Maze-Guild

1 Voor de gebruiker blijvend

2 Voor de denker blijvend

Eén doorlopende relatie tussen werker, klant, werk en leren. De toets voor elke functie: versterkt ze die relatie, en blijft ze binnen de wet?

Waar het vandaan komt. De Guild is een afsplitsing van de Maze-Bank (het idee: de waarde blijft in de kring van mensen, korte lussen, coöperatie op menselijke schaal) en van SWARP Support (werkende onderdelen: account, profiel, beroepenlijst, leren uit cases). Werk, vakmanschap en leren zijn de echte float van een gemeenschap; bemiddelaars nemen daar nu veel van af.

Leren uit falen. Naar Roger Schank: je leert als een verwachting faalt, en je onthoudt de les als verhaal. Daarom bestaan de cases (wat verwachtte je, wat gebeurde, hoe loste je het op, wat doe je voortaan), de ladder bij een hulpvraag, en de failures uit het vak.

Mensen beslissen. De Guild stelt voor, telt en meldt. Kiezen, accepteren, toelaten, bevestigen en een geschil beslissen doen mensen, en elk besluit staat in een hash-geketend grootboek dat volgens de AVG redigeerbaar is.

Bewust buiten de Guild, en waarom: persoonlijkheidstests en automatische cv-selectie (beoordelen op eigenschappen; hoog risico onder de AI-verordening, bijlage III punt 4); emotieherkenning (verboden op het werk, AI-verordening art. 5 lid 1 f); biometrie zoals gezichtsvergelijking (bijzondere persoonsgegevens); leeftijd als criterium bij koppelen (WGBL art. 3); profielen van andere sites oogsten; zelf loon uitbetalen (dat doet de exploitant buiten de Guild).

Leeftijd. De enige plek waar leeftijd telt, is een wettelijk verbod: werk dat jongeren onder de 18 niet mogen doen. Daarvoor kent de Guild twee standen, 16–17 en 18 of ouder, in de privélaag; geen geboortedatum. Zo houdt de Guild zich aan de regels voor jeugdige werknemers zonder leeftijd mee te laten wegen.

De regels

Elke weigering noemt de regel. Dit zijn ze allemaal, letterlijk uit de code:

