DocCipher · mobiele app
Privacybeleid
DocCipher bewaart uw documenten in een versleutelde kluis op uw apparaat. Er is geen DocCipher-account en geen documentenserver van BB16 Studio.
Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke is BB16 Studio, de uitgever van DocCipher. Voor vragen of verzoeken over uw gegevens kunt u schrijven naar bb16studio@gmail.com. Dit beleid geldt voor de Android-versie van DocCipher die voor Google Play is aangekondigd. De app is daar nog niet beschikbaar.
Documenten en lokale versleuteling
Geïmporteerde documenten, hun voorbeelden, via OCR herkende tekst, mappen, tags en kluisgegevens blijven in de privéruimte van de app. De kluis wordt op het apparaat versleuteld. BB16 Studio ontvangt geen documenten, documentinhoud, wachtwoord of herstelmateriaal van u.
Tekstherkenning (OCR) vindt op het apparaat plaats met ingebouwde modellen: daarvoor worden geen afbeeldingen of teksten naar een server gestuurd.
Lokale herinneringen en gegevens buiten de kluis
Als u herinneringen inschakelt, bewaart DocCipher in de privéruimte van de app, buiten de versleutelde kluis, een schema dat beperkt is tot dagen, tellers, het gekozen tijdstip en algemene teksten. Dit schema maakt lokale herinneringen mogelijk, ook als de kluis vergrendeld is. Het bevat geen documenttitel, naam, nummer of categorie. De melding gebruikt een algemene titel op het vergrendelscherm. Deze gegevens worden niet via een pushmeldingsdienst verstuurd.
Geen documentenserver of synchronisatie
BB16 Studio beheert geen server die uw documenten host, analyseert, synchroniseert of back-upt. Synchronisatie via WebDAV of Nextcloud is in deze versie niet beschikbaar, evenmin als andere online opslag. Uw documenten verlaten het apparaat alleen via een export die u zelf start.
Exports en back-ups die u zelf kiest
Een document of .dcvault-back-up verlaat de app alleen als u expliciet een export start en de bestemming kiest via de systeemkiezer of het deelmenu. Een .dcvault-back-up blijft versleuteld; een onversleuteld geëxporteerd document is dat niet meer en valt vervolgens onder de beveiliging van de gekozen bestemming.
De herstelkit (uw herstelzin en bijbehorende QR-code) verlaat de app alleen als u deze afdrukt, als PDF op een locatie naar keuze opslaat of de zin kopieert. Dan is de kit afhankelijk van de gekozen printer, bestemming of het klembord.
De automatische Android-back-up en automatische overdracht naar een nieuw apparaat zijn uitgeschakeld.
De Android-aankoop-SDK kan Google Block Store vragen de pseudonieme identificatie die aan aankopen is gekoppeld te bewaren, om het herstellen ervan te vergemakkelijken. Dit kanaal staat los van de hierboven uitgeschakelde back-up van app-bestanden en bevat uw documenten niet.
Biometrisch ontgrendelen
Als u biometrisch ontgrendelen inschakelt, verloopt dit via het Android-systeemvenster. DocCipher ontvangt alleen het resultaat: identiteit wel of niet bevestigd. De app heeft geen toegang tot vingerafdrukken, gezichtsbeelden of biometrische sjablonen; deze blijven in het beveiligde gedeelte van het apparaat. Biometrie vervangt uw pincode niet: die blijft nodig.
Paniekcode en afleidingskluis gepland bij de lancering
Deze twee optionele functies zijn zonder meerprijs gepland binnen het levenslange Premium-recht. De lokale implementatie wordt gevalideerd; openbare beschikbaarheid blijft afhankelijk van de vereiste beveiligingsbeoordelingen en tests op een apparaat.
U activeert de paniekcode vrijwillig na authenticatie met het hoofdwachtwoord, met een tweemaal ingevoerde afzonderlijke pincode, twee toestemmingen en een bevestiging van de onomkeerbare handeling. U kiest bepaalde kluizen of alle kluizen. Alleen het exact invoeren van de geactiveerde paniekpincode start daarna, zonder nieuw dialoogvenster, het logisch verwijderen van de bestanden, lokale sleutels, caches en miniaturen van de gekozen kluizen. Dit garandeert geen fysieke overschrijving van de opslag. Geëxporteerde back-ups, cloudkopieën en andere externe back-ups worden niet verwijderd.
De afleidingskluis is een afzonderlijke lokale kluis met een eigen pincode, eigen sleutels en eigen inhoud. Wanneer ze is geopend, wordt alleen haar inhoud getoond. Deze bescherming tegen toevallig meekijken is openbaar gedocumenteerd; ze garandeert niet dat een waarnemer niet van haar bestaan weet of dat onderzoek van het apparaat haar niet kan onderscheiden.
