Allodia
Privacy

Privacybeleid

De Mail & Calendar-apps zijn local-first: je mail blijft tussen je apparaat en je eigen provider. Deze pagina legt uit wat ons ooit kan bereiken. Dat is allemaal opt-in.

Versie 2.5 · Van kracht: 2026-09-20

Allodia Mail & Calendar is een e-mail- en agenda-app die op je eigen apparaat draait en verbinding maakt met de e-mailprovider die jij kiest. Dit beleid legt in gewone taal uit wat dat betekent voor je gegevens: wat op je apparaat blijft (vrijwel alles), wat de app verstuurt en naar wie (standaard niets naar ons), en de twee dingen die je met ons kunt kiezen te delen (een Allodia-account, en gebruiksstatistieken, allebei uit tenzij je ze aanzet).

Daarom heeft dit beleid twee helften. Zonder Allodia-account, zoals de app zich installeert, hebben wij helemaal niets van je (§2). Mét een account, dat de app je aanraadt zodra je je eerste e-mailaccount toevoegt en dat je met één tik kunt overslaan, hebben we wie je bent en de lijst met e-mailaccounts die je door ons gelijk laat houden op je apparaten, en nog steeds nooit je e-mail (§3).

De korte versie

  • Je e-mail komt nooit langs Allodia. De app synchroniseert rechtstreeks tussen je apparaat en je eigen e-mailprovider. Wij zitten niet in dat pad, we hebben geen servers in dat pad, en we kunnen je e-mail, je afspraken en je inloggegevens niet lezen.
  • Standaard stuurt de app ons niets. Geen telemetrie, geen crashrapporten, geen identifiers, zelfs niet het feit dát je de app hebt geïnstalleerd.
  • Een Allodia-account is optioneel, en de app raadt het je aan. Zodra je je eerste e-mailaccount toevoegt, biedt de app het aan als de makkelijkste weg, want het is wat je accounts gelijk houdt op al je apparaten. Je e-mail rechtstreeks koppelen staat op hetzelfde scherm en kost je niets. Er komt nooit e-mail in een account: het bevat adressen en servernamen, geen postvak (§3).
  • Eén ding dat de app aanbiedt te versturen, en jij beslist. Bij de eerste start vraagt de app of je gebruiksstatistieken wilt delen. De schakelaar staat uit; de app laat je precies zien welke gegevens het betreft voordat je beslist; nee zeggen kost je niets en wordt onthouden. Je kunt je toestemming op elk moment met één klik intrekken.
  • Een AI-assistent kan toegang tot je e-mail krijgen, en alleen als jij dat zegt. Het staat uit, hij draait op je eigen computer, hij komt nergens bij tot je een account aanvinkt, en Allodia zit ook niet in dat pad (§7).
  • Betaal je voor de app, dan zien wij je pas nooit. Je kunt bij ons kopen, of in de app bij Apple of Google. Je betaalgegevens gaan naar onze betaaldienstverlener of naar die store, nooit naar ons; wat wij bewaren is het abonnement zelf, zodat het werkt op elk apparaat waarop je inlogt (§10).
  • We verkopen nooit gegevens, tonen nooit advertenties, stellen nooit een profiel van je op en gebruiken nooit analyse- of trackingdiensten van derden. Wat we wél ontvangen, blijft op servers die we zelf in de EU beheren.
  • Je rechten zijn die van de AVG, en de meeste ervan kun je rechtstreeks in de app uitoefenen, want de gegevens zijn immers al in jouw handen.

1. Wie we zijn

Allodia ("Allodia", "wij"), ingeschreven bij de Kamer van Koophandel (KvK) onder nr. 56789823, Kamerlingh Onnesweg 2, 3316GL Dordrecht, Nederland.

Voor alles wat in dit beleid staat: info@allodia.eu.

We zijn alleen "verwerkingsverantwoordelijke" voor het weinige dat ons daadwerkelijk bereikt: een Allodia-account als je er een aanmaakt (§3), een abonnement als je er een koopt (§10), optionele gebruiksstatistieken (§6), berichten die je ons stuurt (§8) en de website (§11). Voor alles wat de app op je apparaat verwerkt, zijn we verwerkingsverantwoordelijke noch verwerker, want we ontvangen het nooit (§2).

