Privacybeleid

01Wie is verantwoordelijk voor je gegevens

12×7 wordt aangeboden door ALC Dynamics, met maatschappelijke zetel te Laarnebaan 109, 9070 Heusden, België, ondernemingsnummer BE 1023.184.308. ALC Dynamics is de verwerkingsverantwoordelijke voor alle persoonsgegevens die in dit beleid worden beschreven.

Vragen over je gegevens of dit beleid stel je via het contactblok onderaan deze pagina. We reageren binnen een maand.

02Dit verwerken we van je

12×7 verwerkt de volgende categorieën persoonsgegevens:

• Accountgegevens: je e-mailadres, je wachtwoord (versleuteld opgeslagen door onze inlogdienst) of je Google-accountkoppeling als je met Google inlogt, en de status van je e-mailverificatie.
• Profielgegevens: je naam, leeftijd, geslacht, lengte, activiteitsniveau, startdatum, profielfoto (als je er een instelt) en je voorkeuren zoals thema, kleur en coachstijl.
• Vrije tekst die je zelf invult, zoals "extra info" bij je profiel (bijvoorbeeld blessures, allergieën of doelen), dagnotities en je wekelijkse zelfevaluatie.
• Gezondheids- en leefstijlgegevens: je start-, doel- en actuele gewicht en je volledige gewichtsverloop; lichaamsomtrekken (taille, dij, arm); je maaltijden met geschatte calorieën en macro’s; waterinname; slaapuren; je mentale en fysieke welzijnsscores; sport en beweging; en gewoontes zoals meditatie.
• Voortgangsfoto’s van je lichaam, alleen als je die zelf maakt: een optionele startfoto en één foto per wekelijkse evaluatie. De foto wordt op je eigen toestel verkleind en als compacte JPEG opgeslagen in jouw eigen dossier in onze database. Alleen jij kunt deze foto’s zien — je vrienden nooit. Ze zitten in je gegevensexport en worden samen met je account verwijderd.
• AI-inhoud: je gesprekken met de 12×7 Coach (per dag bewaard bij je dagboek) en de dagelijkse en wekelijkse AI-feedback die voor jou is gegenereerd.
• Sociale gegevens: vriendverzoeken en vriendschappen (daarbij worden e-mailadres en naam van beide personen vastgelegd), jouw deelkeuzes per vriend (welke onderdelen je met wie deelt) en gedeelde weekmenu’s.
• Strava-gegevens, alleen als je Strava koppelt: de koppelingssleutels (tokens) en per geïmporteerde activiteit de naam, afstand, duur en datum.
• Pushmeldingen, alleen als je die zelf aanzet: de meldingssleutel (token) van je toestel en je herinneringsvoorkeuren, opgeslagen in jouw eigen dossier. Zet je meldingen uit in je Profiel, dan worden ze verwijderd.
• Support en feedback: stuur je via de app een supportvraag of feedback, dan bewaren we daarbij je gebruikers-ID, je e-mailadres, je naam, technische browserinfo (user-agent) en de tekst die je zelf schrijft, zodat we je verzoek kunnen behandelen.
• Technische gegevens in onze database: per account een teller van je AI-gebruik (7 dagen bewaard), technische logboekgebeurtenissen per AI-verzoek met je gebruikers-ID (30 dagen bewaard, daarna automatisch verwijderd), een dagelijkse markering dat je account actief was (30 dagen), een "laatst gezien"-tijdstip dat telkens wordt overschreven, en een markering wanneer een account de gebruikslimieten overschrijdt. Dit dient voor kostenbewaking, misbruikdetectie en stabiliteit.

Maaltijdfoto’s die je maakt om een maaltijd te loggen worden niet opgeslagen: ze worden eenmalig door de AI bekeken om een beschrijving en voedingswaarden te schatten, en alleen die tekst wordt bewaard. Voortgangsfoto’s (hierboven) zijn hierop de uitzondering: die bewaren we wél, uitsluitend voor jou. Bij het scannen van een barcode wordt de barcode opgezocht bij Open Food Facts; het resultaat verschijnt als tekst in je invoerveld.

