Balance — Beleid voor gegevensretentie en verwijdering

Effective date: 28 June 2026 Last updated: 28 June 2026

Jaarlijkse beoordeling: volgende geplande beoordeling uiterlijk 9 juni 2027. Van toepassing op: elke categorie persoonsgegevens die Balance verwerkt. Dit is het schriftelijke beleid voor gegevensretentie en verwijdering dat vereist wordt door de U.S. Children's Online Privacy Protection Act ("COPPA") onder 16 CFR § 312.10. Het voldoet ook aan de plichten inzake opslagbeperking en gegevensminimalisatie onder AVG Artikelen 5(1)(c) en 5(1)(e) en UK GDPR Artikelen 5(1)(c) en 5(1)(e), Artikel 14 van de Chileense Wet 21.719, de retentieregels onder de Colombiaanse Wet 1581 en het bijbehorende regelgevingskader, en de equivalente regel in elk ander land. Dit document is gepubliceerd op retention.html als een Layer-A aanvulling op ons Privacybeleid (waarvan paragraaf 8 de gebruikersvriendelijke samenvatting bevat) en onze Kinderprivacyverklaring (waarvan paragraaf 8 het COPPA-specifieke schriftelijke schema voor kindergegevens bevat). Als de formulering voor gebruikers in het Privacybeleid of de Kinderprivacyverklaring ooit inconsistent lijkt met dit Retentiebeleid, is dit Retentiebeleid leidend voor de operationele retentieperiode (het Privacybeleid en de Kinderprivacyverklaring zijn de openbare samenvattingen, en we moeten deze mogelijk verduidelijken; als er een conflict is, schrijf dan naar en we zullen dit afstemmen).

1. Principes

De retentie van Balance wordt beheerst door vier principes. Elke retentieperiode in dit Beleid moet aan elk daarvan voldoen: Doelbinding (AVG Art. 5(1)(b), COPPA § 312.7). We bewaren persoonsgegevens slechts zolang als nodig is om de door de ouder gecontracteerde ouderlijk toezicht-dienst uit te voeren, te voldoen aan onze wettelijke verplichtingen, of om een gerechtvaardigde claim te verdedigen. We "ronden" retentieperiodes niet af naar handige getallen. Opslagbeperking (AVG Art. 5(1)(e), COPPA § 312.10). De hieronder vermelde retentieperiodes zijn maximumwaarden, geen minimumwaarden. Wanneer de ouder eerder om verwijdering verzoekt — of wanneer het operationele doel eerder eindigt — worden de gegevens eerder verwijderd. Gegevensminimalisatie (AVG Art. 5(1)(c)). We bewaren de kleinst mogelijke dataset die het doel vereist. We bewaren nooit een categorie die we niet nodig hebben. Standaard verwijderen (UK Children's Code, OESO-privacyprincipes). Voor elke nieuwe functie is de ontwerpkeuze standaard verwijderen, tenzij retentie een specifiek genoemd doel heeft. Elke retentieregel in paragraaf 3 hieronder is gekoppeld aan een of meer van deze principes in de kolom "Waarom deze periode".

2. Rollen

Verwerkingsverantwoordelijke: BabaYaga Program, TOO (Kazachstan; BIN 260540024651). Proceseigenaar: , Directeur — fungeert tevens als Privacy Officer () en Aangewezen Functionaris voor Kinderveiligheid (). Dienstverleners die kopieën van de gegevens bewaren (subverwerkers): de lijst staat in paragraaf 6 van het Privacybeleid. De verwerkingsverantwoordelijke is verantwoordelijk voor het waarborgen dat elke subverwerker de onderstaande retentieregels naleeft — vastgelegd in de verwerkersovereenkomst (DPA) met elke provider. Jaarlijkse beoordelaar: , Directeur, ondertekent de jaarlijkse beoordeling (paragraaf 12) en elke wijziging van een retentieperiode.

