Privacy & beveiliging

Versleutelde overdracht

De communicatie met Evylla loopt via HTTPS/TLS.

IMAP-app- en mailboxwachtwoorden en OAuth-tokens worden versleuteld opgeslagen met AES-256-GCM. Het wachtwoord van je Evylla-account bewaren we alleen als een niet-omkeerbare hash.

Toegang volgens het minste recht

Evylla mag alleen bij de gegevens die voor de functie nodig zijn.

Interne toegangsrechten volgen het beginsel van de minst mogelijke bevoegdheid.

Bescherming van opgeslagen gegevens

Persoonsgegevens en andere te beschermen gegevens worden beschermd met technische en organisatorische maatregelen. Afhankelijk van het soort gegevens hoort daar met name bij:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Welke maatregelen precies worden gebruikt, hangt af van aard, omvang en risico van de verwerking.

Evylla wordt ontwikkeld zodat gegevensbescherming al bij het ontwerp van een functie meetelt.

Dat betekent bijvoorbeeld:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Dat hangt af van de functies die je gebruikt.

Gebruikersaccount

Voor je Evylla-account kunnen bijvoorbeeld deze gegevens worden verwerkt:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

E-mailverbindingen

Als je een e-mailaccount koppelt, kan Evylla de berichten verwerken die je hebt vrijgegeven om aankoopinformatie te herkennen.

Daarbij kunnen bijvoorbeeld horen:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla probeert alleen de informatie te verwerken die voor de functie nodig is, en niet meer.

Betaal- en financiële diensten

Als je later een betaal- of financiële dienst koppelt, kunnen afhankelijk van de aanbieder en de rechten die je geeft bijvoorbeeld deze gegevens worden verwerkt:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

De concrete omvang hangt af van de aanbieder en de verbinding.

🤖 AI en automatische verwerking

Evylla kan geautomatiseerde en zo nodig AI-ondersteunde procedures gebruiken om informatie in je gegevens te herkennen en te structureren.

Een aankoopbevestiging kan bijvoorbeeld automatisch worden herkend:

« Bestelling bij handelaar X – 14.09.2026 – 79,99 € – product Y »

De automatische verwerking dient om informatie klaar te zetten voor de Evylla-functies die jij vraagt.

Een automatische analyse betekent niet dat er een juridisch relevante geautomatiseerde beslissing over jou wordt genomen.

Als Evylla functies invoert met geautomatiseerde beslissingen of profilering in de zin van art. 22 AVG, wordt de vereiste informatie apart gegeven.

🧠 Je gegevens worden niet voor andere doelen gebruikt

De gegevens die je verstrekt, worden in beginsel verwerkt voor de doelen waarvoor je Evylla gebruikt.

Je aankoop- en accountgegevens mogen niet zomaar voor willekeurige andere doelen worden gebruikt.

Gebruik voor extra doelen, bijvoorbeeld bepaalde analyses, marketing of training, gebeurt alleen als er een rechtsgrond is en aan de privacyvoorwaarden is voldaan.

🚫 Geen verkoop van je persoonsgegevens

Evylla verkoopt geen persoonsgegevens van gebruikers.

Doorgifte kan wel nodig zijn als dienstverleners Evylla draaien of als een wettelijke plicht dat vereist.

Die dienstverleners krijgen alleen de toegang die voor hun taak nodig is.

Evylla kan verschillende externe diensten ondersteunen.

Daarbij kunnen bijvoorbeeld horen:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Bij het koppelen van een dienst zie je welke rechten voor die verbinding nodig zijn.

Verbinding verbreken stopt nieuwe ophalingen; opgeslagen aankopen blijven. Het mailaccount verwijderen wist verbinding, mails en bijbehorende aankopen.

Je kunt ook alleen de geïmporteerde gegevens van een verbinding wissen; de verbinding zelf blijft dan bestaan.

🗑️ Je gegevens verwijderen

In het account onder Privacy en beveiliging kies je precies wat wordt verwijderd.

Bij verwijderen kunnen wettelijke bewaarplichten of noodzakelijke back-ups ervoor zorgen dat bepaalde gegevens niet meteen uit alle systemen verdwijnen.

Die gegevens worden na afloop van de bewaar- of back-uptermijn verwijderd of geanonimiseerd, tenzij een andere rechtsgrond verdere opslag vereist.

Concrete verwijdertermijnen:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Gegevensexport

Je hebt in beginsel het recht je persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen, als aan de voorwaarden voor overdraagbaarheid is voldaan.

Evylla kan daarvoor een exportfunctie aanbieden.

Het recht op overdraagbaarheid staat in art. 20 AVG.