03Waarvoor we je gegevens gebruiken, en op welke grond

We gebruiken je gegevens alleen voor de volgende doelen, telkens met een grondslag uit de AVG (artikel 6):

• Om je account en je 12-wekentraject te laten werken: het opslaan van je dagboek, voortgang en instellingen. Grondslag: uitvoering van de overeenkomst (art. 6.1.b).
• Om je persoonlijke AI-functies te leveren: schattingen van calorieën en macro’s, de 12×7 Coach, dagelijkse en wekelijkse feedback en FoodLab-recepten. Grondslag: uitvoering van de overeenkomst (art. 6.1.b); voor de gezondheidsgegevens hierin geldt daarnaast je uitdrukkelijke toestemming (zie hierna).
• Om je betaling te verwerken en onze administratie te voeren. Grondslag: uitvoering van de overeenkomst (art. 6.1.b) en wettelijke verplichting (art. 6.1.c).
• Om je accountmails te sturen (e-mailverificatie en wachtwoordherstel). Grondslag: uitvoering van de overeenkomst (art. 6.1.b).
• Om de dienst te beveiligen en misbruik te voorkomen (zoals limieten op het aantal AI-verzoeken). Grondslag: gerechtvaardigd belang (art. 6.1.f).
• Om technische fouten op te sporen en de app stabiel en betaalbaar te houden: crashmeldingen, AI-gebruikstellers en de technische logboekgebeurtenissen uit de vorige sectie. Grondslag: gerechtvaardigd belang (art. 6.1.f).
• Om je supportvragen en feedback te behandelen. Grondslag: uitvoering van de overeenkomst (art. 6.1.b) en gerechtvaardigd belang (art. 6.1.f).

We gebruiken je gegevens niet voor advertenties, verkopen ze aan niemand en doen niet aan profilering voor marketingdoeleinden. De app bevat geen analytics- of marketingtracking. Wat er wél is: een dienst voor crashmeldingen (Sentry), uitsluitend om technische fouten te vinden en privacyvriendelijk ingesteld — hoe precies lees je onder "Met wie we gegevens delen".

04Gezondheidsgegevens en jouw uitdrukkelijke toestemming

Je gewicht, lichaamsomtrekken, voeding, beweging, slaap, welzijnsscores en voortgangsfoto’s zijn gezondheidsgegevens. Dat is een bijzondere categorie persoonsgegevens onder de AVG, waarvoor extra bescherming geldt.

We verwerken deze gegevens uitsluitend op basis van jouw uitdrukkelijke toestemming (art. 9.2.a AVG). Die geef je bij het aanmaken van je account, via een aparte, aangevinkte verklaring. Zonder die toestemming kan 12×7 niet werken, omdat het traject volledig om deze gegevens draait.

Je kunt je toestemming op elk moment intrekken (zie "Jouw rechten"). Vanaf dat moment stopt de verwerking; omdat de app dan niet meer kan functioneren, betekent intrekken in de praktijk dat je account en gegevens op jouw verzoek worden verwijderd.

05Hoe AI (Google Gemini) met je gegevens werkt

De slimme functies van 12×7 draaien op Google Gemini, een AI-model van Google. Onze eigen server stuurt daarvoor gegevens naar de Gemini-dienst en geeft het antwoord aan jou terug. Google treedt hierbij op als verwerker; de AI-verzoeken lopen altijd via onze server, nooit rechtstreeks vanaf je toestel. Concreet wordt per functie dit meegestuurd:

• Maaltijd loggen met tekst: de beschrijving die je typt.
• Maaltijd loggen met een foto: de foto zelf. Die wordt eenmalig verwerkt en niet opgeslagen; alleen de tekstbeschrijving en voedingswaarden die de AI teruggeeft worden bewaard.
• Sport loggen: je omschrijving van de activiteit en je lichaamsgewicht (voor de calorieschatting).
• Dagelijkse feedback: een samenvatting van je dag, met je maaltijden, water, slaap en welzijnsscores.
• Wekelijkse evaluatie: je naam, gewichten, de daggegevens van die week en de zelfevaluatie die je zelf schreef.
• De 12×7 Coach: je naam, start- en doelgewicht, je "extra info", je dagboek van vandaag (maaltijden, water, slaap, welzijnsscores), de namen van je bewaarde recepten, je volledige gewichtsverloop en het hele lopende gesprek.
• FoodLab: je voorkeuren (soort maaltijd, porties, dieetwens) en je vrije beschrijving. Plak je een link naar een recept, dan wordt die webpagina via Google Zoeken opgehaald om het recept te lezen.
• Boodschappenlijst: de ingrediëntenlijst van je weekmenu.