• R-koppelenEen werker komt alleen in een voorstel als hij is toegelaten en actief is, per vereiste vaardigheid minstens het vereiste niveau heeft, een geldige erkenning heeft als het werk die wettelijk vraagt, binnen zijn eigen reisafstand woont en beschikbaar is.
• R-duoEen leerling komt alleen in een voorstel als de klant 'leerling welkom' aan heeft en de leerling een van de vereiste vaardigheden wil leren en die nog niet op niveau 3 heeft. De ervaren werker blijft verantwoordelijk. Bij werk dat wettelijk een erkenning vraagt, moet ook de leerling die erkenning hebben (voorlopige, voorzichtige keuze; open punt voor de opdrachtgever).
• R-gatIs er niemand die aan R-koppelen voldoet, dan meldt de tool een gat met de stap waarop het misging. De tool verzint nooit een match.
• R-kiezenEen koppeling bestaat pas als de klant een voorstel heeft gekozen én de werker (en bij een duo de leerling) heeft geaccepteerd. Wie een voorstel voor dit werk weigert, wordt er niet opnieuw voor voorgesteld.
• R-niveauDrie niveaus per vaardigheid: 1 meegekeken, 2 onder toezicht gedaan, 3 zelfstandig gedaan. Alleen een ervaren werker met niveau 3 in die vaardigheid bevestigt het niveau van een leerling, bij werk waarop hij de verantwoordelijke werker is.
• R-erkenningWerk dat wettelijk een erkenning vraagt, gaat alleen naar werkers met een vastgelegde erkenning die op de dag van koppelen geldig is.
• R-casesEen case is een bijdrage, geen schandvlek: hij is zichtbaar voor werkers en leerlingen, nooit voor klanten. Op het profiel telt alleen het aantal.
• R-leeftijdGeboortedatum en leeftijd worden niet opgeslagen. Een werker of leerling geeft bij aanmelden alleen een leeftijdsgroep: 16–17 of 18 of ouder (onder 16 kan niet). Die staat in de privélaag en telt op één plek: werk met 'niet onder 18' (wettelijk verboden voor jongeren) gaat niet naar iemand van 16–17. Niet in de rangorde, niet zichtbaar voor klanten, niet op het profiel of in de export.
• R-privacyEchte personen worden pas opgenomen als een DPIA, een verwerkersovereenkomst en een privacyverklaring zijn vastgelegd.
• R-avgIeder ziet alles wat over hem of haar is vastgelegd en kan het verwijderen. In het grootboek worden dan de velden over de persoon gewist; de keten blijft controleerbaar. Lessen en cases blijven, zonder maker. Werk van een klant blijft zonder klant bestaan (voor de organisatie en als bewijs van de werker); bij een particulier worden omschrijving, foto's en postcode gewist.
• R-bewarenInloglinks 1 dag, uitgaande mail 1 dag, verlopen sessies direct, vervallen of geweigerde voorstellen 90 dagen, afgehandelde gaten 2 jaar; bij afgerond werk ouder dan 2 jaar worden omschrijving, foto's en de opmerking van de klant gewist (werktype, maand, gedaan en tevredenheid blijven als bewijs op het profiel); gedeactiveerde accounts worden na 2 jaar verwijderd; cases blijven als anonieme bijdrage aan het vak; berichten 2 jaar na afronden van het werk; het log van wie een profiel bekeek 2 jaar; bezorgde webhooks 90 dagen; tijdvakken 1 jaar.
• R-mensToelaten, erkennen, kiezen, accepteren, koppelen en bevestigen zijn handelingen van mensen en staan met wie, wanneer en waarom in het grootboek.
• R-geschilDe klant bevestigt bij de beoordeling de uren. Minder uren of 'niet gedaan' is een geschil: er wordt niets in de kring geboekt tot de beheerder beslist. Een klant die onder de kredietgrens zou komen, kan altijd beoordelen; de betaling staat dan open.
• R-contractDe werker bepaalt bij zijn akkoord of hij betaald wil worden: ruil tussen leden (zaadjes in de kring), vrijwilliger (geen beloning), of in euro's (loondienst, payroll, AOW-werknemer, zzp). De klant kiest dat niet. Een leerling in een duo werkt altijd in loondienst of via de bbl.
• R-loonUren in dienstverband (loondienst, payroll, AOW-werknemer) worden aan de rand in euro's geboekt, nooit in zaadjes.
• R-vergunningWerk waarvoor de exploitant geen geldige vergunning heeft, is niet te melden (Wtta voor payroll, erkend leerbedrijf voor leerlingen, certificaat per werktype).
• R-vogWerk in een woning, in de zorg of op een school gaat alleen naar werkers en leerlingen met een geldige VOG.
• R-kredietEen lid mag niet onder de kredietgrens van de kring komen.
• R-nulElke boeking in de kring sluit: de som is nul.
• R-randIn de kring wordt alleen in zaadjes geboekt. Euro's horen aan de rand en zijn een registratie, geen betaling of inwisseling.
