Privacy in de testversie van MLA

Dit is een testversie. De tekst is een eerste opzet die nog wordt nagekeken door iemand met verstand van de privacywet (de AVG), voordat er andere huishoudens meedoen. Waar iets nog niet vaststaat, zeggen we dat.

In het kort

We bewaren wat je de assistent vertelt: je nummer en naam, wie er bij jou thuis woont en je berichten. Een foto bewaren we niet.
Je berichten gaan langs Meta (WhatsApp), Anthropic (het taalmodel) en TypeSafe (de triage). De laatste twee werken vanuit de Verenigde Staten.
Op de site bewaren we je mailadres en, als je inlogt, een sessie in een cookie die de site nodig heeft. Geen volgcookies, geen reclame.
We verkopen niets, tonen geen reclame en trainen geen model op je gesprekken. Wij lezen je gesprekken niet mee, tenzij jij zelf de schakelaar "help de assistent verbeteren" aanzet. Die staat standaard uit.
Stuur "stop" en de assistent zwijgt. Stuur "wis mijn gegevens" en alles wat we van je hebben gaat weg, op een klein spoor van je eerste berichten na (hoogstens 30 dagen).
Wat de assistent onthoudt is van iedereen bij jou thuis, tenzij je zegt dat iets privé is.

Hieronder staat de volledige uitleg.

Wie is verantwoordelijk

GGDEV B.V. is verantwoordelijk voor wat er met je gegevens gebeurt. MLA is een werknaam. Een vraag, of een verzoek om je gegevens in te zien of te laten wissen, stuur je naar [contactadres volgt; tot die tijd: vraag het aan de persoon die je heeft uitgenodigd].

Wat we bewaren, waarvoor en hoe lang

Per soort gegeven: waarvoor we het nodig hebben en hoe lang het blijft staan. De juridische grondslag per regel (de reden die de wet vraagt) wordt nog vastgesteld. Alles staat op onze eigen server in Amsterdam, gescheiden per huishouden.

Je telefoonnummer en het kenmerk dat WhatsApp je geeft

Waarvoor: Om je berichten te herkennen en te weten bij welk huishouden je hoort. Eén nummer hoort bij precies één huishouden.
Hoe lang: Tot je je gegevens laat wissen.

Je naam en de naam van de assistent

Waarvoor: Om je bij je naam te kunnen noemen. De naam van je assistent kies je zelf; die hoort bij het huishouden. We bewaren niet de profielnaam die WhatsApp meestuurt.
Hoe lang: Tot je je gegevens laat wissen. De naam van de assistent blijft bij het huishouden zolang dat bestaat.

Wie er bij jou thuis woont

Waarvoor: De naam van elke huisgenoot en of die volwassene of kind is, alleen wat jij vertelt. Zo weet de assistent over wie het gaat.
Hoe lang: Tot het huishouden wordt gewist. Wis je jezelf, dan blijven de namen van de anderen staan; zie het stuk over weggaan.

De geboortedatum van een kind

Waarvoor: Alleen als je hem wilt geven; je mag hem overslaan. Bedoeld voor onder meer verjaardagen en leeftijden. Die functie is er nog niet.
Hoe lang: Tot het huishouden wordt gewist.

Je berichten en de antwoorden van de assistent

Waarvoor: De tekst, de tijd, of een bericht is aangekomen en gelezen, en of WhatsApp het bericht als doorgestuurd markeerde. Zo begrijpt de assistent een vervolgvraag, kunnen we een bericht na een storing opnieuw proberen en kunnen we doorgestuurde dingen anders behandelen dan wat je zelf schreef.
Hoe lang: In de testfase blijft de tekst staan tot je hem laat wissen. Het voornemen is dat de letterlijke tekst na 12 maanden vanzelf weggaat. Dat is nog niet ingebouwd.

