Privacyverklaring

Laatst gewijzigd op 28 september 2026 · versie 0.38.4

De kern. Je bedragen en de namen van je bezittingen worden in je eigen browser versleuteld, met een sleutel die uit je wachtwoord wordt afgeleid. Die sleutel komt nooit op de server. Wij kunnen dus niet zien hoeveel geld je hebt. Niet als we het zouden willen, niet als de politie het vraagt, en niet als iemand de server overneemt.

Wat wij wél zien staat hieronder in een tabel, regel voor regel. Er staat niets in dat je niet ook zelf kunt nakijken: de broncode is in te zien.

Wie is verantwoordelijk

Sven Matse is verantwoordelijk voor de verwerking van je gegevens in Geld Geteld, ingeschreven bij de Kamer van Koophandel onder nummer 57131007. Vragen, verzoeken of klachten kun je sturen naar support@geldgeteld.nl; je krijgt binnen een maand antwoord.

Welke gegevens, en waarom

“Kunnen wij het lezen?” betekent: staat het leesbaar in de database, of staat er een blob waar zonder jouw wachtwoord niets uit te halen valt.

Gegeven	Waarvoor	Kunnen wij het lezen?
E-mailadres	Inloggen, en contact als er iets met je account is	Ja
Je naam, en als je zakelijk afrekent je bedrijfsnaam, btw-nummer en adres	Alleen als je een abonnement afsluit: ze horen op de factuur. Je vult ze in de app in bij het afsluiten, en ze gaan meteen door naar de boekhouding. Een adres vragen we alleen voor een zakelijke factuur. Het land op je factuur volgt uit je betaalwijze (Nederland bij iDEAL \| Wero, België bij Bancontact), of bij een zakelijke factuur uit je adres	Ja, op weg naar de boekhouding (Geld Geteld gebruikt Moneybird). Bewaren doen we ze niet; dat doet de boekhouding
Je machtiging voor automatische incasso	Het bedrag per maand of per jaar afschrijven	Alleen dát je er een gaf. Je rekeningnummer komt nooit in deze app; dat blijft bij de boekhouding en bij de betaaldienst
Wachtwoord	Inloggen, en het versleutelen van je gegevens	Nee. Je wachtwoord wordt niet opgeslagen; je browser rekent er een controlewaarde uit; daarvan bewaren we een hash
Bedragen, inleg en notities	Je eigen administratie	Nee, versleuteld in je browser
Namen van je bezittingen	Je eigen administratie	Nee, versleuteld in je browser
Soort, kleur en volgorde van je bezittingen; de maand of week waarop een invoer slaat	De app moet weten wat bij wat hoort en in welke volgorde het staat. In het beheer tellen we daarmee ook hoeveel leden regelmatig invullen, en zien we per lid hoeveel maanden of weken er zijn ingevuld: alleen óf er iets staat, nooit wat	Ja. Hier staan geen bedragen in, maar wel dat je bijvoorbeeld iets hebt staan in de categorie “schuld”
Je voornaam, doelbedrag en voorkeuren	De begroeting, de voortgangsbalk en hoe de app zich gedraagt	Je voornaam wel, bewust: die staat meestal toch al in je e-mailadres, dat we sowieso moeten kennen. Je doelbedrag niet: dat is een bedrag, en dat gaat versleuteld, net als je saldi
De zes cijfers die we je mailen	De tweede stap bij het inloggen, en je adres bevestigen	Nee, alleen een HMAC met de sleutel van de app. Ze vervallen na een kwartier en worden na een week opgeruimd
Het geheim van je tweede stap (alleen met een authenticator-app)	De code uit je authenticator-app narekenen	Ja, en dat kan niet anders: zonder dat geheim kan de server je code niet controleren. Tweestapsverificatie beschermt daarom tegen een gestolen wachtwoord, niet tegen een overgenomen server. Je bedragen zijn daar wél tegen beschermd
Je reservecodes (alleen met een authenticator-app)	Binnenkomen als je je telefoon kwijt bent	Nee, alleen hashes, met een salt per code
Aanmaakdatum, laatste inlog, de laatste dag dat je de app opende, abonnement en status, en wanneer je eerste proefperiode afliep	Je account beheren en weten of je toegang hebt	Ja
Je IP-adres, in de logs van de webserver	Storingen en misbruik kunnen onderzoeken	Ja, maximaal zeven dagen; daarna worden de logs opgeruimd
Foutmeldingen: wat er misging, op welke pagina, in welke browser en bij welk account. Zonder bedragen, namen of e-mailadres	Fouten zien en oplossen voordat je ze hoeft te melden	Ja, maximaal zeven dagen

