Privacybeleid

Dit privacybeleid legt uit welke persoonsgegevens Budgero verzamelt, hoe deze worden gebruikt en gedeeld, en welke rechten je hebt onder de toepasselijke privacywetgeving — voornamelijk de EU/UK General Data Protection Regulation (GDPR / UK GDPR) en de California Consumer Privacy Act / California Privacy Rights Act (CCPA / CPRA).

Het is in duidelijke taal geschreven. Waar een sectie juridisch van belang is — zoals de wettelijke grondslagen of jouw rechten — zijn de juridische termen behouden zodat je deze met de verordeningen kunt vergelijken. Als er iets onduidelijk is, stuur dan een e-mail naar privacy@budgero.app.

1. Wie we zijn

Budgero is de “verwerkingsverantwoordelijke” voor de persoonsgegevens die via de dienst worden verwerkt voor de toepassing van de GDPR.

Privacycontact: privacy@budgero.app
Algemeen contact: hello@budgero.app

Op de huidige schaal van Budgero (kleine gebruikersbasis, geen gegevens in speciale categorieën, geen grootschalige monitoring) is de vrijstelling van de vereiste voor een EU-vertegenwoordiger uit GDPR art. 27 van toepassing — de verwerking is incidenteel, niet grootschalig en niet hoogrisico. Als het project boven die drempel uitgroeit, wordt een EU-vertegenwoordiger aangesteld en wordt dit beleid bijgewerkt. Hetzelfde geldt voor een Britse vertegenwoordiger onder UK GDPR art. 27.

2. De korte versie

• Jouw financiële gegevens zijn end-to-end versleuteld. Transacties, budgetten, saldi, categorieën en notities worden op jouw apparaat versleuteld met een sleutel die is afgeleid van jouw wachtwoord. Niemand — niet Budgero, niet zijn providers, niet een aanvaller, niet een overheid — kan deze lezen. Dit is het deel van Budgero dat zero-knowledge wordt genoemd.
• De rest is normale SaaS-data. Het draaien van de service vereist nog steeds een e-mailadres en wachtwoord (verwerkt door een authenticatieprovider), factuurgegevens (verwerkt door een betalingsprovider), productanalytics (verwerkt door een EU-analyticsprovider) en e-maillogs (verwerkt door een e-mailprovider). Voor gedeelde werkruimtes worden de weergavenaam die je aan een werkruimte geeft en de e-mailadressen van mensen die je uitnodigt ook in platte tekst opgeslagen, zodat samenwerking mogelijk is — zie §3.2 voor de precieze uitzondering. De volledige lijst staat in §6 hieronder.
• Persoonsgegevens worden nooit verkocht. Budgero deelt geen gegevens met adverteerders op een manier die door de GDPR of de CCPA als een “verkoop” of “delen” wordt gedefinieerd, en gebruikt geen advertentietags of trackers.
• Je hebt volledige rechten onder GDPR / UK GDPR / CCPA, waaronder het recht om je gegevens in te zien, te corrigeren, te verwijderen en te exporteren, en om een klacht in te dienen bij je lokale toezichthouder voor gegevensbescherming. Zie §10.
• Geen trackingcookies, geen advertenties. Budgero plaatst geen analyse- of advertentiecookies en gebruikt geen advertentietrackers, dus er is geen cookiebanner. Productanalyse in Budgero Cloud werkt zonder cookies, is gepseudonimiseerd, bevat nooit je financiële gegevens en kun je uitzetten via Instellingen → Beveiliging & Privacy. Zelf gehost Budgero verstuurt helemaal geen telemetrie. Zie §3.5 en §8.

3. Welke persoonsgegevens worden verzameld

3.1 Accountgegevens

• E-mailadres
• Wachtwoord — nooit in platte tekst opgeslagen; gehasht en gezouten door de authenticatieprovider (Clerk)
• Rekeningvoorkeuren en instellingen
• Een unieke rekening-ID (Clerk-gebruikers-ID)

3.2 Versleutelde kluisgegevens (zero-knowledge — onleesbaar voor Budgero)

• Transacties, budgetten, saldi, categorieën, notities, uitgavengegevens
• Versleuteld op je apparaat met AES-256 met een sleutel die is afgeleid van je wachtwoord
• Alleen de resulterende ciphertext wordt op de server opgeslagen

Wat zero-knowledge wel niet dekt. Om gedeelde werkruimtes en real-time synchronisatie mogelijk te maken, slaat Budgero een kleine hoeveelheid samenwerkingsmetadata in platte tekst op de server op: de weergavenaam die je aan een werkruimte geeft, de e-mailadressen van mensen die je hebt uitgenodigd, ledenrollen en synchronisatieversienummers. De pushmeldingen zelf zijn versleuteld; alleen de rekening- en werkruimte-ID's die nodig zijn voor het routeren ervan worden in platte tekst opgeslagen. Deze metadata bevat nooit de hierboven genoemde financiële gegevens — je transacties, saldi en categorieën blijven onleesbaar voor Budgero.

