Geen externe AI voor herkenning
De taalmodellen en OCR werken op de applicatieserver. Documenttekst wordt hiervoor niet naar een externe AI-dienst gestuurd.
Versleutelde inhoud
Resultaten en omkeersleutels krijgen versleutelde opslag. Een eigen kluissleutel kan daar een extra beschermingslaag aan toevoegen.
Toegang met rechten
Werkruimtes, rollen en documentrechten bepalen wie inhoud mag bekijken, aanpassen of exporteren.
1. Je tekst wordt op de applicatieserver verwerkt
Wanneer je de cloudapp gebruikt, stuur je tekst of bestanden vanaf je browser naar de applicatieserver. Die leest het document, herkent persoonsgegevens en maakt het resultaat. Scans worden daar via OCR omgezet naar tekst. De herkenning gebruikt lokaal geïnstalleerde taalmodellen, zonder documenttekst naar een externe AI-dienst te sturen.
De server kan de oorspronkelijke tekst tijdens deze verwerking lezen. “Lokale taalmodellen” betekent hier lokaal op de server. De verwerking gebeurt dus niet volledig in je browser. Voor de productieconfiguratie zijn HTTPS en beveiligde sessiecookies vereist om de verbinding te beschermen.
Bronbestanden worden tijdelijk gebruikt en daarna opgeruimd. De volledige brontekst en de posities van herkenningen worden niet als blijvende bron in je dossier opgeslagen. Ze kunnen tijdelijk beschikbaar zijn voor de verwerking en je controlescherm.
2. Versleuteling beschermt de opgeslagen inhoud
De app bewaart resultaten, omkeersleutels en het identiteitengeheugen van projecten standaard versleuteld met een serversleutel. Daarmee zijn deze opgeslagen gegevens zonder de bijbehorende sleutel niet leesbaar. De standaardversleuteling gebruikt Fernet.
Bij pseudonimiseren blijven de koppelingen tussen oorspronkelijke gegevens en pseudoniemen bewust beschikbaar voor herstel. Die koppelingen zijn ook persoonsgegevens en worden versleuteld bewaard. Bij anonimiseren wordt voor die verwerking geen omkeersleutel of identiteitengeheugen opgeslagen.
Extra opslagbescherming met je eigen kluissleutel
Een organisatiebeheerder kan een eigen werkruimtesleutel inschakelen, ook BYOK genoemd. De browser versleutelt de opgeslagen documentinhoud en sleutelkoppelingen dan aanvullend met AES-256-GCM. Het sleutelbestand wordt niet op de server bewaard. Je importeert het in de browser om de inhoud te openen.
Deze extra laag beschermt opgeslagen inhoud. Tijdens herkenning en OCR ziet de server nog steeds de oorspronkelijke tekst. De browsercode wordt bovendien door het platform geleverd. Dit is daarom geen volledige end-to-endversleuteling of absolute bescherming tegen alle toegang door de aanbieder.
Bewaar een veilige reservekopie van je kluissleutel buiten de app. Andere bevoegde leden hebben dezelfde sleutel nodig; deel die via een veilig kanaal. Als alle kopieën verloren zijn, kunnen wij de met die sleutel beveiligde inhoud niet herstellen. De kluissleutel verschilt van de omkeersleutel waarmee je pseudoniemen terugdraait.
Accountgegevens, toegangsrechten, facturatie en technische gebruiksgegevens blijven geheel of gedeeltelijk leesbaar voor de server. Versleutelde documentinhoud betekent dus niet dat de volledige database onleesbaar is.
3. Toegang wordt gecontroleerd per werkruimte
Een account krijgt toegang tot de werkruimtes waarvoor het bevoegd is. Rollen en aanvullende documentrechten regelen onder meer bekijken, bewerken, reviewen en exporteren. De server controleert deze rechten bij het opvragen en wijzigen van gegevens.
Wachtwoorden worden gehasht met een persoonlijke salt. De app ondersteunt tweestapsverificatie met een authenticator en eenmalige herstelcodes. Sessiecookies zijn afgeschermd voor JavaScript; aanvullende controles beschermen verzoeken tegen misbruik vanuit andere websites.