Wat dit voor jou betekent: de teksten, foto’s en gezondheidsgegevens hierboven worden door Google verwerkt om het antwoord te genereren, onder de voorwaarden van de Gemini API. De antwoorden van de AI worden niet door Google bij ons opgeslagen; wat bewaard blijft (zoals je chatgeschiedenis en dagfeedback), staat in jouw eigen dossier in onze database.

06Wat vrienden van je kunnen zien

Vrienden voeg je zelf toe: iemand stuurt een verzoek en de ander accepteert. Zonder geaccepteerd verzoek kan niemand iets van je zien.

Ook ná het accepteren wordt er standaard niets gedeeld. Jij vinkt per vriend aan welke onderdelen die persoon mag zien: je voortgang, je rooster, je dagboek en/of je recepten. Alleen de aangevinkte onderdelen zijn zichtbaar. Dit wordt technisch afgedwongen op onze server, met een apart deeldocument per onderdeel per vriend — een vriend kan dus nooit meer opvragen dan jij hebt aangezet.

Een aantal dingen wordt nooit gedeeld, wat je ook aanvinkt: je gesprekken met de coach, je persoonlijke notities, de vrije tekst van je wekelijkse evaluaties en je voortgangsfoto’s. Ook je Strava-koppelingssleutels zijn nooit zichtbaar voor vrienden.

Een vinkje zet je op elk moment weer uit en een vriendschap kun je op elk moment zelf beëindigen in de app; daarmee stopt de toegang direct.

07Met wie we gegevens delen

We verkopen je gegevens nooit. We delen ze alleen met de partijen die nodig zijn om 12×7 te laten werken:

• Google (Firebase en Google Cloud): inloggen en accountbeheer, onze database en de server waarop 12×7 draait.
• Google Gemini: de AI-verwerking beschreven hierboven.
• Sentry: onze verwerker voor crashmeldingen (foutrapporten), in de app én op de server. We hebben Sentry privacyvriendelijk ingesteld: er worden standaard geen persoonsgegevens meegestuurd, er is geen prestatietracking, en foutmeldingen worden vóór verzending ontdaan van gebruikers-ID’s, headers en verzoekinhoud. De meldingen gaan naar het Europese datacenter van Sentry; bij het afleveren verwerkt de infrastructuur van Sentry kortstondig je IP-adres.
• Stripe: onze betaalprovider. Je betaalgegevens (zoals kaartnummers) worden rechtstreeks door Stripe verwerkt; wij zien en bewaren ze niet.
• Strava: alleen als je zelf je Strava-account koppelt, om je activiteiten op te halen.
• Open Food Facts: alleen als je een barcode scant; je browser vraagt het product dan rechtstreeks op bij deze open databank, die daarbij je IP-adres ziet.
• Vrienden die je zelf accepteert — en dan alleen de onderdelen die jij per vriend aanvinkt (zie de vorige sectie).

Met verwerkers sluiten we verwerkersovereenkomsten. Er zijn geen advertentienetwerken, analyticsdiensten of datahandelaren betrokken. De lettertypen van de app leveren we zelf mee: er wordt géén verbinding gemaakt met Google Fonts of andere lettertypediensten.

08Waar je gegevens staan en doorgifte buiten de EER

Onze server en database draaien in de Europese Unie (Google Cloud, regio europe-west1 in België). Je dossier wordt dus binnen de EU opgeslagen. Ook crashmeldingen blijven binnen de EU: die gaan naar het Europese datacenter van Sentry.

