Privacy & anonimiteit

Anonimiteit is de kernbelofte van I See You. Een gebruiker legt zijn uiterlijk voor aan onbekenden zonder dat die kunnen zien wie hij is, en zonder dat de opname ergens blijvend wordt vastgelegd. Na afronding is de opname uitsluitend voor de maker zelf terug te zien, en verdwijnt gegarandeerd binnen een begrensd venster. Deze pagina beschrijft functioneel wat de applicatie op het gebied van privacy en anonimiteit moet garanderen, welke voorwaarden de gebruiker aanvaardt, en hoe lang gegevens bestaan.

Zie ook Anonimiteit, het Retentiebeleid in de Termen, en de context Moderatie & Retentie in het Domeinmodel. Het concrete verloop van bewaren en verwijderen staat in het scenario Anonimiteit & retentie.

Uitgangspunten

Uitgangspunt	Wat het functioneel betekent
Fictieve identiteit	Een Gebruiker kiest zelf een gebruikersnaam en wachtwoord. Die hoeven geen echte naam te bevatten; de fictieve gebruikersnaam is wat de anonimiteit waarborgt.
Alleen mensen zien de opname	Een Vraag wordt uitsluitend getoond aan de geselecteerde opiniegevers — een via Beheer instelbaar aantal mensen, geen publiek. Alleen als vangnet bij te weinig of niet-reagerende kandidaten beoordeelt een AI-persona.
Nooit blijvend opgeslagen	De opname bestaat alleen tijdelijk en wordt altijd verwijderd. Er is geen archief en geen permanente opslag van media; het resultaat-retentievenster is begrensd en instelbaar, waarna verwijderen gegarandeerd is.
Geen upload	Media komt alleen van de live camera. Bestanden uploaden is niet mogelijk.
Geen locatieveld, geen tracking	Er is geen `Land`-veld meer (per `2026-07-11m`); een optionele regio komt uit een Keuzelijst. Er is geen GeoIP, geen IP-locatie en geen Geolocation-API/GPS-prompt — er hoeft niets over de locatie te worden getrackt.
Gegevens verdwijnen	Op het account na worden de gegevens rond een vraag verwijderd — automatisch aan het einde van het resultaat-retentievenster of eerder wanneer de maker zelf verwijdert.
Wachtwoordherstel alleen met e-mail	Wachtwoordherstel kan alleen als de gebruiker daarvoor optioneel een e-mailadres heeft opgegeven; zonder e-mailadres is er geen herstelkanaal.
Uitslagnotificatie zonder inhoud	De maker kan optioneel een e-mailadres achterlaten voor een uitslagnotificatie: één seintje met alleen een link, geen beoordelingsinhoud. Het adres wordt direct na de verzendpoging gewist en staat los van het herstel-e-mailadres.
Anoniem richting andere gebruikers (voorgesteld)	Betaalt een gebruiker via iDeal (inleg, teaser-ontgrendeling) of laat hij uitbetalen, dan bestaan zijn betaalgegevens bij de payment provider — nooit zichtbaar voor andere gebruikers. Het platform bewaart alleen transactiereferentie + saldo.

Fictieve naam en wachtwoord

De gebruiker is binnen I See You bekend onder een zelfgekozen gebruikersnaam en een wachtwoord — zie Gebruiker in de Gebruiker & Toegang-context van het Domeinmodel.

De gebruikersnaam mag fictief zijn; de applicatie vraagt geen echte naam of telefoonnummer om te kunnen deelnemen. Een e-mailadres is optioneel en uitsluitend bedoeld voor wachtwoordherstel.
Het Profiel bevat alleen kenmerken die nodig zijn voor matching (leeftijd, gender, achtergrond, optioneel regio). Deze kenmerken zijn niet herleidbaar tot een persoon.
Het profiel bevat geen herleidbare persoonsgegevens; het enige optionele contactgegeven is een e-mailadres voor wachtwoordherstel. (Voorgesteld per 2026-07-05:) wie betaald advies gebruikt, betaalt via de payment provider — het platform bewaart daarvan uitsluitend de transactiereferentie en het saldo, geen bank- of kaartgegevens.

Wachtwoordherstel alleen met e-mail

Wachtwoordherstel is alleen mogelijk als de gebruiker daarvoor optioneel een e-mailadres heeft opgegeven. Een wachtwoord kan nooit worden opgevraagd; herstel verloopt uitsluitend via het opgegeven e-mailadres. Functioneel betekent dit:

Heeft een geregistreerde gebruiker een e-mailadres opgegeven, dan kan hij via dat adres een nieuw wachtwoord instellen.
Zonder opgegeven e-mailadres is er geen herstelkanaal; wie dan zijn wachtwoord kwijt is, verliest de toegang tot dat account en het bijbehorende credit-saldo en de waarderingsstatistieken.
Een anonieme gebruiker heeft sowieso geen herstel.
De gebruiker moet hierop gewezen worden bij registratie (zie de voorwaarden hieronder).