Optionele aankopen
DocCipher gebruikt de uitwisselingen met RevenueCat om aanbiedingen te tonen, aankopen te doen, een aankoop te herstellen en de Premium-toegang bij deze optionele handelingen te controleren. U kunt DocCipher gebruiken zonder iets te kopen. Google Play verwerkt de betaling. De controle van de aankoop en uw Premium-toegang is toevertrouwd aan RevenueCat, een dienstverlener die namens BB16 Studio en volgens onze instructies handelt (een verwerker in de zin van de AVG). Nadat de SDK is geconfigureerd, kan de app bij terugkeer naar de voorgrond opnieuw naar de status van uw Premium-toegang vragen. Via dit kanaal worden geen documenten, kluizen, pincodes, wachtwoorden of sleutels verstuurd.
Het openen van aanbiedingen, een aankoop, een herstelactie of een bekend Premium-recht laat ook een lokale markering van interesse in Premium achter. Bij latere starts kan deze markering ervoor zorgen dat de SDK wordt geconfigureerd en de toegang opnieuw wordt gecontroleerd, ook zonder de aanbiedingen te openen. Een onleesbare markering wordt als aanwezig behandeld om het recht te kunnen herstellen. Deze initialisatie kan beginnen bij de eerste ontgrendeling van het proces; ze garandeert niet bij elke start een verzoek of een netwerkantwoord.
Bij elk van deze uitwisselingen ontvangt RevenueCat:
- een willekeurige gebruikersidentificatie die de RevenueCat-SDK aanmaakt wanneer de app voor het eerst contact opneemt;
- technische informatie bij elk verzoek: het platform en de Android-versie, het model en merk van het apparaat, de taal of talen van het apparaat, het land van uw Google Play-account, de app-identificatie, de app-versie en de SDK-versie;
- het IP-adres van uw verbinding, dat elke benaderde server ontvangt en waaruit een benadering van het land kan worden afgeleid.
Bij een aankoop of herstel ontvangt RevenueCat daarnaast het Google Play-aankooptoken (ontvangstbewijs), het gekochte product, de prijs en valuta en de transactiedatums. Daaruit bepaalt RevenueCat de status van uw Premium-toegang (actief of verlopen).
Deze identificatie bevat niet uw naam of e-mailadres, maar is niet anoniem: ze is gekoppeld aan uw Google Play-aankopen, die op hun beurt aan uw Google-account zijn gekoppeld. Het herstellen van een aankoop kan haar koppelen aan de identificaties van uw andere installaties. Het gaat om een pseudoniem gegeven. Er wordt geen account aangemaakt, de automatische verzameling van apparaatidentificaties (advertentie-ID, Android-ID) is uitgeschakeld en de SDK-diagnostiek is uitgeschakeld.
Zoals bij elke aankoop in de Play Store ontvangt Google Play uw Google-account, het product en uw betaalgegevens. Google verwerkt deze gegevens als afzonderlijke verwerkingsverantwoordelijke volgens zijn eigen privacybeleid. Via de console verstrekt Google Play aan BB16 Studio de bestelgegevens die nodig zijn voor verkoopbeheer, waaronder het bestelnummer, product, prijs en land van aankoop. BB16 Studio krijgt nooit uw bankgegevens te zien.
Doel en rechtsgrond
De communicatie met RevenueCat dient om uw aankopen en Premium-rechten te beheren:
- uw Premium-toegang controleren zodra de app contact opneemt met RevenueCat, ook als u niets hebt gekocht: deze verwerking is noodzakelijk voor de uitvoering van de gebruiksovereenkomst van de app (artikel 6, lid 1, punt b, van de AVG);
- een aankoop of herstel verwerken: deze verwerking is noodzakelijk voor de uitvoering van de koopovereenkomst (artikel 6, lid 1, punt b, van de AVG).
Aankoopgegevens worden in RevenueCat ook gebruikt voor verkoop- en abonnementsstatistieken. Ze worden niet gebruikt voor advertenties, advertentieprofilering of advertentietracking. Als u ons schrijft, gebruiken we uw bericht en e-mailadres om u te antwoorden, op basis van ons gerechtvaardigde belang om dat te doen of van onze wettelijke verplichtingen wanneer u uw rechten uitoefent.
Doorgifte buiten de Europese Unie
RevenueCat, Inc. is gevestigd in de Verenigde Staten, waar de hierboven beschreven aankoopgegevens worden verwerkt. Deze doorgifte is geregeld via de standaardcontractbepalingen van de Europese Commissie, die zijn opgenomen in de gegevensverwerkingsovereenkomst van RevenueCat. U kunt een kopie aanvragen via bb16studio@gmail.com.
Bewaartermijn
RevenueCat bewaart aankoopgegevens zolang ze dienen voor het beheren en herstellen van uw aankoop en verwijdert ze op uw verzoek (zie ‘Verwijderen en uw rechten’). Als u nooit iets hebt gekocht maar de app wel contact heeft opgenomen met RevenueCat, bewaart RevenueCat namens BB16 Studio een pseudoniem record dat beperkt is tot de identificatie en hierboven beschreven technische informatie, zolang dit voor dat contact nodig is. Dit record wordt op verzoek verwijderd (zie ‘Verwijderen en uw rechten’). Google Play bewaart eigen bestelgegevens volgens zijn beleid. Uw documenten blijven op uw apparaat totdat u ze in de app verwijdert. Wissen met de paniekcode verwijdert de gekozen kluizen en hun lokale gegevens logisch; externe back-ups blijven op hun bestemming totdat u ze daar verwijdert.
