenissen over je activiteit, zoals het loggen van een bekeken film of het schrijven van een recensie, en twee van je antwoorden uit het instellen, namelijk hoe je van Kino hoorde en waarvoor je het vooral wilt gebruiken. Als de instelling op het apparaat en de instelling op het account ooit van elkaar verschillen, wint “uit”. Als je je account verwijdert, worden je record bij PostHog en de gebeurtenissen die erbij horen verwijderd.

Verschillende versies te zien krijgen. We tonen soms verschillende versies van een scherm aan verschillende accounts, om te leren welke duidelijker is, en paragraaf 13 van de voorwaarden gaat over de versies die een prijs of een proefperiode veranderen. Welke versie je krijgt, berekent onze server uit je account-ID, willekeurig, nooit uit iets wat je hebt gelogd. Is dat eenmaal bepaald, dan ligt het voor jou vast, zodat de app niet onder je handen verandert. Omdat die beslissing bepaalt wat de app toont, wordt ze genomen of je gebruiksgegevens nu hebt uitgezet of niet: een privacyschakelaar die ongemerkt verandert welke versie van Kino je gebruikt, zou het verkeerde soort schakelaar zijn. Bij die beslissing gaan je account-ID, of je account een beheerdersaccount is, en de organisatie waar het bij hoort als het bij een organisatie hoort, naar PostHog, en verder niets. Als je gebruiksgegevens hebt uitgezet, leggen we daarna niet vast wat je hebt gedaan met de versie die je te zien kreeg. Je krijgt de wijziging dus wel te zien, maar wordt nooit gemeten.

Diagnosegegevens. Onder Instellingen, dan Privacy, staat ook een schakelaar die Diagnosegegevens aan je account koppelen heet. Die hoort bij technische diagnosegegevens: hoe lang schermen nodig hebben en welke fouten optreden. De apps zijn gebouwd om die naar onze eigen servers te sturen. We verzamelen ze nu niet, dus de schakelaar verandert nog niets. Voordat we daarmee beginnen, komt in deze paragraaf precies te staan wat diagnosegegevens bevatten.

4.14 Je profielfoto

Je kunt een profielfoto toevoegen door er een te maken of er een te kiezen die je al hebt. In beide gevallen krijgt de app alleen die ene foto die je kiest: voor het kiezen wordt de fotokiezer van je telefoon zelf gebruikt, die buiten de app draait, dus Kino ziet de rest van je fotobibliotheek nooit. Op iPhone vraagt de app om toegang tot de camera als je voor het eerst op Foto maken tikt. Op Android geeft de app het over aan je camera-app, en vraagt de app zelf nooit om toegang tot de camera.

De app snijdt de foto bij tot een vierkant en verkleint hem voor het uploaden. Op onze servers coderen we hem daarna helemaal opnieuw. Daarmee verdwijnen de locatie en alles wat verder in het bestand is opgeslagen. We bewaren hem in twee afmetingen. Elke foto wordt gecontroleerd door een geautomatiseerd systeem dat op onze eigen servers draait, en een foto waarover het systeem twijfelt, wordt door een mens bekeken voordat hij verschijnt.

Je profielfoto is openbaar. Hij verschijnt overal waar je naam verschijnt, en iedereen die het webadres ervan heeft, kan hem openen, wat de privacyinstelling van je account ook is. Je kunt hem altijd vervangen of verwijderen. Van elke foto die je uploadt, bewaren we een record van die controle: de scores, de beslissing, wie de foto heeft beoordeeld en een eventuele notitie van die persoon, en een vingerafdruk van de afbeelding. Die records worden samen met je account verwijderd, en je foto’s ook. Een foto die voor beoordeling is tegengehouden en niet is goedgekeurd, wordt 48 uur na de beslissing verwijderd.

4.15 De app up-to-date houden

Als je de app opent, haalt die een klein bestand op van updates.fijagi.com waarin staat wat de oudste versie van Kino is die nog werkt, zodat de app je kan vragen om bij te werken als jouw versie is achtergeraakt. Het verzoek bevat niets over jou of je account. Zoals elk verzoek op internet laat het je IP-adres zien aan de server die het beantwoordt, en dat is een server van Cloudflare (paragraaf 9).

4.16 Hoe de website wordt gebruikt

De openbare website telt bezoeken, via dezelfde PostHog-dienst als de apps en dezelfde hostnaam van ons, e.kinoapp.eu (paragraaf 4.13). Dat gebeurt zonder cookie en zonder iets in je browser op te slaan.

Wat ze vastlegt. Welke pagina's worden geopend, in welke volgorde en hoe lang, en waar een bezoek vandaan kwam: de site die hierheen linkte, en de campagnelabels die een link meedraagt als die ze heeft. Ze legt nog zeven dingen vast wanneer ze gebeuren: dat een link naar de App Store of Google Play wordt gevolgd, dat het venster Kino downloaden wordt geopend, dat het wachtlijstformulier, het formulier om te horen wanneer Kino uitkomt of het contactformulier is geaccepteerd, dat een pagina wordt geopend die een link aan de app doorgeeft, en dat een pagina de app probeert te openen. Bij elk daarvan horen de basisgegevens van je browser: naam en versie, je besturingssysteem en de versie ervan, of die op een telefoon, een tablet of een computer draait, de grootte van je scherm en van het browservenster, je taal en je tijdzone.

