Privacybeleid

01In het kort

• Een account is een willekeurige sleutel. We bewaren de hash ervan, niet de sleutel, en verder niets dat naar jou wijst: geen e-mail, geen naam, geen wachtwoord, geen telefoonnummer.
• Onze servers zien je IP-adres zolang je verbonden bent, zoals elke VPN-server, en schrijven het niet in hun logs.
• We leggen niet vast welke websites je bezoekt, wat de inhoud van je verkeer is of welke DNS-verzoeken je doet.
• Deze site heeft één klein eigen script, geen analytics en geen bronnen van derden. Ze zet een cookie als je inlogt, en nog een alleen als je een taal kiest.

02Je account

Als je een account aanmaakt, genereert de site een willekeurige sleutel van 20 tekens en toont die één keer. De database bewaart:

• een SHA-256-hash van de sleutel. Genoeg om hem bij het inloggen te herkennen, niet genoeg om hem te herstellen.
• het accountnummer, de aanmaakdatum, de dag waarop het voor het laatst is gebruikt en of het account is uitgeschakeld.
• je apparaten. Per apparaat: het nummer in het account, een willekeurige naam zoals Quiet Otter, de datum waarop het is toegevoegd en het sleutelpaar waarmee het met onze servers praat. We bewaren de privéhelft zodat we het bestand opnieuw kunnen geven. Bij een apparaat dat de app heeft toegevoegd ook een willekeurige ID die de app bij de installatie heeft bedacht, zodat de site hem de volgende keer herkent. Verwijder je een apparaat, dan wordt dit allemaal gewist.
• je toegangssleutels, als je die toevoegt. Per sleutel: de ID die je apparaat eraan gaf, de publieke sleutel, de naam in je account, de handtekeningteller die de sleutel zelf bijhoudt, of hij de vorige keer om je pincode of vingerafdruk vroeg, de datum waarop hij is toegevoegd en de dag waarop hij het laatst is gebruikt. Daarnaast een willekeurige ID waaraan je apparaat ziet dat deze sleutels bij één account horen. De privésleutel verlaat je apparaat nooit. Een toegangssleutel verwijderen wist dit allemaal.
• je gesprek met support, als je ons schrijft: de berichten en wanneer ze zijn verstuurd. Het wordt 30 dagen na het laatste bericht verwijderd, of eerder als jij of wij het verwijderen. Verwijderen haalt het uit de database.

We kunnen je sleutel niet opnieuw sturen, niet resetten en niet vertellen wat hij was. We hebben hem nooit gehad, alleen de hash. Raak je hem kwijt, dan is het account niet te herstellen, tenzij het een toegangssleutel heeft: daarmee kun je hier nog inloggen en een nieuwe sleutel krijgen.

03Abonnement, verkeer en betalingen

• Je abonnement en het begin en einde van de huidige periode.
• Het verkeer dat je account in de huidige periode heeft gebruikt, per server, in bytes. Het is nodig om de limiet van het abonnement te handhaven en wordt elke nieuwe periode vervangen.
• Dagtotalen van het verkeer per server voor alle gebruikers samen. Die zijn niet per persoon op te splitsen.
• Bestellingen: welk abonnement, het bedrag en de valuta, wanneer ze geplaatst is en of ze betaald, geannuleerd of vervallen is. Bij een betaling in cryptovaluta ook het netwerk en de transactie waarmee betaald is. Bestelde je met een promotiecode, dan ook de code en de prijs zonder. Een geannuleerde of vervallen bestelling wordt 30 dagen na het plaatsen verwijderd.

Betalingen gaan zoals beschreven naast je bestelling. Wat dat betaalkanaal ons laat zien (bijvoorbeeld de naam van de afzender van een bankoverschrijving) bereikt ons alleen via dat kanaal. We gebruiken het om de betaling aan het bestelnummer te koppelen en zetten het niet in de accountdatabase.

04Op onze VPN-servers

• Een server ziet het IP-adres waarvandaan je verbinding maakt, zolang je verbonden bent. Hij schrijft dat adres niet in zijn logs.
• Zijn dienstlog noteert dat een sessie van een accountnummer begon en eindigde, via welk toegangspunt en met welke snelheidslimiet. Je adres staat er niet in. Deze regels zijn nodig om de dienst draaiende te houden, en het systeemlog bewaart ze hooguit een maand.
• Hij telt het verkeer van elk account om limieten te handhaven, en onthoudt wanneer een account voor het laatst verbonden was. Is een account niet meer toegelaten op de server en al 30 dagen niet verbonden, dan vergeet de server beide.
• Om elke apparaatsleutel maar vanaf één computer tegelijk verbonden te houden, onthoudt een server, zolang een apparaat verbonden is, een willekeurig getal dat de app bij elke start kiest. Het wordt nergens opgeslagen en vergeten zodra het apparaat de verbinding verbreekt.
• Hij legt niet vast waarmee je verbinding maakt, wat de inhoud van je verkeer is of welke DNS-verzoeken je doet. Een mislukte verbinding wordt alleen met de fout gelogd. De enige uitzondering: een poging om via de tunnel een privénetwerkadres of de server zelf te bereiken wordt geweigerd, en die weigering wordt met het adres gelogd, maar niet met je account of je IP-adres.
• Bestanden delen via peer-to-peer-netwerken (BitTorrent, de trackers en DHT) wordt herkend aan de vorm van het verkeer en geblokkeerd. Het log noteert dan dat een sessie van een accountnummer bestanden deelde en hoe dat werd herkend. De betrokken adressen staan er niet in.

