Cookieverklaring — Vortasyn

Cookieverklaring Vortasyn

Duurzame cookie- & trackingarchitectuur voor Vortasyn

Versie: 15 oktober 2026

Status: beperkte first-party analytics zijn actief op vortasyn.nl en testanalytics staan uit. De Basiscursus Digitale Weerbaarheid op elearning.vortasyn.nl gebruikt alleen een noodzakelijke voortgangscookie nadat de bezoeker de basiscursus zelf start. Twee gescheiden count-only QR-/campagnetellers zijn actief. Nieuwsbriefinschrijving en bulkmail blijven uit.

1. Wat zijn cookies en vergelijkbare technieken?

Cookies zijn kleine gegevensbestanden die een website op uw apparaat kan opslaan of uitlezen. Websites kunnen daarnaast vergelijkbare technieken gebruiken, zoals localStorage, sessionStorage, pixels, embedded scripts of andere vormen van apparaatopslag.

Vortasyn kiest bewust voor zo weinig mogelijk opslag en tracking.

2. Uitgangspunt van Vortasyn

Voor Vortasyn geldt structureel als ontwerpregel:

geen advertentietracking;
geen cross-site tracking;
geen third-party advertentiepixels;
geen bezoekersprofielen voor marketing;
alleen technisch noodzakelijke first-party opslag waar dat echt nodig is;
alleen beperkte, privacyvriendelijke statistiek als deze binnen de AVG en cookieregels past;
geen toestemmingsbanner “voor de zekerheid” als er technisch niets te kiezen valt.

De feitelijke productiebuild is bepalend. Daarom controleert Vortasyn vóór livegang welke cookies, scripts, storage en externe resources werkelijk actief zijn.

3. Noodzakelijke cookies en opslag

Functionele of strikt noodzakelijke cookies/opslag mogen worden gebruikt wanneer zij nodig zijn voor een door de bezoeker gevraagde functie, beveiliging of een technische sessie.

Voorbeelden kunnen zijn:

een first-party sessie voor een beveiligde beheer- of testfunctie;
beveiligings- of CSRF-mechanismen;
tijdelijke technische statusinformatie die nodig is om een functie veilig te laten werken.

De publieke website en reguliere basiscursus horen volgens de huidige projectbaseline niet afhankelijk te zijn van een gewoon gebruikersaccount. Als accountfuncties later worden geactiveerd, worden alleen de daarvoor noodzakelijke cookies/opslag toegevoegd na de toepasselijke gate.

Voor strikt noodzakelijke cookies is voorafgaande toestemming niet vereist, maar Vortasyn informeert bezoekers er wel over.

4. Beperkte analytische technieken

Vortasyn kan beperkte first-party/server-side statistieken gebruiken om bijvoorbeeld te begrijpen:

hoeveel pagina’s worden bekeken;
welke pagina’s veel of weinig worden gebruikt;
waar technische fouten optreden;
uit welke grove bron bezoekers komen;
welke globale trends zichtbaar zijn.

Deze statistiek wordt privacyarm ingericht. Vortasyn gebruikt hiervoor geen advertentieprofielen, cross-site tracking of third-party advertentienetwerken.

Volledige ruwe IP-adressen worden niet als normale analyticsdimensie opgeslagen.

Als voor beperkte analytics cookies of andere apparaatopslag worden gebruikt die geen of slechts geringe gevolgen voor de privacy hebben, kan voorafgaande toestemming volgens de toepasselijke cookieregels niet nodig zijn. Als de uiteindelijke implementatie wél toestemmingsplichtig is, wordt de techniek geblokkeerd totdat geldige toestemming is gegeven.

Technische implementatie 28 september 2026: op test.vortasyn.nl gebruikte Vortasyn de hostgebonden first-party cookie vortasyn_analytics. De ondertekende cookie bevat een willekeurige browseridentifier en sessieidentifier van elk 128 bit plus uitgifte- en laatst-gezien-tijdstippen; geen naam, e-mailadres, IP-adres of andere inhoudelijke gebruikersgegevens. De cookie heeft geen Domain-attribuut, Path=/, Secure, HttpOnly, SameSite=Lax en een absolute, niet-schuivende maximale levensduur van 90 dagen. Server-side worden alleen domeingescheiden HMAC-SHA-256-pseudoniemen opgeslagen. Gebruik voor advertenties, cross-site tracking, fingerprinting of marketingprofilering is technisch en beleidsmatig uitgesloten. Na de gecontroleerde promotie via SVR-0114 is de beperkte analyticscollector op vortasyn.nl actief en staat testanalytics uit.