Als een telefoon meteen naar zijn store gaat. Een telefoon die kinoapp.eu/download opent in zijn eigen browser, of een van onze links naar de App Store of Google Play volgt, gaat door naar de store voordat er een pagina laadt. Een telefoon die de pagina opent in de browser van een andere app, wordt door de pagina zelf doorgestuurd. Onze server telt elk daarvan zelf, omdat de pagina er niet aan toekomt: welke store, of het om de app of een bèta ging, de campagnelabels op de link, en in de browser van welke app je zat, als dat zo was. Hij verstuurt niets over je telefoon of je verbinding, en geeft elke telling een nieuwe code die naar niemand verwijst.

De stores laten weten waar je vandaan kwam. Als de link die je volgde campagnelabels droeg, zet de site die op haar link naar de App Store of Google Play, zodat Apple en Google ons kunnen vertellen hoeveel mensen Kino via die campagne hebben geïnstalleerd. Ze geven ons totalen, nooit wie.

Wat ze niet vastlegt. Niets wat je typt: geen e-mailadres, geen bericht, geen zoekopdracht. Niet het geheime deel van een link. Een uitnodiging, een deelnamelink en een link om je wachtwoord te herstellen dragen er elk een, en de site haalt het uit het pagina-adres voordat er iets wordt verstuurd, samen met elk ander deel van het adres behalve de pagina zelf en de campagnelabels. Niet over welke film, lijst of persoon een gedeelde pagina gaat, alleen dat het een gedeelde pagina was. Niet waar je klikt of hoe ver je scrolt, en geen opname van je scherm. Geen advertentie-ID van welke soort ook, ook niet de ID's die advertentienetwerken aan links toevoegen.

Over wie het gaat. Over niemand die we bij naam kennen. Achter een bezoek zit geen account, en er wordt geen ID in je browser bewaard. Om bezoekers toch te kunnen tellen, maakt PostHog van je IP-adres, van hoe je browser zichzelf omschrijft en van de datum van die dag een code die niet terug te rekenen is, gebruikt de volgende dag een andere, en gooit het adres weg. Een bezoek vandaag en een bezoek morgen zijn voor ons dus twee bezoekers, en een bezoek wordt nooit gekoppeld aan een account in de apps. Anders dan in de apps leidt PostHog voor een bezoek aan de website geen stad en geen land af. Het gooit het IP-adres weg voor die stap.

Nee zeggen. Als je browser Do Not Track of Global Privacy Control meestuurt, verstuurt de website helemaal niets, telt onze server niets, en dragen de links naar de stores geen campagnelabels.

5. Wat we niet doen

Duidelijk gezegd, want het gaat juist om wat er niet is:

Geen advertenties, geen advertentienetwerken, geen advertentie-ID. De iPhone-app kan niet eens om toestemming voor tracking vragen, omdat de code daarvoor er niet is, en de Android-app verwijdert de machtiging voor de advertentie-ID die de bibliotheken van Google anders zouden toevoegen.
Geen advertentie- of marketinganalytics op de website. Geen Google Analytics, geen Firebase, geen Amplitude, geen Mixpanel, geen Segment, geen Hotjar. De site telt bezoeken via PostHog, zonder cookie, zoals in paragraaf 4.16 staat, en gebruikt verder niets.
Geen SDK’s voor attributie of fingerprinting, nergens.
In de apps zit één SDK voor metingen, PostHog, en die noemen we liever dan dat we een afwezigheid claimen die niet klopt. PostHog legt vast welke schermen je opent en welke acties je uitvoert, nooit wat je schrijft, en vangt ook crashes en fouten op, zodat we die kunnen oplossen. Het staat volledig beschreven in paragraaf 4.13, en met Instellingen, dan Privacy, dan Gebruiksgegevens delen zet je het uit. Er is geen Sentry, geen Crashlytics, geen Firebase-dienst en geen advertentie-SDK.
We verkopen, verhuren of delen je gegevens niet met datahandelaren.
Geen training van generatieve AI-modellen met je recensies, beoordelingen of kijkgeschiedenis, en we leveren ze daarvoor ook niet aan iemand anders. Rangschikken binnen Kino is iets anders, en staat beschreven in paragraaf 12.
We lezen je inhoud niet, behalve om de dienst te laten draaien, en dat betekent: modereren als er iets wordt gemeld en fouten opsporen als er iets stukgaat.
Geen toegang tot je microfoon, gezondheidsgegevens of agenda, en geen toegang tot je fotobibliotheek. Een foto die je kiest voor je profiel of toevoegt aan feedback, komt via de fotokiezer van je telefoon zelf, die de app alleen die ene foto geeft. De camera wordt alleen gebruikt als je op Foto maken tikt voor je profielfoto (paragraaf 4.14). De andere toestemmingen waar de apps om vragen, zijn die voor contacten, locatie en meldingen, elk alleen als je tikt om het te gebruiken, en in paragraaf 4.5 tot en met 4.7 staat wat elk daarvan doet.

