Privacy Policy
Last updated: 20 October 2026
DRAFT / ENTWURF – not legally reviewed. Must be checked before publication. Version 0.1 – 20 October 2026.
Platzhalter sind mit [TO BE COMPLETED] / [TO BE CHECKED] markiert.
Privacy Policy – after.
1. Who we are (controller)
Leonard-Deon Moissè, sole proprietor ("after.", "we", "us")
Baumschulenweg 2, 25436 Tornesch, Germany
Email: samesame.travel.krabi@gmail.com · Phone/WhatsApp: +66 64 127 6080
after. is a free social travel app for travelers in Thailand, available as a web app at https://afterapp-thailand.lovable.app and later in the Apple App Store and Google Play. after. is only for people aged 18 and over.
We do not have a data protection officer because we are not legally required to appoint one. [TO BE CHECKED]
2. Overview: what we process and why
| Data | Purpose | Legal basis (GDPR) | How long we keep it |
|---|---|---|---|
| Account data: email address or Google login (name, email, Google user ID), password (stored only as a hash by our hosting provider) | Create and secure your account, log you in | Art. 6(1)(b) – contract | Until you delete your account |
| Profile: name, date of birth (age shown), photos, bio, Instagram handle, favourite Spotify artists, languages, travel tags, countries visited, how long you stay | Show your profile to other travelers, check you are 18+ | Art. 6(1)(b); date of birth also Art. 6(1)(c)/(f) to enforce the 18+ rule | Until you delete your account or remove the field |
| Daily status and plan ("what I'm up for today", plan tonight), "Secretly open for more" | Show what you are up for to people nearby; "Secretly open for more" is only shown to people who switched it on too | Art. 6(1)(b) | Status resets after 24 hours; setting until you change it |
| Location: device location, checked on app open and when the app comes back to the foreground; stored as a verified area/city and time, not your exact position | Show you people, meetups and things to do near you; show you to others only within the radius; prevent fake locations | Art. 6(1)(a) – your consent via the location permission; Art. 6(1)(f) for anti-abuse checks | Verified area is valid for 12 hours; [TO BE CHECKED: how long raw/rounded coordinates are stored on the server – target: overwrite at next check, no history] |
| Chats and group chats (messages, photos sent, translation requests) | Let you talk to other users and groups | Art. 6(1)(b) | Chats are deleted automatically after 24 hours unless both people choose "Keep chat"; kept chats until one person deletes the account. [TO BE CHECKED: group chats] |
| Meetups and events you create or join, check-ins, raffle participation | Organise meetups and events | Art. 6(1)(b) | [TO BE COMPLETED – proposal: 30 days after the event] |
| Safety: reports, blocks, vibe checks after meeting | Keep the community safe, review reports | Art. 6(1)(f) – safety of users | Reports and moderation records [TO BE COMPLETED – proposal: 12 months]; blocks until account deletion |
| Photo check: photos you upload are checked automatically by an AI service for nudity, minors, fakes and similar | Prevent illegal or harmful content, protect minors | Art. 6(1)(f); Art. 6(1)(c) where required by law | Rejected photos are deleted [TO BE CHECKED: immediately / after X days]; review results [TO BE COMPLETED] |
| Clicks on partner links (which link, when), redemptions of after. deals (which deal, partner, time, PIN check) | Track commissions, prevent abuse of deals, statistics | Art. 6(1)(f) – our interest in financing the free app | [TO BE COMPLETED – proposal: 24 months for accounting] |
| Push notification subscription (browser/device push token) and your notification settings | Send you notifications you turned on | Art. 6(1)(a) – consent | Until you turn notifications off or delete your account |
| Invitations (who invited whom, rewards) | Invite friends and give rewards | Art. 6(1)(b) | Until account deletion |
| Technical data: IP address, device/browser information, error logs | Run the app securely, fix errors | Art. 6(1)(f) | [TO BE CHECKED: retention in hosting logs] |
| Consent records: date and version of Terms and Privacy Policy you accepted | Prove consent | Art. 6(1)(c) | As long as the account exists + [TO BE COMPLETED] |
We do not sell your data. We do not use your data for advertising profiles. We do not show third-party ads in the app.
3. Location data
- after. only uses your location if you allow it in your browser or device settings. You can withdraw this at any time in your device settings.
- Other users never see your exact position – only that you are nearby / in the same area.
- Without location permission you can still browse, but you are hidden from other people.
- [TO BE CHECKED: whether coordinates are rounded before storage and whether any history is kept.]
4. Photos and automatic photo check
- Your profile photos are visible to other logged-in users.
- When you upload a photo, it is analysed automatically by an AI model provided through Lovable AI (default model: Google Gemini) to detect nudity, minors, fake/celebrity/stock images, violence and similar. If a photo breaks our rules it is rejected and you see the reason. Borderline photos may be reviewed by our team.
