Veiligheid & AVG

Wij nemen beveiliging serieus en investeren continu in de bescherming van gegevens. Van versleutelde verbindingen en toegangscontrole tot audit logging en automatische opschoning — alles is ingericht om te voldoen aan de eisen van de zorgsector.

NEN 7510 — waar wij staan. Wij richten onze informatiebeveiliging in volgens NEN 7510:2024. Het managementsysteem is in opbouw: het ISMS-handboek, de verklaring van toepasselijkheid over de beheersmaatregelen, het asset-register en de datalekprocedure met bijbehorend register zijn opgesteld en worden dit najaar vastgesteld. De planning daarna ligt vast: een interne audit in oktober 2026, een externe penetratietest, en de externe certificeringsaudit begin 2027.

Wat wij niet claimen. Wij voeren op dit moment geen NEN 7510-certificaat en zijn niet gecertificeerd. Dit is een lopend traject, geen keurmerk. Wat er wel ligt — het beleid, de verklaring van toepasselijkheid en de auditplanning — is inzichtelijk voor uw DPO.

Hosting. De applicatie draait in Frankfurt (Duitsland). De database wordt gehost door Supabase op AWS in het Verenigd Koninkrijk (regio eu‑west‑2, Londen), dat door de Europese Commissie is aangemerkt als land met een passend beschermingsniveau. Dat adequaatheidsbesluit is op 19 december 2025 verlengd tot 27 december 2031, waardoor doorgifte naar het VK geen aanvullende waarborgen vereist — ook niet voor gezondheidsgegevens. Voor het genereren van documenten schakelen wij daarnaast OpenAI in de Verenigde Staten in; die doorgifte rust op standaardcontractbepalingen (SCC's) en een transfer impact assessment. Welke partij wat verwerkt en waar, staat volledig uitgeschreven in onze privacyverklaring.