Wat je telefoon verlaat, en wat nooit.
De belofte is niet dat we je financiën goed bewaken op onze server. De belofte is dat we ze nooit binnenkrijgen. Hieronder staat het bewijs daarvoor, in een vorm die je kunt nagaan: waar je gegevens heen kunnen, elk Android-recht apart, drie proeven die je zelf kunt doen, en de grenzen van wat dat allemaal aantoont.
Drie plekken waar je gegevens kunnen staan. Meer zijn het er niet.
De meeste financiële apps hebben een vierde vakje: hun eigen database, met een kopie van jouw transacties. CroSum heeft dat vakje niet, en daarom valt hier niets te lekken.
Jouw telefoon
Elke transactie, elk budget, elke lening en elk spaardoel dat je invoert. Opgeslagen in de eigen opslag van de app, op het apparaat zelf. Standaard gaat hier niets weg.
Jouw eigen Drive
Optioneel. Een back-upbestand in jouw Google Drive op Android, of jouw eigen iCloud op de iPhone. Jouw account, jouw opslag, en het komt nooit langs ons.
Onze abonnementsserver
Een aankoopbewijs: of een aankoop geldig is en wanneer die verlengt. Geen transactie, geen saldo, geen budget, geen doel — er is geen adres dat ze zou aannemen.
Handmatig invoeren is de reden dat het zo kan. CroSum heeft geen bankkoppeling en geen open-bankingverbinding, dus er stroomt nergens een kopie van je rekeninggeschiedenis langs — niet bij ons, en niet bij een tussenpartij. Jij typt de bedragen in. Dat is de prijs, en deze pagina is wat je ervoor terugkrijgt.
Wat nooit weggaat, en wat wel.
Wat je apparaat nooit verlaat
- Inkomsten, uitgaven, categorieën en notities
- Budgetten en je bedrag Veilig te besteden
- Leningen, restschulden, rentepercentages en aflossingsschema's
- Spaardoelen en voortgang
- Scenario's in de planner en de rapporten die je maakt
- Alles waar de aanbevelingen op gebaseerd zijn
Wat er wel weggaat — en waarom
- Een aankoopbewijs, zodat de Premium-functies op je account vrijgegeven kunnen worden
- Een e-mailadres, alleen als je op Android een account aanmaakt om een abonnement te nemen of te synchroniseren
- Je back-upbestand — alleen als je een back-up maakt, en alleen naar je eigen Drive of iCloud
- Verder niets. Geen analytics-SDK, geen advertentiebibliotheek, geen crashrapportagedienst
Op de iPhone bestaat er helemaal geen CroSum-account: abonnementen lopen via de App Store en optionele synchronisatie schrijft naar je eigen iCloud, dus zelfs het e-mailadres uit de rechterkolom bestaat daar niet. De volledige details staan in het privacybeleid, en dat is het bindende document — spreken deze pagina en dat beleid elkaar ooit tegen, dan geldt het beleid.
Alle 11 Android-rechten, stuk voor stuk.
Dit is de elf android.permission-rechten die de Android-versie aanvraagt — dezelfde elf die Exodus telde. Daaronder staat er nog één van een ander soort, com.android.vending.BILLING: dat is het eigen recht van Google Play om een abonnement te verkopen, geen Android-systeemrecht. We zetten het erbij zodat de tabel klopt met wat je vindt als je zelf gaat kijken. Twee ervan klinken erger dan ze zijn, en dat zeggen we er zelf bij in plaats van te hopen dat je het niet ziet.
