Veiligheid en vertrouwen

U gaat ons documenten toevertrouwen die ertoe doen. Hier staat het, zonder omwegen: hoe we ze beschermen, wat we garanderen, wie er verantwoordelijk voor is — en ook wat we nog niet hebben. We zien liever dat u het zelf controleert dan dat u ons op ons woord gelooft.

01U kunt verzegelen zonder ons het document te geven

Het is de kortste weg om de twijfel weg te nemen: wat we niet ontvangen, kunnen we niet inzien. Bij ‘Verzegelen zonder het document te uploaden’ berekent uw browser de SHA-256-vingerafdruk van het bestand en verstuurt alleen die 32 bytes. Het document verlaat uw computer op geen enkel moment.

En u hoeft ons niet te geloven: controleer het zelf. Open de ontwikkelaarstools van uw browser, tabblad Netwerk, en verzegel een bestand. U ziet één enkel verzoek van ongeveer honderd bytes, met de vingerafdruk en de naam die u eraan geeft. Niets anders. Als het bestand werd geüpload, zou de volledige grootte daar verschijnen.

Wat we dan bewaren: de vingerafdruk, de datum en wie heeft verzegeld. De vingerafdruk is een getal van 64 tekens waaruit de inhoud niet kan worden gereconstrueerd — en dat is precies wat hem als bewijs bruikbaar maakt zonder iets te onthullen.

02Wanneer u ons het document wel geeft

Als u de gewone verzegeling gebruikt — een pdf uploaden of het hier opstellen — wordt de inhoud wel op onze servers opgeslagen, omdat de levende link het moet kunnen tonen aan degene aan wie u hem stuurt. We zeggen dat ronduit in plaats van het in de kleine lettertjes te laten: in die modus zouden we er technisch toegang toe kunnen hebben.

De gegevens worden opgeslagen in infrastructuur in de Europese Unie, met per klant gescheiden toegang en onder de contractuele verplichting van de verwerker. Maar een verplichting is een belofte, en een belofte moet je geloven. Daarom bestaat de modus hierboven: wat u aan niemand wilt toevertrouwen, geeft u ons niet.

03Wie er verantwoordelijk voor is

CODEX is geen anonieme startup en geen crypto-experiment voor een weekend. Het is een product van AIM, de softwaredivisie van BIOMAG, S.L.U. — een Europees bedrijf met eigen merken op de markt en jarenlange ervaring met het leveren van producten. Achter elk zegel staat een identificeerbare vennootschap, met vestigingsadres, handelsregister en wettelijke aansprakelijkheid.

04De cryptografische garantie

Het is het hart van CODEX en onafhankelijk te controleren — u hoeft ons niet op ons woord te geloven:

Praktisch gevolg: de geldigheid van een verzegeld document blijft bestaan, ook als CODEX, of zelfs de uitgever, niet meer zou bestaan — mits u het downloadbare bewijs hebt bewaard. Dat is de eigenschap die geen enkel systeem dat alleen op ‘vertrouw de aanbieder’ berust, kan bieden.

05Uw gegevens zijn van u

Geen gegevens in gijzeling en geen lock-in. U exporteert op elk moment:

• Het volledige bewijsregister als CSV (wie, wat, wanneer, met welk zegel).
• Uw hele CODEX in een ZIP: documenten, versies en bewijzen.

Als u op een dag besluit te vertrekken, gaat u met alles weg. Overdraagbaarheid is geen premiumfunctie: het is een recht.

06Privacy, AVG en AI

CODEX is een dienst van een Europees bedrijf, onderworpen aan Verordening (EU) 2016/679 (AVG), de Spaanse LOPDGDD en de LSSI. De gegevensverwerking staat beschreven in het privacybeleid en de voorwaarden van de verwerking in het bijbehorende document.

07Versleuteling en toegangscontrole

• Al het verkeer tussen uw browser en de dienst is versleuteld via HTTPS (TLS). Het is geen end-to-endversleuteling: wanneer u een document uploadt, ontvangt onze server het onversleuteld (als u verzegelt zonder ons het document te geven, ontvangt hij het zelfs niet).
• Toegang via een geauthenticeerd account met rollen en rechten per organisatie.
• Documentlinks worden geleverd met uitgeschakelde indexering (ze verschijnen niet in zoekmachines) en een integriteitscontrole bij elke opening.

08Europese soevereiniteit, zonder kleine lettertjes

Uw account en uw documenten worden opgeslagen op servers in de Europese Unie (Amsterdam, Nederland). Om precies te zijn, zoals in al het andere: het bedrijf dat die servers beheert (Railway) en het bedrijf dat onze e-mails verstuurt (Resend) zijn Amerikaans, met verwerkersovereenkomsten die de Europese standaardcontractbepalingen bevatten; en de tekst die u naar de AI-functies stuurt, wordt verwerkt in de Verenigde Staten. Wie wat verwerkt en waar, staat in de lijst van subverwerkers.

Zelfs onze lettertypen bellen Google niet. De meeste websites —ook die van veel ondertekenaanbieders— laden hun lettertypen van Google-servers, wat het IP-adres van elke bezoeker naar een derde buiten de EU stuurt zonder dat iemand erom vraagt (daar zijn veroordelingen voor, zoals die van de rechtbank van München in 2022). Hier leveren we ze vanaf ons eigen domein: wanneer u deze pagina opent, neemt uw browser met geen enkele derde contact op. U kunt het zelf controleren op het netwerktabblad van uw browser — u moet ons niet geloven, u moet het verifiëren.

09Subverwerkers

Om de dienst te leveren steunen we op een beperkte groep leveranciers (infrastructuur, transactionele e-mail, betalingen en AI-ondersteuning zonder bewaring), gepubliceerd met naam, gegevens en locatie in de lijst van subverwerkers. De contractuele waarborgen staan in het verwerkersovereenkomstdocument, dat u kunt bekijken voordat u contracteert.

10Wat we nog niet hebben

11Als u een beveiligingslek vindt

Schrijf ons op hola@aim-codex.ai met als onderwerp ‘Beveiliging’ (ook in security.txt). Onze toezegging:

• We bevestigen de ontvangst binnen maximaal 5 werkdagen en vertellen u wat we gaan doen.
• We ondernemen geen juridische stappen tegen wie te goeder trouw onderzoekt: zonder toegang tot gegevens van anderen verder dan nodig om het lek aan te tonen, zonder de dienst te verstoren en met een redelijke termijn voor ons om het te verhelpen voordat het openbaar wordt gemaakt.
• Reikwijdte: www.aim-codex.ai en de bijbehorende API.
• Als u wilt, noemen we u bij naam zodra het is verholpen. We bieden geen geldelijke beloningen.

Bekijk abonnementen en prijzen →