Privacy

Bijgewerkt op 3 november 2026

Deze app draait op gesproken tekst. Dat is persoonlijker dan de meeste software: je zegt hardop wat je bezighoudt. Hieronder staat precies wat daarmee gebeurt — niet in juristentaal, maar in gewone zinnen.

De korte versie

Je geluidsopname wordt gewist zodra er tekst van gemaakt is.
Onze server staat in Amsterdam.
Voor spraakherkenning en het sorteren gaan je woorden naar twee AI-diensten. Verder gaan ze versleuteld mee in een dagelijkse back-up en in meldingen als je die aanzet. Maak je een abonnement, dan haalt de app die jij kiest (je agenda, Notion, Google Sheets of Slack) je acties op en bewaart die ze zelf — zie Wat naar buiten gaat.
We verkopen niets, we adverteren niet, en we trainen geen modellen op jouw gegevens.
We tellen wélke knoppen worden gebruikt, om te weten wat we moeten bouwen. Aantallen, nooit inhoud — geen tekst, geen titels, geen zoektermen.
Je kunt alles downloaden, en je kunt je account met één knop volledig wissen. Wat je wist, staat daarna nog een tijd in de back-ups: op de server zelf meestal 30 dagen, en versleuteld buiten de server tot ongeveer acht weken — zie hieronder.

