Privacybeleid

Wie verantwoordelijk is

Olstad Digital (org.nr. 938 090 432, Selma Ellefsens vei 3H, 0581 Oslo, Noorwegen) is verwerkingsverantwoordelijke voor de verwerking die hier wordt beschreven. Neem contact op via kontakt@nordicdigitalapp.no.

In het kort

• Je budget wordt op je telefoon opgeslagen. Zonder account kunnen wij het niet zien.
• Een account is optioneel (Apple, Google, Facebook of e-mail). Met een account en Pro wordt je budget met onze server in de EU (Ierland) gesynchroniseerd, zodat je het op meerdere apparaten kunt gebruiken.
• Er is geen bankkoppeling.
• CSV- en Excel-bestanden van je bank worden alleen op je telefoon gelezen. Het bestand zelf wordt nooit bewaard, gekopieerd of verstuurd.
• De app stuurt je budget alleen naar onze server als je synchroniseert met Pro, en afbeeldingen voor lezen met AI alleen als je toestemming hebt gegeven. Staat de back-up op je telefoon aan, dan neemt Apple (iCloud) of Google (je Google-account) de gegevens van de app daarin op.
• Crashrapporten bevatten geen naam, e-mailadres, account of IP-adres.
• Je kunt alles in de app gratis exporteren en verwijderen.

Opgeslagen op je telefoon

De app slaat het volgende op in zijn eigen opslag op je telefoon. Het wordt niet naar ons gestuurd en wordt gewist als je alle gegevens in de app wist of de app verwijdert:

• De rekeningen die je aanmaakt (namen die je kiest, saldo en valuta; geen bankrekeningen).
• Je posten: datum, bedrag, valuta, categorie, leverancier en een optionele notitie.
• Vaste posten, spaardoelen, eigen categorieën en de categorie die de app voor elke leverancier onthoudt.
• Instellingen: salarisdag, maandbudget, taal en valuta, en of je lezen met AI toestaat.
• Een willekeurige apparaat-ID. Die verlaat de telefoon alleen als eenrichtingscode, om het lezen met AI te tellen (zie hieronder).
• Als je bent ingelogd: je inlogsessie, in de beveiligde opslag van de telefoon (de sleutelhanger op iPhone, Android Keystore). Die wordt nooit in een back-up opgenomen.
• Afbeeldingen die je na een import wilt bewaren.

Betalingskenmerken worden nooit opgeslagen, en het volledige rekeningnummer ook niet. De app kan de laatste vier cijfers van het rekeningnummer opslaan om de rekening te herkennen.

Back-up op je telefoon

Staat de back-up aan, dan neemt de telefoon de gegevens van de app daarin op: op Android in de back-up in je Google-account, op iPhone in iCloud. Je budget komt dan terug op een nieuwe telefoon. Apple en Google bewaren de back-up volgens hun eigen voorwaarden, en je zet hem aan en uit in de instellingen van de telefoon.

Je inlogsessie en de beveiligde opslag worden nooit meegenomen, dus op een nieuwe telefoon log je opnieuw in.

CSV- en Excel-bestanden importeren

Als je een CSV- of Excel-bestand van je bank importeert, wordt het bestand alleen op je telefoon gelezen. Het bestand zelf wordt nooit bewaard, gekopieerd of verstuurd – niet naar een server en niet naar AI.

Uit het bestand worden alleen de datum (en de boekdatum als het bestand die heeft), de omschrijving, het bedrag, de leverancier, het saldo van de bank om de rekening af te stemmen en de laatste vier cijfers van het rekeningnummer opgeslagen, om de rekening te herkennen. Betalingskenmerken, andere referenties en de overige kolommen van het bestand worden niet opgeslagen.

Transacties die de bank nog niet heeft geboekt, worden opgeslagen als gewone transacties en meteen meegeteld. Ontbreekt zo’n transactie in een latere import van de bank, dan vraagt de app of je hem wilt verwijderen. Hij wordt nooit vanzelf verwijderd.

De app onthoudt hoe de kolommen in het bestand zijn ingedeeld, zonder de inhoud, zodat de volgende import sneller gaat. Als je bent ingelogd met Pro, wordt dit samen met je andere instellingen gesynchroniseerd.

Lezen met AI wordt alleen gebruikt voor afbeeldingen en pdf’s, en alleen als je toestemming hebt gegeven.

