Privacybeleid · Northstar Family

Versie 1, geldig vanaf 14 november 2026.

Over dit beleid

Northstar Family is een app waarmee de leden van een gezin hun locatie met elkaar delen en een kwijtgeraakt apparaat kunnen laten rinkelen. In dit beleid lees je welke persoonsgegevens we daarvoor verwerken, waarom, waar, hoe lang, wie ze kan zien en welke rechten je hebt (art. 13 en 14 AVG).

Het beleid geldt voor de server van Northstar Family, voor de app en voor de website northstarfamily.app. Met “onze server” bedoelen we de diensten van Google Firebase die we voor Northstar Family gebruiken.

Dit beleid beschrijft alleen wat vandaag zo werkt. De server draait al. De app is nog niet te krijgen in Google Play. Wat de app nog moet leren, voegen we aan dit beleid toe voordat het in gebruik gaat, in een nieuwe versie (zie Wijzigingen).

Een paar woorden die we hieronder gebruiken:

Een gezin zijn de mensen die hun locatie met elkaar delen. Leden van het ene gezin zien nooit een ander gezin.
Een lid is een persoon in het gezin. Een lid is ouder of kind. Dat zijn rollen in de app: ze zeggen niets over iemands leeftijd. Een ouder heeft alle rechten in het gezin.
Een apparaat is een telefoon of tablet van één persoon. Een lid kan meer apparaten hebben, en een apparaat kan in twee gezinnen zitten.
Een locatie is één positie van een apparaat op een bepaald moment. De geschiedenis van een apparaat zijn zijn nieuwste 720 locaties.

Wie is verantwoordelijk

Verantwoordelijk voor de verwerking (art. 4.7 AVG) is:

Nathalie Eeckhout, handelend onder de naam Belle Perlette
Volkershouw 19a, 9230 Wetteren, België
Ondernemingsnummer 0765.341.678
Btw BE 0765.341.678
E-mail: privacy@northstarfamily.app

We hebben geen functionaris voor gegevensbescherming aangesteld. Met elke vraag over je gegevens kun je terecht op privacy@northstarfamily.app.

Kort gezegd

Onze server neemt locaties alleen aan in de vorm van een versleuteld pakket. Voor leesbare coördinaten en voor de sleutels om ze te lezen heeft hij geen plaats.
Kinderen geven nooit een e-mailadres. Van ouders bewaren we het e-mailadres van hun Google-account. Dat gebruiken we nooit voor marketing.
Geen reclame. We verkopen geen gegevens en geven ze niet aan adverteerders.
Bijna alles staat in België, in de regio europe-west1 van Google. Twee diensten van Google werken ook buiten de EU: de aanmelding (Firebase Authentication, in de Verenigde Staten) en de bezorging van berichten aan apparaten (Firebase Cloud Messaging, wereldwijd). De website draait op een server in Londen, in het Verenigd Koninkrijk.
De website zet geen cookies en gebruikt geen analysediensten of scripts van anderen.
Je kunt je gegevens laten verwijderen, ook zonder de app: zie Account verwijderen.

Welke gegevens we verwerken

Gezin en leden

de naam van het gezin, en wanneer het werd aangemaakt;
van elk lid: de naam, de emoji, de rol (ouder of kind), of het lid nog in het gezin is, en wanneer het erbij kwam of vertrok;
van elke ouder: het e-mailadres van het Google-account waarmee die ouder zich aanmeldt, en een hash van de Google-ID van dat account (een code die van die ID is afgeleid; de ID zelf bewaren we niet). Ook wanneer en vanaf welk apparaat het Google-account werd gekoppeld. Of Google het e-mailadres heeft bevestigd, bewaren we niet, en ook niet je naam of foto bij Google.

Kinderen geven nooit een e-mailadres en melden zich nooit aan met Google.

Apparaten

de naam (bijvoorbeeld “Pixel van Emma”) en het model (bijvoorbeeld “Pixel 8”);
de versie van de app;
de toestemmingen op het apparaat: meldingen aan of uit, locatie (geen, geschat of exact), locatie op de achtergrond, en meldingen op volledig scherm;
de pauzestatus: of het delen voor dit gezin gepauzeerd is, sinds wanneer en tot wanneer;
wanneer het apparaat erbij kwam, wanneer het verwijderd werd, en wanneer het die gegevens laatst bijwerkte;
technische kenmerken: een willekeurige ID per apparaat bij Firebase Authentication, een ID die van de sleutel van het apparaat is afgeleid, de publieke sleutels van het apparaat, en een FCM-token: het adres waarop Google berichten aan het apparaat bezorgt.