Een foto die je stuurt

Waarvoor: De foto gaat met het bijschrift naar het taalmodel, zodat de assistent erop kan antwoorden. De foto zelf bewaren we nergens. Bewaard blijven alleen: dat het een foto was, het bijschrift, en een verwijzing bij WhatsApp om hem na een storing opnieuw op te halen.
Hoe lang: De foto: we bewaren hem niet. Het bijschrift en de verwijzing: zoals een bericht. Van een spraakbericht of ander bericht zonder tekst bewaren we alleen dat het binnenkwam.

Je aanmelding en je toestemming

Waarvoor: Welke vragen je hebt beantwoord of overgeslagen, welke uitnodigingen er zijn, en dat je toestemming gaf, met de datum en de versie van de tekst. Codes uit uitnodigingen bewaren we niet als tekst, alleen in een vorm die niet terug te lezen is.
Hoe lang: Tot je je gegevens laat wissen.

Hoe vaak je de assistent gebruikt

Waarvoor: Alleen het moment en het soort aanroep, zonder inhoud. Zo kunnen we grenzen bewaken, zodat niemand de assistent per ongeluk overbelast en de kosten onder controle blijven.
Hoe lang: Tot je je gegevens laat wissen.

Een bericht van iemand die niet meedoet

Waarvoor: Het nummer en de tijd, zodat die persoon een vast antwoord kan krijgen, en daarbij een vast kenmerk van wat het bericht was: een tik op een knop, een ja, een stop, dat iemand zijn nummer deelde, of over welk onderwerp een vraag ging (bijvoorbeeld bewaren, kosten of kinderen). Stond er een code in, dan bewaren we alleen een vorm die niet terug te lezen is. De tekst zelf bewaren we nooit.
Hoe lang: 30 dagen na het bericht, daarna wordt het verwijderd. Stuurt zo iemand "stop", dan haalt de assistent de wachtende aanmelding meteen weg en blijft alleen dit kleine spoor staan.

Je mailadres

Waarvoor: Alleen om je te kunnen bereiken. Je vult het in bij het aanmelden op de site. We sturen er nu niets naartoe en de assistent leest geen mail. Komt dat er, dan passen we eerst deze pagina aan.
Hoe lang: Tot je het weghaalt of aanpast op je accountpagina (laat het leeg en sla op), of tot je je gegevens laat wissen.

Je sessie en de cookie van de site

Waarvoor: Zodat je ingelogd blijft op de site. Daarvoor zetten we één cookie, mla_sessie. Daar staat alleen een willekeurig getal in, geen naam, nummer of mailadres. In de database bewaren we niet dat getal zelf maar een onleesbare afgeleide ervan, met de einddatum, of je inlogde via WhatsApp of een passkey, en wanneer je de sessie voor het laatst gebruikte. Het is een noodzakelijke cookie: alleen via https, niet te lezen door scripts en niet meegestuurd vanaf andere sites. We gebruiken geen volgcookies, geen statistieken en geen reclamecookies.
Hoe lang: 30 dagen. Gebruik je de site, dan schuift die termijn op (hoogstens één keer per uur). Uitloggen haalt de sessie meteen weg, en verlopen sessies worden opgeruimd. Tijdens het aanmelden of inloggen zetten we kort nog een cookie: een willekeurig getal dat bij je wachtende code hoort (45 minuten), een ondertekende cookie met een onleesbare afgeleide van de code uit je uitnodigingslink (60 minuten) en een willekeurig getal voor een passkey (5 minuten).

Je passkeys

Waarvoor: Om op de site in te loggen zonder WhatsApp. We bewaren de publieke sleutel van de passkey (die is geen geheim), een nummer dat de passkey aanwijst, een teller, het soort verbinding dat je apparaat meegeeft, de naam die jij eraan geeft en wanneer je hem voor het laatst gebruikte. Je vingerafdruk, je gezicht of je pincode krijgen we nooit: die blijven op je apparaat, net als de privésleutel.
Hoe lang: Tot je de passkey verwijdert op je accountpagina of je je gegevens laat wissen.

