Privacybeleid

Wanneer je je registreert, slaan we via Supabase Auth je e-mailadres en een veilig gehasht wachtwoord op. Log je in plaats daarvan in met Google, dan vragen we Google alleen om je e-mailadres. Dat ontvangen we samen met de account-ID die Google voor jou gebruikt; Supabase Auth bewaart die, zodat het je herkent wanneer je de volgende keer met Google inlogt. Een Google-wachtwoord krijgen we nooit te zien. Bij accounts die vóór 27 september 2026 met Google hebben ingelogd, kunnen ook nog de naam en profielfoto zijn opgeslagen die Google destijds meestuurde; niets in de dienst leest of toont die, behalve je gegevensexport, en ze worden samen met je account verwijderd.

Als je de dienst gebruikt, slaan we het volgende op:

• Maaltijdregistraties — omschrijving, maaltijdtype, calorieën, macro's, vezels, totale suikers, toegevoegde suikers, alcohol in gram, cafeïne in milligram, notities en tijdstempels. Foto's van eten worden door je AI-assistent geïnterpreteerd en nooit naar ons geüpload of door ons opgeslagen.
• Waterregistraties — hoeveelheid, notities en tijdstempels.
• Gewichtsregistraties — gewicht, notities en tijdstempels. Dit zijn gezondheidsgegevens; ze worden precies zo behandeld als je overige registraties.
• Registraties van lichaamsmaten — welk lichaamsdeel is gemeten (taille, heupen, nek, borst, schouders, bovenarm, onderarm, dij of kuit), de waarde zoals je die invoerde en de eenheid ervan (cm of inch), notities en tijdstempels. Dit zijn gezondheidsgegevens; ze worden precies zo behandeld als je overige registraties.
• Doelen — je dagelijkse doelen voor calorieën, eiwit, koolhydraten, vet, vezels, suiker, toegevoegde suikers, alcohol, cafeïne en water, plus je streefgewicht. Telkens als ze veranderen, bewaren we ook een gedateerde kopie, zodat een eerdere dag kan worden vergeleken met de doelen die op die dag golden.
• Profielinstellingen — je IANA-tijdzone, je voorkeurseenheid voor gewicht, je voorkeurseenheid voor lengte bij lichaamsmaten, of alcoholregistratie aanstaat en in welk standaardglas alcohol wordt weergegeven, of widgets in de chat zijn ingeschakeld en in welke taal die widgets worden weergegeven.
• Synchronisatie met Apple Health — alleen als je die koppelt vanuit de opdracht Nutrition MCP Health op je iPhone: de koppeling (welke dagtotalen ze verstuurt, of water erbij zit, vanaf welke datum ze geldt, de tijdzone die je iPhone doorgaf en die alleen wordt gebruikt zolang je profiel er geen heeft, en wanneer ze is aangemaakt, voor het laatst gebruikt en voor het laatst gesynchroniseerd); voor elk van de laatste 8 dagen de totalen die al naar Apple Health zijn gestuurd en wanneer, zodat elke dag één keer wordt verstuurd en daarna alleen wordt aangevuld met wat erbij kwam; en, terwijl je koppelt, een openstaand koppelverzoek van maximaal 30 minuten. Alcohol wordt nooit verstuurd.
• Gebruikstelemetrie van tools — per aanroep van een MCP-tool: welke tool werd uitgevoerd, of de aanroep slaagde, hoe lang die duurde, een globale foutcategorie als die mislukte, het aantal dagen van een opgevraagde datumperiode, de MCP-sessie-ID, met welke revisie van het MCP-protocol je AI-app verbinding maakte, en de naam en versie die die app over zichzelf opgeeft (bijvoorbeeld “claude-ai/1.0”), als de app die meestuurt. Dit is gekoppeld aan je account-ID en bevat nooit de inhoud van je registraties.
• Runtimelog van de server — per verzoek aan de server: de methode, het pad, de antwoordstatus en de responstijd, je IP-adres zonder het laatste deel, en bij MCP-verzoeken de protocolrevisie en de naam en versie die je AI-app opgeeft. Bij elke toolaanroep legt het log ook de naam van de tool vast, of de aanroep slaagde, hoe lang die duurde en, als die mislukte, een korte referentiecode en de foutmelding. Die foutmelding kan een waarde herhalen die je AI-app heeft gestuurd, zoals een ongeldige datum. Wanneer je AI-app inlogt of de verbinding vernieuwt, legt het log de uitkomst vast, de willekeurige identificatiecode die je AI-app kreeg toen die zich bij onze inlogdienst registreerde, en de site waarnaar de app wilde worden teruggestuurd (bijvoorbeeld claude.ai). Dit wordt weggeschreven naar het runtimelog van onze hostingprovider, bevat je account-ID en e-mailadres niet en wordt maar kort bewaard: dat log is een doorlopende buffer die oudere regels overschrijft zodra er nieuw verkeer binnenkomt.

