Privacybeleid

Laatst bijgewerkt: 14 oktober 2026

In één oogopslag

• Geen account, geen inhoud van ons. Tunvio is een speler. Uw streams komen rechtstreeks van de aanbieder die u zelf hebt ingevoerd.
• Wij vragen niet om uw inloggegevens. Wij vragen niet om wachtwoorden, adressen van aanbieders of zendernamen en ontvangen ze niet opzettelijk; foutteksten worden automatisch gefilterd op webadressen en inloggegevens, wat niet perfect kan zijn (hoofdstuk 7). Voor filminformatie en ondertitels ziet onze proxy alleen een id of de opgeschoonde titel (hoofdstuk 8); de afbeeldingen zelf worden rechtstreeks geladen van de afbeeldingsserver van TMDB (hoofdstuk 8). Gebruikt u apparaatsynchronisatie, dan komen uw profielen in uw eigen opslag terecht (hoofdstuk 10).
• Wat u vrijwillig deelt, staat standaard uit: gebruiksgegevens en crashrapporten, gedeelde sprongmarkeringen, apparaatsynchronisatie en apparaatkoppeling schakelt alleen u zelf in — en op elk moment weer uit.
• Onze eigen diensten slaan geen IP-adressen op en houden geen toegangslogboeken bij (voor de webserver tunv.io zie hoofdstuk 3).
• Betalen gaat via de store of RevenueCat — betaalgegevens zien wij nooit.

De details staan hieronder.

1. Verwerkingsverantwoordelijke en aard van de dienst

De verwerkingsverantwoordelijke voor de app "Tunvio" in de zin van de AVG is de exploitant van het Tunvio Project zoals vermeld in de colofon (https://tunv.io/impressum) (hierna "wij"). Contact voor gegevensbeschermingszaken: support@tunv.io

Tunvio is uitsluitend een weergave-app. Wij leveren geen inhoud, hosten geen streams en exploiteren geen mediadiensten. Elke IPTV-verbinding loopt rechtstreeks naar een server die u zelf als profiel hebt ingevoerd (Xtream Codes, M3U-afspeellijst, directe URL van een stream of Stalker-portaal). Informatie over uw verantwoordelijkheid bij de keuze van een bron vindt u in de Gebruiksvoorwaarden (https://tunv.io/terms-of-use).

2. Gegevens op uw apparaat

Tunvio slaat het volgende op uw apparaat op:

• profielen met server-URL, gebruikersnaam en wachtwoord van uw aanbieder en een optionele profielnaam
• kijkgeschiedenis, favorieten, instellingen en de optionele ouderlijke pincode per profiel
• miniaturen en TMDB-metadata als cache (hoofdstuk 8)
• downloads en opnamen, als u die aanmaakt
• per profiel, waar u in een serie de intro of de aftiteling hebt overgeslagen, zodat de app daar "Intro overslaan" of "Volgende aflevering" kan aanbieden — en, als u het delen hebt ingeschakeld, de nog niet verzonden bijdragen (hoofdstuk 8)
• een anoniem aankoopkenmerk bij aankopen in de browser (hoofdstuk 5) en een huishoud- en apparaatkenmerk zodra u apparaten koppelt (hoofdstuk 5.1)

Inloggegevens, de ouderlijke pincode, de aanmeldgegevens voor apparaatsynchronisatie en de koppelkenmerken staan in de versleutelde opslag van uw besturingssysteem; op Samsung-televisies (Tizen), die zo'n opslag niet bieden, in de interne opslag van de app. Geschiedenis en favorieten kunt u in de instellingen wissen; door de app te de-installeren wordt alles verwijderd.

Uitzondering: eigen opslagmap. Kiest u voor opnamen en downloads een eigen map (bijvoorbeeld op een SD-kaart), dan horen de bestanden bij die map: ze blijven na het de-installeren staan, en afhankelijk van de map en het platform kunnen andere apps ze lezen. U moet ze dan zelf verwijderen. Wij hebben in geen geval toegang tot deze bestanden.

Deze gegevens ontvangen wij niet. Er zijn maar twee uitzonderingen, die u zelf inschakelt: koppelt u apparaten, dan slaat onze koppeldienst het huishoud- en apparaatkenmerk op (hoofdstuk 5.1). Deelt u sprongmarkeringen, dan gaan de verzamelde bijdragen zonder koppeling aan profiel of aanbieder naar onze sprongmarkeringsdienst (hoofdstuk 8). Gebruikt u apparaatsynchronisatie, dan gaan profielen, geschiedenis, favorieten en instellingen naar uw eigen opslag, niet naar ons (hoofdstuk 10).

3. Onze eigen servers

Sommige functies gebruiken servers die wij zelf beheren: apparaatkoppeling (pair.tunv.io), foutrapporten (diag.tunv.io), metadata en sprongmarkeringen (tmdb.tunv.io), ondertitels (subs.tunv.io), en het ophalen van updates en de juridische documenten (tunv.io).

