Privacybeleid

Wie verantwoordelijk is

De verwerkingsverantwoordelijke voor de hier beschreven verwerking is Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Duitsland.

Met elke vraag over je gegevens kun je terecht bij [email protected]. Je kunt ook een klacht indienen bij een toezichthouder voor gegevensbescherming in het EU-land waar je woont.

Wat we opslaan

Accountgegevens, als je een account aanmaakt: je e-mailadres, de identificatiegegevens van de gebruikte inlogmethode (Apple of Google, als je zo inlogt) en de technische tijdstempels van je sessies.

Het boek zelf: transacties, rekeningen, categorieën, terugkerende transacties, geplande betalingen, budgetten, valuta-instellingen en de notities die je schrijft. Als je een boek deelt, de leden van die groep en de uitnodigingscodes.

Als je Topf Plus koopt: dat de aankoop is gedaan en tot wanneer die geldig is, de anonieme identificatie die de aankoopdienst aan je installatie toekent en, als je een account hebt, de koppeling tussen die twee. Niet je kaart, je Apple ID of je Google-account: die bewaart de store, en de store laat ons daar niets van zien.

Als je spraakinvoer met een account gebruikt: per kalendermaand hoeveel geslaagde spraakinvoeren aan je account zijn toegerekend, zodat de geldende grens kan worden toegepast — een maandelijkse grens in de gratis versie en, met Plus, een bovengrens die tegen misbruik beschermt. Opgeslagen worden de kalendermaand, dat aantal en het tijdstip van de laatste wijziging; de zin die je hebt uitgesproken en de concepten die eruit zijn voortgekomen, worden niet opgeslagen. In een gedeeld boek worden de spraakinvoeren van deelnemers zonder eigen Plus toegerekend aan het account van de eigenaar van de groep.

Als je de bonscan met een account gebruikt: per kalendermaand hoeveel bonnen voor je account zijn gelezen, zodat de geldende grens kan worden toegepast. Net als bij spraakinvoer worden de kalendermaand, dat aantal en het tijdstip van de laatste wijziging opgeslagen; de foto van de bon en de concepten die eruit zijn voortgekomen, worden niet opgeslagen. In een gedeeld boek worden de scans van deelnemers zonder eigen Plus toegerekend aan het account van de eigenaar van de groep.

Dat is de volledige lijst van wat bij een account wordt opgeslagen. De app bevat geen advertentie-ID, geen apparaatvingerafdruk en geen tracking door derden; de gebruiksstatistieken die hieronder staan beschreven, zijn niet aan je account gekoppeld.

De app gebruiken zonder account

Topf werkt zonder account. Je boek blijft dan op je apparaat en wordt niet geüpload. Spraakinvoer en de bonscan hebben internet nodig en versturen gegevens als je ze gebruikt. Aankopen van Plus lopen via de App Store of Google Play en de aankoopdienst. De app verstuurt ook anonieme gebruiksstatistieken, die je kunt uitzetten. Meer daarover hieronder.

Waarom we gegevens verwerken, en op welke grondslag

Om het product te leveren dat je hebt gekozen: je boek bewaren, synchroniseren tussen je apparaten en herstellen op een nieuw apparaat. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om je te laten inloggen: het versturen van de inlogcode naar je e-mailadres. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om te weten of je Plus hebt: de aankoop controleren bij de aankoopdienst en de actuele status ervan op onze server bewaren. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om de maandelijkse grenzen voor spraakinvoer en bonscans toe te passen: het tellen van beide per kalendermaand, omdat de gratis versie er maar een beperkt aantal omvat. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om te begrijpen hoe de app wordt gebruikt en hem te verbeteren: gebruiksstatistieken. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

Om de dienst werkend te houden en misbruik van spraakinvoer en de bonscan te voorkomen. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

Waar de gegevens staan

Een volledige kopie van je boek staat op je apparaat, in een lokale database, en werkt daar zonder internet.

Als je een account hebt, worden dezelfde gegevens opgeslagen in een PostgreSQL-database die Supabase host in Frankfurt, Duitsland (AWS eu-central-1), en bereiken ze je apparaten via de synchronisatiedienst PowerSync. De toegang is per gebruiker beperkt met beveiliging op rijniveau (row-level security): een account leest zijn eigen boek en, als het bij een gedeeld boek hoort, dat boek.

