Privacybeleid

Wie verantwoordelijk is

De verwerkingsverantwoordelijke voor de hier beschreven verwerking is Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Duitsland.

Met elke vraag over je gegevens kun je terecht bij [email protected]. Je kunt ook een klacht indienen bij een toezichthouder voor gegevensbescherming in het EU-land waar je woont.

Wat we opslaan

Accountgegevens, als je een account aanmaakt: je e-mailadres, de identificatiegegevens van de gebruikte inlogmethode (Apple of Google, als je zo inlogt) en de technische tijdstempels van je sessies.

Het boek zelf: transacties, rekeningen, categorieën, terugkerende transacties, geplande betalingen, budgetten, valuta-instellingen en de notities die je schrijft. Als je een boek deelt, de leden van die groep en de uitnodigingscodes.

Als je Topf Plus koopt: dat de aankoop is gedaan en tot wanneer die geldig is, de anonieme identificatie die de aankoopdienst aan je installatie toekent en, als je een account hebt, de koppeling tussen die twee. Niet je kaart, je Apple ID of je Google-account: die bewaart de store, en de store laat ons daar niets van zien.

Als je spraakinvoer met een account gebruikt: per kalendermaand hoeveel geslaagde spraakinvoeren aan je account zijn toegerekend, zodat de geldende grens kan worden toegepast — een maandelijkse grens in de gratis versie en, met Plus, een bovengrens die tegen misbruik beschermt. Opgeslagen worden de kalendermaand, dat aantal en het tijdstip van de laatste wijziging; de zin die je hebt uitgesproken en de concepten die eruit zijn voortgekomen, worden niet opgeslagen. In een gedeeld boek worden de spraakinvoeren van deelnemers zonder eigen Plus toegerekend aan het account van de eigenaar van de groep.

Als je de bonscan met een account gebruikt: per kalendermaand hoeveel bonnen voor je account zijn gelezen, zodat de geldende grens kan worden toegepast. Net als bij spraakinvoer worden de kalendermaand, dat aantal en het tijdstip van de laatste wijziging opgeslagen; de foto van de bon en de concepten die eruit zijn voortgekomen, worden niet opgeslagen. In een gedeeld boek worden de scans van deelnemers zonder eigen Plus toegerekend aan het account van de eigenaar van de groep.

Als je Topf AI met een account gebruikt: per kalendermaand hoeveel vragen voor je account zijn geteld, zodat de geldende grens kan worden toegepast, en, terwijl een vraag wordt beantwoord, een notitie dat die is geteld, die na vijftien minuten vervalt. De vragen, de delen van je boek die ermee worden meegestuurd en de antwoorden worden niet bewaard. In een gedeeld boek tellen vragen van leden zonder eigen Plus mee voor het account van de eigenaar van de groep.

Automatisch invoeren, als je het gebruikt: bij elke transactie die het heeft ingevoerd, waar de betaling vandaan kwam (Apple Pay, een melding of een sms van de bank), de naam van de kaart zoals Wallet die toont, en of en in welke maand Topf haar zelf heeft ingevoerd; en het geheugen van het boek, dus welke categorie een winkel krijgt en op welke rekening een kaart of bank komt. Het label van de betaalterminal en het bedrag, zoals Apple Pay ze geeft, gaan mee met de transactie, zodat elk apparaat van het boek en elk lid van een gedeeld boek ze ziet. De tekst van een bericht van de bank blijft op het apparaat dat hem ontving. Met een account, per kalendermaand, hoeveel betalingen het model voor je account heeft gelezen, zodat de geldende limiet kan worden toegepast.

Dat is de volledige lijst van wat bij een account wordt opgeslagen. De app bevat geen advertentie-ID, geen apparaatvingerafdruk en geen tracking door derden; de gebruiksstatistieken die hieronder staan beschreven, zijn niet aan je account gekoppeld.