3.3 Facturerings- en abonnementsgegevens

• Abonnement, prijs, valuta, abonnementsstatus, verlengingsdatum, land (voor belasting)
• Bestel-ID, laatste vier cijfers van betaalmethode (indien aan ons doorgegeven)
• Volledige betaalinstrumentgegevens (kaartnummer, enz.) worden verzameld en bewaard door de betalingsprovider (LemonSqueezy), niet door Budgero

3.4 Metadata van service-e-mails

• Verzend-/open-/bounce-events voor transactionele e-mails (welkomstmail, feedback-check-ins, wachtwoordherstel, facturen)

3.5 Productanalyse (gepseudonimiseerd, zonder cookies)

Budgero Cloud legt vast hoe het product wordt gebruikt, zodat het verbeterd en gerepareerd kan worden: welke functies worden gebruikt, waar mensen vastlopen en wat er misgaat. Dit staat standaard aan, op basis van gerechtvaardigd belang (§4), en je kunt het op elk moment uitzetten (zie hieronder). Zelf gehost Budgero verstuurt geen enkele analyse of telemetrie.

Wat er wordt vastgelegd:

• Pagina’s en schermen die je opent, met eventuele ID’s uit het adres verwijderd
• Instellen: welke onboardingstappen je ziet en afrondt, en welke route je koos (opnieuw beginnen, importeren uit YNAB of deelnemen aan een gedeeld budget)
• Imports: het soort import (bijvoorbeeld YNAB, CSV of PDF), of die gelukt, mislukt of geannuleerd is, en de globale omvang en duur
• Banksynchronisatie: het koppelen van een banksync-aanbieder en elke synchronisatie, met het resultaat en een globaal aantal nieuwe transacties
• Gebruik van functies: doelen, regels en terugkerende transacties aanmaken, bewerken of verwijderen; een transactie invoeren en hoe die werd ingevoerd; en het gebruik van rapporten, scenario’s, gedeelde budgetten, meerdere valuta, afstemmen, splitsingen, exports en back-ups. Alleen het soort item wordt vastgelegd (bijvoorbeeld het soort doel, of hoe vaak een terugkerende transactie zich herhaalt), nooit de inhoud
• AI-assistent: dat die werd geopend en dat er een bericht werd verstuurd, met het resultaat — nooit je vraag of het antwoord
• Instellingen die je wijzigt, uit een vaste lijst (bijvoorbeeld thema, taal of rijdichtheid), en de gekozen optie
• Mijlpalen voor account en abonnement: registreren, een proefperiode starten, de checkout openen, een abonnement afsluiten, verlengen of opzeggen met het abonnement (maandelijks of jaarlijks), de prijs en valuta van een aankoop, de reden die je bij opzeggen uit een lijst kiest, een werkruimte aanmaken of verwijderen, uitnodigingen en wijzigingen in leden (met een globaal aantal leden), en een rekening toevoegen of sluiten (het type, en of die de valuta van je budget gebruikt)
• Synchronisatie tussen je apparaten: of een wijziging vanaf een ander apparaat is toegepast, met het resultaat en hoe oud die was
• Betrouwbaarheid: fouten, synchronisatieproblemen en waarschuwingen over gegevensintegriteit, vastgelegd als het fouttype, een code uit een vaste lijst, het scherm waar het gebeurde en plekken in de code (bestand en regel) — plus de reeks schermen en interne gebeurtenissen daarvoor (alleen namen, geen waarden), de toestand van de app op dat moment als vaste waarden (bijvoorbeeld of synchronisatie verbonden was, het opslagtype en het geschatte opslaggebruik) en een willekeurige ID voor dat bezoek die het rapport koppelt aan het serverlogboek van dezelfde verzoeken — nooit de tekst van de foutmelding
• Context bij elk event: appversie, of je de webapp of de geïnstalleerde app gebruikt, de taal van de interface en de budgetmodus; plus de browser, het besturingssysteem, de schermgrootte en de verwijzer die je browser doorgeeft

