XS News staat voor volledige privacy en beveiliging. Dat zijn twee verschillende dingen en ze zijn allebei belangrijk. Bij privacy gaat het om de wet en om wat een bedrijf besluit op te slaan. Bij beveiliging gaat het om hoe je verbinding is beschermd zolang die openstaat. Op deze pagina lees je over allebei, tot in detail.
We kunnen er concreet over zijn in plaats van alleen geruststellend, want privacy komt neer op drie controleerbare feiten: waar een bedrijf is ingeschreven, waar de servers staan en met welke wet ze te bereiken zijn. Die bepalen wat er echt met je gegevens kan, wat er ook in de voorwaarden staat. Elke andere privacybelofte op internet, ook die van ons, rust daarop.
Waarom de jurisdictie al het andere bepaalt
Gegevensbescherming is niet in de eerste plaats een technische kwestie. Versleuteling beschermt gegevens onderweg. De wet bepaalt wat ermee gebeurt zodra ze zijn aangekomen, en aan welke regels het bedrijf dat ze beheert zich moet houden.
Daarom is de eerste vraag die je een provider moet stellen niet “versleutelen jullie?”, want dat doet vrijwel iedereen. De vraag is: “onder de wet van welk land vallen jullie?” Een bedrijf kan je gegevens maar zo ver beschermen als zijn eigen juridische omgeving toelaat. Voorbij dat punt doen goede bedoelingen er niet meer toe.
XS News is ingeschreven in Nederland, en de servers waarmee je vanuit Europa verbinding maakt, staan in de regio Amsterdam. De partij waarmee je een contract hebt, en de enige partij aan wie een verzoek gericht kan worden, is een Nederlands bedrijf. Er is geen moederbedrijf in een ander land. Europees zijn heeft naast juridische ook praktische gevolgen, zoals latency, prijzen in euro’s en de openingstijden van de klantenservice: wat een Europese provider in de praktijk betekent →
De Amerikaanse CLOUD Act geldt niet voor ons
De CLOUD Act is een Amerikaanse wet uit 2018. Daarmee kunnen Amerikaanse autoriteiten een Amerikaanse dienstverlener dwingen om klantgegevens af te staan. Het belangrijkste punt: de wet geldt ongeacht het land waar de gegevens fysiek zijn opgeslagen.
Juist dit detail wordt vaak over het hoofd gezien. Een Amerikaanse provider kan een datacenter in Frankfurt of Amsterdam huren, volkomen naar waarheid adverteren met “Europese servers” en toch onder die wet vallen. De servers staan in Europa, het bedrijf niet. Geen enkele clausule in de algemene voorwaarden kan opzijzetten wat de eigen overheid zo’n bedrijf verplicht.
“EU-servers” zegt op zich dus weinig. Waar het om gaat, is waar het bedrijf zelf is ingeschreven, en ons bedrijf is ingeschreven in Nederland. Er zit geen Amerikaanse entiteit in onze structuur waar de CLOUD Act vat op kan krijgen: geen Amerikaans moederbedrijf, geen Amerikaanse dochteronderneming en geen Amerikaanse partij die onze infrastructuur namens ons beheert.
Dat is geen beleid dat we later stilletjes kunnen aanpassen. Het volgt uit hoe het bedrijf in elkaar zit.
Wat de AVG je echt oplevert
De AVG wordt zo vaak genoemd dat het bijna een formaliteit lijkt. Dat is het niet. De wet geeft je concrete, afdwingbare rechten over de gegevens die een bedrijf over je heeft:
- Inzage: je kunt vragen welke gegevens we over je hebben, en dat moeten we je vertellen.
- Rectificatie: wat niet klopt, wordt gecorrigeerd.
- Verwijdering: je kunt je gegevens laten wissen, behalve als we ze wettelijk moeten bewaren. Dat geldt voor facturen, zolang de Nederlandse belastingwet dat voorschrijft.
- Overdraagbaarheid: je kunt je gegevens opvragen in een vorm die je kunt meenemen naar een andere partij.
- Bezwaar: je kunt bezwaar maken tegen verwerking waar je niet om hebt gevraagd.
Achter die rechten zit ook een principe dat zwaarder weegt dan elk afzonderlijk recht: dataminimalisatie. Onder de AVG mogen we alleen verzamelen wat we echt nodig hebben voor de dienst. Niet wat misschien interessant is en niet wat later te gelde kan worden gemaakt, maar wat noodzakelijk is. Daarmee komen we bij het belangrijkste deel van deze pagina.
Wat we opslaan en wat bewust niet
De sterkste privacygarantie is geen belofte om gegevens te beschermen. Het is die gegevens helemaal niet hebben. Wat nooit is vastgelegd, kan niet uitlekken bij een datalek. Het kan ook niet later worden opgevraagd, aan een adverteerder worden verkocht of door een medewerker worden kwijtgemaakt.
- Je e-mailadres: om je inlogcodes, facturen en servicemeldingen te sturen.
- Je gebruikersnaam: daarmee herkent de server je verbindingen.
- Je abonnement en de status ervan: zodat je de dienst krijgt waarvoor je hebt betaald.
