Privacybeleid

Fancy a Drink (FAD)

Versie 14 — Laatst bijgewerkt: 11 november 2026

Fancy a Drink (“FAD”) is een app die mensen op een laagdrempelige manier in het echt laat kennismaken bij een aangesloten bar. Omdat FAD leidt tot een echte, fysieke ontmoeting, nemen wij privacy en veiligheid uiterst serieus en verwerken wij bewust niet meer gegevens dan nodig. Dit beleid legt in duidelijke taal uit welke gegevens wij gebruiken, waarom, met wie wij ze delen, hoe lang wij ze bewaren en welke rechten je hebt.

1. Wie zijn wij?

FAD wordt aangeboden door A.Y.V. Hubers Beheer B.V., gevestigd te Rotterdam. A.Y.V. Hubers Beheer B.V. is de verwerkingsverantwoordelijke voor alle persoonsgegevens die via de app en het bijbehorende bar-portaal worden verwerkt.

A.Y.V. Hubers Beheer B.V.

Laan op Zuid 188

3071 AA Rotterdam, Nederland

KvK: 24425152 | BTW: NL818710093B01

Contact voor privacyvragen: privacy@fancyadrink.app

Zodra een functionaris voor gegevensbescherming is aangesteld, worden diens contactgegevens hier vermeld.

2. Wat doet de app?

FAD laat je profielen van andere leden zien, elkaar uitnodigen voor een drankje en in het echt afspreken bij een aangesloten partnerbar, waar het eerste kennismakingsdrankje via een voucher wordt aangeboden. De app kent vijf lidmaatschapsniveaus: Preview (gratis, kijken en chatten, geen fysieke afspraak, behalve met je gekoppelde partner), Silver, Gold, Platinum en Ultra VIP. Vanaf Silver is verificatie verplicht; een fysieke ontmoeting en de voucher zijn alleen mogelijk voor geverifieerde leden, behalve tussen twee gekoppelde partners in een koppelabonnement. Op het voucherscherm staat het niveau van wie de uitnodiging verstuurde; je match ziet dat, en de bar ziet het wanneer jullie het scherm laten zien. Bij Ultra VIP kan een ander daaruit afleiden dat je de vermogenstoets hebt doorlopen. Daarnaast zien andere leden je niveau op je profiel, en bij Platinum en Ultra VIP een kroon bij je naam en avatar, onder meer op de kaart en in de lijst. Met de instelling „Toon mijn abonnement aan anderen” verberg je dit voor andere leden, met twee uitzonderingen: het niveau Preview is altijd zichtbaar, en stel je als Platinum- of Ultra VIP-lid je profiel niet open voor het niveau van een ander lid, dan ziet dat lid je op de kaart als een zwart rondje met een vraagteken en een kroon, zonder foto of naam. Op het voucherscherm blijft het niveau altijd staan.

Omdat de app tot een ontmoeting in de echte wereld leidt, verwerken wij bepaalde gegevens (zoals een liveness-controle en bij benadering je locatie) juist om die ontmoeting veiliger te maken. Per gegeven leggen wij hieronder uit waarom.

3. Welke gegevens verzamelen wij?

3.1 Account- en registratiegegevens

E-mailadres, gebruikt voor je account, inloggen (via een 6-cijferige code) en noodzakelijke serviceberichten.
Geboortedatum, die je bij registratie invult. Wij gebruiken die om te bevestigen dat je 18 jaar of ouder bent, om je leeftijd (niet je geboortedatum) aan andere leden te tonen, voor het leeftijdsfilter en de minimum- en maximumleeftijd die je zelf bij het matchen instelt, en om in de avatarkiezer alvast een jonger of ouder gezicht voor te stellen, dat je zelf kunt wijzigen. Je leeftijd wordt telkens op het moment zelf berekend en niet apart opgeslagen.
Voornaam en een zelfgekozen nickname. Andere leden zien in eerste instantie alleen je nickname; je voornaam verschijnt pas na een match.

Koppelabonnement. Sluit je een koppelabonnement (in de app: Barhoppen als stel), dan verwerken wij daarnaast de koppeling zelf: met wie je gekoppeld bent, de koppelcode, wie de koppeling voorstelde en bevestigde, en wanneer zij is begonnen of beëindigd. Wij gebruiken dit uitsluitend om het koppelabonnement te laten werken.

3.2 Profielgegevens

Echte profielfoto’s, die zichtbaar zijn voor andere leden in de Ontdek-lijst, op je profiel, in de chat en in het statusoverzicht. Zolang een betaald account de identiteitsverificatie nog niet heeft afgerond, tonen wij andere leden tijdelijk een neutraal icoon in plaats van de foto’s.
Op de kaart tonen wij in plaats van je foto een samengestelde avatar in stripstijl. Dit is een vormgevingskeuze en een zachte drempel; de bescherming van je locatie zit in de vervaging die wij in 3.3 beschrijven, niet in de avatar.
Geslacht en de geslachtsvoorkeur die je zoekt. Omdat uit je geslachtsvoorkeur je seksuele gerichtheid kan blijken, gebruiken wij die alleen met je uitdrukkelijke toestemming, uitsluitend bij het zoeken en matchen. Wij tonen je voorkeur aan niemand en geven hem aan geen verwerker door.
Religie, als je die zelf invult, en je religievoorkeur, als je daarop filtert. Beide zijn optioneel en verwerken wij alleen met je uitdrukkelijke toestemming, die je apart geeft: je religie tonen wij op je profiel en gebruiken wij wanneer andere leden op religie filteren, je voorkeur gebruiken wij bij het zoeken en matchen. Maak je het veld of je filter leeg, dan verwijderen wij het gegeven en vervalt je toestemming.
Hobby’s, interesses, korte profielteksten en zelfgekozen persoonlijkheidskenmerken.
Beroep of studie (verplicht in te vullen), zodat andere leden een reîel beeld krijgen.