• R-borgEen opleiding op borg start pas met het vastgestelde aantal borgen; een borg is alleen in zaadjes. Bij achterstand horen eerst de borgen het, een cyclus later de beheerder.
• R-kringDe leden stellen uitgifte, verval en de volgorde per cyclus vast; de beheerder voert uit. Geen rente, geen inwisseling.
• R-videoEen les of case mag hoogstens twee eigen video's van elk hoogstens twee minuten dragen (mp4 of mov, tot 60 MB). Werkers, leerlingen en de beheerder zien ze, klanten niet. Er wordt niets omgezet of geanalyseerd. Verwijdert de maker zijn gegevens, dan worden zijn video's gewist; de les of case blijft. Een video die na een dag nergens bij hoort, wordt opgeruimd.
• R-vakBij elk werktype hoort een beroep uit de beroepenlijst van Swarp Support (O*NET). Werkers, leerlingen en de beheerder zien de failures van dat beroep uit Support, elk met zijn herkomst: bron (instantie en link), verzonnen voorbeeld of niet na te gaan. Een verzonnen voorbeeld draagt nooit de naam van een instantie. Klanten zien ze niet. Is Support niet bereikbaar, dan zegt de Guild dat.
• R-beeldLive beeld gaat rechtstreeks tussen de telefoons en wordt niet geanalyseerd. Een momentopname wordt alleen bewaard als vrager en meester allebei toestemming gaven.
• R-berichtBerichten horen bij één werk. Klant (en leden van de organisatie), werker en leerling schrijven; de beheerder leest mee. Wie een bericht krijgt, krijgt een melding en een mail als hij meldingen per mail aan heeft. Bewaard tot 2 jaar na afronden van het werk; wie zijn gegevens verwijdert, laat '(verwijderd)' achter.
• R-vraagBij een les of case kunnen werkers, leerlingen en de beheerder vragen stellen en beantwoorden. Klanten zien ze niet. De maker van het stuk krijgt een melding.
• R-toelichtingWie een niveau bevestigt, mag er een korte toelichting bij schrijven. Alleen de leerling en de bevestiger zien haar: niet op het profiel, niet in de export, niet voor klanten. Geen cijfer en geen rangorde.
• R-exportDe export van aangetoond werk draagt een controlecode. Met de code geeft de Guild, zonder inloggen, de datum, de naam en de hash van de export; wie de export ontving rekent de hash zelf na. Verwijdert de persoon zijn gegevens, dan vervallen zijn codes.
• R-2faIn de echte omgeving loggen beheerder en organisatie in met een tweede factor (een code uit een app). Tot die is ingesteld, mogen zij alleen de tweede factor instellen. Inloggen via de identiteitsdienst van een organisatie (OpenID Connect) kan alleen met een bestaand account met hetzelfde geverifieerde e-mailadres.
• R-apiEen organisatie of beheerder maakt een alleen-lezen API-sleutel (één keer getoond, als hash bewaard) en webhooks naar een https-adres. Een webhook noemt alleen de soort gebeurtenis, id's en de tijd, nooit namen, en draagt een handtekening.
• R-afspraakDe werkafspraak is een pdf uit een vast sjabloon. Klant en werker tekenen in de tool: vastgelegd worden de hash van de pdf, wie en wanneer. Dat is een gewone elektronische handtekening; een gekwalificeerde vraagt een contract met een ondertekendienst.
• R-idDe beheerder legt vast dat een identiteitscontrole of een controle bij de bron plaatsvond: dienst, datum en uitkomst. Geen documentbeeld, geen gezicht, geen documentnummer.
• R-afwezigEen werker meldt een periode van afwezigheid zonder reden. In die periode wordt hij niet voorgesteld; de klant van zijn lopende doorlopende werk krijgt een melding en kan een vervanging melden.
• R-verlengenDoorlopend werk eindigt na de looptijd. Twee weken ervoor krijgen klant en werker een melding. Verlengen gebeurt als de klant het voorstelt en de werker het aanvaardt.
• R-roosterBij doorlopend werk leggen klant en werker samen vast welke dagdelen er gewerkt wordt: de een stelt voor, de ander bevestigt. Het aantal is gelijk aan het aantal dagdelen per week.
• R-samenvoegenTwee accounts van dezelfde persoon worden alleen samengevoegd als het tweede account nog geen werk, voorstel, kring, hulp of grootboekregel als beslisser heeft. Niveaus, erkenningen en organisaties gaan mee.
• R-toegangWie een profiel of de praktijkuren van een ander opvraagt, wordt vastgelegd. De persoon ziet in zijn inzage wie hem bekeek en wanneer. Bewaard 2 jaar.
• R-ladderDe tool antwoordt alleen met de letterlijke tekst van een eigen case of les, met de bron. Zonder bron gaat de vraag naar een meester: eerst de eigen meester, dan een andere met niveau 3 in die vaardigheid.

