Dit is een vertaling. De Engelse versie is de versie die geldt. English

Privacybeleid

Van kracht per 18 oktober 2026. Bijgewerkt op 22 oktober 2026: Marrow wordt nu uitgegeven door Marrow Health LLC.

Marrow is zo gebouwd dat er bijna niets te verzamelen valt. Je gezondheidsgegevens staan op je iPhone, in Apple Health en in de eigen lokale database van Marrow. Er is geen Marrow-account en er is geen analytics. De enige kopie van je gezondheidsgegevens op een server die wij beheren, is de optionele Cloud-MCP-mirror, die alleen bestaat als je hem aanzet en verdwijnt als je hem uitzet.

Dit beleid geldt voor de Marrow iOS-app en de diensten op marrowhealthapp.com en skeletonarmy.tech. Marrow wordt uitgegeven door Marrow Health LLC, een limited liability company uit Georgia (VS). Vragen: [email protected].

1. Wat op je apparaat blijft

Alles, standaard. Concreet:

• Elke Apple Health-meetwaarde die Marrow leest, waaronder stappen, hartslag, slaap, work-outs, lichaamsmetingen en de rest van de categorieën die je toestaat.
• Je voedingslog, met maaltijden, voedingsstoffen, porties en elke foto die je hebt gemaakt.
• Je work-outlogboek, doelen en app-instellingen.
• Toegangstokens voor elke server of agent waarmee je koppelt, bewaard in de iOS-sleutelhanger.

Deze gegevens staan in de lokale database van Marrow binnen de sandbox van de app op je iPhone. Marrow bewaart je gezondheidsgegevens niet in iCloud. Heb je back-ups van je iPhone aan staan, dan valt de back-up van je apparaat onder het privacybeleid van Apple, niet het onze.

2. Wat je apparaat verlaat, en alleen als je erom vraagt

Maaltijdfoto's die je wilt scannen

Als je voeding met een foto logt, wordt die ene afbeelding naar de fotodienst van Marrow gestuurd en doorgestuurd naar de Gemini API van Google, die een inschatting teruggeeft van wat het voedingsmiddel is en wat de voedingswaarde is. Belangrijke details:

• De afbeelding wordt opnieuw gecodeerd voordat hij wordt verstuurd, waardoor EXIF-metadata worden verwijderd, waaronder gps-locatie, cameramodel en tijdstempels.
• De foto wordt op onze server niet naar schijf geschreven. Hij wordt voor de duur van het verzoek in het geheugen bewaard en daarna weggegooid.
• Marrow gebruikt een betaalde API-variant van Google, waarbij Google ingediende inhoud niet gebruikt om zijn modellen te trainen of te verbeteren. Google mag inhoud kort bewaren voor misbruikcontrole en naleving van de wet volgens de voorwaarden van de Gemini API.
• Met de foto worden geen gezondheidsgegevens, geen naam, geen e-mailadres en geen accountidentificatie meegestuurd. Google ontvangt de afbeelding en verder niets over jou.
• Loggen met AI is optioneel. Handmatig invoeren verstuurt niets. Voeding zoeken kijkt in de USDA-voedingsmiddelen die op de telefoon in de app zijn ingebouwd, en stuurt alleen de woorden die je typt naar Open Food Facts om merkproducten te vinden. Er wordt nooit een afbeelding of audio verstuurd.

Tekst en gesproken beschrijvingen die je wilt loggen

Als je voeding logt door een beschrijving te typen of in te spreken, wordt die tekst of dat korte audiofragment naar de voedingsdienst van Marrow gestuurd en doorgestuurd naar de Gemini API van Google, die een transcript teruggeeft (bij audio) en een inschatting van de voedingsmiddelen en hun voedingswaarde. Het fragment en de tekst worden voor het verzoek in het geheugen bewaard en daarna weggegooid. Er wordt niets op onze server naar schijf geschreven. Dezelfde API-voorwaarden van Google als bij foto's gelden. Er reizen geen gezondheidsgegevens en geen identiteit mee.

Cloud-MCP (Marrow Pro): een privékopie op onze server

Dit is optioneel, standaard uit, en het enige geval waarin wij gezondheidsgegevens bewaren. Zet je het aan, dan maakt de app een mirror op een server die wij beheren en houdt die op de achtergrond actueel: je Apple Health-meetwaarden, maaltijden, work-outs, krachtsets, slaap en je dagelijkse doelen, dezelfde gegevens die de app toont. ChatGPT, Claude of Gemini kunnen die kopie dan op elk moment lezen, ook als je telefoon slaapt. Belangrijke details:

