Privacy verificatie

1. Netwerkverkeerstest

Installeer een netwerkmonitor zoals mitmproxy (gratis, open source), Wireshark (gratis, open source) of Charles Proxy. Open Travel Document Vault, scan een document, blader door je kluis en stel een herinnering in. Je zou niet moeten zien dat je documenten, scans, vervaldata of kluisinhoud naar Travel Document Vault worden gestuurd. Het netwerkverkeer zou beperkt moeten blijven tot specifieke functies: optionele Sentry-crashrapportage, aankoopcontroles via App Store of Google Play, optionele cloudback-up naar je eigen iCloud of Google Drive-account, en een handmatige bugfixcontrole die hieronder wordt uitgelegd.

Instellingen heeft een knop Check for Updates. Dit is een handmatige controle, nooit automatisch - deze wordt alleen uitgevoerd wanneer je er zelf op tikt, nooit op de achtergrond en nooit uit zichzelf. De controle neemt contact op met updates.traveldocumentvault.com - onze eigen updateserver, beheerd door ons op Google Cloud, die cryptografisch ondertekende updatebestanden van een opslagbucket levert. Wij registreren de controle niet: aanvraaglogboeken zijn aan onze kant uitgeschakeld, dus geen IP-adressen worden bewaard. Elke update is ondertekend met een sleutel die alleen wij hebben, en de app weigert alles waarvan de handtekening niet overeenkomt met het certificaat dat erin is ingebouwd. Dezelfde tik controleert ook of er een nieuwere versie van de app beschikbaar is in de App Store of op Google Play. Deze functie bestaat zodat bepaalde bugfixes je sneller kunnen bereiken dan wanneer je moet wachten op een volledig nieuwe release in de App Store of Google Play, handig bij dringende fixes, afhankelijk van de aard van de fix. Dezelfde regel als voor de rest van deze pagina: geen netwerkverzoek zonder dat jij erom vraagt.

2. iOS App Privacy Report

Ga op iPhone naar Instellingen > Privacy en beveiliging > App Privacy Report. Deze ingebouwde Apple-functie laat zien welke apps netwerkdomeinen hebben benaderd. Travel Document Vault stuurt je documenten, scans, vervaldata of kluisinhoud niet naar ons. Als je Pro cloud backup hebt ingeschakeld, zie je verbindingen met Apple's iCloud-domeinen - dat is je eigen backup die synchroniseert naar je eigen iCloud-account.

3. Android - je privacy controleren

Android heeft geen enkel ingebouwd privacyrapport zoals de iPhone. Twee simpele manieren om het zelf te controleren: bekijk de eigen Data Safety-sectie van deze app op de Google Play-pagina (deze geeft duidelijk aan wat er wordt verzameld, wat er wordt gedeeld, dat je gegevens versleuteld worden verzonden en dat ze niet kunnen worden verwijderd) - of gebruik een netwerkmonitor zoals beschreven bij stap 1 hierboven.

Als je cloud backup hebt ingeschakeld, merk je mogelijk wat activiteit richting de servers van Google (webadressen die eindigen op googleapis.com). Dat is normaal en veilig: het gaat alleen om je vergrendelde, versleutelde back-upbestand en een inlogcontrole die rechtstreeks naar je eigen Google Drive-account wordt gestuurd - hetzelfde account dat je al gebruikt voor foto's of Gmail. Wij zien het nooit, ontvangen het nooit en bewaren er nergens een kopie van. Alleen jij hebt de herstelsleutel die het kan ontgrendelen.

4. App Store en Play Store privacylabels

Apple en Google vereisen dat ontwikkelaars aangeven welke gegevens hun app verzamelt. Controleer de Travel Document Vault-listing op de App Store of Google Play. Onze verklaring: geen gegevens verzameld.

We toetsen de app aan een publieke standaard

We beoordelen Travel Document Vault aan de hand van de OWASP Mobile Application Security Verification Standard (MASVS), de checklist die de branche hanteert voor hoe een mobiele app gegevens moet opslaan, versleuteling moet gebruiken, vergrendeld moet zijn achter Face ID of een pincode, en hoe deze moet omgaan met links vanuit andere apps. Iedereen kan de standaard lezen en vergelijken met het daadwerkelijke gedrag van de app.

We scannen onze eigen code

Voordat een build wordt uitgebracht, voeren we statische analyse uit op onze code met Semgrep, een opensourcetool die onveilige patronen signaleert, zoals zwakke versleuteling of onveilige gegevensverwerking, zodat we ze vroegtijdig kunnen opsporen.

We scannen de gebouwde app

We beoordelen ook onze uitgebrachte builds met beveiligingsscantools voor mobiele apps, waarbij we controleren hoe de build gegevens opslaat, waar deze toegang toe heeft en hoe deze is ondertekend.

Een probleem gevonden? Laat het ons weten

Als u een beveiligingsprobleem ontdekt, mail dan naar support@traveldocumentvault.com. De details van onze procedure voor het melden van kwetsbaarheden zijn gepubliceerd op /.well-known/security.txt.