Beoordeling van foto’s. Elke foto die je uploadt wordt vóór plaatsing geautomatiseerd gecontroleerd. Wij toetsen of er geen naaktbeeld op staat, en bij de verplichte gelaatsfoto (de foto die op het voucherscherm staat) bovendien of er een gezicht op te zien is, omdat die foto herkenbaar moet zijn. Deze controle wordt uitgevoerd door Google Cloud Vision, dat als verwerker voor ons optreedt. De foto wordt uitsluitend voor deze beoordeling verwerkt, niet bewaard door de verwerker en niet gebruikt om modellen te trainen. Voldoet een foto niet, dan wordt hij geweigerd en zien andere leden hem nooit. Wij laten je weten dát de foto is geweigerd, maar niet welk kenmerk is aangetroffen, omdat die informatie het omzeilen van de controle mogelijk zou maken. Ben je het niet eens met de uitkomst, dan kun je contact met ons opnemen via privacy@fancyadrink.app en beoordeelt een medewerker de foto alsnog. Dezelfde controle geldt voor foto’s die je in een chat verstuurt.

Gelaatsfoto voor de ontmoeting. Naast je profielfoto’s vragen wij één foto waarop je gezicht en schouders duidelijk zichtbaar zijn. Deze foto staat op het voucherscherm, zodat je match en het barpersoneel bij de ontmoeting kunnen zien dat jij het bent. Het tonen aan het barpersoneel gebeurt doordat je zelf je scherm laat zien, zoals bij een toegangsbewijs; wij sturen deze foto niet naar de bar, en barpersoneel mag het scherm niet fotograferen of vastleggen. Zolang je deze foto nog niet hebt toegevoegd, staat je gewone profielfoto op het voucherscherm.

Verwerkingslocatie. De controle op naaktbeeld vindt plaats binnen de Europese Unie. Twee controles kunnen uitsluitend buiten de Europese Unie worden uitgevoerd, omdat de Europese voorziening van onze verwerker die functies niet ondersteunt: de gezichtscontrole op je eerste profielfoto en op je gelaatsfoto (de foto die op het voucherscherm verschijnt), en de herkenning van het logo op een betaalkaart bij de vermogenstoets voor Ultra VIP. Het gaat telkens om een eenmalige verwerking van één afbeelding, uitsluitend voor die controle; wordt een andere foto je eerste profielfoto of je gelaatsfoto, dan wordt alleen die foto opnieuw gecontroleerd. Deze doorgifte rust op de waarborgen die in hoofdstuk 7 zijn beschreven. Wij verwerken bij deze controles geen biometrisch sjabloon en bouwen geen gezichtsdatabank op; er wordt uitsluitend vastgesteld dát er een gezicht op de foto staat en hoe groot dat in beeld is.

3.3 Locatiegegevens

Altijd bij benadering. Op de kaart en in de lijst staat een profiel nooit op zijn exacte plek, ook niet na een match. Wij bewaren je werkelijke positie, maar tonen anderen alleen een punt dat daar willekeurig 100 tot 200 meter naast ligt; ook de afstand die anderen zien, is op dat verschoven punt berekend. Iedereen ziet hetzelfde punt, en dat verandert pas als je meer dan een kilometer verplaatst, zodat je werkelijke positie niet uit herhaald kijken is af te leiden. Zo is te zien dat iemand grofweg in de buurt is, zonder dat iemand exact te traceren is. Dit is onze invulling van het AVG-beginsel van dataminimalisatie.
Zichtbaar op kaart en lijst. Of je op de kaart en in de lijst verschijnt, bepaal je zelf met twee schakelaars; je ziet anderen alleen als je zelf zichtbaar bent. Zolang je zichtbaar bent, werken wij je positie bij wanneer je een schakelaar aanzet of de app opent, hooguit eens per tien minuten; wij volgen je daarvoor nooit op de achtergrond. Ben je niet zichtbaar, dan gebruiken wij je positie in het tabblad Bars alleen om bars in de buurt te zoeken, zonder hem op te slaan. Zet je beide schakelaars uit, dan wissen wij je positie direct. Is hij zeven dagen niet bijgewerkt, dan wissen wij hem ook; staan je meldingen aan, dan krijg je daarvan een dag van tevoren een bericht.
Op weg naar een afspraak. Bij een spontane date geeft de app elke tien seconden je positie door zodra jullie allebei een bar hebben bevestigd, bij een geplande date pas zodra je aangeeft dat je onderweg bent; dat loopt tot jullie allebei zijn ingecheckt of een van jullie de date verlaat. De ander ziet daarvan alleen hoe ver je nog weg bent en, als je dat zelf aangeeft, dat je onderweg bent naar de bar, nooit waar je bent; wij verwijderen deze posities zodra de afspraak eindigt, en in elk geval uiterlijk vier uur na de laatste bijwerking. Bij het inchecken controleren wij op onze server of je binnen 150 meter van de bar bent; wij leggen alleen het tijdstip vast, niet je positie.

