Weheat Monitor is ontworpen met privacy als uitgangspunt. Geen e-mailadres, geen wachtwoord, geen trackers van derden.
Je account wordt geïdentificeerd door een anoniem UUID van Weheat's authenticatiesysteem. Dit UUID is niet te herleiden naar jou als persoon.
Over je woonplaats. We bewaren je woonplaats en de coördinaten van het midden van die plaats, afgerond op ongeveer een kilometer. Geen straat, geen huisnummer: je adres wordt in deze applicatie niet opgeslagen. Je kunt de woonplaats bij Profiel aanpassen of leegmaken; dan blijven de weergegevens gewoon leeg.
Als je een warmtepomp koppelt, halen we één keer je adres op bij Weheat en sturen we je postcode en huisnummer naar PDOK (de adressenkaart van de overheid) en EP-Online (het energielabelregister). Zo vinden we je woonplaats, het bouwjaar, het oppervlak en het energielabel, zonder dat je ze hoeft in te vullen. Van het antwoord bewaren we die woningkenmerken, niet het adres zelf; dat bestaat alleen even in het geheugen van onze server. Met Ophalen via EP-Online bij Profiel doe je hetzelfde opnieuw. Wat je zelf hebt ingevuld, overschrijven we nooit.
Die coördinaten hebben twee doelen. Het eerste is de weergegevens van een weerstation bij jou in de buurt, nodig voor de graaddagen en de Koelen-tab. Het tweede is de stip op de kaart bij de vloot. Op die kaart staat elke stip op het midden van een woonplaats en is hij daarbinnen nog wat verspreid, zodat deelnemers in dezelfde plaats niet op één punt vallen. Geen enkele stip staat dus op de plek waar de warmtepomp echt staat, en bij een stip staat geen naam, geen serienummer en geen model — alleen wat de pomp op dat moment doet.
Die kaart is voorlopig alleen zichtbaar voor deelnemers — je moet dus ingelogd zijn om hem te zien. Het doel van een openbare kaart is mensen helpen die zich op een warmtepomp aan het oriënteren zijn: die zien er echte meetgegevens van eigenaren in plaats van folders van fabrikanten. Of het zover komt, hangt van jou af: we vragen het je op de kaart zelf, zodat je eerst ziet waar je ja of nee tegen zegt. Zonder jouw expliciete ja komt je stip niet op een openbare kaart. Dat geldt ook als je woonplaats via de ophaalactie hierboven is ingevuld in plaats van dat je hem zelf typte: een openbare kaart is een nieuw doel voor dat gegeven, en dat vragen we apart.
Je kunt je antwoord altijd wijzigen — op de kaart zelf of met het vinkje bij Profiel. Zeg je nee, dan blijft je woonplaats gewoon werken voor de weergegevens.
Bij Vergelijk, Aanvoer en SCOP zet je je aanvoertemperatuur en SCOP naast die van andere deelnemers. Daarvoor rekenen we elke nacht per pomp een gemiddelde aanvoer en SCOP uit. Die cijfers bewaren we bij je account en verwijderen we als je je account ontkoppelt. Andere deelnemers zien jouw cijfers niet en jij die van hen niet: op de pagina staan alleen groepen van minstens vijf pompen, zonder naam, adres, serienummer of losse stip.
Je wordt doorgestuurd naar Weheat's eigen inlogpagina (auth.weheat.nl) en logt daar rechtstreeks in. Je wachtwoord wordt getypt op Weheat's server — het komt nooit bij onze server terecht en wij zien of loggen het dus ook nooit.
Na het inloggen stuurt Weheat je terug naar ons met een tijdelijke autorisatiecode, die wij server-side inwisselen voor een anoniem ID, je voornaam, en een token om warmtepompdata op te halen. Je voornaam staat alleen in je sessiecookie voor de begroeting — niet in onze database. Het e-mailadres en wachtwoord worden niet bewaard.
Alle data staat in een Supabase database in de EU-regio, versleuteld in transit (TLS) en at rest. Elke gebruiker kan alleen zijn eigen data zien (Row Level Security).
Uitloggen en ontkoppelen vind je op de Instellingen-pagina.
Een login verloopt bijvoorbeeld als je je wachtwoord bij Weheat wijzigt of als Weheat de toegang intrekt. Log je binnen 90 dagen opnieuw in, dan loopt alles weer en blijft je historie staan. Een waarschuwing vooraf kunnen we je niet sturen: we hebben je e-mailadres niet.
We houden zelf bij welke pagina's je opent en op welke knoppen je klikt, zodat we zien wat werkt en wat niemand vindt. Daar gebruiken we geen trackingsoftware voor, en er gaat niets naar een derde partij.
Je browser krijgt een willekeurig nummer dat na 30 minuten zonder activiteit vervalt. Per bezoek bewaren we de pagina's (zonder zoektermen of andere gegevens uit de adresbalk), de knoppen, het tijdstip, of je scherm smal, middelgroot of breed is, of je met je vinger of een muis werkt en of je de app vanaf je beginscherm opent. Je account, je IP-adres, je browser en wat je typt slaan we er niet bij op, dus een bezoek is niet aan jou te koppelen.
Na 90 dagen is het weg. Omdat het niet bij je account staat, kunnen we het ook niet per persoon verwijderen: het verdwijnt vanzelf. We doen dit op grond van ons gerechtvaardigd belang, de app verbeteren, en je kunt er altijd bezwaar tegen maken door het uit te zetten.
Los daarvan noteren we per dag óf je de app opende, zonder pagina's of tijdstip, om te tellen hoeveel mensen hem gebruiken. Dat staat wel bij je account, gaat mee als je je data verwijdert en is na 400 dagen weg.
