Privacybeleid

1. Wie zijn wij?

Overstappie is een dienst van:

Overstappie B.V. is de verwerkingsverantwoordelijke (artikel 4 lid 7 AVG) voor de persoonsgegevens die via de website, de webapp (app.overstappie.nl) en de apps voor iOS en Android worden verwerkt. Dit privacybeleid legt uit welke gegevens wij verwerken, waarom, op welke grondslag, met wie wij ze delen, hoe lang wij ze bewaren en welke rechten je hebt.

2. In het kort

• Je logt in met Apple, Google of een e-mailcode. Wij hebben geen wachtwoorden.
• Met jouw toestemming lezen wij je betaalrekening(en) mee via een onder toezicht staande rekeninginformatiedienst. Wij zien nooit je inloggegevens van de bank en kunnen geen betalingen doen.
• Wij slaan je ruwe banktransacties niet op. Wij bewaren alleen wat wij eruit afleiden: je vaste lasten en abonnementen.
• Met jouw toestemming halen wij via iDIN je energieverbruik en contractgegevens op.
• Wij volgen je nergens voor advertenties. In de apps meten wij met Google Analytics hoe de app gebruikt wordt, zo ingesteld dat het weinig gevolgen heeft voor je privacy; je kunt dat uitzetten. Op de website en webapp in de browser meten wij alleen als je daar toestemming voor geeft.
• Wij verkopen je gegevens nooit.
• Verwijder je je account, dan anonimiseren wij je gegevens direct en verwijderen wij je energiegegevens.

3. Welke gegevens verwerken wij en waarvoor?

3.1 Account en inloggen

Je maakt een account aan met Inloggen met Apple, Inloggen met Google of met een eenmalige code per e-mail. Wij ontvangen daarbij je e-mailadres en, als je dat deelt, je naam. Kies je bij Apple voor ‘Verberg mijn e-mailadres’, dan ontvangen wij alleen een doorstuuradres van Apple. Wij krijgen nooit je wachtwoord van Apple of Google. Verwijder je je account, dan trekken wij ook de koppeling met Apple in.

3.2 Profiel- en overstapgegevens

Om een overstap voor te bereiden verwerken wij de gegevens die een nieuwe aanbieder nodig heeft: naam, e-mailadres, telefoonnummer, adres en, waar nodig, geboortedatum, IBAN en gegevens over je energieaansluiting (zoals EAN-codes en meterstanden). Je adres zoeken wij op aan de hand van postcode en huisnummer in het openbare adressenregister (BAG).

3.3 Bankgegevens

Als je je bank koppelt, geef je toestemming in een beveiligd scherm van een rekeninginformatiedienst met een PSD2-vergunning, en daarna bij je eigen bank. Die dienst haalt namens jou alleen-lezen gegevens op; niemand kan via deze koppeling betalingen doen.

Wij ontvangen:

• de rekeningen onder de toestemming: IBAN, tenaamstelling en soort rekening;
• de transacties op die rekeningen, inclusief omschrijving, tegenpartij en bedrag. Standaard kijken wij ruim een jaar terug; voor de looptijd van je huidige contracten kijken wij verder terug, zo ver als je bank toestaat.

De toestemming geldt maximaal 180 dagen. In die periode verversen wij de gegevens, bijvoorbeeld als je de app opent, zodat je overzicht actueel blijft. Voordat de toestemming verloopt, sturen wij je een herinnering. Je kunt de koppeling altijd eerder verbreken in de app of bij je bank.

Wat wij bewaren. Wij analyseren de transacties op het moment van ophalen en slaan de ruwe transacties daarna niet op. Wij bewaren alleen het resultaat: je vaste lasten en abonnementen (aanbieder, bedrag, frequentie, categorie), het rekeningnummer van de aanbieder, je laatste jaarafrekening en sinds wanneer je bij een aanbieder klant bent.

Rekeningen na ontkoppelen. Verbreek je een koppeling, dan bewaren wij de IBAN’s van je eigen rekeningen tot je je account verwijdert. Zo zien wij overboekingen tussen je eigen rekeningen niet ten onrechte aan voor vaste lasten.

Gegevens van anderen en gevoelige gegevens. Transacties bevatten ook gegevens van anderen, zoals de namen van tegenpartijen en, bij een en/of-rekening, van je mederekeninghouder. Uit betalingen kan soms indirect gevoelige informatie blijken, zoals een lidmaatschap of zorgkosten. Onze analyse richt zich uitsluitend op vaste lasten en abonnementen; wij gebruiken zulke informatie niet om een profiel van jou of van anderen te maken en delen haar niet.

