Welke gegevens verlaten je connector

Je connector staat bij jou, en jouw gebouwdata blijft daar tot je haar zelf aan iemand levert. Toch gaat er meer naar buiten dan alleen geleverde data: een connector moet bewijzen dat hij lid is, afspraken maken met andere connectors en zijn bewijs laten verankeren. Op deze pagina staat alles wat je connector naar buiten stuurt, aan wie, en waarom. En wat we meten in de persoonlijke demo, waar de software zelf niets meet.

Aan de Trust Authority

De Trust Authority ziet nooit de inhoud van een levering. Wat ze wel krijgt:

Je aanmelding. Organisatie, KvK-nummer, de gevraagde rollen en het ondertekende mandaat van je tekenbevoegde. Daarmee beoordeelt de Trust Authority of je lid mag worden.
Je lidmaatschapsbewijs ophalen en vernieuwen. Je connector vraagt het lidmaatschapsbewijs aan en haalt na twee derde van de looptijd een nieuw op. De Trust Authority ziet dus wanneer je connector actief is.

Heartbeat met telemetrie. Elke 30 seconden, in drie niveaus die een admin kiest onder Instellingen, Telemetrie:

Niveau	Wat de Trust Authority krijgt
Alleen gezondheid	de versie en de toestand van de onderdelen (database, data plane, bewijs)
Gezondheid en aantallen	daarnaast de aantallen uit de statistiek: overeenkomsten, leveringen, verzoeken
Gezondheid, aantallen en activiteit	daarnaast per gebeurtenis het soort, het tijdstip en de tegenpartij, met een pseudoniem in plaats van het id van het proces; de standaard

Het pseudoniem is een hash van je eigen DID en het id van het proces. De Trust Authority kan zo gebeurtenissen van één proces bij elkaar zien, maar niet terugrekenen welk proces het is. Inhoud, meetwaarden en paden van verzoeken stuurt de connector nooit mee.

Verankering van je bewijs. Elke minuut, als er iets nieuw is, de laatste hash van je bewijsketen. De notaris ziet alleen die hash en geeft een ondertekend ontvangstbewijs terug.
Je DID-geschiedenis. Elke nieuwe versie van je DID-document, met je publieke sleutels, gaat naar de Trust Authority als getuige. Die gegevens zijn toch al openbaar.
Een bewijspakket, alleen als jij dat deelt. Met Delen met de Trust Authority stuur je een bewijspakket mee met je toestemming, bijvoorbeeld bij een geschil. Zonder die handeling krijgt de Trust Authority geen inhoud.

Aan andere deelnemers

Afspraken. Catalogusverzoeken, aanvragen, overeenkomsten, leveringen en opzeggingen gaan naar de connector van de tegenpartij, elk ondertekend. Daarbij laat je connector je lidmaatschapsbewijs zien, met je rollen.
Erkenning en aanwijzing. Laat je een datahouder namens jou leveren, dan gaan verzoek, acceptatie en intrekking naar diens connector, met de afbakening: welke gebouwen en punten.
Data, alleen onder een overeenkomst. Je data plane levert wat een overeenkomst toestaat, aan de dataontvanger van die overeenkomst. Elk verzoek en antwoord wordt ondertekend.
Ophalen van gegevens van anderen. Om handtekeningen te controleren haalt je connector de DID-documenten van tegenpartijen op, en de statuslijst van de Trust Authority om te zien of een lidmaatschapsbewijs is ingetrokken. Die partijen zien dus dat je connector ze controleert.

Aan je eigen omgeving

Je identity provider (inloggen), je eigen opslag voor logs als je die instelt, en je eigen systemen achter de connector. Die zijn van jou. De optionele gebouwservice zoekt openbare gegevens van een pand op bij de BAG (PDOK), en het energielabel bij EP-Online als je daar een sleutel voor hebt. Daarbij gaat alleen het adres of de BAG-identificatie mee.

In de persoonlijke demo

Wie een persoonlijke demo aanmaakt, krijgt een eigen, volledige dataspace om in te proberen. In die demo leggen we vast welke onderdelen je gebruikt, om je beter te helpen. Je stemt daarmee in bij het registreren. Dit is wat we vastleggen:

Welke onderdelen je opent. Elk verzoek naar je demo komt langs het portaal, dat controleert of de demo van jou is. Daarbij noteren we de tijd, het onderdeel (de hostnaam, bijvoorbeeld de connector van een organisatie), de methode en het pad als sjabloon: nummers en namen in het pad worden {id}. Geen zoekopdrachten, geen inhoud van formulieren, geen antwoorden.
Met welk demo-account je inlogt, uit de logboeken van de Keycloak van je demo.
Hoe ver je bent op de looproute van de startpagina, van buitenaf gelezen uit de stand van je demo, bijvoorbeeld of de nieuwe connector is aangemeld.
Je account: e-mailadres, naam, en wat je bij de aanvraag invulde.

Waarom. Om te zien waar je bent gebleven, wat je interessant vond en wat onduidelijk is, en om de demo en deze documentatie te verbeteren. We noemen het demogebruik, om het niet te verwarren met de telemetrie van een connector hierboven.

Hoe lang. Een demo verdwijnt na 14 dagen zonder gebruik; drie dagen ervoor krijg je een mail. Je account en alles wat we over je gebruik vastlegden, verdwijnen na zes maanden zonder activiteit, of eerder als je dat vraagt. In het portaal zie je onder Uw activiteit precies wat wij zien, en verwijder je je account zelf.

Op de documentatie en de kijkdemo tellen we alleen hoe vaak een pagina wordt opgevraagd, uit de logs van de webserver. Niets daarvan is aan een persoon te koppelen.