Ook tellen we elke minuut hoeveel dashboards er open staan, als één getal zonder account of pomp. Zo zien we op welke uren de app bekeken wordt. Er staat niets van jou in, dus de schakelaar hieronder geldt er niet voor. Na 7 dagen is het weg.
Bij de video's tellen we hoe vaak ze worden afgespeeld en hoe ver: per keer het tijdstip, welke video, waar op de site en of je een kwart, de helft, driekwart of het einde haalde. Daar hoort geen nummer, account of IP-adres bij, ook niet als je niet bent ingelogd, en het is na 400 dagen weg.
Uitzetten kan bij Instellingen, onder Help de app verbeteren, en geldt voor allebei. Die keuze geldt per browser. Stuurt je browser het signaal Global Privacy Control mee, dan staat het al uit. Meekijken via een demolink telt nooit mee. De videotelling is aan niemand te koppelen en valt daarom niet onder die schakelaar.
Een kleine groep testers kan in de chat vragen stellen over de eigen warmtepomp. Het antwoord schrijft Claude, het taalmodel van Anthropic. Daarvoor gaan je vraag en de uitkomsten van de berekeningen op je metingen naar Anthropic: niet je hele database, en geen naam, adres of serienummer.
Anthropic gebruikt wat via zijn API binnenkomt standaard niet om modellen te trainen (zie hun privacybeleid). Je vragen, de antwoorden en de berekeningen bewaren we bij je account, zodat je je gesprekken terugziet; de beheerder kan ze inzien om de chat te verbeteren. Verwijder je je gegevens via Instellingen, dan gaan ook je gesprekken weg.
Maak je onder Instellingen een koppeling aan voor Home Assistant of een eigen kastje, dan bewaren we wat dat apparaat stuurt: de metingen die je zelf kiest, zoals je P1-meter, zonnepanelen, thuisbatterij of kamertemperatuur, per minuut en na 35 dagen per uur. Van de sleutel bewaren we alleen een vingerafdruk, niet de sleutel zelf.
De integratie voor Home Assistant meldt ook welke thermostaat je hebt: via welke integratie hij gekoppeld is (bijvoorbeeld tado), het merk, het model, de kleinste stap en het bereik van het setpoint, en de standen die hij kent. Niet de naam die je hem gaf, en niet de entity-id. Dat bewaren we bij de koppeling; je ziet het onder Koppelingen.
Intrekken stopt het apparaat meteen. Ontkoppel je je account, dan wissen we ook deze metingen.
Met de thermostaattest meten we hoe jouw thermostaat de warmtepomp aanstuurt. Je start hem zelf. Ongeveer twee dagen lang zet de site een reeks setpoints klaar die je thermostaat uitvoert, ook als Plan volgen op de site uit staat; door de test te starten geef je daar toestemming voor. Stoppen kan altijd.
We bewaren het schema van de test, wanneer je pomp naar de stooklijn en weer terug ging, en het resultaat: het profiel van je thermostaat. Bij een Toon bewaren we ook de instellingen van vóór de test, om ze daarna terug te zetten. Je profiel ziet alleen jij.
Meetellen in het overzicht per thermostaatmodel staat standaard uit. Zet je het aan, dan telt je profiel mee in een samenvatting per model, en die verschijnt pas vanaf drie tests van hetzelfde model: nooit per huis, zonder naam, woonplaats of serienummer. Een model met minder tests staat er alleen als aantal, zonder naam. Zet je het weer uit, dan valt je test er bij de volgende bijwerking uit. Ontkoppel je je account, dan wissen we ook je tests en je profiel.
Zet je meldingen aan, dan bewaren we per browser of telefoon het adres dat de browser daarvoor geeft, met twee sleutels om de melding te versleutelen. Daarnaast bewaren we welke soorten je hebt uitgezet, en de meldingen zelf met wanneer je ze gelezen hebt, zodat je ze terugvindt onder het belletje. Een melding bewaren we 90 dagen.
Een melding gaat via de pushdienst van je browser of telefoon: die van Apple, Google of Mozilla. Die bezorgt hem versleuteld en kan de inhoud niet lezen. Wel ziet de dienst dat er een melding naar je apparaat gaat.
Zet je meldingen uit, dan vervalt het adres van dat apparaat. Ontkoppel je je account, dan wissen we alles: apparaten, keuzes en meldingen.
Mail je ons via Contact, dan komt je bericht in een gewone mailbox terecht. Gebruik je het feedbackformulier, dan komt het in een besloten takenlijst op GitHub: je tekst, de pagina waar je op stond, je browser, en je e-mailadres als je aanvinkt dat je bericht wil over je melding. Alleen de beheerder kan daarbij.
Je tekst, de pagina en een eventuele schermafbeelding gaan eerst langs Claude van Anthropic, dat er een titel bij schrijft en de melding sorteert. Je e-mailadres gaat daar niet heen.
Een schermafbeelding zetten we in een opslag die zonder inloggen te openen is, want anders toont GitHub hem niet in de melding. Het adres ervan is een lange willekeurige code die niet te raden is en alleen in de melding staat, maar wie die link heeft, kan hem bekijken. Zet er dus niets op wat niemand mag zien.
Om misbruik te beperken tellen we per uur hoeveel meldingen er van hetzelfde internetadres komen. Daarvoor bewaren we hooguit zeven dagen een code die met een geheime sleutel uit je IP-adres is afgeleid, nooit het IP-adres zelf.
Verder gaan je mail en je melding niet de database van de app in, en gebruiken we ze alleen om je te antwoorden.