- Betalingsgegevens: facturen die we wettelijk moeten bewaren.
Vier gegevens. Laat er één weg en de dienst werkt niet meer of is in strijd met de wet.
- Wat je downloadt. We houden niet bij welke artikelen je hebt opgevraagd.
- Welke groepen je leest of hebt bekeken.
- Waar je naar hebt gezocht in je newsreader.
- Je downloadgeschiedenis: we kunnen je geen lijst laten zien, want er is geen lijst.
- Gedragsprofielen: die maken we niet, en we verkopen niets aan wie dan ook.
Niets hiervan is nodig om Usenet-toegang te leveren. Onder de AVG mogen we het dus sowieso niet verzamelen.
Zie je het verschil? De linkerkolom is kort, omdat dat moet. Aan de rechterkolom zie je of een privacybeleid serieus is of alleen voor de sier.
Waar je gegevens echt staan
Daar zijn we graag concreet over, want “Europees” is makkelijk gezegd en makkelijk af te zwakken. Je accountgegevens (e-mailadres, abonnement en betalingsgegevens) worden door XS News bewaard op Europese servers. Niet door een partner en niet door een verwerker op een ander continent.
We hebben ook servers in de Verenigde Staten, en we zeggen er duidelijk bij waarvoor: snelheid, en verder niets. Klanten in Noord-Amerika hebben zo een korte route naar de artikelen en hoeven niet voor elk verzoek de Atlantische Oceaan over. Daar staan geen klantgegevens. Een Usenet-artikel is openbare data die iedereen kan ophalen. Je account is dat niet, en dat blijft in Europa.
Wie ziet wat
Het helpt om precies te zijn over welke partij wat te weten komt, in plaats van vaag over “privacy” in het algemeen te praten:
Versleuteling: 256-bit SSL/TLS, standaard aan
Alles hierboven gaat over privacy: welke wet er geldt en wat we weigeren op te slaan. De rest van deze pagina gaat over beveiliging: wat de verbinding zelf beschermt, elke keer dat je verbinding maakt.
Elke verbinding tussen je newsreader en onze servers is beveiligd met 256-bit SSL/TLS-versleuteling op poort 563, de standaardpoort voor beveiligd NNTP. (Je ziet beide namen voor hetzelfde: TLS is de moderne opvolger van SSL, en de meeste newsreaders noemen de instelling nog steeds “SSL”.) Het is geen premiumfunctie, geen add-on en geen vinkje dat je ergens in de instellingen moet zoeken. Zo is de dienst standaard ingesteld.
Wat je daar concreet aan hebt:
- Je internetprovider kan je verkeer niet lezen. Die ziet versleutelde bytes naar een Nederlands adres gaan, maar niets van de inhoud.
- Ook niemand anders onderweg kan meelezen, niet op openbare wifi, niet in een hotel en niet op een gedeelde lijn.
- De verbinding is geauthenticeerd, zodat je newsreader kan controleren dat hij echt met onze server praat en niet met iets dat zich daarvoor uitgeeft.
Onze handleidingen voor newsreaders gebruiken overal de versleutelde instellingen. Welke je ook volgt, SSL/TLS staat daarna gewoon aan, zonder dat je erover hoeft na te denken.
Veilig inloggen en een goed beheerd account
Je account heeft een eigen gebruikersnaam en wachtwoord, waarmee elke verbinding afzonderlijk wordt geauthenticeerd. Dat heeft twee praktische gevolgen:
- Je kunt het wachtwoord zelf wijzigen, wanneer je maar wilt, via het ledengedeelte. Raakt er een apparaat kwijt of heb je je inloggegevens gedeeld met iemand die je niet meer vertrouwt? Dan hoef je niemand te benaderen: wijzig het wachtwoord en elke verbinding die het oude gebruikt, werkt niet meer.
- Je logt in op je account met een eenmalige code die je per e-mail ontvangt, dus wie in je accountomgeving wil komen, heeft toegang tot je mailbox nodig en niet alleen een geraden wachtwoord.
Geen app, dus geen telemetrie
Deze zie je makkelijk over het hoofd, omdat het om iets gaat wat er juist níét is. Usenet werkt via een standaardprotocol, met een newsreader die je zelf kiest. Er staat geen XS News-app op je computer of telefoon.
Er draait dus geen software van ons op je apparaat die gebruiksstatistieken, crashrapporten, apparaat-ID’s, advertentie-ID’s of een contactenlijst zou kunnen verzamelen. Zelfs als we het wilden, zouden we geen gedragsprofiel van je apparaat kunnen opbouwen, want we hebben er niets op geïnstalleerd. Alleen een server, een poort en je inloggegevens.
Eerst proberen, dan beslissen
Je hoeft een website hierin niet zomaar op zijn woord te geloven. Ons privacybeleid is de formele versie van deze pagina, en in onze voorwaarden lees je de rest.
Wil je de dienst zelf testen? Kies dan een abonnement dat je met een paar klikken kunt opzeggen. Alles op deze pagina geldt voor elk abonnement dat we aanbieden, maandelijks of jaarlijks. Privacy is bij ons geen upgrade.
