Privacyverklaring

1. Verwerkingsverantwoordelijke

Vulpes Sagax UG (haftungsbeschränkt), vertegenwoordigd door de bestuurder Korbinian Hermann, Alburger Hauptstraße 57, 94315 Straubing, Duitsland.
E-mail: korbi@vulpessagax.com

2. Hosting & inloggen

De dienst is bereikbaar op sudokusagax.com. De server waarop hij draait, staat in een datacenter van IONOS SE (Elgendorfer Straße 57, 56410 Montabaur, Duitsland) in Berlijn. De domeinen en de mailbox voor e-mails aan ons worden beheerd door netcup GmbH (Emmy-Noether-Straße 10, 76131 Karlsruhe, Duitsland). Het inloggen regelen we zelf. Je hebt daarvoor twee mogelijkheden: je Google-account of Inloggen met Apple. In beide gevallen controleren we het bewijs dat de betreffende dienst daarvoor afgeeft, en maken we een account bij ons aan. De dienst die je kiest, komt daarbij te weten dat je hier inlogt: bij Google is dat Google LLC (VS), bij Apple Apple Distribution International Ltd. (Ierland). Van Google ontvangen we een ID en je e-mailadres, maar niet je naam. Je weergavenaam wordt bij het aanmaken van je account willekeurig gegenereerd (bijvoorbeeld ‘Fuchs-3fa2c1’), en je kunt hem altijd wijzigen. Van Apple ontvangen we een ID en, als je daarmee instemt, je e-mailadres. Je naam stuurt Apple alleen mee bij de allereerste keer inloggen, daarna niet meer. Die naam gebruiken we niet. Apple biedt je bovendien aan je adres te verbergen (‘Verberg mijn e-mailadres’). Kies je daarvoor, dan ontvangen we in plaats van je echte adres een doorstuuradres op privaterelay.appleid.com; post naar dit adres stuurt Apple naar je door, en je echte adres komen we niet te weten. Bij geen van beide manieren slaan we het adres zelf op, alleen een vingerafdruk ervan (zie punt 3). Log je later in via de andere dienst, dan leidt dat doorgaans tot hetzelfde account en niet tot een tweede. Dat veronderstelt dat beide diensten ons hetzelfde adres doorgeven: verberg je het bij Apple of krijgen we daarvandaan helemaal geen adres, dan kunnen we het verband niet herkennen, en ontstaat er een tweede account. De manier kies je zelf actief, en die is nodig om je account te kunnen aanmaken (art. 6, lid 1, onder b, AVG); wat Google of Apple daarbij zelf verwerken, staat in hun privacyverklaringen. Na het inloggen plaatsen we een eigen sessiecookie (__Host-sagax_sitzung), zodat je ingelogd blijft; die bevat een willekeurige ID en verder niets. Accounts die vroeger via de IEX-Labs Auth-Hub zijn aangemaakt, blijven bij ons bestaan; voor het inloggen wordt de Hub niet meer gebruikt. Er worden geen advertenties en geen trackingdiensten gebruikt; lettertypen worden lokaal geleverd (geen verbinding met Google Fonts of iets dergelijks).

2b. De app uit de stores

De app krijg je via de App Store van Apple of via Google Play. Voor het downloaden, de installatie en de beoordelingen in de stores zijn Apple en Google zelf verantwoordelijk; daarvoor gelden hun privacyverklaringen. In de app zelf geldt deze verklaring. Vraagt de app je om een beoordeling, dan opent ze daarvoor het beoordelingsvenster van het systeem van Apple of Google. Of het verschijnt, beslist het systeem, en we komen niet te weten of en hoe je beoordeelt.