Zoek nu en Laat rinkelen

Met Zoek nu vraag je een apparaat om meteen een nieuwe, exacte locatie. Met Laat rinkelen laat je een apparaat luid rinkelen, zodat je het terugvindt. Voor elke opdracht bewaart onze server: welk lid en welk apparaat de opdracht gaf, aan welk apparaat, welke opdracht (Zoek nu, Laat rinkelen of Stop rinkelen), wanneer, of het bericht kon worden bezorgd, en het resultaat dat het apparaat terugmeldt (bijvoorbeeld “rinkelt” of “meldingen staan uit”). Een opdracht bevat nooit een locatie.

Koppelcodes

Een koppelcode verbindt een nieuw apparaat met het gezin. Zolang de code loopt, bewaart onze server voor welk lid ze is, met welke rol, de naam van dat lid, welk apparaat van welke ouder ze maakte, wanneer, en welk apparaat ze gebruikte. Voor de geheime code zelf heeft onze server geen plaats: hij werkt alleen met een afgeleide waarmee hij de code herkent.

Abonnement

Van elk gezin bewaren we de toestand van het abonnement, voor hoeveel apparaten het is, tot wanneer het loopt, welk lid betaalt, welk product van Google Play het is, en het aankooptoken: een code waarmee onze server bij Google Play de actuele toestand opvraagt. Google Play handelt de betaling af. Wij krijgen geen betaalgegevens, geen factuuradres en geen e-mailadres van wie betaalt. Onze server koppelt een aankoop alleen aan het gezin waarvan de ID bij de aankoop in Google Play staat.

Beveiliging en werking

tellers tegen misbruik: hoe vaak een apparaat, een gezin, een Google-account of een IP-adres een functie van onze server aanriep. Ze staan onder een hash, zonder de ID of het IP-adres zelf;
de logboeken van onze serverfuncties: de ID’s van gezin, lid en apparaat, redenen van een weigering of fout, en tijden. Nooit namen, e-mailadressen, tokens of locaties;
de verzoeklogboeken van het platform van Google: het IP-adres en de user agent (gegevens over de app of browser) van wie een functie aanriep, welke functie, het resultaat en de duur;
Firebase Authentication verwerkt het IP-adres en de user agent van elke aanmelding van een apparaat en elke verversing daarvan;
de auditlogboeken van Google: wie de instellingen van ons project wijzigde. Daarin staan alleen de beheerders van ons project.

Waar onze server geen plaats voor heeft

Leesbare locaties, privésleutels, de sleutels waarmee locaties versleuteld worden en de geheime koppelcodes: daarvoor heeft onze server geen plaats, en onze serverfuncties weigeren elke vraag waarin een veld staat dat op een positie, een sleutel of een geheime code lijkt. Ook betaalgegevens krijgen we niet, en niets op je apparaat wat de app niet nodig heeft: contacten, foto’s, berichten, bestanden.

Locaties

Onze server neemt een locatie alleen aan in de vorm van een versleuteld pakket, met per apparaat dat de locatie mag lezen een eigen verpakte sleutel. Er is geen plaats voor leesbare coördinaten: onze server weigert een locatie die niet in die vorm komt. Ook voor de sleutels om locaties te lezen heeft onze server geen plaats.

Wat onze server wel kan lezen:

wanneer een locatie werd gemaakt en wanneer ze aankwam;
voor welke apparaten ze versleuteld is.

Uit die tijdstippen kan iemand met toegang tot onze server afleiden wanneer een apparaat locaties stuurde.

Wie een locatie mag ophalen, legt onze server vast:

de huidige locatie van een apparaat: elk apparaat van het gezin;
de geschiedenis van een apparaat: de apparaten van de ouders, en de eigen apparaten van het lid van wie het apparaat is. Een kind kan dus alleen de geschiedenis van zijn eigen apparaten ophalen.