3.4 Energiegegevens

Kies je voor een exacte besparingsberekening, dan geef je via iDIN (inloggen bij je eigen bank) toestemming in het landelijke autorisatieregister voor energiedata. Ter controle geef je je huisnummer op. Wij ontvangen dan van de netbeheerder: de EAN-codes van je aansluiting(en), je (standaard)jaarverbruik, je huidige leverancier, je tarief en de einddatum van je contract. Zolang de toestemming loopt, halen wij deze gegevens dagelijks bij. Verwijder je je account, dan verwijderen wij de koppeling en al je energiegegevens.

3.5 Vergelijken en overstappen

Voor energie vergelijk en sluit je af via een gespecialiseerde vergelijkingsdienst die in onze app is ingebouwd. Om je invulwerk te besparen, geven wij die dienst je naam, e-mailadres, telefoonnummer, postcode, huisnummer, verbruik en huidige leverancier door. Je IBAN geven wij niet door; die kun je in de app kopiëren. De vergelijkingsdienst en de nieuwe leverancier verwerken de gegevens van je aanvraag onder hun eigen verantwoordelijkheid.

Wij verdienen aan een overstap een vergoeding van de aanbieder. Die wordt verrekend via een affiliate-netwerk. Daarvoor gebruiken wij een willekeurig kenmerk per klik, zodat een afgeronde overstap aan jouw aanvraag gekoppeld kan worden. Omdat de doorverwijzing via dat netwerk loopt, kan het netwerk de hierboven genoemde gegevens in het webadres technisch zien.

3.6 Meldingen en berichten

• Pushmeldingen. Sta je meldingen toe, dan bewaren wij per toestel een pushtoken, het platform (iOS, Android of browser) en de appversie. Meldingen lopen via de pushdiensten van Apple en Google. Je zet ze uit in de instellingen van je toestel of in de app.
• Dienstberichten. Wij sturen je per e-mail en/of push berichten die bij de dienst horen, zoals een herinnering als je bankkoppeling bijna verloopt. Deze herinneringen kun je uitzetten in de app.
• Op de hoogte blijven. Na een overstap kun je aangeven dat je bericht wilt zodra nieuwe categorieën beschikbaar zijn. Afmelden kan altijd in de app.

3.7 Support en privacyverzoeken

Neem je contact op via het contactformulier (ook zonder account), vanuit de app of per e-mail, dan verwerken wij je naam, e-mailadres, je bericht en eventuele bijlagen (afbeeldingen of pdf). Om misbruik van het openbare formulier tegen te gaan, bewaren wij een onherleidbare afgeleide (gezouten hash) van je IP-adres, niet het IP-adres zelf. Vraag je in de app je gegevens op of verwijder je je account, dan leggen wij dat verzoek vast om aan te kunnen tonen dat wij het hebben afgehandeld.

3.8 Vrienden uitnodigen

Met je persoonlijke link kun je anderen uitnodigen. Voor elke overstap van iemand die jij hebt aangebracht ontvang je een beloning (zie artikel 12 van onze algemene voorwaarden).

• Als je via een uitnodiging binnenkomt, plaatsen wij een functioneel cookie met de code van de werver (zie ons cookiebeleid). Maak je daarna een account aan, dan leggen wij vast wie jou heeft uitgenodigd en wanneer, en verwijderen wij het cookie. Om misbruik te voorkomen, leggen wij op dat moment ook je IP-adres en browsertype vast.
• Wat de werver ziet: je voornaam, wanneer je je hebt aangemeld en of je via Overstappie bent overgestapt. De werver ziet nooit je e-mailadres, je bankgegevens, je vaste lasten of welke overstap je hebt gemaakt.
• Berekenen van de beloning. Van overstappen van aangebrachte personen bewaren wij de vergoeding die wij ontvangen en de status ervan, zodat wij de beloning van de werver kunnen berekenen.
• Controle op misbruik. Wij vergelijken gegevens van werver en aangebrachte persoon om te herkennen of iemand zichzelf aanbrengt. Bij twijfel beoordeelt een medewerker de koppeling.
• Je rekening voor de uitbetaling. Ben je werver, dan kies je in de app op welke rekening je je beloning ontvangt: een rekening uit je bankkoppeling of een IBAN dat je zelf invult. Wij gebruiken dit IBAN en de naam van de rekeninghouder alleen voor de uitbetaling en leggen vast wanneer je die rekening hebt gekozen. Wij maken je beloning over via onze bank. Je kunt de rekening in de app wijzigen.

