Wat we van je bewaren

De volledige lijst

Dit is elk veld dat we van een contract opslaan. De lijst komt rechtstreeks uit de code. Voegt iemand er een veld aan toe zonder deze pagina bij te werken, dan faalt de test die dat bewaakt.

• aanbieder
• bevestigd door gebruiker
• clausules
• einddatum
• looptijd maanden
• maandbedrag eur
• onbepaalde tijd
• opzegtermijn maanden
• product
• startdatum
• vertrouwen

Daarnaast bewaren wij een willekeurig account-nummer en een contract-nummer. Ook bewaren wij of je het contract zelf invulde of uploadde, en wanneer het is opgeslagen en gewijzigd. Bij een upload staat erbij welk model het gelezen heeft. Dat laatste is geen gegeven uit je document maar een aantekening over onze lezing ervan. Verbeteren we hoe hij leest, dan zie je op je eigen pagina dat dit contract van vóór die verbetering komt. Je ziet dezelfde lijst terug op je eigen pagina onder Mijn contract. Dat scherm toont het opgeslagen document zelf, niet een samenvatting ervan.

En per soort contract een paar velden erbij

Wat er zinvol is om te bewaren, verschilt per contract. Een leasecontract heeft een kilometerbundel, een energiecontract een tarief per kWh, en andersom niet. We vragen dus ook alleen naar wat bij jouw soort contract hoort. Dit is de volledige lijst per soort; wat er niet bij staat, bewaren we ook niet.

Van de overige soorten die we herkennen bewaren we alleen de velden uit de lijst hierboven, en verder niets.

Wat er niet is, ook niet tijdelijk

Upload je een PDF of een foto, dan blijft dat bestand in het werkgeheugen van één proces. Het raakt geen schijf, geen bucket en geen database, en het verdwijnt met het verzoek. Vóórdat er een model naar kijkt, halen we de persoonsgegevens eruit:

• naam, adres en geboortedatum
• IBAN, BSN en paspoortnummer
• telefoonnummer en e-mailadres
• klant- of contractnummer en kenteken

Dat gebeurt in twee stappen. Google Cloud Sensitive Data Protection doet het werk waar context voor nodig is, zoals namen en adressen. Daarna gaat er nog een controle in eigen code overheen, voor de vormen die een computer exact kan herkennen. Een BSN rekent hij na met de elfproef, een IBAN met de 97-controle. Die tweede stap zit er omdat we gemeten hebben dat de eerste op Nederlandse contracten dingen laat staan.

Lukt het redigeren niet, dan gaat er niets door. De upload stopt en je kunt je contract met de hand invullen. Er is geen route waarlangs een niet-geredigeerd document alsnog bij een model komt.

Je e-mailadres

Dat leeft uitsluitend bij de inlogdienst (Google Identity Platform) en wordt nooit aan je contractgegevens gekoppeld. De koppeling tussen jou en je contract is een willekeurig nummer; wij kunnen van een contract niet terugrekenen wie jij bent. In de code die het inlogbewijs leest wordt precies één veld overgenomen (dat nummer) en verder niets.

Hoe hard deze belofte is

Eerlijker dan gebruikelijk, want dit is de zwakste plek en die hoort niet verstopt:

• Eén schrijfpad. Er is precies één stuk code dat iets in de contractdatabase kan zetten. Dat weigert onbekende velden, en ook persoonsgegevens in de velden die wél bestaan.
• Eén schrijver. Alleen de upload-dienst heeft schrijfrecht op die database. De rest van ons systeem — alles wat 's nachts de markt afstruint — kan er niet bij.
• Een dagelijkse controle. Elke nacht wordt elk document vergeleken met wat het model toestaat. Wijkt er iets af, dan staat dat binnen een dag in onze wachtrij.

De belofte luidt daarmee: wij bewaren het niet, één pad kan het schrijven, en een afwijking is binnen 24 uur zichtbaar. Dat is iets anders dan "het kan technisch niet", en we schrijven het bewust niet zo op.

Waar je gegevens staan

Alles wat met jouw upload te maken heeft, verwerken wij in de Europese Unie. De persoonsgegevens halen wij eruit in Nederland (europe-west4), en je contract lezen wij in Europese datacentra. Jouw gegevens gaan nooit via een goedkopere, wereldwijde verbinding. Dat staat vast in de code en is niet met een instelling uit te zetten.

Verwerker: Google Cloud (opslag, redactie, het taalmodel, de inlogdienst). Voor het versturen van e-mail komt daar een mailprovider bij.

Wat je zelf kunt

• Inzien — Mijn contract toont exact het opgeslagen document, inclusief de lege velden.
• Verwijderen, met de knop bij je contract. Dat wist het document; er blijft geen kopie achter in een export of een analysebestand, want die bestaan niet.
• Niets doen: zonder account bewaren we niets van je. De rest van de site werkt zonder in te loggen.

Geen trackers

Deze site laadt geen advertentie- of analysescripts van derden. Dat is geen instelling maar een afspraak met onszelf: wie belooft zorgvuldig met gegevens om te gaan, laat niet ondertussen iemand anders meekijken.

Wat we van foto's vinden

Op dit moment accepteren we geen foto's van contracten, alleen PDF's en handmatige invoer. De reden staat in onze eigen meting. Uit een PDF halen wij 100% van de persoonsgegevens weg, uit een foto 94,4%. Onze eigen eis is 99%. Een route die onze eigen norm niet haalt, bieden we niet aan, ook al zou hij handig zijn.