2. Standaard: alles blijft op je apparaat

De app bewaart je e-mail, agenda-afspraken, contacten, bijlagen, accountinstellingen, je e-mailhandtekeningen en een lokaal diagnostisch logboek op je apparaat. Niets van je inhoud wordt naar Allodia geüpload. Er is geen kopie in de cloud en geen backend van ons die je inhoud bewaart, en zolang je niet zelf inlogt op een Allodia-account (§3), hebben wij helemaal niets van je. Inloggen voegt daar precies één ding aan toe, je lijst met e-mailaccounts, en §3 zegt exact wat daarin staat.

De enige netwerkverbindingen die de app standaard maakt, lopen tussen je apparaat en de e-mail-, agenda- en adresboekproviders die je koppelt, via open standaarden (IMAP, SMTP, JMAP, CalDAV, CardDAV) of de eigen API van een provider (bijvoorbeeld Microsoft 365, of Google voor Gmail + Google Agenda). Je provider verwerkt je e-mail onder zijn voorwaarden en privacybeleid, precies zoals bij elke andere e-mailapp; die relatie verandert niet doordat je de provider hier koppelt, en wij komen er niet bij in.

Inloggen bij een provider die OAuth gebruikt (bijvoorbeeld Microsoft 365, Google, of een JMAP-server zoals Fastmail) gebeurt in de browser van je systeem, rechtstreeks tussen jou en de provider. Allodia beheert geen inlogserver, ziet je wachtwoord nooit, en de tokens die daaruit volgen worden alleen opgeslagen in de beveiligde sleutelopslag van je apparaat.

Voor een JMAP-account kan de app dit inloggen zelfs aanbieden voor een provider die we nooit hebben geïntegreerd, door te lezen wat je server zelf publiceert: de app vraagt je server waar zijn inlogdienst zit en welke rechten er bestaan, en registreert zich vervolgens bij die server als een app op jouw apparaat. Drie dingen begrenzen dat. Die verzoeken gaan alleen naar je eigen e-mailserver, nooit naar Allodia, en nooit naar een derde partij. Alleen je domein is erbij betrokken, nooit je volledige e-mailadres, totdat je op de inlogpagina van je eigen provider belandt. En de app vraagt om de smalst mogelijke rechten om zijn werk te doen: je e-mail, je agenda's, en toestemming om ingelogd te blijven. Nooit je contacten, en nooit wat je server verder ook aanbiedt. Publiceert je server dit niet, dan wordt er niets verstuurd en log je gewoon in met een wachtwoord of een API-token, zoals voorheen.

Je contacten. Heeft het account dat je koppelt een adresboek, dan kan de app dat lezen (via CardDAV, JMAP of de contactendienst van Google zelf, bij dezelfde provider, met dezelfde inloggegevens), zodat je je contacten in de app kunt opzoeken en suggesties krijgt terwijl je een bericht adresseert. Ze worden net als je e-mail op je apparaat bewaard, ze gaan nooit naar Allodia, en de app leest de contacten van je telefoon zelf niet. De app onthoudt daarnaast aan wie je e-mail hebt verzonden, uit je eigen map Verzonden op je eigen server, zodat die suggesties al bruikbaar zijn voordat je iemand hebt toegevoegd.

Je kunt een contact toevoegen en er een bewerken. Doe je dat, dan schrijft de app die kaart naar het adresboek waar ze vandaan komt, bij je provider. De app schrijft niets wat je niet zelf hebt getypt, schrijft pas wanneer je opslaat, en verwijdert nooit een contact: verwijderen biedt de app niet aan. Waar een adresboek niet beschrijfbaar is (een collega uit de adreslijst van je organisatie, of een adres dat je provider automatisch voor je bewaarde) biedt de app het wijzigen niet aan.

Log je in bij Microsoft, Google of een provider met een inlogscherm, dan vraagt de app als onderdeel van dat inloggen toegang tot je contacten, en waar de provider die heeft ook tot de adreslijst van je organisatie. Op het toestemmingsscherm zie je precies wat er gevraagd wordt voordat je akkoord gaat. Ze worden voor dezelfde dingen gebruikt als elk ander adresboek (een contact opzoeken, een adres voorstellen, en er een toevoegen of bewerken), plus het kleine plaatje naast een afzender, dat de app bij je provider ophaalt en op je apparaat bewaart. Er gaat niets naar Allodia, en weiger je, dan blijft de rest van het account gewoon werken; je ziet dan alleen geen contacten en geen plaatjes.