3.4 Biometrische gegevens — de liveness-controle (bijzondere persoonsgegevens)

Vanaf Silver voer je een liveness-controle uit: een selfie waarmee wordt vastgesteld dat je een echt, levend mens bent, en waarmee je gezicht wordt vergeleken met je identiteitsbewijs (tegen nepprofielen en catfishing). Deze controle wordt uitgevoerd door onze verificatiepartner Stripe Identity.

De verificatie wordt afgedwongen op het moment dat je daadwerkelijk een fysieke afspraak wilt maken: bij het bevestigen van een bar, het inchecken en het activeren van de voucher. Niet al bij registratie of bij de aankoop van een lidmaatschap.

De verwerking van je gezicht voor deze controle is een verwerking van biometrische gegevens en daarmee een bijzondere categorie van persoonsgegevens in de zin van artikel 9 AVG. Wij verwerken deze uitsluitend op basis van jouw uitdrukkelijke toestemming, die wij apart en los van de overige voorwaarden vragen, vóór de controle. Je kunt deze toestemming weigeren. Weiger je, dan kun je nog steeds gratis gebruikmaken van Preview; voor de geverifieerde functies bieden wij je in dat geval een alternatieve, niet-biometrische verificatieroute aan (zie hieronder).

Rolverdeling. Stripe treedt bij deze controle op in een dubbele rol: als verwerker bewaart Stripe de opnamen en het toestemmingsbewijs namens FAD, en als zelfstandig verwerkingsverantwoordelijke gebruikt Stripe biometrie voor eigen fraudebestrijding.
Dataminimalisatie en bewaartermijn. FAD bouwt zelf geen biometrische database op en bewaart zelf geen biometrisch sjabloon. FAD ontvangt van Stripe uitsluitend een verwijzing naar de verificatiesessie en de uitkomst daarvan, te weten geslaagd, mislukt of geannuleerd, met de bijbehorende tijdstippen. Je identiteitsdocument, je naam en je geboortedatum worden door Stripe verwerkt en niet door FAD opgeslagen. Bij Stripe worden de biometrische kenmerken binnen één jaar volledig verwijderd; overige identiteitsgegevens bewaart Stripe doorgaans tot drie jaar als verwerker. Je kunt je toestemming voor het biometrisch gebruik bij Stripe op elk moment intrekken via privacy@stripe.com.
Alternatief zonder biometrie. Wil je geen biometrische controle, dan bieden wij een handmatige route: je stuurt een foto van jezelf met je identiteitsbewijs en een aangegeven gebaar of code, die een medewerker visueel beoordeelt zonder geautomatiseerde biometrische verwerking. Zo blijft toegang tot de geverifieerde functies mogelijk zonder dat je biometrie hoeft af te staan.

3.5 Identiteitsgegevens

Bij een opschaling (bijvoorbeeld bij een melding of bij toegang tot hogere niveaus) kan een volledige identiteitscontrole via een documentscan worden gevraagd, eveneens via Stripe Identity. Hierbij worden je wettelijke naam, geboortedatum en een pasfoto-vergelijking verwerkt. Ook de gezichtsvergelijking bij de documentcontrole is een verwerking van biometrische gegevens onder artikel 9 AVG, op basis van je uitdrukkelijke toestemming.

3.6 Vermogensgegevens (alleen Ultra VIP)

Ultra VIP is het enige niveau met een vermogenstoets. Voor Platinum en alle lagere niveaus geldt deze toets niet en vragen wij geen financiële gegevens.

Kies je voor Ultra VIP, dan toon je zelf aan dat je aan het niveau voldoet. Je kiest daarbij uit drie routes: een zakelijk kredietrapport van een erkende aanbieder samen met een inschrijving bij de Kamer van Koophandel of een bewijs van deelname in een onderneming, een foto van een betaalkaart die uitsluitend op uitnodiging wordt verstrekt, of een verklaring van een notaris of accountant over vermogen of solvabiliteit. Wij vragen nooit om bankgegevens, bankafschriften of toegang tot je rekening.

Het document wordt geautomatiseerd uitgelezen en getoetst. Wij controleren daarbij of de naam op het document overeenkomt met de naam op je account, of het document actueel is, en of het aan de gestelde drempel voldoet. Slaagt die controle, dan wordt het brondocument onmiddellijk na de beoordeling verwijderd en bewaren wij uitsluitend de uitkomst, het uitgelezen bedrag, de gehanteerde grens, de gekozen route en het tijdstip. Slaagt de controle niet, dan volgt een beoordeling door een medewerker; het document blijft in dat geval bewaard tot die beoordeling is afgerond, met een uiterste termijn van dertig dagen.