Als hier iets van verandert, passen we deze pagina aan.

6. Gevoelige informatie

We vragen niet om bijzondere persoonsgegevens (gezondheid, overtuigingen, politiek, seksuele geaardheid, etniciteit) en we leiden ze ook niet af.

Maar een filmdagboek kan veel over iemand verraden, en in een recensie schrijven mensen vaak persoonlijke dingen. Als je zelf iets van die aard publiceert, gaan we ermee om op grond van het feit dat jij het openbaar hebt gemaakt. Dat is waar artikel 9 lid 2 sub e van de AVG over gaat. Als je het privé houdt, geldt die grond niet, en baseren we ons in plaats daarvan op je uitdrukkelijke verzoek: door persoonlijke dingen te schrijven in een recensie, een bekeken film of serie, of een lijst die privé is, vraag je ons om ze voor je te bewaren, en dat kun je altijd intrekken door het item of je account te verwijderen. In beide gevallen analyseren we het niet en leiden we er niets uit af.

7. Waarom we dit mogen doen

Volgens artikel 6 van de AVG heeft elk doel een grondslag nodig. De onze:

Uitvoering van onze overeenkomst met jou, art. 6 lid 1 sub b. Je account aanmaken en laten werken; je laten inloggen; je profiel opslaan, inclusief je foto, en je bekeken films en series, recensies, lijsten en wie je volgt, en die tonen aan het publiek dat jij kiest; de sociale functies; imports; je gegevensexport samenstellen; je status als supporter vastleggen.

Je toestemming, art. 6 lid 1 sub a. Toegang tot je contacten, een locatie instellen, pushmeldingen, optionele e-mails, en de lijst om te horen wanneer Kino uitkomt. Elk daarvan is een aparte schakelaar, die uit staat tot je hem aanzet. Als je er een aanzet, gaat er geen andere aan, geen ervan is een voorwaarde om een account te hebben, en er later een uitzetten is precies even makkelijk. We houden bij wat je hebt aangezet en wanneer. Je kunt elke toestemming op elk moment intrekken in de app of in de instellingen van je telefoon. Dan stopt de verwerking vanaf dat moment, zonder terug te draaien wat daarvoor rechtmatig was.

Onze gerechtvaardigde belangen, art. 6 lid 1 sub f. Kino veilig en beschikbaar houden; misbruik, spam en accountovername voorkomen; verzoeklimieten; de audittrail; storingen onderzoeken; gemelde inhoud modereren en profielfoto’s controleren; feedback beantwoorden die je stuurt. Drie verwerkingen draaien op deze grondslag en verdienen het om genoemd te worden: gepersonaliseerde aanbevelingen, berekend uit wat je hebt gelogd, beoordeeld, overgeslagen en verborgen, waartegen je altijd bezwaar kunt maken door te mailen naar privacy@kinoapp.eu; de interne analysekopie uit paragraaf 10, die we bewaren zodat we kunnen begrijpen hoe Kino wordt gebruikt zonder het live systeem te bevragen, en waar je e-mailadres en wachtwoordhash buiten blijven; en de gebruiksgegevens uit paragraaf 4.13, die we bewaren zodat we kunnen zien welke onderdelen van de app werken. Die laatste kun je stoppen zonder iemand te mailen, met de schakelaar Gebruiksgegevens delen in Instellingen. Dat is een bezwaar op grond van artikel 21, ingebouwd in de app. We hebben ze afgewogen tegen jouw belangen: de gebruiksgegevens bevatten nooit wat je schrijft, de analysekopie verlaat nooit onze eigen infrastructuur en volgt je correcties en verwijderingen binnen 10 dagen, en niets ervan wordt gebruikt om je commercieel te profileren of wordt buiten Kino gedeeld.

Bepalen welke versie van een scherm je te zien krijgt rust op dezelfde grondslag, en is bewust niet gekoppeld aan de schakelaar hierboven, omdat een privacyinstelling die verandert welke versie van de app je gebruikt, geen privacyinstelling zou zijn. Het gebruikt je account-ID en niets wat je hebt gelogd. In paragraaf 4.13 staat wat dat in de praktijk betekent.

Wettelijke verplichting, art. 6 lid 1 sub c. Gegevens bewaren die we verplicht zijn te bewaren, en reageren op rechtmatige verzoeken van autoriteiten.

8. Wie kan zien wat je plaatst

Kino heeft twee instellingen, en de strengste instelling geldt altijd:

je account is openbaar of privé;
elk item (een recensie, een bekeken film of serie, een lijst) is openbaar of privé.

Een privé-item is alleen zichtbaar voor jou, wat je account ook zegt, met twee uitzonderingen die je zelf maakt: als je iemand uitnodigt om mee te werken aan een privélijst, kan die persoon de lijst openen, en als je bij een bekeken film of serie mensen tagt met wie je keek, krijgen zij te horen bij welke film je ze hebt getagd. Al het andere dat als privé is gemarkeerd, blijft bij jou. Een openbaar item volgt je account: zichtbaar voor iedereen op Kino als je account openbaar is, en alleen voor volgers die je hebt goedgekeurd als het privé is. Nieuwe items krijgen standaard de instelling van je account. Dat wordt op onze servers bepaald, en we gaan daarvoor niet af op de app.