Geen locatieveld, geen tracking

(Per 2026-07-11m, ADR-037) is er geen Land-veld meer voor matching: I See You wordt per land als aparte site gehost (NL eerst), dus welk land het betreft volgt uit de site, niet uit een profielkeuze.

De optionele regio wordt door de gebruiker gekozen uit een Keuzelijst. Er is geen GeoIP, geen IP-locatie, geen automatische detectie en niets wordt vooringevuld op basis van locatie.
Er wordt géén Geolocation-API en geen GPS-prompt gebruikt; de applicatie vraagt nooit om toegang tot de exacte locatie van het apparaat.

Omdat regio gewoon een keuze van de gebruiker is, hoeft er niets over de locatie te worden getrackt. Het blijft daarmee een grof, niet tot een persoon herleidbaar gegeven, passend bij de anonimiteit.

Wie ziet de opname

Een opname wordt nooit publiek getoond. De zichtbaarheid is strikt beperkt tot de matching:

Wie	Ziet de opname?
De maker van de vraag	Ja — tijdens het beoordelen en na afronding, zolang het resultaat-retentievenster loopt (in Mijn vragen).
De geselecteerde opiniegevers (een via Beheer instelbaar aantal per vraag)	Ja — uitsluitend voor het geven van hun Opinie.
Andere gebruikers / publiek	Nee.
AI-persona	Alleen als vangnet wanneer er te weinig mensen beschikbaar zijn of een opiniegever niet binnen de antwoordtermijn reageert; verder beoordelen mensen.
Beheer	Niet voor inhoudelijke beoordeling. Alleen het Retentiebeleid en Moderatie raken een vraag, en dan om die te verwijderen.

Elke Opdracht koppelt één vraag aan één opiniegever; er worden er per vraag een via Beheer instelbaar aantal aangemaakt. Buiten deze toewijzingen is er geen toegang tot de opname.

Geen upload — alleen live camera

Media wordt alleen via de live camera van het apparaat vastgelegd. Bestanden uploaden is niet mogelijk. Dit geldt voor beide waarden van MediaType:

Video — een opname van maximaal 10 seconden (mag korter) via de live camera.
Foto — één foto, eveneens via de live camera.

Door alleen live capture toe te staan, voorkomt de applicatie dat oude of bewerkte bestanden binnenkomen en dat de gebruiker per ongeluk meer deelt dan bedoeld. Zie ook Vraag stellen (video of foto).

Tijdelijk bewaren en verwijderen

Opnames bestaan alleen tijdelijk en worden altijd verwijderd — er is geen archief en geen permanente opslag. Ze zijn niet blijvend opgeslagen, maar verdwijnen niet meer direct zodra de beoordeling klaar is: zodra alle opinies binnen zijn wordt op de Vraag beoordeeldOp gezet en gaat een begrensd, instelbaar resultaat-retentievenster lopen. In dat venster kan alleen de maker het Resultaat én de opname terugzien (zie Resultaat terugzien); daarna wordt de vraag + opname gegarandeerd verwijderd. Dit wordt geborgd door het Retentiebeleid (policy in de context Moderatie & Retentie).

Regel	Waarde	Gevolg
Beoordeling klaar	Alle opinies binnen (`beoordeeldOp` gezet)	Start van het resultaat-retentievenster: het Resultaat + de opname blijven bewaard en zijn alleen voor de maker terug te zien.
Resultaat-retentie verstreken	Een via Beheer instelbaar aantal uren (`resultaatRetentieUren`, standaard 168 = 7 dagen, geteld vanaf `beoordeeldOp`)	De Vraag en de opname worden automatisch verwijderd.
Maker verwijdert zelf	Directe actie van de maker in Mijn vragen	De maker verwijdert zijn eigen vraag + opname vóór het einde van het venster; deze verdwijnen meteen.
Veiligheids-timeout	Een via Beheer instelbaar aantal	Ruimt vragen op die nooit afgerond raken; een vraag die over de termijn gaat, wordt alsnog verwijderd.
Meldingen-drempel	Een via Beheer instelbaar aantal (Meldingen, standaard 3)	Bij het bereiken van de drempel wordt de vraag direct verwijderd.