Kies je voor de route via een betaalkaart, dan wordt de foto voor de herkenning van het logo buiten de Europese Unie verwerkt, omdat de Europese voorziening van onze verwerker die functie niet ondersteunt. Scherm het kaartnummer af voordat je de foto maakt; wij hebben het niet nodig en vragen er niet om.

Je rechten bij deze beoordeling. De eerste toets is geautomatiseerd. Je hebt altijd recht op tussenkomst van een medewerker, op het geven van je eigen standpunt en op het betwisten van de uitkomst. Wordt je aanvraag afgewezen, dan volgt die menselijke beoordeling automatisch; je hoeft er niet om te vragen. Ben je het met die uitkomst oneens, dan kun je reageren via privacy@fancyadrink.app.

Bij de route via een notaris of accountant zien wij de onderliggende gegevens nooit. De notaris of accountant is voor de verwerking van die gegevens zelf verwerkingsverantwoordelijke en handelt daarbij onder zijn eigen beroepsregels.

Ingediende documenten staan in afgeschermde opslag. Zij zijn nooit zichtbaar voor andere leden en worden nergens anders voor gebruikt.

3.7 Telefoonnummer en de “vermijd-functie”

Je telefoonnummer is altijd afgeschermd voor andere leden; niemand kan je via je nummer vinden.

Met de vermijd-functie kun je zelf nummers opgeven van mensen die je liever niet tegenkomt, via de contactenkiezer van je telefoon — wij lezen nooit je volledige adresboek in.

Je telefoonnummer gebruiken wij alleen voor de vermijdfunctie. Daarvoor slaan wij uitsluitend een versleutelde weergave op, waaruit het nummer niet te herleiden is.

3.8 Chatberichten en foto’s in de chat

Berichten die je na een match met een ander lid uitwisselt.
Foto’s in de chat vervallen automatisch 8 uur na verzending en worden daarna fysiek verwijderd; er wordt bewust geen foto-archief opgebouwd. Je kunt hoogstens zes foto’s per gesprek per dag versturen. Chatfoto’s staan in afgeschermde opslag waar alleen de twee deelnemers toegang toe hebben.

3.9 Veiligheidscontact en live locatie delen

Bij het aanmelden of later in het veiligheidscentrum kun je vrijwillig één of meer veiligheidscontacten opgeven, met een e-mailadres. Wij verwerken die contactgegevens op basis van ons gerechtvaardigd belang bij jouw fysieke veiligheid (artikel 6, lid 1, onder f), uitsluitend voor jouw veiligheid tijdens een date: om een live-locatielink met dat contact te delen, en om dat contact een veiligheidsmelding te sturen als je niet reageert op de check-in (zie hieronder); geen naam, foto of andere gegevens van je match. De gegevens worden niet hergebruikt en niet voor marketing gebruikt. Waar mogelijk informeren wij het opgegeven contact over deze verwerking. Het veiligheidscontact hoeft geen FAD-account te hebben. Wij bewaren deze contactgegevens leesbaar, omdat een gehasht gegeven in een noodsituatie onbruikbaar zou zijn om het contact daadwerkelijk te bereiken.

Hoe de live-locatielink werkt. De link verwijst naar een pagina op onze eigen website met een unieke, niet te raden code in het adres. Wie de link heeft, kan de pagina openen; er is geen account voor nodig, want een veiligheidscontact hoeft geen lid te zijn. De pagina toont uitsluitend jouw locatie en niets over de persoon met wie je hebt afgesproken, en vermeldt duidelijk dat zij van Fancy a Drink afkomstig is, met een verwijzing naar dit privacybeleid. De link werkt alleen zolang jij het delen actief hebt en vervalt daarna automatisch; het delen stopt na vier uur, tenzij je het zelf verlengt, en je kunt het op elk moment zelf beëindigen. Je laatst gedeelde positie wissen wij zodra het delen eindigt, en uiterlijk een uur nadat het is verlopen. Ben je tijdens een date ingecheckt, dan loopt het delen ook door als de app op de achtergrond staat, met een update elke vijf minuten of elke vijftig meter; je telefoon laat dan zichtbaar zien dat je locatie wordt gebruikt. De pagina wordt niet door zoekmachines geïndexeerd. Stuurt je veiligheidscontact de link door, dan kan ook die persoon meekijken zolang het delen loopt; deel de link daarom alleen met wie je vertrouwt.

