Geen zelfstandig klinisch beslissysteem

De applicatie biedt uitsluitend administratieve ondersteuning en informatievoorziening. Zij diagnosticeert, triëert en schrijft niet voor en neemt geen zelfstandige behandel- of andere klinische besluiten. Iedere uitkomst is een AI-concept dat vóór gebruik inhoudelijk door een zorgprofessional moet worden gecontroleerd.

Alleen gecontroleerde output mag in een medisch dossier worden opgenomen. De zorgprofessional blijft verantwoordelijk voor juistheid, volledigheid, relevantie en noodzakelijkheid.

Verantwoordelijke, grondslagen en rechten

Marinus den Breejen is verantwoordelijk voor toegangsbeheer, beveiliging en functionele beheergegevens. Zelfstandige praktijken blijven verantwoordelijk voor de cliënt- en patiëntgegevens die hun gebruikers invoeren; voor die inhoud verwerkt de applicatie uitsluitend op instructie.

De volledige privacyverklaring beschrijft contactgegevens, doeleinden, grondslagen, ontvangers, bewaartermijnen, privacyrechten en de klachtenroute.

Verwerken zonder applicatieopslag

Documenten, geplakte tekst, audio, transcripties, prompts en antwoorden worden alleen tijdens de aanvraag in geheugen of kortstondige containeropslag verwerkt. De applicatie schrijft deze inhoud niet naar Object Storage, een database of serverlog. De chatgeschiedenis bestaat alleen in het geheugen van de geopende pagina.

Alleen algemene templates, bronnenlijsten en gehashte dagtellers worden versleuteld bewaard in Object Storage in Amsterdam. Templates en bronnenlijsten horen geen cliënt- of patiëntgegevens te bevatten.

Beveiligingshandelingen zonder medische inhoud

De audit slaat datum en tijd, een gehashte gebruikers-ID, gebeurtenistype, uitkomst en beperkte technische metadata op. Voorbeelden zijn login, logout, type AI-handeling, wijzigingen aan templates of bronnenlijsten, beheerbesluiten, opname starten, lokaal downloaden en automatische idle-logout.

Documenten, prompts, antwoorden, audio, transcripties, medische inhoud en zoektermen worden nooit in de audit opgeslagen. Auditgegevens worden maximaal 180 dagen bewaard en automatisch verwijderd. Alleen de beheerder, marinusdenbreejen@gmail.com, kan het auditoverzicht bekijken.

Amsterdam en Parijs

De webapp draait op Scaleway Serverless Containers in Amsterdam. De vaste AI-endpoint verwerkt tekst, gescande PDF-pagina's en audio met Scaleway Generative APIs in Parijs. Scaleway verklaart dat alle aangeboden modellen daar worden gehost, zonder interactie met diensten van modelleveranciers.

De kernverwerking van gevoelige inhoud blijft binnen Scaleway in de EU. Optioneel internetzoeken is een afzonderlijke route: een zoekterm gaat dan naar Brave Software Inc. in de Verenigde Staten en valt niet onder de EU-only gegevensstroom. Brave kan zoekopdrachten maximaal 90 dagen bewaren en sluit zoekquerygegevens volgens zijn privacyverklaring uit van de DPA. Gebruik deze functie daarom nooit voor namen, medische informatie of andere persoonsgegevens. Google ontvangt voor de login alleen account- en authenticatiemetadata, nooit documenten, audio, prompts of AI-antwoorden.

Verwerker, instructies en beveiliging

De DPA kwalificeert Scaleway als verwerker of subverwerker. Relevante bepalingen gaan over verwerking op gedocumenteerde instructie, vertrouwelijkheid, subverwerkers, beveiligingsmaatregelen, datalekmelding, EU-datalocatie, auditrechten en verwijdering na het contract.

De DPA bepaalt dat diensten standaard in de EU staan. Bij diensten met regiokeuze blijft de klant verantwoordelijk voor de gekozen EU-regio. Een eventuele doorgifte buiten de EU moet vooraf worden gemeld en vereist passende AVG-waarborgen.

Standaard geen prompts of outputs bewaard

De AI-voorwaarden bepalen dat gewone aanvragen en gegenereerde inhoud na verwerking niet worden bewaard, niet voor modeltraining worden gebruikt en niet toegankelijk zijn voor modelleveranciers of andere externe diensten. Deze applicatie gebruikt geen batchverwerking.

Er is één expliciete uitzondering: bij vermoed misbruik of een fout die de dienstverlening raakt, kan Scaleway tijdelijk de volledige HTTP-request bewaren voor onderzoek. De AI-privacydocumentatie noemt hiervoor een maximum van twee weken. Daarom wordt niet beweerd dat inhoud onder alle omstandigheden letterlijk nooit tijdelijk kan worden vastgehouden.

Gecertificeerd informatiebeveiligingsmanagement

Scaleway verklaart een ISO/IEC 27001:2022-gecertificeerd ISMS te voeren. De technische en organisatorische maatregelen beschrijven onder meer jaarlijkse interne en externe audits, toegangsbeheer volgens least privilege, logging, versleuteling, incidentrespons en toezicht op subverwerkers.

Het openbare Trust Center bevat het door BSI afgegeven ISO-certificaat. Het onderliggende auditrapport is niet openbaar: volgens DPA-artikel 12 zijn auditresultaten vertrouwelijk en kunnen aanvullende stukken op verzoek, doorgaans onder NDA, worden verstrekt.

Afbakening van de architectuur

• Serverless Containers en Container Registry: applicatie en image in nl-ams; runtime-opslag is tijdelijk.
• Generative APIs: Mistral Small 3.2 voor tekst en OCR/beeldherkenning en Whisper Large v3 voor audio in Parijs, uitsluitend via TLS en een beperkte API-key.
• Object Storage: alleen templates, bronnenlijsten, gehashte gebruikstellers en de inhoudsvrije beveiligingsaudit in nl-ams, met server-side AES-256-versleuteling.
• Google OAuth: authenticatie van toegestane accounts; geen toegang tot verwerkte inhoud.
• Brave Search: optioneel voor algemene zoekvragen binnen gekozen brondomeinen; uitgesloten voor gevoelige inhoud omdat zoektermen Scaleway verlaten.