Privacy

Locatie

Aankomstdetectie staat standaard uit. Aan geeft de app de geofencing van Google Play Services de coördinaten van de dichtstbijzijnde winkels waar plaats voor is, plus één cirkel om de plek waar je op dat moment bent. Die cirkel wordt om die winkels heen getrokken: hij reikt tot de verste ervan, en een stukje verder, zodat de eigen cirkel van die winkel er nog binnen valt. Hoe groot dat uitpakt hangt af van hoeveel kaarten je hebt en hoe dicht de winkels op elkaar staan. Gemeten aan de winkels die de app meelevert: met een handvol kaarten is het ongeveer een kilometer in de drukste stadscentra en enkele kilometers in de rest van het land. Kleiner dan 500 meter wordt hij nooit, en was er geen winkel om door te geven, dan is het drie kilometer. Allebei worden ze tot anderhalve kilometer ruimer zodra de plek waar de cirkel omheen getrokken is niet vers meer is, goed voor de afstand die je sindsdien gelopen kunt hebben. De app zoekt in een vak van twaalf kilometer naar elke kant, dus een winkel bij een hoek daarvan zet de cirkel ruim achttien en een halve kilometer verderop, die marge inbegrepen. Verlaat je die cirkel, dan zoekt de app opnieuw de dichtstbijzijnde winkels op. Play Services tikt de app aan als je een cirkel binnenloopt. Geen locatiegeschiedenis, geen spoor, en Stapel stuurt zelf geen coördinaat weg. De enige uitzondering is de knop uit paragraaf 2.

De eerlijke grens: die geofencing is Google-code die op je toestel draait en je positie te zien krijgt. Wat Google Play Services daar zelf mee doet, regel je in de locatie-instellingen van Android en niet in Stapel. Voor je positie zelf vraagt de app Android nog steeds rechtstreeks, niet fused location. Laat je aankomstdetectie uit, dan legt de app geen enkele geofence aan.

Bij die melding hoort een tweede schakelaar, standaard uit: de kaart op je vergrendelscherm. Aan staat bij aankomst de streepjescode in de melding zelf, en opent een tik de kaart met code en kaartnummer zonder dat de telefoon ontgrendeld wordt. Dat is handig aan de kassa en het betekent ook dat iedereen die je telefoon oppakt die ene kaart kan zien. Uit gaat de kaart pas open nadat je ontgrendelt, en vraagt Stapel Android om de melding op het vergrendelscherm in te korten, zodat er niet op staat in welke winkel je binnenliep. Android houdt een meldingskanaal op de instelling waarmee het is aangemaakt, dus op een installatie van voor deze versie blijft staan wat daar al stond. Een test in de broncode faalt zodra de standaard omslaat.

In de winkellijst staat bij elke winkel een knop Toon op kaart. Die geeft twee dingen door aan de kaart-app die je zelf als standaard hebt ingesteld, via het geo:-adres dat elke Android-kaart-app begrijpt: de coördinaat van die winkel, en de naam waaronder die winkel in de lijst staat. Bij een winkel uit de catalogus komt die naam uit OpenStreetMap en is hij al openbaar. Bij een winkel die je zelf hebt vastgezet is het de tekst die je daarbij hebt getypt, en die tekst krijgt de kaart-app dus ook. Jouw eigen positie zit daar niet in, en Stapel kiest de kaart-app niet voor je. Wat die app er vervolgens mee doet, valt onder het privacybeleid van die app. Heb je geen enkele kaart-app, dan staat de knop er niet.

Een kaart overzetten naar een andere telefoon

Twee routes, allebei door jou gestart, allebei zonder server van wie dan ook.

Als QR-code

De app tekent de kaart als QR-code op je scherm, en de andere telefoon leest hem met zijn camera. Erin staat wat er van die kaart in de database staat: de naam, de keten, het nummer zelf, het streepjescodeformaat, en een notitie, saldotekst of vervaldatum als je die invulde. Het gaat van scherm naar camera; er komt geen netwerkverzoek aan te pas en ik zie er niets van. Past het niet in 800 bytes, dan wordt de code te dicht om over tafel nog te lezen en zegt de app dat, waarna alleen de bestandsroute overblijft.

Als bestand

Dezelfde gegevens als een gewoon leesbaar JSON-bestand. De app zet het in zijn eigen map en geeft het aan het deelmenu van Android; welke app het daarna krijgt, kies jij. Kies je iets dat het naar een server stuurt, dan gaat het kaartnummer mee. Dat is dezelfde afweging als bij je eigen export, en het bestand is net zo leesbaar.

Wat er niet doorheen komt

Een voorbeeldkaart, want die is niet van jou om door te geven en het andere toestel krijgt er zelf een aangeboden in de winkel. En een kaart die dicht staat niet zonder dat je eerst ontgrendelt: overzetten is de code laten zien aan iemand die hem houdt, dus het kost dezelfde ontgrendeling als hem zelf lezen.

Een bon uit een pdf, of uit een foto

Een cadeaubon komt meestal als pdf in je mail. Je wijst dat bestand aan met de bestandskiezer van Android, dus de app krijgt dat ene bestand te zien en verder niets van je opslag. Voor een afbeelding gaat het net zo, via de fotokiezer.

De app tekent de pagina’s zelf met de pdf-lezer die in Android zit en zoekt op elke pagina naar een streepjescode, tot hij er een vindt. Dat gebeurt op het toestel. Het bestand wordt gelezen waar het staat en niet gekopieerd, en wat eruit komt is de code, niet het beeld: de app bewaart geen pagina en geen foto. Er gaat niets naartoe.