Check-in tijdens een date en automatische veiligheidsmelding. Heb je een veiligheidscontact met een e-mailadres opgegeven en staat Check-in aan (dat is de standaard; je zet het uit in het veiligheidscentrum), dan vraagt de app je twee uur nadat je bij de bar bent ingecheckt met een melding om te bevestigen dat alles goed is. Bevestig je, dan begint een nieuwe ronde van twee uur. Bevestig je niet, dan volgt na vier uur een laatste melding; reageer je daar niet binnen 30 minuten op, dan sturen wij je veiligheidscontact een e-mail en starten wij een live-locatiedeling, zodat je contact via de link in de e-mail je positie ziet zodra je telefoon die doorgeeft. Wij controleren dit elke vijf minuten, dus een melding of e-mail kan tot vijf minuten later komen. De check-in stopt als de date eindigt, als je hem uitzet of als je geen veiligheidscontact met een e-mailadres meer hebt. Daarnaast sturen wij een e-mail als een deling die jij zelf bent gestart ongeveer een halfuur zonder nieuwe locatie blijft. De e-mail bevat je bijnaam, hoeveel check-ins je hebt gemist of dat je deling is stilgevallen, het tijdstip waarop je bent ingecheckt en van de laatste herinnering die je niet hebt bevestigd, de link naar de deelpagina en, als die er is, het tijdstip van je laatst bekende locatie; is er nog geen locatie, dan noemen wij de naam van de bar waar jullie hebben afgesproken. Wij sturen geen ruwe coördinaten mee en geen enkel gegeven over de persoon met wie je hebt afgesproken. De e-mail loopt via onze e-mailverwerker Brevo, die daarmee ook de link ziet. In het bericht leggen wij aan je veiligheidscontact uit wie wij zijn, waarom het wordt verstuurd, op welke grondslag wij de gegevens van het contact verwerken en waar dit privacybeleid staat, zodat ook iemand zonder FAD-account weet wat er met de eigen gegevens gebeurt. Wil je veiligheidscontact geen meldingen meer ontvangen, dan kan het zich via de e-mail afmelden; wij verwijderen het contact dan en laten jou weten dat het geen meldingen meer ontvangt, zodat je een ander contact kunt kiezen. De genoemde tijden kunnen worden bijgesteld als de praktijk daarom vraagt.

3.9a Agendalink voor een geplande date

Liggen bar en moment van een geplande date vast, dan kun je de date in je eigen agenda zetten. De app maakt daarvoor een link naar een agendabestand met alleen de voornaam en bijnaam van je match, de naam en het adres van de bar en het afgesproken moment. Wie de link heeft, kan het bestand openen zonder in te loggen; de link werkt tot 24 uur na het afgesproken moment, en wij bewaren geen kopie van het bestand. Wat je agenda-app daarna met de afspraak doet, valt onder de voorwaarden van die app.

3.10 Meldingen, blokkeren en moderatie

Je kunt andere leden blokkeren en rapporteren. Van een melding leggen wij vast wie meldt, tegen wie, de reden en een eventuele toelichting, plus een status voor de afhandeling. Wij gebruiken deze gegevens om de veiligheid van het platform te bewaken en om patronen van onveilig gedrag te signaleren.

Meld je in de app dat een partnerbar gesloten is, dan leggen wij vast wie meldt, welke bar en wanneer, plus een status en de uitkomst van de afhandeling. De bar krijgt niet te zien wie de melding deed. Wij gebruiken zo’n melding om de vermelding van de bar in de app te controleren en om misbruik van de meldfunctie te signaleren; een melding haalt een bar niet automatisch uit de app.

3.11 Betaal- en abonnementsgegevens

Betalingen voor betaalde niveaus lopen verplicht via de in-app-aankopen van Apple en Google, beheerd via RevenueCat. FAD ontvangt geen creditcardnummers of volledige betaalgegevens; wij ontvangen uitsluitend de status van je abonnement (welk niveau, actief of niet).

3.12 Technische gegevens en leeftijdssignalen van de app-stores

Een technisch apparaat-identificatiekenmerk en push-tokens, om meldingen te sturen en misbruik tegen te gaan.
Foutmeldingen. Loopt er in de app iets mis, dan slaan wij de foutmelding op met de appversie, het platform, de versie van het besturingssysteem, de taal van de app en het scherm waarop het gebeurde. Wij koppelen dit niet aan je account: er gaat geen gebruikersnummer, e-mailadres, bijnaam of toestelkenmerk mee, en e-mailadressen, telefoonnummers en andere herkenbare codes filteren wij vooraf uit de tekst. Wij gebruiken dit alleen om fouten op te sporen en te herstellen, en wissen het na 30 dagen.
Leeftijdssignalen. In regio’s waar de wet dat vereist, ontvangen wij via de leeftijdssignaal-API’s van Apple (Declared Age Range) en Google (Play Age Signals) een leeftijdscategorie, zonder je exacte geboortedatum. Wij gebruiken dit signaal uitsluitend om leeftijdsgeschikte toegang te bieden; wij slaan het niet op en gebruiken het niet voor advertenties of om te delen met derden, conform de voorwaarden van beide platforms.
Toestemming voor apparaatgegevens. Voor het plaatsen van of toegang tot bepaalde gegevens op je apparaat (zoals push-tokens) vragen wij je toestemming waar de wet dat vereist; strikt noodzakelijke technische kenmerken, bijvoorbeeld tegen misbruik, gebruiken wij op grond van noodzaak.

3.13 Wachtlijst (landingspagina)

Meld je je via de publieke landingspagina aan voor een stad die nog niet actief is, dan verwerken wij je stad, e-mailadres, telefoonnummer, geslacht en leeftijd, uitsluitend om je te benaderen bij de start in jouw stad en om de vraag per stad te meten. Dit gebeurt op basis van je toestemming, die met tijdstip wordt vastgelegd.