5. Trackingcookies

Vortasyn gebruikt in de huidige release geen trackingcookies voor advertenties, marketingprofielen of cross-site gedragsanalyse.

Als Vortasyn later een techniek wil toevoegen die wél als tracking of andere toestemmingsplichtige opslag geldt, dan gebeurt dat pas nadat:

duidelijk is welke gegevens worden verwerkt;
het doel is vastgelegd;
de ontvangers zijn benoemd;
de bewaartermijn is bepaald;
een geldige toestemmingsroute is ingericht;
weigeren even eenvoudig is als accepteren;
toestemming ook eenvoudig kan worden ingetrokken.

Zonder geldige toestemming wordt zo’n techniek niet geplaatst of uitgelezen.

6. Socialmedia, video’s en externe embeds

Een gewone link naar een extern platform hoeft geen trackingcode op de Vortasyn-pagina zelf te activeren.

Vortasyn vermijdt daarom waar mogelijk actieve socialmedia-widgets, trackingbuttons of embeds die al bij het laden van een pagina gegevens naar externe partijen sturen.

Als later bijvoorbeeld een videospeler, captcha, kaart, socialmedia-plugin of andere externe embed wordt toegevoegd, wordt eerst beoordeeld:

of de externe partij cookies of andere opslag gebruikt;
of persoonsgegevens worden doorgestuurd;
of toestemming nodig is;
of een privacyvriendelijker alternatief beschikbaar is.

Waar mogelijk wordt externe inhoud pas geactiveerd nadat de bezoeker daar bewust voor kiest.

7. First-party analytics en bezwaar

Wanneer Vortasyn persoonsgegevens verwerkt voor beperkte analytics op basis van gerechtvaardigd belang, kan bezwaar voor de betreffende browser direct worden uitgevoerd via de browser-specifieke bezwaarlink /analytics/bezwaar. De bezoeker kan het bezwaar ook per e-mail indienen via info@vortasyn.nl en vermeldt daarbij dat het om bezwaar tegen websiteanalytics gaat. Er staat bewust geen prominente opt-outknop en geen afzonderlijke analytics-instellingenlink in de algemene footer.

De publieke privacy- en cookiepagina’s bevatten de direct klikbare browser-specifieke bezwaarlink /analytics/bezwaar. De technische browservoorkeur vortasyn_analytics_optout bevat geen analyticsidentifier of profiel. Via de route wordt de analyticsidentifier onmiddellijk verwijderd en worden verdere pageview- en foutwrites voor deze browser geblokkeerd.

Deze opt-out mag zelf geen extra tracking introduceren.

Als de analytics uiteindelijk toestemmingsplichtig blijkt, wordt niet gewerkt met alleen een opt-out maar met voorafgaande geldige toestemming.

8. Hoe de technische inventaris wordt gecontroleerd

Vóór publieke livegang en bij een relevante technische wijziging wordt de echte releasebuild gecontroleerd op:

cookienaam;
aanbieder;
first-party of third-party;
doel;
noodzakelijkheid;
bewaartermijn;
domain/path;
SameSite/Secure/HttpOnly-instellingen waar relevant;
localStorage;
sessionStorage;
externe scripts;
ingebedde resources;
eventuele fingerprintingachtige technieken;
analyticsbibliotheken;
socialmedia-/video-/captcha-integraties;
toestemmingsstatus.

Alleen wat daadwerkelijk wordt aangetroffen en actief blijft, komt in het technische cookie-overzicht. Vortasyn publiceert geen verzonnen of verouderde cookienamen. De live-inventaris is leidend.

9. Actuele technische inventaris

De oorspronkelijke browser-, netwerk-, header- en code-inventaris is op 27 september 2026 vastgesteld. De actuele productie- en campagnestatus hieronder is bijgewerkt op basis van de technische releasebewijzen SVR-0114, SVR-0168 en SVR-0209; dit is geen nieuwe volledige browser-/netwerkscan.

