Privacyverklaring SPREQ

Versie 1.0, geldig vanaf 14 augustus 2026.

SPREQ is gebouwd om zo weinig mogelijk over je te weten. In deze verklaring staat precies wat wij wel verwerken, waarom, hoe lang en met wie wij het delen.

1. Wie is verantwoordelijk

Netron ICT, Virulyweg 43 B, 7602 RG Almelo, KVK 93536399.

Privacyvragen en verzoeken: privacy@spreq.nl

Wij hebben geen functionaris gegevensbescherming aangesteld. Groeit SPREQ door, dan doen wij dat alsnog en melden wij dat hier.

2. Het korte antwoord

• Wij kunnen je berichten en gesprekken niet lezen of meeluisteren. Ze zijn end-to-end versleuteld en wij hebben geen hoofdsleutel.
• Wij bewaren geen gespreksgeschiedenis. Die staat alleen op je toestel.
• Berichten en bestanden die nog niet zijn afgeleverd, staan versleuteld op onze server en worden direct verwijderd zodra ze zijn opgehaald. Wordt er niets opgehaald, dan verwijderen wij ze uiterlijk na 72 uur.
• Wij verkopen je gegevens niet en gebruiken de inhoud van je gesprekken nooit voor advertenties.
• Onze servers staan binnen de Europese Economische Ruimte, primair in Nederland, met uitwijk- en failoverservers elders in de EU.

3. Wat wij verwerken

3.1 Accountgegevens

Wat. Gebruikersnaam, e-mailadres, voornaam en achternaam, en optioneel een telefoonnummer. Verder de aanmaakdatum, toestel- en app-versie, een intern account-ID en een toestel-ID per apparaat waarop je bent ingelogd. Bij registratie leggen wij ook het IP-adres vast, plus het moment waarop je bevestigde 16 jaar of ouder te zijn en welke versie van de voorwaarden je accepteerde.

Waarom. Om een account te kunnen maken en de dienst te leveren.

Grondslag. Uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG).

Bewaartermijn. Zolang je account bestaat, daarna maximaal 30 dagen.

3.2 Profielen

Wat. Per profiel de naam, profielfoto, type (Privé, Zakelijk, Business Verified), instellingen en abonnementsstatus. Ook de koppeling tussen de profielen onder hetzelfde account.

Waarom. Om meerdere identiteiten in één app mogelijk te maken.

Grondslag. Uitvoering van de overeenkomst.

Bewaartermijn. Zolang het profiel bestaat, daarna maximaal 30 dagen.

3.3 Inloggen en e-mailverificatie

Wat. Je e-mailadres en een eenmalige code van zes cijfers, verstuurd per e-mail via onze e-mailprovider. De code slaan wij alleen versleuteld op en hij is tien minuten geldig. Daarnaast leggen wij mislukte inlogpogingen en beveiligingsgebeurtenissen vast met IP-adres en browser- of app-informatie.

Waarom. Om te controleren dat het e-mailadres van jou is, om in te loggen en om misbruik tegen te gaan.

Grondslag. Uitvoering van de overeenkomst en gerechtvaardigd belang (beveiliging).

Bewaartermijn. Codes en inlogpogingen maximaal 30 dagen, daarna automatisch verwijderd. Het IP-adres van je registratie verwijderen wij na 30 dagen.

3.4 Berichten

Wat. Berichten die nog niet zijn afgeleverd. Deze zijn end-to-end versleuteld: wij zien alleen een object-ID, de omvang, het tijdstip en de vervaltijd. Wij hebben geen sleutel en kunnen de inhoud niet lezen. Onze server weigert onversleutelde berichten.

Waarom. Om berichten af te kunnen leveren.

Grondslag. Uitvoering van de overeenkomst.

Bewaartermijn. Maximaal 72 uur op de server, en direct verwijderd zodra het bericht op alle toestellen van de ontvanger is aangekomen.

3.4a Foto's, video's, spraakberichten en documenten

Wat. Bijlagen die je verstuurt, opgeslagen onder een willekeurige bestandsnaam zonder je oorspronkelijke bestandsnaam.

Waarom. Om bijlagen te kunnen afleveren, ook wanneer de ontvanger pas later online komt.

Grondslag. Uitvoering van de overeenkomst.

Bewaartermijn. Maximaal 72 uur op de server, en direct verwijderd zodra de bijlage is opgehaald. Wij wachten dus niet de volledige 72 uur af: is de bijlage afgeleverd, dan wissen wij hem meteen. Profielfoto's blijven staan zolang het profiel bestaat.