De geschiedenis bestaat uit de nieuwste 720 locaties van een apparaat in een gezin, hoe oud ze ook zijn. Oudere locaties worden gewist.

Is het delen van een apparaat voor een gezin gepauzeerd, dan weigert onze server een Zoek nu van andere leden van dat gezin, zonder het apparaat iets te sturen. Alleen de andere apparaten van hetzelfde lid kunnen het dan zoeken. Laat rinkelen blijft werken voor iedereen in het gezin.

Waarom en op welke grondslag

Waarvoor	Welke gegevens	Grondslag
De dienst leveren: het gezin, de leden en hun apparaten, locaties delen, Zoek nu en Laat rinkelen, koppelcodes, en de melding aan ouders als het delen stopt	Gezin en leden, apparaten, versleutelde locatiepakketten, opdrachten, koppelcodes, FCM-token, de ID’s en sleutels van apparaten	Nodig voor de overeenkomst: de dienst die je gezin afneemt en die jij op je apparaat gebruikt (art. 6.1.b AVG)
Een ouder herkennen aan zijn Google-account, zodat die ouder zijn plaats terugkrijgt op een nieuwe telefoon en het gezin of apparaten kan verwijderen	E-mailadres en hash van de Google-ID van ouders	Nodig voor de overeenkomst (art. 6.1.b AVG)
Het abonnement opvragen bij Google Play	Abonnementsgegevens, aankooptoken	Nodig voor de overeenkomst (art. 6.1.b AVG)
Onze server en je gezin beveiligen en misbruik tegengaan	Tellers tegen misbruik, logboeken, verzoeklogboeken met IP-adressen	Gerechtvaardigd belang: een veilige, bereikbare dienst voor alle gezinnen (art. 6.1.f AVG)
De website tonen en beveiligen	Logboeken van de webserver	Gerechtvaardigd belang (art. 6.1.f AVG)
Verwijderverzoeken en andere privacyverzoeken afhandelen	Wat je in het formulier of je e-mail invult, en onze antwoorden	Wettelijke plicht (art. 6.1.c, met art. 12 en 15 tot 22 AVG)

We gebruiken je gegevens niet voor andere doelen. We maken geen profielen, en geen enkele beslissing over jou wordt volledig automatisch genomen in de zin van art. 22 AVG.

Wie de gegevens ziet

De leden van je gezin zien de naam van het gezin, de namen, emoji’s en rollen van de leden, de naam, het model, de toestemmingen en de pauzestatus van elk apparaat, en de locaties zoals hierboven onder Locaties. Het e-mailadres van een ouder zien de andere leden niet. Wie een geldige koppelcode heeft, ziet vóór het koppelen de naam van het gezin, de naam van het lid en de rol.

Wij, als beheerder van onze server, kunnen zien: de naam van het gezin, de namen, emoji’s en rollen van de leden, de namen en modellen van de apparaten, de tijdstippen van alle locaties, de pauzestatus, de toestemmingen en de app-versie, wie welk apparaat wilde zoeken of laten rinkelen en wanneer (7 dagen lang), de gegevens van het abonnement met het aankooptoken, het e-mailadres en de hash van de Google-ID van ouders, en technische ID’s en IP-adressen in de logboeken. Van posities zien wij alleen het versleutelde pakket: voor de sleutels om het te lezen heeft onze server geen plaats. We kijken alleen naar deze gegevens als dat nodig is om de dienst te laten werken, om een vraag of verzoek van jou af te handelen, of om een fout of misbruik op te lossen.

Verwerkers die gegevens in onze opdracht verwerken, onder een verwerkersovereenkomst (art. 28 AVG):

Google (Firestore, Cloud Functions, Pub/Sub, Cloud Scheduler, Cloud Logging, Firebase Authentication, Firebase Cloud Messaging), onder Google’s Cloud Data Processing Addendum en de Firebase Data Processing and Security Terms;
OVHcloud (OVH B.V., Nederland), bij wie de server van de website staat, in een datacenter in Londen (Verenigd Koninkrijk), en onze mailbox privacy@northstarfamily.app, in Frankrijk. Op de server staan de logboeken van de webserver. In de mailbox staan de e-mails van het verwijderformulier, andere e-mails aan dat adres en onze antwoorden.

