Waar je op let bij een voedingsapp die je privacy respecteert
Een checklist voor elke gezondheidsapp: wie betaalt ervoor, wat verzamelt hij, waar staan de gegevens en krijg je ze terug. Met eerlijke antwoorden voor GreaseFit, ook de ongemakkelijke.
Ik bouw zelf een voedingstracker, dus lees dit met dat in het achterhoofd. De checklist hieronder werkt op elke gezondheidsapp, en ik heb geprobeerd hem zo te schrijven dat hij bruikbaar blijft als je iets anders kiest dan het mijne. Waar GreaseFit een vraag slecht beantwoordt, heb ik dat opgeschreven. Een koopgids die zijn eigen auteur een tien geeft, is geen koopgids.
Voedingslogboeken zijn ongewoon onthullend. Ze weten wanneer je eet, hoeveel, of je drinkt, of je in februari drie weken bent gestopt met loggen. Een gewichtsgeschiedenis daarbovenop is een medisch dossier in alles behalve de naam. Tien minuten huiswerk is dat waard.
Wie betaalt ervoor?
Dit is de eerste vraag, want hij vertelt je wie de klant is. Is een app gratis, toont hij geen advertenties en verkoopt hij niets, dan komt het geld ergens vandaan, en dat ergens ben meestal jij, in een vorm waar je nooit expliciet mee akkoord bent gegaan.
Zoek naar een duidelijk antwoord: een abonnement, een eenmalige aankoop, een donatiemodel of advertenties. Vaagheid op dit punt is het waarschuwingssignaal.
GreaseFit: de gratis laag is de hele tracker. Barcodes scannen, eigen voedingsmiddelen, recepten die je met de hand bouwt, workouts, water, gewicht en elke voedingsstof die de app bijhoudt zijn gratis. Er is een betaalde laag die GreaseFit Supporter heet, per week of per jaar. Die verandert twee dingen: de AI-quota gaat van vijf naar vijfentwintig credits per dag, en de AI-receptscan komt vrij, die een receptpagina uitleest en het recept plus alle voedingsmiddelen voor je aanmaakt. Die scan is de duurste aanroep die de app doet, en dat is de eerlijke reden dat hij niet gratis is. Elk nieuw account krijgt dertig dagen om hem te gebruiken. Verder zit er niets achter de paywall. De mensen die voor Supporter betalen, financieren de app voor iedereen.
De eerlijke voetnoot: dat is een klein verdienmodel, en dat mag je meewegen als je inschat hoe lang een onafhankelijke app blijft bestaan. Meer over wie hem bouwt staat op de over-pagina.
Zit er een advertentie-SDK in de build?
Dit is niet dezelfde vraag als "krijg ik advertenties te zien". Een advertentie-SDK kan in een app zitten en identifiers verzamelen zonder ooit een banner te tonen. Het verklikkertje is het privacylabel in de store. Staat daar reclame, tracking of "aan jou gekoppelde gegevens" voor marketing, dan zit er een SDK in, hoe de interface er ook uitziet.
Vraag specifiek of de app je advertentie-ID verzamelt, de IDFA op iOS of het Android-equivalent. Dat is de identifier waarmee een voedingslogboek aan de rest van je online leven geknoopt kan worden.
GreaseFit: geen advertenties en geen advertentie-SDK's, en het verzamelen van de advertentie-ID staat expliciet uit in de analytics-configuratie. Van buitenaf kun je dat niet controleren, en juist daarom telt het algemene advies hierboven zwaarder dan mijn woord.
Welke analytics worden verzameld, en kun je ze uitzetten?
Geen advertenties betekent niet geen telemetrie. Bijna elke app meet iets. De nuttige vragen zijn wat, waarom, en of er een echte opt-out in de app zelf zit in plaats van een link naar een instelling van je besturingssysteem.
GreaseFit: Firebase Analytics en Firebase Crashlytics zitten er allebei in. Crashlytics vertelt me wanneer er iets stukgaat en op welk toestel. Analytics vertelt me welke schermen mensen echt gebruiken, en zo bepaalt een eenmansproject wat er hierna gebouwd wordt. Het verzamelen van de advertentie-ID staat uit. Er zit een opt-out-schakelaar in je profiel, en die werkt.
Ik zou nul analytics kunnen claimen, en dat zou niet waar zijn. Het privacybeleid vermeldt ook dat deze diensten gegevens buiten de EU kunnen verwerken onder modelcontractbepalingen (Standard Contractual Clauses). Dat is een echte kanttekening, geen voetnoot om weg te moffelen.
Kun je je gegevens eruit krijgen?
Export is het verschil tussen een tracker en een gijzeling. Vraag welk formaat je krijgt, of het zelfbediening is of een verzoek per e-mail, en hoe lang zo'n verzoek duurt. Een app die vertrouwen heeft in zijn eigen product maakt weggaan niet moeilijk.