Lijsten hebben een eigen schakelaar, los van je account. Het formulier om een lijst te maken begint een nieuwe lijst als openbaar. Als je dat niet verandert voordat je opslaat, is de lijst dus meteen openbaar. Je kunt hem altijd privé maken, en bij een privéaccount bereikt een openbare lijst nog steeds alleen volgers die je hebt goedgekeurd. Reacties en likes nemen de instelling over van waar ze bij horen. Voor je watchlist, favorieten en wie je volgt geldt de instelling van je account. Concepten zijn altijd alleen van jou.

Als je je account op privé zet, wordt het publiek kleiner voor alles wat al openbaar is, zonder dat er ook maar één item verandert. Als je het weer op openbaar zet, wordt het publiek weer groter, en we vragen je eerst om dat te bevestigen.

Twee dingen blijven hoe dan ook zichtbaar: je account is nog steeds op naam te vinden, zodat mensen kunnen vragen of ze je mogen volgen (zet “Mijn account aan anderen voorstellen” uit als je liever niet in zoekresultaten en suggesties verschijnt), en alles wat je al hebt gepubliceerd, kan zijn gezien, bewaard of in een screenshot vastgelegd. We kunnen veranderen wat onze servers tonen. We kunnen niet terughalen wat iemand al heeft gelezen.

Je profielfoto valt buiten beide instellingen. Hij is te zien overal waar je account te zien is, en iedereen die het webadres ervan heeft, kan hem openen, wat je instellingen ook zijn (paragraaf 4.14).

Nog één instelling, en die werkt de andere kant op. Als je iemand dempt, verdwijnt de activiteit van die persoon uit je feed. Het verbergt niets van jou voor die persoon, die persoon krijgt er geen bericht van, en het is niet hetzelfde als ontvolgen. Kino heeft nog geen blokkeerfunctie. Als je iemand bij je account weg wilt houden, zet je account dan op privé zodat alleen goedgekeurde volgers iets zien, verwijder die persoon als volger en meld die persoon bij ons.

Deellinks. Een deellink is bedoeld om een kleine voorbeeldpagina te openen voor een openbaar item, zodat iedereen met de link het kan zien en de bots voor linkvoorbeelden van de app waarin je de link deelt (Berichten, Slack, WhatsApp, Discord) een titel, beschrijving en afbeelding in hun cache kunnen zetten. Die voorbeeldweergave staat op dit moment uit: de deelpagina vraagt onze API om het item zonder in te loggen, en de API vereist een ingelogde aanvrager, dus een deellink levert niets op, of het item nu openbaar is of niet. Als we voorbeeldweergaven aanzetten, behandel dan alles wat je deelt als openbaar, want die bots bewaren hun eigen kopie. We vragen zoekmachines om die pagina’s niet te indexeren, maar dat is een verzoek, geen middel om het af te dwingen.

9. Bij wie je gegevens nog meer terechtkomen

We gebruiken een klein aantal externe diensten, en die vallen in twee groepen.

Werken voor ons. Deze handelen alleen volgens onze instructies, op basis van een schriftelijke overeenkomst die zegt wat ze met je gegevens mogen doen en al het andere verbiedt.

Hetzner (Duitsland). Beheert de machines waarop de applicatie, de database en de caches staan, en de objectopslag met bestanden zoals profielfoto’s, screenshots bij feedback en gegevensexports. Hetzner levert de infrastructuur en gebruikt je gegevens niet.
Onze eigen mailserver. E-mails over je account, over beveiliging en met meldingen worden verstuurd vanaf no-reply@kinoapp.eu via een mailserver die we zelf beheren, niet via een extern e-mailbedrijf.
PostHog. Meet hoe de apps en de website worden gebruikt, en bepaalt welke versie van een scherm je te zien krijgt. We gebruiken de Europese dienst van PostHog, dus de gegevens worden in de EU bewaard, en wat de apps en de website versturen, komt daar aan via een proxy die PostHog voor ons draait op het netwerk van Cloudflare. In paragraaf 4.13 en 4.16 staat precies wat er bij PostHog terechtkomt, en hoe je het uitzet.
RevenueCat (Verenigde Staten). Houdt abonnementen en aankopen uit de App Store en Google Play bij. Het ontvangt de ID van je Kino-account en je aankoopgeschiedenis, en verder niets. De details staan in paragraaf 4.8.
Cloudflare (Verenigde Staten). Beheert de nameservers voor onze domeinen, en levert het kleine bestand dat de apps controleren om te zien of ze moeten worden bijgewerkt (paragraaf 4.15). Cloudflare ziet je IP-adres als je telefoon dat bestand ophaalt, en niets over je account.

Handelen voor zichzelf. Deze bepalen zelf wat ze doen met wat bij hen terechtkomt, en elk heeft een eigen privacybeleid.