• Locatie: koppeling, foutrapporten, metadataproxy en sprongmarkeringen draaien op onze servers in Duitsland. Bij koppeling, foutrapporten en sprongmarkeringen is geen verwerker betrokken en vindt geen doorgifte naar een derde land plaats.
• Geen opslag van IP-adressen: de diensten voor koppeling, foutrapporten, metadata, sprongmarkeringen en ondertitels houden geen toegangslogboeken bij. Uw IP-adres is alleen nodig voor het transport van het verzoek; het wordt niet opgeslagen, niet aan een kenmerk gekoppeld en niet doorgegeven.
• De webserver tunv.io (ophalen van updates, juridische documenten) is de gewone webserver van de website; deze kan de gebruikelijke kortstondige toegangsregistraties bijhouden (IP-adres, tijdstip, opgevraagd bestand). De app verzendt bij deze verzoeken geen kenmerk en geen profielgegevens.
• Bescherming tegen misbruik: om de aanvraagfrequentie te begrenzen en geautomatiseerd aftasten tegen te gaan, wordt het IP-adres bij koppeling, metadata, sprongmarkeringen en ondertitels meteen bij binnenkomst omgezet in een kortstondig pseudoniem. De sleutel daarvan bestaat alleen in het werkgeheugen en wordt regelmatig vervangen; daarna is het pseudoniem aan geen enkel adres meer te koppelen. De diagnoseserver houdt het adres hiervoor alleen vluchtig in het werkgeheugen. De rechtsgrondslag is ons gerechtvaardigd belang bij een veilige werking (art. 6 lid 1 sub f AVG, overweging 49).

4. Verbindingen met uw IPTV-aanbieder

Tunvio maakt rechtstreeks verbinding met de server die u hebt ingevoerd. Welke gegevens die server verwerkt, valt onder de verantwoordelijkheid van uw aanbieder, niet van ons. Raadpleeg het privacybeleid van uw aanbieder.

Casten. Cast u naar een Chromecast- of DLNA-apparaat (waar dat wordt aangeboden), dan geeft de app het streamadres — dat het adres van uw aanbieder bevat en, bij Xtream, uw toegangsgegevens — via uw lokale netwerk door aan dat apparaat; het apparaat laadt de stream vervolgens zelf van uw aanbieder. Wordt er een poster op het apparaat getoond, dan kan het adres van de TMDB-afbeelding ook worden doorgegeven, en het apparaat laadt die dan rechtstreeks van image.tmdb.org (hoofdstuk 8). Niets hiervan loopt via onze servers.

4.1 Weergavediagnose ("Wat is er mis?")

Hapert of mislukt de weergave, dan controleert Tunvio automatisch de oorzaak: met enkele korte testverzoeken naar de server van uw aanbieder (naamomzetting, verbindingsopbouw, versleutelde verbinding, een kort ophalen van de stream en, bij Xtream en Stalker, een aanroep van de accountinterface met uw opgeslagen inloggegevens) — dus dezelfde verbindingen als bij het afspelen. Daarnaast leest de app op uw apparaat uit of er een VPN of filter-app actief is, of het netwerk een internetverbinding meldt en of er een privé-DNS is ingesteld. Het resultaat blijft op uw apparaat, tenzij u het met een foutmelding meestuurt (hoofdstuk 7.1).

"Nauwkeuriger controleren". Alleen als u daarop tikt (en er geen privé-DNS actief is), vraagt Tunvio via een versleutelde verbinding bij Cloudflare, met Google Public DNS als terugvaloptie, na of de servernaam van uw aanbieder bekend is. Daarbij wordt alleen deze servernaam verzonden — geen inloggegevens, geen pad, geen apparaatkenmerk; zoals bij elke verbinding ziet de dienst daarbij uw IP-adres. Het resultaat blijft op uw apparaat, tenzij u het met een foutmelding meestuurt (hoofdstuk 7.1). De rechtsgrondslag is uw verzoek (art. 6 lid 1 sub b resp. sub f AVG). Het privacybeleid van Cloudflare (cloudflare.com/privacypolicy) resp. Google (policies.google.com/privacy) is van toepassing; een doorgifte naar de VS is mogelijk.

5. Aankopen en abonnementen

Premiumfuncties zijn optioneel. Waar niets wordt verkocht (bijvoorbeeld op Samsung-televisies), worden daarvoor geen gegevens doorgegeven.