Alcohol valt ook onder gezondheidsgegevens, en is gevoeliger dan een caloriecijfer. Daarom werkt het anders dan al het bovenstaande. Alcoholregistratie staat standaard uit, en we leggen alcohol alleen vast als die van jou komt: een drankje dat je logt, of een kolom in een bestand dat je importeert. Niets in de dienst leidt het namens jou af. Zet je de instelling uit, dan gebeuren er twee dingen: de bulkimporter leest de alcoholkolom niet meer uit bestanden die je uploadt, en overal elders verdwijnt alcohol uit de maaltijden, doelen, voortgang en widgets die je te zien krijgt. Het is geen verwijderknop. Alcohol die je rechtstreeks logt, wordt nog steeds vastgelegd, of de instelling nu aan of uit staat; wat al is opgeslagen, blijft in de database staan; en alles verschijnt nog steeds in het maaltijdenbestand van elke export die je maakt. Wil je een alcoholcijfer echt verwijderen, verwijder dan de maaltijd waar het bij hoort, of verwijder je account.

We bewaren ook de OAuth-toegangstokens, refreshtokens en autorisatiecodes waarmee je AI-assistent verbonden blijft met je account; hoe lang elk daarvan geldig is, staat onder “Hoe lang we gegevens bewaren”. Ze worden alleen als eenrichtingshash opgeslagen. De synchronisatie met Apple Health heeft een eigen toegangstoken, dat we ook alleen als eenrichtingshash opslaan; de opdracht heeft het token zelf nodig voor haar verzoeken, dus de Opdrachten-app bewaart het in de eigen opslag van de opdracht op je iPhone, niet in een bestand, en synchroniseert het mogelijk naar je andere apparaten als je opdrachten via iCloud worden gesynchroniseerd. Wie die opdracht op je apparaten kan uitvoeren, kan de synchronisatie gebruiken tot je die ontkoppelt.

Je gegevens over maaltijden, water, gewicht, lichaamsmaten en doelen worden uitsluitend gebruikt om de dienst te leveren waarmee je je voeding bijhoudt, en in anonieme, geaggregeerde vorm voor de openbare statistieken op de startpagina. We verkopen ze nooit, delen ze nooit met derden en gebruiken ze nooit voor advertenties, en we voeren ze nooit in een advertentie- of profileringssysteem in. De synchronisatie met Apple Health, hieronder beschreven, verandert daar niets aan: dat is een overdracht die je zelf start, naar je eigen iPhone, en we sturen niets naar Apple.

De startpagina en de openbare statistiekenfeed daarachter tonen anonieme totalen voor de hele site — hoeveel maaltijden er zijn gelogd, met hun calorieën en macro's, hoeveel water er is gelogd en het netto gewichtsverlies van alle accounts samen — en de tijdzones die in profielen zijn ingesteld, die de startpagina als wereldkaart weergeeft. Een tijdzone verschijnt pas op de kaart als minstens drie profielen die gebruiken, en geen enkel getal is aan een persoon gekoppeld.

Als jij of je AI-assistent een barcode opzoekt, stuurt onze server alleen de cijfers van de barcode naar Open Food Facts — nooit je account, e-mailadres of registraties — en bewaart de productgegevens die terugkomen in een gedeelde cache die aan geen enkele gebruiker is gekoppeld.

