Naamloos

Je browser doet het werk

Als je deze app opent, haalt je browser één keer de pagina op. Daarna gebeurt alles op je eigen computer of telefoon. Er is geen server die meerekent, meekijkt of iets bewaart.

Wat je invoert, blijft bij jou, op één ding na

Om te zien of het .nl-domein vrij is, vraagt je browser dat rechtstreeks na bij SIDN, de beheerder van .nl. SIDN krijgt dan alleen de domeinnaam te zien, zoals zonnebloemadvies.nl. Klik je op een ↗-pijltje, dan opent de zoekpagina van de KvK, SIDN of TMview met de naam erin. Verder wordt er niets verstuurd.

Werkt ook zonder internet

De app wordt op je apparaat bewaard, zodat hij ook zonder internet werkt. Daarbij wordt alleen de app zelf bewaard, niet wat je invoert. Alleen de domeincontrole heeft internet nodig.

Wat deze app onthoudt

• De namen die je hebt gecontroleerd, met de uitkomst per bron (KvK, .nl-domein, merk) en de datum. Heb je een wachtwoord ingesteld, dan worden ze versleuteld bewaard; het wachtwoord zelf wordt nergens opgeslagen.
• Of de namen vervaagd worden, voor de hele tabel en per regel.
• Of je zonder wachtwoord werkt, zodat de app dat niet elke keer vraagt.

Wat de app onthoudt, staat alleen in jouw browser op dit apparaat. Wis je je browsergegevens, dan is het ook weg.

Wat er níet is

• Geen account en geen inlog.
• Geen reclame, geen tracking en geen trackingcookies.
• Geen verbindingen met andere websites, behalve met SIDN voor de domeincontrole.

Eén ding gaat wel via internet

Het openen van de pagina en het ophalen van updates. Net als bij elke website ziet de partij die de pagina aanbiedt dan je IP-adres: het adres van je internetverbinding. Wat je daarna in de app doet, ziet die partij niet.

Opbouw

• Statische pagina op Netlify, zonder backend, API of database aan de serverkant.
• Code, lettertypen en bibliotheken zitten in de pagina zelf of staan op hetzelfde domein. Er worden geen scripts of fonts van andere domeinen geladen.

De browser blokkeert verkeer naar buiten

De server stuurt een Content-Security-Policy mee. Daarin staan onder andere:

• default-src 'none': niets laden, tenzij het expliciet is toegestaan.
• connect-src 'self' https://rdap.sidn.nl: fetch, XHR en WebSocket alleen naar het eigen domein (voor de offline-versie) en naar de RDAP-dienst van SIDN (voor de domeincontrole), nooit naar een ander. Het verzoek aan SIDN gaat zonder cookies en zonder referrer, en bevat alleen de domeinnaam.
• form-action 'none': formulieren kunnen nergens heen worden verstuurd.

Dit dwingt de browser af, los van wat de code van de app doet. Ook een fout of een gekaapte bibliotheek kan zo niets versturen.

Opslag

• De app bewaart de gecontroleerde namen en uitkomsten in localStorage, met sleutels die beginnen met naamloos:. Dat is het doel van de app; bij Instellingen zet je de lijst in een bestand of wis je hem.
• Met een wachtwoord staat alles versleuteld in één sleutel (naamloos:vault): AES-256-GCM, met een sleutel die met PBKDF2-SHA256 (600.000 rondes) uit het wachtwoord wordt afgeleid. Het wachtwoord en de sleutel worden nergens opgeslagen; de sleutel bestaat alleen in het geheugen van het tabblad, tot je vergrendelt.
• Geen cookies. localStorage is per domein en per browser, en wordt nooit naar de server verstuurd.
• Wissen: via de browserinstellingen (sitegegevens voor dit domein).

Andere maatregelen

• Referrer-Policy: no-referrer: andere sites zien niet dat je hiervandaan komt.
• Permissions-Policy: camera, microfoon, locatie en vergelijkbare functies staan uit.
• Invoervelden zonder spellingcontrole en automatisch aanvullen. Uitgebreide spellingcontrole in sommige browsers stuurt tekst naar een online dienst.
• Browservertaling staat uit (translate="no"), omdat die de paginatekst naar een vertaaldienst stuurt.

Wat de hostingpartij ziet

Netlify ontvangt bij het laden de gewone gegevens van een webverzoek: IP-adres, browser en de opgevraagde pagina.

Offline

Een service worker bewaart alleen de eigen bestanden van de app in de browsercache. Daarna is er alleen nog contact met de server om te kijken of er een nieuwe versie is.

Zelf controleren? Open de ontwikkelaarstools van je browser (F12), ga naar het tabblad Netwerk en gebruik de app. Je ziet alleen verzoeken naar rdap.sidn.nl, één per domeincontrole.

Persoonsgegevens

Persoonsgegevens zijn alle gegevens die over een persoon gaan of naar iemand te herleiden zijn, zoals een naam, een adres of een IP-adres in combinatie met andere gegevens.

Wie verwerkt je gegevens?

Omdat alles in je browser gebeurt, ontvangt de maker van de app je invoer niet. Werk je met persoonsgegevens van anderen, bijvoorbeeld een tabel met namen van klanten, dan blijf jij of je organisatie verantwoordelijk voor die verwerking. De app verandert dat niet, maar zorgt wel dat er geen extra partij bij komt die de gegevens ontvangt.

Zo min mogelijk gegevens

De AVG vraagt om niet meer gegevens te verwerken dan nodig (dataminimalisatie, artikel 5) en om privacy al in het ontwerp mee te nemen (privacy by design en by default, artikel 25). Deze apps zijn daarom zo gebouwd dat er standaard niets naar buiten gaat en alleen instellingen worden onthouden.

Cookies en vergelijkbare opslag

Voor trackingcookies en vergelijkbare technieken is toestemming nodig. Deze apps gebruiken die niet. Opslag die alleen dient om de app te laten werken zoals jij vraagt, zoals je instellingen onthouden, is functioneel.

Het IP-adres

Een IP-adres kan een persoonsgegeven zijn, maar is dat niet altijd. Het is het enige gegeven dat de hostingpartij van je ziet, bij het laden van de pagina.

Het pijltje bij een kop opent de bijbehorende pagina van de Autoriteit Persoonsgegevens. Dit is uitleg over hoe deze apps werken, geen juridisch advies.