Een pdf met een wachtwoord kan de app niet openen, en dat zegt hij in plaats van er iets van te maken.

Een kaart die dicht staat

Je kunt een kaart dichtzetten. De code en het nummer komen er dan pas uit nadat Android je heeft laten ontgrendelen: een vingerafdruk of gezicht, of anders de pincode van de telefoon, zodat een toestel zonder biometrie niet buitengesloten raakt. Dezelfde ontgrendeling geldt voor hem overzetten, en voor hem weer openzetten.

Het herkennen doet Android. Stapel krijgt geen vingerafdruk en geen gezichtsscan te zien, alleen of het gelukt is, en bewaart daar niets van. Eén ontgrendeling geldt tot de app naar de achtergrond gaat; daarna staat elke dichte kaart weer dicht. Dit is wat de twee toestemmingen uit de biometriebibliotheek in de lijst hierboven toevoegt.

De eerlijke grens: kan de telefoon niemand herkennen, dan zou dichtzetten de kaart onbereikbaar maken. De app tekent de code dan gewoon en zegt er op het scherm bij dat hij niet beschermd is, in plaats van je buiten je eigen kaart te sluiten.

Back-up: hier moet je even opletten

Twee dingen kunnen een kopie van je kaarten maken, en ze zijn niet hetzelfde.

Jouw export

Een gewoon leesbaar JSON-bestand dat jij opslaat waar je wilt. Het is niet versleuteld: wie het bestand heeft, kan je codes lezen. Dat is de prijs van een export die over tien jaar nog te openen is. Ik zie het nooit.

Android Auto Backup

Een functie van het besturingssysteem. Staat die aan, dan zet Android zelf een kopie van de app-gegevens in jouw Google-account, versleuteld met je schermvergrendeling. Er gaat niets naar mij, maar je kaartnummers staan dan wel bij Google. Uitzetten kan bij Instellingen → Google → Back-up; de app zegt dit ook op het back-upscherm.

Google Play Services zit in de app

Google Play Services zit in het installatiebestand, voor twee dingen: streepjescodes scannen op het toestel zelf, en de geofencing achter aankomstdetectie.

• Scannen. Het model zit in het installatiebestand en draait lokaal. Er gaat geen foto en geen code naar een server. De scannerbibliotheek is niet van Play Services los te koppelen; dat is in elke versie geprobeerd.
• Geofencing. Alleen voor aankomstdetectie, en die staat standaard uit. Wat die code van je locatie te zien krijgt, staat bij Locatie.
• De app praat uit zichzelf met geen enkele Google-dienst.
• Verder niets: geen Wallet, geen analytics, geen advertentie-id, geen Firebase-dienst. De scanner sleept wel een paar Firebase-bibliotheken mee, maar dat is bouwmateriaal van de scanner zelf: er staat geen Firebase-project achter en er gaat niets naartoe.
• Een test faalt zodra er een bibliotheek bijkomt die niet op het licentiescherm in de app staat, zodat die lijst niet stilletjes kan verlopen.
• Daarom zeg ik “geen Google-netwerkverzoek, geen account, geen analytics” en niet “geen Google-code”. Het is ook de reden dat Stapel niet op F-Droid komt.

Gegevens verwijderen

De app verwijderen wist alles: geen kopie elders, geen account om te sluiten. Je eigen export gooi je zelf weg, en een Auto Backup-kopie via de back-upinstellingen van je Google-account.

Deze website

Geen cookies, geen lettertypen van Google, geen CDN, geen ingesloten video, geen deelknoppen, geen advertentienetwerk. Eén script: Cloudflare Web Analytics, dat paginaweergaven telt. Het zet geen cookies, leest er geen, en maakt geen browservingerafdruk. Het slaat niets op waarmee jij te herleiden bent, dus er is niets om toestemming voor te vragen en staat er geen cookiemelding.

Wat het oplevert is een telling: welke pagina's bekeken zijn, vanaf welke site bezoekers kwamen, en uit welk land. Nooit wie. Wie geen enkel verzoek naar Cloudflare wil, kan het script blokkeren; de site werkt dan precies hetzelfde, want er hangt geen functie aan.

De hostingpartij ziet, net als elke webserver, je IP-adres en je browsertekst in haar eigen logboeken. Ik heb daar geen toegang toe.

Je rechten onder de AVG

De AVG geeft je recht op inzage, correctie en verwijdering van persoonsgegevens die iemand over je verwerkt. Hier is niets in te zien: ik houd geen dataset bij waarin je zou kunnen voorkomen, want er is geen Stapel-server om er een op te zetten.

Eén ding vraagt om een eerlijker antwoord dan “niets”. Bij een land dat in stukken is uitgegeven laat de app aan de host zien bij welke delen van het land je in de buurt bent; dat is locatie bij benadering, en dus een persoonsgegeven. Ik ontvang het niet en bewaar het niet. Wil je ook dat niet, zet de synchronisatie dan uit of laat dat land uit staan; de meegeleverde lijst blijft werken.

Vind je een verzoek dat hier niet beschreven staat, dan hoor ik dat graag via Bijdragen. Een gat in deze pagina is een bug.

Als deze pagina verandert

Wijzigingen staan in de releasenotities. Wordt de belofte smaller, dan wordt hij hier smaller gemaakt in dezelfde wijziging die de app aanpast.