De naam waaronder je verstuurt. Stel je bij Instellingen een afzendernaam in voor een account, dan bewaart de app die op je apparaat en, waar je provider dat toestaat, ook in de instellingen van dat account zelf, zodat je andere apps onder dezelfde naam versturen. Dat is de enige accountinstelling die de app bij je provider wijzigt; verder wijzigt ze er niets en leest ze er geen andere instelling.

Je handtekeningen. Een handtekening die je schrijft (de tekst, en elke afbeelding die je erin zet, zoals een logo) staat in een bestand op je apparaat, naast je andere instellingen, en nergens anders. Hij gaat nooit naar Allodia. Je apparaat verlaat hij alleen waar je dat zou verwachten: in een bericht dat jij verstuurt, naar de ontvangers die jij kiest, via je eigen provider. Een ingesloten afbeelding reist mee in dat bericht; er wordt niets opgehaald op het moment dat je ontvanger het leest, dus over dat lezen kan niets worden teruggemeld. De inhoud van een handtekening komt nooit in het diagnostisch logboek.

Privacybescherming die op elk platform is ingebouwd:

  • Externe afbeeldingen in berichten worden standaard geblokkeerd. Trackingpixels zijn externe afbeeldingen; een bericht kan dus niet doorgeven dat je het hebt geopend. Je kunt afbeeldingen per bericht laden, en die keuze vervalt weer bij het volgende bericht (§5).
  • De HTML van een bericht wordt opgeschoond en scripts draaien nooit. Een bericht kan geen code uitvoeren, niet door de app navigeren, niet "naar huis bellen" en niets op je apparaat lezen.
  • Het diagnostische logboek bevat nooit inhoud. Het legt aantallen, tijdsduren en technische gebeurtenissen vast, nooit de inhoud van berichten, onderwerpen, adressen of inloggegevens. Het is begrensd tot enkele megabytes, en blijft op je apparaat, tenzij je er zelf voor kiest het naar ons te sturen (§8).
  • Meldingen van nieuwe e-mail worden op je apparaat gemaakt. Geen enkele meldingsdienst van ons ziet je e-mail. Of er een voorbeeld (de afzender, het onderwerp en de eerste regel van het bericht) op je vergrendelscherm verschijnt, volgt de meldingsinstellingen van je besturingssysteem.
  • Inloggegevens staan in de sleutelopslag van het platform (Keychain, Windows Credential Manager, Android Keystore of de Linux-systeemsleutelring via Secret Service), nooit in de database van de app. De berichtenopslag wordt beschermd door de versleuteling van je apparaat.

Je instellingen vinden als je een account toevoegt. Zodat je geen servernamen hoeft in te typen, kan de app ze op jouw verzoek afleiden uit je e-mailadres. Hij kijkt op de standaardplekken naar de instellingen die je provider publiceert: de autodiscovery-adressen voor e-mail, JMAP en agenda op je eigen e-maildomein en het domein van je provider, een gewone DNS-opzoeking naar de mailhost van je provider, en de openbare autoconfig-database van het Thunderbird-project (autoconfig.thunderbird.net, beheerd door MZLA/Mozilla), een gedeelde gids met providerinstellingen. Twee regels begrenzen dat allemaal: alleen je domein wordt ooit verstuurd, nooit je volledige e-mailadres; en alles wordt over HTTPS geprobeerd, en een bron van instellingen die op een andere manier is bereikt, wordt aan je getoond als niet-vertrouwd en wordt nooit gebruikt om verbinding te maken voordat jij daar toestemming voor geeft. Er komt geen wachtwoord aan te pas (dit gebeurt vóór het inloggen), Allodia ontvangt er niets van, en met "Handmatig instellen" sla je de opzoeking helemaal over.

Er zit geen clouddienst van ons tussen jou en je provider. De app kan je e-mail doorgeven aan een AI-assistent op je eigen computer, maar alleen als je dat aanzet en alleen voor de accounts die je kiest (zie §7). Voegen we een functie toe die verandert hoe gegevens worden verwerkt, dan werken we dit beleid eerst bij, en alles wat nieuwe gegevens zou versturen, vraagt het je vóórdat het iets verstuurt.

3. Als je inlogt op een Allodia-account (optioneel)

Je krijgt het aangeboden, en je kunt het overslaan. Alles in §2 beschrijft de app zonder account, en zo blijft het tenzij jij anders beslist. Zodra je je eerste e-mailaccount toevoegt, raadt de app je aan er een aan te maken, want dat is wat je accounts gelijk houdt op al je apparaten. Je e-mail rechtstreeks koppelen staat op hetzelfde scherm, later vraagt niets er nog een keer om, en weigeren kost je geen enkel deel van de app. Inloggen kan ook in Instellingen → Allodia-account, een eigen plek, los van je e-mailaccounts.