Spraakinvoer

Bij spraakinvoer wordt je zin normaal gesproken omgezet door de spraakherkenningsdienst van je apparaat. Op iPhone is dat die van Apple; op Android de dienst die in het systeem is gekozen, meestal die van Google. Die dienst kan op het apparaat zelf werken of op de servers van de aanbieder, volgens diens eigen voorwaarden. Alleen de resulterende tekst gaat naar onze server, samen met de context die nodig is om hem te begrijpen: de taal van de interface, de datum van vandaag, je tijdzone, je hoofdvaluta en de namen van je actieve rekeningen en categorieën.

Die tekst gaat naar OpenAI, dat er concepttransacties van maakt. De concepten komen terug op je apparaat en worden aan je getoond; er wordt niets in je boek geschreven tot je bevestigt.

Als de herkenning van het apparaat niet beschikbaar is, wordt in plaats daarvan de opname zelf verstuurd en door dezelfde aanbieder uitgeschreven. In beide gevallen gaan geluid en tekst alleen via het geheugen door onze functie en bewaren wij ze niet — niet in de database, niet in een bestand, niet in een logboek. Als je een account gebruikt, verhoogt een geslaagde invoer alleen het hierboven beschreven maandaantal met één.

OpenAI verwerkt deze gegevens in onze opdracht als verwerker. De API wordt gebruikt met de instelling die verstuurde gegevens uitsluit van het trainen van modellen; om misbruik op te sporen kan de aanbieder het verzoek en het antwoord daarop tot 30 dagen bewaren, of langer als de wet dat vereist of als dat redelijkerwijs nodig is om de eigen diensten of derden tegen schade te beschermen. Spreek niets in wat je een verwerker niet zou laten zien.

Bonscan

Voor een bonscan maak je in de app een foto van de bon of kies je een foto uit je foto’s; de app krijgt alleen de foto die je kiest. Voordat de foto je apparaat verlaat, wordt hij verkleind en opnieuw opgeslagen zonder zijn metadata, zoals waar en wanneer hij is gemaakt. Er wordt niets verstuurd voordat je het in de app hebt toegestaan, en je kunt die toestemming altijd intrekken via Instellingen → Privacy.

De foto gaat naar onze server, samen met de context die nodig is om hem te lezen: de taal van de interface, de datum van vandaag, je tijdzone, je hoofdvaluta en de namen van je uitgavencategorieën. Van daar gaat hij naar OpenAI, dat de bon leest en er concepttransacties van maakt. De concepten komen terug op je apparaat en worden aan je getoond; er wordt niets in je boek geschreven tot je bevestigt.

Met de foto gaat alles mee wat op de bon gedrukt staat: staan je naam, adres of e-mailadres erop, dan krijgt OpenAI die ook. De foto gaat in het geheugen door onze functie en wordt door ons niet opgeslagen, niet in de database, niet in een bestand en niet in een log. Als je een account gebruikt, telt een gelezen bon één op bij het maandelijkse aantal scans; een foto waaruit niets kon worden gelezen, telt niet.

OpenAI verwerkt deze gegevens in onze opdracht als verwerker, met dezelfde instellingen en dezelfde bewaring om misbruik op te sporen als bij spraakinvoer. Scan niets wat je een verwerker niet zou laten zien.

E-mail

Inlogcodes worden verstuurd via Amazon Simple Email Service (AWS, Frankfurt, Duitsland). De dienst ontvangt je e-mailadres om het bericht af te leveren. We versturen geen marketingmail en er is geen mailinglijst.

Wisselkoersen

De dagelijkse wisselkoersen komen van de openbare dienst api.frankfurter.dev. Het verzoek wordt eens per dag door onze server voor iedereen gedaan, niet door je apparaat — meerdere valuta gebruiken vertelt die dienst dus niets over jou.

Aankopen

Topf Plus koop je op iPhone in de App Store van Apple en op Android in Google Play, met of zonder account. De betaling zelf, je kaart en je Apple ID of Google-account blijven bij de store; wij zien ze nooit. Apple en Google verwerken de aankoop als zelfstandige verwerkingsverantwoordelijken, volgens hun eigen privacybeleid. RevenueCat (RevenueCat, Inc., VS) ontvangt het aankoopbewijs van de store (het App Store-aankoopbewijs of het aankooptoken van Google Play), een anonieme identificatie van je installatie en, als je een account hebt, de identificatie daarvan, en laat de app en onze server weten of Plus actief is en tot wanneer. RevenueCat verwerkt deze gegevens in onze opdracht als verwerker; de doorgifte naar de VS berust op de standaardcontractbepalingen van de EU.

