Privacybeleid
Laatst bijgewerkt 19 oktober 2026. Dit is een vertaling van het Engelse privacybeleid; bij een verschil geldt de Engelse tekst.
De meeste privacybeleiden zijn geschreven om zo veel mogelijk toe te staan. Dit beleid is geschreven om te beschrijven wat de app werkelijk doet, omdat de app zo is gebouwd dat er weinig te beschrijven zou zijn.
Wat we verzamelen, en wat niet
- Er zijn geen accounts. Je maakt er nooit een aan, en er is geen wachtwoord om kwijt te raken.
- Er is geen reclame en geen tracking. De app stuurt ons na elke luistersessie een kort technisch rapport, beschreven onder Sessierapporten; het bevat geen geluid, geen naam en geen adres. Crasht de app, dan stuurt hij een crashrapport naar Sentry, beschreven onder Crashrapporten. De andere diensten van buiten waarmee de app praat zijn de aankoopdienst beschreven onder Aankopen en de updatedienst beschreven onder App-updates.
- Wij kunnen je geluid niet beluisteren. Live geluid is end-to-end versleuteld tussen je gekoppelde toestellen en wordt niet opgenomen. Kunnen de twee niet rechtstreeks verbinden, dan gaat het via onze relay, nog steeds versleuteld, en wordt het daar niet bewaard.
- Twee soorten geluid worden op je eigen telefoons bewaard. Boodschappen die je opneemt zijn je eigen stem, alleen vastgelegd terwijl je de opnameknop ingedrukt houdt, en bewaard op de babytelefoon zodat ze meteen voor je kind kunnen worden afgespeeld. Geluidsfragmenten zijn een paar seconden van wat de babytelefoon hoorde, automatisch bewaard telkens als hij een aanhoudend geluid opmerkt, zodat je kunt terugluisteren wat hem wekte. Beide blijven in de privéopslag van de telefoons zelf en reizen alleen tussen je gekoppelde toestellen, over dezelfde versleutelde verbinding als het live geluid.
- Geluidsfragmenten staan standaard aan, en zijn kort van duur. Je kunt ze in Settings op elk moment uitzetten, wat ook de al bewaarde fragmenten wist. Laat je ze aan, dan worden ze na 36 uur automatisch gewist, en meteen als je ze zelf wist of de koppeling verwijdert. Geluidsfragmenten worden alleen gemaakt als het Baby-toestel een iPhone of iPad is; een Android-telefoon in de babykamer neemt ze niet op.
- Wij verkopen of verhuren aan niemand informatie. De enige gegevens die wij bewaren zijn het anonieme aankooprecord beschreven onder Aankopen, de sessierapporten beschreven onder Sessierapporten en de crashrapporten beschreven onder Crashrapporten.
Aankopen
De eenmalige Parent-aankoop wordt verkocht via de App Store of Google Play. Om die te controleren en te herstellen gebruikt de app RevenueCat, een aankoopdienst. Als de app start, stuurt hij RevenueCat een anonieme ID die voor deze installatie is gemaakt en het aankooprecord van de store. Zoals bij elk internetverzoek ziet RevenueCat ook het IP-adres, het toestelmodel, de systeemversie, de app-versie en het land. Het ontvangt geen naam, geen e-mailadres en geen geluid. Wij gebruiken dit om de Parent-rol te ontgrendelen en om verkopen te tellen. Het is niet gekoppeld aan je identiteit en wordt niet gebruikt om je te volgen.
App-updates
Tussen store-releases door kan de app kleine updates van zijn eigen code ontvangen via Expo, de dienst die ze bezorgt. Telkens als de app start, vraagt hij Expo of er een update klaarstaat; dat verzoek draagt een willekeurige ID die voor deze installatie is gemaakt, die Expo alleen bewaart om te tellen hoeveel installaties updates ophalen, samen met de versie en het platform van de app en, zoals bij elk internetverzoek, het IP-adres. Is de app direct na een update gecrasht en teruggevallen op de vorige versie, dan draagt het volgende verzoek ook die foutmelding, zodat de kapotte update wordt ingetrokken. Er is geen naam, e-mailadres, geluid of koppelgegeven bij betrokken, en de ID is niet aan jou gekoppeld.
