Veilig oefenen. Duidelijk over privacy.

Nee. Een link in een oefenmail leidt naar een korte les op onze eigen website of, als je bedrijf oefen-inlogpagina's heeft aangezet, eerst naar een oefen-inlogpagina. Hoe dan ook wordt wat je typt nooit verstuurd of bewaard: het verlaat je apparaat nooit, en wij zien het nooit. We leggen alleen vast dat er iets is ingevuld, nooit wat. We vragen nooit om echte bankgegevens of geld. Voordat een oefenmail verstuurd wordt, controleert ons systeem hem en gooit hem weg als er een echt webadres, e-mailadres of telefoonnummer in staat.

Alleen mensen die ermee hebben ingestemd. Medewerkers krijgen eerst een uitnodiging met uitleg over de training en accepteren die zelf, voordat ze iets ontvangen. Niemand kan namens een ander ja zeggen.

Ja, op elk moment. Trek je je toestemming in, dan stoppen de oefenmails voor die persoon meteen, en de persoonlijke gegevens die we gebruikten om ze te schrijven worden op hetzelfde moment verwijderd.

Nee. We zien een e-mail alleen als je hem zelf meldt, met de knop Report a Canary in Outlook of door hem door te sturen naar ons meldadres. Van oefenmails weten we alleen hoe je reageerde: of je hem hebt gemeld, erop hebt geklikt of nog niets hebt gedaan. Meld je een oefenmail met de knop in Microsoft 365, dan verplaatst de knop die ene mail naar een map Reported in je eigen mailbox, met toestemming die jij of je organisatie gaf. Je andere mails leest hij niet.

Als het geen oefenmail van ons is, controleert ons systeem hem snel met vaste regels: komt de afzender door de echtheidscontrole van e-mail, klopt de naam met het adres, gaan links waar ze zeggen heen te gaan, zit er een riskante bijlage bij. Voor de controle komt er geen AI aan te pas, dus de e-mail wordt daarvoor met geen enkele AI-aanbieder gedeeld. (De enige uitzondering: als je de melding naar je beheerders stuurt en zij bevestigen dat het phishing is, kunnen zij op “Maak een oefening” drukken. Alleen dan gaan het onderwerp en een fragment naar onze AI, waaruit eerst adressen, links, nummers en de namen in aanhef en ondertekening zijn verwijderd. De AI schrijft er een kort thema van, een beheerder controleert en bewerkt dat thema, en pas dan wordt het gebruikt voor nieuwe oefenmails aan de rest van het team, nooit aan jou.) Je ziet direct welke waarschuwingssignalen we vonden, en die controle is alleen van jou: de eigenaar en beheerders van je organisatie krijgen de melding alleen als jij besluit hem naar hen te sturen. Doe je dat niet, dan bewaren we niets persoonlijks meer zodra het meldvenster sluit (binnen een uur). Doe je het wel, dan bewaren we het onderwerp, de afzender, het begin van de tekst en de uitkomst van de controle 90 dagen. Bevestigen je beheerders dat het phishing is, dan kunnen ze de rest van het team ervoor waarschuwen: die e-mail noemt het onderwerp en de afzender, nooit wie hem meldde. Bijlagen slaan we nooit op.

Ja, en het beloont alleen melden. Je verdient punten voor het melden van oefenmails (meer voor moeilijkere), en voor echte mails zodra je beheerders bevestigen dat het phishing was. Niemand verliest ooit punten of komt erop te staan omdat hij klikte. Na het melden zie je kort de top vijf en je eigen plek. Je organisatie bepaalt hoe anderen erop staan: met voornaam en de eerste letter van de achternaam, als “Collega”, of helemaal niet, met het klassement uit. Dezelfde keuze geldt voor het seizoensklassement en de wekelijkse spellen op je dashboard. Het telt alleen de laatste 90 dagen. Wat je organisatie ook kiest, de eigenaar en beheerders zien de top tien met namen op hun pagina Gemelde e-mails.

Voor je account: je naam, e-mailadres en wachtwoord (alleen opgeslagen als veilige hash, zodat niemand het kan lezen). Om oefenmails realistisch te maken kun je optionele gegevens toevoegen: je werk of situatie, woonplaats, werkgever, de diensten die je gebruikt, een leeftijdsgroep en een korte notitie. Van elke oefenmail bewaren we wanneer hij is verstuurd en hoe je reageerde. Van bedrijven bewaren we ook de bedrijfsgegevens die de eigenaar invult. Het beveiligingslog van je account (inloggen, mislukte inlogpogingen, wijzigingen van wachtwoord en tweestapsverificatie) en het auditlog van je bedrijf (wat de eigenaar en beheerders wijzigden) leggen het IP-adres van elke regel vast, en worden een jaar bewaard. Om misbruik te stoppen tellen we ook verzoeken per IP-adres, hooguit een uur en alleen in het geheugen. Onze hosting- en netwerkpartijen houden onder hun eigen voorwaarden gewone toegangslogboeken bij, met IP-adressen.

Ja, als het daarvoor kiest. Een Microsoft 365-beheerder keurt het goed en kiest één groep, bijvoorbeeld alle medewerkers. scamcanary ziet dan de namen van de groepen van het bedrijf, zodat de beheerder er een kan kiezen, en leest één keer per dag wie er in de gekozen groep zit: naam, zakelijk e-mailadres, functie, afdeling en of het account aan staat. Wie nieuw is, krijgt een uitnodiging, en pas oefenmails als hij die accepteert; wie de groep verlaat, wordt gepauzeerd. Alleen de mensen die in het team komen worden bewaard, verder niets uit de directory van het bedrijf, en scamcanary krijgt geen toegang tot iemands mailbox. Het bedrijf kan het op elk moment stoppen, in scamcanary of in Microsoft.