Wat we bewaren

Wat	Waarom	Hoe lang
E-mailadres en naam	Om je account te herkennen	Tot je je account verwijdert
Je wachtwoord	Om je te kunnen aanmelden	Niet leesbaar opgeslagen — alleen een versleutelde afdruk met een eigen willekeurige toevoeging per account
Je acties, notities, verbanden en categorieën	Dat is de app	Tot je ze weggooit
Je wensen voor de app (Instellingen › Een wens doorgeven), met de status en het antwoord dat de beheerder erbij zette	Zodat we ze kunnen lezen en jij ziet wat ermee gebeurde. Anders dan je acties en notities zijn ze bedoeld om gelezen te worden: de beheerder van de app ziet ze, met je e-mailadres en naam erbij. Ze gaan niet naar een AI	Tot je je account verwijdert
De letterlijke tekst van wat je insprak	Zodat je altijd terug kunt zien wat je écht zei, los van wat de AI ervan maakte	Tot je het láátste item weggooit dat eruit voortkwam. Eén opname wordt vaak meerdere acties en notities; zolang er nog één van over is, blijft de tekst staan als bewijs daarbij. Gooi je iets weg, dan gaat de tekst mee zodra het item definitief verdwijnt — meteen bij "definitief verwijderen", en anders na de 30 dagen van de prullenbak. Maakte de AI van een opname helemaal niets, dan hoort de tekst bij niets en blijft hij bewaard tot je je account verwijdert
Bij die tekst: wanneer je hem insprak, in welke tijdzone je stond, welke dag dat voor jou was, en of hij uit de app kwam, uit de offline-wachtrij, van de snelkoppeling op je telefoon of uit een herkansing	Een opname die offline mislukt, komt uren of dagen later bij ons binnen. Zonder deze vier zou hij op de verkeerde dag geboekt worden, en zou werk dat later op de achtergrond draait niet weten wat "morgen" voor jou betekent. De tijdzone is de naam van je zone (bijvoorbeeld `Europe/Amsterdam`) en niet je locatie — hij gaat nergens naartoe en wordt niet fijner opgeslagen dan dat. Stuurt je telefoon deze gegevens niet mee, dan blijven ze leeg; we vullen ze nooit in met onze eigen klok	Precies zolang als de tekst hierboven. Het moment van inspreken staat ook 30 dagen bij het briefje dat een opname binnenkwam (een briefje zonder iets van wat je zei, dat ervoor zorgt dat dezelfde opname nooit twee keer verwerkt wordt): blijft een opname halverwege steken, dan komt hij zo alsnog op de goede dag. Mislukte de opname, dan staat het ook bij het bewaarde geluid, tot dat weg is (hoogstens 90 dagen)
Geluidsopnames	Alleen om er tekst van te maken	Weg zodra de tekst er is. Lukt het omzetten niet, dan blijft het geluid staan zodat het niet verloren gaat — je ziet dat dan in de app en kunt het opnieuw proberen of weggooien. Doe je geen van beide, dan gaat het na 90 dagen alsnog weg
Aanmeldsessie, met de soort toestel en browser (bijvoorbeeld „iPhone · Safari”, niet je volledige browsergegevens) en wanneer hij het laatst gebruikt werd	Zodat je niet elke keer opnieuw hoeft in te loggen, en zodat je je toestellen herkent in Instellingen › Account › Waar je bent ingelogd	30 dagen
Wat de AI-aanroepen kostten (aantallen, geen inhoud)	Om te weten wat de app kost, en om één grens voor AI over alle gebruikers samen te bewaken	Tot je je account verwijdert. Alleen wat je verbruikte sinds de laatste middernacht in UTC (in Nederland 1 uur 's nachts, in de zomer 2 uur), blijft tot de volgende middernacht in UTC staan, en dan niet meer als van jou: wat voor aanroep het was, de aantallen en het tijdstip — geen tekst, geen account. Zo telt het die dag nog mee voor de grens van iedereen samen; anders zou verwijderen die grens weer openzetten. Binnen een dag daarna ruimt de app het op. Ouder verbruik gaat meteen mee
Welke handelingen je deed (aantallen, geen inhoud)	Om te weten wat er gebruikt wordt en wat niet — anders is elke nieuwe functie een gok. We tellen bijvoorbeeld dat je de Canvas opende of een actie insprak, nooit wát erin stond. De volledige lijst met namen staat in de broncode (`GEBEURTENISSEN` in `db/usage.js`); wat daar niet in staat, wordt door de server weggegooid.	Tot je je account verwijdert
Openstaande vragen van de AI ("is deze actie af?"), met het zinnetje waar de vraag uit volgde	Zodat de AI je nooit ongevraagd iets afvinkt: hoort hij dat iets klaar is, dan wordt dat een vraag aan jou in plaats van een wijziging. Het zinnetje staat erbij zodat je kunt zien waaróm hij het vroeg.	Het zinnetje en de titel gaan weg zodra je de vraag met ja of nee beantwoordt, of hem uit de lijst van de bel haalt (dat telt als nee). Dat er iets gevraagd is, blijft staan tot je je account verwijdert
Wat de AI voor je deed: dat hij iets plaatste, een categorie koos, iets afvinkte, iets aan een notitie toevoegde of een notitie op jouw verzoek herschreef — met de titel van dat item, bij een toevoeging het toegevoegde stuk zelf (en, was de notitie nog platte tekst, die tekst zoals hij was), en bij een herschreven notitie de hele notitie zoals hij was en zoals hij werd (zodat Undo hem terug kan zetten)	Zodat je kunt zien wat de AI zelfstandig deed, en het met één tik ongedaan kunt maken	90 dagen. Blijft ook staan als het item zelf al weg is, zodat je ziet wat er gebeurde