3. Welke gegevens we verwerken

• Identiteit/account: we slaan een account-ID op, de ID van je inlogmethode bij Google of Apple (als beide methoden naar hetzelfde account leiden, ook allebei), een lokaal wijzigbare weergavenaam en, als je er een uploadt, je profielfoto. Daarnaast per ingelogd apparaat een sessie (willekeurige ID, tijdstip, verloopdatum). Geen wachtwoorden en geen e-mailadressen in leesbare vorm. Bij accounts uit de tijd van de IEX-Labs Auth-Hub staat als ID nog de gebruikers-ID daarvan.
• Vingerafdruk van je e-mailadres: onze eigen inlogfunctie is in gebruik (je account hangt dus niet meer af van een externe dienst). Zodat je voortgang bij de overstap niet verloren ging en zodat we je bij opnieuw inloggen aan hetzelfde account kunnen koppelen, slaan we bij je account een vingerafdruk (hashwaarde) van je e-mailadres op. Het adres zelf slaan we niet op. De vingerafdruk wordt gemaakt met een opzettelijk traag procedé (scrypt) en een willekeurige waarde die alleen in onze database bestaat; hij is in de praktijk niet terug te rekenen en past ook bij geen enkele vingerafdruk uit een andere database. Hij dient uitsluitend om je bij de latere overstap te herkennen: log je dan met hetzelfde adres in, dan krijg je je voortgang zonder iets te hoeven doen. We kunnen je er niet mee aanschrijven. De rechtsgrond is ons gerechtvaardigd belang dat niemand zijn spelvoortgang verliest (art. 6, lid 1, onder f, AVG). Is de overstap afgerond, dan verwijderen we de vingerafdruk, uiterlijk op 31 december 2027.
• Spelgegevens: voortgang, beste tijden, punten, sterren, resultaten van de dagelijkse uitdaging en van een seizoen, lopende spellen.
• Spelen per platform: los je met een account een puzzel op, dan noteren we voor die dag je account-ID, de datum en of je in de browser, in de iOS-app of in de Android-app hebt gespeeld. We bekijken dit alleen als totaal, bijvoorbeeld hoeveel mensen op een dag in de app hebben gespeeld; losse vermeldingen geven we niet af en laten we aan niemand zien. De rechtsgrond is ons gerechtvaardigd belang om te weten op welke platforms het spel wordt gebruikt, zodat we werk en kosten goed verdelen (art. 6, lid 1, onder f, AVG). De vermeldingen worden na 90 dagen verwijderd, en meteen samen met je spelgegevens of je account.
• Zichtbaar voor anderen: je weergavenaam, je profielfoto, je vossenrang en je punten verschijnen in de ranglijsten, bij duels en in de ranglijst van een seizoen en zijn daar zichtbaar voor alle andere spelers. Ranglijsten horen bij het spel (art. 6, lid 1, onder b, AVG). Je account-ID, je inlogmethode en de vingerafdruk van je adres ziet niemand behalve wij.
• Feedback (fout of idee melden): stuur je ons een bericht, dan slaan we het soort (fout of idee), je tekst, de versie van de app, het tijdstip en je account-ID op, zodat we je verzoek kunnen behandelen en de fout kunnen vinden. De tekst sturen we daarnaast per e-mail door naar onszelf, samen met je weergavenaam, maar zonder je account-ID en zonder je e-mailadres. Voor deze verzending gebruiken we Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankrijk) als verwerker op grond van art. 28 AVG; Brevo is gevestigd in de EU en verwerkt de gegevens naar eigen zeggen op servers in de EU. Schrijf in het bericht alsjeblieft alleen wat we voor je verzoek moeten weten. De rechtsgrond is ons gerechtvaardigd belang om fouten op te lossen en vragen te beantwoorden (art. 6, lid 1, onder f, AVG). De feedback wordt samen met je account verwijderd.
• Meldingen en blokkeringen: meld je een profiel, bijvoorbeeld vanwege een aanstootgevende naam of afbeelding, dan slaan we op wie wie heeft gemeld, de opgegeven reden en het tijdstip, zodat we de zaak kunnen beoordelen. Blokkeer je iemand, dan slaan we op wie je hebt geblokkeerd; dat geldt alleen voor je eigen weergave. De gemelde of geblokkeerde persoon komt niet te weten door wie. De rechtsgrond is ons gerechtvaardigd belang bij een veilige en respectvolle omgang in het spel (art. 6, lid 1, onder f, AVG). Wordt een van beide accounts verwijderd, dan verdwijnen ook de meldingen en blokkeringen tussen hen.
• Uitnodigingen: gegenereerde uitnodigingscodes en het gebruik ervan.
• Herinnering aan je reeks (push, vrijwillig): schakel je de dagelijkse herinnering aan je dagreeks in, dan slaan we het door de browser verstrekte push-eindpunt op, samen met de bijbehorende versleutelingssleutels, je account-ID, je taal en je tijdzoneverschil, om je op het juiste tijdstip een melding te sturen (art. 6, lid 1, onder a, AVG, toestemming). Daarnaast noteren we wanneer de laatste herinnering is verstuurd en wanneer je deze hebt ingesteld. De melding loopt technisch via de pushdienst van de maker van je browser, afhankelijk van het apparaat Google LLC, Mozilla, Apple of Microsoft; alle vier zijn gevestigd in de VS. Deze dienst kiezen we niet zelf, die wordt door je browser bepaald, en we hebben er geen eigen overeenkomst mee. De doorgifte berust daarom op je uitdrukkelijke toestemming (art. 49, lid 1, onder a, AVG); waarborgen op grond van art. 46 AVG hebben we voor deze route niet. Wil je dat niet, schakel de herinnering dan gewoon niet in. Je kunt de herinnering altijd weer uitschakelen in het spel; het eindpunt wordt dan verwijderd.
• Registratie: log je in om te spelen, dan verwerken we je account-ID en je weergavenaam om je toegang tot het spel en het blijvend opslaan van je voortgang mogelijk te maken (art. 6, lid 1, onder b, AVG, levering van de door jou gevraagde dienst). Je e-mailadres verwerken we daarbij maar heel kort, om de vingerafdruk te maken (zie hierboven); alleen de vingerafdruk wordt opgeslagen. De gegevens van de vroegere, inmiddels uitgeschakelde e-mailwachtlijst hebben we verwijderd; in back-ups kunnen ze nog staan tot die verlopen, uiterlijk tot 31 december 2026.