• De link die de app je geeft, identificeert je mirror maar kan hem niet lezen. Elke AI moet zich aanmelden, en de aanmelding is pas voltooid als je de code van de aanmeldpagina in Marrow typt en goedkeurt. Je kunt elk verzoek weigeren.
• De mirror staat op een server in de Verenigde Staten, beschermd door toegangstokens die gehasht worden opgeslagen. Technisch gezien kunnen we hem lezen zolang hij bestaat, dat doen we niet, en we loggen alleen aanvraagpaden en statuscodes, nooit tokens of inhoud. Het verkeer loopt via Cloudflare, dat TLS afhandelt.
• Zet je ook AI-schrijftoegang toestaan aan (Marrow 1.3.4 en nieuwer. Standaard uit), dan kan een AI die je hebt goedgekeurd vragen om items toe te voegen of te wijzigen: maaltijden, water, gewicht, work-outs, slaap, symptomen, stemming en je doelen. Het verzoek wordt in de mirror bewaard totdat je telefoon het ophaalt en toepast, en blijft daar samen met de rest van de kopie staan zodat het ongedaan kan worden gemaakt. Zolang de schakelaar aanstaat, bewaart de mirror ook het Apple-pushmeldingstoken van je telefoon, dat alleen wordt gebruikt om de telefoon te laten weten dat er iets wacht. Zet je de schakelaar uit, dan verdwijnt het token. De melding zelf bevat geen gezondheidsgegevens.
• Wie ontvangt wat de AI leest. Elk antwoord van je AI wordt geproduceerd door zijn aanbieder (Anthropic voor Claude, OpenAI voor ChatGPT, Google voor Gemini) uit de gegevens die de dienst van die aanbieder op jouw verzoek uit je kopie heeft gelezen. Wat zij bewaren en hoe zij het gebruiken, valt onder de voorwaarden van die aanbieder, niet de onze. Wij sturen uit onszelf niets naar een AI-aanbieder.
• Hoe lang de kopie wordt bewaard. Zolang Cloud-MCP aanstaat en niet langer: als je op Ontkoppelen en de kopie verwijderen tikt, wordt de mirror direct verwijderd, samen met elk token, elke wachtende schrijfaanvraag en elk pushtoken dat erbij hoort. Een mirror die is aangemaakt maar nooit een push van de telefoon heeft ontvangen, wordt na zeven dagen verwijderd. Verwijder je de app zonder eerst te ontkoppelen, dan blijft de kopie staan totdat je ons vraagt hem te verwijderen (zie deel 6). We kunnen een verwijderde app niet onderscheiden van een telefoon die gewoon offline is. Het intrekken van een verbonden AI stopt zijn leesacties meteen.
• Serverlogs. De Connect-server logt één regel per verzoek: de methode, het pad, de statuscode en de tijd. Nooit de gegevens, nooit een token. Die logs worden geroteerd en binnen 30 dagen verwijderd.

Aankopen

Marrow Pro wordt verkocht via Apple. Apple regelt de betaling, de gratis proefperiode, verlengingen, opzeggen en terugbetalingen, en wij zien nooit je kaart, naam of Apple ID. De app controleert je recht met Apple op het apparaat. Wij draaien geen aankoopserver en bewaren geen aankoopgegevens die aan je identiteit zijn gekoppeld (zie Abonnementsanalyse hieronder). Als de app met onze voedingsdienst praat, geeft hij door of het apparaat Pro heeft (één woord, zodat de dienst de juiste dagelijkse limiet kan toepassen) en welke appversie het is. Geen van beide is aan jou gekoppeld.

Abonnementsanalyse (RevenueCat)

Om te zien hoe Marrow Pro het doet (gestarte proefperiodes, behouden of opgezegde abonnementen, omzet), meldt de app aankoopgebeurtenissen aan RevenueCat, een dienst voor abonnementsanalyse. Wat het ontvangt: de App Store-transactie (welk abonnement, wanneer, de prijsklasse en of het is verlengd), een anonieme identificatie die RevenueCat voor de installatie aanmaakt en basisgegevens van het apparaat zoals de iOS-versie en appversie. Het ontvangt je naam, e-mailadres, Apple ID of gezondheidsgegevens niet, en we gebruiken het niet voor advertenties. Apple blijft de verkoper. RevenueCat observeert alleen de transacties die Apple al heeft uitgevoerd.

Een versiecontrole

Elke keer dat Marrow naar de voorgrond komt, downloadt het een klein bestand van onze server dat zegt welke appversies nog worden ondersteund. Het verzoek bevat geen identificatie. Het noemt alleen het land van de App Store waar je telefoon koopt (bijvoorbeeld VS), zodat de prijzen in de app overeenkomen met je winkel. Onze server bewaart daar niets van, behalve het gewone verbindingslog dat hieronder wordt beschreven. Is je versie lager dan het minimum, dan toont de app een updatescherm in plaats van te draaien.

