Privacy

In het kort

Je exacte coördinaten verlaten je apparaat nooit. Als Droog een locatie nodig heeft, stuurt de app een geohash: een vierkant van ongeveer 747 × 611 meter op de breedtegraad van Nederland. De server bewaart één vierkant per apparaat en overschrijft het als je naar een ander vierkant gaat, dus er is geen route en geen lijst met plekken. Er is geen account, je hoeft niet in te loggen en er is geen reclame-ID. Het enige e-mailadres dat Droog bewaart, is een adres dat je zelf op de wachtlijst zet, als je ergens woont waar Droog nog niet werkt. In de app zit geen analytics-SDK en geen SDK voor crashrapporten. Deze website telt wel bezoeken; onderaan deze pagina staat precies hoe. Er wordt niets verkocht aan of gedeeld met datahandelaren.

Wat Droog verzamelt

Een globale locatie

Twee aparte dingen, die je beter uit elkaar kunt houden:

• Voor regenmeldingen: één geohash-vierkant (747 × 611 m), opgeslagen met een willekeurig aangemaakte apparaat-ID en de pushtokens van Apple, zodat een melding kan worden gestart en gestopt. Eén vierkant per apparaat, overschreven zodra je een ander vierkant binnengaat.
• Als je op ‘Regent het nu?’ tikt: een grover vierkant van zo’n 5 km breed, waaraan helemaal geen ID is gekoppeld. Geen apparaat-ID, geen token, niets wat het aan jou of aan het vierkant hierboven koppelt. De server bewaart de losse waarneming niet; die telt alleen mee in een dagteller voor een regio van zo’n 150 km breed.

Je precieze coördinaten worden op je eigen apparaat gebruikt: om uit te rekenen in welk vierkant je bent, en om plaatsnamen te zoeken. Zoekopdrachten naar plaatsen gaan naar Apple, die ze behandelt volgens het eigen privacybeleid van Apple. Ze komen nooit bij Droog.

ID’s

Een willekeurige ID die de app zelf aanmaakt, pushtokens voor meldingen van Apple, een berichtentoken van Firebase en een anonieme inlog-ID van Firebase. Geen daarvan is de reclame-ID van Apple, geen ervan wordt gedeeld, en buiten Droog betekent geen ervan iets.

Supportgesprekken

Als je ons in de app schrijft, ontvangen we je bericht, een eventuele foto, en het model van je apparaat, de versie van het besturingssysteem, de versie van de app en je taal. Foto’s worden voor verzending opnieuw gecodeerd, waardoor de ingebedde gegevens van het originele bestand verdwijnen, ook een eventuele locatie. Niets hiervan gebeurt tenzij je zelf een gesprek begint.

De wachtlijst

Als je ergens woont waar Droog nog niet werkt, kun je in de app een e-mailadres achterlaten om te horen wanneer dat verandert. We bewaren vier dingen: het adres, het land dat je koos, de taal waarin we je schrijven (Engels of Nederlands) en de datum waarop je je aanmeldde. Verder wordt er niets bij opgeslagen: geen apparaat-ID, geen locatievierkant en geen pushtoken, dus het adres is niet gekoppeld aan iets anders wat Droog bewaart.

We gebruiken het voor één ding: e-mail over Droog. Eerst het nieuws dat Droog in je land werkt, en daarna heel af en toe een update. Daar geef je toestemming voor door je aan te melden, en je kunt die toestemming altijd intrekken. Onder elke mail staat een afmeldlink, en afmelden verwijdert je adres. De lijst wordt niet verkocht, verhuurd of gedeeld.

Wat Droog niet verzamelt

Dat leggen we liever uit dan dat we het alleen opsommen, want ‘we verzamelen het niet’ zegt pas iets als je weet wat het anders had gedaan.