- This is not a decision with legal effect on you within the meaning of Art. 22 GDPR; you can contact us if you think a photo was rejected by mistake.
5. Service providers (processors) and where data is processed
| Provider | What for | Where | Safeguard |
|---|---|---|---|
| Lovable (Lovable Labs Inc. / Lovable AB) [TO BE CHECKED: contracting entity] | App hosting, development platform, Lovable AI (photo check, chat translation, AI suggestions) | [TO BE CHECKED] Lovable states that platform data may be transferred to the USA | Data processing agreement + EU Standard Contractual Clauses [TO BE CHECKED] |
| Lovable Cloud (database, login, file storage; built on Supabase / AWS) | Database, authentication, photo storage | Database, authentication and file storage are hosted in the region Asia Pacific (Singapore) (as shown in Lovable → Cloud → Advanced settings, 20 Oct 2026). According to Supabase, logs may be stored in the EU and files may be delivered via a global CDN | DPA + SCCs [TO BE CHECKED] |
| AI model provider behind Lovable AI (e.g. Google) | Photo check, translation, suggestions | [TO BE CHECKED – likely USA] | SCCs / EU-US Data Privacy Framework [TO BE CHECKED] |
| Google (Google Ireland Ltd. / Google LLC) | "Sign in with Google" | EU / USA | EU-US Data Privacy Framework, SCCs |
| OpenFreeMap (Hyperknot Software Kft., Hungary) | Map tiles. Your browser loads map images directly from their servers, which receive your IP address | EU (Hungary; servers reportedly at Hetzner) [TO BE CHECKED] | According to their policy: anonymised logs, IP addresses only in security logs, deleted after max. 30 days |
| Push services of your browser/device (e.g. Google Firebase Cloud Messaging, Apple Push Notification service, Mozilla) | Deliver push notifications | USA / other | Your browser's/device's terms |
| [TO BE COMPLETED: email provider for login emails, if different] | Login / password reset emails |
6. Partner links and after. deals
- after. shows bookable activities and travel essentials from partners: GetYourGuide, Travelpayouts partners (e.g. Yesim, Airalo, Kiwitaxi, GetTransfer, BikesBooking, Klook) and SafetyWing.
- When you tap a partner link, you leave after. and go to the partner's website. The link contains a tracking parameter so the partner knows the booking came from after. We do not pass your name, email or profile to the partner. The partner processes your data under its own privacy policy and may use cookies.
- Any booking is a contract between you and the partner.
- For after. deals, we record when you redeem a deal (deal, partner, time) so the partner can be billed and abuse prevented. The partner sees that a deal was redeemed, not your profile. [TO BE CHECKED]
7. Transfers outside the EU / EEA
Our database is hosted in Singapore, and some providers process data in the USA or other countries outside the EU (see section 5). [TO BE CHECKED: Singapore has no EU adequacy decision – transfer based on SCCs in the Lovable/Supabase DPA] We rely on the EU-US Data Privacy Framework where the recipient is certified, or on EU Standard Contractual Clauses. Because the app is used in Thailand, data you enter is also accessed by other users in Thailand.
8. Who can see what
- Other logged-in users nearby: your profile, photos, age, status, plan, and that you are in the area.
- "Secretly open for more": only users who switched it on too.
- Chats: only the people in the chat.
- Our team: reports, moderation cases, statistics, and – if necessary to handle a report – the content involved.
9. Your rights
You have the right to access (Art. 15), rectification (16), erasure (17), restriction (18), data portability (20), objection (21) and to withdraw consent at any time (Art. 7(3)). You can lodge a complaint with a supervisory authority, e.g. the authority of your country or the one responsible for us: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD). [TO BE CHECKED]
Delete your account: You → "Delete my account". This deletes your account and your data, except data we must keep by law (e.g. accounting records of commissions) or for open safety cases. [TO BE CHECKED: deletion timeline, backups]
Contact for all privacy requests: samesame.travel.krabi@gmail.com
10. Thailand – Personal Data Protection Act (PDPA)
If you are in Thailand, the Thai Personal Data Protection Act B.E. 2562 (2019) also applies. The controller is the person named in section 1. We process your data on the bases described above (contract, consent, legitimate interests, legal obligations). You have rights similar to those in section 9 (access, copy, portability, objection, erasure, restriction, correction, withdrawal of consent) and can complain to the Personal Data Protection Committee (PDPC) of Thailand. Data is transferred abroad (e.g. EU, USA) to the providers in section 5 under appropriate safeguards. [TO BE CHECKED: whether a Thai representative is required; cross-border transfer rules]
11. Minors
after. is only for people aged 18+. We check the date of birth at sign-up and the photo check looks for minors. If we learn that a user is under 18, we delete the account.