Wat de AI leerde van je verplaatsingen: zet je een actie die de AI plaatste op een ander bord of in een andere categorie, dan onthoudt de app de titel van die actie en waar je hem neerzette (en waar de AI hem had gezet)	Zodat de AI het de volgende keer zelf goed doet. De twintig nieuwste regels gaan daarom mee naar de AI, elke keer dat hij acties voor je sorteert — ingesproken of getypt. Zet je in Instellingen › AI en tekst › Geleerd van je verplaatsingen de schakelaar Leren als ik een actie verplaats uit, dan leert hij niets meer en gaan er geen regels mee; de regels die er al zijn, blijven staan tot je ze vergeet	Tot je de regel daar vergeet, of de actie terugzet. Gooi je de actie zelf weg, dan blijft de regel — met de titel — staan tot je hem daar vergeet. Er staan er hoogstens 50; komt er een bij, dan wordt de oudste vergeten. Een vergeten regel is na 30 dagen helemaal weg
Wat je met een melding in de bel deed: tot morgen uitgesteld, of uit de lijst gehaald (alleen welke melding, geen inhoud)	Zodat een melding die je op je telefoon wegklikt ook op je computer weg is	Uitgesteld: 90 dagen na de dag waarop hij terugkwam. Uit de lijst gehaald: zolang het item bestaat — anders zou een weggeklikte herinnering na een tijd vanzelf terugkomen
Foto's die je in een notitie zet	Om ze in je notitie te laten zien. Je browser verkleint een foto (hooguit 1600 pixels) en tekent hem opnieuw, waardoor de locatie en de andere gegevens van je camera eraf zijn. De server weigert een foto waar zulke gegevens nog in staan, ook bij het terugzetten van een back-up — dus geen locatie, hoe een foto ook binnenkomt. Andere gebruikers kunnen ze niet zien. Foto's gaan nooit naar de AI-diensten.	Zolang ze in een notitie staan — ook in het archief of de prullenbak. Staat een foto in geen enkele notitie meer, dan is hij 30 dagen later weg; een foto in een notitie die je weggooit, is dus na ongeveer 60 dagen weg — en daarna nog een tijd in de back-ups, zie hieronder. Een foto die je toevoegde maar nooit bewaarde: na een tot twee dagen
Als je meldingen aanzet: per toestel het adres dat je browser ons gaf om meldingen naartoe te sturen, de sleutels om ze voor dat toestel te versleutelen, en je tijdzone	Om je herinneringen en je dagoverzicht op het juiste moment op dat toestel te laten verschijnen	Tot je meldingen uitzet, uitlogt of je aanmelding verloopt. Welke melding al verstuurd is (zonder de tekst): 30 dagen
Sleutels voor je snelkoppeling en voor Claude: de naam die je ze gaf, wat de sleutel mag (alleen de snelkoppeling, alleen lezen, of lezen en toevoegen), en wanneer hij laatst gebruikt of geweigerd werd	Zodat je in Instellingen ziet welke sleutels er zijn en er een kunt intrekken	Tot je de sleutel intrekt of je account verwijdert. De sleutel zelf bewaren we niet leesbaar — alleen een afdruk
Een voorstel van Claude: de tekst die Claude liet sorteren en wat eruit kwam	Zodat Claude, als jij het goedkeurt, precies dat voorstel plaatst	Een uur; daarna kan het niet meer geplaatst worden, en na een dag is het in elk geval weg
Als je in Instellingen › Gegevens Mijn agenda tonen gebruikt: de link naar je agenda, versleuteld; de naam die je hem gaf; en van elke afspraak tussen een week terug en twee maanden vooruit alleen de titel, het begin, het eind en of het de hele dag is. Nooit de beschrijving, de plaats, de deelnemers, de organisator of links in de afspraak — die worden al bij het lezen weggegooid. Van een privé-afspraak ook de titel niet: die heet dan Bezet	Om je afspraken naast je acties te laten zien: boven je acties in Jouw dag, en in de kalender. Ze gaan niet naar de AI-diensten, staan niet in Zoeken of Vragen, en gaan niet mee in de export. De sleutel van de versleuteling staat los van de database, op de server; de back-up buiten de server bevat de link dus alleen versleuteld	Zolang de link er staat. Oudere afspraken vallen er bij elke verversing af. Weghalen wist de link en al zijn afspraken meteen
Als je Mail doorsturen aanzet: je eigen adres om naartoe door te sturen, de afzenders die je toestaat, en van elke doorgestuurde mail de afzender, het onderwerp, de tekst (zonder bijlagen) en wanneer hij binnenkwam. Van een mail die niet werd binnengelaten alleen de afzender en de reden	Zodat de mail onder de bel wacht tot je hem bekijkt, en om dezelfde mail niet twee keer binnen te laten en een stortvloed af te remmen. Resend, dat de mail voor de app ontvangt, bewaart zelf een kopie volgens zijn eigen termijn; die is niet gepubliceerd	De tekst: weg zodra je de mail plaatst of wegklikt, en anders na 30 dagen. Zolang hij wacht, staat hij ook in de back-ups (zie De prullenbak en de back-ups). Afzender, onderwerp en datum zonder de tekst: 90 dagen. Uitzetten stopt je adres meteen
Storingen: foutmelding, welke pagina, welke browser	Om te merken wanneer er iets stuk is voordat jij het meldt	30 dagen