3. Hoofdretentietabel — per categorie

Dit is de leidend retentietabel. Het Privacybeleid (§ 8) en de Kinderprivacyverklaring (§ 8) tonen de gebruikersvriendelijke samenvatting afgeleid van deze tabel.

3.1 Accountgebonden categorieën

3.2 Categorieën afgeleid van het apparaat van het kind

3.3 End-to-end versleutelde bewijsmedia en sleutels

3.4 Ephemere verificatie- en koppelingstokens

3.5 Operationele gegevens

4. Verwijderingsmechanismen

4.1 Door ouder geïnitieerde verwijdering van een kind (verwijdering per kind)

Wanneer de ouder de in-app actie "Kind verwijderen" gebruikt (onder de privacy-instellingen) en bevestigt, of schrijft naar met het verzoek om een specifiek kind te verwijderen, doet de backend het volgende: Stopt onmiddellijk met verdere verzameling van het apparaat van het kind (de voorgrondservice op het apparaat van het kind ontvangt een kill-signaal bij de volgende health-check; de koppeling van het apparaat wordt ongeldig verklaard, zodat toekomstige uploads worden afgewezen bij de API-gateway). Markeert het kindrecord voor verwijdering en plant de cascade om uit te voeren na een afkoelperiode van 1 uur in de app. Verzoeken die per e-mail zijn ingediend bij worden nageleefd volgens de wettelijke termijnen in § 5 (AVG 30 dagen; COPPA 10 werkdagen; CCPA 45 dagen), niet de afkoelperiode van 1 uur. Voert de verwijderingscascade uit zodra het afkoelvenster is verstreken: verwijdert de gebruiksrecords van het kind, catalogus van geïnstalleerde apps, instellingen per kind, meldingen, taakdefinities en instanties, verdiende-tijd grootboek (ledger) en afwikkelingen, streaks, recovery enveloppen en gezinsgeneratievlaggen; verwijdert elke versleutelde apparaatsleutel die toebehoort aan dat kind; verwijdert het ouder media-sleutelmateriaal dat aan dat kind is gekoppeld; verwijdert elk bewijsmedia-object dat voor dat kind is opgeslagen in onze Google Cloud-opslaglocatie — met directe objectverwijdering, niet via levenscyclus, zodat de verwijdering onmiddellijk is; verwijdert elk media-metadatarecord dat verwijst naar dat kind; verwijdert het kindrecord zelf. Stuurt een bevestigingsmail naar de ouder op het account.

4.2 Door ouder geïnitieerde verwijdering van het ouderaccount (account verwijderen)

Wanneer de ouder de in-app actie "Account verwijderen" gebruikt (onder de privacy-instellingen) en bevestigt, of schrijft naar : De in-app actie "Account verwijderen" past een afkoelperiode van 1 uur toe (zelfde mechanisme als § 4.1): het account wordt gemarkeerd voor verwijdering en de cascade wordt uitgevoerd zodra de afkoelperiode is verstreken. E-mail/handmatige verzoeken verzonden naar worden nageleefd volgens de wettelijke termijnen in § 5, niet de afkoelperiode van 1 uur. Voert de per-kind cascade uit in § 4.1 voor elk kind dat aan het gezin is gekoppeld. Verwijdert het gezinsrecord. Verwijdert elke versleutelde apparaatsleutel die toebehoort aan de ouder. Verwijdert het ouderaccountrecord. Stuurt een bevestigingsmail naar het adres dat op het moment van het verzoek in het bestand stond. Abonnementstatus: elk actief Google Play-abonnement wordt niet automatisch door ons geannuleerd — we instrueren de ouder om te annuleren in Google Play → Abonnementen (we kunnen een Google Play-abonnement niet namens de ouder annuleren zonder een OAuth-scoped actie die de ouder ons niet verleent). De ouder wordt hieraan herinnerd bij de verwijderingsbevestigingsstap.

