Privacy & veiligheid

Wat er met je gegevens gebeurt — en wat we nog niet kunnen beloven.

Je gegevens zijn er om onderzoek naar jouw ziekte mogelijk te maken. Daar wordt dus naar gekeken — maar zonder dat iemand weet dat het jouw gegevens zijn. Deze pagina beschrijft geen intenties maar mechanismen: elk punt komt overeen met iets in de code of met een regel die je browser afdwingt.

In het kort

Je antwoorden staan onder een codeDe tabellen met je antwoorden hebben geen kolom voor een naam, e-mailadres of telefoonnummer — alleen een pseudonieme deelnemerscode. Wie die code aan een persoon kan koppelen, zit in een apart systeem waar onderzoekers niet bij komen.
Een aanvraag is geen deelnameVraag je toegang aan, dan bewaren we je e-mailadres — in een aparte tabel, met dat als enige doel, zonder enige gezondheidsgegevens en niet gekoppeld aan een deelnemerscode. Het gaat niet naar derden, en op verzoek ([email protected]) gaat het eruit.
Antwoorden zijn onveranderlijkEen gegeven antwoord wordt nooit overschreven. Een correctie is een nieuwe regel die naar de oude verwijst, met de module_version van de vraag erbij — zodat het herformuleren van een vraag de betekenis van oude antwoorden niet stil verandert.
Vrije tekst blijft binnenWat je in je eigen woorden schrijft, gaat standaard niet mee in een onderzoeksexport. Alleen de getypeerde waarden gaan mee. Vrije tekst kan namen van anderen bevatten.
Geen trackers, geen advertentie-IDGeen analytics, geen advertentienetwerk, geen externe scripts. Camera, microfoon, locatie en sensoren zijn met een Permissions-Policy geblokkeerd — de browser weigert ze, ook als de app er ooit om zou vragen.
Alles van één domeinEen Content-Security-Policy staat alleen bronnen van deze site toe. Er valt geen script van buiten binnen, en de pagina kan niet in een iframe van iemand anders worden gezet.
De AI mag niets verzinnenHet taalmodel kiest alleen uit vragen die al zijn goedgekeurd, en elk antwoord dat het eruit leest wordt gevalideerd voordat het data wordt. Elke formulering gaat langs een controle op advies, interpretatie en risicotaal; wat daar niet door komt, wordt vervangen door de goedgekeurde tekst.
Veiligheidsteksten zijn nooit gegenereerdAls je iets schrijft dat op acuut gevaar wijst, wordt het model niet eens aangeroepen. Je krijgt een vaste, door mensen geschreven verwijzing naar echte hulp.
Volledig auditspoorElke keuze van het systeem is terug te zien: welke vragen in aanmerking kwamen en waarom, wat er is vastgelegd, en elke keer dat een gegenereerde formulering is afgekeurd of vervangen.
Onderzoekers zien data, geen personenJe gegevens zijn bedoeld om onderzoek naar jouw ziekte mogelijk te maken — daar wordt dus naar gekeken. Wat onderzoekers krijgen is een deelnemerscode zonder naam of contactgegevens. Wie die code aan een persoon kan koppelen, is een aparte, beperkte en gelogde bevoegdheid.
Geen zorg die je monitortChronity is een dagboek, geen zorgkanaal. Er wordt niet meegelezen om op te reageren en er beoordeelt niemand hoe ernstig iets is. Bij urgente klachten ga je naar je huisarts — de app zegt dat ook zo en mag nooit suggereren dat het anders is.

Hoe het technisch werkt

Voor wie het wil narekenen: dit zijn de mechanismen achter de punten hierboven, met de namen die ze in de code hebben.