12. Security
Transport encryption (HTTPS), hashed passwords, access only for our team, automatic deletion of chats after 24 hours. [TO BE CHECKED]
13. Changes
We may update this policy. The current version is always in the app. If changes are significant, we inform you in the app.
Datenschutzerklärung – after. (deutsche Fassung)
ENTWURF – nicht rechtlich geprüft. Version 0.1 – 20.10.2026. Bei Abweichungen gilt [BITTE KLÄREN: welche Sprachfassung maßgeblich ist].
1. Verantwortlicher
Leonard-Deon Moissè, Einzelunternehmer („after.“, „wir“), Baumschulenweg 2, 25436 Tornesch, Deutschland. E-Mail: samesame.travel.krabi@gmail.com, Telefon/WhatsApp: +66 64 127 6080.
after. ist eine kostenlose Social-Travel-App für Reisende in Thailand (Web-App https://afterapp-thailand.lovable.app, später App Store und Google Play), nur für Personen ab 18 Jahren. Ein Datenschutzbeauftragter ist nicht bestellt, da keine Pflicht besteht. [BITTE PRÜFEN]
2. Übersicht
| Daten | Zweck | Rechtsgrundlage (DSGVO) | Speicherdauer |
|---|---|---|---|
| Kontodaten (E-Mail oder Google-Login, Passwort nur als Hash) | Konto, Anmeldung | Art. 6 Abs. 1 lit. b | bis zur Kontolöschung |
| Profil (Name, Geburtsdatum/Alter, Fotos, Bio, Instagram, Spotify-Künstler, Sprachen, Reise-Tags, besuchte Länder, Aufenthaltsdauer) | Profil für andere Reisende, Altersprüfung 18+ | lit. b; Geburtsdatum zusätzlich lit. c/f | bis zur Löschung |
| Tagesstatus und Plan, „Secretly open for more“ | Anzeige für Leute in der Nähe; „Secretly open“ nur bei beidseitiger Aktivierung | lit. b | Status 24 Std.; Einstellung bis zur Änderung |
| Standort (bestätigter Bereich/Ort + Zeit, keine genaue Position für andere) | Leute, Treffen, Aktivitäten in der Nähe; Anzeige nur im Umkreis; Schutz vor falschen Standorten | lit. a (Einwilligung über Standortfreigabe); lit. f (Missbrauchsschutz) | Bestätigung gilt 12 Std.; [BITTE PRÜFEN: Speicherung der Koordinaten] |
| Chats und Gruppen-Chats (inkl. Übersetzungen) | Kommunikation | lit. b | automatische Löschung nach 24 Std., außer beide behalten den Chat; [BITTE PRÜFEN: Gruppen-Chats] |
| Treffen, Events, Check-ins, Verlosungen | Organisation | lit. b | [BITTE AUSFÜLLEN – Vorschlag: 30 Tage nach dem Event] |
| Meldungen, Blockierungen, Vibe-Checks | Sicherheit der Community | lit. f | Meldungen [Vorschlag: 12 Monate], Blockierungen bis zur Kontolöschung |
| Automatische Bildprüfung | Schutz vor illegalen/schädlichen Inhalten, Schutz Minderjähriger | lit. f, ggf. lit. c | abgelehnte Fotos [BITTE PRÜFEN] |
| Klicks auf Partner-Links, Einlösungen von after.-Deals | Provisionsabrechnung, Missbrauchsschutz, Statistik | lit. f | [Vorschlag: 24 Monate] |
| Push-Abos und Einstellungen | Benachrichtigungen | lit. a | bis zum Abschalten / zur Löschung |
| Einladungen und Belohnungen | Freunde einladen | lit. b | bis zur Kontolöschung |
| Technische Daten (IP-Adresse, Gerät/Browser, Fehlerprotokolle) | sicherer Betrieb | lit. f | [BITTE PRÜFEN] |
| Einwilligungsnachweis (Datum, Version AGB/Datenschutz) | Nachweis | lit. c | Dauer des Kontos + [BITTE AUSFÜLLEN] |
Wir verkaufen keine Daten, erstellen keine Werbeprofile und zeigen keine Fremdwerbung.
3. Standort
Nur mit deiner Freigabe (jederzeit in den Geräteeinstellungen widerrufbar). Andere sehen nie deine genaue Position, nur dass du in der Nähe bist. Ohne Freigabe kannst du stöbern, bist aber für andere unsichtbar.
4. Fotos und automatische Bildprüfung
Profilfotos sind für andere angemeldete Nutzer sichtbar. Hochgeladene Fotos werden automatisch durch ein KI-Modell über Lovable AI (Standard: Google Gemini) auf Nacktheit, Minderjährige, Fakes/Promi-/Stockfotos, Gewalt u. Ä. geprüft. Verstöße werden abgelehnt und der Grund angezeigt; Grenzfälle prüft unser Team. Keine Entscheidung im Sinne von Art. 22 DSGVO; bei Fehlern kannst du uns kontaktieren.
