Zo beschermen we je geld en je gegevens

1.Onderweg en opgeslagen

Kort gezegd: alles reist versleuteld, wordt versleuteld opgeslagen, en de sleutel ligt altijd ver van de gegevens.

• Onderweg. Elke verbinding tussen je apparaat en onze server is versleuteld (TLS). De browser krijgt beveiligingsheaders mee die voorkomen dat vreemde code in de pagina wordt geladen.
• Opgeslagen. Persoonlijke velden (omschrijvingen en winkels van transacties, namen van rekeningen, schulden en doelen) worden één voor één versleuteld, niet alleen de schijf als geheel. Een kopie van de database in verkeerde handen is zonder de sleutel een onleesbare tekenreeks.
• De sleutel apart. De versleutelingssleutel wordt altijd op een andere plek bewaard dan de back-ups van de database. De back-ups zelf zijn ook versleuteld.
• Server in de Europese Unie. De gegevens staan in een datacenter in Duitsland. De database is alleen bereikbaar vanaf de eigen server van de app, die zonder beheerdersrechten draait; vanaf het internet is hij afgesloten.

2.Je account

Kort gezegd: een wachtwoord dat niemand kan teruglezen, een tweede factor, en elk apparaat in beeld met een eigen afmeldknop.

• Wachtwoord. We bewaren alleen een vingerafdruk in één richting (bcrypt). Ook wij kunnen je wachtwoord niet achterhalen, alleen controleren.
• Inloggen in twee stappen. Zet in Instellingen eenmalige codes uit een authenticator-app (TOTP) aan, en met alleen een wachtwoord komt niemand meer binnen.
• Een nieuw apparaat vraagt om bevestiging. Inloggen vanaf een onbekend apparaat vraagt om een code uit je e-mail.
• Sessies per apparaat. In Instellingen zie je elk apparaat dat is ingelogd en meld je elk ervan met één klik af.
• Op je telefoon: Face ID. De iPhone-app vraagt na een pauze om Face ID of Touch ID, zodat wie je telefoon oppakt, niet ook je geld oppakt.
• Geen gokwerk. Inloggen, registreren en wachtwoord herstellen hebben een beperkt aantal pogingen, en geen enkele foutmelding verraadt of een e-mailadres bij ons bekend is.

3.Alleen-lezen toegang tot je bank

Kort gezegd: je bankwachtwoord blijft bij je bank, de toegang is alleen om te lezen en je trekt hem met één klik in.

• Een gereguleerde route. De bankkoppeling loopt via een aanbieder van rekeninginformatiediensten met een EU-vergunning (PSD2): dezelfde route die je eigen bank aan derden aanbiedt.
• Alleen lezen. We ontvangen de lijst met transacties en het saldo. Betalingen, overboekingen of wijzigingen bij je bank vallen buiten ons bereik: de toestemming zelf geeft dat recht niet.
• Je bankwachtwoord blijft bij je bank. Je geeft toestemming in je eigen bank, met je eigen middelen, net als bij het bevestigen van een betaling.
• Verloop en intrekken. De toestemming geldt tot 180 dagen; daarna vraagt de bank je om haar opnieuw te bevestigen. Je kunt haar altijd intrekken, met één klik hier of in je bank.
• Synchroniseren volgt je abonnement. Eindigt een abonnement, dan stopt het ophalen van nieuwe gegevens meteen. Transacties die al zijn opgehaald, blijven van jou.

4.Geen trackers, met één klik gewist

Kort gezegd: geen analyse- of advertentietrackers van derden, je gegevens worden nooit verkocht en je kunt alles met één klik wissen.

• Geen trackers van derden. Geen Google Analytics, geen Meta Pixel, geen advertentietools. We tellen bezoeken zelf, op onze eigen server, zonder cookies, en die statistieken bevatten geen van je financiële gegevens.
• Nooit verkocht, geen advertenties. Je gegevens zijn niet ons product.
• Met één klik gewist. Verwijder je je account, dan verdwijnt alles wat we over je bewaren: transacties, rekeningen, doelen en bankkoppelingen.
• Elke handeling van een beheerder wordt vastgelegd.
• Je kaartgegevens komen nooit bij ons. Betalingen worden afgehandeld door een erkende betaalpartner; wij zien alleen dat er een betaling is gedaan.

5.In jouw handen

Kort gezegd: alles wat je erin stopt, kun je eruit halen, als kopie of door te wissen, wanneer je wilt en zonder vragen.

• Exporteren. In Instellingen krijg je met één klik een volledige kopie van je gegevens in een open formaat (JSON): doelen, categorieën, transacties, schulden en limieten.
• Wissen met één klik. Verwijder je je account in Instellingen, dan wordt alles in één keer en voorgoed gewist: geen telefoontje, geen e-mail, geen wachttijd. Back-ups volgen het schema dat in het privacybeleid staat.
• Een gratis route zonder bank. Wil je liever geen bank koppelen, dan werkt alles met handmatige invoer en het importeren van afschriften, zonder tijdslimiet en zonder kosten.

6.Vergeleken met de grootste budget apps

Kort gezegd: de standaard van de branche is ons vertrekpunt, en op meerdere punten gaan we verder.

De grootste budget apps ter wereld, met miljoenen gebruikers, beschermen gegevens volgens hetzelfde recept: versleuteld onderweg en op de schijf, toegang tot de bank via een erkende tussenpartij en alleen om te lezen, inloggen in twee stappen, verwijderen op verzoek. Geen van hen versleutelt gegevens zo dat ze die zelf niet kunnen lezen, want dan zouden bankkoppeling, rapporten en wachtwoordherstel niet werken. De tabel laat zien waar we op hetzelfde niveau zitten en waar we verder gaan.

7.Als je een kwetsbaarheid vindt

Mail naar support@groworth.xyz met ‘beveiliging’ in het onderwerp. We antwoorden iedereen die te goeder trouw een melding doet, en laten de vinder weten wanneer de oplossing live staat.

• Verwerkingsverantwoordelijke: SIA Appmeway, registratienr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Letland
• Meer over de verwerking van gegevens: Privacybeleid