Privacyverklaring TapSafe

Versie: 2026-07-nl-v1 · Laatst bijgewerkt: 14 juli 2026

1. Wie is verantwoordelijk

Verwerkingsverantwoordelijke voor TapSafe is:

Slipbase VOF bepaalt het doel en de middelen van de verwerking. De ouder of verzorger die het gezin aanmaakt, is dat niet: die geeft namens zijn of haar kind toestemming en treedt op als wettelijk vertegenwoordiger van het kind-account (zie §4).

Rechtsopvolging. TapSafe kan binnen de Slipbase-groep worden ondergebracht bij een andere vennootschap, bijvoorbeeld een nog op te richten besloten vennootschap. Gebeurt dat, dan blijven deze privacyverklaring en de gegeven toestemmingen gelden en informeren wij je vooraf per e-mail of in de app. Er verandert niets aan de doelen, de bewaartermijnen of de ontvangers.

2. Waar TapSafe voor dient

TapSafe is een gezinsapp: een kind tikt met een telefoon tegen een NFC-sticker bij de voordeur, waarna de ouders direct een pushmelding krijgen dat het kind thuis of weg is. Daarnaast heeft het kind een noodknop die, tijdelijk en alleen zolang het kind dat wil, de eigen locatie deelt met de ouders. Als de ouder dat per kind heeft aangezet, kan het kind met "Loop even mee" zijn verzorgers bovendien vragen om onderweg even mee te kijken (zie §5).

3. Welke gegevens we verwerken

We houden dit bewust minimaal (zie MASTERPLAN §6, "AVG-plan voor minderjarigen"). We slaan niet op: achternaam, geboortedatum, foto's, woonadres, e-mailadres of telefoonnummer van het kind, chip-coördinaten, of continue locatie. We gebruiken geen advertentie- of trackingSDK's, in geen enkele modus van de app.

4. Grondslag: toestemming, en art. 8 AVG voor kinderen

De grondslag voor de verwerking is toestemming (art. 6 lid 1 sub a AVG), met één uitzondering die we hieronder benoemen.

TapSafe behandelt elk kind-account als jonger dan 16 jaar — we vragen geen geboortedatum en voeren geen leeftijdslogica uit, dus dit geldt zonder uitzondering. Voor kinderen onder de 16 is toestemming van een ouder of wettelijk vertegenwoordiger vereist (art. 8 AVG jo. art. 5 Uitvoeringswet AVG). In de praktijk betekent dit:

• Een kind-account kan uitsluitend ontstaan via een koppelcode die door een ouder is aangemaakt — het kind kan zichzelf niet aanmelden.
• Vóór het kind-account actief wordt, doorloopt de ouder een toestemmingsscherm met vijf afzonderlijke verklaringen: dat hij of zij 18 jaar of ouder is, dat hij of zij ouderlijk gezag heeft, dat een eventuele andere gezagsdrager over TapSafe is verteld (zie hieronder, "Gezamenlijk gezag"), en toestemming voor respectievelijk de tikmeldingen en de noodfunctie.
• Die toestemming wordt append-only vastgelegd in de tabel parental_consents, samen met de versie van dit beleid, de reikwijdte, en een cryptografische vingerafdruk van de exacte tekst die de ouder te zien kreeg. Zo is later aantoonbaar wáárvoor toestemming is gegeven (art. 7 lid 1).
• Tweede kanaal. Daarna sturen we een bevestigingsmail naar het geverifieerde e-mailadres van de ouder. Pas als die link is aangeklikt, kan de telefoon van het kind tikjes doorgeven.
• Bij een materiële wijziging van dit beleid vragen we de ouder opnieuw te bevestigen. Tot dat gebeurt, geeft de kindtelefoon geen tikjes meer door.

Gezagsverificatie is een redelijke inspanning, geen sluitend bewijs. Art. 8 lid 2 AVG vraagt dat we ons redelijkerwijs inspannen om te controleren dat de toestemming van de gezagsdrager komt. Dat doen we met: een afzonderlijke 18+-verklaring, een afzonderlijke gezagsverklaring, een geverifieerd e-mailaccount van de ouder (e-mail, Apple of Google), een bevestiging via dat e-mailkanaal, en het gegeven dat de ouder de kindtelefoon fysiek instelt. Wij kunnen niet vaststellen wie juridisch het gezag draagt. Ben je gezaghebbend ouder van een kind dat zonder jouw medeweten is gekoppeld, neem dan contact op via het adres in §1; wij ontkoppelen het kind en verwijderen de gegevens.