Rekeningoverzichten, bonnen en facturen lezen met AI (optioneel)

Als je een screenshot of foto van een rekeningoverzicht importeert, of een bon of factuur scant, kun je die door AI laten lezen. De app vraagt eerst toestemming, en je kunt het op het importscherm altijd uitzetten. Zonder toestemming wordt alles op de telefoon gelezen en wordt er niets verstuurd.

Met toestemming worden de afbeelding, de datum van vandaag, de valuta, je land, de categorieën van de app (als codes) en de kolomkoppen van de rekening (alleen de koppen, niet de inhoud) via onze server bij Supabase (Ierland) naar Anthropic (VS) gestuurd, dat de posten leest met zijn AI-model (Claude) en ze terugstuurt. Het verzoek loopt via de Supabase-server die het dichtst bij je staat; noch wij noch Supabase slaan de afbeelding of de posten op. Anthropic gebruikt gegevens die via zijn API worden verstuurd niet om zijn modellen te trainen en verwijdert ze binnen 30 dagen (privacy.claude.com).

Om de dienst binnen zijn grenzen te houden, telt onze server het lezen met AI per apparaat en per dag. De telefoon stuurt alleen een eenrichtingscode van de willekeurige apparaat-ID, en de server maakt daar met een geheime sleutel een nieuwe code van voordat die wordt opgeslagen, zodat de telling niet aan jou of je account kan worden gekoppeld. Alleen de code, de datum en het aantal worden opgeslagen, en de telling wordt na 30 dagen automatisch verwijderd.

Alleen in de gratis versie: voor de limiet op AI-scans stuurt de telefoon een eenrichtingscode van de ID van de telefoon, nooit de ID zelf. De server maakt daar met een geheime sleutel een nieuwe code van en slaat alleen die op, samen met de maand, of het een testversie is, en het aantal. De gehashte apparaat-ID wordt alleen gebruikt om gratis AI-scans te tellen, niet om je te volgen, en de telling wordt na 13 maanden automatisch verwijderd. Met Pro wordt er geen ID van de telefoon verstuurd.

Bonnen en facturen scannen

Als je een bon of factuur scant, wordt de afbeelding op je telefoon gelezen, of met AI als je toestemming hebt gegeven (zie hierboven). De afbeelding wordt verwijderd zodra die is gelezen, ook als je annuleert of er iets misgaat. Uit de afbeelding worden alleen de winkel, de datum, het bedrag en de categorie opgeslagen. Betalingskenmerken en rekeningnummers worden nooit opgeslagen.

Crashrapporten

Als de app crasht of er een fout optreedt, wordt een rapport naar Sentry (EU, Duitsland) gestuurd: wat er misging en waar in de app, wat er vlak daarvoor gebeurde (zonder inhoud uit je budget), de appversie, en het telefoonmodel en de systeemversie. Sentry slaat het IP-adres niet op, en de rapporten bevatten geen naam, e-mailadres of account. Ze worden maximaal 90 dagen bewaard en alleen gebruikt om fouten op te lossen.

Updates van de app

Bij elke start vraagt de app aan Expo (VS), de dienst die de updates levert, of er een nieuwe is. Expo krijgt dan het IP-adres, het platform (iOS of Android), de versie van de app en een willekeurige ID voor de installatie – niets over jou of je budget.

Pro kopen

Pro koop je in de App Store of Google Play. Apple of Google regelt de betaling volgens hun eigen privacybeleid; wij zien je kaartgegevens nooit.

RevenueCat (VS) houdt bij of je Pro hebt. De app neemt bij elke start contact op met RevenueCat, ook in de gratis versie, met een anonieme klant-ID die RevenueCat aanmaakt, of je account-ID als je bent ingelogd, zodat Pro bij je account hoort. RevenueCat krijgt de aankopen en aankoopbewijzen van de store, het platform en de versie van de app. In testversies en bij testaankopen wordt de klant als test gemarkeerd. De aankoopgeschiedenis blijft bij de store en RevenueCat bewaard, ook als je je account verwijdert, zodat je aankoop niet verloren gaat.