| Recht | Waar het voor is | Wanneer het gebruikt wordt |
|---|---|---|
| INTERNET | Zorgt dat de app überhaupt een netwerkverzoek mag doen. | Het controleren van je abonnement, en de back-up naar je eigen Drive als je die hebt aangezet. Nooit om financiële gegevens te versturen. |
| ACCESS_NETWORK_STATE | Leest of het apparaat op dat moment verbinding heeft. | Vóór allebei de taken hierboven, zodat een telefoon zonder verbinding het rustig overslaat in plaats van een eindeloos draaiend rondje te tonen. |
| POST_NOTIFICATIONS | Geeft de app toestemming om je een melding te tonen. | Alleen de herinneringen voor rekeningen, budgetten en sparen die je zelf aanzet. Laat je herinneringen uit, dan verschijnt er nooit iets. |
| RECEIVE_BOOT_COMPLETED | Laat de app weten dat de telefoon klaar is met opnieuw opstarten. | Android wist geplande alarmen bij het opstarten. Hiermee worden je herinneringen daarna opnieuw ingepland; zonder dit zouden ze stilletjes stoppen. |
| WAKE_LOCK | Houdt de processor even wakker. | Zodat een herinnering die afgaat terwijl de telefoon slaapt, ook echt afgaat. Seconden per keer, geen minuten. |
| com.android.vending.BILLING | Laat de app een abonnement verkopen via Google Play. | Google Play handelt de betaling af; CroSum hoort alleen of een abonnement geldig is. Je kaartgegevens bereiken ons nooit. |
| BIND_JOB_SERVICE | Meldt een achtergrondtaak aan die Android mag uitvoeren. | Het inplannen van de herinneringen. Dit is een recht dat Android over de app heeft, niet andersom — zo moet een geplande taak nu eenmaal aangemeld worden. |
| BIND_REMOTEVIEWS | Laat een andere app een weergave tekenen die CroSum aanlevert. | De widget op je startscherm. Dezelfde vorm als de regel hierboven: het bestaat zodat je startscherm de widget kan tonen, niet zodat CroSum ergens bij kan. |
| USE_BIOMETRIC | Vraagt Android om je vingerafdruk of gezicht te controleren. | Alleen als je de appvergrendeling aanzet. CroSum krijgt de vingerafdruk zelf nooit te zien — Android antwoordt ja of nee, en verder niets. |
| USE_FINGERPRINT | De oudere naam voor dezelfde controle. | Bewaard voor Android-versies van vóór de nieuwere biometrische API. Dezelfde appvergrendeling, hetzelfde ja-of-nee-antwoord. |
| USE_CREDENTIALS | Laat het inloggen een account gebruiken dat al op het apparaat staat. | Alleen bij het inloggen op Android dat je abonnement aan jou koppelt, of dat toegang geeft tot je eigen Drive. Het leest geen mail, geen contacten en geen account van een andere app. |
| DUMP | Een diagnoserecht, en degene die het meest alarmerend klinkt. | Het komt in het manifest terecht via een Android-systeemonderdeel waar CroSum van afhangt, niet via code die wij zelf hebben geschreven. CroSum gebruikt het niet om andere apps uit te lezen. Konden we het laten vervallen zonder die afhankelijkheid te breken, dan deden we dat. |
En dan de afwezigen, die meer zeggen dan de lijst zelf. Er is geen locatierecht, geen contactenrecht, geen sms-recht, geen camerarecht en geen recht om je opslag te doorzoeken. Een budget-app die je sms'jes leest om bankmeldingen te vinden, heeft sms-toegang nodig. CroSum niet, omdat jij de bedragen zelf invoert.
- Geen locatie
- Geen contacten
- Geen sms
- Geen camera
- Geen doorzoeken van je opslag
Drie manieren om het te controleren, in een minuut of vijf.
Elk van deze dingen kun je zonder ons doen, op je eigen telefoon, en elk ervan zou zichtbaar misgaan als de beweringen hierboven niet klopten.
Lees de rechtenlijst bij de bron
Open in de Google Play-vermelding Over deze app, ga naar App-machtigingen en tik op Meer weergeven. Google maakt die lijst op basis van het geïnstalleerde pakket, niet op basis van wat wij opschrijven. Leg hem naast de tabel hierboven.
Wijken die twee ooit van elkaar af, dan heeft Play gelijk en zijn wij degenen die iets uit te leggen hebben. Mail support@crosum.app, dan doen we dat.
Haal de app van het netwerk af
Zet vliegtuigmodus aan en gebruik CroSum gewoon: voeg een uitgave toe, stel een budget in, open je dashboard, bekijk de widget. Het werkt allemaal, omdat het rekenwerk op het apparaat gebeurt. Een app die stilletjes je gegevens ergens heen stuurt, kan zich niet zo gedragen.
Twee dingen wachten wél op verbinding: de abonnementscontrole en, als je die hebt aangezet, de back-up naar Drive. Allebei staan ze in de tabel hierboven.
