Vertrouwelijke gesprekken verdienen meer dan een wachtwoord.
Wat een cliënt met jou deelt, kan gaan over gezondheid, werk, relaties en geloof. Dat is gevoelige informatie, ook als je geen formele zorgverlener bent. Daarom leggen we hier precies uit hoe het systeem daarmee omgaat. Geen vage beloftes, maar controleerbare afspraken.
Drie regels waar alles op terugvalt.
Jouw praktijk blijft eigenaar
Voor de dossierinhoud is jouw praktijk verwerkingsverantwoordelijke en zijn wij verwerker. Dat leggen we vast in een duidelijke verwerkersovereenkomst die bij elk abonnement hoort.
Zo min mogelijk gegevens
Het systeem vraagt alleen wat nodig is voor het traject. Geen BSN, geen kopie identiteitsbewijs, geen diagnosevelden. E-mailmeldingen bevatten nooit inhoudelijke cliëntinformatie.
Alles is controleerbaar
Elke opening, wijziging en deling van een dossier wordt gelogd, in een keten die je achteraf kunt narekenen. Niet omdat we wantrouwen, maar omdat vertrouwen controleerbaar moet zijn, voor jou en voor je cliënt.
Wat er staat, en wat er nog moet komen.
Een beveiligingspagina die alles in de tegenwoordige tijd opschrijft is een verkooptekst. Daarom staat bij elke maatregel of hij vandaag draait, of er nu aan gebouwd wordt, of dat hij later komt. Wat hier "werkt nu" heet, kun je vandaag in de omgeving terugvinden.
- Werkt nu
Hosting binnen de Europese Economische Ruimte - Gegevens worden opgeslagen en verwerkt binnen de EER, bij leveranciers met een verwerkersovereenkomst, transparante subverwerkers en contractueel vastgelegde datalocaties. Een server in Europa is daarbij het beginpunt, niet het bewijs: het gaat om het hele stelsel van afspraken en controles eromheen.
- Werkt nu
Versleuteling van transport tot opslag - Al het verkeer naar de website en de applicatie loopt over TLS, met een geldig certificaat en afgedwongen https. De database en de opgeslagen audio staan sinds 6 augustus 2026 in een versleutelde schijf (LUKS met AES-256), die bij het opstarten vanzelf opengaat; de onversleutelde kopie is daarbij verwijderd. De nachtelijke back-ups waren al versleuteld met een aparte sleutel. Waar dit tegen beschermt, en waar niet, staat hieronder; wij vinden dat je dat moet weten voordat je op het woord versleuteld afgaat.
- Binnenkort
Sleutelbeheer buiten de machine - De sleutel van die versleutelde schijf staat nu op dezelfde server, want anders zou de database na een herstart niet vanzelf opkomen. Dat betekent iets: het beschermt tegen een schijf die bij de hoster wordt afgedankt, vervangen of meegenomen, en tegen een gestolen kopie van het schijfbestand. Het beschermt niet tegen iemand die beheerrechten op de draaiende server krijgt, want die leest gewoon mee. Sleutelbeheer in een aparte dienst, los van de productieomgeving, lost dat op en staat op de lijst.
- Werkt nu
Strikte scheiding tussen praktijken - Iedere praktijk heeft een eigen organisatie-ID, en de scheiding zit niet in de programmacode maar in de database zelf: die weigert rijen van een andere praktijk terug te geven, ook als de code een fout zou maken. Er ligt een testsuite die precies dat probeert te doorbreken. Sinds 1 oktober 2026 draait die vanzelf bij elke codewijziging, en gaat een wijziging pas live als alles slaagt.
- Werkt nu
Sterke inlogbeveiliging - Coaches loggen in met een wachtwoord plus een code uit een authenticator-app. Wachtwoorden staan versleuteld opgeslagen met scrypt, en van je sessie bewaren wij alleen een versleutelde afdruk, geen bruikbare sleutel. Cliënten komen de eerste keer binnen via een eenmalige beveiligde uitnodiging van hun coach. Een blijvende inloglink per e-mail vinden wij te zwak voor een dossier. Daarna zetten zij inloggen met een passkey aan: met de vingerafdruk, het gezicht of de pincode van hun eigen toestel. De geheime helft van die sleutel blijft op dat toestel; wij bewaren alleen de openbare helft, waarmee niemand iets kan openen. Voor coaches komt de passkey er later bij; voor hen blijft de authenticator-app verplicht bij elk betaald account.