5. Dienstleister (Auftragsverarbeiter) und Verarbeitungsorte
- Lovable (Hosting, Plattform, Lovable AI für Bildprüfung, Übersetzung, Vorschläge) – [BITTE PRÜFEN: Vertragspartner, Orte; laut Lovable mögliche Übermittlung in die USA], AVV + Standardvertragsklauseln [BITTE PRÜFEN]
- Lovable Cloud (Datenbank, Anmeldung, Dateispeicher; basiert auf Supabase/AWS) – Region: Asia Pacific (Singapur) (laut Lovable → Cloud → Advanced settings, 20.10.2026); laut Supabase Logs ggf. in der EU, Dateien ggf. über globales CDN
- KI-Anbieter hinter Lovable AI (z. B. Google) – [BITTE PRÜFEN, vermutlich USA]
- Google („Mit Google anmelden“) – EU/USA, EU-US Data Privacy Framework
- OpenFreeMap (Hyperknot Software Kft., Ungarn) – Kartenkacheln; dein Browser lädt sie direkt, dabei wird deine IP-Adresse übertragen; laut deren Richtlinie anonymisierte Logs, IP nur in Sicherheitslogs, max. 30 Tage [BITTE PRÜFEN]
- Push-Dienste deines Browsers/Geräts (z. B. Google FCM, Apple APNs, Mozilla) – USA/sonstige
- [BITTE AUSFÜLLEN: E-Mail-Versanddienst für Login-Mails, falls abweichend]
6. Partner-Links und after.-Deals
Partner: GetYourGuide, Travelpayouts-Partner (z. B. Yesim, Airalo, Kiwitaxi, GetTransfer, BikesBooking, Klook), SafetyWing. Beim Tippen auf einen Partner-Link verlässt du after.; der Link enthält einen Tracking-Parameter. Wir geben weder Name noch E-Mail noch Profil weiter. Der Partner verarbeitet Daten nach seiner eigenen Datenschutzerklärung (ggf. Cookies). Buchungen sind Verträge zwischen dir und dem Partner. Bei after.-Deals speichern wir die Einlösung (Deal, Partner, Zeit) zur Abrechnung und gegen Missbrauch. [BITTE PRÜFEN]
7. Übermittlung in Drittländer
Unsere Datenbank liegt in Singapur, einige Dienstleister verarbeiten Daten in den USA oder anderen Drittländern. [BITTE PRÜFEN: Singapur hat keinen Angemessenheitsbeschluss – Grundlage Standardvertragsklauseln im AVV von Lovable/Supabase] Grundlage: EU-US Data Privacy Framework (bei zertifizierten Empfängern) oder EU-Standardvertragsklauseln. Da die App in Thailand genutzt wird, greifen andere Nutzer in Thailand auf deine sichtbaren Daten zu.
8. Wer sieht was
Angemeldete Nutzer in der Nähe: Profil, Fotos, Alter, Status, Plan, dass du in der Gegend bist. „Secretly open“: nur Nutzer, die es auch aktiviert haben. Chats: nur Beteiligte. Unser Team: Meldungen, Moderationsfälle, Statistiken.
9. Deine Rechte
Auskunft (Art. 15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch (21), Widerruf von Einwilligungen (Art. 7 Abs. 3), Beschwerde bei einer Aufsichtsbehörde, z. B. Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein. [BITTE PRÜFEN]
Konto löschen: You → „Delete my account“. Löscht Konto und Daten, außer gesetzlich aufzubewahrende Daten (z. B. Provisionsabrechnung) oder offene Sicherheitsfälle. [BITTE PRÜFEN: Fristen, Backups]
Kontakt: samesame.travel.krabi@gmail.com
10. Thailand – PDPA
Für Nutzer in Thailand gilt zusätzlich der Personal Data Protection Act B.E. 2562 (2019). Rechte entsprechend Abschnitt 9; Beschwerde bei der thailändischen Personal Data Protection Committee (PDPC). Übermittlungen ins Ausland an die Dienstleister aus Abschnitt 5 mit geeigneten Garantien. [BITTE PRÜFEN: Vertreter in Thailand nötig? Regeln für Auslandsübermittlung]
11. Minderjährige
Nur ab 18. Geburtsdatum wird bei der Anmeldung geprüft, die Bildprüfung achtet auf Minderjährige. Konten von unter 18-Jährigen werden gelöscht.
12. Sicherheit
HTTPS, Passwörter nur als Hash, Zugriff nur für unser Team, automatische Chat-Löschung nach 24 Std. [BITTE PRÜFEN]
13. Änderungen
Die aktuelle Fassung steht immer in der App; bei wesentlichen Änderungen informieren wir in der App.