De prullenbak en de back-ups

Wat je weggooit gaat naar de prullenbak en blijft daar 30 dagen staan; daarna is het echt weg. Het opruimen draait elke dag, en ook telkens als de server opnieuw start.

Van de hele database — ook je foto's — worden kopieën gemaakt, op twee plekken. Dat is de prijs van beschermd zijn tegen een fout die níét van jou is: zolang iets in de database staat — ook de 30 dagen in de prullenbak — komt het in elke kopie mee, en het blijft in die kopieën staan tot ze zijn opgeruimd. De termijnen hieronder tellen dus vanaf het moment dat iets echt weg is.

Op de server zelf, bij elke start, daarna elke dag, en vlak voordat een account wordt verwijderd. Deze kopieën staan naast de database en zijn niet apart versleuteld. Een kopie wordt na 30 dagen opgeruimd, maar de tien nieuwste mogen ouder zijn — dat gebeurt als er een tijd weinig verandert.
Buiten de server, bij Koofr, een Sloveense opslagdienst met datacenters in Duitsland, zodat je gegevens een kapotte server overleven. Bij elke start en daarna elke dag een kopie, versleuteld voordat hij vertrekt (AES-256); de sleutel staat niet bij Koofr, dus daar kan niemand de kopie lezen. Er blijven de veertien nieuwste kopieën staan en, van de laatste acht weken, één per week. Iets wat echt weg is, staat dus nog tot ongeveer acht weken in een versleutelde kopie — en mogelijk nog even langer in de prullenbak van Koofr zelf, tot die geleegd wordt. Lukt het een tijd niet om een nieuwe kopie te versturen, dan blijven de kopieën die er staan in die tijd langer bewaard, tot de laatste die aankwam acht weken oud is; daarna blijft alleen die nog staan, ook als hij ouder wordt. Is Koofr in die tijd helemaal onbereikbaar, of staat de back-up uit, dan wordt er pas weer opgeruimd als dat weer kan.

Daarnaast kan wie de app beheert een kopie van de server downloaden, om hem zelf veilig te stellen. Zo'n gedownloade kopie is niet versleuteld, en de app ruimt hem niet op: de termijnen hierboven gelden alleen voor de kopieën die de app zelf bewaart. En zet wie de app beheert na een fout een oudere kopie terug, dan komt terug wat in die kopie stond — ook wat je sindsdien wiste. Behalve een account dat sindsdien verwijderd is: dat blijft weg. De app onthoudt daarvoor alleen het nummer van het account en wanneer het verwijderd is, geen naam, e-mailadres of inhoud. Eén uitzondering: gaat de server zelf verloren, dan gaat die lijst mee verloren. Een account dat verwijderd werd ná de kopie die dan teruggezet wordt, komt terug. Bij de nieuwste kopie bij Koofr gaat het meestal om hooguit een dag; bij een oudere of een gedownloade kopie om langer.

Waar het staat

Op een server in Amsterdam, bij Railway. Tot 29 juli 2026 stond die in de Verenigde Staten; dat is verhuisd omdat gegevens van Europese gebruikers in Europa horen. De versleutelde kopie buiten de server staat bij Koofr, in een datacenter in Duitsland.

Wat naar buiten gaat

Vier diensten doen werk dat wij niet zelf doen:

Dienst	Krijgt	Waarvoor
Groq	Je geluidsopname, plus je eigen woordenlijst als die is ingevuld	Spraak omzetten in tekst
Anthropic	De tekst van wat je zei of typte, je categorieën, je eigen instructies aan de AI en de twintig nieuwste regels die hij leerde van je verplaatsingen. Stel je een vraag aan je assistent, dan gaat er meer mee: de acties en notities die bij die vraag lijken te horen — met hun bord, categorie, status, deadline en aanmaakdatum — en de tekst van je 30 tot 100 recentste opnames. Zonder die context is een vraag over je eigen werk niet te beantwoorden. Een doorgestuurde mail gaat er pas heen als je hem onder de bel bekijkt. Druk je in een notitie op Doe wat deze notitie vraagt, dan gaan die notitie en de tekst van de pagina's waar ze naar linkt mee.	Er acties en notities van maken, vragen beantwoorden, notities opmaken
Resend	Je e-mailadres als je op “wachtwoord vergeten” drukt; en de mails die je zelf naar je app-adres doorstuurt	De herstel-link versturen; doorgestuurde mail ontvangen en aan de app geven
Koofr	Elke dag een kopie van de hele database, versleuteld voordat hij vertrekt. Koofr heeft de sleutel niet en kan hem dus niet lezen	Een kopie die een kapotte server overleeft (zie De prullenbak en de back-ups)

