Onze regels

Waar Paramant voor staat, en hoe we het bouwen.

Dit zijn de regels. Geen reclametekst. Het zijn de grenzen waar we ons aan houden, in het product en in de code. Breken we er ooit een, spreek ons daar dan op aan.

Wat we garanderen

1 · We hebben het nooit gehad

Bestanden worden in uw browser versleuteld voordat ze bij ons aankomen. Bij Versturen bewaart de relay alleen versleutelde data, in het werkgeheugen, en vernietigt die na de laatste keer ophalen die de link toestaat: één keer op Community, tot 10 keer op Firm. We kunnen het niet lezen, niet lekken, en niet gedwongen worden af te staan wat we nooit hadden. Eén uitzondering: bij versturen naar ontvangers op naam (per e-mailadres) gaat het token dat de sleutel uitpakt één keer langs de relay om te worden gemaild. Op dat moment zouden we het bestand kunnen openen, dus die route is niet zero-knowledge. Een eenmalige link is dat wel.

controleer: de opbouw van de relay →

2 · Uw browser praat alleen met ons

Geen verzoeken naar derden. Geen Google Fonts, geen CDN, geen analytics, geen pixels, geen ingesloten widgets. Open de netwerkinspector op welke pagina dan ook: elk verzoek gaat naar paramant.app en nergens anders heen.

controleer: de content-security-policy die we meesturen →

3 · Geen surveillance

Geen trackingcookies, geen fingerprinting, geen advertentietechniek. Eén functionele sessiecookie nadat u inlogt. Dat is de hele lijst.

controleer: de lijst met cookies en logging →

4 · Uw sleutels zijn van u

Sleutels worden op uw apparaat gemaakt en verlaten het nooit. De privésleutel van uw passkey is alleen van u. Wij zien alleen de publieke helft.

controleer: het maken van sleutels in de broncode →

5 · Europese bodem, Europees recht

Gehost in Duitsland, van boven tot onder in Europese handen. De versleutelde bestanden verlaten de EU nooit. Eén uitzondering noemen we liever zelf: e-mail gaat nu nog via Resend in de Verenigde Staten. Bij versturen naar ontvangers op naam bevat die mail de link met het token, en de ophaalcode gaat ook per mail: wie beide mails leest, kan het bestand openen. Een uitnodiging om te ondertekenen bevat de helft van de documentsleutel; de andere helft geeft de relay alleen aan de ingelogde ontvanger. Resend, onze e-mailprovider, is de enige Amerikaanse partij in de keten; we stappen over naar een Nederlandse aanbieder. We zeggen dat liever dan dat we een zuiverheid claimen die niet klopt. Zie de lijst met subverwerkers.

controleer: de tabel met rechtsgebieden →

6 · Standaard bestand tegen quantumcomputers

FIPS 203/204 (ML-KEM en ML-DSA) vandaag, niet ‘binnenkort’. Nu verzamelen en later ontsleutelen (harvest-now-decrypt-later) gebeurt al. We versleutelen voor de komende tien jaar, niet voor de demo.

controleer: de parameters van FIPS 203/204 →

7 · Eerlijk van opzet

Geen misleidende ontwerptrucs. Gaat er iets mis, dan vertellen we wat er misging en hoe u verder kunt. Nooit een vaag of misleidend bericht om de schermen er netjes uit te laten zien.

controleer: wat we veranderden en toegaven →

8 · Controleerbaar, niet op ons woord

Open-core software die u zelf kunt draaien, een openbaar Certificate Transparency-log, en een relay die aantoont wat hij doet. U hoeft ons niet te vertrouwen. U kunt het nagaan.

controleer: het openbare transparantielog →

9 · Alleen wat nodig is

Een e-mailadres voor uw account. Geen telefoonnummer, geen logging van IP-adressen buiten het transport. Minimalisme als beveiliging: gegevens die we niet hebben, kunnen niet uitlekken, niet gevorderd worden en niet verkocht.

controleer: security.txt (RFC 9116) →

Hoe we het bouwen

Dezelfde regels gelden voor hoe we uitrollen. De beloften hierboven zijn alleen geloofwaardig als het werk erachter gedisciplineerd is.

We rollen nooit blind uit

Voor elke wijziging in productie maken we eerst een reservekopie en een gemarkeerd terugzetpunt, en daarna controleren we de wijziging op de live site. Kunnen we niet aantonen dat het op de draaiende dienst werkt, dan is het niet af.

Standaard terug te draaien

Elke uitrol is in één stap terug te draaien (een gemarkeerde image, een reservekopie), vastgelegd vóór de wijziging en niet geïmproviseerd nadat er iets stukgaat.

Het inloggen is heilig

Wijzigingen aan het inloggen rollen we nooit zomaar uit. Eerst een terugzetpunt, daarna controleren we elke manier van inloggen voor en na de wijziging. We zijn liever traag dan dat we u buitensluiten.

We overschrijven elkaars werk niet

Voordat we een bestand aanpassen, controleren we of wat live staat nog is wat we verwachten. Verrassingen melden we, we walsen er niet overheen.

Eerlijke fouten boven handige leugens

Dezelfde regel als in het product: mislukt een uitrol of een controle, dan zeggen we dat gewoon, ook in onze eigen logs en rapporten, in plaats van het te verbloemen.