Privacyverklaring

Versie van 09-09-2026.

1. Verwerkingsverantwoordelijke

Rostyslav Myronenko, handelend onder de namen „Rost CAMP" en „Aufsight" (eenmanszaak), Daguerrestraat 23, 1087 BR Amsterdam, Nederland. E-mail: contact@aufsight.com. KvK: 95487530.

2. Gratis scan (verwerking uitsluitend in uw browser)

Bij de gratis scan laadt u netwerk-/proxylogbestanden in uw browser. Deze bestanden worden uitsluitend lokaal in uw browser (client-side, in JavaScript) verwerkt. De ruwe logs verlaten uw apparaat niet en worden niet naar onze servers verzonden. Alleen een geaggregeerd, PII-vrij samenvattingsobject wordt naar onze server verzonden.

Het samenvattingsobject bevat uitsluitend geaggregeerde en technische gegevens: schemaversie en aanmaaktijdstip; taal en tenant-aanduiding; versies van de dienstencatalogus en de gebruikte parsers; invoer-metadata (aantal bestanden, datavolume, aantal regels, waarnemingsperiode, aandeel niet-verwerkbare regels); totalen (aantal AI-events, aantal gedetecteerde AI-diensten en het aantal verschillende bronnen uitsluitend als grove klasse: 2–5, 6–20, 21–50, meer dan 50 — een klasse „1" bestaat niet); per gedetecteerde AI-dienst de naam en categorie uit onze geverifieerde catalogus, het geaggregeerde aantal events, het aandeel, de kalenderweek (ISO 8601) van de eerste en laatste waarneming en een accountsignaal (consumer/enterprise/gemengd/onbekend); categorie-aggregaten; een organisatiebrede gebruiksverdeling uitsluitend op het niveau van ISO-8601-kalenderweken; en statische methodiek- en blindevlek-aanduidingen. Het object bevat door zijn constructie geen vrijetekstvelden uit de logdata (dienstnamen komen uitsluitend uit de catalogus). Het bevat GEEN IP-adressen, gebruikersnamen, hostnamen, apparaat-ID's, URL's of individuele gegevens; IP-adressen worden alleen vluchtig in de browser afgekort (IPv4 /24, IPv6 /48) voor ontdubbeling en daarna verwijderd.

Minimumaggregatie: levert de analyse minder dan twee verschillende bronnen op, dan wordt geen samenvattingsobject aangemaakt of verzonden; de analyse blijft in dat geval volledig lokaal in uw browser. De kleinste verzonden grootteklasse is „2–5".

Juridisch standpunt: in deze modus verwerken wij uit de loginhoud geen persoonsgegevens, maar anonieme aggregaten. Dit standpunt is gebaseerd op de anonimiseringscriteria van WP29 Opinion 05/2014 (WP216) — uitsluiting van singling out, linkability en inference — en op de contextuele beoordeling van identificeerbaarheid in de recente rechtspraak van het Hof van Justitie van de EU. Door de minimumaggregatie (geen verzending onder twee verschillende bronnen; kleinste grootteklasse „2–5") is singling out ook in zeer kleine organisaties door de constructie zelf uitgesloten.

3. Optionele server-assist (verwerking in opdracht)

Indien u hier uitdrukkelijk voor kiest, worden de logbestanden server-side verwerkt op EU-infrastructuur. In deze modus treedt Aufsight uitsluitend op als verwerker in de zin van art. 28 AVG, in opdracht van de uploadende organisatie als verwerkingsverantwoordelijke; grondslag is de bij de upload elektronisch gesloten verwerkersovereenkomst „Server-Assist" (art. 28 lid 9 AVG). De verantwoordelijkheid voor de inhoud van de logbestanden en de rechtmatigheid van de verwerking ligt bij de uploadende organisatie. De verwerking vindt uitsluitend plaats om het geaggregeerde, PII-vrije rapport te genereren; de bestanden worden versleuteld opgeslagen (AES-256-GCM) en na afronding van de betreffende verwerking (bijv. foutanalyse), doch uiterlijk geautomatiseerd na 24 uur, verwijderd. Serverlocatie: EU (zie punt 4).

Gegevensbeschermingseffectbeoordeling (DPIA): uit netwerk- en proxylogs kan blijken welke AI-diensten vanaf welke bronnen in uw netwerk zijn benaderd. De lijst van verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is van de Autoriteit Persoonsgegevens (Stcrt. 2019, 64418) noemt de controle van werknemers; de Duitse Datenschutzkonferenz-lijst (lijst op grond van art. 35 lid 4 AVG, niet-openbare sector, versie 1.1 van 17-10-2018) noemt de omvangrijke verwerking van gegevens over het gedrag van medewerkers. Of een DPIA vereist is, hangt af van de concrete inzet in uw organisatie; deze lijsten vormen het startpunt van die beoordeling. Voor de gratis scan geldt de minimumaggregatie van punt 2 (geen verzending onder twee verschillende bronnen; kleinste grootteklasse „2–5"); voor server-assist-uploads en betaalde audits ondersteunt Aufsight uw beoordeling als verwerker (art. 28 lid 3 sub f AVG).

4. Hosting en CDN

Scanner (scan.aufsight.com): Hetzner (DE/FI) en/of Scaleway (FR/NL/PL). Marketingsite (aufsight.com): BunnyCDN; de uitlevering is beperkt tot Europese locaties (EU-PoPs). Technische verbindingsgegevens worden verwerkt op grond van gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Er zijn verwerkersovereenkomsten (art. 28 AVG) gesloten.

5. Plausible Analytics

Cookieloos, in de EU gehost. Geen cookies, geen persoonsgegevens, geen apparaatoverschrijdende profielen. Naar onze mening is geen toestemming vereist onder de Nederlandse cookieregels (art. 11.7a Telecommunicatiewet), omdat er geen gegevens op uw randapparatuur worden geplaatst of uitgelezen.

6. E-mailmarketing (Brevo) en dubbele opt-in

Aanmelding via dubbele opt-in; grondslag toestemming (art. 6 lid 1 sub a AVG); voldoet aan art. 11.7 Telecommunicatiewet. EU-servers. Verwerkersovereenkomst met Brevo aanwezig.

7. Contact- en leadgegevens

Verwerkt voor afhandeling van uw verzoek (art. 6 lid 1 sub b/f AVG).

8. Doorgifte buiten de EU

Uitsluitend verwerking binnen de EU/EER is voorzien. Voor zover wij dienstverleners inzetten waarvan het moederconcern in een derde land is gevestigd, of voor zover gegevens naar derde landen worden doorgegeven, baseren wij dit op het adequaatheidsbesluit van de Europese Commissie (Data Privacy Framework) of op de EU-standaardcontractbepalingen (SCC's).

9. Uw rechten

Inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar, intrekken toestemming.

10. Toezichthouder

Leidende toezichthouder: Autoriteit Persoonsgegevens (enige vestiging in NL, art. 56 lid 1 AVG). Duitse gebruikers kunnen zich ook tot hun Duitse toezichthouder wenden. AP, Postbus 93374, 2509 AJ Den Haag.