3.9 Op je eigen toestel (apps)

• Face ID, Touch ID en vingerafdruk. De controle gebeurt volledig op je toestel. Wij ontvangen geen biometrische gegevens, alleen de uitkomst ontgrendeld ja/nee, en ook die blijft op je toestel.
• Vergrendelen in plaats van uitloggen. Na ‘Uitloggen’ bewaart de app een sleutel om je sessie te herstellen, versleuteld in de iOS-sleutelhanger of de Android Keystore en alleen te openen met je ontgrendeling.
• Welkom terug. De app onthoudt lokaal een deels afgeschermd e-mailadres en je laatst gebruikte inlogmethode.
• De apps bevatten geen advertentie-ID’s en volgen je niet in apps of websites van anderen.

3.10 Statistieken en verbetering

• Cookieloze statistieken (website, webapp en apps): wij tellen bezoeken en bekeken pagina’s met een statistiekdienst in de EU die geen cookies gebruikt en geen profielen maakt. Je IP-adres wordt alleen kortstondig gebruikt om een dagelijks wisselende, niet-herleidbare telling te maken.
• Google Analytics in de apps (zonder cookiemelding): hiermee zien wij welke schermen gebruikt worden en waar gebruikers vastlopen, zodat wij de app kunnen verbeteren. Wij hebben Google Analytics zo ingesteld dat het weinig gevolgen heeft voor je privacy: er is een verwerkersovereenkomst met Google, IP-adressen worden niet opgeslagen, Google-signalen, advertentiefuncties en het delen van gegevens met Google staan uit, en wij sturen geen naam, e-mailadres of klantnummer mee. De app herkent je toestel aan een willekeurig kenmerk. Daarom is hiervoor geen toestemming nodig (art. 11.7a lid 3 Telecommunicatiewet). Wil je dit niet, zet dan ‘Gebruiksstatistieken’ uit onder Instellingen → Privacy & beveiliging.
• Google Analytics en Microsoft Clarity op de website en webapp (in de browser, alleen met toestemming): hiermee zien wij hoe bezoekers de site gebruiken. Clarity maakt sessie-opnames en heatmaps; namen, bedragen, adres- en rekeninggegevens en invulvelden schermen wij daarbij af. Clarity gebruiken wij niet in de apps.
• Afgeronde bankkoppeling. Rondt iemand een bankkoppeling af terwijl Google Analytics actief is (in de app, of in de browser na toestemming), dan melden wij dat aan Google Analytics, zonder bank- of persoonsgegevens.
• Foutmeldingen (website, webapp, apps en beheeromgeving): loopt er iets mis in onze software, dan ontvangen wij automatisch een technische foutmelding, zodat wij het snel kunnen oplossen. Daarin staan geen namen, e-mailadressen, telefoonnummers, IBAN’s of IP-adressen: die filteren wij eruit voordat de melding wordt verstuurd. Een melding kan wel een willekeurig, niet-herleidbaar gebruikerskenmerk bevatten. Sessie-opnames maken wij hiermee niet.
• Doorlooptijd. Na een afgeronde overstap bewaren wij hoe lang elke stap duurde, zodat wij onze tijdsinschattingen kunnen verbeteren.

Uitdrukkelijke garantie: banktransacties, IBAN’s, saldi en andere financiële gegevens sturen wij nooit naar analyse- of statistiekdiensten.

4. Op welke grondslag?

Toestemming kun je altijd intrekken, kosteloos en zonder opgave van reden. Dat heeft geen terugwerkende kracht (art. 7 lid 3 AVG).

5. Geautomatiseerde analyse

Wij herkennen automatisch je vaste lasten en berekenen wat je zou kunnen besparen. Dat is profilering in de zin van de AVG. Er volgen geen besluiten uit die rechtsgevolgen voor je hebben of je in aanmerkelijke mate treffen: jij beslist altijd zelf of je overstapt. Een berekening is een schatting; waar wij echte verbruiksgegevens hebben, is die nauwkeuriger.

6. Met wie delen wij je gegevens?

Wij delen gegevens alleen voor zover dat nodig is voor de doelen hierboven. Partijen die in onze opdracht werken (verwerkers) hebben een verwerkersovereenkomst met ons. Andere partijen verwerken gegevens onder hun eigen verantwoordelijkheid.

Wil je weten welke partijen dit precies zijn? Vraag het ons; bij een inzageverzoek noemen wij ze bij naam. Wij kunnen gegevens daarnaast verstrekken als de wet ons daartoe verplicht.

7. Doorgifte buiten de Europese Economische Ruimte

Wij verwerken je gegevens zo veel mogelijk binnen de EER. Waar een partij buiten de EER is gevestigd of er toegang toe heeft, zorgen wij voor een passende waarborg:

• Verenigd Koninkrijk (rekeninginformatiedienst): adequaatheidsbesluit van de Europese Commissie.
• Verenigde Staten (hostingdienst, foutmonitoringsdienst, kantoorsoftware, Google Analytics, Microsoft Clarity, Apple en Google): het EU-VS Data Privacy Framework en/of de standaardcontractbepalingen van de Europese Commissie.