Meldingen op je telefoon. Zet je in Instellingen meldingen aan, dan gaat elke melding via een pushdienst: op een iPhone of iPad altijd die van Apple, elders die van je browser — Google bij Chrome, Mozilla bij Firefox. Op je toestel zie je de titel van een herinnering (bij een notitie zonder titel: de eerste woorden), of in het dagoverzicht de titels van de eerste drie dingen van vandaag. De pushdienst bezorgt de melding maar kan hem niet lezen: hij is versleuteld volgens de webstandaard voor pushmeldingen, met een sleutel die alleen jouw toestel heeft. Wel ziet de dienst dát er een melding naar je toestel gaat, en wanneer. Meldingen staan uit tot je ze zelf aanzet; zet je ze uit of log je uit, dan krijgt dat toestel niets meer.

Abonnementen. Maak je in Instellingen › Gegevens een abonnement, dan haalt de app die jij kiest je open acties op via een geheim adres — standaard alleen de titels, van de borden die je koos. Een agenda-app (bijvoorbeeld Outlook, Google Agenda of de Agenda van Apple) krijgt de acties met een datum; Notion, Google Sheets, Slack en Zapier krijgen ze allemaal. Die dienst bewaart ze volgens zijn eigen voorwaarden. De app geeft ze alleen aan wie het geheime adres ophaalt; deel het met niemand. Elke app krijgt een eigen adres (een abonnement van vóór 11 oktober 2026 pas na Nieuw adres; tot dan opent zijn ene adres alles). Wie de Notion-pagina, het Sheet of het Slack-kanaal ziet waar je het adres plakte, ziet ook die acties en kan dat adres overnemen — maar niet de andere; stop het abonnement als dat niet meer de bedoeling is. Per dag telt de app hoe vaak elke soort app een abonnement ophaalt (bijvoorbeeld Google Agenda, 40 keer), zonder IP-adres of browsergegevens, zodat je ziet wie het gebruikt; die tellingen verdwijnen na acht dagen. Stop je het abonnement, dan worden je agenda, het Sheet en de Notion-pagina leeg zodra de dienst weer kijkt; wat Slack of Zapier al geplaatst heeft, blijft daar staan — haal het daar zelf weg. Wis je je account, haal het abonnement dan ook in die app weg.

Claude. Maak je in Instellingen › Koppelingen een sleutel voor Claude en zet je die in Claude Code of Claude Desktop, dan kan Claude je borden, acties en notities opvragen en erin zoeken — en, als de sleutel dat mag, acties toevoegen. Wat Claude opvraagt gaat naar Anthropic, onder jouw afspraken met Anthropic over Claude; de app stuurt zelf niets. Laat Claude een stuk tekst sorteren, dan gaat die tekst door dezelfde AI-stap als alles wat je typt. Trek je de sleutel in, dan stopt het meteen.

Je eigen agenda. Gebruik je Mijn agenda tonen, dan haalt onze server je agenda op bij de dienst van de link die je plakte (bijvoorbeeld Microsoft, Google of Apple) — als je de app opent, hooguit eens per kwartier. Er gaat niets van jou mee: geen cookie, geen naam. Die dienst ziet alleen dat je link wordt opgehaald, en wanneer.

Pagina's uit een notitie. Druk je in een notitie op Doe wat deze notitie vraagt, dan haalt onze server de adressen op die in die notitie staan — hooguit drie, alleen op dat moment. Er gaat niets van jou mee: geen cookie, geen inlog. De site ziet onze server, niet jou. Wat de server ophaalt, gaat met je notitie naar Anthropic (zie hierboven) en wordt niet bewaard; in je notitie komt alleen wat je zelf toepast.

