Protecziun da datas
Protecziun da datas
OpenCaseLaw protocollescha dumondas per il manaschi dal servetsch e per la retschertga, senza cookies e senza tracking da terzs. Tut las cifras publitgadas èn aggregadas, k-anonimas ed a privezza differenziala.
§01 Sumari
Il sumari
OpenCaseLaw è in project da retschertga public. I na dat nagin conto d’utilisader e nagina identificaziun permanenta che collia automaticamain ina dumonda cun ina persuna. Quai na signifitgescha betg che nus na rimnain naginas datas: text da dumonda, mument, identificaziuns da sesida e da client sco er protocols d’access dal server vegnan registrads, sco descrit sutvart. Questa pagina mussa tge che vegn propi rimnà, pertge e per quant temp.
- Nagin cookie. Il sit na metta nagin cookie — nè necessari nè facultativ.
- Nagin fingerprinting. Nè canvas, nè fonts, nè audio, nè WebGL. Nagina analisa da terzs.
- Nagin Google Analytics, nagin Plausible Cloud, nagin Sentry. Tut las analisas van en noss agen server en Germania.
- Datas da svilup: registraziun cumpletta, archiv da retschertga permanent. Per meglierar la tschertga, per finamiras da retschertga e per trenar agens models registrain nus datas da dumonda cumplettas: utensil, parameters inclus il text da la dumonda, mument, classa da client ed ina identificaziun da sesida. Nagina adressa IP na vegn memorisada cun las dumondas; sesidas na pon betg vegnir colliadas cun persunas — nagin conto, nagin login, l'identificaziun mida cun mintga connexiun. Il text da documents dal Word-Add-in na vegn mai memorisà, mo sia lunghezza. Ils texts da las dumondas vegnan conservads permanentamain, senza referenza da sesida e da persuna, en in archiv da retschertga privat cun access restrenschì — per la qualitad da la tschertga, la retschertga e il trenament da models; i na dat nagina limita temporala. La durada da conservaziun sin ils sistems da server da datas brutas cun referenza da sesida vegn fixada dal sviluppader tenor ses agen giudicament. Permanent restan statisticas aggregadas, quest archiv da dumondas ed ils models trenads sin quels. Il code da rimnada è open source (
mcp_server.py,scripts/collect_dev_data.py). - Nagin conto d’utilisader, nagina identificaziun permanenta. I na dat nagin login. Identificaziuns che existan èn temporaras e midan: l’identificaziun da sesida MCP mintga connexiun, la pseudonimisaziun en il register da custs mintgadi, il hash d’installaziun dal Word-Add-in mintga mais (detagls sutvart, §02 e §04).
- Tut las cifras publitgadas èn a privezza differenziala (ε = 1,0) e suttastan ad ina saida da k-anonimitad k = 10.
§02 Logs & retenziun
Logs dal server en trais nivels
Mintga server da web protocolleschia las dumondas — quai è tecnicamain inevitabel. In part da noss logs sa dissolva en aggregats nunnuschaivels en pauc dis; las excepziuns cun conservaziun pli lunga u illimitada stattan sutvart.
Nivel 1 — access.log (72 uras)
Cuntegna l’adressa IP ed il User-Agent. Basa legala: interess legitim per la defensiun cunter DDoS e malduvrada. Retenziun: stretgamain 72 uras, lura shredà cryptograficamain (shred -u). Mai duvrà per statisticas.
Controlla da custs e d'abus
Dus sistems separads èn qua en funcziun. Emprim, las limitas dal di per adressa IP per endpoints LLM (attest, verify-claim, check_claim_support ed auters): vegnan registrads adressa IP, endpoint e dumber da clomadas per di. Per quests contadors n'è actualmain nagina stizzada automatica activa. Sco segund, in register da custs per clomada: el cuntegna ina pseudonimisaziun da l'adressa IP che rotescha mintgadi (mai l'adressa en text avert), l'utensil clomà ed ils custs da la clomada. Conservaziun: 90 dis sin ils sistems da server; supplementarmain manain nus in archiv privat cun access restrenschì da questas endataziuns per la durada da l'exploitaziun. Intent dals dus sistems: limitas dal di, controlla da custs, defensiun e documentaziun d'abus commerzial. Limitas pli autas: team@jonashertner.com.
Skizzas da qualitad da tschertga (30 dis)
Per mesirar la qualitad da l'ordinaziun (BM25, cross-encoder, reordinaziun Haiku) protocollain nus per tschertga ils IDs dals candidats e temps d'elavuraziun; tar las endataziuns da reordinaziun Haiku supplementarmain ils emprims 200 caracters dal text da la dumonda. Questa endataziun na cuntegna nagina adressa IP e nagina identificaziun da sesida; il result_set_id ch'ella cuntegna po dentant, sche la registraziun cumpletta (vesair sura) è activa, vegnir colliada cun in eveniment da retschaiver collià ad ina sesida dal medem di. Conservaziun: 30 dis, lura stizzà automaticamain.