• Elk detail bij een event is een waarde uit een vaste lijst of een globaal bereik (bijvoorbeeld “10–100 rijen” of “1–5 minuten”). Niets wat je typt wordt ooit meegestuurd.
• Zodra je bent ingelogd, worden events gekoppeld aan een pseudonieme identificatie — je Clerk-gebruikers-ID — zodat hetzelfde account over sessies en apparaten heen herkend kan worden. Voor het inloggen wordt een willekeurige identificatie gebruikt die alleen in het geheugen bestaat voor dat bezoek. Je naam en e-mailadres worden niet naar de analyseprovider gestuurd.
• Sommige events worden door de Budgero-server verstuurd in plaats van door je browser — bijvoorbeeld registratie, abonnementswijzigingen, wijzigingen in werkruimtes en uitnodigingen, push-synctokens, en het resultaat van verzoeken die de server afhandelt voor banksynchronisatie of de AI-assistent. Ze gebruiken dezelfde identificatie en volgen dezelfde regels.
• IP-adres — wordt op het moment van de aanvraag gebruikt voor grove geolocatie en misbruikpreventie, daarna serverzijde verwijderd. Het wordt niet bewaard samen met de analytics-events.
• Zonder cookies: de analysebibliotheek bewaart haar identificaties alleen in het geheugen en schrijft niets naar cookies, localStorage of sessionStorage op je apparaat.

Nooit verzameld: namen van transacties, rekeningen, categorieën of begunstigden, bedragen, saldi, datums, notities, de tekst van AI-gesprekken of iets anders dat je in je budget typt, de tekst van foutmeldingen, sessie-opnames, automatisch vastleggen van klikken (autocapture), heatmaps of enquêtes.

Uitzetten: Instellingen → Beveiliging & Privacy in de app. De keuze wordt in je account opgeslagen, geldt op al je apparaten en stopt ook de events vanaf de server. Budgero werkt precies hetzelfde met analyse uitgeschakeld.

3.6 Website-analyse (budgero.app, zonder cookies)

Op de Budgero-website worden paginaweergaven en klikken op knoppen zoals “Gratis proberen” geteld om te begrijpen hoe mensen het product vinden. Daarvoor worden twee tools gebruikt, en geen van beide slaat iets op je apparaat op:

• Umami — door Budgero zelf gehost, dus geen derde partij ontvangt de gegevens, en nooit gekoppeld aan je Budgero-account. Het plaatst geen cookies en slaat niets op je apparaat op. Je IP-adres wordt alleen op het moment van het verzoek gebruikt om een globale locatie (land, regio en stad) te bepalen en wordt niet opgeslagen. Bezoeken worden gegroepeerd met een hash met sleutel van je IP-adres en browser die aan het begin van elke kalendermaand verandert, zodat Umami je niet van de ene maand op de andere kan herkennen. Het legt de pagina, verwijzer, browser, het besturingssysteem, apparaattype, schermgrootte en taal vast, en Budgero gebruikt het alleen als geaggregeerde bezoekstatistieken. Umami telt ook de stappen van het registreren in de app.
• PostHog — ook op de website zonder cookies, dus er wordt niets op je apparaat opgeslagen. PostHog leidt op zijn eigen servers een bezoekers-ID af uit een hash van je IP-adres, je browser en de hostnaam van de website, gecombineerd met een salt die elke dag verandert en daarna wordt verwijderd. Bezoeken op dezelfde dag kunnen samen worden geteld, maar je kunt niet van de ene dag op de andere worden herkend, en websitebezoeken worden nooit aan je Budgero-account gekoppeld. Je IP-adres wordt niet gebruikt voor locatiebepaling en niet bij deze gebeurtenissen opgeslagen. PostHog wordt niet op de website geladen als je browser een Global Privacy Control- of Do Not Track-signaal stuurt.

3.7 Updatecontrole van zelf gehoste servers

Zelf gehoste Budgero-servers vragen hoogstens elke 12 uur aan budgero.app of er een nieuwere versie is en sturen daarbij alleen hun versie, hun buildnummer en het woord ‘selfhost’ mee. We bewaren dagelijkse tellingen per versie. Om te schatten hoeveel installaties actief zijn, tellen we ook unieke afzenders per week: het IP-adres van het verzoek wordt gehasht met een willekeurige sleutel die alleen voor de lopende week bestaat; aan het eind van de week blijft alleen het weektotaal over en worden de sleutel en de hashes verwijderd. IP-adressen worden niet opgeslagen. Beheerders kunnen de controle uitschakelen met UPDATE_CHECK_DISABLED=true.