vortasyn_session — aanbieder: Vortasyn; first-party/hostgebonden op test.vortasyn.nl; doel: beveiligde contactsessie en CSRF-bescherming; duur: browsersessie; Path=/; Secure; HttpOnly; SameSite=Lax; strikt noodzakelijk voor het contactformulier; geen voorafgaande toestemming vereist.
vortasyn_learning — aanbieder: Vortasyn; first-party/hostgebonden op elearning.vortasyn.nl; doel: voortgang binnen de Basiscursus Digitale Weerbaarheid zonder account; duur: maximaal 45 dagen; Path=/; Secure; HttpOnly; SameSite=Strict; strikt noodzakelijk voor de gevraagde leerfunctie; geen voorafgaande toestemming vereist. De cookie wordt pas geplaatst nadat je zelf kiest voor “Start de basiscursus”.
__cf_bm — aanbieder: Cloudflare in first-party context; uitsluitend conditioneel wanneer Bot Fight Mode een beveiligingscookie nodig heeft; doel: kwaadaardig geautomatiseerd verkeer herkennen; duur: 30 minuten na inactiviteit; Secure; SameSite=None; niet aangetroffen tijdens de normale release-scan; strikt noodzakelijke beveiliging; geen voorafgaande toestemming vereist.
cf_clearance — aanbieder: Cloudflare in first-party context; uitsluitend conditioneel nadat een Cloudflare-beveiligingschallenge is doorlopen; doel: bewijs van geslaagde challenge; standaardduur: 30 minuten; Secure; SameSite=None; Partitioned; niet aangetroffen tijdens de normale release-scan; strikt noodzakelijke beveiliging; geen voorafgaande toestemming vereist.
cf_ob_info en cf_use_ob — aanbieder: Cloudflare in first-party context; uitsluitend conditioneel bij een originstoring wanneer Always Online wordt gebruikt; doel: foutstatus/edgecontext en keuze voor een tijdelijke cachekopie; duur: 30 seconden; niet aangetroffen tijdens de normale release-scan; strikt noodzakelijke beschikbaarheidsfunctie; geen voorafgaande toestemming vereist.
localStorage — niet gebruikt.
sessionStorage — niet gebruikt.
/assets/app.js — aanbieder: Vortasyn; first-party functioneel script voor de website-interface; geen cookie of browseropslag; actief zolang de pagina open is; geen toestemming vereist.
Cloudflare e-mailadresdecoder — niet actief; Cache-Control: no-store, no-transform voorkomt dat Cloudflare dit helperscript in de geleverde HTML invoegt.
Cloudflare Web Analytics/RUM — niet actief; dezelfde no-transform-respons voorkomt de Insights-beacon. De live release-scan zag geen extern script en geen RUM-meetverkeer.
Cloudflare Bot Fight Mode JavaScript Detection — niet actief in de browser; de no-transform-respons voorkomt de edge-injectie, terwijl de overige server-side edgebeveiliging ongewijzigd blijft.
Cloudflare Network Error Logging — noodzakelijke operationele netwerkdiagnostiek via NEL- en Report-To-responseheaders; alleen bij een netwerkfout kan de browser een beperkt rapport naar Cloudflare sturen; beleidsduur in de browser maximaal 7 dagen; geen cookie of local/sessionStorage; geen rapport verzonden tijdens de foutloze release-scan; geen voorafgaande toestemming vereist.
vortasyn_analytics — aanbieder: Vortasyn; uitsluitend first-party en hostgebonden; sinds SVR-0114 actief op vortasyn.nl, testanalytics uitgeschakeld; doel: pageviews, unieke browsers, sessies/terugkerende bezoeken en geaggregeerde eigen statistiek; inhoud: ondertekende willekeurige browser- en sessie-ID van elk 128 bit plus noodzakelijke tijdstippen; absolute maximale duur 90 dagen; geen Domain-attribuut; Path=/; Secure; HttpOnly; SameSite=Lax; geen advertenties, cross-site tracking, fingerprinting of marketingprofiel.
vortasyn_analytics_optout — aanbieder: Vortasyn; afzonderlijke strikt functionele bezwaarvoorkeur zonder analytics-ID of profiel; waarde uitsluitend 1; maximale duur 365 dagen; geen Domain-attribuut; Path=/; Secure; HttpOnly; SameSite=Lax; geen voorafgaande toestemming vereist.
Server-side analyticsopslag — events pageview en http_error met uur-/dagbucket, site, genormaliseerde route, grove landcode, veilige referrercategorie en grove apparaatcategorie; alleen pageviews bevatten domeingescheiden HMAC-SHA-256-pseudoniemen voor browser en sessie plus sessie-/terugkeerindicatoren. Geen querystring, formulierinhoud, token, volledig ruw IP-adres, volledige User-Agent of rauwe cookie-ID. Ruwe pseudonieme events maximaal 90 dagen; dagelijkse aggregaten bevatten geen identifiers.
Externe embeds, iframes, socialmediawidgets, videospelers, captcha’s en tagmanagers — niet aanwezig. Gewone externe links laden pas een externe dienst nadat de bezoeker erop klikt.
Service worker en fingerprintingachtige browsertechniek — niet aanwezig.