Apple. Log in met Apple, als je dat gebruikt. In de iPhone-app ook: het bezorgen van pushmeldingen; aankopen in de App Store, als je Kino steunt; en Apple Kaarten en de geocoder van het systeem, als je een stad zoekt of je huidige locatie gebruikt.
Google. Inloggen met Google, als je dat gebruikt. In de Android-app ook: Google Play, voor het installeren en bijwerken van de app en voor aankopen als je Kino daar steunt; en de geocoder die in Android is ingebouwd, die op de meeste telefoons van Google is, als je een stad zoekt of je huidige locatie gebruikt.
The Movie Database (TMDB). Onze catalogus komt van TMDB en wordt door onze servers opgehaald met onze eigen sleutel, dus we sturen TMDB niets over jou. Maar posters en stills worden rechtstreeks van de afbeeldingsservers van TMDB geladen in de apps, op onze deelpagina’s en in het dashboard voor medewerkers, dus op die plekken komen het IP-adres van je apparaat en het verzoek om de afbeelding bij TMDB terecht. De openbare pagina’s van onze website tonen geen beeldmateriaal van TMDB, dus daarvan komt niets bij TMDB terecht.

We delen ook met:

Bots voor linkvoorbeelden, als voorbeeldweergaven van deellinks aanstaan, zoals beschreven in paragraaf 8.
Autoriteiten, als we daartoe wettelijk verplicht zijn, of als we zelf reden hebben om een ernstige bedreiging voor iemands veiligheid te vermoeden. In dat geval kunnen we als eerste contact met hen opnemen. We laten het je weten, tenzij ons dat verboden is.
Een toekomstige eigenaar, als Kino ooit wordt verkocht of fuseert. We zouden het je laten weten voordat je gegevens overgaan, en dit beleid zou blijven gelden tot er een nieuw is gepubliceerd.

Andere Kino-gebruikers zien wat je privacyinstellingen toestaan. Dat is het hele punt van een sociaal product, maar het hoort wel in een lijst van ontvangers te staan. Speeltijden van bioscopen komen van Cineville en de geocodering van bioscoopadressen van PDOK, maar daarbij halen wij gegevens over bioscopen op. Er gaat niets over jou naar een van beide.

Als je niet op Kino zit. Een deel van wat door Kino gaat, gaat over mensen zonder account: een gehasht e-mailadres uit iemands contacten, een melding bij ons waarin jij wordt genoemd, of een openbare recensie waarin je voorkomt. Als gegevens over jou van iemand anders kwamen, heb je nog steeds de rechten uit paragraaf 13. Mail naar privacy@kinoapp.eu en vertel genoeg zodat we de gegevens kunnen vinden.

10. Waar je gegevens worden bewaard

Kino wordt gehost binnen de Europese Unie.

De applicatie, de database, de caches, de zoekindex, en onze logs, traces en statistieken draaien in een datacenter in Falkenstein, Duitsland. De bestanden die we opslaan, zoals profielfoto’s, screenshots bij feedback en de archieven die we maken als je je gegevens exporteert, en onze interne analyseopslag staan in de objectopslag van Hetzner op dezelfde plek.

We spiegelen het grootste deel van de database naar die interne analyseopslag, zodat we kunnen begrijpen hoe Kino wordt gebruikt zonder het live systeem te bevragen. Je e-mailadres en wachtwoordhash zijn uitgesloten van die kopie. De rest staat er wel in, gekoppeld aan een account-ID: je gebruikersnaam, naam, bio en het adres van je profielfoto, je instellingen inclusief een opgeslagen plek, je antwoorden uit het instellen, en je recensies, bekeken films en series, lijsten, reacties, wie je volgt en wat je hebt gemeld. De stroom van wijzigingen die de kopie voedt, bewaart elke wijziging ongeveer een week. Als iets in onze database wordt verwijderd of gecorrigeerd, volgt de kopie binnen 10 dagen.

Internationale doorgifte. Alles wat we zelf draaien, staat in de EU, en PostHog bewaart zijn gegevens op zijn Europese dienst, dus geen van beide verlaat de EER. Er vinden wel enkele doorgiften plaats.

Apple, Google en TMDB bepalen zelf wat ze doen met wat bij hen terechtkomt. Ze kiezen dus hun eigen waarborgen op grond van hoofdstuk V van de AVG: normaal gesproken het EU-US Data Privacy Framework als de ontvanger gecertificeerd is, en anders standaardcontractbepalingen. In hun privacybeleid staat welke.

Bij RevenueCat ligt dat anders, omdat het voor ons werkt en niet voor zichzelf: het zit in de Verenigde Staten, dus is het aan ons om voor de waarborg te zorgen, en onze overeenkomst met RevenueCat bevat de standaardcontractbepalingen van de Europese Commissie, samen met de aanvullende maatregelen die deze bepalingen vereisen. Wat bij RevenueCat terechtkomt, is beperkt tot je account-ID en je aankoopgeschiedenis, zoals paragraaf 4.8 beschrijft.

Cloudflare zit ook in de Verenigde Staten. Het werkt voor ons als het onze nameservers beheert en het updatebestand levert, en voor PostHog als het gebruiksgegevens naar de Europese dienst van PostHog brengt. Cloudflare is gecertificeerd onder het EU-US Data Privacy Framework, en de verwerkersvoorwaarden van Cloudflare bevatten de standaardcontractbepalingen van de Europese Commissie.

