Hoe deze applicatie met persoonsgegevens omgaat.
Deze verklaring beschrijft de verwerking door de beheerder van ZorgTekstAI. Bij cliënt- of patiëntgegevens heeft de betrokken praktijk daarnaast een eigen verantwoordelijkheid.
Versie 23 juli 2026
1. Verantwoordelijke en privacycontact
Marinus den Breejen
Privépersoon
Koninginneweg 71a
3261 CB Oud-Beijerland
Nederland
E-mail: marinusdenbreejen@gmail.com
Er is geen functionaris voor gegevensbescherming aangesteld. Marinus den Breejen is het zichtbare privacy- en veiligheidscontactpunt voor deze applicatie. Meld privacyvragen, vermoedelijke datalekken, beveiligingsproblemen en verzoeken van betrokkenen via marinusdenbreejen@gmail.com.
2. Verdeling van verantwoordelijkheden
Marinus den Breejen is verwerkingsverantwoordelijke voor het toegangsbeheer, de beveiliging, de functionele sessie, de gebruikslimiet en het beheer van deze applicatie.
De toegestane gebruikers werken voor verschillende zelfstandige praktijken. De praktijk die bepaalt waarom cliënt- of patiëntgegevens worden verwerkt, is voor die zorginhoud de verwerkingsverantwoordelijke. Marinus den Breejen verwerkt die inhoud uitsluitend technisch en op instructie van de gebruiker of praktijk. De praktijk blijft verantwoordelijk voor de grondslag, informatieplicht, dossierregels, beroepsgeheim, bewaartermijn en beoordeling of een DPIA nodig is. Waar vereist moeten Marinus den Breejen en de praktijk een verwerkersovereenkomst sluiten.
3. Welke persoonsgegevens worden verwerkt?
- Account- en toegangsgegevens: het geverifieerde Google-e-mailadres en tijdelijke sessie- en beveiligingsgegevens.
- Gebruiksgegevens: een gehashte gebruikers-ID, datum, tijd en categorie van een AI-handeling voor de daglimiet.
- Inhoudsvrije beveiligingsaudit: datum en tijd, gehashte gebruikers-ID, gebeurtenistype, uitkomst en beperkte technische metadata zoals handelingstype of intern object-ID. De audit bevat nooit documenten, prompts, antwoorden, audio, transcripties, medische inhoud of zoektermen.
- Zelf opgeslagen instellingen: templates en bronnenlijsten, inclusief naam, instructies, domeinen, zichtbaarheid en een gehashte eigenaar-ID.
- Tijdelijke zorginhoud: documenten, tekst, audio, transcripties, vertalingen, prompts, vragen en AI-antwoorden. Deze kunnen bijzondere persoonsgegevens over gezondheid bevatten.
- Optionele zoekgegevens: een algemene zoekterm als de gebruiker Brave Search bewust inschakelt.
Templates en bronnenlijsten mogen geen namen, dossierinformatie, medische gegevens of andere cliënt- of patiëntgegevens bevatten.
4. Doeleinden en grondslagen
| Verwerking | Doel | Grondslag |
|---|---|---|
| Google-login en sessie | Alleen goedgekeurde gebruikers toelaten en misbruik voorkomen. | Gerechtvaardigd belang van Marinus den Breejen bij een veilige, besloten applicatie (artikel 6 lid 1 onder f AVG). |
| Templates en bronnenlijsten | Herbruikbare documentstructuren en vertrouwde websites aanbieden. | Gerechtvaardigd belang bij het leveren en beheren van de gevraagde functionaliteit (artikel 6 lid 1 onder f AVG). |
| Gebruiksteller | De limiet van 100 AI-verzoeken per gebruiker per dag handhaven, kosten beheersen en beperkt onderzoek naar storingen of misbruik mogelijk maken. | Gerechtvaardigd belang bij beveiliging, continuïteit en kostenbeheersing (artikel 6 lid 1 onder f AVG). |
| Inhoudsvrije beveiligingsaudit | Ongeautoriseerde toegang, misbruik, beveiligingsincidenten en beheerhandelingen kunnen onderzoeken. | Gerechtvaardigd belang bij beveiliging, aantoonbaarheid en incidentonderzoek (artikel 6 lid 1 onder f AVG). |
| Documenten, OCR, audio en AI-verwerking | Informatie efficiënt vastleggen, tekst uit gescande PDF-pagina's herkennen, transcriberen, vertalen, samenvatten, structureren en controleren. | De betrokken praktijk bepaalt de grondslag uit artikel 6 AVG en, bij gezondheidsgegevens, de uitzondering uit artikel 9 AVG. In een zorgcontext kan bijvoorbeeld artikel 9 lid 2 onder h AVG van toepassing zijn; de praktijk moet dit zelf vaststellen en documenteren. |
| Optioneel internetzoeken | Algemene actuele informatie vinden binnen een gekozen bronnenlijst. | Gerechtvaardigd belang bij het beantwoorden van de geactiveerde algemene zoekvraag. Persoonsgegevens en zorginhoud zijn in zoektermen niet toegestaan. |
Er vindt geen direct marketing, verkoop van persoonsgegevens, modeltraining met applicatie-inhoud of uitsluitend geautomatiseerde besluitvorming over personen plaats. AI-uitvoer is een concept en moet door een bevoegde gebruiker worden gecontroleerd.