Als je de synchronisatie met Apple Health koppelt, vraagt de opdracht op je iPhone onze server om de dagtotalen van je afgesloten dagen — calorieën, eiwit, koolhydraten, vet, vezels, cafeïne en, als je daarvoor koos, water — en schrijft die op die iPhone in Apple Health. Dat gebeurt op jouw verzoek en op jouw apparaat: onze server antwoordt alleen de opdracht en stuurt niets naar Apple. Zodra de totalen in Apple Health staan, worden ze daar bewaard en gedeeld volgens je eigen instellingen en je overeenkomst met Apple, niet de onze.

Er zijn wel twee vormen van analyse, en geen van beide komt aan de inhoud van je registraties:

• Website-analyse. Met je toestemming laden deze pagina's Google Analytics, dat ons geaggregeerde verkeersstatistieken geeft (paginaweergaven, verwijzende sites, globale herkomst, apparaattype), en Microsoft Clarity, dat vastlegt hoe bezoekers de site gebruiken (klikken, tikken, scrollen, muisbewegingen) in de vorm van sessie-opnames en heatmaps, zodat we zien waar de pagina's mensen in verwarring brengen. Geen van beide wordt geladen voordat je in de cookiebanner akkoord geeft. Weiger je, dan wordt geen van beide geladen, en stuurt je browser een Global Privacy Control-signaal, dan wordt geen van beide geladen tenzij je zelf via de voettekst toestemming geeft. Met je akkoord sta je alleen analyse-opslag toe: advertentie-opslag en Google Signals blijven uit. Google ontvangt bij elk verzoek je IP-adres, maar logt of bewaart het volgens Google niet voor bezoekers uit de EU, Zwitserland of het Verenigd Koninkrijk, en gebruikt het alleen om een globale locatie af te leiden. Clarity maskeert wat je in formulieren typt en ontvangt ook je IP-adres en browsergegevens. Op de inlogpagina draait geen van beide. Je kunt je toestemming altijd intrekken via ‘Cookie-instellingen’ in de voettekst; daarmee worden ook de analysecookies verwijderd die deze site heeft geplaatst. Je keuze wordt maximaal 6 maanden bewaard in de lokale opslag van je browser.
• Servertelemetrie. Elke aanroep van een MCP-tool schrijft één regel gebruikstelemetrie weg — welke tool werd uitgevoerd, of de aanroep slaagde, hoe lang die duurde, en via welke MCP-protocolrevisie en welke AI-app (met de naam en versie die die opgeeft) de aanroep werd gedaan — gekoppeld aan je account-ID, maar niet aan wat je hebt gelogd. We gebruiken dit om trage en defecte tools op te sporen. Het wordt met niemand gedeeld en samen met al het andere verwijderd wanneer je je account verwijdert.

Omdat de site lettertypen en iconen laadt via Google Fonts en jsDelivr, krijgen die aanbieders je IP-adres te zien wanneer je deze pagina's bezoekt. Het aantal GitHub-sterren van het project wordt door onze server opgehaald, niet door je browser, dus GitHub ziet je bezoek nooit.

Alle gegevens worden opgeslagen bij Supabase (PostgreSQL) in de EU, in de AWS-regio Ierland (eu-west-1). Authenticatie en exportopslag verzorgt Supabase in dezelfde regio. De server draait bij DigitalOcean in Frankfurt (Duitsland). Verzoeken aan de site en de server lopen via het netwerk van Cloudflare (dat onze hostingprovider gebruikt). Cloudflare ontsleutelt de verbinding en verwerkt daardoor onderweg alles wat naar en van de dienst wordt verstuurd, inclusief je IP-adres, en kan een strikt noodzakelijke cookie voor botbescherming plaatsen (__cf_bm, 30 minuten).

Je registraties van maaltijden, water, gewicht en lichaamsmaten, doelen en de geschiedenis van je doelwijzigingen, profielinstellingen en gebruikstelemetrie van tools worden bewaard zolang je account bestaat; geen daarvan heeft een eigen vervaldatum of een geplande opschoning. Verwijder je je account, dan wordt dit alles direct en onomkeerbaar verwijderd, zoals hieronder beschreven. Er blijven alleen deze sporen over: de telemetrieregel van de verwijdering zelf, die zonder je account-ID wordt vastgelegd; het hierboven beschreven kortlevende runtimelog van de server, dat nooit je account-ID bevat; de eigen operationele logs van onze databaseprovider, die een beperkte tijd worden bewaard (maximaal 7 dagen bij ons abonnement); en de doorlopende back-ups van die provider, die volgens een eigen schema vervallen.