Gezamenlijk gezag: de informeer-verklaring en het bezwaarkanaal. Hebben twee mensen het gezag over een kind (bijvoorbeeld na een scheiding), dan verklaart de aanmeldende ouder sinds 14 juli 2026 óók uitdrukkelijk: "Als iemand anders ook gezag heeft over dit kind, heb ik die persoon over TapSafe verteld. Bezwaar maken kan altijd via privacy@tap-safe.nl." Zonder die verklaring komt er geen kind-account. De verklaring wordt samen met de andere verklaringen append-only vastgelegd, met de vingerafdruk van de exacte tekst. En eerlijk is eerlijk: dit is een verklaring, geen verificatie — wij kunnen niet controleren of dat gesprek echt is gevoerd. Daarom is er een laagdrempelig bezwaarkanaal: maakt de andere gezagsdrager bezwaar via privacy@tap-safe.nl, dan verwijderen wij het kind-account en de bijbehorende gegevens.

De noodfunctie steunt óók op het vitaal belang. Wanneer een kind zelf een noodmelding start, is het delen van zijn locatie met de eigen ouders noodzakelijk ter bescherming van een vitaal belang van het kind (art. 6 lid 1 sub d AVG). Daarom blijft de noodknop werken als wij dit beleid wijzigen en de ouder nog niet opnieuw heeft bevestigd. Wij vinden het onaanvaardbaar dat een kind in nood eerst een toestemmingsscherm zou moeten passeren. Zolang een gezin de toestemming nog nooit heeft bevestigd, is de noodknop niet beschikbaar.

5. "Loop even mee": meekijken op verzoek van het kind

Naast de noodknop kent TapSafe een kalme variant: het loopje ("Loop even mee").

• Alleen het kind start een loopje — bijvoorbeeld op weg naar huis in het donker, als meekijken fijn voelt. De verzorgers kunnen dan tijdelijk zien waar het kind is. Een ouder of verzorger kan een loopje nooit op afstand starten.
• Het kind kan het loopje altijd zelf stoppen, en thuis tikken stopt het vanzelf. Zonder verlenging (die alleen het kind kan doen) stopt het ook vanzelf na de tijdslimiet.
• De functie staat standaard uit. Hij werkt pas nadat een ouder er per kind afzonderlijk toestemming voor heeft gegeven, met een eigen toestemmingstekst waarvan we — net als bij de basistoestemming — een cryptografische vingerafdruk vastleggen (art. 7 lid 1 AVG). De grondslag is die ouderlijke toestemming (art. 6 lid 1 sub a jo. art. 8 AVG), apart vastgelegd en apart intrekbaar van de basistoestemming.
• Intrekken kan altijd, per kind, in de app. Het intrekken stopt een eventueel actief loopje direct (art. 7 lid 3 AVG).
• Voor de locatiegegevens gelden exact dezelfde garanties als bij een noodmelding: locatie bestaat alleen tijdens de actieve sessie, is zichtbaar voor het kind, en wordt direct verwijderd zodra het loopje stopt — óók bij de automatische stop door de thuis-tik — met hetzelfde 24-uursvangnet. Er ontstaat geen locatiehistorie.
• Anders dan bij een noodmelding is er geen herhaal- of escalatiemelding: het loopje is rustig meekijken, geen alarm.

6. Tikjes van volwassenen

Volwassen gezinsleden (ouders en verzorgers) kunnen ook zelf een thuis/weg-status op het gezinsbord zetten ("Ik ben thuis" / "Ik ga weg"). Daarvoor geldt:

• De volwassene verricht die handeling zelf, voor zichzelf. De grondslag is de uitvoering van de gebruikersovereenkomst met die volwassene (art. 6 lid 1 sub b AVG); de regeling voor ouderlijke toestemming (art. 8 AVG) speelt hier niet — er is geen kind betrokken.
• Er verandert niets aan de tikjes van kinderen, en kinderen zien de status van volwassenen niet.
• Voor deze tikjes gelden dezelfde bewaartermijn (30 dagen) en dezelfde beveiliging als voor kind-tikjes. Er zit nooit locatie in een tikje.