Wat het is. Een account bij ons, voor de onderdelen van Allodia Mail & Calendar die een server van ons nodig hebben om überhaupt te werken. Er hoort geen postvak bij: het kan je e-mail niet lezen, versturen of bewaren, en een token dat ervoor is afgegeven komt niet bij je provider. Inloggen verandert niets aan §2: je e-mail synchroniseert nog steeds rechtstreeks tussen je apparaat en de provider die jij hebt gekozen, en wij zitten nog steeds niet in dat pad.

Wat wij hebben. Je e-mailadres, je weergavenaam als het account die heeft, en de inlog zelf. En zodra je op een apparaat bent ingelogd: de lijst met e-mailaccounts op dat apparaat, per account het e-mailadres, de servernamen en poorten, de gebruikersnaam en de verbindingsinstellingen. Meer is het niet.

Nooit een wachtwoord, en nooit een token voor je provider. Die blijven in de sleutelopslag van je eigen apparaat, gaan nooit naar ons toe, en vul je één keer per apparaat in. Daarom vult inloggen op een nieuw apparaat je accounts wel voor je in, maar vraagt het je daarna nog steeds om elk wachtwoord.

Wij kunnen de accountlijst die wij hebben lezen. Die staat op onze servers in gewone leesbare vorm, niet versleuteld op een manier die ons buitensluit. Hij vertelt ons welke providers je gebruikt en onder welk adres; hij vertelt ons niets over je e-mail, die wij niet hebben. Vind je dat meer dan je wilt delen, dan is dit het deel van de app dat optioneel is: gebruik hem zonder Allodia-account en er gaat niets van je apparaat af.

Wat je apparaat bewaart. Het inlogtoken, in de beveiligde sleutelopslag van je besturingssysteem (Keychain, Windows Credential Manager, Android Keystore of de sleutelbos van Linux), dezelfde plek waar je e-mailwachtwoorden al staan, en nooit in de database van de app.

Waar. Op onze eigen servers, in de EU.

Hoe je inlogt, en wat dat je kost. Rechtstreeks bij ons, of met Apple of Google als je dat liever hebt. Die laatste twee zijn jouw keuze en niets duwt je die kant op. Kies je er een, dan weet dat bedrijf dat je een Allodia-account hebt, en geeft het ons het adres en de naam die het vrijgeeft; dat is dan wat wij bewaren, precies zoals hierboven staat, en niets meer. Log je rechtstreeks in, dan zit er helemaal geen derde partij in. Hoe dan ook is het account van ons, op onze servers in de EU, en je e-mail zit in niets daarvan.

Uitloggen, en verwijderen. Uitloggen in Instellingen → Allodia-account wist de kopie van de inlog op dit apparaat. Je e-mailaccounts blijven op het apparaat staan, en de lijst die wij hebben blijft bij je Allodia-account tot dat account wordt verwijderd. Wil je het account zelf verwijderen, met alles wat wij erin hebben en die lijst erbij: Instellingen → Allodia-account → Account verwijderen. Dat opent je accountpagina in je browser, waar je inlogt en het bevestigt — de app verwijdert het account niet zelf. Die pagina kun je ook rechtstreeks openen op https://mailcal.allodia.eu/account, op elk apparaat en zonder de app. Vraag je het liever aan ons, mail dan info@allodia.eu. Je rechten staan in §14.

Wat het vandaag doet. Een identiteit, de accountlijst hierboven, en, als je er een hebt gekocht, het abonnement dat het account draagt (§10). Verder doet de app geen enkel verzoek aan ons. Elke volgende functie die echt een server van ons nodig heeft, wordt in dit beleid opgenomen voordat het uitkomt, en vraagt het je voordat er iets wordt verstuurd (§16).

4. Gegevens die je niet hoeft te verstrekken

Geen enkele. Er is geen wettelijke of contractuele verplichting om ons persoonsgegevens te verstrekken, en de app werkt volledig als je ons nooit iets stuurt en elke optionele schakelaar uit laat staan.

