Verwerking binnen de EU
Opslag en verwerking vinden plaats binnen de Europese Unie. Voor zorgtoepassingen is dat een harde eis waar we niet van afwijken.
Veiligheid en AVG
Wat er met uw gesprekken gebeurt
Een agent die gesprekken voert, verwerkt persoonsgegevens — en bij zorgtoepassingen zelfs bijzondere persoonsgegevens. Dit is hoe we dat hebben ingericht.
Versleuteld, onderweg en in rust
Verkeer over versleutelde verbindingen, opslag versleuteld. Sleutelbeheer is gescheiden van de toepassing.
Verwerkersovereenkomst standaard
Bij elke klant sluiten we een verwerkersovereenkomst met onze subverwerkers erin benoemd. Daar hoeft u niet om te vragen.
Geen training op uw gesprekken
Uw gesprekken worden niet gebruikt om algemene taalmodellen te trainen. Dat leggen we contractueel vast met onze leveranciers.
Dataminimalisatie
We bewaren samenvattingen en transcripten; ruwe audio alleen als u dat wilt en dan kort. Bewaartermijnen spreken we per klant af.
Toegang op naam
Wie bij welke gesprekken kan, is per gebruiker ingesteld en wordt gelogd. Ook onze eigen toegang staat in dat logboek.
Beheersmaatregelen
Acht maatregelen, schriftelijk vastgelegd
Ingedeeld naar de thema’s waar een leveranciersbeoordeling of een DPIA doorgaans naar vraagt. U krijgt dit als document aangeleverd, niet als praatje.
| Thema | Hoe het is ingericht |
|---|---|
| Toegangsbeheer | Toegang op naam, rollen per gebruiker, tweestapsverificatie voor beheerders. |
| Logging en herleidbaarheid | Elke handeling en elke inzage wordt gelogd, inclusief die van onze eigen technici. |
| Versleuteling | Versleuteld onderweg en in rust; sleutelbeheer gescheiden van de toepassing. |
| Dataminimalisatie | Samenvattingen en transcripten als norm, ruwe audio alleen op verzoek en kort. |
| Leveranciersbeheer | Vaste lijst met subverwerkers, met verwerkersovereenkomst en verwerking binnen de EU. |
| Incidenten | Vast meldproces met afgesproken termijn richting u als verwerkingsverantwoordelijke. |
| Herstel na uitval | Terugvalpad op uw eigen belplan, back-ups en een beproefde herstelprocedure. |
| Wijzigingen | Aanpassingen aan agents en regels worden vastgelegd en zijn terug te draaien. |
Heeft u een eigen vragenlijst voor leveranciers? Stuur hem op, dan vullen we die in plaats van u onze eigen samenvatting voor te leggen.
Rollen
Wie is waarvoor verantwoordelijk
Onder de AVG bent u verwerkingsverantwoordelijke en zijn wij verwerker. Dat is geen formaliteit: het bepaalt wie wat mag beslissen.
- U bepaalt welke gegevens de agent verwerkt en waarvoor
- U zorgt voor de grondslag: toestemming, overeenkomst of gerechtvaardigd belang
- Wij verwerken uitsluitend binnen uw opdracht en de verwerkersovereenkomst
- Wij melden een datalek binnen de afgesproken termijn bij u, niet bij de toezichthouder — dat doet u
- Samen leggen we vast wat er gebeurt bij een verzoek tot inzage of verwijdering
Zorgtoepassingen
Strengere regels, met opzet
Geen medisch hulpmiddel
De zorgagents signaleren en leggen vast. Ze stellen geen diagnose en nemen geen behandelbeslissing. Daarmee vallen ze buiten de regelgeving voor medische hulpmiddelen — en dat willen we zo houden.
Altijd een mens erachter
Elke melding komt bij een aangewezen toezichthouder terecht. Die beslist, niet de agent. Geen melding verdwijnt in een wachtrij zonder eigenaar.
Escalatie contractueel vastgelegd
Wie doet wat bij een signaal, en binnen welke termijn? Dat leggen we vóór de start schriftelijk vast. Laat het door uw eigen jurist nakijken — wij zijn geen juristen.
Vragen over veiligheid
Worden gesprekken opgenomen?
Standaard bewaren we het transcript en de samenvatting. Audio bewaren doen we alleen als u daarom vraagt, met een korte bewaartermijn. In beide gevallen moet u bellers erover informeren.
Kunnen wij gegevens laten verwijderen?
Ja. Op verzoek verwijderen we gesprekken van een specifieke persoon, en bij beëindiging van het contract de volledige omgeving. Dat bevestigen we schriftelijk.
Wie kan er bij onze gesprekken?
Uw eigen gebruikers volgens de rechten die u instelt, en onze technici alleen bij een storing of op uw verzoek. Elke toegang wordt gelogd en is voor u inzichtelijk.
Kunnen we een DPIA uitvoeren?
Ja, en bij zorgtoepassingen adviseren we dat ook. We leveren de technische beschrijving, de datastromen en de subverwerkerslijst die u daarvoor nodig heeft.
Kunnen we de maatregelen laten toetsen?
Dat kan. We stellen de technische beschrijving en het maatregelenoverzicht beschikbaar voor uw eigen beoordeling of die van uw auditor, en beantwoorden een leveranciersvragenlijst als u die heeft.
Wilt u dit met uw functionaris gegevensbescherming doornemen?
We zetten de technische beschrijving en de verwerkersovereenkomst vooraf op tafel, niet pas bij de ondertekening.