Privacyverklaring

De privacyschandpaal is een project van Theo van der Sluijs (Nederland) en draait op dezelfde server als snelle.tools. Vragen, verzoeken en bezwaren gaan naar security@privacyschandpaal.nl, of via het formulier op meting betwisten.

Deze site laadt geen lettertypen, afbeeldingen of scripts van Google of een ander extern netwerk. Er is geen advertentienetwerk en geen commercieel analysepakket. Het enige dat je browser standaard onthoudt is je keuze voor het lichte of donkere thema, opgeslagen in localStorage op je eigen apparaat.

Er is één cookie, en dat verschijnt alleen als je iets doet waar het voor nodig is: begin je een donatie, dan wordt een uur lang een donation_payment_id bewaard, zodat na terugkomst van de betaalpagina te zien is of die betaling gelukt is. Er staat geen advertentie-, analyse- of trackingcookie op deze site.

Om te zien welke pagina’s gelezen worden, tellen we paginaweergaves met een eigen Umami-installatie (op teller.privacyschandpaal.nl), op dezelfde server bij Hetzner in Finland. Umami zet geen cookies, bouwt geen profiel op en herkent je niet over websites heen. Geteld worden: de opgevraagde pagina, de verwijzende pagina, het soort browser en apparaat, de schermgrootte, de taalinstelling en het land. Je IP-adres wordt alleen gebruikt om binnen één dag herhaalbezoek te herkennen en wordt niet opgeslagen. Dat is precies de uitzondering waar deze site anderen aan houdt: statistiek zonder cookies en zonder profielen mag zonder toestemming, en daarom staat er geen cookiemelding.

De webserver houdt gewone toegangslogs bij (IP-adres, tijdstip, opgevraagde pagina) om storingen en misbruik te kunnen onderzoeken. Bij het bezwaarformulier en de knop “nu opnieuw meten” wordt kort in het werkgeheugen bijgehouden hoe vaak een IP-adres iets verstuurt, om misbruik te beperken. Dat verdwijnt vanzelf en wordt niet opgeslagen.

Van elke site in de lijst wordt de openbare startpagina bezocht met een gewone browser, en worden openbare DNS-gegevens opgevraagd. Vastgelegd wordt wat daarbij te zien is: welke verzoeken uitgaan voordat er toestemming is gegeven, welke cookies er worden gezet, waar de server en de mail staan, en welke leveranciers daarbij betrokken zijn. Er wordt niet ingelogd, niets omzeild en geen enkele beveiliging getest.

Dat gaat in de regel over organisaties, en gegevens over een organisatie zijn geen persoonsgegevens. Bij een eenmanszaak of een persoonlijke website kan een domeinnaam wél herleidbaar zijn tot een persoon. Voor die gevallen is de grondslag een gerechtvaardigd belang (artikel 6 lid 1 sub f AVG): het publiek informeren over wat er met bezoekersgegevens gebeurt op sites die zij dagelijks gebruiken. Er worden geen bijzondere persoonsgegevens verwerkt en er is geen enkele vorm van geautomatiseerde besluitvorming over personen.

Wat hier staat zijn waarnemingen, geen juridische oordelen. Bij elke regel staat wanneer er gemeten is, met welke versie van de weging (nu v4) en een link naar de meting zelf, inclusief de schermafdruk — zodat iedereen kan nalopen waar een cijfer vandaan komt.

Bij een cijfer D of lager staat op de pagina van een site het adres waarop die organisatie zich volgens haar eigen gegevens laat bereiken, zodat een bezoeker haar erop kan wijzen. Dat adres wordt niet verzameld van de website: het komt uit de security.txt die de organisatie zelf publiceert om meldingen te ontvangen, of uit het DMARC-record in haar eigen DNS. Alleen adressen op het eigen domein van die organisatie, nooit dat van een leverancier of een rapportageverwerker, en er wordt geen enkele pagina afgezocht op e-mailadressen — dan zou er een adres van een medewerker tussen kunnen komen te staan.

Deze site verstuurt zelf niets naar die adressen. Er staat een knop die een bericht klaarzet in het mailprogramma van de bezoeker; die verstuurt het onder zijn of haar eigen naam, en het bericht zegt er zelf bij dat het niet van deze site komt. Er wordt niet bijgehouden wie een bericht opstelt of verstuurt, en de adressen worden aan niemand doorgegeven.

Wil je dat het adres van jouw organisatie hier niet staat, laat het weten via meting betwisten. Het wordt dan weggehaald en geblokkeerd, zodat een volgende meting het niet opnieuw oppikt.

Klopt een meting niet, dan wordt hij na controle verwijderd — niet bijgesteld. Dat vraag je aan via meting betwisten. Je kunt ook bezwaar maken tegen het meten zelf (artikel 21 AVG). Dat wordt gehonoreerd: de organisatie verdwijnt uit de ranglijst en komt op niet gemeten op verzoek. Vanaf dat moment weigeren ook de scanners op snelle.tools dat domein, voor iedereen.

De pagina van de site blijft wel bestaan, met de vermelding dat er op verzoek niet meer gemeten wordt. Stilzwijgend verdwijnen zou lezen als “het is opgelost”, en dat is iets anders.

Een bezwaar wordt opgeslagen in een register, niet alleen gemaild: een mailbox is geen administratie, en een bezwaar dat verdwijnt omdat een mailserver hapert is precies wat niet mag gebeuren. Bewaard worden het domein, je e-mailadres, je bericht en — indien bekend — de meting waar het over gaat. Dat adres wordt uitsluitend gebruikt om op dit bezwaar te antwoorden en wordt niet voor iets anders gebruikt of gedeeld. Een bezwaar blijft bewaard zolang het nodig is om het af te handelen en de afhandeling te kunnen verantwoorden; vraag je erom, dan wordt het daarna direct verwijderd.

Deze site kent geen advertenties en geen sponsors; wie wil, kan een eenmalige donatie doen via steun het meten. Betalingen lopen via Mollie B.V. (Amsterdam). Je betaalgegevens komen bij Mollie terecht, niet hier: deze site ontvangt alleen het bedrag, een betalingskenmerk en of de betaling is gelukt. Er wordt geen naam, adres of rekeningnummer van de gever bewaard. Op de verwerking door Mollie is hun eigen privacybeleid van toepassing.

Een donatie heeft geen enkele invloed op een meting, een cijfer of een plek in de ranglijst, en er wordt niet bijgehouden wie er doneert. Wie doneert komt dus ook niet in een lijst terecht — niet in een goede en niet in een slechte.

De site draait op een eigen server bij Hetzner in Finland — de bezoekersteller staat op diezelfde machine, dus er gaan geen bezoekgegevens naar een statistiekenbedrijf. Voor het doorsturen van een melding over een nieuw bezwaar wordt een e-mailserver gebruikt, en voor donaties Mollie. Verder zijn er geen verwerkers, geen advertentiepartijen en geen doorgifte naar landen buiten de Europese Economische Ruimte. Er wordt niets verkocht of gedeeld.

Je hebt recht op inzage, correctie, verwijdering, beperking en bezwaar. Voor alles wat met een gepubliceerde meting te maken heeft is het bezwaarformulier de snelste weg; alle andere verzoeken kunnen naar security@privacyschandpaal.nl. Je krijgt binnen vier weken antwoord. Ben je het oneens met de afhandeling, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Verandert er iets aan wat er gemeten of bewaard wordt, dan wordt deze pagina bijgewerkt. Hoe er gemeten en gewogen wordt, staat uitgeschreven op hoe er gemeten wordt.