Apple Watch

De horloge-app ontvangt de totalen van vandaag, je doelen en je recente maaltijden van de iPhone via Watch Connectivity van Apple, en stuurt het water en de maaltijden terug die je op je pols logt. Dat verkeer blijft tussen je twee apparaten. Het horloge bewaart de laatste cijfers voor zijn complicaties. Het leest niets uit de app Gezondheid op het horloge en heeft geen toestemming voor Gezondheid. Een maaltijd die op het horloge wordt gedicteerd, wordt door watchOS in woorden omgezet en daarna precies zo behandeld als een getypte beschrijving hierboven.

Oefenfoto's

De foto's van de oefeningenbibliotheek zijn niet meegeleverd. Als je een oefening opent, haalt de app de twee foto's op uit een openbare open source repository op GitHub (free-exercise-db). GitHub ziet een gewoon afbeeldingsverzoek vanaf je IP-adres en verder niets: geen identificatie, geen gezondheidsgegevens en niets over je work-out. De foto's worden daarna op de telefoon in de cache bewaard.

Campusmensa-menu's (Marrow Pro)

Kies je een school, dan downloadt de app de gepubliceerde menu's van die school uit een statisch bestand op onze server. Je keuze van school wordt op je apparaat bewaard. Het verzoek bevat geen identificatie en geen gezondheidsgegevens.

Een willekeurige apparaat-ID, alleen om verzoeken te beperken

Loggen met AI (foto, tekst en stem) kost ons per verzoek geld, dus het is per apparaat per dag begrensd: drie per dag in het gratis abonnement, een hogere limiet bij Marrow Pro. Om verzoeken te tellen, genereert de app de eerste keer dat je scant een willekeurige identificatie, bewaart die in je sleutelhanger en stuurt hem mee met fotoverzoeken. Het is niet je Apple ID, niet het serienummer van je apparaat, niet een advertentie-ID en het is niet afgeleid van iets over jou of je hardware. Onze server bewaart alleen een telling voor de huidige dag, en de rijen van gisteren worden verwijderd zodra de dag omslaat. Hij wordt nooit gedeeld en nooit aan gezondheidsgegevens gekoppeld, omdat we nooit gezondheidsgegevens ontvangen.

Barcodes en zoekopdrachten naar voeding

Als je een barcode scant of naar voeding zoekt, wordt het barcodenummer of de zoektekst naar Open Food Facts gestuurd, een open voedingsdatabase, om merkproducten op te zoeken. Er gaan geen identificatie en geen gezondheidsgegevens mee. Marrow wordt ook geleverd met een ingebouwde USDA FoodData Central-database, zodat generieke voedingsmiddelen offline worden gevonden, zonder enig netwerkverzoek.

Alles wat je bewust exporteert

Het hele punt van Marrow is dat je je eigen gegevens kunt verplaatsen. Als je een bestand exporteert, een automatisering draait, een server koppelt of een AI-agent via MCP verbindt, gaan je gegevens waar jij ze naartoe stuurt. Wijs je een automatisering naar je eigen server, dan ontvangt die server je gezondheidsgegevens en gelden de regels van de beheerder ervan. Wij zitten niet in het midden van die verbinding, we zien haar niet en we kunnen de gegevens niet voor je ophalen. Kies bestemmingen die je vertrouwt.

3. Wat onze server logt

De voedingsdienst schrijft één regel per verzoek met: een tijdstempel, hoe lang het verzoek duurde, de HTTP-statuscode, de grootte van de upload in bytes, de naam van het model, hoeveel voedingsmiddelen zijn herkend en het aantal tokens. Hij logt niet de afbeelding, de herkende voedingsmiddelen, je apparaat-ID, je IP-adres in applicatielogs, of gezondheidsgegevens.

Deze website. marrowhealthapp.com telt bezoeken met Cloudflare Web Analytics: welke pagina's worden bekeken, welke site de bezoeker stuurde en de browser, het soort apparaat en het land. Het plaatst geen cookies, maakt geen vingerafdruk en volgt je niet naar andere sites. De app stuurt er niets naartoe.

4. Wat we nooit doen

Dit zijn toezeggingen, geen standaardinstellingen die we stilletjes zouden kunnen veranderen. Dit deel bestaat mede omdat richtlijn 5.1.3 van de App Store Review Guidelines van Apple voor gezondheidsapps geldt, en we houden ons er uitdrukkelijk aan:

• We gebruiken gezondheidsgegevens nooit voor advertenties. Marrow toont geen enkele advertentie, van ons of van wie dan ook.
• We verkopen, verhuren of ruilen je gegevens nooit, aan databrokers of wie dan ook.
• We delen gezondheidsgegevens nooit met derden voor marketing, en we delen ze nooit voor hun eigen onafhankelijke gebruik.
• We bewaren je gezondheidsgegevens nooit in iCloud.
• We gebruiken gezondheidsgegevens nooit voor een doel buiten je directe voordeel in de app, zoals onderzoek of profilering, zonder je aparte toestemming.
• We draaien geen advertentie- of tracking-SDK en geen crashrapportage. De ene analysedienst in de app, RevenueCat, ziet aankoopgebeurtenissen en nooit gezondheidsgegevens. Marrow vraagt niet om toestemming voor App Tracking Transparency, omdat het je niet volgt.
• We vragen geen account, dus we bewaren geen e-mailadres, wachtwoord of profiel van je.