• Aankoop via een store: komt uw app uit de Apple App Store, Google Play of de Amazon Appstore, dan handelt de store de betaling af.
• Aankoop in de browser: bij versies buiten een store (bijvoorbeeld desktop) opent de app een betaalpagina van RevenueCat, Inc.; wat u daar invult, ontvangen RevenueCat en diens betaaldienstverlener, die de betaling afhandelt.
• In beide gevallen ontvangen en bewaren wij geen betaalgegevens.
• Abonnementsbeheer: om te controleren of een aankoop actief is, gebruiken wij RevenueCat, Inc. (VS). Van de app ontvangt RevenueCat een anonieme, willekeurig gegenereerde gebruikers-ID en de aankoopbewijzen van de gebruikte aankoopweg — geen namen en geen betaalgegevens; uw e-mailadres alleen als voorinvulling van de betaalpagina (zie hieronder). Privacyverklaring: https://www.revenuecat.com/privacy
• Een aankoop in de browser herstellen: omdat er geen account is, herstelt u een aankoop in de browser op een ander apparaat via het e-mailadres dat u bij de aankoop hebt gebruikt. De app zet het op uw apparaat om in een daarvan afgeleid kenmerk (een hash); alleen dat dient voor het opvragen en blijft op het apparaat. Het adres zelf wordt niet blijvend opgeslagen. Opent u daarna opnieuw de betaalpagina, dan wordt het daar vooraf ingevuld.

De rechtsgrondslag is de uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

5.1 Premium op meerdere apparaten (apparaatkoppeling)

Hebt u Premium gekocht, dan kunt u het op andere apparaten gebruiken: het betaalde apparaat toont een achtcijferige code die u op het andere apparaat invoert. Beide horen dan bij één huishouden (ten hoogste zeven apparaten) met een gezamenlijke, willekeurig gegenereerde aankoopidentiteit. Dat verloopt via onze dienst pair.tunv.io (hoofdstuk 3). De app neemt alleen contact op met deze dienst als u een code laat tonen of er een invoert — nooit automatisch of op de achtergrond.

Per huishouden worden alleen opgeslagen: een willekeurig, door de app gegenereerd apparaatkenmerk per apparaat (geen kenmerk van het besturingssysteem, geen advertentie-ID, serienummer of MAC-adres), het apparaatmodel als weergavenaam (bijvoorbeeld "Pixel 8", anders het soort apparaat, zoals "Samsung TV"), het tijdstip van de koppeling, een willekeurig huishoudkenmerk, het tijdstip waarop het huishouden is ontstaan, of er ooit een code is ingewisseld, en een dagteller voor opgevraagde codes. De code zelf is 10 minuten geldig en wordt daarna gewist; zodra hij is ingewisseld, is hij meteen verbruikt.

Dit is de enige van onze eigen servers die een blijvend apparaatkenmerk opslaat — anders is een apparatenlijst waaruit u apparaten kunt verwijderen niet mogelijk.

Niet opgeslagen worden: IP-adres, e-mailadres, naam of account; niets over uw aankopen (de app stuurt bij het opvragen van een code haar aankoopidentiteit mee, zodat een bestaand huishouden wordt herkend; het anonieme kenmerk van een afzonderlijke installatie wordt daarbij verworpen, en er worden geen rechten gecontroleerd); niets over profielen, aanbieders, zenders of titels. In de logboeken van de dienst staan geen codes en geen kenmerken.

RevenueCat na het koppelen: de gebruikers-ID uit hoofdstuk 5 is dan voor alle apparaten van het huishouden dezelfde, namelijk het willekeurige huishoudkenmerk.

Bewaartermijn en verwijderen: een gekoppeld apparaat blijft opgeslagen totdat u het verwijdert — zonder automatisch verval. Onder Instellingen → Premium ziet u alle apparaten van uw huishouden en kunt u elk ervan verwijderen; de vermelding wordt meteen gewist, en met het laatste apparaat ook het huishouden. Verwijdert u uw eigen apparaat, dan krijgt het weer een eigen aankoopidentiteit. Enige uitzondering op het ontbrekende verval: een koppelpoging waarbij nooit een code is ingewisseld, wordt na 30 dagen gewist.

De rechtsgrondslag is uw toestemming (art. 6 lid 1 sub a AVG), die u geeft door een code te laten tonen of in te voeren, en die u intrekt door het apparaat te verwijderen.

6. Firebase (Google) – Analytics en crashrapporten

Alleen op Android en iOS gebruikt Tunvio Firebase van Google Ireland Ltd. / Google LLC — en alleen met uw toestemming. Beide staan standaard uit; bij de eerste start vragen wij het u, en weigert u, dan hooguit nog één keer.

• Firebase Analytics: pseudonieme gebruiksstatistieken (bijvoorbeeld bekeken schermen, apparaat- en app-versie, geschatte regio), geanalyseerd via een pseudoniem kenmerk, om de app te verbeteren.
• Firebase Crashlytics: crash- en foutrapporten (technische gegevens over de plek in het programma waar de fout optrad, apparaat- en app-versie), om crashes te verhelpen.