Eenmalige codes van de site

Waarvoor: Om te bevestigen dat een nummer van jou is: de site toont een code die jij zelf vanaf dat nummer naar de assistent stuurt. De code en het nummer dat je op de site invulde bewaren we alleen in een vorm die niet terug te lezen is. Het bericht met de code komt niet bij je gesprekken: van dat bericht bewaren we alleen het nummer, de tijd en of de code klopte.
Hoe lang: De code werkt 10 minuten. Na het bevestigen heb je 30 minuten om af te ronden. Een uur nadat een code is verlopen, wordt de code verwijderd. Het bericht waarmee je de code bevestigde blijft 30 dagen staan, zoals bij iemand die niet meedoet.

Grenzen per nummer en per adres op de site

Waarvoor: Om te voorkomen dat bots of spam de site overspoelen: hoeveel codes en pogingen er per uur mogelijk zijn. Per poging bewaren we het soort, het moment en een onleesbare afgeleide van je nummer of van het IP-adres waarmee je de site bezoekt. Het IP-adres zelf bewaren we hier nergens. Of de webserver zelf adressen in een toegangslogboek zet en hoe lang dat blijft, is nog niet vastgesteld.
Hoe lang: Na twee uur komt een poging in aanmerking om te verwijderen. Het opruimen draait elk uur, dus het blijft hoogstens ongeveer drie uur staan.

De schakelaar "help de assistent verbeteren"

Waarvoor: Of jij ons toestaat gesprekken na te lezen om de assistent beter te maken. De schakelaar staat standaard uit en je zet die zelf aan of uit op je accountpagina. Zet je hem aan, dan bewaren we alleen het moment waarop je dat deed. Wat je privé noemt, lezen we nooit na, en we trainen er geen model mee. Er is nog niets gebouwd waarmee gesprekken worden nagelezen: ook met de schakelaar aan leest nu niemand mee.
Hoe lang: Tot je hem uitzet of je je gegevens laat wissen.

Technische gegevens in het logboek

Waarvoor: Om fouten te vinden. Er staat een onleesbaar gemaakt deel van het nummer in (zoals "+31 ... 78"), interne nummers, een status of foutcode, de duur en aantallen. Er staat nooit berichttekst, een naam of een volledig nummer in.
Hoe lang: Nog niet vastgesteld.

We bewaren niet: de profielnaam van WhatsApp, foto's, geluid, en de volledige meldingen van WhatsApp. Wat Meta, Anthropic en TypeSafe zelf bewaren, staat in het volgende stuk.

Welke bedrijven je gegevens verwerken

Vier bedrijven krijgen een deel van je gegevens, omdat de assistent anders niet kan werken. Per bedrijf: wat ze krijgen, waarvoor, waar, en wat wij wel en niet weten.

De server: LeaseWeb, Amsterdam

Wat: Alles wat we bewaren staat in onze database op deze server.
Waarvoor: Het draaien van de assistent en het bewaren van je gegevens.
Land: Nederland.
Wat we niet weten: Of en hoe lang er back-ups worden bewaard, en welke afspraken er met de hostingpartij zijn: nog niet vastgesteld.

Meta (WhatsApp)

Wat: Je berichten en foto's, je telefoonnummer en het moment waarop je ze stuurt.
Waarvoor: Het bezorgen van berichten tussen jou en de assistent.
Land: Niet door ons vastgesteld.
Wat we niet weten: Wat Meta zelf bewaart, hoe lang en waar. Dat kunnen we niet wissen.

Anthropic (het taalmodel Claude)

Wat: Je bericht en het recente gesprek, een foto met bijschrift als je die stuurt, de namen van wie er thuis woont (en of dat volwassenen of kinderen zijn), je naam en de naam van de assistent. Niet je telefoonnummer en niet de geboortedatum van een kind.
Waarvoor: Het schrijven van het antwoord.
Land: Verenigde Staten. We hebben daar bewust voor gekozen. Toen we het uitzochten, was er bij Anthropic geen Europese verwerking.
Wat zij zeggen: Volgens hun eigen documentatie gebruiken ze gegevens uit de API niet om modellen te trainen zonder uitdrukkelijke toestemming, en verwijderen ze invoer en uitvoer binnen 30 dagen. Vermoeden ze een overtreding van hun regels, dan kan dat langer, tot 2 jaar.
Wat we niet weten: Welke verwerkersovereenkomst met ons geldt en of deze al is vastgelegd: nog niet vastgesteld. Wat zij bewaren kunnen we niet wissen.