3b. Telling van gebeurtenissen (zonder persoonsgegevens)

Om te zien of het spel aanslaat, tellen we gebeurtenissen: hoe vaak de startpagina werd geopend, een puzzel begonnen, een opgelost, op ‘Registreren’ getikt, een account aangemaakt, een aanbevelingslink gekopieerd, een puzzelsoort gewenst of de melding gezien dat het zonder account niet verder gaat. Bij de Vossenburcht tellen we daarnaast hoe een ronde afloopt: begonnen, afgebroken, verloren of gewonnen, plus het niveau of de golf en, bij een overwinning, of de burcht daarbij ongeschonden bleef. Daarvan wordt alleen één teller per dag, gebeurtenis en variant opgeslagen, dus bijvoorbeeld ‘op 19-08 werd 40 keer een puzzel begonnen’.

We tellen gebeurtenissen, geen mensen. Er ontstaat geen regel per persoon, geen ID, geen profiel, geen herkenningswaarde; daarvoor worden geen cookies geplaatst en geen IP-adressen opgeslagen. Uit de cijfers valt niet af te leiden wie iets heeft gedaan, en ook niet of twee gebeurtenissen bij dezelfde persoon horen. De rechtsgrond is ons gerechtvaardigd belang bij een goed werkend aanbod (art. 6, lid 1, onder f, AVG); er ontstaat daarbij geen herleidbaarheid tot personen.

Als ‘variant’ wordt afhankelijk van de gebeurtenis de moeilijkheidsgraad, de plek van de klik of, bij een bezoek via een advertentielink, de campagnenaam uit ?src= meegeteld. Dat is een door ons zelf gekozen woord zoals meta-feed en zegt niets over jou. Zonder zo’n toevoeging onthouden we alleen van welke website iemand kwam (alleen de hostnaam, nooit het volledige adres), of ‘direct’.

4. Doeleinden & rechtsgronden

Het aanbieden van het spel en het gebruikersaccount en van de ranglijsten (art. 6, lid 1, onder b, AVG, gebruiksovereenkomst) en de veilige, storingsvrije werking (art. 6, lid 1, onder f, AVG, gerechtvaardigd belang).

5. Lokale opslag in de browser

Voor het inloggen plaatsen we cookies, en uitsluitend daarvoor:

• Een eigen sessiecookie (__Host-sagax_sitzung), wanneer je bij ons inlogt. Die bevat een willekeurige tekenreeks, verder niets: geen naam, geen adres. Op de server staat daarvan alleen een vingerafdruk, niet de waarde zelf.
• Een kortstondige cookie tijdens het inloggen (__Host-sagax_anmeldung), zodat de terugkeer van de inlogdienst bij precies jouw browser hoort. Die vervalt na tien minuten en wordt direct na het inloggen verwijderd.

Verder plaatsen we geen cookies, en in het bijzonder geen advertentie- of trackingcookies.