GreaseFit: er is vandaag geen exportknop met één klik. Onder de AVG (GDPR) kun je inzage in je gegevens aanvragen door support te mailen, en daar geef ik gehoor aan, maar een export die je zelf kunt draaien is een echt gat. Ik noem het liever dan dat je het onderweg naar buiten ontdekt.
De andere kant op is makkelijker: een Lose It-export importeer je in één upload, beschreven op de pagina met Lose It-alternatieven. Dat is de enige importfunctie die tot nu toe bestaat.
Kun je het echt verwijderen?
Verwijderen hoort het account plus de gegevens erachter te betekenen, niet het inlogscherm verbergen. Vraag of verwijderen in de app kan of dat er een e-mail voor nodig is, wat de termijn is, en wat er daarna nog bewaard blijft om juridische of administratieve redenen.
GreaseFit: het account verwijderen kan in de app. Je kunt ook per e-mail een wisverzoek sturen, en het privacybeleid belooft zonder onnodige vertraging te handelen en binnen 28 dagen, te verlengen met maximaal twee maanden bij complexe of herhaalde verzoeken. Verwijderen is onomkeerbaar.
Het punt dat het kopiëren waard is, is niet de termijn maar dat het in het beleid staat en niet in een blogpost. Houd elke app aan die standaard, deze ook.
Waar staan de gegevens, en onder welk recht?
De locatie van de hosting bepaalt welk recht geldt en wie toegang kan afdwingen. Zoek naar een genoemd land en het liefst een genoemde provider. "Beveiligde servers" betekent niets. Kijk ook of subverwerkers vermeld staan, want de analytics- en e-mailleveranciers horen bij het antwoord.
GreaseFit: het privacybeleid noemt het. Servers in Amsterdam, Nederland, bij DigitalOcean. Ik ben één ontwikkelaar in Amsterdam, dus de AVG is hier geen compliance-houding die is aangenomen voor de marketing. Het is de wet waaronder ik leef. De uitzondering is opnieuw Firebase, dat buiten de EU kan verwerken.
Onderweg is alles versleuteld volgens moderne standaarden. Sessies gebruiken ondertekende tokens met een korte levensduur, en wachtwoorden worden nooit leesbaar opgeslagen. Welke algoritmes en bibliotheken daarachter zitten publiceren we bewust niet.
Wat gebeurt er op het toestel zelf?
Het waard om te vragen, en het waard om wantrouwig te zijn over het antwoord, want "versleuteld in rust" is de meest misbruikte term in app-marketing.
GreaseFit: op Android krijgen lokaal gecachte inloggegevens een extra beschermingslaag van het platform. Dat geldt alleen voor Android. Ik ga het niet opblazen tot een algemene claim die elk toestel dekt, want aan de iOS-kant staat het equivalent er nog niet.
Nu we toch bot doen over beperkingen: GreaseFit vereist een account en een verbinding. Er is geen offlinemodus en geen lokale database, dus je logboek staat op de server en niet op je telefoon. Voor sommige mensen is dat een dealbreaker, en dat hoort ook zo. Wat de app wel en niet doet staat op de functiepagina.
Wat gebeurt er als het bedrijf wordt overgenomen?
Privacybeleid overleeft een overname ongeveer zoals ijs augustus overleeft. Vrijwel elk beleid bevat een clausule die toestaat dat gegevens meegaan bij een fusie of verkoop. Lees hem, ga ervan uit dat je hem vindt, en stel dan de nuttigere vraag: heeft deze app een verkoopbaar bezit dat uit jouw gegevens bestaat?
Een advertentiegefinancierde tracker met veel gebruikers heeft dat. Een abonnementsapp zonder advertentiebusiness veel minder.
GreaseFit: het is het project van één persoon, en er is hier geen advertentiebusiness om te verkopen. Maar niemand kan eerlijk iets beloven over een paar jaar verder, en wie dat wel doet moet je wantrouwen. De praktische bescherming is in elk geval dezelfde: je kunt het account verwijderen.
De verkorte checklist
Stel elke gezondheidsapp deze acht vragen:
- Wie betaalt ervoor, en wat verandert de betaalde laag daadwerkelijk?
- Noemt het privacylabel in de store reclame of tracking?
- Verzamelt de app je advertentie-ID?
- Welke analytics zijn er, en zit er een echte opt-out in de app zelf?
- Kun je je gegevens zelf exporteren, en in welk formaat?
- Kun je je account verwijderen, en staat de termijn ergens opgeschreven?
- Welk land host het, en welke subverwerkers worden genoemd?
- Wat zegt het beleid over een fusie of verkoop?
Kan een app zes daarvan niet beantwoorden vanaf zijn eigen website, dan is dat het antwoord.
Meer vragen van dit soort komen aan bod in de FAQ. Bevallen de antwoorden hierboven je, dan is een account aanmaken gratis.
