Privacybeleid

GY Digital is verwerkingsverantwoordelijke voor Budgetto. Dat is de handelsnaam waaronder Romain Goyeau als student-ondernemer werkt, en de partij die de server beheert waar je gegevens op staan. Er is geen functionaris voor gegevensbescherming aangesteld: daarvoor is de verwerking te klein en te beperkt van aard.

Strikt beperkt tot wat de app nodig heeft:

Wat we niet verwerken: trackers of analytics op de site (de enige telling is de anonieme telling van Brevo of onze mails geopend en aangeklikt worden, zie paragraaf 12), bankgegevens, locatie of apparaatidentifiers. We kopen geen gegevens aan en we koppelen niets aan externe profielen. Gebruik je Budgetto samen met anderen, dan geef je ons ook gegevens over iemand anders: het e-mailadres van wie je uitnodigt, dat we niet leesbaar bewaren, en de voornaam en geboortemaand van je kind.

Je bent niet verplicht die gegevens te geven, maar zonder e-mailadres en wachtwoord kan er geen account bestaan en dus ook geen dienst geleverd worden. De herinneringsmail is het enige dat op toestemming berust: alle andere mails zijn er omdat je een account aanmaakte, omdat je er zelf om vroeg, of omdat iemand je uitnodigde of iets deed in een profiel waarvan je lid bent (zie paragraaf 12).

Zolang je een account hebt. Wanneer je op Account verwijderen klikt in Instellingen, worden je account en je eigen profiel, met alle transacties en categorieën, onmiddellijk en definitief uit de database verwijderd, je mailvoorkeuren en je mailgeschiedenis inbegrepen. Deel je een profiel met anderen (een gedeeld profiel, een kindprofiel of het profiel van je kind), dan blijft dat profiel bestaan voor wie er nog in zit: wat jij erin invoerde, blijft erin staan, zonder je naam. Een gedeeld profiel of kindprofiel waarin niemand anders meer zit, verdwijnt mee; dat zie je vooraf. Back-ups van de server bewaren je gegevens hoogstens 30 dagen, daarna zijn ze overal weg. De back-up die elke nacht gemaakt wordt, is meteen versleuteld, een kopie ervan staat op een tweede server van Hetzner in Falkenstein (Duitsland), en de sleutel om hem te openen staat niet op de server. Het technische logboek van de webserver en de app, met je IP-adres, is na hoogstens 30 dagen weg. Van de verstuurde mails houden we een technisch logboek bij (welke soort mail, naar welk account, of ze vertrokken is, nooit de inhoud) en dat wordt na 90 dagen automatisch opgeruimd. Ook van de vaste kosten die zichzelf boeken, houdt de app een technisch logboek bij (het nummer van het profiel en van de vaste kost, hoe vaak ze terugkomt, hoeveel keer en tot welke dag er geboekt werd, nooit een bedrag of een naam); dat is na ongeveer twee maanden weg. Je mailvoorkeuren en het feit dat je je afgemeld hebt blijven wel staan zolang je account bestaat: een vergeten afmelding zou betekenen dat je opnieuw krijgt wat je net had uitgezet. Brevo, de dienst die onze mails verstuurt, houdt daarnaast zijn eigen verzendlogboek bij. Dat staat bij Brevo en er is geen instelling om die termijn korter te zetten; wel staat in onze overeenkomst met hen dat alles uiterlijk honderd dagen na het einde daarvan vernietigd of geanonimiseerd wordt, met een attest op verzoek. Wat je ons zelf stuurde via het contactformulier, de enquête of een antwoord op een bericht in de app, blijft bij je account staan en verdwijnt mee als je het verwijdert. De kopie die als mail bij de beheerder binnenkwam, verwijderen we op verzoek. Voor samen gebruiken en kinderen gelden daarnaast deze termijnen:

• →De activiteit van een gedeeld profiel, een kindprofiel of het profiel van een kind met een eigen login (wie iets toevoegde, wijzigde of verwijderde, wie erbij kwam of vertrok), en in je eigen profiel wie meekeek: 12 maanden.
• →Wanneer een ouder het profiel van zijn kind met een eigen login las: 90 dagen.
• →Een uitnodiging: de gemaskeerde vorm van het adres tot ze sluit, hoogstens 21 dagen; de uitnodiging zelf, met de vingerafdruk van het adres, tot 30 dagen na het sluiten. De telling van uitnodigingsmails per adres: hoogstens 8 dagen.
• →De vingerafdruk van een adres dat geen uitnodigingen meer wil: tot dat adres het zelf opheft.
• →Meldingen in de app over samen gebruiken en kinderen: 30 dagen nadat je ze las, anders 90 dagen.
• →Tellers per persoon en per dag (codes, uitnodigingen, mails), die misbruik afremmen: 2 dagen.
• →De geboortemaand van een kind met een eigen login en het moment waarop het zijn profiel kreeg: zolang zijn account bestaat.
• →Een kindprofiel zonder eigen login van een kind dat 18 werd: we wissen het niet vanzelf; het blijft tot een ouder het aan het kind geeft of verwijdert.

Op één server in een datacenter in Duitsland, dus binnen de Europese Unie. De hosting loopt via Hetzner Online GmbH, in hun datacenterpark in Falkenstein:

Hetzner levert de machine en de fysieke beveiliging en treedt op als verwerker in de zin van artikel 28 AVG: zij verwerken je gegevens uitsluitend in onze opdracht en mogen er zelf niets mee doen. Dat geldt ook voor de versleutelde back-ups: die staan behalve op de server ook op een tweede server van Hetzner (een Storage Box), in hetzelfde datacenterpark in Falkenstein. Zonder de sleutel, die niet op de server staat, zijn ze onleesbaar. Er wordt geen kopie van de database bij een andere partij of in een ander land bewaard. Om na te gaan dat een back-up bruikbaar is, openen we er af en toe een op de computer van de beheerder in België, alleen om te tellen of hij volledig is, en wissen we hem meteen daarna.

Met niemand die er iets mee doet.

Geen Google Analytics, geen Meta Pixel, geen Cloudflare Insights, geen CDN voor code. Je browser praat enkel met deze server, nooit met een reclame- of statistiekdienst. Je gegevens worden nooit verkocht, verhuurd of gedeeld voor commerciële doeleinden. Hieronder staat de volledige lijst van partijen die iets van je te zien krijgen, en waarom: de hostingpartij, de dienst die onze mails verstuurt (Brevo, Frankrijk), Google als je met die knop aanmeldt, en twee koersdiensten als je belegt. Daarnaast zien andere gebruikers wat jij met hen deelt, en zien de ouders van een kind met een eigen login zijn profiel: dat staat onder "Mensen die jij toelaat".

Je account, je transacties en je vermogensgegevens blijven op de servers in Duitsland en gaan de EER niet uit. Er zijn twee gevallen waarin er wel verkeer naar buiten de EER is, en in geen van beide gaat het om gegevens waaruit blijkt wie je bent:

• →Bij het opvragen van beurskoersen contacteert onze server Yahoo Finance, een dienst van een Amerikaans bedrijf. Wat daarheen gaat is een beurssymbool, verstuurd door de server. Geen persoonsgegevens.
• →Meld je aan met Google, dan verloopt die aanmelding via Google, dat gegevens ook buiten de EER kan verwerken. Google LLC is daarvoor gecertificeerd onder het EU-US Data Privacy Framework, het adequaatheidsbesluit van de Europese Commissie. Dit gebeurt alleen als jij die knop gebruikt.

Technische maatregelen die draaien op deze instantie:

• →Wachtwoorden gehasht met bcrypt (12 rounds), niet terug te draaien.
• →Sessies in httpOnly cookies, niet leesbaar voor JavaScript, niet te stelen via XSS.
• →Rate-limits op login, registratie en captcha om brute-force te stoppen.
• →HTTPS via Caddy (auto-TLS, HSTS-headers).
• →Security-headers (helmet): X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
• →Content-Security-Policy: de browser voert alleen scripts van deze server uit en laadt niets van een andere website, zodat een script dat iemand in een pagina zou binnensmokkelen, niet draait.
• →CAPTCHA en honeypot bij registratie om bots te weren.
• →Toegang per profiel: elk verzoek gaat langs een controle die per profiel beslist wie wat mag, en een automatische test probeert elke route met elke rol uit.
• →Wissen: wat je verwijdert, wordt in de database ook overschreven, niet alleen vrijgegeven.
• →Back-ups van de database elke nacht, meteen versleuteld met een sleutel die niet op de server staat, en ook op een tweede server van Hetzner. Alle back-ups, ook de kopieën van de hele server bij Hetzner, zijn na hoogstens 30 dagen weg.