Zelfstandige verantwoordelijken:

Google Play, voor de betaling van het abonnement. Google Play bewaart het Google-account van wie betaalt, de betaalmethode en het factuuradres; wij krijgen die niet.
Google, als aanbieder van het Google-account waarmee een ouder zich aanmeldt.

Verder geven we gegevens alleen door als de wet ons daartoe verplicht.

Waar de gegevens staan

In België (Google, regio europe-west1): de database (Firestore), onze serverfuncties (Cloud Functions), de berichten van Google Play over abonnementen (Pub/Sub), de geplande taken, en onze logboeken.
In de Verenigde Staten: Firebase Authentication werkt alleen vanuit datacenters in de VS. Daar staan de willekeurige ID van elk apparaat en de tijden van aanmelden en verversen, en daar worden de IP-adressen en user agents van die aanmeldingen verwerkt. Namen en e-mailadressen staan er niet: die bewaren we in de database in België.
Wereldwijd: Firebase Cloud Messaging bezorgt berichten aan apparaten vanuit elke locatie van Google. Het verwerkt het FCM-token van elk apparaat en de berichten zelf. Die bevatten alleen ID’s, behalve de melding aan ouders dat het delen gestopt is: daarin staat de naam van het gezin.
Wereldwijd: de auditlogboeken van Google over wijzigingen aan de instellingen van ons project. Daarin staan alleen de beheerders van ons project.
In Frankrijk (OVHcloud): onze mailbox privacy@northstarfamily.app, met de e-mails van het verwijderformulier, andere e-mails aan dat adres en onze antwoorden.
In het Verenigd Koninkrijk (OVHcloud, datacenter in Londen): de server van de website, met de logboeken van de webserver. Wat je in het verwijderformulier invult, gaat via die server naar onze mailbox in Frankrijk. De server bewaart er niets van.

Voor het Verenigd Koninkrijk heeft de Europese Commissie besloten dat het land persoonsgegevens passend beschermt (besluit (EU) 2021/1772, verlengd tot 27 december 2031 bij besluit (EU) 2025/2574; art. 45 AVG). Daarop steunen we voor de server van de website.

Voor wat Google buiten de Europese Economische Ruimte verwerkt, steunt Google op het EU-VS-gegevensprivacykader (besluit (EU) 2023/1795 van de Europese Commissie, art. 45 AVG), waaraan Google zegt te voldoen, en anders op de standaardcontractbepalingen van de Europese Commissie (besluit (EU) 2021/914, art. 46.2.c AVG). Google Play steunt voor de betaling op diezelfde standaardcontractbepalingen. Een kopie van die waarborgen kun je bij ons opvragen.

