Privacyverklaring

1. Wie zijn wij?

Datalekchecker.nl is een dienst van NCRB, gevestigd te Roermond, Nederland. Ingeschreven bij de Kamer van Koophandel onder nummer 74939742.

Contactgegevens voor privacyvragen:
E-mail: info@datalekchecker.nl
Website: ncrb.nl

2. Welke gegevens verwerken wij?

Bij het uitvoeren van een datalekcheck

Wanneer je een e-mailadres invoert om te controleren of het voorkomt in bekende datalekken, wordt dit e-mailadres doorgestuurd naar de Have I Been Pwned API én naar de Hudson Rock Community API (voor de infostealer-controle) om het resultaat op te halen. Datzelfde geldt voor een gebruikersnaam, IP-adres of domein dat je controleert: die waarde wordt naar Hudson Rock gestuurd. Wij slaan de ingevoerde gegevensniet permanent op: het resultaat wordt maximaal 10 minuten in het werkgeheugen van onze server bewaard om herhaalde checks te versnellen en daarna automatisch gewist door een periodieke opruiming. Wij loggen geen zoekopdrachten: de ingevoerde waarde wordt nergens naar schijf geschreven en verlaat onze server alleen richting de bronnen die hierboven genoemd zijn.

Bij de wachtwoord-check

De wachtwoord-check werkt volledig in je eigen browser. Je wachtwoord wordt lokaal omgezet in een cryptografische hash; alleen de eerste 5 tekens van die hash worden rechtstreeks vanuit je browser naar de Pwned Passwords-dienst van Have I Been Pwned gestuurd (het zogeheten k-anonimiteitsmodel). Je wachtwoord zelf verlaat je browser nooit, bereikt onze servers niet en wordt nergens opgeslagen of gelogd.

Bij aanmelding voor monitoring

Als je ervoor kiest om meldingen te ontvangen bij nieuwe datalekken (door het vinkje aan te zetten of op “Waarschuw mij” te klikken), sturen wij je eerst een bevestigingsmail (double opt-in); pas nadat je op de bevestigingslink hebt geklikt, wordt je e-mailadres in de monitoringlijst opgeslagen. Na bevestiging slaan wij de volgende gegevens op bij onze e-mailprovider Brevo (gevestigd in Frankrijk, EU):

• Je e-mailadres
• Het tijdstip van je aanmelding (als bewijs van toestemming)
• De namen van datalekken waarin je e-mailadres is aangetroffen (nodig om te bepalen welke lekken “nieuw” zijn)
• De datum van de laatste controle

Wij slaan geen wachtwoorden, risicoscores of andere gevoelige persoonsgegevens op. De opgeslagen datalekkenlijst wordt uitsluitend gebruikt om te voorkomen dat je dubbele meldingen ontvangt. Om je te kunnen waarschuwen sturen wij je e-mailadres maandelijks (in de eerste dagen van de maand) opnieuw naar Have I Been Pwned om te controleren op nieuwe datalekken.

Tijdelijke opslag in je browser (sessionStorage)

De resultaten van je datalekcheck worden tijdelijk opgeslagen in de sessionStorage van je browser, zodat je het resultaat kunt bekijken op de resultatenpagina. Deze gegevens worden automatisch verwijderd zodra je het browsertabblad sluit. Wij hebben geen toegang tot deze gegevens — ze verlaten je browser niet.

Server logs

Onze hostingprovider Vercel registreert automatisch beperkte technische gegevens, waaronder IP-adressen. Deze worden maximaal 30 dagen bewaard.

3. Waarvoor gebruiken wij je gegevens?

• Het uitvoeren van de datalekcheck die je aanvraagt
• Het versturen van meldingen bij nieuwe datalekken (alleen als je je hiervoor aanmeldt)
• Het beveiligen en verbeteren van onze dienst

4. Op welke grondslag verwerken wij je gegevens?

• Datalekcheck: gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Je vraagt zelf actief een check aan.
• Monitoring: toestemming (artikel 6 lid 1 sub a AVG). Je meldt je actief aan door het vinkje aan te zetten of op “Waarschuw mij” te klikken.
• Server logs: gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Noodzakelijk voor beveiliging en foutopsporing.
• Webstatistieken (Vercel Analytics & Speed Insights): gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Cookieloos en zonder persoonsgegevens.

5. Met wie delen wij je gegevens?

Wij verkopen je gegevens niet aan derden. Wij delen je gegevens niet met andere partijen dan hierboven vermeld. Met Brevo hebben wij een verwerkersovereenkomst (DPA) gesloten. Brevo is ISO 27001-gecertificeerd en verwerkt alle gegevens binnen de Europese Unie. Met Vercel hebben wij eveneens een verwerkersovereenkomst.