• Geen reclame-ID. De IDFA van Apple is het nummer waarmee een app je herkent in andere apps en op websites: zo worden losse stukjes gedrag samengevoegd tot één profiel. Droog vraagt er nooit om. Daarom heeft Droog je ook nooit gevraagd of het je mag volgen: iOS stelt die vraag alleen voor apps die om de reclame-ID vragen.
• Geen analytics in de app. Er zit geen code van derden in Droog die telt waar je op tikt, hoe lang je blijft of welke schermen je bekijkt. Er is geen dashboard met wat je in de app doet, want de app stuurt zoiets niet op. (Deze website is anders: die telt paginabezoeken, zoals hieronder staat.)
• Geen dienst voor crashrapporten. Als Droog vastloopt, zien we dat in de samengevoegde rapporten van Apple, waarin geen ID van jou staat.
• Je precieze locatie verlaat je apparaat nooit, alleen het grove vierkant hierboven.
• Geen naam, contacten, fotobibliotheek, gezondheidsgegevens of surfgedrag. Er is geen account om ze aan te koppelen. Het enige e-mailadres dat Droog kan hebben, is het adres dat je zelf op de wachtlijst zet.
• De widgets en de Apple Watch praten alleen met de server van Droog. Ze vragen daar de weersverwachting op voor hetzelfde vierkant, zonder ID, zodat ze ook werken als de app dicht is.

Het privacymanifest van Droog zit in de app zelf, in het eigen formaat van Apple, dus de App Store-pagina en deze pagina beschrijven hetzelfde. Als ze elkaar ooit tegenspreken, is een van beide fout en horen we dat graag.

Je hoeft ons niet op ons woord te geloven

Je iPhone kan ons controleren, en dat kan hij beter dan een privacypagina. Ga naar Instellingen → Privacy en beveiliging → Rapport over privacy van apps en zet het aan. Het rapport houdt zeven dagen lang elk domein bij waarmee een app contact opneemt, en elke sensor die hij gebruikt: gemeten door je eigen apparaat, niet gemeld door ons.

Kijk hoe Droog het doet. Kijk daarna naar al het andere op je iPhone.

Wie er verder bij betrokken zijn

Hoe lang iets wordt bewaard

• Je vierkant: één tegelijk, overschreven als je je verplaatst.
• Je registratie: automatisch verwijderd zo’n twee weken nadat de app zich niet meer meldt, of meteen als je regenmeldingen uitzet, of zodra Apple ons laat weten dat het pushtoken niet meer werkt.
• Waarnemingen (‘Regent het nu?’): alleen bewaard als dagtelling per regio, ongeveer een jaar lang. Er is geen losse waarneming om te verwijderen.
• Supportgesprekken: bewaard tot jij of wij ze verwijderen.
• De wachtlijst: bewaard tot je je afmeldt of ons vraagt je te verwijderen. Hij verloopt niet vanzelf, omdat we na de lancering misschien nog eens schrijven.
• Serverlogs: onze servers bewaren korte tijd technische logs, zoals elke server. Ze worden niet gebruikt om een profiel te maken en niet gedeeld.

Zorgen dat Droog je vergeet

Zet regenmeldingen uit in de app en de registratie wordt verwijderd. Verwijder de app en de registratie verloopt vanzelf binnen zo’n twee weken. Omdat er geen account is, staat er geen tweede kopie op je naam. Er is geen naam.

De wachtlijst staat daar los van. Heb je er een e-mailadres op gezet, meld je dan af via een van onze mails, of schrijf naar privacy@growpixel.com, en het adres wordt verwijderd.

Wil je een supportgesprek laten verwijderen, of vragen wat er wordt bewaard, schrijf dan naar privacy@growpixel.com.

Waar dit je niet tegen beschermt

We zeggen het maar eerlijk, want een pagina als deze is makkelijker te vertrouwen als hij zijn grenzen erkent.

• Een vierkant maakt je niet anoniem. In de stad wonen er duizenden mensen in één vierkant; op het platteland soms maar een paar tientallen. De bescherming is echt, maar niet overal even groot.
• De servers van Droog kunnen geen geschiedenis opleveren, want die wordt niet bewaard. Maar wie de server kraakt en die lange tijd onafgebroken in de gaten houdt, kan vierkanten zien veranderen. Hoe grof we de vierkanten ook maken, dat lost het niet op; het enige wat zou helpen, is helemaal geen locatie sturen, en dan zijn er geen regenmeldingen.

Je rechten, en waarom de meeste hier nergens vat op krijgen

Ben je in de EU of het Verenigd Koninkrijk, dan geeft de wet je het recht om te vragen welke persoonsgegevens er over je worden bewaard, om ze te laten corrigeren, om ze te laten verwijderen, om ze mee te nemen naar een andere dienst, en om een klacht in te dienen bij een toezichthouder: in Nederland de Autoriteit Persoonsgegevens.

