Privacy

Je leest een privacyverklaring. Vrijwillig. Er is iets misgegaan in je leven en ik ben blij er deel van uit te maken.

Hier de korte versie. Ik tel paginaweergaven en, bij berichten, hoe ver je leest. Een steekproef van de bezoeken wordt opgenomen als replay, waarbij alles wat je typt wordt afgeschermd. Ik gebruik één optionele cookie om terugkerende bezoeken te herkennen, en één essentiële cookie om te onthouden of je de eerste wilde. Niemand slaat je volledige IP-adres op. Als je je op de nieuwsbrief abonneert, staat dat e-mailadres in een apart systeem zonder gedeelde sleutel, dus ik kan het niet koppelen aan iets wat je leest.

De lange versie staat hieronder, omdat de UK GDPR erop staat. Je kunt alles onderaan deze pagina uitzetten.

Wie ik ben

Ik ben Will Hackett. Ik run deze site alleen. Er zit geen bedrijf achter, geen analytics-team en geen growth-afdeling. Alleen ik, een domeinnaam en een onredelijke interesse in waar mensen op klikken.

Voor privacyvragen of verzoeken mail je naar gdpr@willhackett.com. Die mail komt rechtstreeks bij mij. Voor al het andere zit ik op LinkedIn.

Ik wil alleen weten welke berichten aanslaan

Er staan geen advertenties op deze site, geen affiliate-links en geen pixels die voor iemand anders werken. Ik schrijf dingen en ben benieuwd of ze werken.

Om te laten zien hoe alledaags dit is, hier de resultaten. Agentic coding workforce is mijn meest gelezen bericht van dit jaar. Just use Postgres staat tweede. Mijn minst gelezen bericht is een 404, omdat ik het heb verwijderd. Het was een relatieovereenkomst vooraf, geschreven als comedysketch over hoe deprimerend internetdaten was geworden, uit 2014, toen ik nog geen filter had. Het zweeft nog ergens op het web rond als je vastberaden genoeg bent.

Niemand betaalt me voor die gegevens. Ik weet het gewoon graag.

Eén bekentenis, want een privacyverklaring die haar eigen zuiverheid overschat, is het lezen niet waard. Ik heb een bedrijf mede opgericht dat flowstate heet, en ik schrijf er hier vrij vaak over. Sommige van deze berichten zijn, in de eerlijke betekenis van het woord, een advertentie.

Wat dat niet verandert: niemand bij flowstate heeft toegang tot de analytics van deze site, de twee draaien op volledig gescheiden infrastructuur en nooit is een lezer als lead doorgegeven. Weten welke berichten aanslaan maakt me wel beter in schrijven over mijn eigen bedrijf. Dat is een motief, en nu ken je het.

Wat ik verzamel

Als je een pagina leest, leg ik vast:

• de pagina die je bekeek, de titel ervan en alles in de URL na het vraagteken
• de site of zoekmachine die je doorstuurde
• je schermgrootte, browsertaal en het ruwe land
• een willekeurig ID uit de cookie visitor, als je daar ja op hebt gezegd
• bij een bericht hoe ver je naar beneden kwam, in kwarten, en hoe lang je actief las, in banden van 30 seconden tot 10 minuten

Als je je op de nieuwsbrief abonneert, verzamel ik je e-mailadres. Verder niets. Niet je naam, niet je bloedgroep, niet de meisjesnaam van je moeder.

De cookie

Eén cookie, genaamd visitor. Hij bevat een willekeurig ID dat eruitziet als 0f9c1a2b-3d4e-4f50-8a6b-7c8d9e0f1a2b. Op zichzelf betekent het niets en het is nergens van afgeleid wat jou betreft. Je browser verzint het.

De enige taak is van “300 mensen lazen dit” te maken “300 mensen lazen dit, en 40 van hen hadden eerst iets anders van mij gelezen”. Dat is de hele functie.

De banner noemt hem flinterdun. Dat is de enige Monty Python-verwijzing in dit document, en als je de sketch kent, snap je waarom ik bij één ben gestopt.