6. Doorgifte buiten de EU

Hudson Rock is gevestigd in Israël. Voor Israël geldt een adequaatheidsbesluit van de Europese Commissie: doorgifte is daarmee toegestaan op grond van artikel 45 AVG.

Have I Been Pwned is gevestigd in Australië. De doorgifte van je e-mailadres is noodzakelijk voor de uitvoering van de check die je zelf aanvraagt (artikel 49 lid 1 sub b AVG). Meld je je aan voor monitoring, dan gebeurt de maandelijkse controle op basis van jouw uitdrukkelijke toestemming.

Vercel kan gegevens verwerken in de VS onder het EU-US Data Privacy Framework en de gesloten verwerkersovereenkomst.

Upstash slaat IP-adressen kortstondig op voor misbruikpreventie (rate limiting). Voor zover Upstash gegevens buiten de EU verwerkt, gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie (artikel 46 lid 2 sub c AVG) en de met Upstash gesloten verwerkersovereenkomst.

Met Have I Been Pwned en Hudson Rock hebben wij geen verwerkersovereenkomst: zij treden op als zelfstandige verwerkingsverantwoordelijken voor hun eigen databases. De doorgifte van je zoekopdracht aan deze partijen is noodzakelijk om de check die je zelf aanvraagt te kunnen uitvoeren.

7. Hoe lang bewaren wij je gegevens?

• E-mailadres voor datalekcheck: niet opgeslagen.
• Gegevens voor monitoring (e-mailadres, datalekkenlijst, controledatum): totdat je je uitschrijft. Bij uitschrijving halen wij je e-mailadres uit de monitoringlijst én verwijderen wij het contactrecord met bijbehorende gegevens definitief bij Brevo.
• IP-adres voor rate limiting: maximaal 60 seconden.
• Server logs (IP-adressen): maximaal 30 dagen.

8. Hoe beveiligen wij je gegevens?

• Alle verbindingen zijn versleuteld via HTTPS (TLS 1.2 of hoger)
• Scanresultaten worden niet opgeslagen bij een eenmalige check (alleen bij monitoring worden datalekkennames bewaard)
• API-sleutels worden uitsluitend server-side verwerkt en zijn niet toegankelijk via de browser
• E-mailadressen voor monitoring worden opgeslagen bij een ISO 27001-gecertificeerde provider
• Wij gebruiken geen tracking cookies of marketingtools
• Toegang tot systemen is beveiligd met tweestapsverificatie

9. Cookies & lokale opslag

Wij gebruiken uitsluitend functionele cookies die noodzakelijk zijn voor de werking van de website. Concreet:

• cookies-accepted: onthoudt of je de cookiemelding hebt gezien. Duur: 1 jaar.
• theme (localStorage): onthoudt je voorkeur voor licht of donker thema.
• sessionStorage (breachResult, checkedValue, dlc-subscribed): bewaart tijdelijk de resultaten van je datalekcheck zodat je het resultaat kunt bekijken. Wordt automatisch gewist bij het sluiten van het tabblad.

Wij plaatsen geen tracking cookies of marketing cookies. Wij gebruiken geen Google Analytics, Facebook Pixel of vergelijkbare trackingdiensten.

Webstatistieken

Wij gebruiken Vercel Web Analytics en Vercel Speed Insights voor anonieme bezoekersstatistieken en prestatiemetingen. Deze diensten werken volledig cookieloos: er worden geen cookies geplaatst, geen IP-adressen opgeslagen en geen individuele bezoekers geïdentificeerd of gevolgd. De verzamelde gegevens zijn volledig geanonimiseerd en niet herleidbaar tot individuele personen.

10. Jouw rechten

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heb je de volgende rechten:

• Recht op inzage — je kunt opvragen welke gegevens wij van je verwerken.
• Recht op rectificatie — je kunt onjuiste gegevens laten corrigeren.
• Recht op verwijdering — je kunt vragen om verwijdering van je gegevens.
• Recht op beperking — je kunt vragen om beperking van de verwerking.
• Recht op dataportabiliteit — je kunt vragen om overdracht van je gegevens.
• Recht van bezwaar — je kunt bezwaar maken tegen de verwerking.
• Recht om toestemming in te trekken — je kunt je toestemming voor monitoring op elk moment intrekken via de uitschrijflink in elke e-mail of door contact met ons op te nemen.

Voor het uitoefenen van je rechten kun je contact opnemen via info@datalekchecker.nl. Wij reageren binnen 30 dagen op je verzoek.

Je hebt daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

11. Wijzigingen

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen. De meest recente versie is altijd beschikbaar op deze pagina met vermelding van de datum van de laatste wijziging.

12. Bronvermelding

De datalekgegevens die worden getoond via onze check zijn afkomstig van Have I Been Pwned, beschikbaar gesteld onder de Creative Commons Attribution 4.0 International (CC BY 4.0) licentie.