Privacy

Wat deze app van je bewaart

Je Telegram-naam, gebruikersnaam, profielfoto en Telegram-id als je met Telegram inlogt. Log je in met een naam en een wachtwoord, dan alleen die naam en een versleutelde afdruk van dat wachtwoord.

Wanneer je account is aangemaakt en wanneer je voor het laatst in de app was, met datum en tijd. Dat laatste wordt hoogstens eens per vijf minuten bijgewerkt, zonder pagina of IP-adres. Vrienden zien daarvan alleen de dag.

De reizen die je toevoegt: naam, periode, de plaatsen en je foto’s. De plaatsen die je zelf intikt worden bewust bewaard op ongeveer twee kilometer nauwkeurig, nooit preciezer. Kies je een bitcoin-plek van de kaart, dan hoort daar wel het precieze adres van die zaak bij: dat staat op zijn eigen voordeur en in OpenStreetMap. Het label dat je bij een plaats typt is vrije tekst en wordt bewaard zoals je het schrijft, dus zet er geen adres in.

Je kasboek: bedragen, categorieën, notities, datums en de plaats waar je betaalde. Die cijfers zijn van jou en van niemand anders, behalve van de mensen met wie jij zelf een boek deelt.

Vriendschappen, uitnodigingen en de duimpjes die je op foto’s geeft.

Uit je foto’s wordt alles wat geen beeld is verwijderd voordat ze worden opgeslagen: de GPS-coördinaat, het toestel, het tijdstip. De oorspronkelijke bestanden bewaren we nooit.

Je eigen positie wordt nergens bewaard. Druk je op “In de buurt”, dan vraagt je browser jou om toestemming en blijft het antwoord op je toestel. Wat de server te zien krijgt is een vakje van een paar kilometer op een vast raster over de wereldkaart, hetzelfde raster waarop de plaatsen in je reisboek staan. Iedereen in dezelfde buurt stuurt precies hetzelfde vakje, dus er valt geen punt uit af te leiden. Hoe ver een plek bij je vandaan is rekent je eigen telefoon uit. Er wordt niets van opgeslagen, niets geteld en niets gelogd.

Wat er niet gebeurt

Er staat geen enkele volgscript, advertentienetwerk of analysepakket van derden in deze app.

Deze app houdt zelf geen toegangslog bij: nergens wordt vastgelegd wie welke pagina opvroeg. Wat er wel wordt bijgehouden is een teller per dag: een datum, een woord en een aantal, bijvoorbeeld dat de app die dag vierhonderd keer is geopend. Daar staat geen lid-id, adres of pad bij. Op onze openbare pagina’s tellen we per dag uit welk soort bron bezoekers ongeveer komen, bijvoorbeeld Google, Bing, een AI-assistent, een andere website of rechtstreeks. We bewaren alleen de broncategorie en het dagtotaal, niet het verwijzende webadres, de bezochte pagina, je IP-adres of wie je bent. Cloudflare, dat het verkeer naar de server brengt, houdt wel eigen verkeerslogboeken bij, met IP-adressen.

Je gegevens worden niet verkocht, verhuurd of gedeeld voor reclame.

Wie het te zien krijgt

Iedereen die is ingelogd kan je naam vinden als hij die naam intikt, samen met de Family-badge als je in de groep zit. Dat is nodig om iemand als vriend te kunnen toevoegen. Je Telegram-gebruikersnaam en je profielfoto krijgt iemand pas te zien als jullie ook echt vrienden zijn.

Vrienden zien je reizen, je plaatsen en je foto’s, met de dag erbij. Wie geen vriend is ziet daar niets van.

Vrienden zien ook op welke dag je voor het laatst in de app was, zodat de lijst op de Activiteit-tab op wie er het laatst was kan staan. De dag en niet het tijdstip: niemand kan zien hoe laat je aan het kijken was.

Reisgenoten zien de reis waarop jij ze uitnodigt, ook als jullie geen vrienden zijn. Ze kunnen er zelf foto’s en plaatsen aan toevoegen en die er ook weer af halen. Nodig dus alleen mensen uit die je vertrouwt, en trek een uitnodigingscode in als je hem niet meer gebruikt.

Zit je in de Family-groep, dan staat je naam onder de foto’s die je leuk vindt, zichtbaar voor de andere groepsleden.