Welke gegevens verdwijnen

Wat na afronding van de beoordeling — en na afloop van het resultaat-retentievenster — blijft bestaan, hangt af van het gebruikerstype:

Gegeven	Geregistreerd	Anoniem
Opname (video/foto)	Blijft in het resultaat-retentievenster alleen voor de maker; daarna altijd verwijderd	Alleen zichtbaar zolang de sessie leeft; daarna altijd verwijderd
Account (Gebruiker, credit-saldo, waarderingsstatistieken)	Blijft behouden	N.v.t. — geen blijvend account (sessie-gebonden credits)
Berichten	Blijven behouden	Worden niet bewaard
Profiel / vraaggegevens	Account-profiel blijft; vraagdata vervalt met de vraag	AnoniemeGebruiker wordt opgeruimd zodra de vraag verdwijnt

Samengevat: de opname wordt altijd verwijderd — uiterlijk aan het einde van het resultaat-retentievenster, of eerder als de maker zelf verwijdert; van een geregistreerde gebruiker blijven alleen het account (met credit-saldo en waarderingsstatistieken) en de berichten behouden; van een anonieme gebruiker wordt alles rond de vraag en de sessie opgeruimd.

Communicatie naar buiten

I See You stuurt geen ongevraagde berichten naar buiten. Er zijn precies twee optionele, door de gebruiker zelf gekozen e-mailmomenten, beide los van elkaar:

Wachtwoordherstel — een optioneel opgegeven account-e-mailadres, uitsluitend voor wachtwoordherstel.
Uitslagnotificatie — een optioneel per vraag achtergelaten adres (notificatieEmail) waarop de maker, zodra zijn uitslag klaar is, één seintje met alleen een link naar het portaal krijgt (geen beoordelingsinhoud). Het adres wordt direct na de verzendpoging gewist, dus er blijft geen mailinglijst achter; de verzending is best-effort (mislukt ze, dan blijft de uitslag gewoon in de app te zien).

(Voorgesteld per 2026-07-05:) daarnaast loopt het betaalverkeer (iDeal-inleg, teaser-ontgrendeling, uitbetaling) via de payment provider; diens communicatie (bank-app, betaalbevestiging) valt buiten het platform. Binnen de applicatie verloopt verdere communicatie via Berichten.

Vrije tekst wordt gemodereerd

De weinige plekken waar een gebruiker vrije tekst typt — de toelichting van de maker en de reactie van een opiniegever — worden vóór opslaan automatisch gecontroleerd door de tekstmoderatie (OpenAI Moderation API). Afgekeurde tekst wordt geweigerd en niet opgeslagen; zo blijft ongepaste tekst voor niemand zichtbaar. Zie Moderatie.

Voorwaarden bij registratie

Bij het aanmaken of gebruiken van een account aanvaardt de gebruiker het privacybeleid. De applicatie moet daarbij ten minste het volgende duidelijk maken:

De gebruikersnaam mag fictief zijn en waarborgt de anonimiteit.
Een opname wordt alleen aan de geselecteerde opiniegevers getoond; na afronding kan alleen de maker zelf zijn opname nog terugzien, en die wordt gegarandeerd binnen het begrensde resultaat-retentievenster verwijderd (of eerder als de maker zelf verwijdert).
Opnames worden nooit blijvend opgeslagen en kunnen alleen via de live camera worden gemaakt (geen upload).
Er is geen landveld; een optionele regio kiest de gebruiker zelf uit een keuzelijst. Er is geen GeoIP, geen IP-locatie en er wordt geen exacte locatie (GPS) opgevraagd.
Op het account na worden gegevens rond een vraag verwijderd — automatisch aan het einde van het resultaat-retentievenster of eerder wanneer de maker zelf verwijdert.
Wachtwoordherstel is alleen mogelijk met een optioneel opgegeven e-mailadres; zonder e-mailadres is het account bij verlies van het wachtwoord niet meer toegankelijk.
E-mail wordt alleen ingezet voor twee optionele, zelfgekozen doelen: het account-e-mailadres voor wachtwoordherstel, en een per vraag optioneel achtergelaten adres voor één uitslag-seintje met alleen een link (dat direct na verzending wordt gewist).
De anonimiteit geldt richting andere gebruikers: wie betaalt (iDeal) of laat uitbetalen, deelt betaalgegevens met de payment provider; het platform bewaart daarvan alleen de transactiereferentie en het saldo. (Voorgesteld per 2026-07-05.)
Ingetypte vrije tekst wordt vóór opslaan automatisch gemodereerd; afgekeurde tekst wordt geweigerd en niet opgeslagen.

Zie Aanmelden & registratie voor het registratieproces en de gebruikerstypen, en het scenario Anonimiteit & retentie voor het precieze verloop van bewaren en verwijderen.