Sommige diensten kunnen gegevens buiten de Europese Economische Ruimte verwerken, zoals de Gemini-AI-verwerking door Google en, als je die koppelt, Strava (Verenigde Staten). Voor die doorgiften steunen we op passende waarborgen: het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie.

09Hoe lang we je gegevens bewaren

• Je account- en trajectgegevens (profiel, dagboek, gewichten, welzijn, chats, recepten): zolang je account bestaat. Verwijder je je account zelf in de app, dan gebeurt dat direct; na een verwijderingsverzoek per e-mail wissen we alles binnen 30 dagen.
• Coach-gesprekken en AI-feedback: zelfde termijn; per dag kun je gesprekken ook zelf direct wissen in de app.
• Voortgangsfoto’s: zolang je account bestaat; ze worden samen met je account verwijderd.
• Maaltijdfoto’s: worden nooit bewaard.
• Strava-koppelingssleutels: totdat je vraagt de koppeling of je account te verwijderen.
• Meldingssleutels en herinneringsvoorkeuren voor pushmeldingen: totdat je meldingen uitzet in je Profiel, of tot je account wordt verwijderd.
• Vriendverzoeken, vriendschappen (naam en e-mailadres) en je deelkeuzes per vriend: totdat jij of je vriend ze verwijdert, of tot je account wordt gewist.
• Supporttickets en feedback: zolang dat nodig is om je verzoek te behandelen. Wordt je account verwijderd, dan worden ze geanonimiseerd: je gebruikers-ID, e-mailadres en naam worden eruit gehaald; alleen de tekst blijft bewaard.
• Betaal- en factuurgegevens: tot 10 jaar, zolang de fiscale en boekhoudkundige wetgeving dat vereist.
• AI-gebruikstellers per account: 7 dagen.
• Technische logboekgebeurtenissen per AI-verzoek (met gebruikers-ID): 30 dagen, daarna automatisch verwijderd.
• Dagelijkse markeringen dat je account actief was: 30 dagen.
• Het "laatst gezien"-tijdstip: alleen het meest recente moment; het wordt telkens overschreven.
• Markeringen bij overschrijding van de gebruikslimieten: zolang dat nodig is om misbruik te beoordelen en de dienst te beschermen.

10Wat er op je eigen toestel staat

12×7 is een webapp die je kunt installeren. Op je toestel wordt het volgende opgeslagen:

• Je inlogsessie, zodat je niet elke keer opnieuw hoeft in te loggen (in de browseropslag).
• Een offline kopie van je eigen dossier, zodat de app ook zonder internet werkt (in de browseropslag).
• De app-bestanden zelf (vormgeving en code), zodat de app snel start. Er worden geen persoonsgegevens in deze cache bewaard.
• Tijdens registratie: een tijdelijke notitie van je toestemmingsvinkjes, die direct na het aanmaken van je account weer wordt verwijderd.

We plaatsen geen cookies voor tracking of advertenties en gebruiken geen analytics. Alles op je toestel verdwijnt als je uitlogt en je browsergegevens wist.

11Jouw rechten en hoe je ze uitoefent

Onder de AVG heb je de volgende rechten. Bij elk recht staat hoe je het concreet gebruikt:

• Inzage: vrijwel al je gegevens zie je direct in de app (dagboek, profiel, voortgang, chats). Een volledig overzicht download je bovendien zelf, direct, via Profiel → Privacy & account (gegevensexport). Lukt dat niet, vraag het dan op via het contactblok onderaan; je ontvangt het binnen een maand.
• Rectificatie: je profiel, logs en notities pas je zelf aan in de app. Lukt iets niet, dan passen wij het aan na een bericht via het contactblok.
• Wissen: losse onderdelen (logs, chats per dag, recepten, je profielfoto, vriendschappen) verwijder je zelf in de app. Via Profiel → Privacy & account verwijder je bovendien direct je volledige account met alles erop en eraan — inclusief je Strava-koppeling en de vermeldingen bij vrienden en gedeelde weekmenu’s (zie "Wat er gebeurt als je account wordt verwijderd"). Liever per e-mail? Stuur dan een verwijderingsverzoek via het contactblok; binnen 30 dagen is alles gewist.
• Beperking van de verwerking: stuur een bericht via het contactblok; we bevriezen de betreffende verwerking terwijl we je verzoek behandelen.
• Overdraagbaarheid (export): download direct zelf een digitale kopie van je gegevens in een gangbaar, machineleesbaar formaat via Profiel → Privacy & account. Je kunt zo’n kopie ook via het contactblok opvragen; je ontvangt die dan binnen een maand.
• Bezwaar: tegen verwerkingen op basis van gerechtvaardigd belang kun je bezwaar maken via het contactblok.
• Toestemming intrekken: dat kan op elk moment, zonder opgave van reden, via het contactblok. Omdat 12×7 zonder je gezondheidsgegevens niet kan werken, verwijderen we dan op jouw verzoek je account en gegevens.
• Klacht indienen: dat kan bij de Belgische Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be). Woon je in een ander land, dan kun je ook terecht bij de toezichthouder van je eigen land, zoals de Autoriteit Persoonsgegevens in Nederland.