7. Bewaartermijnen

We bewaren gegevens niet langer dan nodig. De onderstaande termijnen worden automatisch afgedwongen door geplande opschoontaken (pg_cron) in de database — dit zijn geen streefwaarden maar de daadwerkelijk geconfigureerde jobs:

Het nood-gebeurtenissenlog: bewijs dat de noodketen werkte

Sinds 14 juli 2026 houden we een apart gebeurtenissenlog bij van de noodketen. Daarin staat wat er gebeurde en wanneer: dat een noodmelding of loopje is gestart, verlengd of gestopt (en door wie: het kind, een volwassene of het systeem), dat wij een pushmelding aan de bezorgdienst hebben aangeboden, wie er is gewaarschuwd en wanneer er voor het eerst is gekeken, dat een sessie onderbroken raakte en weer herstelde, en of er is geëscaleerd.

Er staat nooit in wáár je kind was. Het log bevat geen enkel coördinaat en geen adres — dat is technisch afgedwongen met een databaseregel die elke regel met locatiegegevens weigert. "Er is om 15:40 een noodmelding gestart en om 15:42 door mama geopend" verraadt niet waar het kind was. Aan de locatie zelf verandert er niets: die wordt direct gewist zoals hierboven beschreven.

Waarom bewaren we dit, en waarom zoveel langer dan de sessie zelf? Als er ooit iets misgaat rond een noodmelding, moeten wij — en jij — jaren later nog kunnen laten zien wat er feitelijk is gebeurd: dat het alarm is verstuurd en dat er is gekeken. Een schadeclaim kan naar Nederlands recht tot vijf jaar later worden ingesteld (en door een minderjarige nog langer). De grondslag voor dit log is daarom ons gerechtvaardigd belang bij het kunnen instellen van of ons kunnen verweren tegen een rechtsvordering (art. 6 lid 1 sub f AVG) — dit is een eigen, op zichzelf staande verwerking, geen onderdeel van de toestemming.

Een verwijderverzoek wist dit log niet. Verwijder je je account of het gezin, dan verdwijnt al het andere zoals beschreven in §9 — maar dit log blijft de volle vijf jaar staan. De AVG staat dat uitdrukkelijk toe: het recht op verwijdering geldt niet voor zover gegevens nodig zijn voor het instellen, uitoefenen of onderbouwen van een rechtsvordering (art. 17 lid 3 sub e AVG). We zeggen dat hier liever eerlijk dan dat je het pas ontdekt als je erom vraagt. Loopt er een concreet geschil, dan kunnen we de verwijdering van de betrokken regels opschorten tot het geschil is afgerond ("legal hold"); ook die opschorting zelf leggen we in hetzelfde log vast.

Het log staat in een afgeschermd deel van de database waar de app zelf niet bij kan, en niemand buiten onze hostingpartij (Supabase, §8) ontvangt er iets van. Omdat de app er zelf niet bij kan, zit dit log niet in "Download mijn gegevens" (§9); wil je inzage in de regels over jouw eigen gezin, mail dan naar privacy@tap-safe.nl.

8. Wie de gegevens ontvangt

We verkopen of delen gegevens nooit door aan derden voor marketing- of advertentiedoeleinden. Er zitten geen analytics- of trackingtechnieken in de app. De volgende partijen verwerken gegevens namens ons, als verwerker:

Een pushmelding bevat nooit coördinaten of locatiegegevens — alleen een type melding en een korte tekst (bijvoorbeeld "Sem is thuis"). De partijen die push bezorgen zien dus nooit waar je kind is.