3 Voor de bouwer beweegt met de code

Een zelfstandige Node-applicatie (Node 20, één afhankelijkheid: pg). Eén server is één omgeving (GUILD_OMGEVING=demo|echt) met een eigen Postgres-database.

• src/server.mjs — HTTP, sessies, de tweede factor, API-sleutels, routes; elke route draagt een sleutel uit src/rechten.mjs.
• src/guild.mjs — de kern: melden, koppelen (met afwezigheid en 'niet onder 18'), kiezen, opleveren, niveaus, lessen, cases, AVG, bewaartermijnen, de demo.
• src/dienst.mjs — de dienstlaag van v8: berichten, vragen, controlecode, overzichten, urenexport, acties, dagtaak, werkafspraak en ondertekening, controles, KvK, tijdvakken, rooster, afwezigheid, verlengen, uitnodigingslinks, dubbelen, API-sleutels, tekortanalyse.
• src/grootboek.mjs (hash-keten, per veld een verbintenis, redigeerbaar), src/kring.mjs (de kring), src/hulp.mjs (de ladder en live beeld), src/video.mjs, src/support.mjs (Swarp Support), src/mail.mjs, src/totp.mjs, src/oidc.mjs, src/webhook.mjs, src/pdf.mjs (eigen pdf-schrijver).
• public/ — de pagina (NL/EN) en controleer.html; docs/ — plannen (elk gehasht vóór de code), toetsrapport, specificatie en deze handleiding (scripts/handleiding.mjs).
• scripts/backup.mjs en scripts/terugzet-toets.mjs — versleutelde back-up (AES-256-GCM, 35 dagen) en een terugzettoets die de grootboekketen controleert.

Instellingen: DATABASE_URL, GUILD_OMGEVING, GUILD_SLEUTEL (verplicht in de echte omgeving), GUILD_URL, BREVO_API_KEY en MAIL_FROM, OPENAI_API_KEY, SUPPORT_URL en SUPPORT_GEHEIM, GUILD_OIDC_ISSUER/_CLIENT_ID/_SECRET, KVK_API_KEY, GUILD_BACKUP_SLEUTEL, GUILD_ACHTER_PROXY, GUILD_DAGTAAK=uit (alleen voor toetsen).

Hosting: in de EU (Render, regio Frankfurt), achter https (de server zet dan HSTS). Gegevens in rust versleutelt de database van de host; back-ups versleutelt de Guild zelf. Een beveiligingstest door een derde hoort vóór de eerste echte gebruikers.

Toetsen: node toets/toets.mjs draait alle acceptatietoetsen tegen twee lege testdatabases, met een nagebootste Swarp Support, een nagebootste identiteitsdienst, een webhookontvanger en een nagebootste KvK. Toets DR controleert dat deze handleiding elke route en elke regel noemt.

4 Voor de verbinder beweegt met de code

Inloggen voor systemen. Een organisatie of de beheerder maakt bij Koppelingen een API-sleutel. Gebruik: Authorization: Bearer gld_…. Een sleutel mag alleen lezen, en alleen: overzicht, export.uren, werk.mijn, organisatie.overzicht, acties. GET /api/beschrijving geeft alle routes met hun rechten als JSON.

Webhooks. Gebeurtenissen: werk.gemeld, voorstel.gekozen, werk.gekoppeld, oplevering.gemeld, oplevering.beoordeeld, niveau.bevestigd. De inhoud is { soort, werk, …ids, op }, zonder namen. Controleer de kop x-guild-handtekening:

const goed = kop === "sha256=" + crypto.createHmac("sha256", geheim).update(ruweBody).digest("hex");

Een ontvanger die geen 2xx geeft, krijgt de gebeurtenis nog twee keer, met toenemende pauze.

Inloggen via de organisatie (SSO). OpenID Connect met PKCE; terugkeeradres <GUILD_URL>/api/oidc/terug; scopes openid email profile; alleen RS256. SAML wordt niet ondersteund.

Swarp Support. De Guild leest beroepen en failures met het gedeelde geheim (x-swarp-secret) via /api/beroepen/namens en /api/failures/namens.

Ondertekenen bij een dienst. De Guild tekent zelf met een gewone elektronische handtekening (hash van de pdf). Een gekwalificeerde handtekening vraagt een contract met een dienst; het veld ondertekening.dienst is daarvoor gereserveerd.

Controlecode. GET /api/controleer?code=GLD-… geeft naam, datum en hash. De hash is sha256 van de export zonder het veld controle, als JSON zonder spaties in de volgorde van het bestand.

Alle routes

Methode, pad, rechtensleutel, wie mag, en wat het doet. Bovenop deze rechten gelden objectrechten (een klant ziet alleen eigen werk, een werker alleen werk waaraan hij gekoppeld is).