Binnen je huishouden ziet iedereen hetzelfde kasboek, en dat is precies waar een huishouden voor is. Je moet een uitnodiging altijd zelf aannemen. Bedenk daarbij dat je niet alleen bedragen deelt: bij elke boeking staan ook de plaats op ongeveer twee kilometer, de dag en je notitie, en die blijven staan als je later uit het huishouden stapt.

Je kasboek is nooit zichtbaar voor vrienden. Alleen voor jou en voor je huishouden.

Partijen buiten deze app

Telegram, voor het inloggen. Je stuurt daarbij zelf je naam en id door. Profielfoto’s van leden worden rechtstreeks bij Telegram opgehaald door de browser, dus Telegram ziet dat er iemand zo’n foto opvraagt.

Stripe, voor het betalen met een kaart. Betaalgegevens komen niet in deze app: kaartnummers gaan rechtstreeks naar Stripe en komen langs deze server nooit. Wij bewaren het bedrag, het plan, of het gelukt is, het kenmerk dat Stripe aan de betaling gaf en bij welk huishouden hij hoort. Stripe zelf bewaart de gegevens die jij op hun pagina invult, zoals je e-mailadres en je kaart; dat blijft bij hen staan volgens hun eigen bewaarplicht, ook nadat je je account hier hebt gewist. Daar kunnen wij niets aan wissen.

Speed, voor het betalen met crypto: Lightning, bitcoin on-chain, USDT of USDC. Wallet-gegevens komen niet in deze app en nooit langs deze server: je kiest je munt en betaalt op Speed’s eigen pagina. Wat wij vooraf meegeven is het bedrag, het plan en een kenmerk met daarin het id van je huishouden (correlationId), zodat een betaling bij het juiste huishouden terechtkomt. Zodra er is betaald bewaren wij ook wat er werkelijk binnenkwam en in welke munt, bijvoorbeeld sats of USDT (amount_paid en target_currency). Speed zelf bewaart wat er op hun pagina gebeurt volgens hun eigen bewaarplicht, ook nadat je je account hier hebt gewist. Daar kunnen wij niets aan wissen.

Cloudflare, dat het verkeer naar deze server geleidt en de versleutelde nachtkopie bewaart.

mempool.space, alleen als je op de Bitcoin-tab zelf een bitcoin-adres invult. Het opzoeken doet je eigen browser rechtstreeks bij mempool.space, dus die ziet welk adres je opvraagt en vanaf welk internetadres. Vul je niets in, dan gaat er niets naartoe. De adressen zelf blijven in je browser en komen nooit op onze server.

Esri, voor de satellietkaart, en OpenStreetMap en BTC Map voor plaatsnamen en bitcoin-plekken. De kaarttegels worden door je eigen browser bij Esri opgehaald, dus zij zien je IP-adres en welk stukje wereld je bekijkt, niet wie je bent of dat je hier ingelogd bent.

De koersen komen van OKX en Bybit. Die zien geen enkel gegeven van jou.

In de app staan verwijslinks naar partners: exchanges, eSIM’s, een verzekeraar, internet onderweg. Klik je zo’n link aan, dan gaat er een code mee waaraan de partner ziet dat je van hier komt, en verder alles wat je browser altijd meestuurt, zoals je IP-adres. Wat die partner daarna doet valt onder zijn eigen privacyverklaring. Klik je niet, dan gaat er niets naartoe.

Een taalmodel, alleen als je Toshi iets vraagt dat niet in zijn eigen antwoordenboek staat, en alleen tijdens een actieve betaalde periode van Jouw leven in Bitcoin; in de gratis proefdagen antwoordt Toshi alleen uit zijn eigen antwoordenboek. Wat er heen gaat is je vraag nadat die door onze filters is gegaan: een seed phrase of private key wordt tegengehouden en gaat nooit mee, en e-mailadressen, telefoonnummers, rekeningnummers, adressen en namen worden eruit gehaald. Er gaat geen account mee, geen naam en geen id, en nooit iets uit je kasboek, je reizen of je foto’s: die berekeningen doet de app zelf, hier op deze server en in je eigen browser. Vandaag gebruiken wij hiervoor Anthropic (Claude). Deze functie is nieuw en wij proberen uit welk model het beste bij deze app past, dus dit kan een andere aanbieder worden; wij passen deze pagina dan aan voordat dat gebeurt.