In het geheugen van je browser slaan we de volgende waarden op. De meeste verlaten je apparaat nooit. Vier wel: de offline opgeloste puzzels (die moeten immers naar de server), het toegangstoken van de app (dat bewijst bij elke aanvraag dat jij het bent), het woord uit een advertentielink (dat reist mee met de getelde gebeurtenissen, zie punt 3b) en de gastvoortgang, zodra je een account aanmaakt (zie hieronder):

• Instellingen: kleurenschema (sudoku.theme.v1), taal (sudoku.lang), geluid, volume en trillen (sudoku.sound.v1, sudoku.volume.v1, sudoku.haptics.v1), de laatst gekozen moeilijkheidsgraad per puzzelsoort (sudoku.<art>.diff.v1) en weergavevoorkeuren (sudoku.ui.*).
• Spelen zonder account: je gastvoortgang (sudoku.guest.*) met de opgeloste puzzels, tijden, fouten en punten. Maak je later een account aan, dan wordt die eenmalig naar de server overgebracht, zodat je voortgang niet verloren gaat; daarna wordt die van het apparaat verwijderd. Daarnaast of een introductie al is getoond (sudoku_sagax_onboarded_v2, sudoku.app.start.gesehen.v1, sudoku.fuchsbau.tut.v1 voor de introductie van de Vossenburcht, sudoku.season.tut.v1 voor de introductie van het seizoen, sudoku.season.teaser.v1 voor Nona’s aankondiging van het seizoen, sudoku.nono.intro.v1 voor de introductie van de Japanse puzzel, sudoku.intro. met de naam van de puzzelsoort voor de overige introducties).
• Met account: je account-ID voor weergavegemak (sudoku.currentUser.v2). In de app daarnaast een toegangstoken en het lopende inlogproces (sudoku.app.token.v1, sudoku.app.login.v1). In de browser bestaan deze niet, daar volstaat de cookie.
• Begonnen puzzels: de overige puzzelsoorten slaan hun lopende spel op het apparaat op (sudoku.active.*, bijvoorbeeld sudoku.active.killer.v1), zodat je later verder kunt spelen; bij de klassieke sudoku staat het op de server, zodat het op elk apparaat hetzelfde is. Ben je ingelogd, dan staat je account-ID in het spel opgeslagen, zodat een spel van iemand anders op hetzelfde apparaat niet wordt getoond. Ook onthoudt het apparaat welke rangverhoging je al hebt gezien (sudoku.rankSeen.v1.<Konto-Kennung>).
• Meldingen die maar één keer moeten komen: hoeveel puzzels je op dit apparaat hebt opgelost (sudoku.siege.v1, enkel een getal), of je de melding over de app hebt weggetikt (sudoku.apphinweis.weg.v1), wanneer voor het laatst om een beoordeling is gevraagd (sudoku.bewertung.zuletzt.v2, een tijdstip), op hoeveel dagen je al hebt opgelost (sudoku.spieltage.v1, een getal en de datum van de laatste dag) en hoe vaak je zonder account hebt opgelost, zodat het speelbare raster op de startpagina bij het volgende bezoek een ander is (sudoku.sofort.zaehler.v1, eveneens enkel een getal), en welke versie je het laatst hebt gezien, zodat na een update eenmalig te zien is wat er nieuw is (sudoku.notizen.gesehen.v1). Deze waarden blijven op het apparaat en gaan nooit naar de server; ze zijn er alleen voor dat dezelfde melding je niet twee keer bereikt.
• Offline opgeloste puzzels: resultaten die zonder netwerk zijn behaald, wachten in een wachtrij (sudoku.outbox.v1) en gaan naar de server zodra er weer verbinding is. Bij het uitloggen wordt die geleegd.
• Herkomst van een bezoek: kom je via een link met de toevoeging ?src= (bijvoorbeeld uit een advertentie), dan onthouden we dit ene woord voor de duur van het bezoek (sagax.src, in de sessieopslag). Daarnaast drie markeringen: of een registratie al is geteld (sagax.srcGemeldet.v1, deze blijft permanent staan, anders zou elk nieuw tabblad opnieuw tellen), of je in dit tabblad al ingelogd was (sagax.warAngemeldet) en wanneer voor het laatst een inlogpoging is gestart (sagax.anmeldeVersuch, een tijdstempel waaraan we herkennen wanneer een inlogpoging niet terugkomt). Geen van deze waarden identificeert jou als persoon.

Daarnaast slaat de toepassing haar eigen bestanden (pagina’s, afbeeldingen, programmacode) op in de cache van de browser, zodat ze ook zonder netwerk start. Antwoorden van de server met persoonsgegevens zijn daarvan uitdrukkelijk uitgezonderd.

Je kunt deze waarden altijd via de instellingen van je browser verwijderen. De gastvoortgang gaat daarbij verloren, de voortgang van een account niet: die staat op de server.

