Privacyverklaring

Wie verantwoordelijk is

Als je FullyQualified zelf draait, ben jij of je organisatie de verwerkingsverantwoordelijke voor de gegevens in jouw installatie. Het FullyQualified-project ontvangt daar nooit gegevens van.

Voor de geplande gehoste dienst is het exploiterende bedrijf [bedrijfsnaam, adres, KvK-nummer, contact-e-mail] verwerkingsverantwoordelijke voor accountgegevens, en verwerker van de monitoringgegevens die klanten invoeren.

Deze website

De website is statisch. Hij plaatst geen cookies en gebruikt geen analytics, trackingpixels, lettertypen van derden, embeds of scripts. De webserver die hem uitlevert kan technische verzoekgegevens vastleggen, zoals het IP-adres, de pagina, het tijdstip en de browser, voor beveiliging en beheer [hostingpartij en bewaartermijn nog te noemen].

Wat de applicatie bewaart

• Accounts: naam, optioneel e-mailadres, rol, organisatie (tenant), aanmeldmoment en laatste inlogmoment.
• Inloggen: de publieke sleutel en de identifier van elke passkey. De privésleutel verlaat je apparaat nooit, en er bereiken geen wachtwoorden of biometrische gegevens de server. Bij single sign-on: de identifier die je identity provider toekent, en je e-mailadres.
• Organisatiegegevens: de naam van de organisatie, de domeinen en hostnamen die je monitort, de resultaten van de controles (certificaatgegevens zoals uitgever en verloopdatum, waarden van DNS-records), gedetecteerde wijzigingen en je alarminstellingen. Webhook-adressen worden versleuteld bewaard.
• Logs: welke alarmen naar welk kanaal zijn gestuurd, en of dat gelukt is.
• Cookies: alleen wat de applicatie nodig heeft: een sessiecookie na het inloggen, een kortlevende cookie tijdens het inloggen (vijf minuten) en je taalkeuze. Er zijn geen advertentie- of analytics-cookies.

Openbare bronnen

Controles gebruiken openbare informatie en verbindingen waar jij om vraagt: DNS-vragen, TLS-handshakes met de endpoints die je toevoegt en Certificate Transparency-logs. Als je Subdomeinen zoeken gebruikt, wordt de domeinnaam waarop je zoekt naar de Certificate Transparency-zoekdienst crt.sh gestuurd, of naar Cert Spotter (SSLMate) als crt.sh niet beschikbaar is. Dat gebeurt nooit vanzelf. Om DNS-manipulatie op te sporen worden DNS-vragen over de domeinen die je monitort ook naar de openbare resolvers van Cloudflare (1.1.1.1), Quad9 (9.9.9.9) en Google (8.8.8.8) gestuurd; dat kun je in je installatie aanpassen of uitzetten.

De gratis check

Als je de gratis check op deze website gebruikt, wordt de domeinnaam die je typt naar onze checker gestuurd, die naar het certificaat op poort 443 en naar de openbare DNS-records kijkt en je het resultaat toont. Er wordt niets opgeslagen. Je IP-adres wordt hooguit een uur in het geheugen bewaard om te beperken hoe vaak één adres kan controleren, en wordt niet naar schijf of logs geschreven [nog te bevestigen voor de hostingopzet].

Waarom en op welke grondslag

• Om de dienst te leveren waar je om vroeg (uitvoering van een overeenkomst).
• Om de dienst veilig te houden en misbruik te voorkomen (gerechtvaardigd belang).
• Om aan wettelijke verplichtingen te voldoen, zoals de boekhouding (wettelijke verplichting).

Wie gegevens ontvangt

We verkopen geen gegevens en gebruiken ze niet voor advertenties. Dienstverleners verwerken gegevens namens ons: hosting [Scaleway, EU, nog te bevestigen] en e-mailbezorging [aanbieder nog te noemen]. Alarmen bevatten de details van een resultaat en gaan naar het Slack-, Telegram-, webhook- of e-mailadres dat je beheerder heeft ingesteld. [Doorgifte buiten de Europese Economische Ruimte: niet voorzien; nog te bevestigen met de aanbieders.]

Hoe lang gegevens worden bewaard

Resultaten, wijzigingen en alarmlogs worden bewaard voor de historieperiode van je pakket, bijvoorbeeld een maand bij Free en twaalf maanden bij Starter [definitieve periodes nog vast te stellen]; het nieuwste resultaat van elke controle blijft altijd bewaard. Een organisatie verwijderen wist al haar gegevens direct. Uitnodigingen verlopen na 7 dagen, herstellinks na 24 uur en inlogvragen na vijf minuten. Als een organisatie haar abonnement beëindigt, worden haar gegevens verwijderd [binnen een nog te noemen termijn].

Jouw rechten

Je kunt vragen om inzage in je gegevens, correctie, verwijdering, beperking van de verwerking en een kopie in een bruikbaar formaat, en je kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang. Schrijf naar [contact-e-mail]. Voor monitoringgegevens die een organisatie heeft ingevoerd, neem je eerst contact op met die organisatie. Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder in je eigen land.

Beveiliging

Accounts gebruiken passkeys, die bestand zijn tegen phishing. Organisaties zijn gescheiden in de datalaag en door rollen; geheimen zoals webhook-adressen worden versleuteld opgeslagen; verbindingen gebruiken TLS. Meld kwetsbaarheden alsjeblieft privé via een GitHub security advisory.

Wijzigingen

Als deze verklaring op een belangrijke manier verandert, melden we dat op deze pagina en, voor accounthouders, per e-mail. De datum bovenaan toont de laatste versie.