3.13a Bar aandragen (optioneel e-mailadres)

Draag je via onze website een bar of horecazaak aan, dan kun je optioneel je e-mailadres achterlaten. Wij verwerken dat adres uitsluitend op basis van jouw toestemming, die je geeft via een apart, niet vooraf aangevinkt vakje, om je te berichten zodra de door jou aangedragen zaak meedoet of zodra FAD opengaat in jouw stad. Het veld is optioneel: zonder e-mailadres wordt de zaak gewoon aangedragen. Je ontvangt eerst een bevestigingsmail (dubbele opt-in); pas na jouw bevestiging nemen wij je op in een aparte lijst bij onze e-mailverwerker Brevo, gescheiden van onze zakelijke contacten. Elke e-mail bevat een afmeldlink; afmelden verwijdert je gegevens in één handeling. Wij bewaren je adres tot het doel is bereikt of uiterlijk twaalf maanden na je inzending, wat zich het eerst voordoet, en verwijderen het daarna, ook bij Brevo.

3.13b Benaderen van horecazaken

Om horecazaken uit te nodigen partnerbar te worden, sturen wij zaken in Nederland een e-mail op het zakelijke, algemene e-mailadres dat zij zelf openbaar maken, zoals een info-adres; persoonlijke adressen gebruiken wij hiervoor niet. De naam, het adres en dat e-mailadres halen wij uit de openbare bedrijfsvermelding van de zaak via de Places-dienst van Google. Wij doen dit op grond van ons gerechtvaardigd belang bij het werven van partnerbars (artikel 6, lid 1, onder f). Een zaak ontvangt hooguit twee berichten: een uitnodiging en één herinnering. Elk bericht bevat een afmeldlink. Na een afmelding bewaren wij het adres alleen als niet-terug te rekenen code (hash), uitsluitend om te voorkomen dat de zaak opnieuw wordt benaderd. Meldt de zaak zich niet aan, dan wissen wij haar gegevens uiterlijk twaalf maanden na het laatste bericht. Bezwaar maken kan altijd via privacy@fancyadrink.app.

3.14 Wat wij NIET verzamelen

Wij lezen nooit je volledige adresboek of contactenlijst in.
Wij verkopen of verhuren je gegevens nooit aan derden.
Wij gebruiken geen advertentie-ID’s en tonen geen advertenties van derden in de app.
Wij bouwen geen eigen biometrische database op.

4. Waarom verwerken wij deze gegevens (grondslagen)?

Onder de AVG hebben wij voor elke verwerking een wettelijke grondslag:

De dienst leveren (account, matchen, chatten, kaart, vouchers, locatie op kaart en lijst en op weg naar een afspraak): uitvoering van de overeenkomst (artikel 6, lid 1, onder b).
Liveness- en identiteitscontrole (biometrie): jouw uitdrukkelijke toestemming (artikel 9, lid 2, onder a), naast de uitvoering van de overeenkomst voor het geverifieerde lidmaatschap.
Geslachtsvoorkeur, religie en religievoorkeur: jouw uitdrukkelijke toestemming (artikel 9, lid 2, onder a), die je altijd kunt intrekken.
Vermogensverificatie (alleen Ultra VIP): uitvoering van de overeenkomst voor het door jou gekozen niveau, met jouw toestemming voor het aanleveren van de documenten.
Vermijd-functie: jouw toestemming en ons gerechtvaardigd belang bij de veiligheid van leden (artikel 6, lid 1, onder a en f).
Veiligheidscontact: ons gerechtvaardigd belang bij jouw fysieke veiligheid (artikel 6, lid 1, onder f); wij informeren het contact waar mogelijk.
Meldingen, blokkeren, moderatie en misbruikbestrijding: ons gerechtvaardigd belang bij een veilig platform en een juiste vermelding van partnerbars, en waar van toepassing het voldoen aan een wettelijke verplichting (artikel 6, lid 1, onder f en c).
Foutmeldingen: ons gerechtvaardigd belang bij een goed werkende en veilige app (artikel 6, lid 1, onder f).
Wachtlijst en optionele functies: jouw toestemming (artikel 6, lid 1, onder a), die je altijd kunt intrekken.

5. Geautomatiseerde besluitvorming

Een aantal processen verloopt geheel of gedeeltelijk geautomatiseerd: de liveness- en identiteitscontrole via Stripe Identity, de beoordeling van vermogensdocumenten voor Ultra VIP, de geautomatiseerde beoordeling van geüploade foto’s, en het zacht terugschroeven van zichtbaarheid bij een herhaald patroon van niet komen opdagen (dat zichzelf herstelt zodra je weer normaal verschijnt).

Leidt een geautomatiseerd proces (zoals de verificatie, de vermogenscheck, de fotobeoordeling of het no-show-systeem) tot een weigering, sanctie of beperking van je account, dan heb je altijd recht op menselijke tussenkomst: je kunt via privacy@fancyadrink.app bezwaar maken, je standpunt geven en een herbeoordeling vragen. Wij garanderen dat een account nooit definitief wordt beperkt of geblokkeerd zonder een finale menselijke toetsing. De no-show-maatregel is een lichte, zichzelf herstellende beperking van je zichtbaarheid zonder rechtsgevolg.