12Wat er gebeurt als je account wordt verwijderd

Je verwijdert je account direct zelf via Profiel → Privacy & account, of je stuurt een verwijderingsverzoek via het contactblok (dan wissen we alles binnen 30 dagen). In beide gevallen verdwijnt:

• Je inlogaccount (e-mailadres en inloggegevens).
• Je volledige dossier: profiel, alle 12 weken aan dagboek-, gewichts- en welzijnsgegevens, coach-gesprekken, AI-feedback, voortgangsfoto’s en bewaarde recepten.
• Je Strava-koppelingssleutels.
• Je meldingssleutels en herinneringsvoorkeuren voor pushmeldingen.
• Je vriendverzoeken, vriendschappen en deelkeuzes, inclusief de vermelding van je naam en e-mailadres bij je vrienden.
• Je lidmaatschap van gedeelde weekmenu’s.

Supporttickets en feedback worden bij verwijdering geanonimiseerd: je gebruikers-ID, e-mailadres en naam worden eruit gehaald; alleen de tekst zelf blijft bewaard. Technische logboekgebeurtenissen verdwijnen vanzelf uiterlijk 30 dagen na hun ontstaan.

Factuurgegevens bewaren we langer als de wet dat verplicht (zie bewaartermijnen). De offline kopie op je eigen toestel verdwijnt zodra je uitlogt of je browsergegevens wist.

13Beveiliging

• Alle verbindingen zijn versleuteld (HTTPS).
• Strikte toegangsregels op de database: alleen jij kunt je dossier lezen en aanpassen. Vrienden zien uitsluitend de onderdelen die jij per vriend hebt aangevinkt; dat wordt op de server afgedwongen.
• Je Strava-sleutels staan in een afgeschermd deel dat alleen voor jou toegankelijk is.
• AI-sleutels staan uitsluitend op onze server en worden nooit met je browser gedeeld; per account gelden limieten tegen misbruik.
• Wachtwoorden worden nooit leesbaar opgeslagen; inloggen en wachtwoordherstel verlopen via Firebase Authentication.

1418 jaar of ouder

12×7 is uitsluitend bedoeld voor volwassenen. Bij het aanmaken van een account bevestig je uitdrukkelijk dat je 18 jaar of ouder bent. Ontdekken we dat een gebruiker jonger is, dan verwijderen we het account en de bijbehorende gegevens.

15Wijzigingen aan dit beleid

Als we dit beleid inhoudelijk wijzigen, laten we dat weten in de app of per e-mail voordat de wijziging ingaat. Bij wijzigingen die je toestemming raken, vragen we die opnieuw. De datum bovenaan toont altijd de laatste versie.

Laatste wijziging (4 augustus 2026): we hebben dit beleid in lijn gebracht met wat de app vandaag doet. Nieuw of verduidelijkt: voortgangsfoto’s, crashmeldingen via Sentry, de technische tellers en logboekgebeurtenissen in onze database, support en feedback, pushmeldingen, en het delen met vrienden per onderdeel. Omdat deze update raakt aan waar je eerder toestemming voor gaf, vragen we bestaande gebruikers bij hun volgende bezoek om de bijgewerkte verklaring opnieuw te bevestigen.