Zes vragen die je aan élke financiële app moet stellen vóór je aanmeldt
Finance-apps staan vol met marketing. "Bank-grade security!" "Miljoenen gebruikers!" "AI-powered insights!" Klinkt allemaal mooi. Maar welke vragen moet je nu echt stellen vóór je met je uitgaven-gegevens aan de slag gaat?
Hieronder zes vragen die elke serieuze finance-app zou moeten kunnen beantwoorden. Ze werken voor Okidoky én voor elk alternatief dat je overweegt. Als een aanbieder er één niet duidelijk beantwoordt, is dat al informatie op zich.
1. Waar staan je gegevens?
Wat te vragen: In welk land staan de servers? Welke wet is van toepassing op de hosting-provider? Bestaat er een documentabele "data processing agreement" (DPA)?
Waarom het telt: Als je data in de VS staat, geldt Amerikaans recht — inclusief Cloud Act-verzoeken waarbij je niet altijd wordt ingelicht. Data in de EU staat onder GDPR en heeft wettelijke garanties die in de VS ontbreken. Voor financiële data is dit geen technisch detail — het bepaalt wat een overheid met je gegevens kan doen.
Hoe een goede app antwoordt: Met naam van de hosting-provider, land, en een link naar het DPA. Niet met vaag "in de cloud".
Okidoky: servers bij Hetzner in Duitsland/Finland, Mollie (NL) voor betalingen, publiek DPA op de site.
2. Hoe verdient de aanbieder geld?
Wat te vragen: Welk percentage van de omzet komt uit abonnementen versus advertenties, data-verkoop of cross-sell naar andere financiële producten?
Waarom het telt: Apps die volledig gratis zijn voor iedereen moeten hun bill ergens anders innen. Dat is meestal data of geaggregeerde analytics verkopen aan derden. "Gratis" is dus zelden echt gratis — je betaalt met informatie over je uitgaven-gedrag.
Hoe een goede app antwoordt: Expliciet, met een globaal percentage. "Alles uit abonnementen, niets uit data-verkoop" óf "80% abonnement, 20% privacy-vriendelijke advertenties" óf "volledig advertenties-gefinancierd". Eerlijke cijfers, geen marketing-mist.
Okidoky: volledig klant-gefinancierd (abonnementen + beperkte niet-intrusieve advertenties voor gratis gebruikers — geen data-verkoop, ooit).
3. Wie zit er achter en hoeveel tijd wordt eraan besteed?
Wat te vragen: Bedrijfsnaam, vestigingsland, eigenaar/maker. Werkt deze persoon/team fulltime aan het product of als bijzaak?
Waarom het telt: Een app van "CompanyX LLC, Wilmington DE" zegt weinig over wie er onderhoud pleegt. Een app van een eenmanszaak in Hippolytushoef die fulltime aan het product werkt is transparant én heeft een operationeel probleem als de maker ziek wordt — dat moet je weten.
Hoe een goede app antwoordt: Met een "wie zit er achter"-pagina die echte namen, foto's (optioneel) en een eerlijk verhaal over werkverdeling bevat. Plus een eerlijk woord over wat er gebeurt als zij stoppen (datacontinuïteit).
Okidoky: eenmanszaak RULIDO in Hippolytushoef, KVK 98709364, één maker die fulltime werkt. Sunset-plan met 180 dagen notice + CSV-export + open-source-release als laatste redmiddel.
4. Hoe kom je er weer af?
Wat te vragen: Is er een export-functie voor al je data in een standaardformaat (CSV, JSON)? Kan je je account zelf verwijderen, of moet je mailen? Hoe lang duurt verwijdering en wat gebeurt er met je back-ups?
Waarom het telt: Als weggaan moeilijk is, ben je geen klant meer — dan ben je op slot gezet. Goede apps maken vertrek net zo makkelijk als aanmelden. Elke hobbel op de exit-weg is een red flag.
Hoe een goede app antwoordt: Met één klik CSV-export, binnen enkele dagen account-verwijdering, duidelijke termijn voor back-up-rotatie (meestal 30-60 dagen).
Okidoky: CSV-export altijd beschikbaar, account-verwijdering binnen 48 uur via e-mail (zelfbedienings-knop staat op de roadmap), back-ups worden bij de volgende maandelijkse rotatie gewist.
5. Wat gebeurt er bij een datalek?
Wat te vragen: Bestaat er een publieke responsible-disclosure-policy? Waar staan recente incidenten gedocumenteerd? Hoe word ik als gebruiker geïnformeerd bij een datalek?
Waarom het telt: Datalekken zijn geen "of", maar "wanneer". Elke serieuze organisatie krijgt ze een keer. Het verschil tussen betrouwbaar en niet-betrouwbaar zit in hoe ze gecommuniceerd worden. Stiltes en vage persberichten zijn al een voorbode van hoe de volgende keer gaat.
Hoe een goede app antwoordt: Met een security.txt, een disclosure-e-mail, een publieke incidenten-pagina (zelfs als die leeg is — dat is een belofte), en een expliciete meld-termijn (conform GDPR binnen 72 uur).
Okidoky: security.txt bestaat, disclosure via security@okidoky.nl, publieke incidenten-pagina (op dit moment zonder gerapporteerde incidenten — dat staat er zwart op wit), GDPR-conform 72 uur aanmeldtermijn.
6. Wat doet de app niet, en waarom niet?
Wat te vragen: Welke functies weigert deze app bewust te bouwen, en wat is de redenering?
Waarom het telt: Elke eerlijke aanbieder heeft een lijstje "dingen die we niet doen". Geen lijstje = ofwel ongedifferentieerd product, ofwel een aanbieder die niet over zijn grenzen heeft nagedacht. De reden achter een "niet-functie" zegt meer over de filosofie dan duizend marketing-pagina's.
Hoe een goede app antwoordt: Met concrete voorbeelden. "We bouwen geen live bank-koppeling omdat X." "We verkopen je data niet omdat Y." "We ondersteunen geen crypto omdat Z."
Okidoky: geen live PSD2-koppeling (om aggregator-afhankelijkheid te vermijden), geen AI-coach (lokale OCR, geen cloud-LLM op je data), geen crypto-integratie, geen volledige boekhouding (geen BTW-aangifte, we blijven kasboek).
Nog even: de pitch-val
Veel apps beantwoorden deze vragen in interviews of blog-posts — maar niet op hun publieke website. Dat is zelden een goed teken. Als je de antwoorden alleen kunt vinden in een podcast met de founder, dan is transparantie geen ingebakken principe, maar een pr-stunt.
De beste test: doe deze zes vragen op drie apps die je overweegt. Schrijf de antwoorden op. Het winnen van deze vergelijking is bijna altijd de beste keuze voor de komende drie jaar — niet de app met de mooiste homepage.
Okidoky beantwoordt al deze zes vragen publiek op de site. De antwoorden op vraag 3-5 staan op /about, /security en /sub-verwerkers; vraag 6 op /about onder "wat Okidoky NIET is". Vrij om deze checklist te kopiëren en te gebruiken op elke andere app die je vergelijkt — met bronvermelding naar Okidoky als je ons daarvoor wilt crediten, maar niet verplicht.