5. Toestemmingen voor Apple Health

Marrow leest alleen uit Apple Health in de categorieën die je goedkeurt, en iOS bepaalt dat helemaal. Je kunt elke categorie op elk moment bekijken of intrekken in Instellingen, Privacy en beveiliging, Gezondheid, Marrow. Marrow schrijft ook terug naar Apple Health, zoals voeding die je logt en work-outs die je opneemt, als je dat toestaat. Laat je een verbonden AI voor je loggen, dan worden de items die de AI op je verzoek toevoegt (ook slaap, symptomen en gemoedstoestand) op dezelfde manier geschreven, en alleen voor de typen die je toestaat. Het intrekken van een toestemming stopt nieuwe leesacties meteen. Gegevens die al naar de lokale database van Marrow zijn gesynchroniseerd, blijven daar staan totdat je ze verwijdert of de app verwijdert.

6. Je gegevens verwijderen

Verwijder de Marrow-app en alles wat hij heeft opgeslagen wordt meteen mee verwijderd, omdat het allemaal in de sandbox van de app staat. Er is geen account aan de serverkant om op te heffen. De enige uitzondering is de optionele kopie van Verbind je AI: tik op Ontkoppelen en de kopie verwijderen op de kaart Cloud-MCP voordat je de app verwijdert, en de kopie is direct weg. Heb je de app al verwijderd terwijl Verbinden nog aanstond, mail ons dan op het adres hieronder met je Connect-link (de link van de kaart Cloud-MCP, als je die nog hebt) of ongeveer de datum waarop je Verbinden aanzette, en we verwijderen de kopie binnen 30 dagen. We kunnen hem niet vinden op je naam, omdat de kopie er geen bevat. Gegevens in Apple Health zijn van Apple Health en worden beheerd in de app Gezondheid. Gegevens die je naar je eigen bestemmingen hebt geëxporteerd, mag je daar zelf verwijderen. Bestanden die je naar je eigen apparaten hebt geëxporteerd, zijn eveneens van jou.

7. Beveiliging

Alle netwerkverzoeken gebruiken TLS. Gekoppelde servers en de MCP-server op het apparaat worden geauthenticeerd met bearertokens die op je apparaat worden gegenereerd en in de sleutelhanger worden bewaard. De server op het apparaat wordt uitgeschakeld geleverd en bindt alleen aan je lokale netwerk als je hem aanzet, en je kunt een token intrekken door de server in de app te ontkoppelen. Verbind je AI werkt andersom: de tokens zijn OAuth-tokens die onze Connect-server uitgeeft aan de AI die je hebt goedgekeurd (met PKCE, korte levensduur en vernieuwing), gehasht op de server opgeslagen, en elk ervan wordt ingetrokken door Ontkoppelen. Om een beveiligingsprobleem te melden, mail je het adres hieronder met "Security" in het onderwerp, of zie security.txt.

8. Kinderen

Marrow is niet gericht op kinderen onder de 13 en we verzamelen niet bewust informatie van hen. We hebben geen accounts, dus we hebben geen manier om de leeftijd van een gebruiker vast te stellen.

9. Je rechten

Op grond van wetten zoals de AVG (GDPR) en de CCPA heb je het recht om je persoonsgegevens in te zien, te corrigeren, te verwijderen en over te dragen, en om bezwaar te maken tegen bepaalde verwerking. De architectuur van Marrow voldoet daar van nature aan: je gegevens zijn al in je bezit, op elk moment te exporteren in open formaten en te verwijderen door de app te verwijderen. We verkopen geen persoonsgegevens, dus er valt niets af te melden. Denk je dat we iets over je hebben en wil je dat het wordt verwijderd, schrijf dan naar [email protected] en we handelen binnen 30 dagen.

10. Wijzigingen

Wijzigt dit beleid op een manier die raakt aan wat je apparaat verlaat, dan werken we de ingangsdatum bovenaan bij en beschrijven we de wijziging in de releasenotities van de app. Blijf je de app gebruiken na een wijziging, dan accepteer je het bijgewerkte beleid.

11. Contact

Marrow Health LLC
[email protected]