Logging-protocol

De belofte op /veiligheid/: "Elke run laat sporen na: wat er is gelezen, wat er is klaargezet en wie het heeft goedgekeurd" en "Bij een audit of vraag tonen we de logs van jouw omgeving over de afgesproken periode." Dit protocol maakt die belofte technisch concreet. Het geldt voor elke klantomgeving, zonder uitzondering: geen logregel = run niet gebeurd.

1. Wat er per run wordt gelogd

Elke run van elke AI medewerker schrijft één regel JSONL naar het runlog van de klantomgeving (logs/runs-JJJJ-MM.jsonl op de Mac mini van de klant):

{
  "ts_start": "2026-07-18T06:00:03+02:00",
  "ts_eind": "2026-07-18T06:14:41+02:00",
  "klant": "klantnaam",
  "rol": "offertemedewerker",
  "run_id": "2026-07-18-0600",
  "bronnen_gelezen": ["mailbox:aanvragen (7 nieuwe items)", "prijslijst v2026-06"],
  "output_klaargezet": ["concept-offerte O-1042 (map Concepten)", "3 mailconcepten"],
  "buiten_werkafspraken": [],
  "fouten": [],
  "verstuurd_zonder_mens": 0
}

Regels:

• bronnen_gelezen bevat alleen bronnen uit de bronnenlijst (bijlage 1); staat er ooit iets anders, dan is dat een incident (zie meldproces).
• verstuurd_zonder_mens is per definitie altijd 0; het veld bestaat zodat de afwezigheid controleerbaar is in plaats van aangenomen.
• Inhoudelijke klantdata hoort NIET in het log (dataminimalisatie): log verwijzingen en aantallen, geen mailteksten of persoonsgegevens.

2. Goedkeuringen

Goedkeuren gebeurt doordat een mens bij de klant het concept zelf verstuurt of publiceert; het systeem verstuurt niets. Voor de auditsporen geldt: de verzonden versie leeft in het systeem van de klant zelf (verzonden items, publicatiehistorie) — dat ís de goedkeuringsregistratie. Waar de klant wil, kan aanvullend een goedkeuringslog bijgehouden worden (wie, wat, wanneer) in logs/goedkeuringen-JJJJ-MM.md.

3. Dagrapport

Elke werkdag bundelt de omgeving de runs van de afgelopen dag in een kort dagrapport voor de klant (wat klaarstaat, wat afweek, wat aandacht vraagt). Het dagrapport is samenvatting, het JSONL-log is de bron van waarheid.

4. Bewaartermijn en inzage

• Runlogs: minimaal 12 maanden bewaren in de klantomgeving, daarna verwijderen (tenzij de klant langer wil — vastleggen in werkafspraken).
• Inzage: de klant kan altijd de eigen logs opvragen of ter plekke inzien; bij audit leveren we een periode-export (JSONL + leesbare samenvatting).
• Logs verlaten de klantomgeving niet, behalve als export naar de klant zelf.

5. Controle op het protocol zelf

De systeemcontrole (wekelijks) checkt: bestaat het runlog, lopen de run-id's door zonder gaten ten opzichte van het afgesproken ritme, en is verstuurd_zonder_mens overal 0. Afwijkingen gaan volgens het meldproces.