De app gebruiken zonder account

Topf werkt zonder account. Je boek blijft dan op je apparaat en wordt niet geüpload. Spraakinvoer en de bonscan hebben internet nodig en versturen gegevens als je ze gebruikt. Aankopen van Plus lopen via de App Store of Google Play en de aankoopdienst. De app verstuurt ook anonieme gebruiksstatistieken, die je kunt uitzetten. Meer daarover hieronder.

Automatisch invoeren werkt ook zonder account; wat het verstuurt, en wanneer, staat hieronder.

Topf AI heeft een account nodig, omdat elke vraag wordt geteld voor het account dat haar stelt.

Waarom we gegevens verwerken, en op welke grondslag

Om het product te leveren dat je hebt gekozen: je boek bewaren, synchroniseren tussen je apparaten en herstellen op een nieuw apparaat. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om je te laten inloggen: het versturen van de inlogcode naar je e-mailadres. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om te weten of je Plus hebt: de aankoop controleren bij de aankoopdienst en de actuele status ervan op onze server bewaren. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om de maandelijkse grenzen voor spraakinvoer en bonscans toe te passen: het tellen van beide per kalendermaand, omdat de gratis versie er maar een beperkt aantal omvat. Grondslag: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

Om de maandelijkse grens voor vragen aan Topf AI toe te passen: we tellen ze per kalendermaand, omdat de gratis versie er een beperkt aantal bevat. Rechtsgrond: uitvoering van een overeenkomst (art. 6, lid 1, sub b AVG).

Om te begrijpen hoe de app wordt gebruikt en hem te verbeteren: gebruiksstatistieken. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

Om de dienst werkend te houden en misbruik van spraakinvoer en de bonscan te voorkomen. Grondslag: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

De limieten van automatisch invoeren toepassen: per kalendermaand de betalingen tellen die Topf zelf invoert en de betalingen die het model leest. Rechtsgrond: uitvoering van een overeenkomst (art. 6, lid 1, onder b AVG).

Waar de gegevens staan

Een volledige kopie van je boek staat op je apparaat, in een lokale database, en werkt daar zonder internet.

Als je een account hebt, worden dezelfde gegevens opgeslagen in een PostgreSQL-database die Supabase host in Frankfurt, Duitsland (AWS eu-central-1), en bereiken ze je apparaten via de synchronisatiedienst PowerSync. De toegang is per gebruiker beperkt met beveiliging op rijniveau (row-level security): een account leest zijn eigen boek en, als het bij een gedeeld boek hoort, dat boek.

Spraakinvoer

Bij spraakinvoer wordt je zin normaal gesproken omgezet door de spraakherkenningsdienst van je apparaat. Op iPhone is dat die van Apple; op Android de dienst die in het systeem is gekozen, meestal die van Google. Die dienst kan op het apparaat zelf werken of op de servers van de aanbieder, volgens diens eigen voorwaarden. Alleen de resulterende tekst gaat naar onze server, samen met de context die nodig is om hem te begrijpen: de taal van de interface, de datum van vandaag, je tijdzone, je hoofdvaluta en de namen van je actieve rekeningen en categorieën.

Die tekst gaat naar OpenAI, dat er concepttransacties van maakt. De concepten komen terug op je apparaat en worden aan je getoond; er wordt niets in je boek geschreven tot je bevestigt.

Als de herkenning van het apparaat niet beschikbaar is, wordt in plaats daarvan de opname zelf verstuurd en door dezelfde aanbieder uitgeschreven. In beide gevallen gaan geluid en tekst alleen via het geheugen door onze functie en bewaren wij ze niet — niet in de database, niet in een bestand, niet in een logboek. Als je een account gebruikt, verhoogt een geslaagde invoer alleen het hierboven beschreven maandaantal met één.