3.8 Server- / beveiligingslogs

• Aanvraaglogs van de hostingprovider — IP-adres, tijdstempel, aanvraagpad, responsstatus, user agent — gebruikt voor dienstverlening, beveiliging en misbruikpreventie

Niet verzameld: inloggegevens van financiële rekeningen (Budgero ontvangt nooit je bankinloggegevens; toegangssleutels voor optionele banksynchronisatie worden versleuteld in je budget opgeslagen), locatiegegevens verder dan het op IP gebaseerde land, contacten, foto's, microfoon, of een van de bijzondere categorieën persoonsgegevens genoemd in AVG art. 9.

4. Waarom het wordt gebruikt, en op welke juridische grondslag

Voor gebruikers in de EU/VK identificeert Budgero een juridische grondslag voor elk verwerkingsdoel onder AVG art. 6:

Waar Budgero zich beroept op een gerechtvaardigd belang, is de afweging tussen dat belang en jouw rechten in overweging genomen. Als je de redenering voor een specifiek geval wilt bespreken, stuur dan een e-mail privacy@budgero.app.

5. Hoe lang het wordt bewaard

Wanneer je je rekening verwijdert, worden de bovenstaande gegevens verwijderd of geanonimiseerd volgens de genoemde schema's, behalve waar Budgero wettelijk verplicht is ze te bewaren (bijv. belastinggegevens).

6. Met wie het wordt gedeeld (Sub-processors)

Persoonlijke gegevens worden nooit verkocht of verhuurd. Beperkte persoonlijke gegevens worden gedeeld met de hieronder vermelde serviceproviders, die handelen op instructie van Budgero onder schriftelijke contracten (Data Processing Agreements waar de provider deze aanbiedt). De standaard contractuele voorwaarden van elke provider worden beoordeeld voordat ze worden toegevoegd.

Budgero kan ook persoonsgegevens delen met:

• Professionele adviseurs (advocaten, accountants) onder geheimhoudingsplicht, indien nodig;
• Handhavers of toezichthouders wanneer daartoe verplicht door een geldige juridische procedure — in dat geval word je, indien wettelijk toegestaan, op de hoogte gesteld.

7. Internationale overdrachten

Sommige aanbieders in §6 verwerken persoonsgegevens buiten de Europese Economische Ruimte — voornamelijk in de Verenigde Staten.

Voor overdrachten door aanbieders buiten de EER (bijv. LemonSqueezy, Resend US-regio) vertrouwt Budgero op de door de aanbieder gehanteerde Europese Commissie Standaardcontractbepalingen (SCC's, versie 2021) en equivalente VK-addenda waar van toepassing. Kluisgegevens blijven end-to-end-versleuteld bij alle aanbieders en kunnen door niemand anders dan jij worden gelezen.

8. Cookies en tracking

Budgero gebruikt geen analyse-, advertentie- of andere niet-essentiële cookies en geen advertentiescripts van derden. Analyse slaat niets op je apparaat op, dus er is geen cookiebanner: alleen opslag die strikt noodzakelijk is voor de dienst wordt gebruikt, en volgens de ePrivacy-regels is daar geen toestemming voor nodig. Wat er wordt opgeslagen:

• Strikt noodzakelijk — je inlogsessie (geplaatst door de authenticatieprovider, Clerk), je versleutelde budgetgegevens die op je apparaat staan voor offline gebruik en synchronisatie, en voorkeuren zoals taal. Altijd aan; kan niet worden uitgeschakeld, omdat de dienst niet werkt zonder.
• Analyses — niets. Productanalyse in de app (§3.5) en website-analyse (§3.6) slaan niets op je apparaat op. Om productanalyse te stoppen, gebruik je Instellingen → Beveiliging & Privacy in de app.

9. Hoe gegevens worden beveiligd

• End-to-end-versleuteling voor kluisgegevens — AES-256 met een sleutel die op je apparaat is afgeleid van je wachtwoord. De sleutel is nooit zichtbaar voor Budgero, en kluisgegevens in platte tekst zijn nooit zichtbaar voor Budgero.
• TLS 1.2+ voor alle data onderweg.
• Versleuteling in rust op database- en opslaglagen.
• Toegangscontroles voor één beheerder. Alleen de beheerder heeft administratieve toegang; die toegang wordt uitsluitend gebruikt om de dienst te draaien.
• Due diligence bij leveranciers bij het kiezen van elke provider in §6.
• Datalekreactie — als er een datalek met persoonsgegevens optreedt dat waarschijnlijk risico oplevert voor jouw rechten, wordt de relevante toezichthoudende autoriteit binnen 72 uur na ontdekking op de hoogte gebracht (AVG art. 33), en worden getroffen gebruikers zonder onredelijke vertraging geïnformeerd wanneer het risico hoog is (art. 34).