Afhankelijk van de wettelijke voorwaarden heb je met name deze rechten:

Inzage

Je kunt vragen welke persoonsgegevens wij over je verwerken.

Rectificatie

Je kunt rectificatie van onjuiste persoonsgegevens vragen.

Wissing

Je kunt, als aan de wettelijke voorwaarden is voldaan, wissing van je persoonsgegevens vragen.

Beperking van de verwerking

Je kunt onder bepaalde voorwaarden vragen dat de verwerking van je gegevens wordt beperkt.

Bezwaar

Je kunt, als aan de wettelijke voorwaarden is voldaan, bezwaar maken tegen een verwerking.

Overdraagbaarheid

Je kunt, als aan de wettelijke voorwaarden is voldaan, de persoonsgegevens die je hebt verstrekt in een gestructureerd, gangbaar en machineleesbaar formaat ontvangen.

Intrekking van toestemming

Als een verwerking op je toestemming berust, kun je die toestemming op elk moment voor de toekomst intrekken. De rechtmatigheid van de verwerking tot dan blijft onaangetast.

⚖️ Op welke grond Evylla gegevens verwerkt

De concrete rechtsgrond hangt af van de verwerking.

Afhankelijk van de functie kunnen met name deze rechtsgronden relevant zijn:

Art. 6 lid 1 onder a AVG
Toestemming.

Art. 6 lid 1 onder b AVG
Verwerking die nodig is voor een overeenkomst of voor precontractuele maatregelen.

Art. 6 lid 1 onder c AVG
Verwerking om een wettelijke verplichting na te komen.

Art. 6 lid 1 onder f AVG
Verwerking op grond van gerechtvaardigde belangen, als aan de wettelijke voorwaarden is voldaan.

Welke rechtsgrond voor welke verwerking geldt, staat in de volledige privacyverklaring.

🏢 Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke voor persoonsgegevens is:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Vertegenwoordigd door: Udo Urban

E-mail

…

🛡️ Functionaris voor gegevensbescherming

Er is momenteel geen functionaris voor gegevensbescherming aangesteld, omdat de wettelijke voorwaarden daarvoor niet zijn vervuld.

🔧 Verwerkers en technische dienstverleners

Voor het draaien van Evylla kunnen technische dienstverleners worden ingezet.

Daarbij kunnen met name horen:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Als deze aanbieders persoonsgegevens in onze opdracht verwerken, gebeurt dat op basis van de vereiste privacy-afspraken.

Een actueel overzicht van dienstverleners en verwerkingen staat in de volledige privacyverklaring.

🌍 Waar je gegevens worden verwerkt

De verwerking kan plaatsvinden in de Europese Unie of de Europese Economische Ruimte.

Als dienstverleners gegevens buiten de EU of de EER verwerken, gebeurt die doorgifte alleen met inachtneming van de privacy-eisen.

Huidige opslag- en verwerkingslocaties:
Applicatie, database en back-ups draaien in Duitsland of in de Europese Unie.

Doorgifte naar derde landen:
Stripe (VS) kan betaalgegevens buiten de EU verwerken en steunt daarbij op passende waarborgen, met name standaardcontractbepalingen. Details: https://stripe.com/privacy

💳 Betaalgegevens

Betalingen voor betaalde Evylla-tarieven kunnen via externe betaaldienstverleners lopen.

De verwerking van betaalgegevens volgt dan de voorwaarden en het privacybeleid van die dienstverlener.

Evylla bewaart geen volledige kaartnummers, tenzij de functie dat vereist en de technische betaling via een gespecialiseerde dienstverlener loopt.

Gebruikte betaaldienstverleners:
Stripe Payments Europe, Ltd. en gelieerde groepsmaatschappijen; details op stripe.com/privacy.

🔒 Technische en organisatorische maatregelen

Evylla neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, vernietiging, wijziging en onbevoegde toegang.

Daarbij kunnen met name horen:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

De maatregelen worden getoetst en doorontwikkeld volgens de stand van de techniek en het risico.

Art. 32 AVG verlangt passende technische en organisatorische maatregelen, rekening houdend met onder meer de stand van de techniek, de kosten, de aard en de omvang van de verwerking en het risico voor de rechten en vrijheden van personen.

🚨 Beveiligingsincidenten

Ondanks uitgebreide beveiliging kan geen internetdienst een systeem zonder enig risico garanderen.

Bij een inbreuk op persoonsgegevens beoordeelt Evylla het incident onverwijld en neemt de nodige maatregelen.

Waar de wet dat vereist, worden toezichthouders en betrokkenen geïnformeerd volgens de geldende regels.