- Werkt nu
Auditlogging volgens vaste normen - Wie een dossier opent, wat er wordt bekeken, gewijzigd, gefinaliseerd of geëxporteerd, onder welke rol: het wordt vastgelegd. De logging zelf bevat zo min mogelijk inhoudelijke cliëntinformatie. Elke regel is met een cryptografische hash aan de vorige geketend, zodat achteraf wijzigen of stiekem verwijderen zichtbaar wordt: er is een controlefunctie die de hele keten narekent. We ontwerpen dit langs de Nederlandse normen voor informatiebeveiliging in de zorg, waaronder NEN 7510 en NEN 7513, ook al is de eerste versie geen zorgsysteem en zijn we niet gecertificeerd.
- Werkt nu
Back-ups die bewezen werken - Elke nacht om kwart over drie wordt de volledige database gekopieerd en versleuteld met een sleutel die alleen op de server staat. Die kopie gaat daarna naar twee andere machines bij twee verschillende aanbieders, Hostinger in Frankfurt en Hetzner in Duitsland, waar hij dertig dagen blijft; op de server zelf veertien dagen. Daarbovenop maakt de hoster wekelijks een momentopname van de hele server. En dan het deel dat meestal ontbreekt: elke zondagnacht wordt de nieuwste back-up daadwerkelijk teruggezet in een aparte database, worden alle tabellen geteld en wordt de auditketen nagerekend. Slaagt dat niet, dan staat dat in het logboek. De eerste test slaagde op 29 juli 2026, met een ongebroken keten over alle regels. Een back-up die nooit is teruggezet, is slechts een aanname.
- Werkt nu
Audio is er om te verwerken, niet om te bewaren - Zonder geldige toestemming van de cliënt weigert de database een opname op te slaan; dat is geen vinkje in het scherm maar een regel in de opslag zelf. De letterlijke toestemmingstekst wordt bewaard, zodat later na te gaan is waar iemand ja tegen zei. Audio verdwijnt standaard na 24 uur, een termijn die je per praktijk kunt verlengen tot maximaal zeven dagen. Het opruimen gebeurt automatisch en laat een bewijsregel achter in het logboek. Dat bewijs download je als los document, om te bewaren of aan je cliënt te geven.
- Werkt nu
AI zonder blind vertrouwen - AI maakt conceptverslagen waarin elk punt het fragment noemt waaruit het komt. Het systeem controleert dat na: een punt dat naar een niet-bestaand fragment verwijst wordt zichtbaar gemarkeerd in plaats van stilletjes meegenomen. De coach beoordeelt altijd voordat iets definitief wordt of gedeeld, en een cliënt ziet alleen wat de coach deelt. Jouw gegevens worden nooit gebruikt om AI-modellen te trainen; dat staat contractueel vast en het staat bij de leverancier ook uit. AI is per praktijk met een schakelaar helemaal uit te zetten; de server weigert daarna elke transcriptie en elk AI-verslag.
- Werkt nu
Eerlijk over Amerikaanse AI-leveranciers - Voor transcriptie en verslagstructurering gebruiken we leveranciers met Europese verwerking en Europese endpoints. Een deel daarvan valt onder Amerikaanse moederbedrijven, en daarmee blijft er een theoretisch restrisico onder Amerikaanse wetgeving bestaan. Wij beloven niet dat dit risico nul is, wij beperken het: korte tot geen bewaring bij de leverancier, contractuele uitsluiting van modeltraining, doorgiftebeoordelingen, en een architectuur waarin leveranciers verwisselbaar zijn zodat een volledig Europees alternatief mogelijk blijft.
- Werkt nu
Geen supporttoegang zonder jouw toestemming - Wij kunnen niet in jouw dossiers kijken, tenzij jij dat zelf aanzet. Wie de praktijk bestuurt, zet in het tabblad Praktijk supporttoegang aan, met een vraag erbij en voor een uur, vier uur of hooguit een dag, en kan hem op elk moment intrekken. Support kan dan alleen lezen: de database zelf weigert elke wijziging, ook als de applicatie een fout zou maken, en opnames, transcripten, bestanden en exports blijven dicht. Elk scherm dat support opent, staat in jouw logboek. Is de tijd voorbij of trek je hem in, dan ziet support meteen niets meer. Wat er wel altijd is, is beheerderstoegang tot de server zelf, want iemand moet hem onderhouden; wat dat betekent, staat hierboven bij het sleutelbeheer.