Wat DocCipher niet doet
- Geen DocCipher-gebruikersaccount en geen gevraagd e-mailadres.
- Geen advertenties, geen advertentie-ID en geen verkoop van gegevens.
- RevenueCat verwerkt de hierboven beschreven aankoopgegevens, onder meer voor verkoopstatistieken. Er wordt geen SDK toegevoegd voor het volgen van documentgebruik of het rapporteren van vastlopers; de diagnostische onderdelen van de ML Kit-bibliotheken worden verwijderd.
- Geen tracking tussen apps of tussen websites.
Android-crashrapporten
Als u in de apparaatinstellingen toestemming hebt gegeven om gebruiks- en diagnostische gegevens met Google te delen, kan Android crash- en prestatierapporten naar Google sturen. Google Play stelt deze in zijn console (Android Vitals) beschikbaar aan BB16 Studio als geaggregeerde statistieken en technische rapporten: apparaatmodel, Android-versie en fouttracering. Dit mechanisme hoort bij het systeem, niet bij DocCipher. Deze rapporten bevatten geen documenten, naam of e-mailadres van u en u kunt ze uitschakelen in de apparaatinstellingen.
Beoordelingen in Google Play
DocCipher kan de officiële Google Play In-App Review-API aanroepen nadat een document succesvol is beschermd of een back-up is geslaagd. Het verzoek wordt nooit gedaan bij het starten, tijdens een bewerking, na een mislukking of vanuit de schermen voor paniekcode of afleidingskluis. Tussen twee verzoeken geldt lokaal een wachttijd van minimaal 90 dagen. Google Play bepaalt of het venster wordt getoond; DocCipher ontvangt geen beoordeling, opmerking of score en weet niet of de kaart is getoond. Via dit kanaal worden geen documenten, kluizen, pincodes of ingevoerde teksten verstuurd.
Android-toestemmingen
Het manifest van de Android-build die voor Google Play is voorbereid, declareert precies zeven vermeldingen:
android.permission.INTERNET— uitsluitend voor aankopen;com.android.vending.BILLING— Google Play-facturering;android.permission.USE_BIOMETRIC— het biometrische systeemvenster tonen; deze toestemming geeft geen toegang tot biometrische gegevens;android.permission.USE_FINGERPRINT, beperkt tot Android 9 en eerdere versies — dezelfde functie op die versies;android.permission.RECEIVE_BOOT_COMPLETED— lokale herinneringen opnieuw plannen na een herstart;android.permission.POST_NOTIFICATIONS— lokale herinneringen tonen, met systeemtoestemming wanneer die vereist is;- een interne toestemming op basis van de app-handtekening, die geen apparaatfunctie toegankelijk maakt.
Er wordt geen toestemming gevraagd voor camera, locatie, contacten, microfoon of brede opslagtoegang: bestanden worden via de systeemkiezers geopend.
Verwijderen en uw rechten
U kunt uw documenten in de app verwijderen. Als u de Premium-paniekoptie vrijwillig hebt geactiveerd, kan de afzonderlijke pincode de geselecteerde lokale kluizen of alle lokale kluizen logisch wissen. Deze handeling is in de app onomkeerbaar, maar garandeert geen fysieke gegevenswissing en verwijdert geen externe back-ups. U kunt ook alle lokale DocCipher-gegevens wissen in de Android-instellingen of de app deïnstalleren. Een geëxporteerde kopie blijft op de gekozen locatie totdat u deze daar verwijdert. BB16 Studio kan uw kluis niet op afstand uitlezen, ontsleutelen of herstellen.
Voor de gegevens die RevenueCat namens BB16 Studio verwerkt, kunt u verzoeken om inzage, rectificatie, wissing, beperking of overdraagbaarheid en bezwaar maken tegen verwerking die op ons gerechtvaardigde belang berust. Schrijf naar bb16studio@gmail.com. Als u iets hebt gekocht, vermeld dan uw Google Play-bestelnummer: het begint met ‘GPA.’ en staat in de ontvangstbevestiging die Google Play per e-mail heeft verstuurd. Als u nooit iets hebt gekocht maar de app wel contact heeft opgenomen met RevenueCat, vermeld dan de geschatte datum en het apparaatmodel: doordat de app niet om uw identiteit vraagt, volstaan deze gegevens en de eigen RevenueCat-identificatie om uw record zonder bestelnummer te vinden. Voeg nooit een document, wachtwoord, sleutel of herstelzin toe. De AVG geeft ons één maand om te antwoorden.
Het wissen van deze gegevens annuleert uw aankoop niet: Google Play bewaart deze en een latere herstelactie vindt haar terug door de hierboven beschreven gegevens opnieuw naar RevenueCat te sturen. U beheert en annuleert een abonnement via Google Play.
Als u meent dat uw rechten niet worden gerespecteerd, kunt u een klacht indienen bij een toezichthouder voor gegevensbescherming, in Frankrijk de CNIL.
Wijzigingen
Deze pagina wordt bijgewerkt als de gegevensstromen, diensten van derden of toestemmingen van de app veranderen.