Belangrijke kanttekening: zero-knowledge betekent dat jouw kluis niet kan worden hersteld als je jouw wachtwoord vergeet. Bewaar het op een veilige plek — een wachtwoordmanager is het standaardantwoord.

10. Jouw rechten

Waar je ook woont, je kunt:

• Inzage de persoonsgegevens die Budgero over je bewaart — vraag een kopie op
• Correct onjuiste persoonsgegevens (rectificatie)
• Verwijderen jouw account en bijbehorende persoonsgegevens ("recht op vergetelheid") — met uitzondering van wettelijke bewaarplichten
• Exporteren jouw gegevens in een draagbaar, machineleesbaar formaat (dataportabiliteit)
• Beperken verwerking terwijl een geschil wordt opgelost
• Bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, waaronder analyse — voor productanalyse kun je dat op elk moment zelf doen via Instellingen → Beveiliging & Privacy
• Toestemming intrekken op elk moment voor alles wat op basis van toestemming wordt verwerkt — intrekking heeft geen invloed op de rechtmatigheid van de verwerking vóór de intrekking
• Niet onderworpen worden aan geautomatiseerde beslissingen die juridische of vergelijkbaar verstrekkende gevolgen hebben — Budgero voert dergelijke geautomatiseerde besluitvorming niet uit

Om een van deze rechten uit te oefenen, stuur een e-mail naar privacy@budgero.app . Verzoeken worden zo snel mogelijk beantwoord, en binnen 30 dagen zoals vereist door de AVG (verlengbaar met maximaal 60 dagen voor complexe verzoeken, met kennisgeving).

Je kunt ook een klacht indienen bij een toezichthoudende autoriteit:

• Inwoners van de EU/EER: bij de toezichthouder voor gegevensbescherming van je woonplaats, werkplek of plaats van de vermeende inbreuk. Een lijst wordt gepubliceerd door de EDPB op https://edpb.europa.eu.
• Inwoners van het VK: het Information Commissioner's Office op https://ico.org.uk.

11. Inwoners van Californië (CCPA / CPRA-melding)

Als je in Californië woont, bevat deze sectie aanvullende informatie die vereist is door de California Consumer Privacy Act, zoals gewijzigd.

Categorieën verzamelde persoonsgegevens, gekoppeld aan de CCPA-categorieën: identificatiegegevens (e-mail, account-ID, IP), commerciële informatie (abonnementsplan), internet-/netwerkactiviteit (analytische gebeurtenissen, serverlogboeken), afleidingen (geen). Deze worden verzameld voor de zakelijke doeleinden die zijn beschreven in §4.

Bronnen: direct van jou, van je apparaat en van dienstverleners.

Verstrekking voor zakelijke doeleinden: alleen aan de dienstverleners in §6.

Verkoop of delen van persoonsgegevens: Persoonsgegevens worden niet verkocht of gedeeld zoals die begrippen in de CCPA zijn gedefinieerd. Budgero doet niet aan contextoverschrijdende gedragsgerichte advertenties en gebruikt geen advertentietags of trackers. Analysegegevens worden alleen gebruikt om Budgero te verbeteren, via de dienstverlener PostHog.

Omdat er niets wordt verkocht of gedeeld, wordt er geen link “Mijn persoonsgegevens niet verkopen of delen” aangeboden. Je kunt nog steeds je rechten uitoefenen om te weten, corrigeren, verwijderen en het gebruik van gevoelige PI beperken door contact op te nemen met privacy@budgero.app.

Gevoelige persoonlijke informatie wordt niet gebruikt of verstrekt voor andere doeleinden dan die vermeld in CPRA §7027(m).

Je zult niet worden gediscrimineerd voor het uitoefenen van je rechten.

12. Privacy van kinderen

Budgero is niet gericht op en mag niet worden gebruikt door personen jonger dan 16 jaar, of jonger dan de lokale leeftijd voor digitale toestemming waar deze hoger is. Er worden niet bewust persoonsgegevens van kinderen verzameld. Als je denkt dat een kind persoonsgegevens heeft verstrekt, e-mail dan privacy@budgero.app en het wordt verwijderd.

13. Wijzigingen in dit beleid

Dit beleid kan worden bijgewerkt wanneer de dienst of de wetgeving verandert. De datum “Laatst bijgewerkt” bovenaan deze pagina weerspiegelt de meest recente herziening. Bij ingrijpende wijzigingen die van invloed zijn op hoe persoonsgegevens worden gebruikt, word je per e-mail op de hoogte gebracht voordat de wijziging van kracht wordt.

14. Contact

• Vragen over privacy en verzoeken met betrekking tot rechten: privacy@budgero.app
• Algemene ondersteuning: hello@budgero.app