Bij een datalek met risico voor jouw rechten en vrijheden melden we dat binnen 72 uur aan de Gegevensbeschermingsautoriteit, en rechtstreeks aan jou als het risico hoog is.

Budgetto neemt geen enkel besluit over jou dat rechtsgevolgen heeft of je in aanmerkelijke mate treft (art. 22 AVG). De maandvoorspelling schat je saldo uit je eigen cijfers; dat kan onder de AVG als profilering gelden (art. 4.4), maar het blijft een berekening die alleen de mensen zien die dat profiel mogen zien, zonder scoring, kredietbeoordeling of advies dat ergens naartoe gaat. De grens van 18 bij een kind met een eigen login is een datum uit de geboortemaand die het kind zelf opgaf, geen oordeel over de persoon.

Je hebt onder de AVG de volgende rechten. De meeste zijn rechtstreeks in de app uitgewerkt. Een verzoek mailen kan altijd, en we antwoorden binnen een maand.

Als we dit document aanpassen, verhogen we het versienummer bovenaan en zetten we de datum op vandaag. Bij ingrijpende wijzigingen krijg je een bericht in de app bij je volgende bezoek. Versie 2.3 beschrijft het importeren uit een bestand van je bank of een schermafbeelding. Het gebeurt op je eigen toestel, geldt alleen voor wie het zelf gebruikt, en er komt geen nieuwe ontvanger bij; daarom krijg je er geen bericht over in de app. Versie 2.2 beschrijft het overschrijven tussen profielen die je bijhoudt en het maandoverzicht van een gedeeld profiel in je eigen maandmail. Het geldt alleen voor wie dat zelf gebruikt, en er komt geen nieuwe ontvanger bij; daarom krijg je er geen bericht over in de app. Versie 2.1 opent de functies voor kinderen voor iedereen: een kindprofiel, en een eigen login vanaf 13. Wat we bewaren en wie het ziet, verandert niet; daarom krijg je er geen bericht over in de app. Versie 2.0 beschreef samen gebruiken voor iedereen: gedeelde profielen, meekijken en uitnodigingen, wat we daarvoor bewaren en hoe lang, en wie wat ziet; wie toen al een account had, kreeg er een bericht over in de app. Versie 1.8 zegt dat je het verwijderen van een account dat alleen met Google inlogt, bevestigt met een code per mail. Versie 1.7 beschreef samen gebruiken en kinderen met een eigen login toen die alleen voor testers openstonden; de versies 1.6 en 1.5 zetten details recht over het technische logboek, de cookies, de lijst van onze mails en de back-ups.

Budgetto stuurt weinig mail en nooit iets om je iets te verkopen. Dit is de volledige lijst. Wat je krijgt, kies je zelf in de app onder Instellingen bij Voorkeuren, en je kan die keuze op elk moment veranderen.

