Privacyverklaring

Wie er verantwoordelijk is

Ik, Hugo van der Geest, ben verantwoordelijk voor wat er op deze site met jouw gegevens gebeurt. Er zit geen bureau tussen en er is geen afdeling om naar door te verwijzen: je mailt mij en je krijgt antwoord van mij.

Bedrijf

GoHugo, eenmanszaak van Hugo van der Geest

Adres

Zwanebloemlaan 36, 1087 CD Amsterdam

E-mail

hugo@gohugo.nl

Telefoon

06 39 86 52 97

KvK-nummer

88568377

Het contactformulier

Het formulier vraagt om drie dingen: je naam, je e-mailadres en waar het over gaat. Meer is er niet, en dat is bewust. Ik heb je telefoonnummer, je bedrijf en je budget niet nodig om te kunnen antwoorden; als het nodig is vraag ik het in mijn antwoord.

Dat bericht komt als gewone e-mail in mijn mailbox terecht, op dezelfde server als deze website. Er zit geen formulierdienst en geen mailplatform tussen. Ik gebruik het om je te antwoorden en om de afspraken na te kunnen kijken die daaruit volgen. Ik zet je niet op een lijst, ik stuur je geen nieuwsbrief, en ik geef je gegevens niet door.

Om te voorkomen dat iemand het formulier gebruikt om te spammen, telt de server hoeveel berichten er per uur van hetzelfde IP-adres komen, met een maximum van vijf. Dat telletje staat alleen in het werkgeheugen en is bij de eerste herstart weg. Je IP-adres gaat niet mee in de mail en wordt nergens bewaard.

Leidt het gesprek nergens toe, dan verwijder ik het bericht binnen een jaar. Wordt het een opdracht, dan bewaar ik de correspondentie zolang die opdracht loopt en daarna zeven jaar, omdat de Belastingdienst dat voor de administratie voorschrijft. Wil je eerder weg, dan mail je me dat en dan doe ik dat.

De grondslag is het uitvoeren van een overeenkomst, of het treffen van maatregelen op jouw verzoek voordat die er is. Voor de administratie daarna is dat een wettelijke plicht.

Het logboek van de webserver

Elke webserver noteert welke pagina wanneer is opgevraagd. Hier staat per verzoek in: het IP-adres waarvandaan het kwam, het tijdstip, de opgevraagde pagina, of het gelukt is, hoeveel bytes eruit gingen, de pagina waarvandaan je klikte, en welke browser het meldde te zijn. Dat gebeurt op de server. Er is geen cookie en geen script in je browser voor nodig, en er wordt ook niets in je browser achtergelaten.

Ik gebruik dat logboek om te zien dat de site het doet, waar hij stukgaat, en hoeveel pagina’s er worden opgevraagd. De grondslag is mijn gerechtvaardigd belang om de site werkend en veilig te houden. Ik koppel die regels niet aan personen, ik bouw er geen profielen mee, en ze gaan naar niemand toe.

Het logboek wordt automatisch opgeruimd. Het rolt door zodra het bestand tien megabyte groot is, en tien dagen daarna wordt het gewist. Dat is dus geen vaste termijn in dagen; bij dit bezoekaantal komt het neer op een paar weken.

Op de voorpagina staan bezoekcijfers per project. Een script telt die elk uur uit het logboek en bewaart alleen aantallen: hoeveel pagina’s er op een dag zijn opgevraagd. Er gaat geen IP-adres, geen browser en geen opgevraagde pagina in dat bestand. In die cijfers zit dus niets dat naar een persoon te herleiden is.

Wat er niet gebeurt

Dit is het deel dat op de meeste sites ontbreekt, en het is het deel waar het om gaat. Op gohugo.nl staat geen Google Analytics of ander statistiekpakket. Geen advertentienetwerk. Geen knoppen van sociale netwerken die meekijken. Geen YouTube, geen Google Maps, geen ingesloten agenda of formulier van iemand anders. Geen A/B-test, geen heatmap, geen sessieopname.

Ook het lettertype komt van mijn eigen server en niet van Google, zodat je browser bij het openen van deze pagina met niemand anders praat dan met gohugo.nl. En er worden geen cookies gezet; zie het cookiebeleid.

Wie het verder ziet

De server staat bij Hetzner, een Duits bedrijf, in een datacentrum binnen de Europese Unie. Zij leveren de machine en zien de gegevens niet, maar hebben er technisch toegang toe, en zijn daarmee verwerker. Er gaat niets naar landen buiten de Europese Economische Ruimte.

Verder is er niemand. Geen mailplatform, geen formulierdienst, geen klantsysteem in de cloud. De website, de database en de mail draaien op dezelfde server, en die beheer ik zelf.

Hoe het beveiligd is

Het verkeer naar deze site gaat versleuteld over https. Inloggen op de server kan alleen met een sleutel en niet met een wachtwoord, er worden dagelijks back-ups gemaakt en updates worden bijgehouden.

Op de server draait fail2ban. Dat blokkeert het adres van iemand die het herhaaldelijk probeert bij het inloggen op de server of bij de mail. De eerste keer een uur, daarna telkens twee keer zo lang tot maximaal een week, en wie blijft terugkomen wordt vier weken geweerd. Zo’n blokkade staat in een bestandje op de server en wordt een dag na het verlopen ervan opgeruimd. Voor de website zelf is dat niet nodig: daar draait geen WordPress en geen kant-en-klaar systeem, dus de geautomatiseerde inbraakpogingen die elke site dagelijks krijgt komen gewoon op een 404 uit.

Het maillogboek van de server, waar de verzendregels van het contactformulier in terechtkomen, wordt wekelijks doorgerold en na vier archieven gewist. Dat komt neer op ongeveer vijf weken.

Zou er ondanks dat een datalek zijn dat een risico voor jou oplevert, dan hoor je dat van mij, en meld ik het bij de Autoriteit Persoonsgegevens.

Wat jij mag

Je mag opvragen welke gegevens ik van je heb, ze laten verbeteren, ze laten wissen, of bezwaar maken tegen het gebruik ervan. Je mag ze ook in een leesbaar bestand meekrijgen. Mail daarvoor naar hugo@gohugo.nl. Je krijgt binnen twee werkdagen een reactie en binnen een maand een antwoord op je verzoek.

Vind je dat ik het niet goed doe, dan mag je klagen bij de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder. Ik zou het fijn vinden als je het eerst bij mij probeert, maar je hoeft dat niet.

Als ik een site voor je beheer

Deze verklaring gaat over gohugo.nl. Bouw en beheer ik een site of applicatie voor jou, dan sta jij aan het roer over de gegevens die daarin staan en ben ik verwerker. Wat ik daarin wel en niet mag, leggen we vast in een verwerkersovereenkomst. Die krijg je bij de opdracht en staat ook los tot je beschikking. Zie verder de algemene voorwaarden.

Wijzigingen

Verandert er iets aan de site waardoor deze verklaring niet meer klopt, dan wordt zij bijgewerkt en verandert de datum onderaan. Er staat geen versie van twee jaar geleden op een site die inmiddels iets heel anders doet.