Wij voegen geen inloggegevens, wachtwoorden, profielnamen of afspeeladressen toe aan deze rapporten. Foutteksten die door het systeem of door de gebruikte bibliotheken worden geproduceerd, worden ongewijzigd aan Crashlytics doorgegeven en door ons niet gefilterd; ze kunnen een server- of webadres bevatten. Een crashrapport bevat ook een korte toestandsbeschrijving: synchronisatiefase, geheugengebruik en langste vastloper, soort profiel, grootteklassen van de catalogus en de voortgang van het opzoeken van metadata in stappen van 10 %. Een doorgifte naar de VS is mogelijk; Google baseert zich daarvoor op de EU-modelcontractbepalingen. Privacyverklaring: https://policies.google.com/privacy

De rechtsgrondslag is uw toestemming (art. 6 lid 1 sub a AVG, § 25 lid 1 TDDDG). U trekt haar op elk moment in onder Instellingen → Gegevens en opslag → "Gebruiksgegevens en crashrapporten", met onmiddellijke werking.

7. Eigen foutrapporten (diag.tunv.io)

Aan dezelfde schakelaar "Gebruiksgegevens en crashrapporten" hangen automatische foutrapporten aan onze diagnoseserver (hoofdstuk 3). Ze werken op alle platforms, ook op televisies en desktop. Zonder uw toestemming wordt niets verzonden.

Het doel is uitsluitend het verhelpen van fouten: fouten opsporen, gelijksoortige groeperen, ze verhelpen en nagaan of de correctie werkt. Geen gebruiksanalyse, geen profilering, geen reclame.

Uitsluitend verzonden worden:

• soort en klasse van de fout (bijvoorbeeld weergave-, aanmeld- of synchronisatiefout, crash, vastgelopen interface; time-out, decoderfout, verbindingslimiet; eventueel de HTTP-statuscode als getal)
• technische omstandigheden: weergave-engine en decodeerstap, inhoudstype of reikwijdte (live, film, serie, programmagids, download; bij synchronisatie-, Cast- en exportfouten ook het soort doel of de oorzaak, bijvoorbeeld de gekozen synchronisatieopslag), soort profiel (niet de aanbieder) en bij samengevoegde profielen of één, enkele of alle bronnen getroffen waren
• app-versie en buildtype, platform, hoofdversie van het besturingssysteem, apparaatmodel, taal en regio-instelling en het geheugen van het apparaat als globaal niveau
• bij vastlopers en sommige weergavefouten: hoe zwaar de app in de seconden daarvoor met toetsaanslagen bezig was (een globaal niveau: laag, gemiddeld of hoog) en welk soort interne achtergrondtaak er liep (bijvoorbeeld het inlezen van de catalogus of van de programmagids) — alleen het soort taak, nooit een bestand, adres, profiel of aantal
• na een harde afbreking van de vorige sessie het soort afbreking zoals het besturingssysteem het noemt (bijvoorbeeld "reageert niet"); kon het systeem er geen noemen, dan waarom niet (geen registratie beschikbaar, of geen die past) en een globale tijdsklasse (minuten, uren of dagen) tussen het laatste teken van leven en de dichtstbijzijnde systeemregistratie
• bij een trage of mislukte app-start: welke opstartstap het traagst was of mislukte (een vaste interne naam) en hoeveel milliseconden de start duurde; wanneer de start in de veilige modus opent, hoe die is geactiveerd en kleine tellers van recente onvoltooide starts
• bij crashes en door het systeem beëindigde vastlopers technische gegevens over de plek in het programma waar de fout optrad, met een opgeschoonde foutmelding en de naam van het app-scherm (bijvoorbeeld "speler" — nooit een inhoud). Bij geheugen- en verbindingscrashes bevat de melding ook een korte toestandsregel: de synchronisatiefase, het geheugengebruik van de app in megabyte, het soort profiel (nooit het aantal bronnen), de langste vastloper in milliseconden, de voortgang van het opzoeken van metadata in stappen van 10 % en alleen grootteklassen van de catalogus en van dat opzoeken (bijvoorbeeld "3.000 tot 10.000 items") — nooit exacte aantallen
• het tijdstip van de gebeurtenis zoals het van de klok van het apparaat wordt afgelezen (gebruikt om meldingen in de wachtrij te ordenen; het wordt met de melding opgeslagen)
• een dagkenmerk dat elke dag opnieuw willekeurig wordt gegenereerd. Het verbindt meldingen van dezelfde dag; over meerdere dagen heen is een apparaat niet herkenbaar. Een apparaat- of installatie-ID bestaat niet.