Er is een tweede cookie, visitor-consent, die je antwoord onthoudt zodat ik maar één keer vraag. Ja, ik heb een cookie nodig om te onthouden dat je geen cookie wilde. Ik heb dit systeem niet bedacht en ik ben er net zo blij mee als jij.

Beide worden gezet op willhackett.com zonder domeinattribuut, dus ze worden nooit naar een subdomein gestuurd. Geen van beide wordt met iemand gedeeld.

Negeer je de vraag 30 seconden, dan antwoordt hij nee voor je en zegt dat erbij. Stilte mag nooit als ja tellen.

Replays

Een steekproef van de paginaladingen, nu ongeveer de helft, wordt opgenomen als sessie-replay: hoe de pagina eruitzag, waar je scrolde, waarop je klikte en waar de aanwijzer heen ging, tot vijf minuten lang. Een telling vertelt me dat een bericht is geopend. Een replay laat me zien waar mensen stoppen met lezen.

Alles wat je typt wordt afgeschermd voordat het je browser verlaat, dus het nieuwsbriefveld verschijnt als een rij sterretjes. De opname gaat naar dezelfde Umami-server als de paginaweergaven, slaat niets op je apparaat op en wordt na 30 dagen verwijderd. Zonder de tracker voor paginaweergaven kan hij niet starten, dus de schakelaar onderaan deze pagina zet hem ook uit.

Cookiebanners horen in de browser

Als je browser Do Not Track of Global Privacy Control stuurt, krijg je geen vraag en helemaal geen cookie. Geen van beide signalen bindt me juridisch in het VK, en de Do Not Track-standaard is in 2018 opgegeven, maar allebei zijn ze een duidelijk genoeg nee dat discussiëren onbeleefd zou zijn.

Jaren geleden heb ik de EU voorgehouden dat dit hele probleem op te lossen was door toestemming naar de browser te verplaatsen, waar het overduidelijk thuishoort. Ik zou graag melden dat dit goed is gegaan.

De ePrivacyverordening werd voorgesteld in 2017. De Commissie kondigde in februari 2025 aan op te geven, omdat niemand verwachtte dat de medewetgevers het ooit eens zouden worden, en de formele intrekking werd in oktober gepubliceerd. Californië nam daarna één wet aan, en vanaf januari 2027 moet elke browser die Californiërs bedient die instelling sowieso aanbieden. Acht jaar onderhandelen, ingehaald door één staatsparlement en een selectievakje.

Dingen die ik niet doe en ook niet ga beginnen

• Je volledige IP-adres opslaan. Het gaat vanzelfsprekend door het CDN en de server, anders zou de pagina je niet bereiken, en het wordt in het voorbijgaan gebruikt om een ruw land te bepalen. Umami legt het nooit vast. Wat Bunny in zijn logs bewaart is ingekort, met het laatste getal eraf, dus 122.1.1.20 wordt 122.1.1.0. Onderweg verwerkt, niet opgeschreven.
• Je overdragen aan een analyticsbedrijf. Ik draai Umami, dat open source is, op infrastructuur die ik huur en beheer. Geen Google, geen Meta, geen advertentienetwerken, geen datahandelaren.
• De nieuwsbrief koppelen aan de analytics. Ze staan in aparte systemen zonder gedeelde sleutel. Abonneren activeert helemaal geen analytics-event, dus er komt niets over je e-mailadres bij Umami. Ik beweer niet dat het onmogelijk is, want dat is het niet. Ik kan die koppeling morgen toevoegen. Ik zou het dan wel in jouw browser moeten doen, en je zou het binnen enkele seconden in het netwerktabblad zien. Deze site kan je niet ongemerkt verraden, en dat is de enige garantie die veel waard is.
• Je overal elders volgen. De cookie is op elke andere website nutteloos, en ik kan op geen enkele manier zien wat je buiten deze site doet.

Controleer dat allemaal zelf

Neem mijn woord er niet voor. Open DevTools en kijk. Dit is de enige privacybewering op internet die je in ongeveer 90 seconden kunt controleren.