05Op deze website

• Eén cookie, gezet als je inlogt of een account aanmaakt. Het bevat een willekeurig sessietoken, en de database bewaart alleen de hash ervan. Het verloopt na 14 dagen, of als je uitlogt. Als je toegangssleutels gebruikt, noteert de database ook welke de sessie heeft geopend of bevestigd.
• Een tweede cookie alleen als je in het menu bovenaan een pagina een taal kiest. Het bevat de taalcode en verder niets, en blijft een jaar. Tot die tijd volgt de site de taal die je browser vraagt, en bewaart die niet.
• Eén klein eigen script. Het kopieert je accountsleutel of het betaaladres als je daarom vraagt, onthoudt het kleurthema dat je koos en sluit het taalmenu als je ernaast klikt. Als je een toegangssleutel toevoegt of gebruikt, vraagt het je browser erom en geeft het antwoord van de browser door aan deze site. Het thema staat in de lokale opslag van je browser en wordt nooit naar ons gestuurd.
• Geen analytics, geen advertenties, geen scripts, lettertypen of afbeeldingen van andere sites. Je browser praat alleen met deze site.
• De webserver houdt geen toegangslog bij. Om het raden van sleutels en massale aanmeldingen tegen te gaan, telt de site pogingen per IP-adres hooguit een uur in het geheugen. Onbekende promotiecodes worden net zo geteld, en ook per account. Die tellingen worden nooit naar schijf geschreven.

06In de app

• Als je inlogt met je accountsleutel, stuurt de app die sleutel en zijn willekeurige installatie-ID elke zes uur via HTTPS naar deze site om zijn actuele verbindingsbestand op te halen. Als de tunnel niet verbonden is, komt dat verzoek van je eigen adres.
• Eenmaal verbonden vraagt de app via de tunnel aan ipinfo.io waar de verbinding vandaan lijkt te komen, om dat op de kaart te tonen. ipinfo.io ziet het adres van onze server, niet het jouwe.
• Namen worden opgezocht via versleutelde DNS-resolvers binnen de tunnel, zoals ingesteld door de server waarmee je verbonden bent.
• De app houdt een log bij op je computer om te helpen bij problemen. Het verlaat je computer nooit uit zichzelf.

07Hoe lang we het bewaren

Alles hierboven wordt bewaard zolang het account bestaat, behalve wat volgens deze pagina eerder wordt verwijderd. Een account waarvoor nooit is betaald en dat geen lopend betaald abonnement en geen abonnement heeft dat alleen een beheerder toekent, wordt na 30 dagen zonder gebruik vanzelf verwijderd: geen verbinding met onze servers, geen inlog op deze site en geen verzoek van de app. Wordt het zo verwijderd, door jou in je account of door een beheerder, dan worden de sleutelhash, de apparaten, de toegangssleutels, het abonnement, de verkeerstellers, de bestellingen, het gesprek met support en de sessies samen verwijderd. De databasetabellen waarin ze stonden worden zonder ze herschreven, en de servers halen de apparaten van het account binnen ongeveer een minuut van hun toegangslijsten. Een promotiecode die je gebruikte, houdt de telling van dat gebruik en het bedrag bij, zonder koppeling aan het verwijderde account.

De database overschrijft de schijfruimte niet die de verwijderde gegevens innamen. Tot die ruimte opnieuw wordt gebruikt, kan iemand met toegang tot de schijf van de server recent verwijderde gegevens nog terughalen.

Van de database wordt elke dag een back-up gemaakt. Elke back-up wordt 30 dagen na het maken verwijderd, tenzij de back-ups al meer dan een week mislukken: dan blijven de oude bewaard tot er weer een lukt. Een verwijderd account blijft in de back-ups van vóór de verwijdering tot ook die zijn verwijderd.

08Verzoeken van derden

We kunnen alleen afgeven wat op deze pagina staat. We hebben geen e-mailadres of naam die aan een account gekoppeld is. Bij een betaling in cryptovaluta hebben we de transactie waarmee betaald is, en de openbare blockchain koppelt die aan de verzendende wallet. Verder weten we niets over hoe je betaalde. We hebben geen lijst van de sites die je bezocht en geen registratie van welk IP-adres welk account gebruikte.

09Wijzigingen

Als dit beleid verandert, verandert de datum bovenaan mee. Een wijziging waardoor er meer over je wordt verzameld, wordt op deze site aangekondigd voordat ze ingaat.

10Contact

Schrijf ons via het contact dat op deze site staat. We antwoorden zonder te vragen wie je bent. Een accountsleutel is daarvoor nooit nodig, en we vragen er nooit om.