We baseren ons voor geen van deze doorgiften op je toestemming.

11. Hoe lang we het bewaren

Je account en alles wat erin staat: zolang je account bestaat.
Nadat je ons hebt gevraagd je account te verwijderen: er is een wachttijd van 30 dagen, waarin je kunt annuleren door in te loggen. Als die voorbij is, verwijderen we je account en inhoud, en eventuele overgebleven gegevens worden binnen nog eens 30 dagen definitief uit onze database gewist. Het hele proces kan dus tot 60 dagen duren. Op onze pagina over het verwijderen van je account staan de stappen.
Dingen die je zelf verwijdert: die verdwijnen meteen uit Kino en worden binnen 30 dagen definitief uit onze database gewist.
Onze interne analysekopie (paragraaf 10): verwijderde of gecorrigeerde gegevens verdwijnen eruit binnen 10 dagen nadat ze uit onze database zijn verdwenen.
Back-ups: we maken versleutelde back-ups, die 30 dagen in de EU worden bewaard, zodat een storing je niet je account kost. Verwijderde gegevens verdwijnen eruit naarmate de back-ups worden vervangen. We zetten nooit een back-up terug om verwijderde gegevens terug te halen.
Archieven van gegevensexports: 7 dagen, daarna automatisch verwijderd. Als je je account verwijdert, wordt een archief dat nog klaarstaat meteen vernietigd.
De hashes van contacten die je ons stuurt om te vergelijken: helemaal niet bewaard.
Feedback en ondersteuningsgegevens: bewaard zolang je account bestaat en samen daarmee verwijderd, inclusief screenshots bij feedback.
Aankoopgegevens: je aankoopgeschiedenis en je record bij RevenueCat worden bewaard zolang je account bestaat en samen daarmee verwijderd. De berichten die Apple en RevenueCat ons over elke transactie sturen, worden zeven jaar bewaard, omdat de Nederlandse boekhoudwetgeving ons verplicht de administratie die onze inkomsten onderbouwt zo lang te bewaren, en daarna verwijderd. Apple en Google bewaren hun eigen gegevens over een aankoop volgens hun eigen regels, en die kunnen wij niet voor je verwijderen.
Controles van profielfoto’s (paragraaf 4.14): bewaard zolang je account bestaat. Een foto die is tegengehouden en niet is goedgekeurd, wordt 48 uur na de beslissing verwijderd.
De lanceringslijst (paragraaf 4.12): onbevestigde adressen 14 dagen; inschrijvingen 90 dagen nadat we je hebben gemaild; een inschrijving die je ons vraagt te verwijderen, 30 dagen.
Gebruiksgegevens (paragraaf 4.13): bewaard zolang je account bestaat. Als je je account verwijdert, worden je record bij PostHog en de gebeurtenissen die eraan gekoppeld zijn verwijderd. Welke versie van een scherm je te zien kreeg, wordt bewaard zolang we die vergelijking uitvoeren, en samen met je account verwijderd.
Aanbevelingen die uit je activiteit zijn berekend: worden elke nacht opnieuw opgebouwd; eerdere versies worden na ongeveer drie weken verwijderd.
De zoekindex: een vermelding verdwijnt als het record dat ze weerspiegelt uit onze database verdwijnt.
Auditgegevens: 90 dagen met het IP-adres en de user agent, waarna die worden geanonimiseerd; het hele record wordt na 12 maanden verwijderd.
Logs van autorisatiebeslissingen: maximaal 36 maanden, daarna verwijderd.
Applicatielogs en request-traces: na 7 dagen verwijderd. Servicestatistieken: 3 maanden.
Wat je bij ons meldt: bewaard zolang de melding wordt behandeld en een redelijke periode daarna, zodat patronen van misbruik zichtbaar worden.

12. Aanbevelingen, en geautomatiseerde besluiten

Wat Kino je voorstelt (Voor jou, Ontdekken, Meer zoals dit) wordt berekend uit je eigen activiteit, uit wat mensen die je volgt doen, en uit de catalogus. Een deel ervan wordt berekend door een aparte aanbevelingsdienst die we op onze eigen infrastructuur draaien. Als die voor jou rangschikt, stuurt ons systeem je account-ID ernaartoe en leest het daarvoor je activiteit. Het beïnvloedt welke films je te zien krijgt en verder niets, en niets hiervan heeft rechtsgevolgen voor jou of treft je op een vergelijkbare manier in aanmerkelijke mate, in de zin van artikel 22.

We gebruiken je activiteit niet om ergens een prijs voor te bepalen, om je een score te geven, of om buiten de app iets over je te beslissen. Kino stuurt op dit moment geen meldingen met aanbevelingen. Er is wel een schakelaar voor in Instellingen, zodat je ze eerst kunt uitzetten als we er ooit mee beginnen. Gepersonaliseerde rangschikking zelf kun je niet uitzetten, dus we suggereren ook niet dat het kan. Wat je wel kunt doen, is minder loggen of beoordelen, en dan heeft het model minder om mee te werken.