• Application, dan Cookies. Je vindt visitor en visitor-consent, en niets anders van mij.
• Network, gefilterd op ua.willhackett.com. Dat is Umami. Lees de payload van het verzoek. Het is de URL en titel van de pagina, de referrer, een schermgrootte, een taal en het willekeurige ID. Bij een bericht zie je ook scroll-, dwell- en read-events terwijl je de pagina afgaat. Bij een bezoek in de steekproef zijn er ook posts naar /api/record. Dat is de replay.
• Kijk naar de cookie-header van die verzoeken. Die is er niet. Het ID wordt door JavaScript gelezen en in de body meegestuurd, en zo blijft het precies beperkt tot dit domein.
• Dan het nieuwsbriefformulier. Het post naar newsletter.willhackett.com, en die ontvangt geen van beide cookies.

De rechtsgrond, voor de juristen

Paginaweergaven tellen identificeert niemand, dus het steunt op de uitzondering voor statistische doeleinden die PECR op 5 februari 2026 kreeg. Daarvoor is geen toestemming nodig, maar het geldt alleen als ik je een manier geef om bezwaar te maken. De schakelaar onderaan deze pagina is die manier.

De leesevents zijn nog steeds tellingen, dus ze vallen onder dezelfde uitzondering. Replays niet. Een opname van één bezoek is geen statistiek, dus die steunt op mijn gerechtvaardigd belang om te zien hoe een pagina wordt gelezen, afgewogen tegen een opname die niets op je apparaat opslaat, alles afschermt wat je typt en na 30 dagen weg is. Dezelfde schakelaar is de manier om bezwaar te maken.

Het visitor-ID is anders. Een willekeurige reeks die over bezoeken heen blijft bestaan, geldt onder de UK GDPR als persoonsgegeven, ook al heb ik geen idee wie je bent, en het opslaan ervan vereist eerst toestemming onder PECR regulation 6. Dus het steunt op jouw toestemming, onder UK GDPR artikel 6(1)(a).

Ik toon de vraag in het VK en de EER, waar eerst vragen wettelijk verplicht is. Elders wordt de cookie zonder gezet, en daar is de grondslag mijn gerechtvaardigd belang om te weten of iemand terugkomt, wat ongeveer zo mild is als een gerechtvaardigd belang maar kan zijn. In beide gevallen zet de schakelaar hieronder hem uit, en een weigering blijft staan.

Eén ding zeg ik liever dan dat je het zelf ontdekt: het pagina-adres dat ik vastleg bevat alles na het vraagteken. Meestal is dat niets. Soms stuur ik iemand een link met een parameter erin, en bij die kan ik zien dat precies die link is geopend. Het is geen algemene mogelijkheid en ik gebruik het niet om een beeld van iemand op te bouwen, maar het betekent dat ik niet moet beweren dat elke URL in die database anoniem is.

Nieuwsbriefabonnementen steunen op dezelfde toestemmingsgrondslag, plus PECR. Je geeft die door je e-mailadres te typen en op de bevestigingslink te klikken. Klassieke dubbele opt-in.

Hier zou een uitzondering voor moeten zijn. Niets ingewikkelds. Iets in de trant van: als je website geen reclame, geen derden en helemaal niets te verkopen heeft, mag je opschrijven wat je verzamelt en daarna verder met je leven. Die is er niet. Het regime dat een advertentienetwerk met een juridische afdeling regelt, regelt ook mij, alleen, terwijl ik uitzoek of een willekeurig getal in je browser vier alinea’s wettekst rechtvaardigt.

Blijkbaar wel. Dus hier zitten we, regulation 6 naar elkaar te citeren. Alles te goeder trouw toegepast door een man wiens minst gelezen bericht een komisch huwelijkscontract is dat hij moest verwijderen.

Wie er verder aan je gegevens zit

Resend verstuurt de nieuwsbrief en is mijn verwerker onder een degelijke overeenkomst. Ik gebruik hun regio Ierland, dus de mail gaat vanuit Ierland de deur uit. Om eerlijk te zijn over de rest: Resend is een Amerikaans bedrijf en bewaart accountgegevens, e-mailmetadata en operationele logs in de Verenigde Staten, welke verzendregio je ook kiest. Een eerdere versie van deze pagina zei dat je e-mail in de EU bleef. Dat was fout, en dit is de gecorrigeerde versie.