Een kopie van de relevante waarborgen kun je bij ons opvragen.

8. Hoe lang bewaren wij je gegevens?

9. Jouw rechten

Op grond van de artikelen 15 tot en met 22 AVG heb je het recht op:

• Inzage — in de app via Instellingen → Privacy & beveiliging → ‘Exporteer mijn gegevens’, of per e-mail
• Rectificatie — je profiel pas je zelf aan in de app
• Verwijdering — in de app via ‘Account verwijderen’: je login verdwijnt, je bank- en energiekoppeling worden ingetrokken, je persoonsgegevens worden geanonimiseerd en je energiegegevens gewist
• Beperking van de verwerking
• Overdraagbaarheid — je gegevens in een gangbaar, machineleesbaar formaat
• Bezwaar — tegen verwerkingen op basis van gerechtvaardigd belang, zoals berichten over nieuwe categorieën en Google Analytics in de app (zet ‘Gebruiksstatistieken’ uit onder Instellingen → Privacy & beveiliging)
• Intrekken van toestemming — bankkoppeling in de app of bij je bank; pushmeldingen op je toestel; analytische cookies op de website en webapp via Cookie-instellingen

Je kunt een verzoek ook indienen via info@overstappie.nl. Wij reageren binnen één maand (art. 12 lid 3 AVG) en kunnen je vragen je identiteit te bevestigen.

10. Beveiliging

Wij nemen passende technische en organisatorische maatregelen (art. 32 AVG), waaronder:

• versleutelde verbindingen (HTTPS/TLS) voor alle gegevensoverdracht;
• geen wachtwoorden: inloggen via Apple, Google of een eenmalige code, in de app beschermd met je ontgrendeling;
• bankgegevens alleen via een PSD2-gecertificeerde, alleen-lezen koppeling;
• toegang tot klantgegevens alleen voor geautoriseerde medewerkers, met rollen, single sign-on en een auditlog;
• afscherming van persoons- en financiële gegevens in sessie-opnames;
• persoonsgegevens worden uit foutmeldingen gefilterd voordat die worden verstuurd.

11. Cookies en vergelijkbare technieken

Op de website en webapp gebruiken wij noodzakelijke cookies (zoals je inlogsessie en je cookiekeuze) en, alleen met je toestemming, analytische cookies. In de apps gebruiken wij noodzakelijke opslag op je toestel en de analytische cookies van Google Analytics zoals beschreven in artikel 3.10, zonder cookiemelding. Zie ons cookiebeleid.

12. Leeftijd

Overstappie is bedoeld voor personen van 18 jaar en ouder. Wij verwerken niet bewust gegevens van minderjarigen.

13. Klachten

Heb je een klacht over hoe wij met je gegevens omgaan? Neem eerst contact met ons op via info@overstappie.nl. Je hebt daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (art. 77 AVG).

14. Wijzigingen

Wij passen dit privacybeleid aan als onze dienst of de wet verandert. Bij wezenlijke wijzigingen informeren wij je per e-mail of in de app. De actuele versie staat altijd op www.overstappie.nl/privacy.

Versie 2.0 beschrijft de apps voor iOS en Android (inloggen met Apple en Google, Face ID, pushmeldingen), de energiekoppeling via iDIN, meerdere bankrekeningen, support en de verwijdering van je account. Ook is beschreven dat de bankkoppeling doorlopend (maximaal 180 dagen) gegevens ophaalt, dat ruwe transacties niet worden opgeslagen en dat onze systemen in de EU draaien.

Versie 2.1 beschrijft dat de apps met Google Analytics meten zonder cookiemelding, zo ingesteld dat het weinig gevolgen heeft voor je privacy, en dat je dit in de app kunt uitzetten. Microsoft Clarity gebruiken wij niet in de apps.

Versie 2.2: Overstappie wordt aangeboden door Overstappie B.V. (KvK 42110677) in plaats van Michaeland B.V. Er verandert verder niets.

Versie 2.3 beschrijft dat wij automatisch technische foutmeldingen ontvangen via een foutmonitoringsdienst in de EU, zonder persoonsgegevens zoals namen, e-mailadressen, IBAN’s of IP-adressen. Daarnaast beschrijft deze versie het uitnodigingsprogramma volledig (wat de werver ziet, de controle op misbruik en de rekening voor uitbetalingen), vaste bewaartermijnen voor supportgesprekken en het logboek van medewerkers, en ons vestigingsadres.

Laatste update: oktober 2026 · Versie 2.3 · © Overstappie B.V. · KvK 42110677