Anthropic (Claude) ook voor het lezen van een bon, alleen als je zelf op Bon inscannen tikt en alleen tijdens een actieve betaalde periode van Jouw leven in Bitcoin. De foto van de bon gaat dan naar Anthropic om er een voorstel voor een boeking van te maken. Wij bewaren die foto niet; alleen de boeking die jij daarna zelf opslaat. Er gaat geen account, naam of id mee, maar alles wat op de bon staat wel, dus scan geen bon met iets erop dat je niet wilt delen. Voor de vraag aan Toshi én de foto van een bon geldt: Anthropic verwerkt wat wij sturen onder hun commerciële voorwaarden en hun verwerkersovereenkomst (DPA). Zij trainen er geen modellen mee en wissen het volgens hun bewaarbeleid binnen dertig dagen, tenzij hun veiligheidssystemen het markeren. Wij hebben geen afspraak over een bewaartermijn van nul dagen.

Waarom wij dit mogen

Je reizen, je foto’s en je kasboek verwerken wij om de app te leveren die je gebruikt: dat is de overeenkomst tussen jou en ons.

Betalingen verwerken wij om diezelfde overeenkomst uit te voeren, en daarna bewaren wij ze omdat de wet dat voor financiële gegevens voorschrijft.

De beveiliging en de tellers tegen misbruik zijn ons gerechtvaardigd belang: zonder die blijft de dienst niet overeind, en ze raken niets van wat jij hebt vastgelegd.

Je positie bij “In de buurt” en het opzoeken van een bitcoin-adres gebeuren alleen met jouw toestemming, telkens opnieuw, en worden niet bewaard.

Buiten de Europese Unie

De verantwoordelijke voor deze app is gevestigd in de Verenigde Arabische Emiraten. Voor dat land bestaat geen adequaatheidsbesluit van de Europese Commissie.

Wat wij van jou verwerken is nodig om de overeenkomst met jou uit te voeren, en dat is de grond waarop je gegevens bij ons mogen zijn (artikel 49 lid 1 onder b van de AVG). Wil je dat niet, dan gebruik je de app niet en wordt er niets van je verwerkt.

Koekjes en wat er in je browser blijft staan

Eén koekje om je ingelogd te houden, een week lang, dat zichzelf verlengt zolang je de app gebruikt. Log je uit, dan is het weg.

Tijdens het inloggen kort een tweede koekje van tien minuten, dat controleert dat het inloggen echt bij jouw klik hoort.

In je browser zelf blijven nog wat kleinigheden staan: je taal, of je de introkaartjes al hebt gezien, en een verwijscode als je via iemands link binnenkwam. Die verlaten je toestel niet.

Er zijn geen koekjes voor reclame of statistiek, van ons of van iemand anders.

Hoe lang het bewaard blijft

Zolang je account bestaat. Verwijder je het, dan zijn je gegevens meteen uit de app weg.

Eén uitzondering: deel je een kasboek met anderen, dan blijven de boekingen die je met hen deelde in dat boek staan, zonder dat er nog naar jou wordt verwezen. Anders zou het boek van je huisgenoten niet meer kloppen. Dat geldt ook voor een gedeeld boek dat je eerder hebt verlaten. Wat je onder Privé had gezet gaat wel weg.

Uit de kopieën duurt het langer: er is een nachtelijke kopie op een computer thuis en een versleutelde kopie bij Cloudflare R2. De dagkopieën verdwijnen binnen ongeveer twee weken, en foto’s worden pas uit de kopieën gehaald als geen enkele bewaarde nacht ze nog kent.

Een betaling blijft als financieel gegeven bewaard, zonder dat hij nog naar jou wijst.

Wat je zelf kunt doen

Alles ophalen: op de Ik-tab staat een knop die alles wat de app van je heeft als bestand geeft.

Alles wissen: in het menu achter je profielfoto staat Account verwijderen. Je typt je eigen naam over, en dan is het weg.

Rechtzetten of bezwaar maken: neem contact op, dan doen we het met de hand.

Beveiliging

Alles gaat over https. Wachtwoorden worden opgeslagen met scrypt. De nachtkopie buiten de deur is versleuteld voordat hij het huis verlaat.

De app draait op een eigen machine die niet gedeeld wordt met andere diensten, en de broncode is openbaar in te zien.