Wat "no logs" echt betekent

Welke soorten logs zijn er

Vier categorieën, en die mogen nooit als één worden besproken. Als een aanbieder "no logs" zegt zonder een categorie te noemen, heeft hij je vrijwel niets verteld, want de frase kan eerlijk gezegd ook een dienst beschrijven die alles bewaart behalve een surfgeschiedenis.

De categorieën verschillen in gevoeligheid. Activiteitenlogs kunnen je leven reconstrueren. Verbindingslogs kunnen je op een tijdstip aan een adres koppelen. Diagnostiek is doorgaans alledaagse crashdata. Betaalgegevens identificeren je, maar zeggen niets over wat je online deed.

• Activiteitenlogs — bezochte sites, DNS-verzoeken, inhoud van het verkeer: de gevoeligste soort
• Verbindingslogs — tijdstippen, je bron-IP, gebruikte server, verstuurde bytes
• Diagnostische logs — crashes, appversie, mislukte verbindingen
• Betaalgegevens — facturen, transactie-id's, factuurgegevens

Welke logs een dienst technisch niet nodig heeft

Activiteitenlogs zijn nooit nodig om een VPN te draaien. Pakketten doorsturen vereist niet dat je onthoudt waar ze heen gingen, dus een aanbieder die bezochte domeinen of DNS-verzoeken vastlegt, heeft daarvoor gekozen. Dit is de ene categorie waar "wij bewaren niets" technisch haalbaar is en zwart-op-wit in het beleid hoort te staan.

Verbindingslogs per gebruiker zijn ook te vermijden, met een nuance. Een server moet je bronadres kennen zolang de sessie open is, anders heeft het retourverkeer geen bestemming. De ontwerpvraag is wat er daarna gebeurt: een privacygerichte dienst houdt die staat in het geheugen en gooit hem weg bij het verbreken, terwijl een loggende dienst hem met tijdstempels naar schijf schrijft. Geaggregeerde tellers, zoals de totale belasting per server, hebben helemaal geen detail per gebruiker nodig.

Kortlevende diagnostiek is verdedigbaar voor debuggen, maar de bewaartermijn hoort in dagen te tellen, de data mag geen surfbestemmingen bevatten en crashrapportage hoort opt-in te zijn in de client.

Wat elke betaalde dienst sowieso bewaart

Een accountrecord: je e-mailadres of een andere identifier, de status en einddatum van het abonnement, en limieten voor apparaten of verbindingen. Zonder dat kan de dienst je niet binnenlaten of factureren. Een beleid dat claimt dat er helemaal niets wordt opgeslagen, is op zichzelf al een rode vlag, want dat kan voor geen enkel abonnementsbedrijf waar zijn.

Betaalgegevens leven zelfs langer dan accounts. Kaartverwerkers en betaalwetgeving schrijven bewaartermijnen van jaren voor, en het verwijderen van je account wist geen factuur uit een boekhouding. Met crypto betalen verkort dit spoor aan de kant van de aanbieder, maar wist nooit de administratie van de verwerker zelf. De eerlijke samenvatting: betaaldata bewijst dat je klant was, en een goed ontworpen systeem houdt die losgekoppeld van alles wat beschrijft waarvoor de verbinding is gebruikt.

Waarin een audit verschilt van een belofte

Een belofte op de landingspagina kost niets en bewijst niets. Een onafhankelijke audit betekent dat een extern bureau op een bepaald moment servers, configuraties en code heeft onderzocht en heeft gerapporteerd of de praktijk overeenkwam met het beleid. Dat is een wezenlijk hogere lat, en aanbieders die slagen, publiceren doorgaans het rapport, niet alleen een badge.

Audits hebben eerlijke grenzen. Ze beschrijven de systemen op de dagen van het onderzoek, niet voor altijd daarna; de scope kan smal zijn; en de auditor ziet waartoe hij toegang kreeg. Een tweede, indirecte vorm van bewijs zijn rechtbankstukken: zaken waarin een aanbieder data moest overleggen en niets bruikbaars te bieden had. Geen van beide bewijst de toekomst — samen verslaan ze een slogan met ruime afstand.

Waarom jurisdictie zwaarder weegt dan het beleid

Omdat de wet boven marketing gaat. Een aanbieder die gevestigd is in een land met een verplichte bewaarplicht moet zich daaraan houden, wat zijn website ook belooft, en sommige jurisdicties kunnen een dienst dwingen om stilletjes een specifieke gebruiker te gaan loggen. Het beleid beschrijft de intentie; de jurisdictie bepaalt wat kan worden afgedwongen.

Lees de twee dus samen. Waar is het bedrijf gevestigd, welke rechters hebben macht over het, en waar staan de servers fysiek — het recht van het serverland kan gelden, ook al zit het bedrijf ergens anders. Een no-logs-beleid in een jurisdictie zonder bewaarplicht is een kloppend verhaal. Hetzelfde beleid onder een bewaarwet is een tegenstrijdigheid die de aanbieder zou moeten uitleggen — en dat gebeurt zelden.

Zo controleer je een beleid zelf

Lees het privacybeleid, niet de homepage, en zoek er de vier categorieën bij naam in op. Een betrouwbaar beleid benoemt wat er wordt verzameld, hoelang elk onderdeel bewaard blijft en wat er gebeurt bij het verwijderen van je account. Vage documenten verschuilen zich achter brede werkwoorden: "we kunnen bepaalde technische informatie verzamelen" kan alles betekenen, tot volledige verbindingslogging aan toe.

Aurora's positie, in het kort: wij houden geen activiteitenlogs bij — geen registratie van de sites die je bezoekt of het verkeer dat je verstuurt — en alles wat we wél opslaan, van accountmail tot betaalgegevens, staat uitgeschreven in het privacybeleid in plaats van samengevat in een slogan.

Formuleringen waarbij je moet vertragen en twee keer lezen:

• "No logs" zonder definitie van welke soorten logs bedoeld worden
• "We verzamelen geanonimiseerde data" zonder beschrijving van de anonimisering
• Ontbrekende bewaartermijnen, of "zolang als nodig"
• Een beleid dat nergens ingaat op reacties op juridische verzoeken
• Nergens in het document een genoemde jurisdictie of bedrijfsentiteit