13. Je rechten, en hoe je ze gebruikt

Volgens de AVG heb je het recht op inzage in je gegevens, op rectificatie (correctie) en op verwijdering ervan, op beperking van de verwerking, het recht om bezwaar te maken tegen de verwerking, het recht op overdraagbaarheid, en het recht om je toestemming in te trekken als toestemming is waarop we ons baseren.

De meeste rechten kun je zelf uitoefenen, zonder het te vragen:

Inzage en overdraagbaarheid: Instellingen, dan Privacy, dan Je gegevens exporteren. We maken een ZIP-bestand met JSON-bestanden met daarin je profiel, instellingen, recensies, bekeken films en series, lijsten, favorieten, wie je volgt, reacties, likes en imports, en geven je een downloadlink. Die is zeven dagen beschikbaar, en je kunt er maximaal drie per dag aanvragen.
Rectificatie: pas je profiel, recensies, lijsten en instellingen rechtstreeks aan in de app. Mail ons over alles wat je niet zelf kunt corrigeren.
Verwijdering: Instellingen, dan Account en beveiliging, dan Account verwijderen, in beide apps. Op onze pagina over het verwijderen van je account staan de stappen, en een manier om het te vragen zonder de app. Je krijgt een herinneringsmail voordat het gebeurt, je account blijft werken tijdens de wachttijd, en inloggen en annuleren stopt het. Als het is afgerond, zijn je account en inhoud verwijderd, niet verborgen. Sommige gegevens blijven bestaan volgens hun eigen bewaartermijnen, zoals paragraaf 11 beschrijft, omdat het bijhouden van een audittrail voor beveiliging een gerechtvaardigd belang is en wettelijk van ons wordt verwacht. Als je iets corrigeert of verwijdert, geven we dat binnen 10 dagen door aan de interne analysekopie, en aan onze back-ups naarmate die worden vervangen.
Toestemming intrekken: zet toegang tot contacten, locatie of meldingen uit in de app of in de instellingen van je telefoon.

Twee dingen zitten niet in het exportbestand, omdat ze net zo goed gegevens van iemand anders zijn als van jou: de lijst met mensen die jou volgen, en reacties van anderen op je inhoud. Dat is een beperking van de export, niet van je rechten. Als je een van beide wilt, vraag het ons, dan geven we je wat we kunnen op grond van je recht op inzage. We lakken alleen weg wat je meer over de ander zou vertellen dan je mag weten.

Je recht van bezwaar, apart genoemd omdat de wet dat vereist. Waar we ons baseren op gerechtvaardigde belangen, die in paragraaf 7 staan, kun je altijd bezwaar maken om redenen die met je situatie te maken hebben. Als je dat doet, stoppen we met die verwerking, tenzij we dwingende gronden kunnen aantonen die zwaarder wegen dan jouw belangen, of tenzij we de verwerking nodig hebben om een rechtsvordering in te stellen of ons ertegen te verdedigen. We laten je weten welke van de twee het is.

Voor beperking, bezwaar of alles wat de export niet dekt, mail je naar privacy@kinoapp.eu. We reageren binnen één maand, en laten het je weten als we meer tijd nodig hebben (de AVG staat bij ingewikkelde verzoeken maximaal twee maanden extra toe, en we leggen uit waarom). Als we besluiten niet op een verzoek in te gaan, antwoorden we toch binnen die maand, vertellen we je waarom, en vertellen we je dat je een klacht kunt indienen bij de toezichthoudende autoriteit en naar de rechter kunt gaan. We kunnen je vragen om in te loggen of op een andere manier te bevestigen wie je bent, omdat het geven van de gegevens van een account aan de verkeerde persoon zelf een ernstige privacyfout zou zijn. Niets hiervan kost iets, tenzij een verzoek zich herhaalt of buitensporig is.

14. Kinderen

Kino is voor mensen van 16 jaar en ouder. We verzamelen geen geboortedatums en kunnen niemands leeftijd controleren, dus we handelen naar wat we te weten komen: als we goede reden hebben om aan te nemen dat een account van iemand is die jonger is dan de leeftijd die voor die persoon geldt, heffen we het op en verwijderen we de gegevens. Als je ouder of voogd bent en dat geldt voor het account van je kind, mail dan naar privacy@kinoapp.eu, dan pakken we het snel op. Wie een account mag hebben, inclusief de nationale leeftijdsregels voor mensen van 13 tot en met 15 jaar, staat in paragraaf 3 van de gebruiksvoorwaarden.

15. Beveiliging

Wat we doen: wachtwoorden opgeslagen als bcrypt-hash, nooit als leesbare tekst. TLS op alles wat over het openbare internet gaat. Toegangstokens die verlopen en vernieuwingstokens die rouleren, met een intrekkingslijst. Verzoeklimieten op inloggen, registreren, wachtwoorden opnieuw instellen en andere gevoelige routes. Een audittrail. Controles op toegangsrechten die één keer zijn geschreven en zijn getest tegen een matrix van combinaties van kijker en inhoud, want privacyregels die twee keer zijn gebouwd, zijn privacyregels die uit elkaar gaan lopen. Een klein aantal mensen met toegang, en infrastructuur die niet bereikbaar is vanaf het openbare internet, tenzij dat nodig is.