Wat we niet doen

Geen advertenties en geen trackers van anderen. In de app zelf laden we niets van buiten: dat is niet alleen een belofte maar staat afgedwongen in de Content-Security-Policy van elke pagina. Op de website en in de demo tellen we wél bezoeken — zie hieronder.
Geen doorverkoop of doorgifte van je gegevens, aan niemand.
Geen profielen, geen scores, geen automatische besluiten over jou.
Geen doorgifte buiten de Europese Economische Ruimte.

Hoe we bezoeken tellen

Op geldgeteld.nl en demo.geldgeteld.nl tellen we bezoeken met Umami. Dat draait op onze eigen server; er komt geen ander bedrijf aan te pas en er gaat niets naar buiten.

In de app zelf doen we dat niet. Zodra je ingelogd bent draait er geen Umami en laadt de pagina niets van buiten. Eén ding tellen we wel: per dag hoeveel leden de app openden, als één getal per groep (in proefperiode, betalend, of geen van beide). Niet wie, en niet hoe vaak iemand kwam. Zo zien we of de app gebruikt wordt. Je cijfers zelf tellen we niet; die kunnen we niet eens lezen.

Wat er op die twee plekken wordt vastgelegd: welke pagina je opvroeg, waar je vandaan kwam, je schermgrootte, je taal, en uit je IP-adres afgeleid je browser, je besturingssysteem en je land.

Er komen geen cookies aan te pas. Wie je bent wordt berekend uit je IP-adres en je browser, met een sleutel die elke nacht wisselt. Daardoor herkennen we je binnen één dag als terugkerende bezoeker, maar kunnen we je niet van dag tot dag volgen — en over andere websites al helemaal niet.

In de demo sturen we niet het adres van de pagina mee maar het sóórt pagina. Bewerk je bezitting 12, dan komt er /bezittingen/:id/bewerken in de statistieken te staan en niet het nummer zelf. Op pagina's met een herstel- of bevestigingslink meten we helemaal niet, want daar staat een sleutel in het adres.

Cookies

Eén cookie: die onthoudt dat je ingelogd bent. Hij is nodig om de app te laten werken, staat op HttpOnly en Secure, en gaat na dertig dagen vanzelf weg. Er zijn geen andere cookies, dus is er ook geen toestemmingsbanner, dus je hoeft niets weg te klikken.

Klik je op je telefoon de tip weg om Geld Geteld op je beginscherm te zetten, dan onthoudt je browser dat met één vlaggetje. Dat blijft op je telefoon; er gaat niets van naar ons.

Waar je gegevens staan

Op een server bij Greenhost in Nederland. De database zelf is óók versleuteld (SQLCipher), boven op de versleuteling in je browser. Er worden dagelijks back-ups gemaakt, en er gaat een kopie naar een tweede opslagplaats onder eigen beheer binnen de EU. Op beide plekken bewaren we ze een jaar, steeds dunner: zie hieronder. De back-ups zijn net zo versleuteld als de database zelf.

Sluit je een abonnement af, dan komt daar één partij bij: Moneybird (Nederland) doet de facturatie en de automatische incasso. Die krijgt je e-mailadres, je naam, en wat je verder zelf op je factuur wilt hebben, plus je machtiging en de bedragen van je abonnement. Je bedragen uit de app gaan daar niet heen; die kunnen wij zelf niet eens lezen.

