Privacy als uitgangspunt, niet als voetnoot
Vertrouwen is geen instelling achteraf.
In vrijwel elke website die ik voor dit product doornam, staat privacy onderaan bij de juridische documenten. Terwijl het over foto's van andermans kinderen gaat. Bij Kinora zit het in de werking zelf, en hieronder staat precies hoe.
De juiste persoon ziet precies genoeg
Ouder, co-ouder, voogd, ophaler, begeleider en directie hebben elk hun eigen beeld. Voor het team en de directie is tweestapsverificatie verplicht, niet optioneel. Een uitgelekt wachtwoord volstaat dus niet.
Het gezin beslist over de foto's
Foto's voor het gezin, groepsfoto's, gebruik in communicatie, uitstappen, medische info: aparte toestemmingen die het gezin zelf aan- en uitzet. Meteen van kracht, altijd terug te draaien, met de volledige historiek bewaard.
Alles laat een spoor na
Wie wat wanneer wijzigde staat in een auditlog dat de directie kan inkijken. Vraagt een gezin om verwijdering, dan is er een knop en een bewijs, geen belofte.
Gegevens blijven in Europa
Versleuteld gehost in West-Europa, op infrastructuur van Cloudflare. Geen advertentietrackers in de beveiligde omgeving, en kindgegevens worden nergens hergebruikt.
Zo min mogelijk verzamelen
Kinora vraagt geen rijksregisternummers, geen inkomensgegevens, geen medisch dossier. Alleen wat de opvangdag zelf nodig heeft.
Toegang die stopt als iemand vertrekt
Een wachtwoordwijziging maakt alle bestaande sessies meteen ongeldig. Voor vertrekkende medewerkers hoort dat bij het afsluitproces van de opvang.
Voor wie met IT meekijkt
Hoe het technisch in elkaar zit
Kinora draait op Cloudflare Workers met een database in West-Europa. Er is geen server die je zelf moet onderhouden en geen software die je moet installeren. Het werkt in de browser van een gewone telefoon.
- Wachtwoorden worden gehasht met PBKDF2-HMAC-SHA256 op 600.000 iteraties, volgens de OWASP-richtlijn, met een eigen salt per gebruiker.
- Tweestapsverificatie via TOTP (RFC 6238), verplicht voor begeleiders, directie en platformbeheer, met begrenzing op het aantal pogingen.
- Sessies staan aan de serverkant met een vervaltijd, in een cookie dat niet leesbaar is voor JavaScript. Afmelden werkt dus echt.
- Toegangscontrole loopt via één centrale functie die bij elke opvraging nagaat of deze persoon dit kind mag zien, ook binnen bulkacties.
- Foto's worden gecontroleerd op hun werkelijke bestandstype en met toegangscontrole geserveerd. Een onraadbare link volstaat niet.
- Auditlog per organisatie, met actor, actie, doel, IP en tijdstip.
Een halve dag van je tijd
Ik kom gewoon eens kijken.
Geen presentatie van een uur. Ik loop mee op de groep, kijk hoe jullie het vandaag doen, en daarna weten we allebei of dit iets is.