4.3 Slapende accounts (naar eigen goeddunken)

We kunnen accounts sluiten en verwijderen die lange tijd inactief zijn geweest. Als we besluiten dit voor een bepaald account te doen, sturen we de ouder een kennisgeving per e-mail voordat we tot verwijdering overgaan en geven we een redelijke gelegenheid om in te loggen en het account actief te houden. Er is geen vaste periode van inactiviteit — dit is een clausule naar eigen goeddunken om ons een manier te geven om duidelijk verlaten gegevens op te ruimen, terwijl we ouders beschermen die Balance simpelweg weinig gebruiken. (Dit spiegelt Privacybeleid § 8 woord voor woord en maakt deel uit van dezelfde afgezwakte positie die op 9 juni 2026 is aangenomen.)

4.4 Intrekking van toestemming

De ouder kan te allen tijde toestemming voor voortdurende verzameling van het apparaat van een kind intrekken. De meest directe route is het verwijderen van het kind (§ 4.1). Het verwijderen van het kind stopt de verdere verzameling onmiddellijk en activeert de verwijderingscascade zodra de afkoelperiode van 1 uur in de app is verstreken (of volgens de wettelijke termijnen in § 5 voor e-mail/handmatige verzoeken). De rechtmatigheid van eerdere verwerking die vóór de intrekking is uitgevoerd, wordt hierdoor niet aangetast.

4.5 Verwijdering van specifieke categorieën zonder het kind te verwijderen

Een ouder die het kind wil behouden maar een categorie wil verwijderen (bijvoorbeeld "verwijder elke bewijsvideo ouder dan 7 dagen") kan: in-app: open het media-tabblad van het kind en tik op "Verwijderen" bij elk item, of gebruik de bulkselectie-actie in het in-app media-tabblad; per e-mail: schrijf naar met het verzoek. We zullen reageren binnen de termijn in § 5 hieronder.

4.6 Back-ups

Operationele back-ups blijven een verwijderingsbeschermd snapshot bevatten voor het rollende back-upvenster beschreven in § 3.5. Onze eigen periodieke back-ups bij Google Cloud worden bewaard op een 30-daags rollend venster; zodra een back-up uitroulereert, zijn de verwijderde gegevens niet meer herstelbaar. De eigen snapshots van de hostingprovider rouleren volgens hun gepubliceerde back-upretentiebeleid. Het Privacybeleid openbaart deze uitzondering (§ 8). Het is de enige rechtmatige uitzondering op de belofte dat "verwijdering onmiddellijk is".

5. Termijnen voor rechten van betrokkenen

We respecteren elke wettelijke termijn die van toepassing is op een ouder die een recht uitoefent (toegang, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar): AVG / UK GDPR: 30 kalenderdagen vanaf ontvangst van het verzoek; verlengbaar met maximaal 60 extra dagen voor complexe verzoeken, met schriftelijke kennisgeving. U.S. state privacy laws (CCPA/CPRA, VCDPA, CPA, CTDPA, UCPA, TDPSA, en andere staatswetten): 45 kalenderdagen, verlengbaar met 45 dagen met kennisgeving. COPPA verified parental deletion requests: zonder onredelijke vertraging, in de praktijk binnen 10 werkdagen. Andere landen: de termijn vastgesteld door de lokale wetgeving inzake gegevensbescherming. De Privacy Officer () volgt elk verzoek op in het interne DSAR-logboek onder . Elk verzoek wordt afgesloten met een schriftelijke dispositie.

6. Juridisch bewaarbevel en uitzonderingenregister

We kunnen een specifiek record langer bewaren dan § 3 aangeeft alleen in de volgende omstandigheden, en alleen zolang de omstandigheid dit vereist: Belasting- en boekhoudretentie onder de wetgeving van Kazachstan (abonnementsrecords — zie § 3.1). Bevelen tot juridische bewaring (legal-hold) van een bevoegde autoriteit (een gerechtelijk bevel, een bewaringskennisgeving van een toezichthouder, een wettig productiebesluit) — duur bepaald door het bevel. Bewaring voor kinderveiligheid onder 18 U.S.C. § 2258A(h) (90 dagen, verlengbaar met 90 dagen op verzoek van een agentschap) voor zaken geclassificeerd onder § 7 van de Child Safety Standards. Actief juridisch geschil waarbij wij partij zijn — duur: totdat de zaak is afgesloten plus de verjaringstermijn voor beroep onder de toepasselijke proceswet. Elke retentie buiten § 3 moet schriftelijk worden goedgekeurd door de Privacy Officer en worden geregistreerd in het retentie-uitzonderingenregister dat wordt bijgehouden onder . Het register wordt bij elke jaarlijkse beoordeling (§ 12) beoordeeld.