Hoe lang we gegevens bewaren

Wat	Hoe lang
Een gezin dat een ouder verwijdert	Meteen verwijderd, met alles wat erbij hoort.
Een gezin waarvan het abonnement afliep	30 dagen na het einde van het abonnement verwijderd.
Een gezin dat nooit een geslaagde aankoop had	7 dagen na het aanmaken verwijderd, samen met het apparaat en de Google-gegevens van de ouder die het startte.
Een gezin waarvan de betaling mislukte of waarvan wie betaalt het abonnement pauzeerde in Google Play	Niets wordt verwijderd zolang Google Play het abonnement zo houdt. Het delen, Zoek nu en Laat rinkelen staan dan uit.
De geschiedenis van een apparaat	De nieuwste 720 locaties per apparaat per gezin, hoe oud ook. Oudere worden gewist. Een telefoon die opnieuw gekoppeld werd nadat hij zijn sleutels verloor, en de nieuwe telefoon van een ouder die een verloren apparaat vervangt, hebben samen met het oude apparaat één geschiedenis van 720. De huidige locatie van het oude apparaat wordt dan meteen gewist.
De huidige locatie van een apparaat	Overschreven door elke nieuwe locatie.
Locaties tijdens een pauze, alleen voor de eigen apparaten van het lid	Gewist na het einde van de pauze, ten laatste ongeveer 2 uur later.
Een apparaat dat verwijderd wordt	De huidige locatie, de geschiedenis en de pauzelocaties meteen gewist. De naam, het model, de toestemmingen en de app-versie meteen leeggemaakt. De ID’s, de data en de publieke sleutels blijven zolang het gezin bestaat: de andere apparaten hebben ze nodig om handtekeningen na te gaan.
Een lid dat vertrekt of verwijderd wordt	Naam en emoji meteen leeggemaakt. Het e-mailadres en de hash van de Google-ID van een ouder meteen gewist, net als de koppelcodes die nog voor dat lid liepen. Een plaats zonder naam (ID’s, rol, data) en de sleutelgegevens blijven zolang het gezin bestaat.
Een ouder die kind wordt	Het e-mailadres en de hash van de Google-ID meteen gewist.
Een lid voor wie een koppelcode werd gemaakt die nooit gebruikt werd	24 uur na het aanmaken gewist.
Een koppelcode	15 minuten bruikbaar. Daarna wist de database ze, meestal binnen een dag.
Opdrachten Zoek nu, Laat rinkelen en Stop rinkelen	7 dagen. Daarna wist de database ze, meestal binnen een dag.
De willekeurige ID van een apparaat bij Firebase Authentication en zijn FCM-token	Gewist wanneer een ander apparaat het uit zijn laatste gezin verwijdert, of met dat gezin. Anders 180 dagen na het laatste gebruik als het apparaat in geen enkel gezin meer zit.
De koppeling van een aankoop aan een gezin	Met het gezin.
Het aankooptoken van Google Play	Tot het vervangen wordt door een nieuw, en ten laatste met het gezin: zolang het abonnement loopt plus 30 dagen.
Tellers tegen misbruik	Tot het einde van hun tijdvenster, hoogstens 30 dagen, plus tot een dag voor de database ze wist.
Logboeken van onze serverfuncties	30 dagen, in België.
Verzoeklogboeken met IP-adressen	7 dagen, in België.
IP-adressen en user agents bij Firebase Authentication	Enkele weken, door Google, in de VS. Dat bepalen wij niet.
Auditlogboeken van Google over wijzigingen aan ons project	400 dagen, door Google. Daarin staan alleen de beheerders van ons project.
Logboeken van de webserver (toegangslogboeken en het foutlogboek van Windows)	7 dagen, plus hoogstens 2 uur, op de server van de website in het Verenigd Koninkrijk.
E-mails met een verzoek, via het verwijderformulier of rechtstreeks aan privacy@northstarfamily.app, en onze antwoorden	30 dagen nadat het verzoek is afgehandeld.
Back-ups	Wij maken geen back-ups of exports van de database en kunnen niet terug naar een vroeger tijdstip: wat gewist is, is weg. Van de server van de website maken we evenmin back-ups. Google wist verwijderde gegevens binnen 180 dagen ook uit zijn eigen back-ups.

Je gegevens verwijderen

Hoe je een apparaat, jezelf of een heel gezin laat verwijderen, staat op de pagina Account verwijderen. Wat er dan gebeurt:

Een apparaat verwijderen: de locaties en de geschiedenis van dat apparaat worden meteen uit het gezin gewist. Is het je laatste apparaat in dat gezin, dan verlaat je ook het gezin.
Een lid dat het gezin verlaat of verwijderd wordt: de naam verdwijnt meteen, en van een ouder ook het e-mailadres en de Google-gegevens. De laatste ouder kan het gezin niet zo verlaten: die maakt eerst iemand anders ouder, of verwijdert het hele gezin.
Een gezin verwijderen kan alleen een ouder. Alles van het gezin wordt meteen gewist.
Wat al op de apparaten van andere leden staat, kunnen wij niet van die apparaten wissen.
Het abonnement loopt door tot wie het betaalt het opzegt in Google Play, ook als het gezin verwijderd is: play.google.com/store/account/subscriptions.

Wat na een verwijdering nog even blijft (logboeken, back-ups van Google), staat in de tabel hierboven.

Kinderen

In Northstar Family is “kind” een rol, geen leeftijd. Wat er voor een lid met de rol kind anders is:

Een kind geeft nooit een e-mailadres en meldt zich nooit aan met Google.
Een kind kan alleen de geschiedenis van zijn eigen apparaten ophalen. De apparaten van de ouders kunnen de geschiedenis van elk apparaat in het gezin ophalen.
Wordt een ouder kind, dan wissen we meteen het e-mailadres en de Google-gegevens van dat lid.