Neem je gegevens mee en vertrek
Open Back-up & herstel en tik op Back-up maken. Je krijgt één gewoon bestand met alles erin, opgeslagen waar jij wilt — leesbaar in een teksteditor, te openen in een spreadsheet, terug te zetten op een andere telefoon.
Exporteren en herstellen zijn gratis, in beide abonnementen, en dat blijft zo. Iemand laten betalen om bij zijn eigen cijfers te komen is precies hoe je vast komt te zitten aan een app.
Gescand door een derde partij, niet door onszelf.
Exodus Privacy is een onafhankelijke non-profit die Android-apps uit elkaar haalt en vergelijkt met een database van bekende trackerkenmerken. Ze hebben geen band met ons, en wij kunnen de uitkomst niet beïnvloeden.
Hun scan van CroSum 1.4.9 meldt 0 trackers en 11 rechten: geen codekenmerk gevonden van een tracker die ze kennen. Je kunt het zelf nalezen:
Het Exodus-rapport over CroSum 1.4.9 →
Dan de kanttekeningen, want die horen erbij. Exodus doet statische analyse tegen een lijst met trackers die het al kent — het is dus een scan en geen audit, en het kan de afwezigheid van iets waar geen kenmerk voor bestaat niet aantonen. Het beschrijft bovendien de versie die gescand is, niet elke versie die daarna is uitgekomen. Dat zeggen we er gewoon bij: een gunstige uitslag groter maken dan hij is, is precies het gedrag waarvan we je vragen het niet van ons te verwachten.
Wat deze pagina niet kan bewijzen.
Een privacybelofte die je niet kunt controleren is niets waard, dus hier houdt de onze op.
- CroSum is geen open source. Je kunt de code niet lezen, en dat betekent dat je een beschreven opzet vertrouwt in plaats van er zelf in te kijken. Dat is een echte beperking, en geen enkele zelfverzekerde formulering verandert daar iets aan.
- Het sterkste bewijs zit in gedrag en structuur, niet in cryptografie. Gedrag: de app doet zijn hele werk in vliegtuigmodus. Structuur: de abonnementsserver heeft geen adres dat een transactie, een saldo of een budget aanneemt, dus er is niets waar financiële gegevens zelfs per ongeluk heen gestuurd kunnen worden.
- Back-ups vallen volledig buiten ons bereik. Zodra een back-upbestand in jouw Drive of jouw iCloud staat, hangt de veiligheid ervan af van jouw account: jouw wachtwoord, jouw tweestapsverificatie, de voorwaarden van jouw aanbieder. Wij kunnen het niet lezen, en dus ook niet beschermen.
- De rechtenlijst is een momentopname. Hij beschrijft de Android-versie die nu wordt uitgeleverd. Versies veranderen; verandert deze lijst, dan verandert deze pagina mee — en de lijst in Play blijft de controle die niet van ons afhangt.
- Een trackerscan is geen volledige privacy-audit. Exodus vergelijkt gecompileerde code met een lijst bekende trackers; dat is sterk bewijs, maar geen formele audit door een beveiligingsbedrijf. Waar CroSum wel naar kan wijzen, is de structuur: geen investeerders, geen advertentiepartners en niemand om gegevens aan te verkopen — een ingeschreven Nederlandse eenmanszaak (KvK 42069368) waarvan de hele omzet uit abonnementen komt.
En één ding dat CroSum niet is. Het is een app om je geld bij te houden en te budgetteren, geen financieel adviseur onder toezicht. Alles wat de app laat zien — Veilig te besteden, prognoses, aanbevelingen — komt voort uit de cijfers die je zelf hebt ingevoerd. Het is geen persoonlijk financieel advies, en voor beslissingen die er echt toe doen praat je met iemand met de juiste papieren.
De juridische versies.
Deze pagina is de uitleg in gewone taal. Deze twee documenten zijn wat telt als het erop aankomt.
Het privacybeleid beschrijft welke gegevens we bewaren, welke subverwerkers erbij betrokken zijn, welke AVG-rechten je hebt en hoe je die uitoefent. De voorwaarden gaan over het abonnement, de proefperiode en de disclaimers.
De juridische documenten zijn op dit moment alleen in het Engels beschikbaar.
Budgetteren dat nooit aan je bank komt.
Gratis te beginnen. Geen betaalgegevens, geen advertenties, geen trackers. Android staat live in Google Play; er komt een iPhone-versie aan.
Binnenkort voor iPhone