Privacy en veiligheid, in gewone taal

Ineke is een AI-assistent voor de zorg, ontwikkeld door Gen4 B.V. Voor huisartsenpraktijken voert Ineke de intake via chat en neemt zij de telefoon aan; voor klinieken beantwoordt zij de telefoon en plant zij afspraken in. Ineke verzamelt en structureert; het zorgteam beoordeelt en beslist.

• — De zorginstelling is verwerkingsverantwoordelijke: zij bepaalt waarvoor Ineke wordt ingezet.
• — Gen4 B.V. is verwerker: wij richten Ineke in, koppelen telefonie en agenda en leveren de rapporten.
• — ElevenLabs levert het AI-platform en is subverwerker (zie punt 7).

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Daarom sluit Gen4 met elke zorginstelling een verwerkersovereenkomst conform artikel 28 AVG, is er een Data Protection Impact Assessment (DPIA) uitgevoerd en vindt alle verwerking plaats binnen de EU/EER.

• — Ineke verwerkt alleen wat nodig is voor de intake of het gesprek; geen profilering, geen doorverkoop van gegevens.
• — Ineke wordt niet getraind op gegevens van individuele patiënten.
• — Toegang tot gegevens alleen op “need to know”-basis.
• — Bij beëindiging worden alle gegevens binnen 30 dagen verwijderd of overgedragen.

Certificering voor NEN 7510:2024 en ISO 27001 is in voorbereiding. De maatregelen uit de norm gelden nu al: versleuteling, hosting binnen de EER, logging en melding van datalekken binnen 72 uur. Ons toepassingskader is op aanvraag beschikbaar.

Maatregelen die nu gelden

• — Versleuteling: TLS 1.3 voor verbindingen, AES-256 voor opslag
• — Hosting binnen de Europese Economische Ruimte
• — Logging van systeemgebeurtenissen (geen gespreksinhoud)
• — Incidentmanagement en melding van datalekken binnen 72 uur
• — Continuïteit: bij uitval een alternatieve oplossing binnen 4 uur

De leveringsvoorwaarden beschrijven de certificeringen in artikel 15.6.

Ineke is onder de EU AI Act een AI-systeem met beperkt risico (limited risk) en voldoet aan de bijbehorende transparantieverplichtingen: patiënten horen aan het begin van het gesprek dat zij met een digitale assistent spreken. Gen4 past daarnaast vrijwillig maatregelen toe uit de eisen voor hoog-risicosystemen: risicobeheer, technische documentatie en menselijk toezicht.

Transparantie in de praktijk: elk gesprek levert een rapport op met

• — De oorspronkelijke vraag van de patiënt
• — De geadviseerde routering of urgentie, gemarkeerd als indicatief
• — Een samenvatting van het gesprek en de volledige gespreksweergave
• — Overige voor de zorginstelling relevante informatie

Ineke is door Gen4 geclassificeerd als medisch hulpmiddel klasse I onder de Medical Device Regulation (EU 2017/745).

Ineke stelt geen diagnose, kiest geen behandeling en neemt geen klinische beslissingen. De urgentie-inschatting is indicatief en wordt altijd door een bevoegde zorgverlener beoordeeld, die haar kan overrulen. Bij alarmsignalen verwijst Ineke direct naar de praktijk, de huisartsenpost of 112.

• — Ineke ondersteunt bij het contact, maar neemt geen definitieve beslissingen
• — Bij twijfel, spoed of een medische vraag verbindt Ineke door naar een medewerker of legt zij een terugbelverzoek vast
• — Elk gesprek eindigt in een rapport dat het team beoordeelt
• — Gen4 monitort de prestaties en evalueert periodiek met de zorginstelling

Gen4 B.V. is verwerker. Het AI-platform van ElevenLabs is subverwerker, met EU-dataresidentie en certificering volgens ISO 27001:2022 (inclusief ISO 27017 en 27018) en SOC 2 Type 2. De subverwerkersovereenkomst tussen Gen4 en ElevenLabs waarborgt dezelfde afspraken als de verwerkersovereenkomst met u. Er komen geen verdere subverwerkers bij zonder toestemming van de verwerkingsverantwoordelijke.

• — Gespreksinhoud: direct verwijderd na rapportage
• — Rapportages: direct na levering aan klant verwijderd
• — Logs voor monitoring: maximaal 24 uur
• — Metadata voor facturatie: 7 jaar conform wettelijke vereisten

Logging van systeemgebeurtenissen bevat geen gespreksinhoud: wel tijdstempels, sessie-identificatie en versienummers van de gebruikte modellen.

Rechten van betrokkenen

• — Informatie over de verwerking
• — Inzage in verwerkte gegevens (via de zorginstelling)
• — Correctie en verwijdering
• — Beperking van verwerking
• — Dataportabiliteit
• — Bezwaar tegen verwerking
• — Klacht indienen bij de Autoriteit Persoonsgegevens

Contact

• — Gen4 B.V.: privacy@gen4.nl
• — Functionaris Gegevensbescherming: marco.alban@gen4.nl
• — Klachten: Autoriteit Persoonsgegevens