Sessierapporten
Een babyfoon die 's nachts uitvalt heeft gefaald in zijn enige taak, en wij kunnen alleen herstellen wat we kunnen zien. Daarom stuurt de app, nadat een luistersessie is geëindigd, onze eigen server één kort technisch rapport erover. Wij hebben de lijst geschreven van wat het mag bevatten, en dat is dit:
- Hoe de sessie verliep: of de telefoon het Baby- of het Parent-toestel was, hoe lang de sessie duurde, hoe hij eindigde (door jou gestopt, of de app draaide niet meer, bijvoorbeeld), hoe lang de eerste verbinding duurde, hoe vaak en hoe lang het geluid weg was, en of het alarm afging en hoe snel het werd gestopt.
- Waarom de app stopte, als dat gebeurde: de reden die het systeem van de telefoon geeft voor het beëindigen van de app (bijvoorbeeld weinig geheugen, een crash, of handmatig gesloten), hoe lang de app op de achtergrond zat, en of het systeem hem pauzeerde.
- De verbinding: of de telefoon op wifi of mobiele data zat en wanneer dat veranderde, en of de twee telefoons rechtstreeks of via onze relay verbonden waren.
- De telefoon: het model en ongeveer hoe oud dat model is, de geheugengrootte, de systeemversie, de app-versie, het batterijniveau, of hij aan de lader lag, en of batterijbesparing aanstond.
- Instellingen die een storing verklaren: of meldingen en de microfoon zijn toegestaan, welke van de eigen meldingen en opties van de app aanstaan, of een Apple Watch wordt gebruikt, hoeveel toestellen zijn gekoppeld, en op Android of batterijoptimalisatie of een achtergrondbeperking op de app van toepassing is.
- Hoe vaak functies zijn gebruikt: bijvoorbeeld hoe vaak terugpraten of een rustgevend geluid tijdens de sessie is gebruikt. Alleen aantallen, nooit wat er is gezegd of afgespeeld.
- Alleen na een sessie die misging: de verbindingskwaliteit van het laatste half uur, eens per minuut gemeten (vertraging, verloren pakketten, datasnelheid), de verbindingsstappen die de app nam, en de tekst van een app-fout als die er was.
- Stappen bij het instellen en kopen: dat een rol is gekozen, dat twee toestellen zijn gekoppeld of ontkoppeld, dat de proefperiode begon, dat het aankoopscherm is getoond, en of een aankoop of herstel is gestart, voltooid of geannuleerd. Niet de prijs en niet de bestelling.
Elk rapport draagt een willekeurige ID die de app voor deze installatie maakt. Daardoor zien wij dat tien storingen van één telefoon kwamen en niet van tien. Het is niet de advertentie-ID van je telefoon, het is niet afgeleid van de telefoon of van jou, en wij combineren het niet met het aankooprecord of met iets anders dat zou kunnen vertellen wie je bent. De app verwijderen maakt er een einde aan.
Een rapport bevat nooit geluid, geluidsniveaus, de tijdstippen waarop je baby geluid maakte, de namen van je toestellen, opnames of wifinetwerk, je locatie of tijdzone, of iets dat je hebt getypt. Onze server slaat het IP-adres waarvan een rapport komt niet op. Rapporten worden 90 dagen bewaard en dan gewist, en worden alleen door ons gezien.
Je kunt de rapporten uitzetten in Settings, onder Privacy. Het luisteren werkt zonder ze hetzelfde.
Crashrapporten
Als de app crasht of een onverwachte fout tegenkomt, stuurt hij een rapport naar Sentry, een crashrapportagedienst, opgeslagen in Frankfurt, Duitsland: waar in de code van de app het gebeurde, de app- en systeemversie, het telefoonmodel, vrij geheugen en vrije opslag, het land en de regio afgeleid van je IP-adres, en een willekeurige identificatie voor deze installatie, zodat één telefoon die vaak crasht te onderscheiden is van veel telefoons die één keer crashen. Sentry is zo ingesteld dat het je IP-adres niet opslaat. Een rapport bevat nooit geluid, geluidsniveaus, de namen van je toestellen, koppelgegevens, opnames of iets dat je hebt getypt. Rapporten worden na uiterlijk 90 dagen gewist en worden alleen door ons gezien.
