Veiligheid en privacy
Hier lees je hoe toegang tot dossiers, versleuteling en bewaartermijnen zijn ingericht. Ook zie je wat je zelf regelt, zoals je cliënt informeren en toestemming vragen voor een opname.
AVG-proof volgens onze interne beoordeling. Bloei gebruikt deze aanduiding voor het platform op basis van het eigen AVG-bewijsdossier met beleid, DPIA, technische controles en testresultaten. Dit is een eerste-partijbeoordeling: geen AVG-certificering, extern keurmerk, onafhankelijk juridisch oordeel of garantie. De coach blijft verantwoordelijk voor de eigen grondslag, cliëntinformatie, bewaartermijn en het zorgvuldige gebruik.
Verdediging in lagen
Als één maatregel tekortschiet, blijft de volgende grens bestaan. Dat maakt bescherming minder afhankelijk van één instelling of leverancier.
Verplichte tweestapsverificatie, tijdelijke inlogblokkering, sessies, gebruikersrollen en praktijkscheiding begrenzen welke cliëntinformatie zichtbaar en bewerkbaar is. Een sessie verloopt na acht uur zonder handeling. Wie een dossier opent, een onderdeel bekijkt of iets wijzigt, staat in een logboek dat je per cliënt kunt inzien.
ToegangDe database wordt met SQLCipher en een externe sleutel versleuteld, geüploade documenten met AES-GCM; verbindingen lopen via TLS.
VersleutelingNeem je een consult op, dan zet Voxtral van Mistral die audio om in tekst — een Europese verwerker die de audio niet bewaart. Lukt dat niet, dan valt Bloei terug op Whisper (OpenAI). Twee andere geluidsstromen lopen via Whisper: een cliënt die zijn check-in inspreekt en audio die je als document uploadt. Voor die twee is OpenAI dus geen terugval maar de enige verwerker, zolang Bloei niet in de EU-stand staat.
DataminimalisatieEen voorstel blijft een voorstel. De coach controleert, past aan en bevestigt vóór opslag of verzending.
Menselijke regieDe tekst zelf — verslagen, voorstellen, samenvattingen — gaat naar Anthropic (Claude) in de Verenigde Staten, onder EU-modelcontractbepalingen. Hosting en opslag staan bij TransIP in Nederland, e-mail loopt via Resend (VS, EU-SCC's). Zet je een koppeling zelf aan, dan komen daar Google (agenda; contractpartij Google Ireland, verwerking kan in de VS plaatsvinden), e-Boekhouden.nl, Moneybird en Welldium bij. Kies je WhatsApp als kanaal naar een cliënt, dan stelt Bloei de tekst op en verstuur jij hem zelf: er gaat niets van ons naar Meta.
Stukken in een andere taal worden op verzoek van de coach vertaald of samengevat, altijd gemarkeerd als «niet nagekeken». Waar mogelijk blijft de cliëntnaam buiten tekstverwerking. Bij zelf geüploade documenten of audio kan identificerende informatie wel in de bron staan. Om namen goed te spellen, krijgt Mistral bij consultopnames ook een woordenlijst met namen uit jouw dossier en je eigen woorden; bij de terugval op Whisper gaat die lijst niet mee. De volledige, actuele lijst met land per dienst staat in de privacyverklaring.
Gegevenslevensloop
Niet elk gegeven heeft dezelfde functie of bewaartermijn. Bloei maakt daarom onderscheid tussen bron, afgeleid concept en definitieve dossierinformatie.
De coach of cliënt levert een check-in, document, meting of opname aan.
De bron wordt alleen gebruikt om het gekozen Bloei-onderdeel uit te voeren.
Bron en voorstel blijven van elkaar te onderscheiden totdat de coach bevestigt.
Sinds 17 september 2026 bewaren we de ruwe consultaudio niet meer. Tijdens het uitschrijven staat de opname kortstondig als tijdelijk bestand op de server; zodra de tekst er is, wordt dat bestand verwijderd. Het uitgeschreven transcript bewaren we wél, en sinds die datum in dezelfde versleutelde database als de rest van het dossier — niet meer als los tekstbestand. Het verslag en de AI-spiegel worden daaruit gemaakt; een spiegel blijft in jouw dossier en er is geen route die hem naar je cliënt stuurt. Oudere audio van vóór die datum wordt na 30 dagen gewist; tijdelijke imports verlopen na 24 uur. De coach kan een dossier volledig exporteren en daarna met wachtwoord plus naambevestiging uit de actieve omgeving wissen. Versleutelde back-ups doven binnen maximaal 30 dagen uit. De Oura-koppeling is uitgeschakeld; eventueel eerder lokaal geïmporteerde Oura-metingen kunnen cliënt en coach direct verwijderen.
Actuele veiligheidsstatus
Deze waarden komen uit de laatst vastgelegde verificatieronde, niet uit de build die je nu bekijkt — datum en commit staan erbij. Een teststatus wordt pas als groen getoond nadat de volledige geregistreerde ronde zonder rode uitkomst is afgerond.
De status wordt geladen.
Samen verantwoordelijk
Wil je weten hoe dit technisch is ingericht of wat het voor jouw organisatie betekent?
Bekijk de technische maatregelenVerwerkersovereenkomst (versie 2.2 · 20 september 2026)DPIA-templateStel een privacyvraagIn ongeveer 30 minuten lopen we met je een fictieve cliënt door, van voorbereiding en opname tot conceptverslag. Na de demo krijg je een persoonlijke code voor je eerste maand zonder abonnementskosten.
Vraag een demo aan →of liever zelf proberen →