Organisatiebeheerders bepalen welke leden toegang krijgen. Gebruik een eigen account per persoon, schakel tweestapsverificatie in en trek toegang in zodra iemand die niet meer nodig heeft.
4. Jij kiest hoelang resultaten en sleutels blijven
Voor resultaten en omkeersleutels kun je afzonderlijke bewaartermijnen instellen. Standaard staat voor beide geen automatische verwijdering ingesteld. Die inhoud blijft dan bewaard tot verwijdering. Wil je een kortere opslagduur, kies dan bewust een termijn die past bij je doel en verplichtingen.
Met een ingestelde termijn verwijdert de app de verlopen inhoud. Een sleutel kan eerder verlopen dan een resultaat, of andersom. Na het verwijderen van de sleutelkoppelingen kun je een gepseudonimiseerde tekst niet meer met die sleutel herstellen. Ook het projectgeheugen valt onder de termijn voor sleutels.
Het verkorten van een termijn kan ook bestaande inhoud verwijderen. Een termijn later verlengen brengt verwijderde inhoud niet terug. Technische administratie en facturatie vallen niet automatisch onder je documenttermijn.
Een verwijdering uit de app wist geen eerder gemaakte downloads of kopieën bij andere diensten. Back-ups hebben een eigen bewaarbeleid; de precieze termijnen en de werkwijze bij herstel worden vóór ingebruikname vastgelegd.
5. Hosting en operationele afspraken
De beoogde hosting voor de app is Zerops in Praag, regio prg1, Tsjechië, Europese Unie. OVH is voorzien voor de DNS-dienst die de domeinnaam naar de hosting verwijst. Dit beschrijft de gekozen richting; de daadwerkelijke productie-inrichting en verwerkingslocaties worden vóór de lancering bevestigd.
Wat we vóór ingebruikname concreet vastleggen
De verwerkersovereenkomst en de bijlagen beschrijven de technische en organisatorische maatregelen, met ten minste:
- de daadwerkelijke hostingregio, ingeschakelde subverwerkers en eventuele internationale doorgiften;
- wie productie- en supporttoegang heeft, voor welk doel en onder welke geheimhouding;
- de bescherming, bewaartermijnen en herstelprocedure van back-ups;
- de verwijderprocedure bij afloop van een bewaartermijn of de overeenkomst;
- de contactpersonen en werkwijze voor beveiligingsincidenten, datalekken en verzoeken van betrokkenen.
De technische opbouw alleen bevestigt deze operationele maatregelen niet. De nog in te vullen afspraken in de verwerkersovereenkomst worden daarom afgerond voordat echte documenten worden verwerkt.
Kies je later zelf een cloudkoppeling voor import of export, dan wisselt de app daarvoor gegevens uit met die dienst. Voor betalingen en eventuele externe aanmelding zijn eveneens afzonderlijke diensten betrokken. Welke diensten zijn ingeschakeld en welke gegevens zij verwerken, hoort bij de definitieve afspraken.
6. Veilig delen begint ook bij je laatste controle
Beveiliging beschermt de verwerking en opslag. Of je een resultaat verantwoord kunt delen, hangt ook af van de inhoud. Automatische herkenning kan persoonsgegevens missen of onterecht markeren. Iemand kan bovendien herkenbaar blijven door de context, zelfs als een naam is verwijderd.
- Verwerk alleen gegevens die je voor je doel mag en moet gebruiken.
- Controleer het resultaat, inclusief context en leesfouten uit scans, vóór je het deelt.
- Bewaar omkeersleutels veilig en apart van de documenten die je verspreidt.
- Stel passende bewaartermijnen in en verwijder inhoud die je niet meer nodig hebt.
- Beperk toegang tot bevoegde personen en beveilig ook je eigen apparaten en downloads.
Pseudonimiseren is omkeerbaar en blijft verwerking van persoonsgegevens. Ook een geanonimiseerd resultaat moet je beoordelen op herkenbaarheid. We geven geen garantie dat alle persoonsgegevens automatisch worden gevonden en presenteren de app niet als AVG-gecertificeerd product.