5. Wat er alleen gebeurt als jij iets doet

Sommige handelingen in een e-mailapp versturen noodzakelijkerwijs gegevens ergens naartoe, maar naar partijen die jij kiest, op het moment dat jij kiest, nooit via Allodia:

  • Een account koppelen stuurt je inloggegevens naar die provider en synchroniseert je e-mail ermee.
  • Externe afbeeldingen laden in een bericht haalt ze op bij de servers die ze hosten (vaak die van de afzender), en die zien je IP-adres. Daarom blokkeert de app ze standaard en vraagt hij het per bericht.
  • Op een link tikken of een bijlage openen geeft die door aan de browser van je systeem of aan de app die je besturingssysteem aan het bestand koppelt. Alleen gewone web- en e-maillinks (http, https, mailto) worden ooit doorgegeven; bijlagen worden nooit binnen de app zelf weergegeven.
  • E-mail of uitnodigingen versturen levert ze via je provider af bij je ontvangers.

Dit zijn jouw verzendingen, niet de onze: Allodia ontvangt van geen van alle iets.

6. Optionele gebruiksstatistieken (standaard uit)

Het enige dat de app ons kan sturen, en alleen als je ervoor kiest.

Bij de eerste start, voordat er een account is ingesteld, vraagt de app of je gebruiksstatistieken wilt delen. De schakelaar staat uit. Er wordt niets opgeslagen of verstuurd tenzij je hem aanzet en bevestigt. Weigeren wordt onthouden, en we vragen het niet nog eens. Het toestemmingsscherm heeft een paneel "Bekijk precies wat we versturen" dat de letterlijke gegevens toont, byte voor byte; de beschrijving hieronder vat dat paneel samen, maar het paneel is doorslaggevend.

Wat er wordt verstuurd als je ervoor kiest:

Gegeven Waarde Bewust niet
Installatie-id Een willekeurige identifier, die pas op het moment van je toestemming wordt aangemaakt Niet afgeleid van je apparaat, je account of enige hardware-id
Platform + besturingssysteem bijv. android, alleen het hoofdversienummer (15) Nooit een buildnummer
Apparaatklasse bijv. iphone, mac-laptop, android-tablet Nooit een apparaatmodel
App-versie + taal bijv. 1.4.0, nl Alleen de taal, nooit een volledige locale/regio
Accountvorm Hoeveel accounts (in groepen: 0, 1, 2, 3–5, 6+) en welke soorten protocollen Nooit welke providers, hosts of adressen
Gebeurtenissen App geopend; accountinstelling gestart/voltooid/mislukt en synchronisatie voltooid/mislukt (per protocolsoort); een functie is gebruikt (uit een vaste lijst); welke instellingen aanstaan Nooit iets wat je als tekst hebt getypt of ingesteld

Wat er nooit wordt verstuurd, door de bouw en niet alleen op papier: de inhoud van berichten, onderwerpen, afzenders, ontvangers, e-mailadressen, mapnamen, aantallen berichten, zoekopdrachten, agendatitels of afspraakdetails, namen van bijlagen, servernamen, apparaatmodellen. Elk veld hierboven is een label uit een vaste lijst of een groep; er is geen enkel veld in de payload dat je inhoud zou kunnen dragen, en onze server weigert alles wat buiten die vaste lijst valt.

Waar het heen gaat en hoe lang het blijft: alleen naar servers die Allodia zelf in de EU beheert (Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Duitsland). Er komt nooit een analysebedrijf van derden aan te pas. Je IP-adres is technisch gezien zichtbaar wanneer je apparaat verbinding maakt, zoals bij elke internetverbinding, maar het wordt niet opgeslagen en niet aan de gebruiksgegevens gekoppeld. Gebruiksgebeurtenissen worden maximaal 24 maanden bewaard, waarna ze worden verwijderd of teruggebracht tot geaggregeerde statistieken die niet meer naar een installatie-id te herleiden zijn.

Wat het is: pseudonieme gebruiksgegevens. Het installatie-id bevat niet je naam, je adres of iets anders over jou, maar het blijft gelijk zolang je het aan laat staan (dat is precies wat ons laat zien of het instellen lukt en of mensen de app blijven gebruiken), dus behandelen we het als persoonsgegeven onder de AVG in plaats van het anoniem te noemen.

Waar het voor is: productbeslissingen en verder niets, zoals welke platforms en talen aandacht nodig hebben, of accounts instellen en synchroniseren lukt, welke functies daadwerkelijk gebruikt worden, en of een update iets verslechterd heeft.

Intrekken: Instellingen → Privacy, één schakelaar, op elk moment. De app verwijdert het installatie-id en de vastlegging van je toestemming van je apparaat, en draagt onze server op alles te wissen wat onder dat id is opgeslagen (AVG art. 17). Intrekken is precies even eenvoudig als toestemming geven was.