Inloggegevens zijn bewust kortlevend. De sessie van de inlogpagina duurt 10 minuten en wordt in het geheugen van de server bewaard. Ze is aan je browser gekoppeld via een strikt noodzakelijke cookie die alleen een willekeurige waarde bevat, na diezelfde 10 minuten verloopt en wordt verwijderd zodra het inloggen is afgerond. Om je wachtwoord of je inlogpoging via Google te controleren, gebruiken we Supabase Auth, dat daarbij telkens een Supabase-inlogsessie aanmaakt; die sessie gebruiken we nooit en we beëindigen haar meteen. De eenmalige autorisatiecode die je AI-app krijgt, verloopt na 10 minuten en wordt verwijderd zodra hij is gebruikt. Een toegangstoken is 24 uur geldig (de paar tokens die tot en met 27 september 2026 zijn uitgegeven, verlopen uiterlijk op 6 oktober 2026); een refreshtoken is 90 dagen geldig en wordt verwijderd zodra het wordt gebruikt om een nieuw paar op te halen. Verlopen tokens en codes worden binnen een uur automatisch verwijderd. Als je je account verwijdert, worden ze allemaal direct verwijderd.

Ook de synchronisatie met Apple Health is in de tijd beperkt. De koppeling vervalt zodra ze 90 dagen niet is gebruikt, en in elk geval 365 dagen nadat je haar hebt gekoppeld; daarna moet de opdracht opnieuw worden gekoppeld. Het overzicht van wat is verstuurd, bevat alleen de laatste 8 dagen, en een koppelverzoek dat je niet afrondt, geldt 30 minuten. Verlopen koppelingen, overzichten en verzoeken worden binnen een uur automatisch verwijderd. Kies je in de opdracht voor Disconnect, dan worden de koppeling en haar overzicht direct verwijderd.

Exportarchieven zijn kortlevend. Elke nieuwe export overschrijft de vorige, en het bestand wordt automatisch verwijderd zodra de downloadlink van 60 minuten is verlopen. Er draait elke tien minuten een opschoning, dus een archief blijft normaal gesproken niet langer dan ongeveer 70 minuten bewaard.

Je kunt je account en alle bijbehorende gegevens op elk moment verwijderen door je AI-assistent, terwijl die met de Nutrition MCP-server verbonden is, te vragen je account te verwijderen. Dat gebeurt direct en is onomkeerbaar. Daarmee verdwijnen je registraties van maaltijden, water, gewicht en lichaamsmaten, doelen en de geschiedenis van je doelwijzigingen, profielinstellingen, een eventueel nog opgeslagen exportarchief, je gebruikstelemetrie van tools, je toegangstokens, je koppeling voor de synchronisatie met Apple Health met het overzicht van wat is verstuurd, en het account zelf. Ook elk alcoholcijfer dat je ooit hebt gelogd, verdwijnt, of alcoholregistratie nu aanstond of niet. Totalen die de opdracht al in Apple Health heeft geschreven, staan op je iPhone, niet op onze servers; ze blijven daar tot je ze in de app Gezondheid verwijdert.

Nutrition MCP wordt beheerd door Anton Kutishevskyi, een individuele ontwikkelaar, die voor deze dienst de verwerkingsverantwoordelijke is voor je persoonsgegevens. Voor alle vragen over je gegevens of dit beleid kun je mailen naar anton@nutrition-mcp.com.

