WWWveilig 2FA API · https://api.wwwveilig.nl
Privacyverklaring — WWWveilig Authenticator
Laatst bijgewerkt: 28 augustus 2026
WWWveilig Authenticator is een app voor tweestapsverificatie. De app toont codes van zes cijfers en laat u inlogverzoeken goedkeuren of weigeren voor applicaties waar u al een account heeft. Deze verklaring beschrijft precies wat de app en de bijbehorende API opslaan, en waarom.
Verwerkingsverantwoordelijke
De app en de API op api.wwwveilig.nl worden beheerd door WWWveilig. Vragen over
deze verklaring of over uw gegevens: privacy@wwwveilig.nl.
Wat alleen op uw telefoon blijft
- De geheime sleutels waarmee uw codes van zes cijfers worden berekend. Deze staan in de beveiligde opslag van het besturingssysteem (iOS Keychain, Android Keystore) en worden uitsluitend op het toestel gebruikt. Het genereren van een code gebeurt offline en verstuurt niets.
- Het adres van de API waar uw accounts bij horen.
De app heeft zelf geen account. Er is geen gebruikersnaam, geen wachtwoord en geen registratie.
Wat de API opslaat
Zodra een applicatie uw telefoon koppelt als tweede factor, slaat de dienst op:
| Gegeven | Waarom |
|---|---|
| Een gebruikersverwijzing van die applicatie | Om te weten bij welke gebruiker deze telefoon hoort. Dit is het eigen kenmerk van die applicatie, niet uw naam. |
| Een optioneel label (vaak uw e-mailadres) | Zodat u uw accounts in de app uit elkaar houdt. Aangeleverd door de applicatie, niet door ons. |
| Een versleutelde kopie van de geheime sleutel | Om de codes die u invoert te controleren. Versleuteld opgeslagen. |
| Naam, platform en appversie van uw toestel | Zodat u uw telefoon herkent en wij ondersteuning kunnen bieden. |
| Een pushnotificatietoken | Om goedkeuringsverzoeken bij u af te leveren. |
| Per inlogverzoek: tijdstip, status, IP-adres en eventuele locatietekst van de applicatie | Om u te tonen waar een verzoek vandaan kwam, en als beveiligingsregistratie. |
Wij houden een beveiligingslogboek bij van gebeurtenissen zoals "code geverifieerd", "verzoek goedgekeurd" en "koppeling ingetrokken", inclusief het betrokken IP-adres. Regels in het beveiligingslogboek worden na 180 dagen automatisch verwijderd.
Verzoeken om adressen die niet bestaan
Vraagt iets deze dienst om een adres dat zij niet heeft, dan antwoorden wij met een korte pagina "niet toegestaan" en leggen wij het verzoek vast: het IP-adres waar het werkelijk vandaan kwam, de identificatie van de browser of het programma, het opgevraagde adres en het tijdstip. Wij doen dit om scans en herhaald aftasten van de dienst op te merken; dat is een gerechtvaardigd belang bij de beveiliging ervan (artikel 6, lid 1, onder f, AVG). Deze registraties gaan over het verzoek en niet over een account -- wij proberen niet vast te stellen wie het heeft verstuurd en combineren ze niet met andere gegevens. Zij worden na 90 dagen automatisch verwijderd.
Wat wij niet doen
- Wij verkopen of verhuren uw gegevens niet.
- Wij gebruiken geen advertenties, tracking of analytics.
- Wij stellen geen profielen op en nemen geen geautomatiseerde besluiten over u.
- Wij vragen niet om uw naam, adres, telefoonnummer of geboortedatum.
- Wij hebben geen toegang tot de accounts die u beveiligt — alleen de applicatie waar u inlogt weet wie u bent.
Wie er verder bij betrokken is
Pushnotificaties worden afgeleverd via de dienst van de leverancier van het besturingssysteem — Apple Push Notification service op iOS, Firebase Cloud Messaging op Android — en waar ingesteld via de pushrelay van Expo. Die diensten ontvangen het notificatietoken en de tekst van de melding om deze te kunnen bezorgen. Verder wordt niets met derden gedeeld.
De dienst draait op servers binnen de Europese Unie.
Bewaartermijnen
- Koppelingsgegevens: totdat het account uit de app wordt verwijderd of de beheerder van de applicatie uw tweestapsverificatie uitzet.
- Inlogverzoeken: deze verlopen binnen enkele minuten; de registratie blijft onderdeel van het beveiligingslogboek.
- Beveiligingslogboek: 180 dagen, daarna automatisch verwijderd.
- Verzoeken om niet-bestaande adressen: 90 dagen, daarna automatisch verwijderd.
Uw rechten
Op grond van de AVG kunt u inzage, correctie of verwijdering van uw gegevens vragen, en bezwaar maken tegen de verwerking. Omdat de dienst u uitsluitend kent via een kenmerk dat is aangeleverd door de applicatie waar u inlogt, verloopt dit meestal het snelst via de accountinstellingen van die applicatie.
U kunt zelf altijd gegevens verwijderen:
- Eén account verwijderen: in de app, Instellingen → het account → Verwijderen. Dit wist de geheime sleutel en ontkoppelt de telefoon.
- Alles verwijderen: Instellingen → Reset dit toestel.
- Volledig verwijderverzoek: zie Gegevens verwijderen of mail privacy@wwwveilig.nl.
U heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.
Beveiliging
Geheime sleutels worden versleuteld opgeslagen. Elke code van zes cijfers kan maar één keer worden gebruikt. Goedkeuringsverzoeken verlopen binnen enkele minuten en zijn aan één toestel gebonden. Al het verkeer verloopt via TLS.
Wijzigingen
Bij een wezenlijke wijziging passen wij de datum bovenaan aan en melden wij dit waar relevant in de app.