Bunny levert de site uit en beantwoordt de landopzoeking die bepaalt of je de cookievraag te zien krijgt. De logs bevatten het hierboven beschreven ingekorte IP en verder niets over jou.

Vercel draait de Umami-server en Neon host de database erachter. Beide zijn ingesteld op EU-regio’s, dus de gegevens over paginaweergaven staan in de EU. Hun eigen account-, support- en operationele gegevens kunnen elders staan, omdat die platforms nu eenmaal zo werken en ik niets anders kan voorwenden. Ik bezit de hardware niet. Ik bezit wel de software, de database en elke rij erin.

Die vier zijn alles. Niemand anders krijgt iets gestuurd, ook het bedrijf dat ik mede heb opgericht niet.

Hoe lang ik het bewaar

• visitor verloopt 12 maanden na je laatste bezoek, of op het moment dat je de schakelaar hieronder indrukt.
• visitor-consent duurt 12 maanden bij een ja en zes maanden bij een nee, zodat een weigering wordt gerespecteerd zonder dat ik hem een week later vergeet.
• Het willekeurige ID wordt na 6 maanden uit de records van paginaweergaven gehaald. De records zelf blijven, want dan zijn het alleen nog tellingen.
• Replays worden na 30 dagen verwijderd.
• Je e-mailadres blijft staan tot je je afmeldt. Dan verdwijnt het meteen, al kan het in de logs van Resend blijven staan tot hun bewaartermijn afloopt.
• Ik bewaar na een afmelding geen blokkeerlijst en geen back-ups die je ongemerkt weer tot leven kunnen wekken.

Je rechten

Afhankelijk van de omstandigheden geeft de UK GDPR je het recht om me te vragen:

• je te vertellen wat ik over je heb
• het te corrigeren als het fout is
• het te wissen
• te stoppen met of te beperken wat ik ermee doe
• het in een overdraagbaar formaat aan je te geven
• een intrekking van toestemming te honoreren, op elk moment, om welke reden dan ook

In de praktijk zijn de enige gegevens die ik over wie dan ook heb een e-mailadres voor de nieuwsbrief, dus het grootste deel van die lijst komt neer op hetzelfde korte antwoord. Zie hieronder.

Intrekken is bewust makkelijker dan toestemming geven. De schakelaar hieronder kost één klik, en elke nieuwsbrief bevat een afmeldlink met één klik.

Als je vindt dat ik dit slecht aanpak, kun je me melden bij het Information Commissioner’s Office op ico.org.uk. Zij nemen je serieuzer dan je misschien verwacht.

Mij laten verwijderen

Mail gdpr@willhackett.com. Je krijgt een automatisch antwoord, omdat het antwoord bijna altijd een van twee dingen is.

Als je op de nieuwsbrief bent geabonneerd, klik je onderaan een e-mail van mij op Uitschrijven. Je adres gaat meteen van mijn lijst. Het blijft nog een tijd in de eigen bezorglogs van Resend, die zij laten verlopen en ik niet kan wissen. Aan mijn kant blijft er niets achter, geen blokkeerlijst, geen spoor dat je er ooit was.

Voor de analytics druk je op de schakelaar onderaan deze pagina. Dat verwijdert de cookie en laat mijn server je willekeurige ID uit elke rij halen waaraan het hangt. De paginaweergaven blijven als tellingen. Wat ze aan een browser koppelt, niet.

Als je de cookie al hebt gewist en de oude rijen toch afgehandeld wilt hebben, heb ik het ID zelf nodig, omdat het echt het enige aanknopingspunt is dat ik heb. Open DevTools, ga naar Application, dan Cookies, kopieer de waarde van visitor en mail die naar me. Zonder die waarde zou ik in een tabel vol willekeurige getallen zoeken naar het getal dat toevallig het jouwe is, wat een redelijke beschrijving is van het hele punt om het zo te bouwen.

Je trackingstatus

Laatst bijgewerkt: 6 september 2026.