Op grond waarvan we je gegevens mogen verwerken:

• Je account en registraties — om de dienst te leveren waarvoor je een account hebt aangemaakt (uitvoering van een overeenkomst). Maaltijden, gewicht, lichaamsmaten en alcohol zijn gezondheidsgegevens; die verwerken we daarom op basis van je uitdrukkelijke toestemming. Die geef je wanneer je je account aanmaakt en telkens wanneer je inlogt (bij een app die al gekoppeld was voordat de inlogpagina om deze toestemming vroeg: door de registraties te loggen, tot je de volgende keer inlogt). Je kunt die toestemming op elk moment intrekken door de registraties of je account te verwijderen. De synchronisatie met Apple Health berust op dezelfde toestemming en werkt pas als je haar koppelt; door haar in de opdracht te ontkoppelen, trek je die toestemming voor de synchronisatie in.
• Gebruikstelemetrie van tools en het runtimelog van de server — ons gerechtvaardigd belang om de dienst werkend, snel en veilig te houden (defecte tools opsporen, misbruik tegengaan met snelheidslimieten). Geen van beide bevat de inhoud van je registraties.
• Website-analyse — je toestemming, die je geeft in de cookiebanner en op elk moment kunt intrekken via ‘Cookie-instellingen’ in de voettekst.

Je rechten, en hoe je ze uitoefent (voor de meeste hoef je niet eens te mailen):

• Inzage en overdraagbaarheid — vraag je AI-assistent om je gegevens te exporteren. Je krijgt een ZIP met CSV-bestanden met alles wat we over je bewaren: je registraties van maaltijden, water, gewicht en lichaamsmaten, je doelen en de geschiedenis van je doelwijzigingen, je instellingen, je accountgegevens (e-mailadres, inlogmethoden en inlogdatums, en een eventuele naam of foto die Google meestuurde), je gebruikstelemetrie van tools, de koppelingen waarmee je AI-apps en de synchronisatie met Apple Health ingelogd blijven (zonder de tokens zelf), en het overzicht van de dagtotalen die de afgelopen 8 dagen naar Apple Health zijn gestuurd. Niet inbegrepen zijn: de waarden die we om veiligheidsredenen alleen als eenrichtingshash bewaren (je wachtwoord en de tokens van je koppelingen), interne administratie zoals sleutels voor duplicaatdetectie, het runtimelog van de server, dat je account-ID niet bevat, en de eigen kortlevende logs en doorlopende back-ups van onze dienstverleners.
• Rectificatie — vraag je AI-assistent om een registratie van een maaltijd, water, gewicht of lichaamsmaat te corrigeren of te verwijderen, of om je doelen en instellingen aan te passen.
• Gegevenswissing — vraag je AI-assistent om je account te verwijderen; daarmee verdwijnt alles in één keer.
• Bezwaar en beperking van de verwerking — stuur ons een e-mail.
• Klacht — je kunt een klacht indienen bij de toezichthoudende autoriteit voor gegevensbescherming in het land waar je woont of werkt. We stellen het wel op prijs als we het probleem eerst zelf mogen oplossen.

Alles wat we opslaan, blijft in de hierboven genoemde EU-regio. Wat je AI-assistent via de tools leest, gaat naar de aanbieder van die assistent, die buiten de EU gevestigd kan zijn; dat valt onder je eigen overeenkomst met die aanbieder, niet onder de onze. Cloudflare (het netwerk waar elk verzoek doorheen gaat), Google en Microsoft (website-analyse, Google Sign-In) en Google en jsDelivr (de hierboven beschreven verzoeken voor lettertypen en iconen) zitten eveneens buiten de EU; waar zij persoonsgegevens van buiten de EU ontvangen, baseren ze zich op de standaardcontractbepalingen van de Europese Commissie of op het EU-VS-kader inzake gegevensbescherming (EU–US Data Privacy Framework). De synchronisatie met Apple Health voegt geen doorgifte van onze kant toe: de totalen gaan van onze server naar de opdracht op je iPhone, en wat Apple Health er daarna mee doet, hangt af van je eigen instellingen bij Apple.

De dienst is niet bedoeld voor mensen onder de 16, en volgens de Gebruiksvoorwaarden moet je minstens 16 jaar zijn. Denk je dat iemand die jonger is een account heeft aangemaakt, mail ons dan, dan verwijderen we dat account.

Als dit beleid verandert, verandert de datum bovenaan mee.

Op het gebruik van de dienst zijn ook onze Gebruiksvoorwaarden van toepassing. Die gaan over toegestaan gebruik, het feit dat niets hier medisch advies is, en het ontbreken van enige garantie: de dienst wordt gratis en in de huidige staat aangeboden, zonder garanties voor beschikbaarheid, nauwkeurigheid of geschiktheid voor enig doel.