6. Serverlogboeken

De toepassing houdt geen blijvende toegangs- of serverlogbestanden bij. Ter bestrijding van misbruik (rate limiting) wordt je IP-adres uitsluitend vluchtig in het werkgeheugen verwerkt en uiterlijk na ongeveer tien minuten automatisch verworpen; het IP-adres wordt niet in de database opgeslagen. Incidentele technische bedrijfs- en foutmeldingen (zonder profilering) kunnen in de standaarduitvoer van de hostingomgeving verschijnen en worden daar slechts zo lang bewaard als nodig is voor een veilige werking.

7. Bewaartermijn

Spelgegevens blijven bewaard tot de gebruiker ze verwijdert. Back-ups van de database worden op twee plaatsen gemaakt: dagelijks op dezelfde server, daar doorlopend 14 dagen, en dagelijks als artefact van een automatische run in onze privérepository bij GitHub (GitHub Inc., Microsoft-concern), daar 30 dagen, daarna automatisch verwijderd. Deze tweede kopie bestaat zodat een uitval van de server niet tegelijk alle back-ups meeneemt. Ze bevat dezelfde gegevens als de toepassing, dus ook weergavenamen, account-ID’s, geüploade profielfoto’s en de hierboven genoemde vingerafdruk van het e-mailadres, en is alleen toegankelijk voor de beheerders. GitHub verwerkt deze gegevens als verwerker op grond van art. 28 AVG; daarbij vindt een doorgifte naar de VS plaats, beveiligd via de modelcontractbepalingen van de Europese Commissie (art. 46, lid 2, onder c, AVG). Een kopie van de waarborgen ontvang je op verzoek via het hierboven genoemde adres. Je inlogsessie verloopt uiterlijk na 90 dagen vanzelf; bij het uitloggen wordt ze direct verwijderd. Je account staat bij ons en blijft bestaan tot je het verwijdert (zie punt 8).

8. Jouw rechten

Je hebt recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid van gegevens en bezwaar (art. 15 tot en met 21 AVG). Je hoeft daarvoor geen formulier in te vullen en niets te motiveren: een e-mail aan korbi@vulpessagax.com volstaat, één zin is genoeg. We antwoorden binnen een maand.

Je account staat bij ons. Daarbij moet je twee dingen onderscheiden:

• Je spelgegevens (voortgang, tijden, punten) verwijder je zelf in het spel: tik rechtsboven op je naam en daarna op Spelgegevens wissen. Je account blijft daarbij bestaan, je kunt verder spelen. Daar wijzig je ook je weergavenaam.
• Je hele account verwijder je eveneens zelf: in de instellingen onder Account definitief verwijderen. Dan zijn weergavenaam, inlogmethode, profielfoto, voortgang, trofeeën, uitnodigingen, feedback, meldingen en blokkeringen, vermeldingen in ranglijsten en duels en de hierboven genoemde vingerafdruk van je adres verdwenen. Dat kan niet ongedaan worden gemaakt. Uit back-ups verdwijnen de gegevens na de in punt 7 genoemde termijnen; gaat daarbij iets mis, dan volstaat een bericht aan korbi@vulpessagax.com.

Daarnaast heb je het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming; voor ons bevoegd is het Bayerisches Landesamt für Datenschutzaufsicht (BayLDA, de Beierse toezichthouder voor gegevensbescherming), Ansbach.

Recht van bezwaar. Sommige gegevens verwerken we omdat we daar een gerechtvaardigd belang bij hebben: de veilige werking, het tellen op welk platform (browser, iOS of Android) je met je account speelt en het tellen van hoe vaak een puzzel wordt begonnen (art. 6, lid 1, onder f, AVG). Daartegen kun je altijd bezwaar maken. Een vormvrij bericht aan korbi@vulpessagax.com volstaat, je hoeft niets te motiveren; we bevestigen je bezwaar en verwerken de betreffende gegevens niet verder. Bij de telling van gebeurtenissen moeten we eerlijk gezegd toevoegen: daar is niets opgeslagen dat naar jou verwijst, en daarom is er ook niets wat we aan jou kunnen koppelen en eruit kunnen halen. We leggen je dat op verzoek graag in detail uit.

9. Opmerking: gemaakt met AI

Deze toepassing is gemaakt met behulp van kunstmatige intelligentie: de software met Claude (Anthropic), de afbeeldingen met Grok (xAI). Tijdens de werking vindt geen verwerking van je persoonsgegevens door deze aanbieders plaats; de AI is alleen gebruikt om de toepassing te maken.