• →Welkom en je adres bevestigen Eén keer, meteen na je registratie. We leggen uit hoe de app werkt en vragen je op een knop te klikken zodat we zeker weten dat het adres van jou is. Grondslag: uitvoering van de overeenkomst (art. 6.1.b AVG). Zolang je niet bevestigd hebt, vertrekt er geen enkele periodieke mail. Wijzig je later je e-mailadres, dan vragen we die bevestiging opnieuw en ligt de rest tot dan stil.
• →Bevestiging als je iets uitzet Eén korte mail nadat je je afgemeld hebt, zodat je zwart op wit hebt dat het gelukt is en hoe je het weer aanzet. Zo een ontvangstbewijs is wettelijk verplicht (KB van 4 april 2003); die mail heeft zelf geen afmeldlink, want hij is de afmelding.
• →Mails over je wachtwoord Alleen als je er zelf om vraagt of als je wachtwoord verandert: de link om een nieuw wachtwoord te kiezen (een uur geldig), uitleg als je account met Google werkt, en een melding nadat je wachtwoord gewijzigd is, zodat je het merkt als iemand anders dat deed. Grondslag: uitvoering van de overeenkomst (art. 6.1.b AVG). Geen afmeldlink: ze horen bij het veilig gebruiken van je account.
• →Wat je zelf aanvraagt Bij Voorkeuren kan je jezelf een nieuwe bevestigingsmail sturen, of een testmail om te zien of onze mails aankomen (dat is de welkomstmail nog eens). Die krijg je alleen als je zelf op de knop drukt. Grondslag: uitvoering van de overeenkomst (art. 6.1.b AVG).
• →Je maand in drie cijfers Op de eerste van de maand, met je eigen cijfers van de maand ervoor: wat erin kwam, wat eruit ging, wat er overbleef, je drie grootste categorieën en op hoeveel dagen je iets noteerde. Geen namen van transacties, geen notities, geen bedrag in het onderwerp. Grondslag: gerechtvaardigd belang (art. 6.1.f AVG). Uitzetten kan in de app of met één klik onderaan de mail. Zet je in een gedeeld profiel het maandoverzicht aan, dan staan in jouw maandoverzicht ook de totalen en de drie grootste categorieën van dat profiel, met zijn naam. Die mail gaat zoals de andere via Brevo. De andere leden kunnen op de pagina van het profiel zien dat jij het aanzette.
• →Herinnering om iets te noteren Staat standaard uit. Zet je hem aan, dan krijg je 's avonds een duwtje op een dag dat je niets noteerde, in het ritme dat jij kiest. Grondslag: jouw toestemming (art. 6.1.a AVG), op elk moment in te trekken. Reageer je een paar keer niet, dan stopt hij uit zichzelf.
• →Een code om te bevestigen dat jij het bent Alleen als je er zelf om vraagt: een code om een handeling te bevestigen, bijvoorbeeld om je account te verwijderen als je alleen met Google inlogt, om een profiel te verwijderen of om iemand toegang te geven. Tien minuten geldig. Grondslag: gerechtvaardigd belang (art. 6.1.f AVG), de beveiliging van je account. Geen afmeldlink: ze hoort bij het veilig gebruiken van je account.
• →Een uitnodiging Alleen als iemand je uitnodigt voor een gedeeld profiel, om mee te kijken, als ouder van een kind, of om je als kind je eigen profiel te geven: een mail met de voornaam van wie uitnodigt, een gemaskeerde vorm van zijn adres en een link naar de uitnodiging. Hoogstens één per profiel en drie in totaal per zeven dagen, en nooit reclame. Grondslag: gerechtvaardigd belang (art. 6.1.f AVG). Onderaan staat een link om van niemand nog uitnodigingen te krijgen.
• →Mails over een gedeeld profiel Alleen als er iets gebeurt dat jou aangaat: iemand aanvaardde je uitnodiging en je moet bevestigen wie het is, er is iemand bij in een profiel waarvan je lid bent, of iemand kijkt vanaf vandaag mee in je eigen profiel. Wie erbij kwam, noemt de mail bij voornaam, met de naam van een gedeeld profiel; nooit bedragen. Grondslag: uitvoering van de overeenkomst (art. 6.1.b AVG). Geen afmeldlink: deze mails horen bij het veilig gebruiken van een gedeeld profiel, en ze vertrekken alleen bij een gebeurtenis.
• →Mails over een kind Alleen als je ouder bent in een profiel van een kind en er iets gebeurt dat jou aangaat: je akkoord is nodig, er is een ouder bij, het profiel werd aan het kind gegeven, of een kindprofiel zonder eigen login wordt binnenkort of is nu alleen-lezen omdat het kind 18 wordt. Nooit bedragen, en nooit de naam van het kind, een datum of een adres. Grondslag: uitvoering van de overeenkomst (art. 6.1.b AVG). Geen afmeldlink: deze mails horen bij het veilig gebruiken van een profiel van een kind. Heb je je voor alle mail afgemeld, dan krijg je de berichten over een kind dat 18 wordt alleen in de app.

Onderaan elke periodieke mail staat een afmeldlink die meteen werkt, plus een link om alles in één keer uit te zetten. Brevo telt anoniem hoe vaak onze mails geopend en aangeklikt worden; dat valt niet uit te zetten, en wij gebruiken die cijfers nergens voor. Je adres wordt nooit gebruikt voor een nieuwsbrief, een aanbieding of iets van iemand anders.

Vragen, verzoeken of klachten over je gegevens: mail privacy@gy-digital.be of bel +32 492 49 38 04. Meer over wie erachter zit staat op gy-digital.be.