Security en AI-governance bij Notebase

Versleuteling

Gegevens worden versleuteld tijdens transport (TLS 1.2 of hoger) en tijdens opslag.

Toegang

• Persoonlijke accounts met tweestapsverificatie via een authenticator-app.
• Rollen per organisatie en per dossier, zodat collega's alleen zien wat ze nodig hebben.
• Na 60 minuten zonder activiteit word je uitgelogd.

Medewerkers van Notebase

• Geen toegang tot de inhoud van opnames, transcripties of rapporten, tenzij je daar per geval toestemming voor geeft, bijvoorbeeld voor support.
• Beheerhandelingen gaan via vastgelegde, gecontroleerde opdrachten. Toegang is tijdelijk en op naam.
• Elke toegang en handeling komt in een apart logboek dat niet te wijzigen is.

Koppelingen

• Koppelingen met Microsoft 365, Google Workspace of je dossiersysteem zijn optioneel en werken met de minimaal benodigde rechten.
• We halen alleen de items op die je zelf selecteert. De uitzondering is een workflow op inkomende mail: alleen met jouw toestemming kijkt Notebase elke 15 minuten naar nieuwe mail van afzenders uit je eigen lopende dossiers. Andere mail slaan we over.
• Een workflow verstuurt alleen mail vanuit je eigen mailbox als je daar zelf toestemming voor gaf. Die toestemming trek je op elk moment in.
• Bij ontkoppelen of aan het einde van je abonnement verwijderen we de toegangstokens.

Infrastructuur

• Ontwikkel-, test- en productieomgevingen zijn gescheiden.
• Sleutels en geheimen beheren we in Azure Key Vault. Toegang gaat via managed identities.
• Productieresources zijn beschermd tegen onbedoeld verwijderen.
• Beheerders van je organisatie zien in een logboek wie welk dossier, rapport of persoon heeft ingezien, geëxporteerd of verwijderd, en kunnen dat exporteren.

Continuïteit

• We kunnen de database en documenten herstellen tot een recent moment.
• Herstel testen we periodiek. Na een herstel verwijderen we opnieuw wat na het herstelpunt was verwijderd, zodat verwijderde gegevens nooit terugkomen.
• Documenten staan ook in een tweede Zweedse regio. Database-back-ups bewaren we in Sweden Central.

Datalekken

Bij een datalek informeren we je binnen 48 uur. Een datalek melden of een vermoeden doorgeven kan via security@notebase.nl.

Delen buiten je organisatie

• Er wordt alleen gedeeld als jij of een workflow van je organisatie dat doet: een rapport, een formulier of een verzoek om informatie.
• Je kiest de ontvanger, welke delen hij ziet, de rechten (lezen, reageren of bewerken) en hoe lang de toegang geldig is.
• De ontvanger bevestigt de toegang met een code die per e-mail wordt verstuurd, en krijgt geen toegang tot de rest van Notebase.
• Je bepaalt of de ontvanger mag downloaden. Staat dat uit, dan is er geen downloadknop. Afdrukken of een schermafbeelding kunnen we niet voorkomen.
• Je ziet wanneer de ontvanger het rapport opende en terugstuurde. Delen, verlengen en intrekken staan in het logboek. Je kunt de toegang op elk moment intrekken.

Certificering

We werken aan certificering volgens ISO 27001 en NEN 7510, de Nederlandse norm voor informatiebeveiliging in de zorg. We verwachten de certificering in januari 2027.

Audio-opnames

Verwijderd direct nadat de transcriptie is opgeslagen, en nooit ouder dan 72 uur. Van audio maken we geen back-ups.

Transcripties

14 dagen na aanmaak verwijderd. Je organisatie kan dit instellen tot 30 dagen. Letterlijke citaten uit een transcriptie in een rapport gaan mee.

Dossiers

Dossiers worden na een vaste termijn verwijderd, met alles wat eronder hangt, zoals rapporten, documenten, formulieren en notities. Je krijgt vooraf bericht. Je organisatie kan de termijn korter instellen. De termijnen staan in de verwerkersovereenkomst.

Prullenbak

Een verwijderd dossier staat 30 dagen in de prullenbak en kan door een beheerder worden teruggezet. Op verzoek van een betrokkene verwijder je een dossier direct.

Back-ups

Back-ups bewaren we kort en ze verlopen automatisch. Wat je verwijdert, verdwijnt daarna ook uit de back-ups. De termijn staat in de verwerkersovereenkomst.

Na je abonnement

Je account wordt alleen-lezen, zodat je alles kunt exporteren. Na 30 dagen verwijderen we je gegevens. Je krijgt bij het einde en 7 dagen vooraf bericht.

Auditlog

Wie wat wanneer deed, bewaren we ten minste 24 maanden, ook na het einde van je abonnement. Je organisatie kan dit verlengen tot 84 maanden.

Waarvoor we AI gebruiken

• Spraak van een gesprek omzetten in tekst.
• Een concept van het rapport maken, op basis van die tekst en de documenten in het dossier.
• In workflows: een mail of document opstellen, inkomende stukken beoordelen, of een workflow voor je opzetten.
• Tijdens een consult, als je de Agent zelf start: meelezen en open vragen bijhouden.
• Zoeken in de kennisbank van je bureau.

Waar het verwerkt wordt

Alle AI-verwerking vindt plaats binnen de Europese Unie, op Microsoft Azure.

Geen training

Je invoer en uitvoer worden niet gebruikt om AI-modellen te trainen, niet door ons en niet door Microsoft. Microsoft kan inhoud tot 30 dagen bewaren voor een geautomatiseerde controle op misbruik. Inhoud die daarbij wordt gemarkeerd, kan door Microsoft worden beoordeeld.

De professional blijft verantwoordelijk

Wat AI maakt is een concept. Jij controleert het en stelt het vast voordat je het gebruikt.

In lijn met de Europese AI Act

Notebase houdt rekening met de uitgangspunten zoals vastgelegd in de Europese AI Act.

Contractpartij is Microsoft Ireland Operations Limited. Wijzigingen in deze lijst melden we 30 dagen vooraf aan onze klanten. Zie ook Wijzigingen.

Verwerkersovereenkomst

Met bijlagen: beveiligingsmaatregelen, subverwerkers en bewaartermijnen. Op aanvraag via security@notebase.nl.

Privacyverklaring

Lees de privacyverklaring

9 november 2026

Eerste publicatie van deze pagina.

Security en datalekken

security@notebase.nl

Adres

Notebase B.V., Hofmeyrstraat 3B, 1091 LV Amsterdam · KvK 42099345

Deze pagina is informatief. De verwerkersovereenkomst is het bindende contract.