Beveiliging
Deze pagina is voor inkopers, functionarissen gegevensbescherming en ICT van zorgorganisaties. Hier staat hoe CareCollab gegevens van cliënten beschermt, wat al geregeld is en wat nog niet. Wij zijn een jong product en zeggen liever precies wat klopt dan dat wij een keurmerk noemen dat wij nog niet hebben.
In één oogopslag
| NEN 7510-certificaat | Nog niet. Een leverancier kan pas worden gecertificeerd als er een getekende verwerkersovereenkomst is en er structureel gegevens worden verwerkt. Wij plannen de audit daarom zodra de eerste organisatie structureel met cliëntgegevens werkt, met NEN 7512 in de scope. |
|---|---|
| Verklaring van Toepasselijkheid | Ja, over alle 101 maatregelen van NEN 7510-2:2024, met per maatregel de stand en het bewijs. Op aanvraag. |
| Verwerkersovereenkomst | Op basis van het model van Brancheorganisaties Zorg (2022), met ingevulde bijlagen over verwerkingen, subverwerkers en beveiliging. Op aanvraag. |
| Tweestapsverificatie | Verplicht voor iedereen die met cliëntgegevens werkt. Een nieuw account stelt het in bij de eerste keer inloggen, voordat er een dossier te zien is. |
| Logging | Elke inzage, zoekopdracht en wijziging van toegang wordt vastgelegd, ook namens welke organisatie iemand optrad. Vijf jaar bewaard, zoals de wet voorschrijft. Een maandelijkse controle op afwijkingen is ingericht en start zodra de eerste organisatie structureel met cliëntgegevens werkt. |
| Waar de gegevens staan | De database staat in de Europese Unie (Frankfurt). Onze leveranciers vallen onder Amerikaans recht. Wij onderzoeken een overstap naar een Nederlandse partij met een NEN 7510-certificaat. De volledige lijst staat in het privacybeleid. |
| Onafhankelijke beveiligingstest | Nog niet. Er is een interne beveiligingsaudit volgens OWASP ASVS niveau 2 gedaan; een externe test volgt vóór wij opschalen. |
| Medisch hulpmiddel | Nee. CareCollab slaat op, toont en deelt wat zorgverleners zelf invoeren, en geeft geen klinisch oordeel. |
Wie is waarvoor verantwoordelijk
CareCollab is verwerker voor elke zorgorganisatie die het gebruikt. De organisaties in één zorgkring zijn voor het delen binnen die zorgkring samen verantwoordelijk. Hoe zij dat onderling regelen, staat in een samenwerkingsregeling die wij als model aanbieden. Zie ook artikel 7 van de voorwaarden voor organisaties.
Voor de DPIA van uw organisatie leveren wij een informatiepakket aan: de beschrijving van de verwerking, een overzicht van alle gegevens en de genomen maatregelen, inclusief de punten die nog open staan.
Hoe wij gegevens beschermen
- Toegang per zorgkring en per rol. Alleen wie lid is van de zorgkring van een cliënt, ziet iets van die cliënt. Binnen de zorgkring bepaalt de rol wat iemand mag lezen en vastleggen. De server controleert dat bij elk verzoek.
- Toestemming van de cliënt. Gegevens worden pas gedeeld na uitdrukkelijke toestemming, die in CareCollab wordt vastgelegd. De cliënt kan een zorgverlener laten uitsluiten of de toestemming intrekken.
- Inzage wordt vastgelegd. CareCollab legt vast wie welke gegevens van een cliënt heeft bekeken, met datum en organisatie, en bewaart dat vijf jaar. De zorgorganisatie kan de cliënt zelf een overzicht geven van wie wat heeft vastgelegd en bekeken, zonder tussenkomst van CareCollab.
- Versleuteling. Alle verbindingen zijn versleuteld. Gegevens zijn versleuteld opgeslagen; wachtwoorden en het geheim van de tweestapsverificatie extra beschermd.
- Zo min mogelijk gegevens. Geen burgerservicenummer. Geen zorginhoud in e-mails of pushberichten. Locatiegegevens worden uit foto's verwijderd.
- Op de telefoon. De app vergrendelt met een pincode of Face ID, verbergt de inhoud in het overzicht van geopende apps, en blokkeert schermafdrukken op Android.
- Herstel. De database is terug te zetten naar een eerder tijdstip. Dat is geoefend met een herstelde kopie; een volledige hersteloefening volgt voordat er met echte cliëntgegevens wordt gewerkt.
- Bewaren. Gegevens van een cliënt worden 30 dagen na uitschrijving verwijderd. CareCollab is geen dossier: zorgverleners leggen wat klinisch relevant is ook vast in hun eigen systeem.
Als er iets misgaat
Een inbreuk op persoonsgegevens melden wij aan uw organisatie onmiddellijk en uiterlijk binnen 24 uur, met de informatie die u nodig heeft voor uw eigen melding aan de Autoriteit Persoonsgegevens. Melden aan de AP en aan cliënten doet uw organisatie zelf; wij helpen daarbij.
Een kwetsbaarheid melden
Vindt u een zwakke plek in onze beveiliging, mail dan naar security@carecollab.nl. Wij bevestigen uw melding binnen drie werkdagen en werken volgens de leidraad Coordinated Vulnerability Disclosure van het NCSC.
Documenten op aanvraag
- Verklaring van Toepasselijkheid NEN 7510-2:2024
- Verwerkersovereenkomst met bijlagen (model Brancheorganisaties Zorg)
- Model-samenwerkingsregeling voor organisaties in één zorgkring
- Informatiepakket voor uw DPIA
- Informatiebeveiligingsbeleid en datalekprocedure
- Informatie voor cliënten, om mee te geven bij het vragen van toestemming
Vraag ze op via privacy@carecollab.nl. Wij beantwoorden ook graag de vragenlijst van uw organisatie.