Melding dat je Pro-abonnement loopt

Heb je een Pro-abonnement dat elke maand of elk jaar wordt verlengd, dan toont de app minstens elke zes maanden een melding dat het abonnement loopt, wat het kost en hoe je het opzegt. Ben je ingelogd, dan krijg je die ook per e-mail. De Noorse wet verplicht deze melding (digitalytelsesloven, § 33), en we leggen elke melding vast om te kunnen aantonen dat die is gegeven. Het logboek bevat:

• Een code van je RevenueCat-klant, gemaakt met een geheime sleutel, en de aankoop-ID van de winkel.
• Winkel, product en abonnementsvorm (maand of jaar).
• De datum waarvoor de melding gold, wanneer die werd getoond en gesloten (met de tijdzone van de telefoon), en of je op «Abonnement beheren» tikte.
• Kanaal (in de app, melding gepland op de telefoon, pushmelding of e-mail), taal, prijs en valuta, en welke versie van de tekst je kreeg (met een code van de tekst).
• Bij e-mail: wanneer die is verstuurd, en de bericht-ID van Resend.

Het logboek bevat nooit je naam, je e-mailadres of je account-ID. Om de e-mail te kunnen versturen, bewaren we de account-ID en de datum van de volgende melding apart; die worden verwijderd als je je account verwijdert.

Ben je ingelogd en heb je meldingen voor de app op je telefoon toegestaan, dan kan de melding ook als pushmelding komen. We bewaren dan het pushtoken van de telefoon – het adres dat Apple of Google gebruikt om meldingen aan precies deze telefoon te bezorgen – samen met je account-ID, alleen om deze melding te sturen. De melding wordt verstuurd via Expo (VS), dat haar doorgeeft aan Apple Push Notification service (iPhone) of Google Firebase Cloud Messaging (Android). Ze bevat alleen de tekst over het abonnement, niets uit je budget. Het token wordt verwijderd als je uitlogt, je account verwijdert of meldingen uitzet (de app verwijdert het dan), en als Apple of Google laat weten dat het niet meer geldig is. Je kunt meldingen voor de app uitzetten in de instellingen van je telefoon.

De grondslag voor het sturen van de melding en het bewaren van het pushtoken is een wettelijke verplichting (artikel 6, lid 1, onder c AVG): de wet verplicht ons je te melden dat een abonnement loopt (digitalytelsesloven, § 33, in Noorwegen, en vergelijkbare regels in andere landen). Of de app pushmeldingen mag sturen, kies je zelf in de instellingen van je telefoon. Zonder push krijg je de melding in de app, en per e-mail als je bent ingelogd.

Het logboek wordt 3 jaar na de laatste actieve dag van het abonnement bewaard, ook als je je account verwijdert, maar dan zonder iets wat het aan jou koppelt. De grondslag is ons gerechtvaardigd belang (artikel 6, lid 1, onder f AVG) om te kunnen aantonen dat we de informatie hebben gegeven die de wet vereist.

Optioneel account en synchronisatie (Pro)

Je kunt inloggen met Apple, Google, Facebook (Meta) of e-mail. Het inloggen verloopt via Supabase op servers in Ierland. We bewaren dan je e-mailadres, een account-ID, je naam als de aanbieder die deelt, de taal van de app en, in testversies, een testmarkering. Met Apple kun je je e-mailadres verbergen; dan zien we alleen het doorstuuradres van Apple.

Met Pro wordt je budget met je account gesynchroniseerd: rekeningen, posten, vaste posten, budget, spaardoelen, eigen categorieën, onthouden leveranciers en de instellingen die met je meegaan (salarisdag, salaris, budget). Elke wijziging wordt opgeslagen met tijdstip en apparaat. De gegevens zijn versleuteld tijdens verzending en opslag, en alleen jouw account kan ze lezen.

Codes en links om in te loggen worden per e-mail verstuurd via Resend (VS), met je adres en taal. De link opent onze website, die bij Vercel wordt gehost en je doorstuurt naar de app. Om elke e-mail maar één keer te versturen, bewaart onze server alleen bericht-ID, soort en status, 7 dagen lang, nooit het adres.

Je kunt altijd uitloggen; de gegevens blijven op de telefoon. «Account verwijderen» verwijdert het account en alle gegevens die ermee op onze server zijn opgeslagen. Wat blijft bestaan: de aankoopgeschiedenis bij de store en RevenueCat, de tellingen zonder naam of account (verwijderd na 30 dagen en 13 maanden) en de logboeken van de diensten zelf, volgens hun voorwaarden.

Widget en herinneringen

De widget toont cijfers uit de gegevens op je telefoon, en herinneringen voor vaste posten worden op je telefoon ingesteld. Voor geen van beide wordt iets verstuurd.