TypeSafe (de triage)

Wat: Je bericht en de laatste paar berichten van het gesprek, ingekort.
Waarvoor: Bepalen wat voor bericht het is: een vraag, een bedankje, iets om op te zoeken. Een klein model doet dat.
Land: Verenigde Staten.
Wat zij zeggen: Ze trainen geen modellen op wat je invoert.
Wat we niet weten: Hoe lang ze invoer bewaren: ze noemen geen termijn. Ook de lijst van bedrijven die zij zelf weer inschakelen kennen we nog niet, en we hebben de verwerkersovereenkomst met hen nog niet vastgelegd. Daarom is dit voor de testfase.

Wij lezen je gesprekken zelf niet mee. Verandert er iets aan deze lijst, dan past deze pagina eerst mee.

Dit doen we nooit

We tonen geen reclame op grond van je berichten.
We verkopen je gegevens niet.
We trainen geen model op je gesprekken en laten geen ander bedrijf dat doen.
De assistent ziet nooit een wachtwoord of een inlogcode. Zulke gegevens gaan nooit naar het taalmodel.
De assistent doet niets naar buiten, zoals een bericht of een afspraak versturen, zonder dat jij eerst ja zegt.
Wat je zegt tegen de assistent, vertellen we niet letterlijk door aan een ander.
We lezen geen gesprekken na zonder jouw schakelaar, en wat je privé noemt lezen we nooit.
We zetten geen berichttekst in onze logboeken.
We bewaren je foto's niet.

Van wie het geheugen is

Wat de assistent onthoudt is van iedereen die bij jou thuis meedoet, tenzij je zegt dat iets privé is, bijvoorbeeld "alleen voor mij" of een verrassing. Dan ziet alleen jij het. Het is de bedoeling dat de database dat afdwingt, zodat het niet alleen van de assistent afhangt.

Wat je zelf tegen de assistent zegt, wordt niet letterlijk doorverteld aan een huisgenoot. Ook niet als je je hart lucht over iemand.

Op dit moment onthoudt de assistent alleen de namen van wie er thuis woont. Een uitgebreider geheugen komt later; dan geldt dit er ook voor.

Kinderen

Over een kind bewaren we alleen wat jij vertelt: de naam, dat het een kind is en, als je dat wilt, de geboortedatum. Een kind appt nu niet zelf met de assistent. We nodigen ook nog geen tieners uit.

Noem je een kind in een bericht, dan gaat dat bericht zoals elk bericht langs de bedrijven hierboven. De volwassene die iets over een kind vertelt, is daar zelf verantwoordelijk voor: vertel alleen wat je over dat kind mag vertellen.

WhatsApp en de privacywet stellen leeftijdsgrenzen en soms is toestemming van een ouder nodig. Wat daarvan precies voor ons geldt, wordt nog uitgezocht.

Uit elkaar of weggaan uit het huishouden

Wat de assistent nu doet als iemand "wis mijn gegevens" stuurt en bevestigt:

Je eigen gegevens gaan weg: je nummer, je naam, je mailadres, je berichten, je gebruik, je aanmelding, je toestemming, je sessies en passkeys en de uitnodigingen die je maakte of gebruikte.
Eén uitzondering: het kleine spoor van berichten van vóór je ja of met een bevestigingscode (het nummer, de tijd en een vast kenmerk, nooit de tekst) gaat niet bij het wissen weg maar vanzelf, hoogstens 30 dagen na dat bericht.
Het huishouden blijft bestaan als er nog een volwassene meedoet. Wat ook van de ander is, blijft dan staan: de naam van het huishouden en van de assistent, de namen die er nog bij horen en de kinderen.
Ben jij de enige volwassene die meedoet, dan gaat het hele huishouden weg, met de kinderen en alles wat de assistent over jullie thuis bewaart.

