Privacybeleid

Laatst bijgewerkt: 2026-10-07

LaVega is een lokaal-eerst hulpmiddel om je eigen bankrekeningen te overzien. Privacy is het uitgangspunt van het ontwerp, niet een bijzaak.

Welke gegevens en waar ze staan

Je financiële gegevens (rekeningen, saldi, transacties) worden in je eigen browser bewaard, versleuteld (AES-GCM-256) met een sleutel die bij je account hoort. Er is geen kopie van je administratie op onze servers, tenzij je zelf een back-up maakt.
Die sleutel maken wij aan zodra je voor het eerst inlogt. We bewaren hem versleuteld met onze eigen serversleutel en geven hem alleen aan jou, na het inloggen. Daardoor ben je je gegevens niet kwijt als je je wachtwoord vergeet. Het betekent ook dat wij je kluis technisch zouden kunnen openen. Dat doen we niet, en geen enkel deel van onze software doet het.
Wel passeert er data. De functies hieronder sturen bepaalde gegevens via onze server naar een verwerker en tonen je het antwoord. Dat is verwerking in doorvoer, geen opslag — maar het is niet hetzelfde als "het verlaat je apparaat nooit", en dat willen we niet mooier opschrijven dan het is.

Banktoegang (Enable Banking)

Koppelen van een bank verloopt via Enable Banking, een gelicentieerde dienstverlener voor rekeninginformatie (AIS/PSD2). Je autoriseert de toegang rechtstreeks bij je eigen bank.
De toegang is alleen-lezen: rekeninginformatie en transacties. LaVega kan geen betalingen initiëren.
Opgehaalde rekening- en transactiegegevens gaan direct door naar je lokale, versleutelde opslag; ze worden niet blijvend op onze server bewaard.

AI-functies — standaard uit

LaVega heeft vier functies die een AI-model van Mistral gebruiken. Ze zijn opt-in: je zet ze zelf aan, en wat er verstuurd wordt krijg je eerst te zien ter bevestiging. Staan ze uit, dan gaat er niets heen.

Factuur uitlezen — het factuurdocument dat je aanbiedt (PDF), om er bedrag, datum en leverancier uit te halen.
Transacties categoriseren — alleen de omschrijving van een transactie, met een filter dat IBANs, bedragen en datums er vooraf uit haalt. Niet je saldo, niet je rekeningnummer.
Chat — de context van het tabblad waar je op staat: rekeningtypes en saldi, abonnementen, facturen en btw-instellingen. Rekeningnummers gaan niet mee.
Reisfeiten opzoeken — de naam van een aanbieder of kaart, geen persoonsgegevens.

Mistral verwerkt deze gegevens binnen de EU (Frankrijk) om er een antwoord op te geven. De sleutel is van ons, niet van jou; je hoeft dus geen eigen account. Wij bewaren deze verzoeken niet.

Bij Chat en Reisfeiten zoekt het model ook op het open web; die pagina's komen van overal en vallen buiten deze garantie.

Facturen per e-mail — alleen als je het aanzet

Zet je het doorstuuradres voor facturen aan, dan loopt inkomende post langs Cloudflare (die het adres bedient) naar n8n (dat de mail en de bijlagen klaarzet voor je Facturen-scherm). Een factuur wordt pas geboekt nadat jij hem bevestigt. Gebruik je een eigen n8n-server, dan gaat het naar de jouwe.

De rol van de server

De server: (a) voert de Enable Banking-autorisatie uit met kortstondige sessietokens; (b) haalt publieke, niet-persoonlijke spaarrentes op (bron: geld.nl) en wisselkoersen; (c) houdt de Mistral-sleutel vast en is de enige plek die met het AI-model praat, zodat die sleutel nooit in je browser staat; en (d) bewaakt elke API achter een ingelogde sessie.

Wat er wél op de server staat

Hier stond eerder dat de server je administratie niet bewaart. Sinds we een database (Neon) gebruiken klopt dat niet meer, en we schrijven het liever precies op dan mooi.

Een back-up van je kluis. Zet je de back-up aan, dan stuurt je browser de kluis versleuteld met je accountsleutel. Wij openen hem niet. Verwijder je je account, dan verwijderen we ook de sleutel; elke kopie van je kluis is daarna onleesbaar.
Beleggingsgegevens — die wij wél kunnen lezen. Koppel je een broker, dan bewaart de server je brokerkoppeling en de opgehaalde standen versleuteld, maar met onze sleutel: hij moet die koppeling immers zelf kunnen gebruiken om te synchroniseren. Dat is een echt verschil met de regel hierboven en het hoort niet weggeschreven te worden.
Je account (e-mailadres en inloggegevens), je voorkeuren, wanneer er voor het laatst gesynchroniseerd is, en een cache van publieke koersen.

Elke rij is afgeschermd op gebruiker: een ingelogde sessie bepaalt van wie een verzoek is, en de database weigert rijen van iemand anders.

Derden

Wie	Wat er heen gaat	Wanneer
Enable Banking	Banktoegang (AIS), rekening- en transactiegegevens	Als je een bank koppelt
Mistral (EU)	Factuurdocumenten, transactieomschrijvingen	Alleen met AI-functies aan
Cloudflare	Inkomende factuurmail	Alleen met het factuuradres aan
n8n	Diezelfde mail plus bijlagen	Alleen met het factuuradres aan
Resend	Je e-mailadres en de inhoud van account-mails (bevestigingslink, wachtwoord resetten, nieuwe inloglink)	Bij het aanmaken van een account en bij inloggen of resetten
Frankfurter (ECB)	Valutaparen — publiek, niet persoonlijk	Bij de valutafunctie
Vercel (VS)	Hosting van de app en de server	Altijd
Sentry	Foutmeldingen ter diagnose; zonder financiële gegevens; IP-adressen worden niet opgeslagen (EU-regio)	Alleen als er een fout optreedt
Neon (VS)	De database: versleutelde kluis-back-up, beleggingsgegevens, account en voorkeuren	Altijd

Geen verkoop van gegevens, geen advertenties, geen tracking of analytics.

Jouw controle

Je gegevens staan op je eigen apparaat: exporteren en verwijderen kan in de app. Het wissen van je browseropslag verwijdert je lokale kluis.

Dat wist niet meer alles. Staat er een back-up of een brokerkoppeling op de server, dan blijft die na het legen van je browser gewoon staan. Om die ook weg te halen is er een aparte handeling: het verwijderen van je gegevens op de server. Die verwijdert in één keer je kluis-back-up, je brokerkoppelingen en opgehaalde standen, je voorkeuren, je synchronisatiestand en je agent-geschiedenis. Het is niet terug te draaien, en wij bewaren daarna geen kopie. Je account zelf (je inlog) verwijderen we op verzoek — stuur een bericht en we doen het.

Verder heb je de rechten uit de AVG: inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid, en het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Contact

Vragen? Mail alexander.steunenberg@gmail.com.

LaVega · Laatst bijgewerkt 2026-10-07 · Contact: alexander.steunenberg@gmail.com · Terug naar de app