Gebruiksstatistieken

Om te begrijpen waar mensen vastlopen en wat beter kan, stuurt de app gebruiksstatistieken naar PostHog (PostHog Inc., VS; de gegevens worden in de EU opgeslagen, in Frankfurt): hoe de app wordt gebruikt — welke schermen worden geopend en welke handelingen erin worden verricht. Elke gebeurtenis bevat de appversie, het besturingssysteem en de versie daarvan, de taal, de tijdzone en een willekeurige identificatie van de installatie.

Nooit verstuurd worden bedragen, notities, namen van rekeningen en categorieën, wat je hebt gezegd, je e-mailadres en de identificatie van je account. Het IP-adres wordt weggegooid en niet gebruikt om je locatie te bepalen. De statistieken zijn niet aan je account gekoppeld; na het opnieuw installeren van de app krijgt de installatie een nieuwe identificatie. Het versturen kun je in de app uitzetten: Instellingen → Privacy → Gebruiksstatistieken.

Grondslag: ons gerechtvaardigd belang bij het verbeteren van de app (art. 6 lid 1 sub f AVG). PostHog verwerkt deze gegevens in onze opdracht als verwerker; de doorgifte naar de VS berust op de standaardcontractbepalingen van de EU. Gebeurtenissen zijn een jaar beschikbaar voor analyse; oudere verschijnen niet meer in rapporten, maar PostHog kan ze in zijn archief bewaren. Omdat de statistieken niet aan jou zijn gekoppeld, kunnen we de gebeurtenissen van één installatie niet terugvinden of verwijderen.

Deze website

De website draait op Cloudflare Pages. Er zijn geen formulieren, geen cookies, geen analyse en geen ingesloten inhoud van derden. Alleen de beginpagina leest de talen die in je browser zijn ingesteld, om in een daarvan te openen, en daarvan wordt niets bewaard. Cloudflare verwerkt de technische gegevens die elke webserver ziet — je IP-adres, het opgevraagde adres, de user agent — om de pagina te leveren en de dienst te beschermen.

Wie de gegevens nog meer ziet

Alleen de hierboven genoemde verwerkers, elk voor de ene taak die ze uitvoeren:

• Supabase — hosting van de database en de inlogdienst;
• PowerSync — synchronisatie tussen de database en je apparaten;
• OpenAI — het omzetten van een ingesproken zin of een foto van een bon in concepten;
• Amazon Web Services — het afleveren van e-mail en de infrastructuur waarop de database draait;
• RevenueCat — de verwerking van in-app-aankopen en de status van je recht op Plus;
• PostHog — gebruiksstatistieken van de app;
• Cloudflare — hosting van deze website en het domein.

We zorgen ervoor dat derden aan wie we gebruikersgegevens verstrekken die gegevens in dezelfde of een gelijkwaardige mate beschermen als dit privacybeleid beschrijft en de voor onze app geldende regels voor gegevensbescherming vereisen.

Je gegevens worden niet verkocht, niet verhuurd, niet gedeeld met adverteerders en niet gebruikt om iemands modellen te trainen.

Hoe lang we gegevens bewaren

Zo lang als je account bestaat. Het account verwijderen verwijdert het boek op de server; een kopie die al naar je eigen apparaten is gesynchroniseerd, verdwijnt wanneer je uitlogt of de app verwijdert.

Een transactie die je in de app verwijdert, verdwijnt meteen uit het boek en uit alle totalen; direct daarna kun je het verwijderen nog ongedaan maken. Op de server blijft ze bewaard, gemarkeerd als verwijderd, tot je je account verwijdert.

Je rechten

Op grond van de AVG heb je recht op inzage, rectificatie, wissing, beperking van de verwerking en overdraagbaarheid van gegevens, en het recht om bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang.

Verwijderen zit in de app: Instellingen → Account → Account verwijderen wist je gegevens op de server en trekt, als je met Apple inlogt, ook die toestemming in. Voor al het andere kun je mailen naar [email protected].

Kinderen

Topf is niet gericht op kinderen en niet bedoeld voor mensen jonger dan 16 jaar.

Wijzigingen

Als dit beleid verandert, verandert de datum bovenaan mee. Een wijziging die wezenlijk invloed heeft op hoe er met je gegevens wordt omgegaan, wordt in de app aangekondigd voordat die ingaat.