Bewust niet verzameld worden: namen van zenders, films en series, zoektermen, profiel- en gebruikersnamen, wachtwoorden en andere inloggegevens, MAC-adressen en serienummers. De vrije fouttekst wordt alleen gefilterd op adressen en inloggegevens. Adressen: webadressen, IP-adressen en op inloggegevens lijkende tekenreeksen worden vóór het verzenden op het apparaat gemaskeerd, en onze server verwijdert servernamen die zonder adres zijn geschreven in een tweede doorgang die niet elke servernaam kan herkennen (hoofdstuk 7.1). Weergave- en serveradressen worden daarom, voor zover herkenbaar, op het apparaat gemaskeerd en op de server verwijderd.

De rechtsgrondslag is uw toestemming (art. 6 lid 1 sub a AVG, § 25 lid 1 TDDDG), intrekbaar zoals in hoofdstuk 6. Bewaartermijn: afzonderlijke meldingen worden na 90 dagen gewist; daarna blijven alleen geaggregeerde cijfers per foutbeeld over (aantal, eerste en laatste optreden, betrokken versies), zonder verband met een melding of een apparaat. Voor inzage en verwijdering zie hoofdstuk 12.

7.1 Door u verzonden foutmelding

Onder Instellingen → "Probleem melden" of in de speler via "Wat is er mis?" → "Probleem melden" kunt u zelf een foutmelding verzenden. Zij verlaat uw apparaat alleen als u haar verzendt — ze wordt niet gebufferd en niet later alsnog verzonden — en hangt niet aan de schakelaar "Gebruiksgegevens en crashrapporten". Het verzenddialoogvenster biedt u aan de automatische foutrapporten in te schakelen — vrijwillig en niet voorgeselecteerd.

Verzonden worden: uw tekst, het technische logboek van uw sessie inclusief de laatste programmafouten (u kunt het vooraf bekijken onder "Wat wordt er verzonden?"), het soort probleem, app-versie, buildtype, platform, hoofdversie van het besturingssysteem, apparaatmodel, taal en regio-instelling, weergave-engine, soort profiel, of Premium actief is, het tijdstip van de melding zoals het van de klok van het apparaat wordt afgelezen — en bij een melding vanuit de speler het diagnoseresultaat uit hoofdstuk 4.1 als korte waarden, zonder servernamen, IP-adressen of inloggegevens.

Tekst en logboek worden vóór het verzenden op het apparaat automatisch gemaskeerd: webadressen (alles met een schema zoals https://), IPv4-adressen, e-mailadressen en op inloggegevens lijkende tekenreeksen (zoals password=… of user:pass@host). Onze server herhaalt dit en verwijdert ook servernamen die zonder adres zijn geschreven — een tweede doorgang die niet elke servernaam kan herkennen. Zet toch geen wachtwoorden in uw tekst — in een gewone zin herkent de opschoning ze niet.

De melding draagt geen kenmerk dat haar met uw apparaat verbindt, alleen een willekeurig referentienummer dat u te zien krijgt. Daarmee kunt u bij support@tunv.io om inzage of verwijdering vragen. De rechtsgrondslag is uw toestemming door het verzenden (art. 6 lid 1 sub a AVG). Bewaartermijn: 90 dagen.

8. Metadata en afbeeldingen (TMDB)

Tunvio vult films en series aan met beschrijvingen, beoordelingen, logo's, posters en leeftijdsclassificaties van The Movie Database (TMDB). Dat hoort bij de weergave van de catalogus en heeft geen eigen schakelaar; de gecachete metadata kunt u verwijderen onder Instellingen → Gegevens en opslag.

Beschrijvingen, beoordelingen en afbeeldingsadressen worden opgevraagd via onze proxy tmdb.tunv.io (hoofdstuk 3), niet rechtstreeks bij TMDB. Er wordt alleen verzonden wat het verzoek nodig heeft: bij het zoeken de opgeschoonde titel en eventueel het verschijningsjaar, anders de TMDB-id en bij seizoenen het seizoensnummer; elk verzoek bevat bovendien de taal van de app en, voor de beschikbaarheid bij streamingdiensten, de regio van uw apparaat. Welke aflevering u bekijkt en hoe lang die is, wordt niet verzonden, en evenmin profiel-, inlog- of afspeelgegevens. Resultaten worden op de proxy en op uw apparaat gecachet.