Ben je jonger dan 18 en heb je een vraag over je gegevens? Mail ons op privacy@northstarfamily.app, zelf of samen met iemand die je vertrouwt. Je hebt dezelfde rechten als iedereen.

Je rechten

Je hebt het recht om:

te vragen welke gegevens we over je hebben en een kopie te krijgen (art. 15 AVG);
onjuiste gegevens te laten verbeteren (art. 16 AVG);
je gegevens te laten wissen (art. 17 AVG);
de verwerking te laten beperken (art. 18 AVG);
de gegevens die je ons gaf in een gangbaar formaat te krijgen (art. 20 AVG);
bezwaar te maken tegen verwerking op grond van ons gerechtvaardigd belang (art. 21 AVG).

Mail daarvoor naar privacy@northstarfamily.app, of gebruik voor verwijderen de pagina Account verwijderen. We antwoorden binnen een maand. Is een verzoek ingewikkeld, dan kan dat twee maanden langer duren; dat laten we je dan binnen de eerste maand weten (art. 12.3 AVG).

Northstar Family heeft geen accounts met een wachtwoord. Daarom gaan we na wie een verzoek doet aan gegevens die alleen jij en je gezin kennen, en aan een antwoord vanaf hetzelfde e-mailadres (art. 12.6 AVG). Op een naam alleen handelen we nooit. Onze antwoorden bevatten geen gegevens over je gezin, behalve wat er met je verzoek gebeurd is.

Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be, www.gegevensbeschermingsautoriteit.be (art. 77 AVG). Laat het ons gerust eerst weten: dan zoeken we samen een oplossing.

De website

De website northstarfamily.app zet geen cookies en gebruikt geen analysediensten, advertenties of scripts van anderen.

Logboeken van de webserver. De webserver, bij OVHcloud in Londen (Verenigd Koninkrijk), noteert bij elk bezoek je IP-adres, je browser, de opgevraagde pagina (zonder wat na een vraagteken staat), het tijdstip, en technische gegevens over het verzoek en het antwoord, zoals de status en hoe lang het duurde. Van welke pagina je kwam, noteert hij niet. Weigert Windows een verzoek al voordat het de website bereikt, bijvoorbeeld omdat het ongeldig is, dan noteert het je IP-adres, het opgevraagde adres, het tijdstip en de reden in een apart foutlogboek. We bewaren beide 7 dagen, om de website te beveiligen en fouten op te lossen. Omdat we ze elk uur opruimen, blijft een regel hoogstens 2 uur langer.
Het verwijderformulier. Wat je invult, gaat via de webserver als één e-mail naar onze mailbox bij OVHcloud, in Frankrijk. De website bewaart er niets van. We wissen de e-mail en onze antwoorden 30 dagen nadat je verzoek is afgehandeld. Welke velden het formulier heeft, staat op de pagina Account verwijderen.
De pagina voor koppellinks. Opent een koppellink niet in de app, dan toont de website een pagina met uitleg. Het deel van de link na # is de koppelcode: de pagina stuurt het nergens heen, ook niet naar onze webserver.

Beveiliging

Alle verkeer tussen de app, de website en onze server is versleuteld (TLS).
Elk gezin is van de andere afgeschermd: onze server laat een apparaat alleen gegevens lezen van de gezinnen waar het in zit.
Elk apparaat heeft zijn eigen aanmelding bij onze server en kan apart worden verwijderd. Een verwijderd apparaat kan daarna niets meer lezen.
Onze serverfuncties schrijven nooit namen, e-mailadressen, tokens of locaties in hun logboeken.
Gaat er toch iets mis met persoonsgegevens, dan melden we dat aan de Gegevensbeschermingsautoriteit en, als het een hoog risico voor je inhoudt, ook aan jou (art. 33 en 34 AVG).

Wijzigingen

We passen dit beleid aan wanneer de app, de server of de website verandert, en vóór iets nieuws in gebruik gaat. Elke versie krijgt een nummer en de datum waarop ze geldt, bovenaan deze pagina. Een vorige versie kun je bij ons opvragen.

Contact

Nathalie Eeckhout, handelend onder de naam Belle Perlette, Volkershouw 19a, 9230 Wetteren, België
E-mail: privacy@northstarfamily.app

Privacybeleid van Northstar Family