Wat nog niet is geregeld:

Wie beslist over de gegevens van de kinderen als twee volwassenen uit elkaar gaan en het er niet over eens zijn.
Of iemand een ander uit het huishouden kan halen, en wat er dan met wat die ander vertelde gebeurt.
Of iemand een kopie van wat die zelf vertelde kan meenemen naar een nieuw huishouden.

Zit je in zo'n situatie, neem dan contact op via [contactadres volgt; tot die tijd: vraag het aan de persoon die je heeft uitgenodigd]. We zoeken dan samen een oplossing; er is nog geen vaste regeling.

Doorgestuurde berichten en foto's

Stuur je een bericht door of een foto met tekst erop, dan is dat informatie voor de assistent en nooit een opdracht. Staat er in zo'n bericht "stuur dit naar iedereen" of "negeer je regels", dan doet de assistent dat niet. Alleen wat jij zelf schrijft is een opdracht.

Gesprekken laten nalezen

Wij lezen je gesprekken niet. Op je accountpagina op de site staat een schakelaar "help de assistent verbeteren". Die staat standaard uit en je zet hem zelf aan. Staat die aan, dan mogen wij jouw gesprekken nalezen om de assistent beter te maken. Wat je privé noemt, lezen we nooit na.

De schakelaar bewaart nu alleen dat je hem aanzette, met het moment. Er is nog niets gebouwd waarmee gesprekken worden nagelezen, dus ook met de schakelaar aan leest op dit moment niemand de gesprekken van huishoudens. Komt dat er, dan staat het eerst hier. Eerlijk is ook: de beheerders van de server kunnen technisch wel bij de database. Dat we niet meelezen is een afspraak en geen slot.

Verbeteren op andere manieren kan zonder dat iemand je gesprekken leest: tellen hoe vaak iemand de assistent verbetert, of onthouden wat jij zelf uitdrukkelijk corrigeert. Dat blijft binnen je huishouden.

Je rechten

Inzien. Vraag het via [contactadres volgt; tot die tijd: vraag het aan de persoon die je heeft uitgenodigd]. Een knop hiervoor is er nog niet.
Verbeteren. Zeg tegen de assistent dat iets niet klopt, of neem contact op. Je naam en je mailadres pas je ook aan op je accountpagina.
Meenemen. Vraag het via [contactadres volgt; tot die tijd: vraag het aan de persoon die je heeft uitgenodigd]. Een automatische download is er nog niet.
Wissen. Stuur "wis mijn gegevens" en bevestig, of kies dat op je accountpagina. Of neem contact op. Zie het stuk over weggaan voor wat er dan gebeurt.
Bezwaar. Ben je het niet eens met een verwerking, neem dan contact op.
Stoppen. Stuur "stop" en de assistent zwijgt tot je "start" stuurt, of kies dat op je accountpagina. Je gegevens blijven dan staan.

Kom je er met ons niet uit, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Binnen welke termijn we antwoorden, wordt nog vastgesteld. Wat Meta, Anthropic en TypeSafe zelf bewaren, kunnen wij niet wissen.

Beveiliging

De gegevens van elk huishouden zijn in de database van elkaar gescheiden.
Berichttekst komt niet in onze logboeken.
De verbindingen van onze server met de bedrijven hierboven en met jou via de site zijn versleuteld (https).

Wat er nog niet is: de berichten in de database zijn zelf niet versleuteld opgeslagen, en versleutelde back-ups zijn er nog niet. Beide komen later.

Testversie en veranderingen

MLA zit in de testfase en deze tekst is een eerste opzet. Alleen mensen die zijn uitgenodigd doen mee. Voordat er andere huishoudens meedoen, laten we de tekst nakijken. Verandert er iets wezenlijks, dan laten we het de deelnemers weten en krijgt deze pagina een nieuwe datum.

De voorwaarden staan op de pagina Voorwaarden.

Stand van 13 november 2026. Testversie.