De afbeeldingsbestanden zelf komen rechtstreeks van TMDB. Posters, achtergrondbeelden, titellogo's, beelden uit afleveringen, logo's van streamingdiensten en foto's van cast en crew worden door uw apparaat geladen van de afbeeldingsserver van TMDB, image.tmdb.org, niet via onze proxy. TMDB ontvangt daarom uw IP-adres, de User-Agent die uw apparaat verzendt (die welke voor uw actieve profiel is ingesteld — standaard een generieke mediaspeler-tekenreeks) en het bestandspad van de gevraagde afbeelding, dat die poster of foto identificeert — daaruit en uit uw IP-adres kan TMDB afleiden welke titels worden getoond — maar geen inlog-, profiel- of afspeelgegevens. Dit gebeurt telkens wanneer een afbeelding niet (meer) op uw apparaat is opgeslagen (gecachete afbeeldingen worden ongeveer een week bewaard), zodra de proxy het afbeeldingsadres voor een titel heeft teruggegeven; net als de metadata heeft het geen eigen schakelaar. Wat TMDB met deze gegevens doet, wordt bepaald door het eigen privacybeleid van TMDB, waarop wij geen invloed hebben.

Trailers. Tikt u op een trailer (niet op Samsung-televisies), dan opent de app de YouTube-app of de browser. Dat is uw handeling buiten Tunvio; vanaf dat moment geldt het privacybeleid van YouTube (Google), en het adres van de video wordt aan YouTube doorgegeven.

Gedeelde sprongmarkeringen ophalen. Bij het afspelen van een aflevering van een serie vraagt Tunvio via dezelfde proxy op of andere kijkers voor dit seizoen markeringen voor intro en aftiteling hebben bijgedragen (zie hieronder). Alleen de TMDB-id en het seizoensnummer worden verzonden — niet de aflevering, de speelduur of de titel; de juiste aflevering kiest de app op uw apparaat. De app biedt een knop aan, nooit een automatische sprong.

De rechtsgrondslag voor dit alles is ons gerechtvaardigd belang bij een comfortabele weergave en afspeelervaring (art. 6 lid 1 sub f AVG). U kunt bezwaar maken (art. 21 AVG): tegen de metadata- en afbeeldingsverzoeken via support@tunv.io, tegen het ophalen van sprongmarkeringen met de schakelaar "Gedeelde sprongmarkeringen tonen" onder Instellingen → Gegevens en opslag. Voor TMDB zelf gelden diens voorwaarden (https://www.themoviedb.org/privacy-policy); wij hebben geen banden met TMDB.

Online ondertitels via de Tunvio-proxy (OpenSubtitles)

Zoekt u online ondertitels (of schakelt u het automatisch laden in — standaard uit), dan loopt het verzoek via onze proxy subs.tunv.io (hoofdstuk 3). Alleen de TMDB- of IMDB-id van de titel — of, als die er niet is, de opgeschoonde titel, het jaar en het seizoens- en afleveringsnummer — en de gewenste talen worden verzonden; geen profiel-, inlog- of afspeelgegevens. De proxy bevraagt OpenSubtitles met onze eigen toegang, u hebt geen eigen account nodig; ondertitels worden op de proxy en op uw apparaat gecachet. De rechtsgrondslag is ons gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Voor OpenSubtitles geldt diens privacybeleid (https://www.opensubtitles.com); wij hebben geen banden met OpenSubtitles.

Gedeelde sprongmarkeringen (optioneel)

U kunt vrijwillig bijdragen aan de gedeelde sprongmarkeringen: slaat u een intro over of gaat u tijdens de aftiteling naar de volgende aflevering, dan stuurt Tunvio dat punt zonder enige persoonsgebondenheid naar onze dienst tmdb.tunv.io/skip, die wij zelf in Duitsland beheren.

Alleen met toestemming. Het delen staat standaard uit en staat los van de schakelaar "Gebruiksgegevens en crashrapporten". Nadat u voor het eerst een intro hebt overgeslagen, vraagt de app het u met een kleine melding; geeft u geen antwoord, dan blijft het uit, en na drie onbeantwoorde meldingen vraagt de app het niet meer. De toestemming geldt alleen voor dit apparaat en wordt niet via apparaatsynchronisatie overgebracht.

Per bijdrage worden alleen verzonden: intro of aftiteling, de TMDB-id van de serie, het seizoens- en afleveringsnummer, de speelduur van de aflevering en het sprongpunt (bij de intro de positie waar u sprong en waar u terechtkwam, bij de aftiteling de positie waarop u doorging), telkens afgerond op hele seconden.

Niet verzonden worden: titels, aanbieder, profielen, het tijdstip waarop u keek en elk apparaat-, installatie- of dagkenmerk. Sprongen via al gedeelde markeringen worden niet teruggestuurd.

Gebundeld in plaats van direct. Bijdragen worden op uw apparaat verzameld (per aflevering en soort alleen de meest recente) en hoogstens eenmaal per dag verzonden.

IP-adres. Het wordt niet opgeslagen (hoofdstuk 3). Opdat een apparaat per aflevering en dag maar één keer meetelt, wordt daarnaast een versleutelde waarde van pseudoniem en aflevering bewaard tot de volgende sleutelwissel en daarna weggegooid. Noch het adres noch het pseudoniem wordt bij de bijdrage geschreven (gerechtvaardigd belang, art. 6 lid 1 sub f AVG).