3.5 Afleveringsgegevens (metadata)

Wat. Welk profiel op welk moment een bericht klaarzette voor welk ontvangend profiel, en of het is afgeleverd.

Waarom. Dit is technisch nodig om een bericht te bezorgen.

Grondslag. Uitvoering van de overeenkomst.

Bewaartermijn. Wij verwijderen deze gegevens zodra de aflevering is afgerond, en uiterlijk na 72 uur. Wij houden geen langdurig logboek bij van wie met wie communiceert.

3.6 Bellen en videobellen

Wat. Als je belt of videobelt, beschikbaar vanaf het Plus-abonnement, verwerken wij tijdens het gesprek de verbindingsgegevens die nodig zijn om de verbinding op te zetten: de betrokken profielen, het tijdstip en technische signaleringsgegevens zoals de IP-adressen van de toestellen. Het gesprek zelf is end-to-end versleuteld. Waar mogelijk loopt het rechtstreeks tussen de toestellen. Lukt dat niet, dan loopt het versleuteld via onze relayserver.

Waarom. Om een gesprek tot stand te brengen en af te leveren.

Grondslag. Uitvoering van de overeenkomst.

Bewaartermijn. Wij nemen gesprekken niet op en kunnen niet meeluisteren. Wij bewaren geen gespreksinhoud en houden geen belgeschiedenis op de server bij. De technische verbindingsgegevens verwerken wij alleen tijdens het gesprek en bewaren wij daarna niet.

Je kunt zelf instellen wie je mag bellen. Standaard staat dit op "alleen vrienden". Die keuze bewaren wij bij je profiel.

3.7 Technische en beveiligingslogs

Wat. IP-adressen, tijdstippen, mislukte inlogpogingen, rate limits, foutmeldingen.

Waarom. Om de dienst veilig en stabiel te houden en misbruik te bestrijden.

Grondslag. Gerechtvaardigd belang (artikel 6 lid 1 sub f AVG) en onze beveiligingsplicht.

Bewaartermijn. Maximaal 30 dagen, tenzij een concreet misbruikonderzoek langer bewaren noodzakelijk maakt. In dat geval maximaal 6 maanden.

3.8 Abonnements- en betaalgegevens

Wat. Welk abonnement je hebt, start- en einddatum, transactie-ID van de app store. Bij facturatie ook bedrijfsnaam, adres en btw-nummer.

Waarom. Om je abonnement te leveren en administratie te voeren.

Grondslag. Uitvoering van de overeenkomst en wettelijke plicht.

Bewaartermijn. Administratie 7 jaar op grond van de fiscale bewaarplicht.

Wij ontvangen geen creditcard- of bankgegevens van je uit de app store.

3.9 Business Verified-gegevens

Wat. Bedrijfsnaam, KVK-nummer, adres, telefoonnummer, domeinnaam, contactpersoon, bewijs van tekenbevoegdheid, verificatiedatum en uitkomst.

Waarom. Om de identiteit van het bedrijf te controleren en de badge te kunnen verlenen.

Grondslag. Uitvoering van de overeenkomst en gerechtvaardigd belang bij het tegengaan van misleiding.

Bewaartermijn. Zolang de status actief is, daarna 2 jaar om bij een geschil te kunnen aantonen wat wij hebben gecontroleerd.

Een Business Verified-profiel is doorzoekbaar op bedrijfsnaam en op het opgegeven zakelijke telefoonnummer. Dat is de kern van de dienst. Bij eenmanszaken kunnen bedrijfsgegevens ook persoonsgegevens zijn. Wil je niet zoekbaar zijn, kies dan het Zakelijk-abonnement in plaats van Business Verified.

3.10 Contacten

Wat. Als je een contactkaart deelt in een gesprek, vraagt de app eenmalig toegang tot je adresboek. Alleen het contact dat je zelf uitkiest gaat mee, als onderdeel van je bericht.

Waarom. Om een contactkaart te kunnen versturen.

Grondslag. Toestemming (artikel 6 lid 1 sub a AVG).

Bewaartermijn. Wij lezen je adresboek niet uit en slaan het niet op. Het gekozen contact zit in het bericht en volgt de bewaartermijn daarvan.

Geef je geen toestemming, dan kun je SPREQ gewoon gebruiken. Je voegt contacten dan handmatig toe.

3.11 Locatie

Wat. Als je je locatie deelt in een gesprek, vraagt de app eenmalig toegang tot je locatie. Alleen de locatie die je op dat moment zelf verstuurt gaat mee, als onderdeel van je bericht.