Technische access- en securitylogging aan de server- en Cloudflare-edge is geen browseropslag. Doel, gegevenscategorieën en bewaartermijnen daarvan staan in de Privacyverklaring en het interne verwerkingsregister.

10. Hoe lang bewaren we cookie-/analyticsgegevens?

Voor gewone cookies geldt de technisch noodzakelijke levensduur van de betreffende functie en nooit langer dan nodig.

Voor persoonsgegevens in beperkte first-party analytics geldt de Vortasyn-baseline:

individueel of pseudoniem niveau: maximaal 90 dagen;
daarna verwijderen of aggregeren;
werkelijk geanonimiseerde statistiek mag langer worden bewaard.

De contactsessie eindigt als browsersessie. De voortgangssessie voor de basiscursus duurt maximaal 45 dagen. Via “Wis mijn voortgang en feedback” verwijder je de sessie, voortgang, feedback en browsercookie direct uit de actieve omgeving. Een bestaande versleutelde back-up kan voortgang en feedback nog maximaal 7 dagen bevatten en wordt daarna automatisch verwijderd. Andere technisch noodzakelijke sessiecookies worden waar mogelijk als sessiecookie of met een zo kort mogelijke geldigheidsduur ingericht.

11. Toestemming weigeren of intrekken

Als Vortasyn in de toekomst toestemmingsplichtige cookies of vergelijkbare technieken gebruikt, moet u:

vooraf een vrije keuze krijgen;
even gemakkelijk kunnen weigeren als accepteren;
per duidelijk doel kunnen kiezen waar nodig;
uw toestemming later eenvoudig kunnen intrekken.

Weigeren van niet-noodzakelijke cookies mag er niet toe leiden dat de normale publieke website onbruikbaar wordt.

12. Wijzigingen

Deze cookieverklaring wordt aangepast wanneer de techniek, frontend, analytics, embeds of leveranciers veranderen.

Een nieuwe externe script-, marketing- of analyticsintegratie wordt niet stilzwijgend toegevoegd. Eerst wordt opnieuw beoordeeld of de privacyverklaring, cookieverklaring, toestemmingsroute en het verwerkingsregister moeten worden aangepast.

13. Contact

Heeft u vragen over cookies, tracking of privacy bij Vortasyn?

Danny Waasdorp

initiatiefnemer van Vortasyn

info@vortasyn.nl

Deze verklaring blijft als technologieneutraal hoofdkader bestaan.

14. Campagnes, QR en cross-service meting

Vortasyn gebruikt twee afzonderlijke first-party count-only QR-/campagneroutes: de algemene flyerroute /elearning/ (ook /eLearning/) met campagne-ID flyer_oplage_1 en de partnerroute /elearning/de-samenkomst/ (ook /eLearning/de-samenkomst/) met campagne-ID partner_de_samenkomst_leerbroek. Een geldig verzoek wordt eenmaal geaggregeerd geteld en via HTTP 302 doorgestuurd naar de actuele cursus. De telling betreft requests/scans, niet unieke personen. De routes plaatsen geen cookie en slaan in hun afzonderlijke campagnestore geen IP-adres, User-Agent, referrer, querystring, fingerprint of browser-/sessie-ID op. De QR-aggregaten zijn gescheiden van de gewone websiteanalytics en vormen geen individueel profiel.

Vortasyn koppelt website-, QR-, campagne-, nieuwsbrief- en basiscursusinteracties niet standaard samen tot een individueel bezoekersprofiel. Een dergelijke koppeling vereist een afzonderlijk doel, juridische beoordeling en waar nodig toestemming.

15. Toekomstige functies en externe techniek

Nieuwe account-, nieuwsbrief-, media-, AI-, captcha-, embed-, personalisatie- of andere browsertechniek wordt vóór activatie opnieuw technisch geïnventariseerd. Alleen daadwerkelijk actieve cookies, storage, scripts en externe resources worden in het technische overzicht opgenomen. Toestemmingsplichtige techniek blijft geblokkeerd totdat geldige toestemming is verkregen.

Organisatiegegevens en de actuele technische inventaris worden gericht bijgewerkt wanneer de werkelijkheid verandert.