Wij gebruiken geautomatiseerde beeld- en tekstherkenning voor het uitlezen van vermogensdocumenten en voor het beoordelen van geüploade foto’s. Wij informeren je wanneer je met een AI-systeem te maken hebt. De aanbieder van de AI-dienst gebruikt de aangeleverde gegevens niet om zijn modellen te trainen.

6. Met wie delen wij gegevens?

Wij schakelen uitsluitend de hieronder genoemde verwerkers in. Met elk van hen sluiten wij een verwerkersovereenkomst. Daarnaast is er een situatie waarin gegevens buiten deze verwerkers terechtkomen: geef jij een veiligheidscontact op, dan ontvangt dat contact bij een veiligheidsmelding een bericht van ons. Dat contact is geen verwerker maar een ontvanger die jij zelf hebt aangewezen; zie hoofdstuk 3.9. Verder delen wij je gegevens met niemand.

Supabase, Inc. (hosting en database): onze database en authenticatie; de gegevens van FAD staan in de EU-regio (Ierland).
Vercel Inc., Verenigde Staten (hosting en serverfuncties bar-portaal): het uitvoeren van de serverfuncties achter het bar-portaal (partners.fancyadrink.app), waaronder de aanmelding en wachtlijst van bars en het aandragen van bars door leden.
Stripe Payments Europe, Ltd. / Stripe, Inc. (betaling en verificatie): de liveness- en identiteitscontrole (Stripe Identity) en de afhandeling van betalingen.
Sendinblue SAS (Brevo), Frankrijk (e-mail): het verzenden van serviceberichten, verificatiecodes en veiligheidsmeldingen aan een door jou opgegeven veiligheidscontact.
Fastly, Inc. (uitlevering van kaartbeelden): het uitleveren van de kaartbeelden op de pagina waarop een veiligheidscontact een gedeelde locatie bekijkt. Fastly ziet daarbij het IP-adres van de bezoeker en welk kaartvlak wordt opgevraagd; het kaartvlak beslaat een gebied van enkele honderden meters en is niet de exacte positie. De kaartgegevens zelf komen van OpenStreetMap.
Cloudflare, Inc. (domein, DNS en e-mailroutering): onze domeininfrastructuur.
RevenueCat, Inc. (abonnementsbeheer): het beheer van de in-app-abonnementen boven op Apple en Google.
Google Ireland Limited / Google LLC (beeld- en tekstherkenning): de geautomatiseerde beoordeling van geüploade foto’s en het uitlezen van de vermogensdocumenten (alleen Ultra VIP).
Apple Distribution International Ltd. en Google (app-stores): distributie, in-app-betalingen en, waar wettelijk vereist, leeftijdssignalen.
Expo (650 Industries, Inc.), Verenigde Staten (pushmeldingen): het bezorgen van pushmeldingen (uitnodiging, match, bericht, activering, veiligheidsmelding) aan je toestel. Hiervoor geven wij het Expo-pushtoken van je toestel door, samen met de meldingstekst; bij een chatbericht is dat de bijnaam van de afzender met een vaste, vertaalde zin, of bij meerdere berichten tegelijk alleen het aantal nieuwe berichten, nooit de inhoud van een bericht; bij overige meldingen een vaste, vertaalde tekst. Expo geeft de melding door aan Apple en Google, die hem op het toestel afleveren.

Naast deze verwerkers raadplegen wij bij de aanmelding van een bar twee externe bronnen die onder hun eigen verantwoordelijkheid werken en geen verwerker van ons zijn: het Handelsregister van de Kamer van Koophandel (controle van het door de bar-eigenaar opgegeven KVK-nummer; bij een eenmanszaak kan de geregistreerde naam de naam van de eigenaar zijn) en de Places-dienst van Google (het vinden van de juiste, publiek bekende bedrijfsvermelding van de zaak).

7. Internationale doorgifte

De kernverwerking van FAD vindt plaats binnen de Europese Economische Ruimte (EER): onze database staat bij Supabase in Ierland en onze e-mail loopt via Brevo in Frankrijk. Een aantal verwerkers is (mede) in de Verenigde Staten gevestigd, met name Vercel, Expo, Fastly en delen van Google, Stripe, RevenueCat, Cloudflare en Apple.

Voor doorgifte naar de VS steunen wij op passende waarborgen. Het EU-VS Data Privacy Framework (DPF) is een geldig doorgiftekader: het Gerecht van de Europese Unie bevestigde op 3 september 2025 de geldigheid ervan. Wij steunen op het DPF waar de betreffende verwerker DPF-gecertificeerd is (zoals Stripe), en hanteren daarnaast de standaardcontractbepalingen (SCC’s) van de Europese Commissie als terugval, mede omdat tegen het DPF nog een beroep aanhangig is bij het Hof van Justitie.