Waarom. Om een locatie te kunnen versturen in een gesprek.

Grondslag. Toestemming (artikel 6 lid 1 sub a AVG).

Bewaartermijn. Wij volgen je niet en bewaren geen locatiegeschiedenis. De verstuurde locatie zit in het bericht en volgt de bewaartermijn daarvan.

Geef je geen toestemming, dan kun je SPREQ gewoon gebruiken. Je verstuurt dan geen locatie.

3.12 Advertenties

Wat. Op Gratis-profielen tonen wij één advertentiekaartje tussen de chats. De getoonde advertentie wordt willekeurig gekozen. Wij verwerken hiervoor geen persoonsgegevens: een advertentie wordt niet afgestemd op wie je bent, wat je chat, je locatie of je gedrag. Het enige wat wij meten zijn geanonimiseerde totalen per advertentie: hoe vaak die is vertoond, hoe vaak erop is geklikt en de doorklikratio. Wij houden niet bij wie iets heeft gezien of aangeklikt.

Waarom. Om de gratis dienst te bekostigen met niet-gepersonaliseerde advertenties.

Grondslag. Gerechtvaardigd belang (artikel 6 lid 1 sub f AVG) bij het financieren van de gratis dienst. Omdat er geen advertentie-ID, cookies of trackers worden geplaatst of uitgelezen, is hiervoor geen toestemming nodig en tonen wij geen cookiebanner.

Bewaartermijn. Wij bewaren alleen geanonimiseerde totalen per advertentie (vertoningen, kliks, doorklikratio). Daar zitten geen persoonsgegevens bij.

Delen met de adverteerder. Deze geanonimiseerde totalen delen wij met de adverteerder van de betreffende advertentie, zodat die weet hoe de advertentie het doet. Wij delen nooit wie een advertentie heeft gezien of aangeklikt.

Alle advertenties worden door SPREQ zelf gehost. Er is geen advertentienetwerk. Behalve de geanonimiseerde totalen hierboven gaat er geen enkel gegeven naar externe partijen, en zeker geen persoonsgegevens. Wij gebruiken nooit de inhoud van gesprekken, je contacten of je bestanden voor advertenties. Advertenties zijn niet weg te klikken; bij het Gratis-pakket horen ze erbij. Betaalde pakketten zijn volledig advertentievrij.

3.13 Pushmeldingen

Wat. Een pushtoken per toestel, en de gebruikersnaam van de afzender en ontvanger die met de melding meegaat.

Waarom. Om je te laten weten dat er een bericht klaarstaat en om bij het aantikken het juiste gesprek te openen. De melding bevat geen berichtinhoud: omdat berichten end-to-end versleuteld zijn, kan onze server die inhoud niet lezen en dus ook niet meesturen.

Grondslag. Uitvoering van de overeenkomst.

Bewaartermijn. Zolang het profiel actief is. Van toestellen die 90 dagen niet zijn gebruikt verwijderen wij het pushtoken.

3.14 Meldingen en misbruik

Wat. Wat er is gemeld, tegen wie, wanneer, de beoordeling en de genomen maatregel. Als je bij een melding kiest om berichten mee te sturen, ontvangen wij daarnaast de laatste 5 ontvangen berichten van de gemelde gebruiker uit dat gesprek. Van bijlagen ontvangen wij alleen een technische vingerafdruk en het bestandstype, niet het bestand zelf.

Waarom. Om illegale inhoud en misbruik aan te pakken. Dit is verplicht op grond van de Digital Services Act.

Grondslag. Wettelijke verplichting en gerechtvaardigd belang.

Bewaartermijn. 1 jaar na afronding, of langer als een procedure loopt.

3.15 Contact met support

Wat. Je bericht en contactgegevens.

Grondslag. Gerechtvaardigd belang.

Bewaartermijn. 2 jaar na afhandeling.

3.16 Naamreserveringen

Wat. Als je vóór de lancering een naam reserveert: je naam, je e-mailadres, de gekozen gebruikersnaam of bedrijfsnaam en je IP-adres.

Waarom. Om de gekozen naam voor je vast te leggen tot de lancering en om contact met je op te nemen wanneer je je registratie moet afronden. Het IP-adres gebruiken wij om misbruik van het reserveringsformulier tegen te gaan.

Grondslag. Uitvoering van de overeenkomst op jouw verzoek (artikel 6 lid 1 sub b AVG) voor de reservering, en gerechtvaardigd belang (artikel 6 lid 1 sub f AVG) bij misbruikbestrijding voor het IP-adres.