7. Cascadeverificatie — backend-testen

Voor elke release van de backend onderhouden we een regressietest die de verwijderingscascade end-to-end uitoefent. Onze geautomatiseerde verwijderingstests verifiëren: dat het verwijderen van het account elk opgeslagen record verwijdert voor elk kind dat aan de ouder is gekoppeld; dat elk bewijsmedia-object dat voor het gezin is opgeslagen, wordt verwijderd (niet slechts gemarkeerd voor vervaldatum via levenscyclus); dat elke versleutelde apparaatsleutel, media-sleutelrecord en media-metadatarecord die gekoppeld is aan de ouder of een van de kinderen van de ouder, wordt verwijderd; dat een bevestigingsmail voor verwijdering wordt verzonden. We voeren de cascadetest uit bij elke CI-run op de verwijderingsrelevante codepaden. Een mislukte cascadetest blokkeert de release.

8. Afstemming van retentie door subverwerkers

Elke subverwerker (paragraaf 6 van het Privacybeleid) is gebonden door een schriftelijke verwerkersovereenkomst die hen verplicht om: niet langer persoonsgegevens te bewaren dan nodig is om hun vermelde dienst uit te voeren; persoonsgegevens te verwijderen of terug te geven op onze instructie, inclusief onmiddellijk op een verwijderingsverzoek per record en bij beëindiging van de DPA; hun eigen back-upretentievenster te handhaven dat niet langer is dan 30 dagen, waar van toepassing; ons op verzoek schriftelijke bevestiging te geven van hun retentiepraktijk. Specifiek:

9. Rotatie van encryptiesleutels

Encryptiesleutels zelf zijn ook onderworpen aan een levenscyclus. Onze key-rotatie runbook documenteert: De server-side sleutel die opgeslagen e-mail beschermt (een AES-256-GCM sleutel gebruikt om e-mailadressen van ouders in rust te versleutelen): jaarlijks rotatiecadans; ad-hoc rotatie bij vermoeden van compromittering. Rotatie vereist het opnieuw versleutelen van elke opgeslagen e-mail in een enkele migratiejob. De server-side pepper toegevoegd aan eenmalige code-hashes (een server-only geheim gecombineerd met SHA-256 vóór het opslaan van eenmalige codes): jaarlijks rotatiecadans; bij rotatie worden alle live eenmalige codes onverifieerbaar en binnen 1 uur verwijderd. Vensters voor eenmalige codes zijn opzettelijk kort, zodat de voor de gebruiker zichtbare impact beperkt is. Per apparaat E2EE sleutelparen (X25519 apparaatsleutels in bezit van de ouder en het kind): beheerd door de clients; de backend slaat alleen de publieke helft op. Rotatie wordt aangestuurd door het apparaat wanneer de gebruiker opnieuw koppelt of migreert naar een nieuw apparaat — zie paragraaf 9 van het Privacybeleid. Het runbook valt onder de controle van .

10. Continue verbetering

We beoordelen en verbeteren periodiek onze geautomatiseerde retentie- en verwijderingsjobs om ze in lijn te houden met dit Beleid. Waar een geïmplementeerd retentievenster of verwijderingsjob in lijn wordt gebracht, wordt het interim-operationele gedrag beheerst door onze bestaande schema's voor automatische verwijdering en cascadelogica, en wordt elke afwijking geregistreerd in het retentie-uitzonderingenregister (§ 6) en verzoend bij de jaarlijkse beoordeling (§ 12).