8. Hoe lang bewaren wij gegevens?

Accountgegevens: zolang je account bestaat; na verwijdering binnen 30 dagen gewist of geanonimiseerd, inclusief back-ups.
Biometrisch bronmateriaal (liveness/identiteit): niet door FAD bewaard; alleen een verwijzing en de uitkomst worden bewaard zolang je account bestaat. Bij Stripe: biometrische kenmerken binnen 1 jaar verwijderd, overige identiteitsgegevens tot 3 jaar.
Financiële brondocumenten: bij een geslaagde controle onmiddellijk na de beoordeling verwijderd; bij een afgekeurde controle bewaard tot de beoordeling door een medewerker is afgerond, met een uiterste termijn van dertig dagen. Alleen de uitkomst, het uitgelezen bedrag en de gehanteerde grens blijven bewaard, zolang het daarop gebaseerde lidmaatschap actief is en anders tot twaalf maanden na de beoordeling.
Chatfoto’s: automatisch verwijderd 8 uur na verzending.
Chatberichten: bewaard zolang de match bestaat; verwijdert één van beiden de match, dan verdwijnt het gesprek voor beiden.
Locatie: je laatste positie tot je beide schakelaars uitzet, tot zeven dagen na de laatste bijwerking of tot je je account verwijdert, wat het eerst gebeurt; posities op weg naar een afspraak tot de afspraak eindigt en uiterlijk vier uur na de laatste bijwerking; je laatste positie bij live delen tot het delen eindigt en uiterlijk een uur nadat het is verlopen; bij het inchecken en bij een noodsignaal alleen een tijdstip, geen positie.
Meldingen en veiligheidsgegevens: tot 24 maanden na afhandeling, of langer indien nodig voor een juridische verplichting.
Meldingen dat een partnerbar gesloten is: wie de melding deed, wissen wij zes maanden na afhandeling; welke bar, wanneer, de status en de uitkomst bewaren wij zolang de bar deelneemt.
Gegevens van je veiligheidscontact: bewaard zolang jij het contact in de app hebt staan; verwijder je het contact of zeg je je account op, dan worden zij onmiddellijk gewist.
Check-in en veiligheidsmeldingen: de gegevens van een check-in-ronde (wanneer bevestigd of gemist) en van een live-deling (zonder positie) 30 dagen na afloop; van een verstuurde veiligheidsmelding (wanneer en aan welk contact, zonder de berichttekst) 90 dagen.
Wachtlijstgegevens: tot de start in jouw stad of maximaal 12 maanden, wat zich het eerst voordoet.
Foutmeldingen: 30 dagen.
Pushmeldingen in onze verzendwachtrij: zeven dagen na verzending.

9. Hoe beveiligen wij je gegevens?

Telefoonnummers voor de vermijd-functie worden uitsluitend versleuteld/gehasht verwerkt, nooit leesbaar opgeslagen.
Chatfoto’s staan in afgeschermde opslag met toegangsregels, zodat alleen de twee deelnemers ze zien.
Het voucherscherm is beveiligd tegen schermafbeeldingen (op Android geblokkeerd, op iOS gedetecteerd waarna de voucher vervalt).
De verwerking van biometrie is uitbesteed aan een gespecialiseerde partner (Stripe Identity), zodat wij zelf geen biometrische database beheren.

10. Jouw rechten

Onder de AVG heb je recht op inzage, correctie, verwijdering, beperking, dataportabiliteit en bezwaar. Waar wij verwerken op basis van toestemming, kun je die altijd intrekken — in het bijzonder je toestemming voor de biometrische verificatie. Je kunt je account in de app verwijderen. Stuur een verzoek naar privacy@fancyadrink.app; wij reageren binnen 30 dagen.

11. Minimumleeftijd en leeftijdsverificatie

FAD is uitsluitend bedoeld voor personen van 18 jaar en ouder. Dit is een strikte ondergrens: de app leidt tot een fysieke ontmoeting en houdt verband met het nuttigen van alcohol. Door de app te gebruiken verklaar je dat je 18 jaar of ouder bent.

Bij registratie vragen wij je geboortedatum. Vanaf Silver wordt je leeftijd bovendien geverifieerd via de liveness-/identiteitscontrole. Waar de wet dat vereist, gebruiken wij daarnaast de leeftijdssignalen van de app-stores en aanvullende leeftijdsverificatie die voldoet aan de lokaal geldende eisen (zoals de “highly effective age assurance” die de Online Safety Act in het Verenigd Koninkrijk voorschrijft). Bij een koppelabonnement geldt een uitzondering: de gekoppelde partner die Preview blijft, doorloopt deze controle niet; diens leeftijd rust op de bij registratie opgegeven geboortedatum.

12. Wijzigingen in dit beleid

Wij kunnen dit beleid bijwerken. Bij belangrijke wijzigingen tonen wij een melding in de app. De datum bovenaan geeft aan wanneer het beleid voor het laatst is bijgewerkt.

13. Klachten en contact

Heb je vragen of klachten? Mail privacy@fancyadrink.app. Kom je er met ons niet uit, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

14. Specifieke rechten per regio

Verenigd Koninkrijk (UK GDPR): gebruikers uit het VK hebben vergelijkbare rechten. Klachten kunnen worden ingediend bij de Information Commissioner’s Office (ICO) via ico.org.uk. Daarnaast gelden voor FAD in het VK de verplichtingen uit de Online Safety Act (zie hoofdstuk 11).

FAD wordt aangeboden in Nederland. Uitbreiding naar andere landen van de Europese Economische Ruimte en het Verenigd Koninkrijk volgt stapsgewijs. De app is bewust niet wereldwijd beschikbaar; wij bieden hem niet aan in rechtsgebieden die wij nog niet bedienen.