Elavuraziun IA via l'API d'Anthropic (per dumonda)
Pliras funcziuns tramettan text a l'API d'Anthropic (api.anthropic.com, models Claude) per l'elavuraziun il mument da la dumonda: l'analisa da la dumonda, sia extensiun e la reordinaziun dals resultats tramettan il text da la dumonda e curts extracts da las decisiuns candidatas; check_claim_support trametta l'affirmaziun examinada ensemen cun il passadi cunter il qual ella vegn verifitgada; attest_response cun audit_grounding=true trametta las frasas enturn mintga citat ensemen cun la consideraziun citada; las funcziuns Verifitgar, Fundar e Spievel da l'add-in Word (/billing/verify, /billing/find-support, /billing/reflect) tramettan il text selecziunà u il text dal document; Audit (/attest) e Rinforzar restan sin noss server. Tut ils tschintg endpoints Pro survegnan il text pir suenter che l'add-in ha remplazzà nov categorias da datas persunalas cun placeholders (e-mail, numer AVS, IBAN, IDI, telefon, data da naschientscha, adressa, NAP/lieu, nums cun titel; sin basa da musters, senza garanzia da cumplettadad — dimensiun e limitas sin word.opencaselaw.ch/privacy.html); il server controlla anc ina giada ils tschintg musters structurads ed refusa uschiglio la dumonda. Mai tramess vegnan: adressa IP, identificaziun da sesida, classa da client u insatge auter identificatur. La transmissiun è suttamessa a las cundiziuns commerzialas da l'API ed a la decleraziun da protecziun da datas d'Anthropic; la conservaziun tar Anthropic n'è betg sut nossa controlla. Da nossa vart vegnan registrads per clomada il model, il dumber da tokens ed ils custs (vesair register da custs sura), e per la reordinaziun ils emprims 200 caracters da la dumonda (vesair skizzas da qualitad da tschertga). Basa legala: execuziun da la funcziun dumandada; questas funcziuns na pon betg vegnir exequidas senza questa elavuraziun.
Nivel 2 — tier2.log (14 dis, naginas datas persunalas)
Cuntegna exclusivamain etichettas da classa: classa client, classa d’endpoint, code HTTP, temp da resposta, grondezza da la resposta. Nagina IP. Nagin User-Agent. Nagina query string. Nagin referer. Questa datoteca è structuralmain betg en cas d’identifitgar ina persuna. Retenziun: 14 dis per segirtad, lura stizzà.
Nivel 3 — analytics.db (senza temp, aggregà & privà)
Aggregats dal di per (classa client, classa d’endpoint). Naginas lingias per utilisader, nagina granularitad pli fina ch’il di. Cellas cun n < 10 èn suttastàs en la colonna publica. Las cifras publitgadas portan rumur da Laplace cun ε = 1,0 (privezza differenziala formala). Questa datoteca po e sa vegnir publitgada — perquai ch’ella è matematicamain demussada da betg revelar nagut davart singulas persunas.
Dumber d’utilisaders unics (skizza da dumbrar)
Per determinar il dumber per di e per mais d’utilisaders directs unics vegnan adressas IP hashadas mo en la memoria, cun in secret che rotescha, ed integradas en ina skizza da dumbrar HyperLogLog. Sin il disc arrivan mo registers da la skizza e summas; matematicamain na pon els betg revelar sch’ina tscherta adressa era preschenta. Il secret vegn stizzà a la fin da mintga di e mais; uschia è era exclusa mintga colliaziun posteriura tranter las fanestras da temp.
Microsoft-365-Copilot-Agent (/mcp-edu)
Der OpenCaseLaw-Agent für Microsoft 365 Copilot ruft einen eigenen Endpunkt auf, /mcp-edu. Für Anfragen über diesen Endpunkt entfallen die Vollerhebung (kein Anfragetext, keine Sitzungskennung, kein Forschungsarchiv, kein Modelltraining), die Such-Qualitätsspuren und das Kostenledger pro IP-Adresse. Es bleiben das Stufe-1-Log (hier mit der IP-Adresse von Microsoft, 72 Stunden), die Stufen 2 und 3 ohne Personenbezug und die Kostenabrechnung ohne IP-Adresse und ohne Anfragetext (Modell, Tokens, Kosten). Anfrage-Analyse und Neugewichtung über Anthropic sowie die Suche kantonaler Erlasse über LexFind laufen wie oben beschrieben.
Il code da l’aggregaziun è open source e verifitgabel: scripts/rollup_analytics.py.
§03 Aggregaziun & DP
Quai che nus mesirain, e co
Nus mesirain mo quai ch’è necessari per decisiuns operativas — ed al nivel aggregà, mai per utilisader. Las suandantas cifras vegnan calculadas mintgadi e publitgadas sin opencaselaw.ch/stats.json:
- Clamadas ad utensils per di, spartidas per classa client ed endpoint.
