WWWveilig
NL

Authenticator 2FA · Privacy

Privacyverklaring WWWveilig Authenticator

WWWveilig Authenticator is een app voor tweestapsverificatie: hij toont codes van zes cijfers en laat je inlogverzoeken goedkeuren of weigeren voor applicaties waar je al een account hebt. Hier lees je precies wat de app en de bijbehorende API opslaan, en waarom.

Laatst bijgewerkt: 3 november 2026

Wie verantwoordelijk is

De app en de API op api.wwwveilig.nl zijn een dienst van WWWveilig, onderdeel van EVweb BV. EVweb BV is verantwoordelijk voor de verwerking van persoonsgegevens door de app en de API.

EVweb BV / Centerdesk / WWWveilig
Bijlestaal 44M
1721 PW Broek op Langedijk
Nederland

Vragen over deze verklaring of over je gegevens? Mail naar privacy@wwwveilig.nl.

Wat alleen op je telefoon blijft

  • De geheime sleutels waarmee je codes van zes cijfers worden berekend. Ze staan in de beveiligde opslag van het besturingssysteem (iOS Keychain, Android Keystore) en worden alleen op het toestel gebruikt. Een code maken gebeurt offline en verstuurt niets.
  • Het adres van de API waar je accounts bij horen.

De app heeft zelf geen account. Er is geen gebruikersnaam, geen wachtwoord en geen registratie.

Wat de API opslaat

Zodra een applicatie je telefoon koppelt als tweede stap, slaat de dienst op:

  • Een gebruikersverwijzing van die applicatie: om te weten bij welke gebruiker deze telefoon hoort. Het is het eigen kenmerk van die applicatie, niet je naam.
  • Een optioneel label (vaak je e-mailadres): zodat je je accounts in de app uit elkaar houdt. Aangeleverd door de applicatie, niet door ons.
  • Een versleutelde kopie van de geheime sleutel: om de codes die je invoert te controleren. Versleuteld opgeslagen.
  • Naam, platform en appversie van je toestel: zodat je je telefoon herkent en wij ondersteuning kunnen bieden.
  • Een pushnotificatietoken: om goedkeuringsverzoeken bij je af te leveren.
  • Per inlogverzoek: tijdstip, status, IP-adres en eventuele locatietekst van de applicatie: om je te tonen waar een verzoek vandaan kwam, en als beveiligingsregistratie.

We houden een beveiligingslogboek bij van gebeurtenissen zoals "code geverifieerd", "verzoek goedgekeurd" en "koppeling ingetrokken", met het betrokken IP-adres. Regels in het beveiligingslogboek worden na 180 dagen automatisch verwijderd.

Verzoeken om adressen die niet bestaan

Vraagt iets de dienst om een adres dat ze niet heeft, dan antwoorden we met een korte pagina "niet toegestaan" en leggen we het verzoek vast: het IP-adres waar het werkelijk vandaan kwam, de identificatie van de browser of het programma, het opgevraagde adres en het tijdstip. Zo merken we scans en herhaald aftasten van de dienst op; dat is ons gerechtvaardigd belang bij de beveiliging ervan (artikel 6, lid 1, onder f, AVG). Deze registraties gaan over het verzoek en niet over een account: we proberen niet vast te stellen wie het verstuurde en combineren ze niet met andere gegevens. Ze worden na 90 dagen automatisch verwijderd.

Demo-inlog voor app-beoordelaars

Op het eerste scherm van een telefoon zonder accounts staat Demo-account (app-beoordeling). Dat is bedoeld voor de beoordelaars van Google Play en de App Store. Wat je daar invult (e-mailadres en wachtwoord) gaat naar onze demosite m.centerdesk.nl, die alleen haar eigen review-accounts accepteert en de telefoon daarmee koppelt. Gewone gebruikers hebben dit scherm niet nodig.

Wat we niet doen

  • We verkopen of verhuren je gegevens niet.
  • We gebruiken geen advertenties, tracking of analytics.
  • We stellen geen profielen op en nemen geen geautomatiseerde besluiten over je.
  • We vragen niet om je naam, adres, telefoonnummer of geboortedatum.
  • We hebben geen toegang tot de accounts die je beveiligt: alleen de applicatie waar je inlogt weet wie je bent.

Wie er verder bij betrokken is

Pushnotificaties worden afgeleverd via de dienst van de maker van het besturingssysteem: Apple Push Notification service op iOS en Firebase Cloud Messaging op Android, en waar ingesteld via de pushrelay van Expo. Die diensten ontvangen het notificatietoken en de tekst van de melding om die te kunnen bezorgen. Verder delen we niets met derden.

De dienst draait op servers in de Europese Unie.

Bewaartermijnen

  • Koppelingsgegevens: tot het account uit de app wordt verwijderd of de beheerder van de applicatie je tweestapsverificatie uitzet.
  • Inlogverzoeken: die verlopen binnen enkele minuten; de registratie blijft deel van het beveiligingslogboek.
  • Beveiligingslogboek: 180 dagen, daarna automatisch verwijderd.
  • Verzoeken om niet-bestaande adressen: 90 dagen, daarna automatisch verwijderd.

Je rechten

Op grond van de AVG kun je inzage, correctie of verwijdering van je gegevens vragen, en bezwaar maken tegen de verwerking. De dienst kent je alleen via een kenmerk van de applicatie waar je inlogt, dus meestal gaat dit het snelst via de accountinstellingen van die applicatie.

Je kunt zelf altijd gegevens verwijderen:

  • Eén account verwijderen: in de app, Instellingen → het account → Verwijderen. Dat wist de geheime sleutel en ontkoppelt de telefoon.
  • Alles verwijderen: Instellingen → Deze telefoon resetten.
  • Volledig verwijderverzoek: zie Je gegevens verwijderen, of mail naar privacy@wwwveilig.nl.

Je hebt daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Beveiliging

Geheime sleutels worden versleuteld opgeslagen. Elke code van zes cijfers kan maar één keer worden gebruikt. Goedkeuringsverzoeken verlopen binnen enkele minuten en zijn aan één toestel gebonden. Al het verkeer verloopt via TLS.

Wijzigingen

Bij een wezenlijke wijziging passen we de datum bovenaan aan en melden we dat waar nodig in de app.