OpenAI verwerkt deze gegevens in onze opdracht als verwerker. De API wordt gebruikt met de instelling die verstuurde gegevens uitsluit van het trainen van modellen; om misbruik op te sporen kan de aanbieder het verzoek en het antwoord daarop tot 30 dagen bewaren, of langer als de wet dat vereist of als dat redelijkerwijs nodig is om de eigen diensten of derden tegen schade te beschermen. Spreek niets in wat je een verwerker niet zou laten zien.

Bonscan

Voor een bonscan maak je in de app een foto van de bon of kies je een foto uit je foto’s; de app krijgt alleen de foto die je kiest. Voordat de foto je apparaat verlaat, wordt hij verkleind en opnieuw opgeslagen zonder zijn metadata, zoals waar en wanneer hij is gemaakt. Er wordt niets verstuurd voordat je het in de app hebt toegestaan, en je kunt die toestemming altijd intrekken via Instellingen → Privacy.

De foto gaat naar onze server, samen met de context die nodig is om hem te lezen: de taal van de interface, de datum van vandaag, je tijdzone, je hoofdvaluta en de namen van je uitgavencategorieën. Van daar gaat hij naar OpenAI, dat de bon leest en er concepttransacties van maakt. De concepten komen terug op je apparaat en worden aan je getoond; er wordt niets in je boek geschreven tot je bevestigt.

Met de foto gaat alles mee wat op de bon gedrukt staat: staan je naam, adres of e-mailadres erop, dan krijgt OpenAI die ook. De foto gaat in het geheugen door onze functie en wordt door ons niet opgeslagen, niet in de database, niet in een bestand en niet in een log. Als je een account gebruikt, telt een gelezen bon één op bij het maandelijkse aantal scans; een foto waaruit niets kon worden gelezen, telt niet.

OpenAI verwerkt deze gegevens in onze opdracht als verwerker, met dezelfde instellingen en dezelfde bewaring om misbruik op te sporen als bij spraakinvoer. Scan niets wat je een verwerker niet zou laten zien.

Automatisch invoeren

Automatisch invoeren werkt via een persoonlijke automatisering die je instelt in de app Opdrachten van Apple op je iPhone: als je met Apple Pay betaalt of je bank een melding of sms stuurt, geeft de automatisering de betaling door aan Topf. Topf zelf kan je Wallet, je berichten en de meldingen van andere apps niet lezen; het krijgt alleen wat je automatisering doorgeeft, en bewaart dat eerst op je apparaat.

Een Apple Pay-betaling bij een winkel die Topf al kent, wordt op je apparaat ingevoerd met het geheugen van je boek, zonder iets te versturen om te lezen. Bij een nieuwe winkel uit Apple Pay en bij elk bericht van de bank, of Topf de winkel nu kent of niet, gaat de betaling naar onze server met de context die nodig is om haar te lezen: de naam van de winkel en het bedrag zoals Apple Pay die geeft, of de tekst van het bericht precies zoals je bank die schreef, plus je taal van de app, de datum en tijd waarop de betaling binnenkwam, je tijdzone, je hoofdvaluta en de namen van je categorieën. Van daaruit gaat ze naar OpenAI, dat het bedrag en de winkel leest en een categorie kiest.

Een bericht van de bank kan je saldo of de laatste cijfers van een kaart bevatten; dat gaat ook mee, omdat de tekst wordt verstuurd zoals de bank hem schreef. Hij gaat in het geheugen door onze functie en wordt niet op onze servers bewaard. Er gaat niets naar OpenAI voordat je het in de app hebt toegestaan; met ‘Zonder OpenAI’ gaat er helemaal niets naar OpenAI, en je kunt die toestemming altijd intrekken via Instellingen → Privacy.

OpenAI verwerkt deze gegevens in onze opdracht als verwerker, met dezelfde instellingen en dezelfde bewaring voor misbruikcontrole als bij spraakinvoer.