De mail die we versturen loopt via Lettermint (Nederland). Het zijn alleen mails over je account: de code om in te loggen, je e-mailadres bevestigen, een welkomstmail, een link als je je wachtwoord opnieuw wilt instellen, een bericht als je adres of wachtwoord verandert, de herinnering om je saldi in te vullen (die kun je uitzetten), en een bericht een week voordat je proefperiode afloopt. Staat er na je aanmelding nog niets in je account, dan krijg je daar een paar keer een bericht over, en een laatste als we het lege account verwijderen. Geen nieuwsbrieven, geen reclame.

Lettermint ziet je e-mailadres en de tekst van de mail, waarin je voornaam staat als je die hebt ingevuld. Verder niets: er staat nooit een bedrag in, en nooit je wachtwoord of je herstelcode. Komt een mail niet aan, of markeer je hem als spam, dan laat Lettermint ons dat weten. We sturen je dan geen herinneringen meer, tot je weer een code uit je mail invult of een ander adres kiest.

Greenhost, Lettermint en Moneybird zijn daarmee onze enige verwerkers, alle drie Nederlands en onder Nederlands recht. Gebruik je geen abonnement en geen herinnering, dan blijft Greenhost de enige.

Hoe lang we het bewaren

Je account en je gegevens: tot je ze verwijdert. Er is geen opruiming achteraf en geen bewaartermijn “voor de zekerheid”. Eén uitzondering: een account waar na negentig dagen nog niets in staat, geen bezitting en geen bedrag, verwijderen we. Je krijgt vooraf twee herinneringen en achteraf een bericht.
Serverlogs en foutmeldingen: zeven dagen.
Facturen: zeven jaar. Dat is geen keuze van ons maar een wettelijke bewaarplicht voor de administratie. Verwijder je je account, dan gaat alles in deze app weg, maar blijven je facturen bij de boekhouding staan, met je naam en het bedrag erop, niet met iets uit je portefeuille.
Back-ups: een jaar, steeds dunner: van de afgelopen week allemaal, daarna één per dag tot een maand terug, één per week tot een half jaar en één per maand tot een jaar. Zo is een fout ook na een tijd nog te herstellen. Verwijder je je account, dan is het meteen uit de app weg, maar kan het nog tot een jaar in een back-up staan. Die back-ups worden niet doorzocht en niet teruggezet om iemands gegevens terug te halen.

Wat je zelf kunt

Alles inzien en meenemen. Account › Privacy › “Download al mijn gegevens”. Dat bestand wordt in je browser samengesteld en bevat ook de ontsleutelde bedragen. De server kan die immers niet leveren.
Corrigeren. Alles wat je invoert kun je zelf aanpassen.
Verwijderen. Account › Privacy › “Account verwijderen”. Dat is onomkeerbaar en gebeurt meteen; er blijft geen verborgen kopie achter met een vlaggetje “verwijderd”. Wat er blijft is alleen een telling, zonder naam, adres of iets anders dat naar jou wijst: in welke maand er iemand wegging die zich in een bepaalde maand had aangemeld, of die de setup had afgerond en of die ooit betaalde. Zo kloppen onze cijfers over hoeveel mensen er blijven.
Klagen. Bij ons, en als je er met ons niet uitkomt bij de Autoriteit Persoonsgegevens.

Wat versleuteling voor jou betekent

Er zit een keerzijde aan, en die verzwijgen we niet. Omdat je sleutel van je wachtwoord komt en nooit bij ons langskomt, kunnen wij je niet helpen als je je wachtwoord én je herstelcode kwijt bent. Er is dan geen knop die we voor je kunnen indrukken: je gegevens zijn dan onleesbaar, ook voor ons. Bewaar je herstelcode daarom ergens waar je hem over een jaar nog terugvindt.

Als er iets misgaat

Bij een datalek word je geïnformeerd als dat risico voor je oplevert, en melden we het waar dat moet. Omdat je bedragen versleuteld zijn, is de schade van een gestolen database beperkt tot wat in de tabel hierboven als leesbaar staat. Dat is precies waarom die tabel er zo uitziet.

Wijzigingen

Verandert er iets wezenlijks, dan lees je het in de app voordat het ingaat. De datum bovenaan zegt wanneer deze tekst voor het laatst is aangepast.

Geld Geteld · Sven Matse · support@geldgeteld.nl
Privacyverklaring · Voorwaarden