5. Ontvangers en locaties
- Scaleway SAS: hosting in Amsterdam, Object Storage in Amsterdam en AI-verwerking in Parijs, inclusief OCR van gescande PDF-pagina's met Mistral Small 3.2 Vision. Scaleway treedt voor deze diensten op als verwerker. De kernverwerking blijft binnen de EU.
- Google: OAuth-authenticatie. Google ontvangt de gegevens die technisch nodig zijn voor de login, maar geen documenten, audio, prompts of AI-antwoorden via deze applicatie.
- Brave Software Inc., Verenigde Staten: uitsluitend wanneer een gebruiker internetzoeken activeert. De zoekterm verlaat dan Scaleway en de EU-only gegevensstroom.
- Bevoegde instanties: alleen wanneer verstrekking wettelijk verplicht is.
6. Bewaartermijnen
| Gegevens | Bewaartermijn |
|---|---|
| Functionele inlogsessie | Bij een niet-vertrouwd apparaat: automatische uitlog na 20 minuten inactiviteit. Na de expliciete verklaring voor een vertrouwd apparaat geldt geen applicatie-idle-time-out; de sessie eindigt bij uitloggen, het wissen van browsergegevens of wanneer de browser de sessie beëindigt. |
| Documenten, tekst, audio, transcripties, vertalingen, prompts en AI-antwoorden | Niet door de applicatie opgeslagen. Alleen tijdens de aanvraag en in de geopende pagina verwerkt. Scaleway kan bij vermoedelijk misbruik of een dienstverstoring uitzonderlijk een volledige HTTP-aanvraag maximaal twee weken bewaren. |
| Chatgeschiedenis en vervolgvragen | Alleen in het geheugen van de geopende browserpagina; verwijderd bij sluiten of vernieuwen. |
| Templates en bronnenlijsten | Totdat de eigenaar ze verwijdert. Na intrekking van toegang worden eigen opgeslagen gegevens op verzoek uiterlijk binnen 30 dagen verwijderd, tenzij een wettelijke verplichting anders vereist. |
| Gehashte gebruikstellers | 30 dagen, daarna automatisch verwijderd. |
| Inhoudsvrije beveiligingsaudit | Maximaal 180 dagen, daarna automatisch verwijderd. Uitsluitend de beheerder, marinusdenbreejen@gmail.com, kan het auditoverzicht bekijken. |
| Brave-zoekopdrachten | Volgens Brave maximaal 90 dagen. |
7. Beveiliging en cookies
De applicatie gebruikt versleutelde HTTPS-verbindingen, EU-regio's, beperkte API-sleutels, een Google-allowlist, beveiligde HttpOnly-sessiecookies, CSRF-bescherming, dagelijkse gebruikslimieten en versleutelde Object Storage. Inhoud wordt niet in applicatielogs geschreven.
Er worden geen advertentie-, analyse- of trackingcookies geplaatst. De functionele sessiecookie is noodzakelijk voor inloggen en beveiliging; hiervoor wordt geen toestemming gevraagd.
8. Uw privacyrechten
Voor verwerkingen waarvoor Marinus den Breejen verantwoordelijk is, kunt u verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar. Als een verwerking op toestemming zou berusten, kunt u die toestemming intrekken. Er vindt geen uitsluitend geautomatiseerde besluitvorming met rechtsgevolg plaats.
Stuur uw verzoek naar marinusdenbreejen@gmail.com. Vermeld zo concreet mogelijk waarop het verzoek ziet. Om gegevens van anderen te beschermen kan om passende identiteitsverificatie worden gevraagd, maar niet standaard om een volledige kopie van een identiteitsbewijs. Een verzoek wordt in beginsel binnen één maand beantwoord.
Gaat het verzoek over cliënt- of patiëntinformatie die een praktijk heeft ingevoerd? Neem dan eerst contact op met die praktijk. Marinus den Breejen ondersteunt de praktijk waar nodig bij de technische uitvoering van het verzoek.
9. Vragen en klachten
Neem bij een vraag of klacht eerst contact op via marinusdenbreejen@gmail.com, zodat naar een oplossing kan worden gezocht. U heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens of naar de bevoegde rechter te gaan.
10. Wijzigingen
Deze verklaring wordt aangepast als de werking, leveranciers of juridische context veranderen. De actuele versie en datum staan altijd op deze pagina. Materiële wijzigingen worden aan de toegestane gebruikers gemeld.