Topf AI

Topf AI beantwoordt vragen over je geld op basis van je boek. Het werkt alleen met een account, en er wordt niets verstuurd voordat je het in de app hebt toegestaan; die toestemming blijft op je apparaat. Je kunt die toestemming altijd intrekken via Instellingen → Privacy.

Bij elke vraag stuurt onze server je vraag naar OpenAI, met de taal van de app, de datum van vandaag, je tijdzone, je hoofdvaluta en de namen van je rekeningen en categorieën. Om te antwoorden vraagt het model de app om wat het nodig heeft; de app zoekt dat op in het boek op je apparaat en stuurt alleen dat terug: de gevonden transacties met datum, bedrag, categorie, rekening en notitie, totalen per categorie, maand of rekening, de saldi van je rekeningen, je budgetten voor de huidige periode en je terugkerende transacties. Het gesprek tot dan toe gaat met elke stap van het antwoord mee. Je e-mailadres en de identificatie van je account worden niet naar OpenAI gestuurd.

Een ingesproken vraag wordt op je apparaat opgenomen, naar onze server gestuurd, door OpenAI omgezet in tekst en als tekst teruggegeven. Een bon die je in Topf AI toevoegt, volgt de hierboven beschreven weg van de bonscan en wordt niet aan het model getoond. Topf AI verandert uit zichzelf niets in je boek: concepten van transacties en wijzigingen van categorieën, rekeningen, budgetten en terugkerende transacties worden pas geschreven als je ze bevestigt.

Vragen, opnames, de meegestuurde delen van je boek en de antwoorden gaan in het geheugen door onze functie en worden door ons niet bewaard; het gesprek blijft in de app tot je een nieuw begint of de app sluit. Als je een account gebruikt, verhoogt een vraag de hierboven beschreven maandteller met één, hoeveel stappen het antwoord ook neemt. OpenAI verwerkt deze gegevens in onze opdracht als verwerker, met dezelfde instellingen en dezelfde bewaring om misbruik op te sporen als bij spraakinvoer. Vraag niets wat je een verwerker niet zou laten zien.

E-mail

Inlogcodes worden verstuurd via Amazon Simple Email Service (AWS, Frankfurt, Duitsland). De dienst ontvangt je e-mailadres om het bericht af te leveren. We versturen geen marketingmail en er is geen mailinglijst.

Wisselkoersen

De dagelijkse wisselkoersen komen van de openbare dienst api.frankfurter.dev. Het verzoek wordt eens per dag door onze server voor iedereen gedaan, niet door je apparaat — meerdere valuta gebruiken vertelt die dienst dus niets over jou.

Aankopen

Topf Plus koop je op iPhone in de App Store van Apple en op Android in Google Play, met of zonder account. De betaling zelf, je kaart en je Apple ID of Google-account blijven bij de store; wij zien ze nooit. Apple en Google verwerken de aankoop als zelfstandige verwerkingsverantwoordelijken, volgens hun eigen privacybeleid. RevenueCat (RevenueCat, Inc., VS) ontvangt het aankoopbewijs van de store (het App Store-aankoopbewijs of het aankooptoken van Google Play), een anonieme identificatie van je installatie en, als je een account hebt, de identificatie daarvan, en laat de app en onze server weten of Plus actief is en tot wanneer. RevenueCat verwerkt deze gegevens in onze opdracht als verwerker; de doorgifte naar de VS berust op de standaardcontractbepalingen van de EU.

Gebruiksstatistieken

Om te begrijpen waar mensen vastlopen en wat beter kan, stuurt de app gebruiksstatistieken naar PostHog (PostHog Inc., VS; de gegevens worden in de EU opgeslagen, in Frankfurt): hoe de app wordt gebruikt — welke schermen worden geopend en welke handelingen erin worden verricht. Elke gebeurtenis bevat de appversie, het besturingssysteem en de versie daarvan, de taal, de tijdzone en een willekeurige identificatie van de installatie.