Pseudonimisering: De tabellen met je antwoorden bevatten geen naam, e-mailadres of telefoonnummer, alleen een deelnemerscode. Het koppelen van code aan persoon is een aparte functie met eigen toegangscontrole. Dit is niet anonimiteit: omdat de app je eigen historie kan laten zien, blijven de gegevens herleidbaar. Die woordkeuze doet ertoe, dus gebruiken we “anoniem” niet.
Aanvragen apart gehouden: Het e-mailadres van een toegangsaanvraag staat in access_requests, één rij per adres, met een eigen doel: je laten weten wanneer er iets te zien is. Die tabel bevat geen gezondheidsgegevens en geen deelnemerscode, dus een aanvraag is niet aan een deelnemer te koppelen. Je krijgt één bevestigingsmail, zonder tracking, en verder niets automatisch. Het adres komt niet in het auditspoor, alleen het domein.
Append-only opslag: Antwoorden worden alleen toegevoegd, nooit gewijzigd of verwijderd. Een correctie is een nieuwe regel die verwijst naar het origineel. Daardoor is de geschiedenis van wat je hebt gemeld altijd reconstrueerbaar.
Versievastlegging: Bij elk antwoord staat de exacte versie van de vraag die je hebt beantwoord. Wordt een vraag later anders geformuleerd, dan is dat een nieuwe versie en blijven jouw oude antwoorden gekoppeld aan de oude tekst.
Inhoud is data, geen code: Vragen staan in een apart, versioneerd bestand met een cryptografische hash. Publiceren vereist dat elke verplichte reviewer precies die hash heeft ondertekend. Content die de validatie niet haalt, weigert de app te tonen in plaats van er iets van te maken.
Grenzen aan het taalmodel: Het model kan alleen kiezen uit vragen die de engine op dat moment toestaat — kiest het iets anders, dan wordt het vervangen. Een waarde die het uit je antwoord leest, wordt gevalideerd tegen de vraag: het kan geen schaal oprekken en geen antwoordoptie verzinnen. Twijfelt het model, dan wordt er niets vastgelegd.
Controle op formuleringen: Elke gegenereerde zin gaat langs een controle op advies, interpretatie, risicotaal, beloftes over genezing en suggesties dat iemand meekijkt. Komt een zin daar niet door, dan krijg je de goedgekeurde formulering te zien en wordt de afkeuring gelogd.
Vaste veiligheidsteksten: Schrijf je iets dat op acuut gevaar wijst, dan wordt het model niet aangeroepen. Je krijgt een vaste, door mensen geschreven verwijzing. Chronity beoordeelt niet hoe ernstig iets is — dat is geen taak van een dagboek-app.
Browser-afgedwongen beperkingen: Een Content-Security-Policy laat alleen bronnen van deze site toe en verbiedt inbedding in een iframe. Een Permissions-Policy blokkeert camera, microfoon, locatie, sensoren en advertentie-API’s. Antwoorden van de server worden met no-store uit elke cache gehouden.
Auditspoor: Vastgelegd wordt: welke vragen in aanmerking kwamen en waarom niet, wat er is opgeslagen, wie of wat het heeft opgeslagen, en elke ingreep op een gegenereerde zin. Het spoor is alleen-toevoegen.

Wat er nog niet klaar is

De eerlijke helft. Zonder deze lijst zijn de beloftes hierboven niet te wegen.

Wat nog niet klaar is

Accounts, het consent-register en account verwijderen werken. De app is beperkt beschikbaar, alleen in Nederland. Zolang de DPIA, de audit en de pentest hieronder niet rond zijn, gaan er geen gegevens van echte deelnemers op deelnemersniveau naar onderzoekers, ook niet als je toestemming voor onderzoek hebt gegeven.
De DPIA is in concept en nog niet vastgesteld. Een onafhankelijke security-audit en een penetratietest zijn nog niet gedaan. Alle drie moeten rond zijn voordat onderzoekers met gegevens van echte deelnemers mogen werken.
Geen goedgekeurd onderzoeksprotocol en geen klinisch reviewer. De vragen per ziektebeeld en de doorvraagregels zijn concepten die nog klinisch beoordeeld moeten worden.
De onderzoeksexport bestaat: pseudoniem, alleen getypeerde waarden van deelnemers met onderzoekstoestemming, nooit onder een drempelwaarde voor groepsgrootte (K) en zonder vrije tekst. Wie er toegang toe krijgt, en onder welk protocol, ligt nog niet vast.
Bijdragen zijn gebouwd maar staan uit. De 80/20-verdeling naar onderzoek is een voornemen, geen actieve garantie: eerst moet vastliggen wat marge is, wie het ontvangt en wie dat controleert.

Chronity is niet klinisch gevalideerd. Het stelt geen diagnose, geeft geen behandeladvies en is geen medisch hulpmiddel.

Je rechten

Je toestemming bestaat uit drie losse keuzes — meedoen, gebruik voor onderzoek, en uitspraken uit het cohort zien — en elke keuze kun je apart terugdraaien, in de app en op de site. Een intrekking is een nieuwe regel in het register; het register laat dus zien wat wanneer gold.

Je kunt je account zelf verwijderen, in de app of op chronity.org/account. Dan worden je login, je e-mailadres, de koppeling met je deelnemerscode en al je antwoorden en gesprekken gewist. Wat blijft is het toestemmingsregister — met een intrekking voor elk doel — omdat dat het bewijs is van wat je toestond en wanneer dat ophield. Uitkomsten die al over minstens K deelnemers samen zijn berekend, bevatten geen regel van jou en zijn niet naar jou terug te leiden.

Nog niet klaar in de app: inzage in en een export van wat er over je is vastgelegd, en het pauzeren van herinneringen. Tot die er zijn, vraag je inzage aan via [email protected].

Vragen, een verzoek over je gegevens of een klacht: mail [email protected]. Chronity is een initiatief van Neveoh BV, dat verantwoordelijk is voor de verwerking. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.