Je eigen resultaten kun je altijd zien. Bij een bedrijf zien de eigenaar en de beheerders die hij of zij aanwijst de resultaten per medewerker (verstuurd, gemeld, geklikt) om te coachen, en kunnen zij de gegevens bekijken en aanpassen waarmee de oefenmails voor die persoon worden gepersonaliseerd. Verder kan niemand bij klanten van scamcanary je gegevens zien.

De persoonlijke gegevens waarmee oefenmails worden geschreven, worden automatisch gewist 90 dagen nadat ze voor het laatst zijn bijgewerkt; de oefenmails gaan daarna zonder die gegevens door tot ze opnieuw worden ingevuld. Accountgegevens en resultaten bewaren we zolang het account actief is. Je kunt ons op elk moment vragen alles te verwijderen.

Ze zien welke modules je hebt afgerond en wanneer, en de punten die daarbij horen. Wat je in een module antwoordt zien ze nooit, want dat wordt helemaal niet bewaard. De vragen zijn er om van te leren, en eerst een keer fout zitten hoort erbij.

Nee. We verkopen of verhuren geen gegevens, we tonen geen advertenties en we gebruiken geen advertentietrackers. Om te zien hoe onze website wordt gebruikt, tellen we bezoeken zelf, zonder cookies en zonder een externe analysedienst: de pagina, de website waar je vandaan kwam, je land, het soort apparaat en de taal. Bij het tellen van bezoeken wordt je IP-adres nooit opgeslagen. Met een code die elke dag verandert tellen we unieke bezoekers alleen binnen die dag, zodat niemand van de ene dag naar de volgende te volgen is. Ingelogde mensen en alles in het dashboard tellen we niet, en browsers die vragen om niet gevolgd te worden (Do Not Track of Global Privacy Control) slaan we over. Bezoekcijfers bewaren we 13 maanden. Als je je aanmeldt, noteren we bij je nieuwe account van welke website of campagne dat bezoek kwam, zodat we weten wat mensen naar scamcanary brengt. Zelfs onze lettertypes komen van onze eigen website, zodat je bezoek niet met derden wordt gedeeld.

Railway host de applicatie en de database in zijn Europese regio (Amsterdam). Microsoft 365 host ons meldadres [email protected], dus een mail die je daarheen doorstuurt gaat via Microsoft naar ons. Cloudflare beschermt de website en het netwerkverkeer. Resend verstuurt onze e-mails vanuit zijn Europese verzendregio (Ierland). De AI van Anthropic schrijft de tekst van oefenmails. Daarvoor ontvangt die de voornaam, functie en afdeling van de ontvanger, de optionele gegevens hierboven, de naam en sector van het bedrijf, en de namen, functies en afdelingen van maximaal twaalf collega's (en van mensen bij zusterbedrijven met wie de ontvanger werkt), zodat een mail van een echte collega kan komen of er een kan noemen. Nooit wachtwoorden of resultaten. Maakt een beheerder van een gemelde phishingmail een oefening, dan ontvangt Anthropic het onderwerp en een fragment, waaruit eerst links, e-mailadressen, telefoonnummers, rekeningnummers en de namen in aanhef en ondertekening zijn verwijderd. Vraagt een beheerder scamcanary AI om een samenvatting of stelt die een vraag, dan ontvangt Anthropic alleen totalen voor het bedrijf en de afdelingen, met de afdelingen hernoemd, plus de vraag zelf, waaruit alles wat op een e-mailadres, telefoonnummer of webadres lijkt is verwijderd: geen namen en geen inhoud van e-mails, en chatgesprekken bewaren wij niet. Verder komt Microsoft er alleen bij als een bedrijf het met ons gebruikt: de Outlook-invoegtoepassing, de Microsoft 365-koppeling en inloggen met Microsoft. Inloggen met Google loopt via Google. Een deel van deze partijen is gevestigd in de Verenigde Staten.

Stuur ons een bericht via de contactpagina, dan handelen we je verzoek af. Trek je je toestemming in via je instellingen, dan worden je persoonlijke gegevens meteen verwijderd.

Al het verkeer is versleuteld en browsers krijgen de opdracht altijd een beveiligde verbinding te gebruiken. Wachtwoorden worden opgeslagen als sterke hashes die niet terug te rekenen zijn. Na herhaalde mislukte inlogpogingen gaat het account tijdelijk op slot, nieuwe accounts bevestigen hun e-mailadres, en als je je wachtwoord opnieuw instelt word je op elk apparaat uitgelogd. Inlogsessies en resetlinks worden zo opgeslagen dat ze onbruikbaar zijn als iemand onze database zou kopiëren.

Elke pagina en actie controleert of je de gegevens van dat bedrijf of die persoon mag zien. De website stuurt strenge beveiligingsheaders mee die geïnjecteerde scripts blokkeren en voorkomen dat andere sites onze pagina's insluiten. Het aantal verstuurde berichten per account is begrensd om misbruik te voorkomen, en we controleren de code regelmatig op beveiligingsproblemen.

Laat het ons weten via de contactpagina en deel het niet openbaar voordat we het hebben opgelost. We nemen elke melding serieus en nemen contact met je op.