Nooit verstuurd worden bedragen, notities, namen van rekeningen en categorieën, wat je hebt gezegd, je e-mailadres en de identificatie van je account. Het IP-adres wordt weggegooid en niet gebruikt om je locatie te bepalen. De statistieken zijn niet aan je account gekoppeld; na het opnieuw installeren van de app krijgt de installatie een nieuwe identificatie. Het versturen kun je in de app uitzetten: Instellingen → Privacy → Gebruiksstatistieken.

Grondslag: ons gerechtvaardigd belang bij het verbeteren van de app (art. 6 lid 1 sub f AVG). PostHog verwerkt deze gegevens in onze opdracht als verwerker; de doorgifte naar de VS berust op de standaardcontractbepalingen van de EU. Gebeurtenissen zijn een jaar beschikbaar voor analyse; oudere verschijnen niet meer in rapporten, maar PostHog kan ze in zijn archief bewaren. Omdat de statistieken niet aan jou zijn gekoppeld, kunnen we de gebeurtenissen van één installatie niet terugvinden of verwijderen.

Deze website

De website draait op Cloudflare Pages. Er zijn geen formulieren, geen cookies, geen analyse en geen ingesloten inhoud van derden. Alleen de beginpagina leest de talen die in je browser zijn ingesteld, om in een daarvan te openen, en daarvan wordt niets bewaard. Cloudflare verwerkt de technische gegevens die elke webserver ziet — je IP-adres, het opgevraagde adres, de user agent — om de pagina te leveren en de dienst te beschermen.

Wie de gegevens nog meer ziet

Alleen de hierboven genoemde verwerkers, elk voor de ene taak die ze uitvoeren:

• Supabase — hosting van de database en de inlogdienst;
• PowerSync — synchronisatie tussen de database en je apparaten;
• OpenAI — het omzetten van een ingesproken zin, een foto van een bon of een betaalbericht in concepten en categorieën, en het beantwoorden van vragen over je boek in Topf AI;
• Amazon Web Services — het afleveren van e-mail en de infrastructuur waarop de database draait;
• RevenueCat — de verwerking van in-app-aankopen en de status van je recht op Plus;
• PostHog — gebruiksstatistieken van de app;
• Cloudflare — hosting van deze website en het domein.

We zorgen ervoor dat derden aan wie we gebruikersgegevens verstrekken die gegevens in dezelfde of een gelijkwaardige mate beschermen als dit privacybeleid beschrijft en de voor onze app geldende regels voor gegevensbescherming vereisen.

Je gegevens worden niet verkocht, niet verhuurd, niet gedeeld met adverteerders en niet gebruikt om iemands modellen te trainen.

Hoe lang we gegevens bewaren

Zo lang als je account bestaat. Het account verwijderen verwijdert het boek op de server; een kopie die al naar je eigen apparaten is gesynchroniseerd, verdwijnt wanneer je uitlogt of de app verwijdert.

Een transactie die je in de app verwijdert, verdwijnt meteen uit het boek en uit alle totalen; direct daarna kun je het verwijderen nog ongedaan maken. Op de server blijft ze bewaard, gemarkeerd als verwijderd, tot je je account verwijdert.

Je rechten

Op grond van de AVG heb je recht op inzage, rectificatie, wissing, beperking van de verwerking en overdraagbaarheid van gegevens, en het recht om bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang.

Verwijderen zit in de app: Instellingen → Account → Account verwijderen wist je gegevens op de server en trekt, als je met Apple inlogt, ook die toestemming in. Voor al het andere kun je mailen naar [email protected].

Kinderen

Topf is niet gericht op kinderen en niet bedoeld voor mensen jonger dan 16 jaar.

Wijzigingen

Als dit beleid verandert, verandert de datum bovenaan mee. Een wijziging die wezenlijk invloed heeft op hoe er met je gegevens wordt omgegaan, wordt in de app aangekondigd voordat die ingaat.