11. Hoe een ouder de retentie kan verifiëren

Een ouder kan onze retentie te allen tijde end-to-end verifiëren: Exporteer de gegevens van het gezin met behulp van de in-app actie voor gegevensexport (onder de privacy-instellingen). De export levert een downloadbaar JSON-archief van elke categorie die we bewaren, met de vastgelegde / aangemaakte / laatst geziene tijdstempel op elke rij. Alles wat ouder is dan het retentievenster voor zijn categorie duidt op een retentiefout — meld dit alstublieft bij . Verwijder het kind of het account en exporteer vervolgens 30 dagen later opnieuw. De export zou leeg moeten zijn (of, voor het ouderaccount, alleen het bevestigingsrecord na verwijdering moeten bevatten). Vraag het ons direct. E-mail en vraag "laat me alles zien wat jullie over mijn gezin bewaren". We zullen binnen de termijnen in § 5 dezelfde export leveren met een schriftelijke bevestiging dat er niets anders bestaat. We nodigen ouders die een discrepantie vinden uit om dit zonder risico op represailles aan ons te melden — we behandelen retentiefouten als bugs en we belonen de melder.

12. Jaarlijkse beoordeling

De Privacy Officer beoordeelt dit Beleid minstens één keer per jaar, uiterlijk op 9 juni elk jaar. De beoordeling omvat: de hoofdtafel in § 3 — elke rij en het bijbehorende schema voor automatische verwijdering; de testsuite voor verwijderingscascades — bevestigend dat deze elke rij in § 3 dekt; het retentie-uitzonderingenregister (§ 6) — bevestigend dat niets buiten het gepubliceerde schema is bewaard zonder een geregistreerde reden; de subverwerkersovereenkomsten (§ 8) — bevestigend dat elk actueel is; de review voor continue verbetering (§ 10) — bevestigend dat onze geautomatiseerde retentie- en verwijderingsjobs in lijn blijven; het rotatiecadans van sleutels (§ 9) — bevestigend dat de laatste rotatie binnen de voorgaande 12 maanden heeft plaatsgevonden. Een materiële wijziging van een retentieperiode vereist: de datum "Laatst bijgewerkt" bovenaan dit document; een overeenkomstige update van het Privacybeleid § 8 en de Kinderprivacyverklaring § 8 (voor zover de wijziging daarop van invloed is); een 30-daagse in-app + e-mailkennisgeving aan ouders op het account wanneer de wijziging een retentieperiode verlengt; wanneer de wijziging een vermindering van de retentie is, is geen voorafgaande kennisgeving vereist (de wijziging is in het voordeel van de ouder).

13. Landbijlagen

Landspecifieke retentienuances (bijvoorbeeld een langere verplichte retentie van belastingdocumenten in een specifiek land, of een kortere verplichte deadline voor het verwijderen van een cascade) worden gepubliceerd in de set landbijlagen die bij dit Beleid hoort op retention.html. Overgeërfde gebieden volgen de bijlage van het land van de ouder, in overeenstemming met paragraaf 18 van het Privacybeleid.

14. Snelreferentie contacten

Privacy / DSAR / gegevensexport / verwijdering: () Meldingen kinderveiligheid: (ook ) Algemene hulp: EU-vertegenwoordiger: Prighter EU Rep GmbH, Schellinggasse 3, 1010 Wenen, Oostenrijk UK-vertegenwoordiger: Prighter Ltd (UK), 20 Mortlake High Street, London SW14 8JN, Verenigd Koninkrijk Postadres: BabaYaga Program, TOO, ul. Ongarsynova 10, kv. 175, Esil district, Astana 010000, Kazachstan Telefoon: Begeleidende documenten: Privacybeleid: privacy.html Kinderprivacyverklaring: children.html Servicevoorwaarden: terms.html Abonnementvoorwaarden: subscription-terms.html Normen voor Kinderveiligheid: child-safety.html Einde van Beleid voor gegevensretentie en verwijdering.