Willen we ooit méér versturen, dan behandelt de app je eerdere toestemming als niet-dekkend en vraagt het je opnieuw, waarbij het je de nieuwe gegevens laat zien voordat er iets verandert. Een payload kan nooit groeien onder een toestemming die voor minder is gegeven.

Grondslag: jouw toestemming (AVG art. 6(1)(a); opslaan en uitlezen op je apparaat volgens de nationale implementaties van artikel 5(3) van de ePrivacyrichtlijn).

7. Toegang voor AI-assistenten (standaard uit)

De app kan een AI-assistent op je eigen computer je e-mail laten lezen en bewerken, via het Model Context Protocol (MCP). Dit staat uit tenzij je het aanzet bij Instellingen → Geavanceerd, en het bestaat alleen op macOS en Windows.

Wat dit concreet is:

  • Een privékanaal op je eigen apparaat. De app opent een lokale socket die alleen je eigen gebruikersaccount van het besturingssysteem kan bereiken. Geen netwerkpoort, geen server van ons, en niets in te stellen met een wachtwoord of sleutel.
  • Er gaat niets naar Allodia. Wij zitten helemaal niet in dit pad. We weten niet of je het hebt aangezet, welke assistent je hebt verbonden, of wat je hebt gevraagd.
  • Jij kiest welke accounts hij mag gebruiken. Het aanzetten van de functie geeft toegang tot geen enkele mailbox. Elk account is een apart vinkje, en het uitvinken werkt meteen.
  • Het programma dat je verbindt kan de e-mail lezen en bewerken van de accounts die je hebt aangevinkt: berichten opsommen en doorzoeken, één bericht volledig lezen, als gelezen markeren, markeren met een vlag, archiveren, naar de prullenbak verplaatsen, als spam markeren, en een vooringevuld concept openen dat jij nakijkt en verstuurt. Definitief verwijderen kan hij niet.
  • Versturen is een aparte schakelaar, standaard uit. Staat die uit, dan kan een assistent alleen een concept openen dat jij zelf leest en verstuurt. Staat die aan, dan weigert de app bovendien te versturen naar iemand aan wie je nooit eerder hebt gemaild, tenzij je dat ook uitzet.

Wat je moet weten voordat je dit aanzet: alles wat de assistent leest, kan zijn eigen aanbieder ook ontvangen, onder hun privacybeleid, niet het onze. Is het een cloud-assistent, dan verlaat je berichtinhoud je apparaat op het moment dat je hem vraagt iets te lezen, omdat jij daarom hebt gevraagd. Dat is dezelfde vorm als een bericht doorsturen of een externe afbeelding laden: jouw verzending, naar een partij die jij hebt gekozen. Het is de moeite waard om bewust te kiezen welke accounts je aanvinkt.

8. Als je contact met ons opneemt

Als je ons mailt (bijvoorbeeld naar info@allodia.eu), verwerken we wat je stuurt, namelijk je adres, je bericht en alles wat je meestuurt, uitsluitend om je te antwoorden en het probleem op te lossen. Bij support kan een bijlage het diagnostische logboek van de app zijn, dat door zijn opzet geen berichtinhoud bevat (§2).

Onze mailboxen worden gehost door Soverin (Nederland), onze EU-e-mailprovider. Supportcorrespondentie wordt 24 maanden na het laatste bericht bewaard en daarna verwijderd.

Grondslag: ons gerechtvaardigd belang om de mensen die ons schrijven te antwoorden (art. 6(1)(f)), of stappen voorafgaand aan een overeenkomst wanneer je naar een aankoop informeert (art. 6(1)(b)).

9. Appstores en updates

Je installeert en werkt de app bij via Apple's App Store, Google Play of de Microsoft Store. De stores verwerken je aankoop- en apparaatgegevens als zelfstandige verwerkingsverantwoordelijken onder hun eigen privacybeleid, niet namens ons. Wat wij van hen ontvangen zijn geaggregeerde dashboards (installaties, actieve apparaten, versies van besturingssystemen, apparaatmodellen, crashstatistieken) die jou voor ons niet identificeren; of jouw apparaat daaraan bijdraagt, wordt bepaald door de deelinstellingen van je besturingssysteem. De app zelf bevat geen crashrapportage en doet zelf geen updatecontroles. Wat wij wél ontvangen als je in de app een abonnement koopt, en wat we daarvan bewaren, staat in §10.