Met wie we gegevens delen

• Supabase (Ierland, EU): inloggen, synchronisatie voor Pro, de server voor lezen met AI en de tellingen.
• Anthropic (VS): lezen met AI, alleen met je toestemming.
• Resend (VS): e-mails met inlogcodes en -links.
• RevenueCat (VS): Pro-status en aankopen.
• Sentry (EU, Duitsland): crashrapporten, zonder IP-adres.
• Expo (VS): app-updates en het doorgeven van de pushmelding over het abonnement.
• Vercel (VS): onze website, ook de pagina die de inloglink opent.
• Apple, Google en Meta: de App Store, Google Play, inloggen met hen als je daarvoor kiest, de back-up van de telefoon en het bezorgen van pushmeldingen (Apple Push Notification service en Google Firebase Cloud Messaging).
• Wisselkoersen: onze server haalt koersen op bij Frankfurter en ExchangeRate-API. Er gaan geen gegevens over jou naartoe.

Waar gegevens naar de VS gaan, gebruiken de aanbieders de standaardcontractbepalingen van de EU of het EU-US Data Privacy Framework. We verkopen nooit gegevens en de app heeft geen advertenties en geen tracking.

Rechtsgrond

• Om de app te leveren die je gebruikt (artikel 6, lid 1, onder b AVG): account en synchronisatie (Supabase), inloggen met Apple, Google, Facebook of e-mail (Resend), en Pro kopen (App Store, Google Play en RevenueCat).
• Je toestemming voor lezen met AI (artikel 6, lid 1, onder a AVG), via Supabase naar Anthropic. Je kunt die altijd intrekken.
• Ons gerechtvaardigd belang (artikel 6, lid 1, onder f AVG) om fouten op te lossen (Sentry), app-updates te leveren (Expo), de dienst binnen zijn grenzen te houden (de tellingen) en de website te laten draaien (Vercel).

Hoe lang gegevens worden bewaard

• Op de telefoon: tot je ze in de app verwijdert of de app verwijdert.
• Je account en gesynchroniseerde gegevens: tot je het account in de app verwijdert.
• Afbeeldingen voor lezen met AI: niet door ons bewaard. Bij Anthropic: verwijderd binnen 30 dagen, behalve verzoeken die wegens misbruik worden gemarkeerd (privacy.claude.com).
• CSV- en Excel-bestanden die je importeert: niet bewaard. Alleen de transacties die je opslaat en de indeling van de kolommen blijven.
• Telling van het lezen met AI (eenrichtingscode, datum en aantal): 30 dagen.
• Telling van gratis AI-scans (gehashte apparaat-ID, maand en aantal): 13 maanden.
• Logboek van inlogmails (zonder adres): 7 dagen.
• Pushtoken voor de melding over het abonnement: tot je uitlogt, je account verwijdert of meldingen uitzet.
• Crashrapporten: hooguit 90 dagen.
• Inlogmails bij Resend: 30 dagen (resend.com). Eigen logboeken en back-ups van Supabase: hooguit 7 dagen (supabase.com). RevenueCat (revenuecat.com), Expo (expo.dev) en Vercel (vercel.com): volgens hun voorwaarden, die geen vaste termijn noemen.
• Back-up op je telefoon: bij Apple of Google, volgens hun voorwaarden, tot je hem verwijdert.

Je rechten

Je kunt al je gegevens in de app bekijken, corrigeren en exporteren (Ik → Gegevens exporteren, gratis voor iedereen) en wissen (Ik → Alle gegevens op deze telefoon wissen). Je kunt bezwaar maken tegen de verwerking en je toestemming voor lezen met AI altijd intrekken.

Heb je vragen, schrijf dan naar kontakt@nordicdigitalapp.no. De toezichthouder is de Noorse toezichthouder voor gegevensbescherming (Datatilsynet), waar je een klacht kunt indienen. Woon je in de EU/EER, dan kun je ook een klacht indienen bij de toezichthouder in je eigen land.

Kinderen

Saldo Pocket is niet gemaakt voor kinderen onder 13 jaar, en we verwerken niet bewust hun gegevens.

Wijzigingen

Als we dit beleid wijzigen, werken we deze pagina en de datum bovenaan bij. Is de wijziging van belang voor hoe je gegevens worden gebruikt, dan laten we het je in de app weten.