- Temp da resposta p50 e p95 per endpoint.
- Quota da sbagls per endpoint (4xx, 5xx, 429).
- Dumber approximativ d’installaziuns activas per classa client (via HyperLogLog, rotaziun mensila).
- Distribuziun dals codes HTTP surtut las dumondas.
Quai che nus na recoltain mai
- Profils individuals permanents — nagina adressa IP cun las dumondas, nagin conto d'utilisader, nagina colliaziun tranter ina sesida ed ina persuna. Durant la fasa d'evaluaziun vegnan dumondas da la medema sesida colliadas ina cun l'autra; la durada da conservaziun da questas datas brutas dependa dal giudicament dal sviluppader e sa drizza tenor ils intents numnads. Quai che vegn tegnì permanentamain na cuntegna nagina referenza da sesida u da persuna.
- Tge decisiuns u leschas ina persuna specifica consulta.
- Adressas IP grezzas en aggregats u en datas dal nivel 3.
- Cordas User-Agent cumplainas sur 72 uras (mo la classa).
- Referer — revelass da tge chat u document in utensil è vegnì clamà.
- Fingerprinting — mai, en nagina circumstanza.
- Colliaziun da datas cliente Stripe (Word Add-in Pro) cun datas d’utilisaziun.
§04 Add-in Word
Add-in Word — in cas spezial
L’add-in Word è l’unica part d’OpenCaseLaw che tramet, facultativamain, in hash da cohorta d’installaziun per permetter d’estimar il dumber approximativ d’installaziuns activas per mais. Il mecanissem è intenziunalmain construi uschia ch’in tracking da mais a mais è cryptograficamain impussibel:
- Tar la emprima start, l’add-in creescha in UUID casual e l memorisescha en
localStorage. - Per mintga dumonda API, el calculescha
SHA-256(uuid + "AAAA-MM")e tramet las emprimas 8 zeichens hex sco headerX-Install-Cohort. - Il sel mensil sa changà mintga mais. Ils hashes d’avrigl ed ils da matg èn cryptograficamain betg culligads.
- Nus duvrain quels hashes exclusivamain per emplenir in sketch HyperLogLog per di e per classa client. Ils valurs d’input n’èn betg reconstruibels ord il sketch.
Opt-out: en il menü da l’add-in sut «Impostaziuns → Statisticas anonimas d’utilisaziun» pudais vus deactivar quest header en mintg’ura.
Ils abunaments Pro vegnan administrads via Stripe. OpenCaseLaw vesa mo la clav da licenza ed la compara tar dumondas Pro. I na dat nagina colliaziun tranter las datas cliente Stripe ed las statisticas d’utilisaziun.
§05 Vossas dretgiras
Vossas dretgiras (nLPD / DSGVO)
La lescha svizra reviseda davart la protecziun da datas (nLPD, en vigur dapi settember 2023) e la DSGVO europeica vus garanteschan dretgiras d’infurmaziun, rectificaziun e stizzada. OpenCaseLaw na tegna nagin conto d’utilisader e nagina identificaziun permanenta che collia automaticamain ina dumonda cun ina persuna. Quai limitescha tge che nus pudain Vus attribuir en la pratica, mabain n’annullescha betg questas dretgiras:
- Dretgira d’infurmaziun: senza conto u identificaziun permanenta na pudain nus per regla betg colliar ina dumonda cun Vus da nossa atgna iniziativa. Sche Vus ans communitgais l’identificaziun da sesida, il mument approximativ e l’utensil duvrà, tschertgain nus las endataziuns correspundentas en ils sistems descrits en §02 e vus infurmain tge che nus chattain.
- Dretgira da stizzada: endataziuns che pon Vus vegnir attribuidas en questa moda vegnan stizzadas sin dumonda, uschè lunsch che ina stizzada è tecnicamain pussibla en il sistem correspundent. Sche Vus avais installà l’add-in Word, la deinstallaziun allontanescha supplementarmain l’UUID d’installaziun local da Voss apparat.
- Portabilitad: nua che endataziuns pon vegnir attribuidas, ans las procurain sin dumonda en in format usual.
- Opposiziun: pudais Vus s’opponer als logs dal nivel 1 da 72 uras betg duvrond ils servetschs; in’excepziun n’è betg tecnicamain pussibla, damai che servers da web ston protocollar las dumondas per pudair respunder ad abus. Per ils auters sistems descrits en §02 drizzai Vossa opposiziun a l’adressa da contact numnada sutvart.
Responsabel dal tractament: Jonas Hertner, e-mail team@jonashertner.com. Ils servers vegnan gestids da Hetzner Online GmbH en Germania.
§06 Contact
Dumondas, preoccupaziuns, audits
Tut ils mecanissems qua descrits èn open source e verifitgabels en il repositori GitHub.
E-mail: team@jonashertner.com
Dumondas davart la protecziun da datas survegnan resposta en pauc dis.