- Binnenkort
Veilig ontwikkelproces - Ontwikkeling en productie zijn gescheiden en er staat geen enkel echt cliëntgegeven in de ontwikkelomgeving, om de eenvoudige reden dat er nog geen cliënten zijn. Sleutels van leveranciers staan buiten de broncode, alleen leesbaar voor de beheerder. Sinds 1 oktober 2026 draait bij elke codewijziging vanzelf de hele testsuite, in een afgeschermde omgeving zonder echte gegevens, en gaat alleen een wijziging live waarvan alle tests slagen; elke week controleren we daarnaast de gebruikte softwarepakketten op bekende lekken. Op 1 oktober 2026 deden we bovendien zelf een beveiligingsronde: de versleuteling van de verbindingen, de beveiligingskoppen, wat de server zonder inloggen prijsgeeft, de foutmeldingen, de instellingen van de server en de softwarepakketten. We vonden drie dingen en losten ze dezelfde dag op: er stond nog geen grens op het aantal inlogpogingen van coaches, twee softwarepakketten hadden bekende lekken, en de applicatie luisterde op meer netwerkkaarten dan nodig, al hield de firewall dat tegen. Dat is geen onafhankelijke test: wie zijn eigen werk nakijkt, ziet vooral wat hij al verwachtte. Een onafhankelijke penetratietest is nog niet uitgevoerd; die staat gepland en daarna herhalen we hem jaarlijks.
- Werkt nu
Voorbereid op incidenten - De stappen staan beschreven in ons eigen ontwerpdossier: vaststellen, beperken, bewijs veiligstellen, impact bepalen, betrokken praktijken informeren en de meldplicht beoordelen. Op 6 augustus 2026 is dat draaiboek voor het eerst doorlopen op een nagebootst incident, want een draaiboek dat nooit is gebruikt gedraagt zich onder druk anders dan op papier. Sindsdien draait er bewaking die de auditketen, inlog vanaf een onbekend adres, ongewone inzage en het uitblijven van een back-up zelf opmerkt en meldt. Wat nog niet bewezen is, is de snelheid: hoe lang wij er in het echt over doen.
Het dossier is over de cliënt, dus ook voor de cliënt.
Coachoverzicht Dossier maakt het eenvoudig om te doen wat de AVG van je vraagt, zonder juridische stapels papier.
Werk je met alleen opnemen en verslag, dan is er geen Mijn Traject. Inzage, correctie en aanvulling lopen dan via je eigen dossier, en bij ons verwijder je het gesprek zodra het verslag daar staat.
Inzage en kopie
Cliënten zien gedeelde verslagen direct in Mijn Traject, met een logboek van wie wanneer keek. Een volledige kopie downloaden kan de cliënt zelf, en die kopie bevat de verslagen zoals ze met hem gedeeld zijn, zonder de interne notities van de coach.
Correctie en aanvulling
Onder een gedeeld verslag kan de cliënt reageren: melden dat een feit niet klopt, of zijn eigen kijk ernaast zetten. De coach antwoordt in dezelfde draad. Een professioneel oordeel wordt niet overschreven en niets wordt stilletjes gewijzigd; elke reactie staat met datum in het logboek.
Verwijdering en bewaartermijn
Voor opnames ruimt het systeem zelf op. Voor het hele dossier kies je een bewaartermijn, gerekend vanaf de laatste activiteit in een traject; loopt die af, dan zie je het traject in je praktijkoverzicht en krijg je een melding. Wij verwijderen niets vanzelf: jij verwijdert het, of je verlengt met een reden die in het logboek komt. Een afgesloten traject kun je ook eerder verwijderen, bijvoorbeeld als je cliënt daarom vraagt.
Weten wie heeft meegekeken
Dankzij de auditlogging kun je een cliënt laten zien wie het dossier heeft geopend en wanneer. De cliënt ziet dat overzicht zelf in Mijn Traject. Dat maakt vertrouwen concreet.
En als wij er ooit mee stoppen?