Verder gaat er niets naar buiten: geen advertentienetwerken, geen bezoekersstatistieken, geen meetpixels. De app laadt niets van externe servers.

Wil je dit niet? Dan is deze app niets voor je — zonder die twee AI-stappen is er geen app. Dat is eerlijker dan doen alsof het optioneel is.

Wat er op je eigen apparaat staat

Twee cookies: sessie om je aangemeld te houden, en shell-switch met alleen het moment waarop de app voor het laatst naar een nieuwe versie overstapte — zodat je telefoon daarna geen oude stukken van de app meer gebruikt. De server leest die tweede niet. Geen volgcookies, geen cookies van anderen — dus ook geen cookiebanner.
Je voorkeuren: taal, thema, gekozen microfoon, zoomniveau, weergaven en sortering — en daarbij de namen van je borden, omdat sommige voorkeuren per bord gelden.
Uit het zoekvenster: de titels van de vijf items die je daar het laatst opende, en het laatste antwoord van de AI zolang het tabblad openstaat. Uitloggen of je account verwijderen haalt ze van het apparaat.
Opnames die nog niet verstuurd konden worden omdat je geen verbinding had. Die verdwijnen zodra ze aankomen.
Tekst die je typte maar nog niet bewaard is, zodat hij een herstart van de app overleeft. Uitloggen of je account verwijderen wist hem.
Een kopie van wat je het laatst zag — je acties (ook de afgevinkte), borden, herinneringen, notities, mappen en meldingen, en bij die meldingen wat de AI voor je deed en het begin van een opname die mislukte — zodat de app ook zonder verbinding opent. Uitloggen, je account verwijderen of een verlopen aanmelding wist hem.
Foto's die je in een notitie bekeek. Die bewaart je browser in zijn eigen geheugen om ze sneller te laten zien. Uitloggen of je account verwijderen vraagt de browser dat geheugen te legen, maar niet elke browser doet dat helemaal. Log je een toestel uit vanaf een ander toestel (in Waar je bent ingelogd), dan blijven ze op dat toestel staan. Deel je een toestel, wis dan ook de websitegegevens in je browser.

Wat je kunt doen

Alles inzien en meenemen. In de instellingen download je je acties en notities als Markdown of Excel om te lezen, of je haalt met Volledige back-up één bestand op met werkelijk alles erin: acties, notities met hun foto's, archief, prullenbak, de letterlijke tekst van wat je insprak, de verbanden, de regels die de AI van je leerde, je instellingen en je wensen voor de app. Dat bestand kun je daar ook weer terugzetten (je wensen niet: die staan al bij de beheerder). Je inloggegevens zitten er bewust niet in — een bestand dat je inlogt hoort niet rond te gaan.
Alles wissen. In de instellingen, onderaan: Account verwijderen. Daarmee gaan je account, acties, notities, foto's, transcripten, geleerde regels, instellingen en eventuele geluidsbestanden er in één keer uit. We vragen je wachtwoord ter bevestiging. Er is geen weg terug — behalve dat het nog een tijd in de back-ups van de database voorkomt: op de server zelf meestal 30 dagen, versleuteld bij Koofr tot ongeveer acht weken, zoals hierboven beschreven. Wordt zo'n kopie teruggezet, dan blijft je account toch weg — behalve als de server zelf verloren gaat en alles terugkomt uit een kopie van vóór je verwijdering; zie hierboven.
Iets laten corrigeren of vragen stellen. Neem contact op met degene die je toegang tot de app gaf.

Waar we nog niet zijn

Dit is een vroege versie. We gebruiken de vier diensten hierboven met een gewoon account, en er is geen verwerkersovereenkomst voor zakelijk gebruik — en ook geen formeel vastgelegde contactpersoon voor privacyvragen. Zolang dat zo is: gebruik de app niet voor gegevens van klanten of patiënten waarvoor je zelf verwerkingsverantwoordelijke bent. Voor je eigen werk en gedachten is er geen bezwaar.