Enterprise editie

Privacy — Diepe referentie

In het kort

Deze diepe referentie documenteert detectie, de redactie- en suppressiestrategieën, het deterministische pseudoniemcontract en de seal van de at-rest-map.

Beschikbaarheid en licentie

Deze capaciteit wordt meegeleverd in NextPDF Enterprise (nextpdf/enterprise) en wordt geactiveerd met een licentie-envelope op Enterprise-niveau. Een deployment zonder dat recht laadt de klassen van de capaciteit niet. Vergelijk edities en verkrijg een licentie.

Gedragscontract

Detectie scant tekst tegen een patroonregistry. De ingebouwde registry richt zich op e-mailadressen, telefoonnummers, Amerikaanse Social Security numbers, creditcardnummers en Taiwanese nationale ID-nummers; een deployment kan aanvullende patronen registreren. Detectie is patroongebonden: een waarde die geen enkel patroon matcht wordt niet gevonden, en een pagina zonder tekstlaag levert geen matches op.

Een redactiebeleid selecteert doelentiteittypen, een redactietoggle (alleen-detecteren versus destructief) en een vervangingsstijl (zwarte box, witte box of tekstvervanging). In de destructieve modus vervangt de engine gematchte spans van het einde van de tekst naar achteren, zodat eerdere offsets geldig blijven; in de alleen-detecteren-modus retourneert deze bevindingen zonder de inhoud te wijzigen. De de-identifier voegt een suppressiestrategie toe die hele regels met een match verwijdert. Elke run retourneert de SHA-256 van de oorspronkelijke tekst, de gewijzigde inhoud, een gespecificeerd rapport, een entiteittelling en een gewijzigd-flag.

Pseudonimisering is omkeerbaar by design. Een pseudoniem wordt afgeleid uit een HMAC-SHA-256 over de oorspronkelijke waarde en een per-sessie-seed, geformatteerd naar een typebewuste vorm (bijvoorbeeld een ID-achtig of e-mailachtig token). Dezelfde waarde mapt consistent binnen een sessie; verschillende sessies correleren niet. De map van origineel naar pseudoniem wordt geserialiseerd als key_version || nonce || ciphertext || tag en verzegeld met AES-256-GCM onder een geversioneerde sleutel. Rehydratie leest de sleutelversie uit de header, decrypt, en herstelt originelen longest-match-first. Zonder de juiste sleutelversie en de bijbehorende versleutelde map zijn originelen niet herstelbaar uit de gepseudonimiseerde tekst alleen. Dit is pseudonimisering, die omkeerbaar is met de afzonderlijke mapping (ISO/IEC 29100:2024 §2), geen anonimisering, die beoogt onomkeerbaar te zijn (§2). De-identificatie reduceert het residuele re-identificatierisico maar elimineert het niet (ISO/IEC 29151:2017).

De audittrail is append-only en registreert een session id, operation, entiteit telling, een policy-hash, een timestamp en een tenant id. Het registreert geen gedetecteerde waarden.

Publiek API-oppervlak

NextPDF\Enterprise\Privacy\PiiDetector, NextPDF\Enterprise\Privacy\RedactionEngine, NextPDF\Enterprise\Privacy\DeIdentifier, NextPDF\Enterprise\Privacy\RedactionPolicy, NextPDF\Enterprise\Privacy\PseudonymizationEngine, NextPDF\Enterprise\Privacy\PrivacyGateway, NextPDF\Enterprise\Privacy\RehydrationService, NextPDF\Enterprise\Privacy\EncryptedMapSerializer, NextPDF\Enterprise\Privacy\PrivacyAuditTrail en de EntityType / RedactionStyle / DeIdentificationStrategy-enums. De signatures staan op de publieke pagina.

Conformiteit

Het model mapt naar ISO/IEC 29100:2024 §2 (de-identificatie, pseudonimisering, anonimisering) en ISO/IEC 29151:2017 (de-identificatiecontroles). Het oppervlak voert patroongebonden redactie, suppressie en omkeerbare pseudonimisering uit zoals getest; het anonimiseert niet en doet geen regelgevende-complianceclaim.

Randgevallen en FIPS-modusgedrag

Formaatbewuste pseudoniemen behouden een vorm; een downstream-systeem dat een checksum valideert kan een pseudoniem afwijzen. Dat is verwacht.
De versleutelde map is het gevoelige artefact: verlies deze en rehydratie is onmogelijk; lek deze met de sleutel ervan en de pseudonimisering is omkeerbaar door een derde partij. Sleutelbewaring en mapopslag zijn deployment-verantwoordelijkheden.
De at-rest-seal gebruikt AES-256-GCM via de platform-crypto-provider. Wanneer de host een FIPS-gevalideerde provider draait, draait die bewerking binnen de gevalideerde grens. De bibliotheek is zelf geen FIPS-gevalideerde module en doet geen FIPS-certificeringsclaim.

Publicatiegrens

Deze pagina documenteert alleen extern waarneembaar gedrag en het ondersteunde publieke API-oppervlak. Interne namespace-paden, helperklassen, mechanismetabellen, runbook-bestandsnamen en ticketprefixen vallen buiten de scope.

Core-fallback

NextPDF Core (Apache-2.0) heeft geen oppervlak voor PII-detectie, redactie of pseudonimisering — geen; deze capaciteit heeft geen equivalent op Core-niveau.

Pro-fallback

NextPDF Pro levert PII-detectie op de tekstlaag en maskering tijdens generatie; het biedt geen omkeerbare pseudonimisering, de versleutelde at-rest-map, regelsuppressie of de append-only audittrail. Die worden alleen meegeleverd in het nextpdf/enterprise-pakket.

Enterprise-grensnotitie

Detectiepatronen, redactie-/suppressiestrategieën, het deterministische pseudoniemcontract en de seal van de at-rest-map worden op gedragsniveau beschreven. De bibliotheek consumeert een geversioneerde sleutel; deze beheert geen sleutelstore, en de internals voor sleutelgeneratie, -bewaring en -rotatie vallen buiten de scope en worden hier niet gereproduceerd.

Implementatiegrens

De versleutelde map en eventuele gerehydrateerde output zijn persoonsgegevens; waar ze worden opgeslagen en welke jurisdictie ze verwerkt, is een deployment-verantwoordelijkheid buiten de grens van de bibliotheek. Sleutelgeneratie, -bewaring en -rotatie zijn de verantwoordelijkheid van de deployment — de bibliotheek consumeert een sleutelversie, deze beheert geen sleutelstore. Verlies de map en rehydratie is onmogelijk; lek deze met de sleutel ervan en de pseudonimisering is omkeerbaar door een derde partij.

Juridische-compliancegrens

De at-rest-map gebruikt authenticated encryption, dus behandel dit oppervlak als beveiligingsgevoelig in je eigen review. Het oppervlak voert patroongebonden de-identificatie uit zoals getest; het anonimiseert niet en doet geen regelgevende-complianceclaim. Deze referentie is geen juridisch advies; raadpleeg je eigen compliance- en juridische adviseurs.