Opslag en publicatie. Opgeslagen worden de genoemde waarden en de dag van ontvangst (zonder tijdstip). Aan anderen wordt een markering pas getoond als meerdere onafhankelijke bijdragen van verschillende dagen overeenkomen — en dan alleen als middelste waarde (mediaan) met het aantal, nooit als afzonderlijke bijdrage. Afzonderlijke bijdragen worden na 180 dagen volledig gewist. Er blijft alleen een al gepubliceerde markering over, als mediaan met het aantal bijdragen en ontvangstdagen; spreken later genoeg nieuwe bijdragen haar tegen, dan wordt ook zij gewist.

De rechtsgrondslag is uw toestemming (art. 6 lid 1 sub a AVG, § 25 lid 1 TDDDG). U trekt haar op elk moment in onder Instellingen → Gegevens en opslag → "Sprongmarkeringen delen"; vanaf dan wordt er niets meer verzonden, en nog niet verzonden bijdragen worden gewist. Het ophalen van gedeelde markeringen blijft daardoor onaangetast. Verzonden bijdragen dragen geen kenmerk; daarom kunnen wij ze niet aan u toewijzen, er geen inzage in geven en ze niet afzonderlijk verwijderen (art. 11 AVG, zie hoofdstuk 12).

9. Ophalen van updates (tunv.io)

Op Android en iOS laadt Tunvio bij het starten en bij een handmatige controle een configuratiebestand van https://tunv.io/app/config.json (hoofdstuk 3). Het bevat alleen gegevens over de app: de actuele en de minimaal ondersteunde versie en de download- resp. storeadressen. Gegevens over uw profielen, uw aanbieder of inhoud worden niet verzonden; voor het IP-adres zie hoofdstuk 3. De rechtsgrondslag is ons gerechtvaardigd belang bij een veilige, actuele app (art. 6 lid 1 sub f AVG).

Installeert u updates zelf op Android buiten een store, dan kan de app het installatiebestand downloaden van het adres dat in dit configuratiebestand wordt genoemd; die server ontvangt dan uw IP-adres en de gebruikelijke verzoekgegevens.

Juridische documenten. Wanneer u in de app het privacybeleid, de gebruiksvoorwaarden, de colofon of de toegankelijkheidsverklaring opent, probeert Tunvio op alle platforms de actuele versie te laden van https://tunv.io/legal/ (tijdslimiet zes seconden); lukt dat niet, dan wordt de met de app meegeleverde kopie getoond. Alleen het verzoek om het bestand wordt gedaan — geen informatie over profielen of inhoud; voor het IP-adres zie hoofdstuk 3. De rechtsgrondslag is ons gerechtvaardigd belang bij het tonen van de actuele tekst (art. 6 lid 1 sub f AVG).

10. Apparaatsynchronisatie (iCloud / Google Drive / OneDrive / WebDAV)

Optioneel houdt Tunvio profielen, favorieten, geschiedenis en instellingen tussen uw apparaten synchroon. Dit staat standaard uit; u verbindt het onder Instellingen → Apparaatsynchronisatie en kiest welke categorieën meegaan. Wij beheren geen synchronisatieserver en ontvangen deze gegevens nooit — ze gaan rechtstreeks naar de opslag die u kiest:

• iCloud (iOS) resp. Google Drive (Android): in het privé-appgedeelte van uw eigen account, dat andere apps niet kunnen lezen.
• Microsoft OneDrive: u meldt zich via een apparaatcode rechtstreeks aan bij Microsoft; uw wachtwoord voert u niet in de app in. Microsoft vraagt daarbij om toegang tot uw OneDrive-bestanden — dat vereist Microsoft, zodat de app een eigen map kan aanmaken; alleen die map wordt gebruikt. U kunt de toegang intrekken via account.live.com/consent/Manage.
• WebDAV: een server naar keuze, bijvoorbeeld uw eigen Nextcloud of een NAS. Adres en aanmeldgegevens blijven op uw apparaat (hoofdstuk 2).

Meeverzonden worden uw profielen (server-URL, gebruikersnaam) en de ouderlijke pincode. De wachtwoorden van uw IPTV-accounts worden niet geüpload; op een nieuw apparaat voert u ze eenmalig in. Bij M3U-, directe-URL- en Stalker-profielen zitten de toegangsgegevens echter in het adres zelf (afspeellijst-URL resp. MAC-adres) en reizen ze dus mee.

Na het verbreken blijft het synchronisatiebestand in uw opslag staan totdat u het verwijdert (iCloud: Instellingen → uw naam → iCloud → Beheer opslag; Google Drive: Instellingen → Apps beheren → verborgen app-gegevens verwijderen; OneDrive: de app-map verwijderen; WebDAV: het bestand op uw server verwijderen).