Je kunt crashrapporten uitzetten in Settings, onder Privacy. Het luisteren werkt zonder ze hetzelfde.
Hoe de twee telefoons elkaar vinden
Om te verbinden moeten de twee telefoons aan elkaar worden voorgesteld. Een kleine signaleringsdienst die wij draaien geeft de eerste handdruk tussen hen door, en kan ook geluid doorgeven als een rechtstreekse verbinding onmogelijk is, bijvoorbeeld op mobiele netwerken die er een blokkeren.
Eerlijk over wat die dienst kan zien:
- Hij ziet de IP-adressen van de twee telefoons zolang ze verbonden zijn, omdat een bericht anders niet tussen hen kan worden doorgegeven, maar hij bewaart ze niet. Geen adres wordt in een logboek of bestand geschreven.
- Hij ziet de apparaat-ID's en publieke sleutels die je telefoons voor zichzelf maken, en gebruikt die alleen om een bericht naar de juiste telefoon te sturen. Ze worden op je toestel gemaakt, zijn niet gekoppeld aan jou, je e-mailadres of een account, en worden nooit opgeschreven, verkocht of gedeeld.
- Zijn eigen gegevens over verbindingen zijn uitkomsten, geen identiteiten: dat een verbinding mislukte en waarom, nooit wie er verbond of vanwaar. Verbindingen krijgen een willekeurig label dat alleen in het geheugen bestaat en wordt weggegooid zodra de telefoon de verbinding verbreekt.
- Hij ziet de technische details van de verbindingshanddruk, netwerkadressen en geluidsformaat, omdat die berichten ondertekend maar niet versleuteld zijn. Hij kan ze niet ongemerkt wijzigen.
- Als geluid wordt doorgegeven, gaat het versleuteld door en kan het niet worden beluisterd, niet door ons en niet door wie de relay ook beheert. De relay legt niet vast wie ermee verbond of vanwaar: het loggen van adressen staat uit, niet alleen op rotatie.
- Geen adres, apparaat-ID of sleutel wordt in een database, logboek of bestand geschreven. Ze bestaan alleen in het geheugen zolang je telefoons verbonden zijn. Een koppelbericht wordt, ook in het geheugen, hooguit enkele minuten bewaard zodat het kan worden bezorgd als een telefoon opnieuw verbindt. Wat de server wel bewaart zijn de sessierapporten beschreven onder Sessierapporten, die niets hiervan bevatten.
- Op een iPhone die als Parent-toestel wordt gebruikt, geeft de app deze dienst ook het pushtoken van zijn Live Activity, de luisterstatus op het toegangsscherm en in het Dynamic Island. iOS geeft een weggeveegde app geen kans die status zelf te verwijderen, zodat hij urenlang op het scherm zou blijven. Als de telefoon de verbinding verbreekt zonder gedag te zeggen en binnen ongeveer 30 seconden niet terugkomt, vraagt de dienst Apple's pushdienst de Live Activity te verwijderen, en vergeet het token. Het token wordt door iOS voor die ene Live Activity gemaakt en is nutteloos zodra die is beëindigd. Het wordt alleen in het geheugen gehouden, nooit in een logboek of bestand geschreven, en naar niemand anders dan Apple gestuurd. Er gaat niets anders mee: geen geluid, geen status, geen naam.
- Eén eerlijke kanttekening: de verbinding met onze koppeldienst eindigt op onze eigen server, die het netwerkadres van je telefoon ziet zoals elke server dat doet en het niet logt; onze website, en de koppeldienst als reserveroute, lopen via Cloudflare, dat daarbij netwerkadressen kan zien, zoals elke internetaanbieder tussen je telefoons dat kan.
Zitten beide telefoons op dezelfde wifi, dan kunnen ze ook via je lokale netwerk koppelen.
Wat op je telefoon blijft
- De privésleutel van je toestel, bewaard in de beveiligde opslag van het toestel (Keychain op iOS, Keystore op Android). Die verlaat de telefoon nooit en zit nooit in een QR-code.
