Privacyverklaring

Deze pagina beschrijft wat de website doet, en wat het CBER-ontwerp belooft en niet belooft. Er draait vandaag geen CBER-instance: er zijn geen deelnemers, geen wallets en geen grootboek. Wat hieronder over het systeem staat, is de norm die de regelset stelt aan een instance die ooit wél gaat draaien.

Deze website

Deze site is een statische wiki. Er is geen backend, geen inlog, geen account, geen cookie en geen analytics. Sinds 20 augustus 2026 worden ook de lettertypen lokaal geserveerd: er gaat geen enkel verzoek naar een derde partij, ook niet naar Google. Dat was hiervoor wel zo, en dat was fout op een site die transparantie predikt; het is gemeld door een adversariële privacyzitting en dezelfde dag gerepareerd.

De simulator op /sim/ draait volledig in je browser. Er wordt niets verzonden, niets opgeslagen en niets gelogd; wat je instelt en wat eruit komt, ziet niemand anders.

De webserver houdt gebruikelijke technische logregels bij (IP-adres, tijdstip, opgevraagd pad), nodig om de site te kunnen serveren en te beveiligen. Die worden niet gebruikt om bezoekers te volgen of te profileren.

Vragen of verzoeken: info@robingenis.com.

Wat het ontwerp belooft

De regelset (CBER-1) en het identiteitsanker (FEP-5fcf) leggen deze grenzen op aan een instance:

• Het grootboek publiceert systeemniveaus, geen levens. Individuele saldi, transacties, afroepen, plaatsen in de wachtrij en leveringsgegevens worden nooit gepubliceerd, in geen enkele vorm en ook niet pseudoniem. Van je eigen mutaties krijg je een privébewijs dat ze correct in de som zijn meegeteld.
• Verbruiks- en leveringsgegevens zijn risicogegevens. Uit een verbruikspatroon is af te leiden of iemand thuis is, wanneer hij slaapt, welke apparatuur hij gebruikt en soms wat hij gelooft of mankeert. Profileren of segmenteren op verbruikspatroon is daarom een breuk met de regelset, niet een beleidskeuze.
• Er is geen aparte achterdeur, en dat is de hele truc. In fase 0 kent je coöperatie je gewoon via haar ledenadministratie. Juist daarom mag zij géén tweede voorziening aanleggen die vooraf sleutels klaarlegt om pseudoniemen aan namen te koppelen: dat zou een koppeling scheppen die er nog niet is. Pas als je federeert en een instance haar leden níet kent, komt er een drempelprocedure met meerdere onafhankelijke bewaarders binnen de EU, en alleen na een rechtmatig bevel van een bevoegde autoriteit (in Nederland ook een vordering van de officier van justitie).
• Het kijken wordt geteld, maar jij staat niet in de etalage. Openbaar zijn de aantallen: hoeveel vorderingen er kwamen, van welke soort autoriteit, op welke grondslag, op vaste momenten en ook als het er nul waren. Wie is geopend staat daar niet bij: dat hoor jij privé, en beveelt een onderzoek uitstel van die melding, dan komt zij automatisch zodra dat uitstel afloopt.
• Behoud is geattesteerd, niet publiek narekenbaar. Dat er geen munt uit het niets komt, wordt in fase 0 aangetoond door een onafhankelijke auditor en medeondertekenende getuigen. Jij kunt dat als lid niet zelf narekenen, want de reeksen die dat mogelijk maken zijn precies de reeksen die op deze schaal mensen aanwijzen. Dat staat hier omdat het waar is, niet omdat het mooi klinkt.
• Er blijft een restvertrouwen. Waar sleutels over meerdere partijen zijn verdeeld, geldt de bescherming zolang minder dan het drempelaantal van die partijen samenspant. Spannen zij wél samen, dan is de afdwinging procedureel (het spoor in een medeondertekend logboek) en niet wiskundig. Dat restvertrouwen staat hier in plaats van te worden weggeschreven.
• Een DPIA is toelatingseis. Een instance mag niet starten zonder uitgevoerde gegevensbeschermingseffectbeoordeling.

Wat het ontwerp niet belooft

Eerlijkheid hoort ook hier te gelden, dus de grenzen staan er expliciet bij.

• Je eigen instance kent je. In fase 0 is een instance een gesloten coöperatie met een ledenadministratie. Pseudonimiteit geldt jegens het grootboek en jegens andere instances, niet jegens de organisatie waar je lid van bent.
• Volledige anonimiteit wordt bewust niet geboden. Anoniem geld sluit de taks en fraudedetectie uit. Dat is een keuze met een prijs, en de prijs staat hier.
• Onder ongeveer 10.000 deelnemers is pseudonimiteit zwak. In een dorp van 200 huishoudens kan een openbaar totaal al iets over een enkeling verraden. De regelset schrijft daarom drempels en onderdrukking voor, maar wie zekerheid zoekt op kleine schaal moet weten dat die er niet is.
• Dwang binnenshuis is een reëel risico. Wie moet vrezen dat een huisgenoot, ex-partner of familielid zijn gegevens gebruikt om hem te vinden of te dwingen, heeft aan gewone privacyregels niet genoeg. Zie hieronder.

Als je in gevaar bent

Als openbaarmaking van je locatie, je verhuizing of je status je in gevaar brengt, is de standaardwerking van dit systeem niet genoeg. Dat is geen randgeval maar een ontwerpvereiste: adversariële toetsing stelde vast dat de gevaarlijkste tegenstander vaak in hetzelfde huis zit.

De regelset schrijft daarom een veiligheidsroute voor. Wat die moet doen, is precies opgeschreven:

• Je verplaatst je uitbetaling onmiddellijk: geen aankondiging, geen wachttermijn, geen bezwaarrecht voor wie de oude binding had, geen verse buurtattestaties.
• Naar buiten toe verandert er niets zichtbaar: de publieke weergave en elke geautoriseerde inzage blijven de vorige bestemming en status tonen, zodat stilstand geen signaal wordt.
• Elke poging om je status te openen wordt vastgelegd en aan jou gemeld, nooit aan degene die het probeerde.
• Ook je sleutels vallen eronder: raakte je toestel in verkeerde handen, dan werkt herbinding onmiddellijk, zonder dat de zittende houder bericht krijgt of bezwaar kan maken.
• Je krijgt een vloer ook zonder eigen energiecontract, binnen 24 uur en zonder attestaties, want wie vlucht heeft die meestal niet.
• Eén attestatie van een instantie met beroepsgeheim vervangt de hele buurtronde.

Wees eerlijk gewaarschuwd over de stand. Dit is een normatieve eis aan wie het systeem bouwt, en die voorziening is nog niet gebouwd; er is nog geen geaccrediteerde instantie gecontracteerd die de markering kan zetten. Zolang dat zo is, mag een instance geen deelnemers werven onder mensen met een geheim adres, en dat is als toelatingsvoorwaarde vastgelegd. Als je nu in gevaar bent: dit systeem draait nergens, dus er is niets om je bij aan te melden; zoek hulp via Veilig Thuis (0800-2000) of de politie.

Status

Dit is een concept bij een ontwerp in ontwikkeling, geen juridische mededeling van een bestaande dienstverlener. De volledige privacyanalyse, inclusief de bezwaren die nog openstaan, staat in het openbare raadsverslag en in de werkdocumenten van het project.