10. Betalen voor Allodia Mail & Calendar

De app wordt verkocht als abonnement, en je kunt hem op drie plekken kopen: rechtstreeks bij ons, in Apple's App Store of in Google Play. Welke je kiest, bepaalt wie je geld afhandelt, en dat is het enige aan betalen dat verandert wat wij bewaren. In geen van de drie ontvangen wij ooit je pas- of bankgegevens.

Bij ons kopen. De betaling wordt afgehandeld door Mollie B.V. (Amsterdam, Nederland), onze betaaldienstverlener, op hun eigen afrekenpagina. Je pas- of bankgegevens vul je daar in en horen bij die pagina: wij zien, ontvangen of bewaren ze nooit. Wat wij bewaren is het abonnement zelf — welk plan, wat het kost, wanneer de volgende betaling volgt, en of elke betaling is gelukt, mislukt of terugbetaald — samen met de referenties die Mollie gebruikt voor je klantgegevens, je betaalmachtiging en elke betaling. Je naam en e-mailadres hebben we al uit §3; die geven we aan Mollie door zodat de betaling kan worden gedaan en je een factuur kunt krijgen.

In de app kopen, bij Apple of Google. De aankoop is van hen. Je betaalt Apple of Google onder hun eigen privacybeleid en als zelfstandige verwerkingsverantwoordelijken, en je betaalgegevens komen nooit bij ons in de buurt. Wat er van je apparaat naar ons gaat is alleen de eigen referentie van de store voor die aankoop, bij welke van de twee stores hij is gedaan, en wanneer. Niets over je apparaat, en verder niets over jou.

Daarna vragen wij die store of de referentie echt is en waar je er op dit moment recht op hebt: een vraag over een transactie die die store zelf al heeft (§12). Wat wij van het antwoord bewaren is: welke store, die referentie, welk plan is gekocht, of het actief, opgezegd, verlopen of terugbetaald is, tot wanneer het loopt, of het doorloopt, en de prijs en valuta die de store heeft gerekend. De app vraagt het van tijd tot tijd opnieuw, zodat opzeggen of laten verlopen hier ook doorwerkt, en zodat het abonnement werkt op elk apparaat waarop je inlogt. Dat is de hele reden dat die referentie ons überhaupt bereikt.

Een abonnement hoort bij een Allodia-account (§3), en dat is wat het van het ene apparaat naar het andere draagt. Kopen bij een store betekent dus eerst inloggen, en het koppelen van de aankoop aan dat account is waar die referentie voor dient. Alles wat §3 over dat account zegt, geldt onveranderd: een abonnement voegt geen e-mail, geen postbus en geen nieuwe toegang tot een van beide toe.

Waarom we het mogen bewaren. Om je te geven waarvoor je betaald hebt, waar je ook inlogt, en om je te kunnen helpen als een betaling misgaat: uitvoering van onze overeenkomst met jou (AVG art. 6, lid 1, onder b). Voor facturen en betaalgegevens onze eigen wettelijke plicht om ze te bewaren (art. 6, lid 1, onder c), en dat is het enige deel hiervan dat je account overleeft (§13).

Opzeggen en terugbetalen. Een abonnement dat je bij ons hebt gekocht, zeg je op je accountpagina op; een abonnement van Apple of Google zeg je bij die store op, want het is aan die store om het te beëindigen, en een terugbetaling is aan hen om te geven. Opzeggen stopt de volgende betaling. Het wist niet de gegevens van betalingen die al zijn gedaan, en die moeten wij bewaren.

11. De website allodia.eu

Onze website gebruikt alleen cookies en lokale opslag die nodig zijn om te functioneren (taalvoorkeur, beveiliging, sessiebeheer), en geen analyse- of marketingcookies. Mocht dat ooit veranderen, dan vragen we het eerst. Gebruik je het contactformulier, dan verwerken we je naam, e-mailadres, optionele bedrijfsnaam en bericht om je te antwoorden, net als in §8. De site wordt gehost in Nederland en Duitsland.