Wat we niet beweren: dat Kino onkraakbaar is, dat we een certificering hebben, of dat we door een onafhankelijke partij zijn doorgelicht. Dat zijn we niet. We houden ons eigen register bij van privacy- en beveiligingsproblemen en werken dat af.

Als er iets misgaat. Als we een inbreuk in verband met persoonsgegevens (een datalek) ontdekken, beoordelen we die meteen. Als het waarschijnlijk is dat het datalek een risico oplevert voor je rechten, melden we het zonder onredelijke vertraging bij de toezichthoudende autoriteit, en waar dat kan binnen 72 uur. Als we er langer over doen, leggen we uit waarom. Als het waarschijnlijk is dat een datalek een hoog risico voor je oplevert, vertellen we het je rechtstreeks en zonder onredelijke vertraging, in duidelijke taal. We leggen elk datalek dat we ontdekken schriftelijk vast, ook de datalekken die de meldingsdrempel nooit halen.

16. Cookies en vergelijkbare technieken

De website gebruikt geen analytische cookies, geen advertentiecookies en geen cookies van derden, van welke soort ook. Bezoeken worden geteld zonder cookie, en zonder daarvoor iets in je browser op te slaan (paragraaf 4.16). Er is niets om toestemming voor te geven, en daarom wordt het je ook niet gevraagd.

Het dashboard voor medewerkers plaatst twee eigen (first-party) cookies: één onthoudt of de zijbalk open is, en één is een eenvoudige markering dat je bent ingelogd, zodat de site een ingelogd bezoek van een uitgelogd bezoek kan onderscheiden voordat de pagina laadt. Geen van beide volgt je. Je inlogtokens staan in de lokale opslag van je browser, naast de organisatie die je hebt geselecteerd, je lichte of donkere thema en, in de video-editor, een lokale kopie van je recente bewerkingen. Beide cookies en die opslag zijn strikt noodzakelijk voor een ingelogde sessie.

De iPhone-app bewaart je inlogtokens in de iOS-sleutelhanger, gemarkeerd als alleen voor dit apparaat, zodat ze niet met iCloud worden gesynchroniseerd en niet op een nieuwe telefoon worden teruggezet. De app bewaart ook een paar voorkeuren en onlangs bekeken items in lokale opslag op het apparaat, en die verlaten het apparaat nooit.

De Android-app bewaart je inlogtokens versleuteld, met een sleutel in de Android Keystore van de telefoon die de telefoon nooit verlaat, en houdt ze buiten de back-ups van Android en buiten overdrachten van telefoon naar telefoon, zodat ze nooit op een andere telefoon worden teruggezet. De app bewaart ook een paar dingen op de telefoon die ons nooit bereiken: je recente zoekopdrachten, die worden gewist als je uitlogt, je filters voor Voor jou, waar vrienden in kunnen staan die je hebt gekozen, een paar voorkeuren, en een cache van de afbeeldingen die de app heeft getoond. Als je telefoon een back-up van appgegevens maakt in je Google-account, kunnen die deel uitmaken van die back-up, samen met de installatie-ID uit paragraaf 4.13. De inlogtokens maken daar nooit deel van uit.

Geen van beide apps bevat trackingtechnologie.

17. Wijzigingen in dit beleid

We passen deze pagina aan als verandert wat we doen. Bij wezenlijke wijzigingen mailen we geregistreerde gebruikers minstens 30 dagen van tevoren en passen we de datum bovenaan aan. Kleinere verduidelijkingen gaan in op het moment van publicatie. Als een wijziging betekent dat we je gegevens zouden verwerken op een nieuwe grondslag waarvoor je toestemming nodig is, vragen we die toestemming en gaan we er niet van uit.

Deze pagina is in het Engels geschreven. Als je Kino in een andere taal gebruikt en Engels lastig voor je is, mail dan naar privacy@kinoapp.eu, dan leggen we elk onderdeel ervan uit in de taal van je voorkeur.

18. Als je vindt dat we het verkeerd hebben gedaan

Laat het ons eerst weten: privacy@kinoapp.eu. We doen ons best om het probleem rechtstreeks op te lossen.

Je hebt ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming, of je nu eerst met ons praat of niet. Je kunt naar de autoriteit gaan in het EU-land waar je woont of werkt, of waar volgens jou het probleem is ontstaan. Omdat we in Nederland zijn gevestigd, is onze leidende toezichthoudende autoriteit de Autoriteit Persoonsgegevens (de Nederlandse toezichthouder voor gegevensbescherming), Postbus 93374, 2509 AJ Den Haag, bereikbaar via autoriteitpersoonsgegevens.nl. Los van een klacht kun je ook tegen ons naar de rechter stappen als je vindt dat we je rechten onder de AVG hebben geschonden.

19. Contact

privacy@kinoapp.eu voor alles op deze pagina, of per post naar Gijs Addas, Marnixstraat 69a, 1015 VC Amsterdam. Onze volledige gegevens staan in paragraaf 1.

Voor al het andere gaat het sneller via de contactpagina. De gebruiksvoorwaarden gaan over de rest van onze relatie.