Bewaartermijn. Tot uiterlijk 7 dagen na de lancering. Rond je je registratie niet af, dan verwijderen wij de reservering en de bijbehorende gegevens.

4. Wat wij niet doen

• Wij lezen je berichten niet mee en kunnen dat technisch niet. De enige uitzondering is wanneer een gebruiker zelf berichten meestuurt bij een melding. Die berichten worden op zijn eigen toestel ontsleuteld en door hem geüpload. Wij breken geen encryptie.
• Wij scannen de inhoud van gesprekken niet, ook niet op illegale inhoud.
• Wij verkopen of verhuren persoonsgegevens niet.
• Wij bouwen geen profielen op basis van je gedrag in gesprekken.
• Wij gebruiken geen advertentienetwerk en geen advertentietrackers. Advertenties worden willekeurig getoond en niet afgestemd op je gedrag. Met de adverteerder delen wij alleen geanonimiseerde totalen (vertoningen, kliks, doorklikratio), geen persoonsgegevens.
• Wij maken geen gespreksback-ups.

5. Met wie wij gegevens delen

Wij schakelen alleen partijen in die wij nodig hebben om de dienst te leveren. Met elk van hen is een verwerkersovereenkomst gesloten.

Wij delen ook gegevens als wij daartoe wettelijk verplicht zijn. Zie artikel 8.

Een actueel overzicht van subverwerkers staat op spreq.nl/subverwerkers. Wijzigingen kondigen wij daar minimaal 30 dagen vooraf aan.

6. Doorgifte buiten de EER

Voor pushmeldingen en app store betalingen werken wij met Apple en Google. Daarbij kan doorgifte naar de Verenigde Staten plaatsvinden. Dat gebeurt op basis van de standaardcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-US Data Privacy Framework.

De inhoud van je berichten gaat nooit onversleuteld door. Pushmeldingen bevatten geen berichtinhoud vanaf onze server.

Voor alle andere verwerkingen blijven je gegevens binnen de EER.

7. Beveiliging

Wij nemen onder meer de volgende maatregelen:

• end-to-end versleuteling van berichten, bestanden en gesprekken
• versleutelde lokale database op je toestel
• versleuteld transport (TLS) tussen app en server
• versleutelde opslag van tijdelijke objecten op de server
• toegangsbeperking en tweefactorauthenticatie voor medewerkers
• logging van beheerhandelingen
• geen enkele beheerfunctie waarmee gespreksinhoud te bekijken is
• periodieke penetratietests en securityreviews
• scheiding tussen tijdelijke berichtopslag en overige databases

Ontdek je een kwetsbaarheid, meld die dan via security@spreq.nl.

8. Verzoeken van politie, justitie en autoriteiten

Wij werken mee aan verzoeken die op een geldige juridische grondslag berusten. Wij kunnen alleen gegevens verstrekken die wij op dat moment feitelijk hebben. Dat is nooit de inhoud van gesprekken.

Elk verzoek wordt beoordeeld en vastgelegd in een apart auditlog. Hoe wij dit doen, staat in ons beleid Verzoeken van politie, justitie en autoriteiten op spreq.nl/wettelijke-verzoeken.

9. Je rechten

Je hebt recht op:

• inzage in de gegevens die wij van je hebben
• correctie van onjuiste gegevens
• verwijdering van je gegevens
• beperking van de verwerking
• bezwaar tegen verwerking op basis van gerechtvaardigd belang
• overdraagbaarheid van gegevens die je zelf hebt aangeleverd
• intrekking van gegeven toestemming, op elk moment

Stuur je verzoek naar privacy@spreq.nl. Wij reageren binnen één maand. Wij kunnen om aanvullende verificatie vragen, bijvoorbeeld een bevestiging vanuit je account in de app.

Twee dingen kunnen wij niet:

• wij kunnen je geen kopie van je gesprekken geven, want die hebben wij niet
• wij kunnen berichten niet verwijderen van het toestel van je gesprekspartner

Je kunt je account zelf verwijderen in de app onder Instellingen.

10. Klachten

Ben je het niet eens met hoe wij met je gegevens omgaan, laat het ons weten via privacy@spreq.nl. Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl.

11. Leeftijd

SPREQ is bedoeld voor gebruikers van 16 jaar en ouder. Wij richten ons niet op kinderen. Ontdekken wij dat een account van iemand jonger dan 16 is, dan verwijderen wij het.

12. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. De actuele versie staat altijd op spreq.nl/privacy. Bij belangrijke wijzigingen informeren wij je in de app of per e-mail.