Beveiliging, AI en dataopslag
Wij vragen ondernemers hun klantenbestand aan ons toe te vertrouwen. Dan hoor je precies te weten waar die gegevens staan, wie erbij kan en hoe lang we ze bewaren. Hieronder staat het concreet — geen loze kreten.
Waar staat jouw data?
Alle bedrijfs- en klantgegevens (afspraken, klanten, facturen, bestanden) staan op servers in Duitsland, binnen de EU, bij een Europese hostingpartij. Er is geen doorgifte naar landen buiten de EU voor de opslag van jouw bedrijfsgegevens.
Wat doen we met AI — en wat niet
- Europese aanbieders met zero-data-retention. Voor alle tekstverwerking (klantvragen beantwoorden, mails opstellen, analyses) gebruiken we taalmodellen die binnen de EU draaien, onder een afspraak waarin de aanbieder de invoer niet opslaat en niet gebruikt om te trainen. De verwerking gebeurt in het geheugen en verdwijnt daarna.
- Alleen wat nodig is. We sturen per vraag een beperkte samenvatting mee — bijvoorbeeld je diensten en beschikbaarheid — niet je hele klantenbestand.
- Beeldgeneratie is apart. Voor promotiebeeld gebruiken we de beste beeldmodellen ter wereld, die niet allemaal in de EU staan. Daar gaat nooit klantdata naartoe: alleen de opdracht die jij zelf typt en eventueel je eigen foto's.
- De AI beslist niets zelf. Voorstellen van de Automation AI worden pas uitgevoerd na jouw akkoord, of nadat jij die automatisering bewust op autopilot hebt gezet. Alles wordt vastgelegd in een auditlog.
- Geen profilering van consumenten. We nemen geen geautomatiseerde besluiten met rechtsgevolgen over jouw klanten.
Welke aanbieders we precies inzetten kan wisselen; de actuele lijst met namen en vestigingslanden krijg je op verzoek via privacy@healthbrain.nl, en bij een wijziging die jou raakt informeren we je vooraf.
Categorieën verwerkers
| Waarvoor | Regio | Toelichting |
|---|---|---|
| Hosting en database | Duitsland (EU) | Alle bedrijfs- en klantgegevens staan op servers binnen de EU. |
| E-mailverzending | Nederland (EU) | Bevestigingen, herinneringen en berichten aan jouw klanten. |
| Betalingen (Stripe Payments Europe, Ltd. — Ierland) | Ierland (EU) | PCI-DSS Level 1, onder toezicht van de Central Bank of Ireland. Wij zien of bewaren geen kaartgegevens; het geld gaat rechtstreeks naar jouw rekening. |
| AI-taalmodellen | EU | Europese aanbieders met zero-data-retention: invoer wordt niet bewaard en niet gebruikt voor training. |
| AI-beeldgeneratie | EU/VS | Alleen voor promotiebeeld dat jij zelf aanmaakt. Er gaan géén klantgegevens naartoe. |
Hoe lang bewaren we wat?
| Gegevens | Bewaartermijn | Waarom |
|---|---|---|
| Afspraken, facturen en betalingen | 7 jaar | wettelijke fiscale bewaarplicht |
| Klantgegevens (naam, contact, historie) | zolang je account loopt | jij bent eigenaar; wissen kan altijd op jouw verzoek |
| AI-gesprekken en voorstellen | 12 maanden | terugkijken en verbeteren; daarna automatisch verwijderd |
| Inhoud die naar een AI-model gaat | niet bewaard | zero-data-retention bij de aanbieder; geen training op jouw data |
| Technische logs | 30 dagen | storingen oplossen en misbruik tegengaan |
| Back-ups | 14 dagen | herstel na een storing; daarna overschreven |
| Je account na opzegging | 30 dagen | bedenktijd en exportmogelijkheid; daarna definitief verwijderd |
Beveiligingsmaatregelen
- Versleutelde verbindingen (TLS) naar de app en alle koppelingen.
- Gevoelige koppelingsgegevens (zoals mailwachtwoorden) versleuteld opgeslagen (AES-256-GCM).
- Wachtwoorden alleen als onomkeerbare hash; wij kunnen ze nooit inzien.
- Strikte scheiding per bedrijf: elke opvraging is gekoppeld aan jouw bedrijf.
- Auditlog van belangrijke handelingen, inclusief wie wat wanneer deed.
- Dagelijkse back-ups en een herstelprocedure.
- Rollen en rechten per teamlid; automatische blokkade na herhaald mislukt inloggen.
Betalingen: wie verwerkt ze?
Online betalingen lopen via Stripe (Stripe Payments Europe, Ltd., gevestigd in Ierland), onder toezicht van de Central Bank of Ireland en PCI-DSS Level 1-gecertificeerd. Je maakt daar bij het instellen van uitbetalingen je eigen account aan.
- Wij zien of bewaren nooit kaartgegevens. Die gaan rechtstreeks van je klant naar Stripe.
- Het geld is van jou. Betalingen komen op jouw eigen Stripe-rekening en worden van daaruit naar je bankrekening uitbetaald. Wij houden geen servicefee in; alleen de werkelijke transactiekosten van Stripe worden 1-op-1 verrekend — zie tarieven.
- Ondersteund: iDEAL en de gangbare betaalkaarten.
Back-ups en herstel
- Dagelijkse back-ups van de volledige database, versleuteld opgeslagen op de Europese server; 14 dagen bewaard en daarna overschreven.
- Vóór elke wijziging aan de database maken we bovendien een extra back-up, zodat we altijd terug kunnen.
- Herstel gebeurt door ons; er is geen zelfbedieningsknop. Ben je per ongeluk iets kwijt? Mail ons zo snel mogelijk, dan kijken we wat er nog in de back-up staat.
Een datalek melden
Zie of vermoed je een beveiligingsprobleem? Mail privacy@healthbrain.nl. We reageren binnen twee werkdagen en pakken meldingen serieus op; we ondernemen geen juridische stappen tegen mensen die een kwetsbaarheid netjes bij ons melden en ons de kans geven die te herstellen. Bij een datalek dat jou raakt, informeren we je binnen 24 uur na ontdekking, met wat er is gebeurd en wat wij eraan doen.
Je gegevens meenemen of laten wissen
In de app kun je op elk moment alles exporteren (Instellingen → Je gegevens exporteren): een compleet bestand of losse Excel-lijsten met klanten, afspraken, diensten en betalingen. Wil je alles laten verwijderen, mail dan privacy@healthbrain.nl — dat doen we binnen 30 dagen, behalve waar we wettelijk moeten bewaren (zoals facturen).
Eerlijk over waar we staan
HealthBrain is een jong platform. We zijn geen ISO 27001- of SOC 2-gecertificeerde organisatie en doen niet alsof. Wat we wel doen: onze keuzes hierboven openlijk opschrijven, alles binnen de EU houden waar het om klantgegevens gaat, en je nooit vastzetten — je data is met één klik van jou. Heb je aanvullende eisen vanuit je eigen branche of opdrachtgever? Neem contact op, dan kijken we wat we schriftelijk kunnen vastleggen.