De rechtsgrondslag is uw toestemming (art. 6 lid 1 sub a AVG), gegeven door het verbinden en ingetrokken door het verbreken. Van toepassing zijn de privacyverklaringen van Apple (https://www.apple.com/legal/privacy), Google (https://policies.google.com/privacy) en Microsoft (https://privacy.microsoft.com/privacystatement) resp. de voorwaarden van de beheerder van uw WebDAV-server.

Synchronisatie in het thuisnetwerk (LAN)

Aanvullend of als alternatief wisselen apparaten hun gegevens rechtstreeks in het lokale netwerk uit — ook op televisies zonder cloudsynchronisatie. Ook dat staat standaard uit: u koppelt de apparaten eenmalig met een zescijferige pincode, daarna wisselen ze de gegevens end-to-end versleuteld rechtstreeks uit; de sleutel staat alleen op uw apparaten. Omdat er geen opslag van derden bij betrokken is, gaan hier ook de wachtwoorden mee. Geen server, geen internetverbinding, geen derde. De rechtsgrondslag is uw toestemming (art. 6 lid 1 sub a AVG), die u intrekt door te ontkoppelen of de functie uit te schakelen.

11. Ontvangers in één oogopslag

12. Uw rechten

Op grond van de AVG hebt u recht op inzage, rectificatie, wissing, beperking van de verwerking, gegevensoverdraagbaarheid en bezwaar, en het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming. Neem daarvoor contact op via support@tunv.io. Toestemmingen trekt u op elk moment met werking voor de toekomst rechtstreeks in de instellingen in; lokale gegevens verwijdert u zelf in de instellingen of door de app te de-installeren.

Recht van bezwaar (art. 21 AVG). Voor zover wij gegevens verwerken op grond van ons gerechtvaardigd belang (hoofdstukken 3, 4.1, 8 en 9), kunt u om redenen die verband houden met uw specifieke situatie op elk moment bezwaar maken — per e-mail aan support@tunv.io. Voor het ophalen van gedeelde sprongmarkeringen volstaat de schakelaar "Gedeelde sprongmarkeringen tonen".

Gegevens die wij niet aan u kunnen toewijzen (art. 11 AVG). Automatische foutrapporten (hoofdstuk 7) en gedeelde sprongmarkeringen (hoofdstuk 8) dragen bewust geen kenmerk waarmee wij ze aan een persoon of apparaat zouden kunnen toewijzen. Wij kunnen u daar niet identificeren, en de rechten uit art. 15 tot 20 AVG gelden in zoverre niet — tenzij u aanvullende informatie verstrekt die toewijzing mogelijk maakt (art. 11 lid 2 AVG). Uw recht om uw toestemming in te trekken en uw recht om een klacht in te dienen blijven onaangetast. Anders is het bij:

• zelf verzonden foutmeldingen: aan de hand van het referentienummer vinden en verwijderen wij de melding (hoofdstuk 7.1).
• de apparaatkoppeling: ook daar slaan wij geen naam en geen account op, maar u ziet de volledige gegevens van uw huishouden onder Instellingen → Premium en verwijdert vermeldingen daar zelf (hoofdstuk 5.1).

13. Wijzigingen

Wij passen dit beleid aan als de app verandert. De actuele versie staat op https://tunv.io/privacy-policy en in de app onder Instellingen → Over → Privacybeleid.

---

Deze website: bezoekersstatistieken

Dit gedeelte geldt alleen voor de website tunv.io, niet voor de app. De app zelf bevat geen websitestatistieken; wat de app verwerkt, staat hierboven beschreven.

Wij tellen bezoeken aan de website met Umami, statistiekensoftware die wij zelf beheren op een eigen server (stats.tunv.io). Er is geen dienstverlener die de gegevens ontvangt.

• Wat wordt geteld: de bezochte pagina, de pagina waarvandaan u komt (verwijzer), browser, besturingssysteem, apparaattype, schermgrootte, taal, het land (afgeleid van het IP-adres) en klikken op de downloadknoppen (Google Play, APK).
• Wat niet gebeurt: geen cookies, niets in de opslag van uw apparaat, geen opslag van uw IP-adres, geen tracking over websites heen, geen doorgifte aan derden. Wij respecteren de instelling "Do Not Track" van uw browser.
• Rechtsgrondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG) bij inzicht in het gebruik van de website en bij het verbeteren ervan. Omdat er geen cookies en geen opslag op het apparaat bij betrokken zijn, is geen toestemming nodig.
• Uw bezwaar: u kunt op elk moment bezwaar maken tegen de analyse — schrijf ons via de contactgegevens in de wettelijke kennisgeving, of schakel "Do Not Track" in uw browser in.
• Bewaartermijn: de gegevens worden gewist zodra ze voor dit doel niet meer nodig zijn.