Så skyddar vi dina pengar och dina uppgifter

1.Under överföring och i lagring

Kort sagt: allt skickas krypterat, lagras krypterat, och nyckeln förvaras aldrig bredvid datan.

• Under överföring. Varje anslutning mellan din enhet och vår server är krypterad (TLS). Webbläsaren får säkerhetsregler i HTTP-huvudena som hindrar främmande kod från att laddas in på sidan.
• I lagring. Personliga fält – beskrivningar och handlare på transaktioner, namn på konton, skulder och mål – krypteras ett och ett, inte bara disken som helhet. En kopia av databasen i fel händer är en oläslig teckenföljd utan nyckeln.
• Nyckeln hålls separat. Krypteringsnyckeln lagras aldrig på samma ställe som säkerhetskopiorna av databasen. Själva säkerhetskopiorna är också krypterade.
• Server i Europeiska unionen. Datan finns i ett datacenter i Tyskland. Databasen går inte att nå från internet – bara från appens egen server, som körs utan administratörsrättigheter.

2.Ditt konto

Kort sagt: ett lösenord som ingen kan läsa ut, en andra faktor, och varje enhet synlig och möjlig att logga ut för sig.

• Lösenord. Vi sparar bara ett envägsfingeravtryck av det (bcrypt). Inte ens vi kan ta reda på ditt lösenord, bara kontrollera det.
• Tvåfaktorsinloggning. Slå på engångskoder från en autentiseringsapp (TOTP) i inställningarna, så räcker inte ett lösenord för att komma in.
• En ny enhet ber om bekräftelse. Inloggning från en okänd enhet kräver en kod från din e-post.
• Sessioner per enhet. I inställningarna ser du varje enhet som har loggat in och kan logga ut vilken som helst av dem med ett tryck.
• På mobilen – Face ID. iPhone-appen ber om Face ID eller Touch ID efter en paus, så den som tar upp din telefon kommer inte åt dina pengar.
• Ingen gissning. Inloggning, registrering och återställning av lösenord har ett begränsat antal försök, och inget felmeddelande avslöjar om en e-postadress finns hos oss.

3.Bankåtkomst med enbart läsrätt

Kort sagt: ditt banklösenord stannar hos banken, vi kan inte flytta pengar, och åtkomsten återkallas med ett tryck.

• En licensierad väg. Bankkopplingen går via en EU-licensierad tjänst för öppen bankverksamhet (PSD2) – samma väg som din bank själv erbjuder tredje part.
• Enbart läsrätt. Vi får listan över transaktioner och saldot. Att göra en betalning, en överföring eller ändra något i din bank går inte – själva åtkomstavtalet ger ingen sådan rätt.
• Ditt banklösenord stannar hos banken. Du godkänner samtycket i din egen bank med dina egna inloggningsuppgifter, precis som en betalning. Det når aldrig oss.
• Giltighet och återkallelse. Samtycket gäller i upp till 180 dagar, och sedan ber banken dig bekräfta det igen. Du kan återkalla det när som helst – med ett tryck här eller i din bank.
• Synkningen följer din plan. Om ett abonnemang upphör slutar nya data att hämtas direkt. Transaktioner som redan har hämtats förblir dina.

4.Det som inte ens vi ser

Kort sagt: adminverktygen kan inte läsa dina ekonomiska data – det är inbyggt i koden och kontrolleras automatiskt.

• Administration utan ekonomiska data. Adminpanelen är byggd så att den inte alls kan röra användarnas tabeller med transaktioner, konton och mål. Ett automatiskt test slår larm i samma stund som någon försöker ändra på det.
• Bara siffror. För att göra upp med vår partner för bankdata behöver vi veta hur många kopplingar det finns. Vilken bank och vilka konton som hör till vilken person tittar vi inte på.
• Varje administratörsåtgärd skrivs till en logg som inte går att radera.
• Aldrig sålt, ingen reklam. Dina data är inte vår produkt. Appen har ingen reklam och inga spårare från tredje part.
• Kortuppgifter når aldrig oss. Betalningar hanteras av en licensierad betalpartner; vi ser bara att en betalning har gjorts.

5.I dina händer

Kort sagt: allt du lägger in kan du ta ut – en kopia eller en radering, när som helst, utan frågor.

• Export. I inställningarna får du med ett tryck en fullständig kopia av dina data i ett öppet format (JSON): mål, kategorier, transaktioner, skulder, gränser.
• Radering med ett klick. När du raderar kontot i inställningarna raderas allt på en gång och för gott – inget samtal, ingen e-post, ingen väntan. Säkerhetskopiorna följer efter enligt schemat i integritetspolicyn.
• En gratis väg utan bank. Vill du inte koppla en bank fungerar allt med manuell inmatning och import av kontoutdrag – utan tidsgräns och utan kostnad.

6.Jämfört med de största budgetapparna

Kort sagt: branschstandarden är vår utgångspunkt, och på flera punkter går vi längre.

Världens största budgetappar, med miljontals användare, skyddar data enligt ett och samma recept: krypterat under överföring och på disk, bankåtkomst via en licensierad mellanhand och med enbart läsrätt, tvåfaktorsinloggning och radering på begäran. Ingen av dem krypterar data så att de själva inte kan läsa dem, eftersom varken banksynkning, rapporter eller återställning av lösenord då skulle fungera. Tabellen visar var vi ligger på samma nivå och var vi går längre.

7.Om du hittar en sårbarhet

Skriv till support@groworth.xyz med ”säkerhet” i ämnesraden. Vi svarar alla som rapporterar i god tro, och vi berättar för den som hittade felet när rättningen är ute.

• Personuppgiftsansvarig: SIA Appmeway, org.nr 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettland
• Mer om behandlingen av personuppgifter: integritetspolicy (på engelska)