12. Wat we nooit doen

  • We verkopen of verhuren nooit persoonsgegevens, en delen ze nooit voor advertenties.
  • We gebruiken nooit analyse-, tracking- of advertentie-SDK's van derden in de app.
  • We nemen nooit geautomatiseerde besluiten over je en stellen nooit een profiel van je op (AVG art. 22).
  • We trainen nooit AI-modellen op je e-mail. We hebben überhaupt geen toegang tot je e-mail.
  • We dragen de persoonsgegevens die we hebben nooit over buiten de EU/EER, met één uitzondering die we liever benoemen dan wegstoppen: een abonnement controleren dat je bij Apple of Google hebt gekocht betekent dat we die store ernaar vragen, en dat zijn allebei Amerikaanse bedrijven (§10). Wat die vraag meeneemt, is de eigen referentie van de store voor een transactie die die store zelf al heeft, en het is de enige manier om een aankoop te bevestigen waarvoor de store, en niet wij, het geld heeft aangenomen. Koop je bij ons, dan gebeurt dit helemaal niet. (Waar je eigen provider zich bevindt, is net zo goed jouw keuze en een rechtstreekse relatie tussen jou en hen. Dat geldt ook voor Apple of Google kiezen om in te loggen op een Allodia-account, een route die je gewoon niet hoeft te nemen, §3.)

13. Bewaartermijnen in één oogopslag

Gegevens Bewaard Waar
Je e-mail, afspraken, contacten, instellingen, handtekeningen, diagnostisch logboek Op je apparaat, onder jouw controle; verwijder de gegevens van de app of de app zelf en het is weg Je apparaat
Je Allodia-account en de lijst met e-mailaccounts die het gelijk houdt, als je er een aanmaakt Tot je ons vraagt het te verwijderen Servers beheerd door Allodia, EU
Gebruiksstatistieken (opt-in) Tot je ze intrekt, maximaal 24 maanden Servers beheerd door Allodia, EU
Je abonnement en de betaalgeschiedenis ervan, als je bij ons koopt Tot je je account verwijdert, facturen uitgezonderd (hieronder) Servers beheerd door Allodia, EU; betaalafhandeling door Mollie, NL
Een abonnement gekocht bij Apple of Google, en de referentie die de store ervoor heeft Tot je je account verwijdert Servers beheerd door Allodia, EU
Supportcorrespondentie 24 maanden na het laatste bericht Soverin, NL
Berichten via het contactformulier Als supportcorrespondentie Soverin, NL
Facturen/administratie, als je iets bij ons koopt Zolang de Nederlandse belastingwet vereist (7 jaar) Administratie van Allodia, EU

14. Je rechten

Onder de AVG kun je ons vragen om inzage in, correctie of verwijdering van je persoonsgegevens of een kopie ervan (overdraagbaarheid), ons vragen de verwerking te beperken, bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, en elke toestemming op elk moment intrekken (wat niets afdoet aan wat daarvóór rechtmatig was).

In de praktijk is de snelste route meestal de app zelf: je e-mail en instellingen zijn al in jouw handen, en de schakelaar voor gebruiksstatistieken (Instellingen → Privacy) is het middel om die ene dataset die wij over de app hebben in te trekken én te laten wissen. Eén eerlijke beperking: een installatie-id vertelt ons niet wie je bent, dus we kunnen dat van jou niet opzoeken op je naam of e-mailadres. De schakelaar in de app, die aantoont dat je het apparaat beheert waar het id bij hoort, is de betrouwbare manier om die gegevens te laten wissen.

Voor al het overige: info@allodia.eu. We reageren binnen een maand (art. 12(3)). Je kunt ook een klacht indienen bij een toezichthouder. Die van ons is de Nederlandse Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), maar je mag de toezichthouder van je eigen EU/EER-land gebruiken.

15. Beveiliging

Inloggegevens worden alleen opgeslagen in de beveiligde sleutelopslag van je apparaat en worden nooit weggeschreven naar de database of de logboeken van de app. Verbindingen met je provider gebruiken de versleutelde protocollen die hij aanbiedt (TLS). Binnenkomende HTML wordt opgeschoond in een geharde weergavecomponent waarin scripts nooit draaien en externe inhoud standaard wordt geblokkeerd. Het weinige dat we serverzijdig beheren, draait op EU-infrastructuur met toegang beperkt tot wie die nodig heeft, beschermd met meerfactorauthenticatie en versleuteling.

16. Wijzigingen in dit beleid

Veranderen we welke gegevens worden verwerkt, dan werken we dit beleid vóór die verandering bij en verhogen we het versienummer en de datum bovenaan. Waar de verandering zou verbreden wat de app verstuurt, vraagt de app je opnieuw om toestemming in plaats van die aan te nemen. De actuele versie staat altijd op https://allodia.eu/privacy/mail-calendar.

17. Contact

Allodia · KvK 56789823 · Kamerlingh Onnesweg 2, 3316GL Dordrecht, Nederland · info@allodia.eu