Eerlijk gezegd zit het bij de eerste paar zo. Er is geen account, dus er is niets waarop we je kunnen opzoeken. Een registratie voor regenmeldingen herkennen we aan een pushtoken dat op je apparaat staat en een willekeurig nummer dat de app heeft verzonnen. Als je ons morgen zou vragen wat we over je bewaren, zouden we dat niet kunnen nagaan. Niet omdat we niet willen zoeken, maar omdat er nergens een naam, adres of e-mailadres in staat waaraan we je kunnen herkennen.

Die situatie heeft een naam in de wet: artikel 11 van de AVG, ‘verwerking waarvoor identificatie niet is vereist’. Als een verwerkingsverantwoordelijke iemand echt niet kan identificeren, krijgen de rechten op inzage, rectificatie en overdraagbaarheid nergens vat op. Dat is geen uitvlucht. Het is wat je in plaats van die rechten krijgt: gegevens die niet kunnen worden overgedragen, omdat ze niet te vinden zijn.

Drie gevallen waarin dit niet geldt

• Supportgesprekken. Als je ons in de app hebt geschreven, is dat gesprek aan jou gekoppeld door wat je ons zelf hebt verteld. Vraag het en we sturen je een kopie of verwijderen het.
• De wachtlijst. Op een e-mailadres kunnen we je wel opzoeken. Schrijf vanaf dat adres naar privacy@growpixel.com en we vertellen je wat er op de lijst over je staat, of we corrigeren of verwijderen het.
• Verwijderen kan zonder iets te vragen. Zet regenmeldingen uit, of verwijder de app, en de registratie verdwijnt: in het eerste geval meteen, in het tweede binnen zo’n twee weken. Dat is het enige recht hier dat je kunt uitoefenen zonder iemand iets te vragen, ook ons niet.

Denk je dat we iets bewaren en dat deze pagina het mis heeft, schrijf dan naar privacy@growpixel.com en we zoeken het goed uit. ‘We konden het niet vinden’ is een antwoord dat we moeten kunnen verdedigen, geen manier om de vraag te ontwijken.

Shapes & Stories LLC is de verwerkingsverantwoordelijke. Schrijf naar privacy@growpixel.com.

Deze website

droog.is wordt gehost door Netlify, dat net als elke webhost elk verzoek ziet en daar logs van bijhoudt. De pagina's zelf laden niets van anderen: geen scripts, lettertypes of trackers van buiten.

We tellen bezoeken zonder dat de pagina daar iets voor doet. Elke keer dat er een pagina wordt opgevraagd, meldt de server van Netlify achteraf aan TelemetryDeck welke pagina het was, welke site ernaar linkte, uit welk land, welke regio en welke plaats het verzoek kwam (zoals Netlify die inschat op basis van het IP-adres), de voorkeurstaal van je browser, en wat voor browser en apparaat het was. Je IP-adres gaat niet mee. Om iemand die drie pagina's leest maar één keer te tellen, gaat er ook een code mee die maar één kant op werkt, gemaakt van het IP-adres, de browser, de datum en een geheim van ons. Die code is elke dag anders, dus bezoeken op verschillende dagen zijn niet aan elkaar te koppelen, en TelemetryDeck kan er geen adres uit terugrekenen. Stuurt je browser Global Privacy Control of Do Not Track mee, dan telt je bezoek helemaal niet mee.

droog.is plaatst één cookie, droog_lang, en alleen als je zelf een taal kiest: met de taalkeuze op deze pagina, of via een link die een taal kiest. De cookie bevat en of nl en blijft een jaar bewaard, zodat de volgende pagina in die taal komt. Zonder die cookie volgt de site de taal van je browser.

De homepage opent op een uitzicht vanuit jouw land. In België is dat Dinant. In Nederland is het bij je eerste bezoek de plek die het dichtst bij je ligt, en daarna een willekeurige Nederlandse. Overal elders kan het elke plek zijn. Netlify bepaalt je land en de dichtstbijzijnde plek aan de hand van het IP-adres en geeft de pagina alleen het land en de naam van die plek. Of je eerder bent geweest, onthoudt je browser zelf; dat gaat nergens heen.

Wijzigingen

Als er verandert wat Droog verzamelt, verandert deze pagina mee en schuift de datum onderaan op. Zie ook de voorwaarden.