- Het overzicht van gebeurtenissen (verbindingen, luide geluiden, batterijwaarschuwingen) staat op je telefoon. Het verlaat de telefoon alleen als je het zelf verstuurt met "Send Log" op het History-scherm. De sessierapporten beschreven onder Sessierapporten worden alleen gemaakt van de verbindingsgegevens, nooit van de luide geluiden.
- Een korte boodschap die je voor het babytoestel opneemt, wordt rechtstreeks naar die telefoon overgebracht en daar bewaard.
- De app verwijderen wist het overzicht, de geluidsfragmenten en de opgenomen boodschappen van die telefoon. Op Android kunnen app-gegevens, als de apparaatback-up van Google aanstaat, in je eigen Google-back-up zitten.
- Op iPhone en iPad worden de sleutel van het toestel, zijn rol en zijn koppeling in de systeemsleutelhanger bewaard en blijven ze na het verwijderen van de app bestaan. Verwijder de koppeling in Settings voordat je de app verwijdert om de rol en de koppeling te wissen; de sleutel blijft in de sleutelhanger en wordt nooit naar ons gestuurd.
Je gegevens wissen
Er is geen account om op te zeggen, en bijna alles wat Moonside bewaart staat op je eigen telefoons, waar je het zelf kunt verwijderen:
- Overzicht: wis het op het History-scherm.
- Geluidsfragmenten: zet ze uit in Settings, wat de al bewaarde fragmenten wist.
- Koppelingen: verwijder ze in Settings; het andere toestel weet het dan ook.
- Al het andere op de telefoon: verwijder de app, nadat je de koppeling hebt verwijderd zoals hierboven beschreven.
Het ene record dat buiten je telefoons wordt bewaard is het anonieme aankooprecord bij RevenueCat. Om dat te laten wissen schrijf je naar [email protected] met je ordernummer van de App Store of Google Play, dat op de bon staat die de store je heeft gemaild. Wij wissen het binnen 30 dagen en bevestigen per e-mail. De App Store en Google Play houden hun eigen gegevens over de aankoop bij onder hun eigen voorwaarden, waar wij niets aan kunnen veranderen.
De willekeurige update-ID bij Expo is aan niets anders dan de installatie gebonden: de app verwijderen maakt er een einde aan, en een herinstallatie krijgt een nieuwe.
Sessierapporten worden na 90 dagen vanzelf gewist. Om ze te stoppen zet je ze uit in Settings; de app verwijderen maakt een einde aan de willekeurige ID die ze dragen. Om de rapporten van de afgelopen 90 dagen eerder te laten wissen, tik je op "Send Log" op het History-scherm en stuur je het naar [email protected]: de eerste regels van het logboek bevatten de ID ("Report ID"), de enige manier waarop wij je rapporten kunnen vinden. Wij wissen ze binnen 30 dagen en bevestigen.
Crashrapporten worden na 90 dagen vanzelf gewist. Om ze te stoppen zet je ze uit in Settings; de app verwijderen maakt een einde aan de willekeurige identificatie die ze dragen.
Toestemmingen
- Microfoon: om geluid van de babytelefoon te sturen, en op de oudertelefoon alleen om terug te praten of een boodschap op te nemen. Terugpraten zendt nooit tenzij je de knop ingedrukt houdt.
- Camera: alleen om de koppel-QR-code te scannen. Er worden geen foto's of video's gemaakt.
- Lokaal netwerk: zodat de twee telefoons elkaar kunnen vinden als ze op dezelfde wifi zitten. Weiger je dit, dan gebruikt de app internet.
- Meldingen: alleen door je telefoon getoond. Er is geen pushdienst en geen pushtoken.
Kinderen
De app wordt gebruikt door ouders en verzorgers. Hij verzamelt geen informatie over kinderen: niets over de baby wordt verzonden buiten het geluid dat de gekoppelde telefoon afspeelt, en eventuele geluidsfragmenten blijven op je eigen toestellen zoals hierboven beschreven. Wij ontvangen er niets van.
Wijzigingen
Verandert dit beleid, dan verandert de datum hierboven mee. Wezenlijke wijzigingen worden vermeld in de release notes van de app in plaats van stilletjes doorgevoerd.