Een eerlijke vraag die je aan elke dossierleverancier zou moeten stellen. Ons antwoord staat op papier, vanaf dag één.
Altijd exporteren
Eén knop per traject en je hebt het hele dossier: de gegevens in een leesbaar bestand, plus dezelfde inhoud als platte tekst voor wie er over vijf jaar nog iets in moet terugvinden. Verslagen met al hun versies, de vastgelegde toestemmingen inclusief wat er precies is ingetrokken, wat er met opnames is gebeurd, en het logboek. Niet alleen bij vertrek, gewoon altijd. Het exporteren wordt zelf ook gelogd.
Redelijke overgangstermijn
Bij beëindiging, door jou of door ons, geldt een vastgelegde overgangstermijn waarin je alles kunt overdragen.
Aantoonbare verwijdering
Verwijder je een dossier, dan krijg je meteen een verwijderbewijs: wat er weg is, wanneer en door wie, wanneer de laatste back-up is uitgeroteerd, met een controlegetal dat bij het downloaden wordt nagerekend. Er staat geen naam en geen inhoud in, zodat je het aan je cliënt kunt geven. Na het einde van je abonnement verwijderen we de hele praktijk, zoals vastgelegd in de verwerkersovereenkomst; dat doen we nu nog met de hand, het automatisch opstellen van dat bewijs komt binnenkort.
Wat we niet beloven.
Vertrouwen begint bij eerlijkheid over grenzen. Daarom ook dit.
Zijn jullie een gecertificeerd zorgsysteem?
Nee. Coachoverzicht Dossier is ontworpen langs de principes van normen zoals NEN 7510, maar de eerste versie is geen gecertificeerd zorginformatiesysteem en niet bedoeld voor formele zorgaanbieders met wettelijke dossierplichten. Voor die doelgroep overwegen we later een aparte zorgeditie.
Maakt het systeem mijn praktijk automatisch AVG-proof?
Nee, dat kan geen enkel systeem beloven. Wij leveren de veilige omgeving en de verwerkersovereenkomst, en we helpen je bij het instellen van bewaartermijnen en toestemmingen. Maar jij blijft als coach zelf verantwoordelijk voor bijvoorbeeld de juiste grondslag en je eigen werkafspraken.
Is het AI-verslag foutloos?
Nee, geen enkel AI-systeem is dat. Daarom is het verslag altijd een concept, noemt elk punt het fragment waaruit het komt zodat je het kunt nakijken, en beoordeelt de coach alles voordat het definitief wordt. Het markeren van fragmenten waarover de transcriptie zelf twijfelt komt binnenkort. AI die zichzelf niet laat controleren hoor je niet te vertrouwen.
Ik heb een kwetsbaarheid gevonden. Wat nu?
Meld hem, en je krijgt antwoord. Stuur wat je vond naar dossier@coachoverzicht.nl. We vragen je alleen om ons de tijd te geven het te herstellen voordat je het openbaar maakt, en om geen gegevens van anderen in te zien of te wijzigen dan strikt nodig is om het probleem aan te tonen. Onderzoek te goeder trouw beantwoorden we met dank, niet met juridische dreigementen. De gegevens staan ook in security.txt.
Is dit allemaal al gebouwd?
Nee, en daarom staat het er per maatregel bij. De kern staat er: de scheiding tussen praktijken, het inloggen met twee factoren, het geketende logboek, de toestemming voor opnames en het automatisch verwijderen van audio. Sinds eind juli draait de eigen dagelijkse back-up, met elke zondagnacht een echte hersteltest, en op 6 augustus is het incidentdraaiboek een keer doorlopen op een nagebootst incident. Wat nog ontbreekt is het onafhankelijke deel: een penetratietest door iemand anders dan wij. Zolang die er niet is, staat hier niet dat de omgeving beveiligd is bevonden.
Beloven jullie 100 procent beschikbaarheid?
Nee, want dat kan niemand waarmaken. We streven naar een beschikbaarheid van 99,9 procent na de publieke lancering, met duidelijke onderhoudsvensters, een openbare statuspagina en eerlijke communicatie bij storingen.
Wil je hier dieper op ingaan?
Stel je vragen over beveiliging, privacy of de verwerkersovereenkomst. We beantwoorden ze graag concreet en zonder omwegen.
Neem contact op