Doorgifte buiten de EU. Expo, Apple en Google verwerken push-tokens in de Verenigde Staten. Wij dragen daarvoor uitsluitend een push-token en een korte tekst over, nooit locatie en nooit gegevens waaruit blijkt waar een kind zich bevindt. Waar een partij is gecertificeerd onder het EU-US Data Privacy Framework leunen wij daarop; waar dat niet zo is, gelden de standaardcontractbepalingen van de Europese Commissie. Ons actuele overzicht per partij, inclusief de gekozen waarborg, staat in docs/legal/VERWERKERSREGISTER.md.

De kaart in het noodscherm. Als je als ouder meekijkt tijdens een noodmelding, tekent je telefoon de locatie op een kaart van Apple (op iPhone) of Google (op Android). Die kaartdienst haalt daarvoor kaartmateriaal op rond de plek die wordt getoond. Dat gebeurt op jouw eigen toestel, door het besturingssysteem, en valt onder het privacybeleid van Apple respectievelijk Google.

Backups. Onze databaseleverancier maakt automatische back-ups. Gegevens die wij verwijderen — waaronder locatiepunten — kunnen daardoor nog korte tijd in een back-up voorkomen, totdat die volgens het rotatieschema vervalt. Uit die back-ups wordt niets gelezen behalve bij herstel na een storing.

Met al deze partijen sluiten wij een verwerkersovereenkomst (art. 28 AVG).

Wat wij bewust níét gebruiken. Er zit geen captcha-dienst in de kind-aanmelding. Wij hebben die er uit gehaald omdat daarbij het IP-adres van een kind naar een partij buiten de EU zou gaan, terwijl wij misbruik ook kunnen tegenhouden met een eigen limiet op onze servers in de EU.

9. Jouw rechten

Als ouder/verzorger kun je:

• Inzage/dataportabiliteit — via "Download mijn gegevens" in de app (functie export-my-data) krijg je direct een JSON-export van je eigen profiel en van de kinderen waarvoor jij zelf toestemming hebt vastgelegd (nooit gegevens van andere volwassenen in het gezin). Maximaal 2 keer per dag.
• Verwijdering — via "Account verwijderen" in de app (functie delete-account) wordt je account, en als je gezinsbeheerder bent het hele gezin inclusief alle kind-accounts, hard verwijderd: alle tikjes, noodsessies, chips, koppelcodes en toestemmingsregistraties cascaderen automatisch mee weg. Dit kan niet terwijl er een actieve noodsessie loopt — een verwijdering mag een lopend alarm nooit geruisloos beëindigen. Eén uitzondering: het coördinaatloze nood-gebeurtenissenlog (§7) blijft vijf jaar bewaard, óók na verwijdering (art. 17 lid 3 sub e AVG).
• Intrekken van toestemming — het intrekken van toestemming voor een kind-account gebeurt door het account te verwijderen; we registreren dit vóór de verwijdering als "ingetrokken" in het toestemmingslogboek. De aparte "Loop even mee"-toestemming trek je los daarvan in met de schakelaar in de app (zie §5) — dat stopt een actief loopje direct en wordt eveneens in het toestemmingslogboek geregistreerd.
• Bezwaar/klacht — neem contact op via het e-mailadres in §1, of dien een klacht in bij de Autoriteit Persoonsgegevens.

Een kanttekening: back-ups van de database vervallen volgens een eigen rotatieschema en kunnen dus tijdelijk nog een kopie bevatten na verwijdering.

10. Beveiliging

Toegang tot gegevens wordt afgedwongen op databaseniveau (Row Level Security) op basis van gezinslidmaatschap: gezinsleden zien alleen gegevens van hun eigen gezin, en een kind ziet nooit de tikjes of noodsessies van een broer of zus. Gevoelige acties (tikjes registreren, noodsessies starten/stoppen, gezinsleden koppelen) lopen nooit direct vanuit de app naar de database, maar altijd via serverfuncties die opnieuw valideren wie je bent en wat je mag.

11. Geen tracking, geen doorverkoop

TapSafe bevat geen advertentie- of trackingSDK's, ook niet in de ouder-modus. We verkopen, verhuren of delen geen gegevens met derden voor commerciële doeleinden.

12. Wijzigingen

Bij een materiële wijziging van dit beleid vragen we ouders opnieuw om bevestiging voordat de kind-functionaliteit weer beschikbaar is. Eerdere versies zijn na te vragen via het e-mailadres in §1.