Leveranciersdossier
Deze pagina is bedoeld om ongewijzigd te worden doorgestuurd. Krijgt u als praktijk tijdens een audit, een visitatie of een gesprek met uw functionaris gegevensbescherming de vraag "met welke partijen werkt u samen en hoe is dat geregeld?", dan is dit het antwoord over Scrivio. U hoeft er geen begeleidende mail bij te schrijven.
Er staat geen verkooptekst op. Elke uitspraak hieronder is een feit dat wij op verzoek kunnen onderbouwen, of die u zelf kunt narekenen bij de partij die het betreft. Waar iets er nog niet is, staat dat er ook.
Laatst bijgewerkt: 13 oktober 2026
Rolverdeling
| Partij | Rol onder de AVG |
|---|---|
| De praktijk of zorginstelling | Verwerkingsverantwoordelijke |
| Scrivio | Verwerker, handelt op instructie van de praktijk |
| De partijen in Sub-verwerkers | Sub-verwerker van Scrivio |
De cliënt is betrokkene. Scrivio bepaalt niet welke gegevens een praktijk vastlegt, hoe lang zij die bewaart, of aan wie zij die verstrekt.
Certificeringsstatus
Scrivio is op dit moment niet NEN 7510-gecertificeerd en niet ISO 27001-gecertificeerd. Wij voeren geen certificeringslogo en claimen geen certificering die er niet is. Als u een certificaatnummer van uw leverancier nodig heeft voor uw eigen dossier, dan kunnen wij dat niet leveren.
Wat er wel is, en wat u mag verwachten dat wij op verzoek laten zien:
- De software is gebouwd tegen de beheersmaatregelen van NEN 7510. Een deel van die maatregelen is niet als beleid opgeschreven maar als controle in onze bouwstraat afgedwongen, waardoor een wijziging die de maatregel schendt niet kan worden uitgeleverd. Voorbeelden: elke wijziging draagt een wijzigingsverantwoording met impact, testaanpak en terugrolplan (8.32, 8.25, 8.26); geen enkel onderdeel van de infrastructuur mag buiten de EU worden geplaatst (8.3); elk geüpload bestand wordt vóór opslag op malware gescand en bij twijfel geweigerd (8.7); toegang tot een dossier wordt vastgelegd (8.15, 8.16); het auditlog is op databaseniveau append-only (NEN 7513, onweerlegbaarheid).
- Onze hostingpartij is wél gecertificeerd, en dat is voor uw eigen NEN-traject meestal de vraag die gesteld wordt. Zie hieronder.
Wat de certificering van onze hoster wel en niet dekt. Google Cloud publiceert zijn actuele certificaten en de reikwijdte daarvan zelf, in een register dat u zonder ons kunt raadplegen: https://cloud.google.com/security/compliance/offerings. Die certificering dekt het platform waar Scrivio op draait — datacenters, fysieke beveiliging, platformbeheer. Zij dekt niet de applicatie die wij daarbovenop bouwen. Een auditor die uitsluitend naar het certificaat van de hoster kijkt, kijkt naar de verkeerde helft; de rest van deze pagina gaat over onze helft.
Waar de gegevens staan
Alle dossiergegevens staan in Nederland, in de Google Cloud-regio europe-west4 (Eemshaven). Dat geldt voor de database, de opslag van documenten en opnames, de servers die de applicatie draaien, en de plek waar sleutels en certificaten liggen.
| Onderdeel | Locatie |
|---|---|
| Database (alle dossiergegevens) | europe-west4 — Nederland |
| Documenten, brieven, bijlagen | europe-west4 — Nederland |
| Audio van een opgenomen consult | europe-west4 — Nederland |
| Applicatieservers (behandelaar-app, cliëntportaal, API, transcriptie) | europe-west4 — Nederland |
| Sleutels, certificaten en wachtwoorden van integraties | europe-west4 — Nederland |
| Taalmodel voor AI-ondersteuning | EU multiregio — verwerking binnen EU-lidstaten |
| Foutmeldingen en storingsdiagnostiek | EU (Duitsland) |
| Authenticatie (inlogaccounts) | Zie Authenticatie |
De database is niet vanaf het internet bereikbaar: hij heeft geen publiek IP-adres en is alleen te benaderen vanuit ons eigen afgeschermde netwerk. Verbindingen ernaartoe moeten versleuteld zijn; onversleuteld verbinden is op de database zelf uitgezet, zodat een client die terugvalt op een onbeveiligde verbinding een foutmelding krijgt in plaats van stilzwijgend door te gaan.
Dat de gegevens in de EU staan is geen belofte maar een controle: bij elke wijziging aan onze infrastructuur wordt gecontroleerd of elk onderdeel een EU-locatie noemt, en een onderdeel dat geen locatie noemt of een niet-EU-locatie noemt blokkeert de uitlevering. De lijst van geaccepteerde regio's is expliciet opgesomd en bevat bewust niet Londen en Zürich: die zijn Europees en niet EU.
De AI-ondersteuning staat in de EU, maar niet in Nederland
De taalmodelverwerking (samenvatting van een gesprek, het voorinvullen van een formulier) loopt via Google Cloud Vertex AI in ons eigen cloudproject, vastgezet op de EU-multiregio. Dat is ruimer dan europe-west4, omdat het gebruikte model in Nederland niet wordt aangeboden. Verwerking binnen de EU is daarmee geborgd; verwerking uitsluitend in Nederland claimen wij voor dit onderdeel niet.
Vier punten die een FG hier meestal op volgt:
- Het gaat om Vertex AI binnen ons eigen cloudproject, niet om een consumenten-AI-dienst. Daarmee valt het onder dezelfde verwerkersafspraken als de database en de opslag. Er bestaan in onze omgeving geen sleutels voor externe AI-diensten; dossierinhoud kan er dus ook niet per ongeluk heen.
- Prompts en antwoorden worden niet gebruikt om de modellen van Google te trainen of bij te stellen. Wij hoeven daar geen opt-out voor te zetten; het is de standaard van de dienst.
- Google houdt prompts niet tussentijds vast. Vertex AI bewaart prompts standaard tot 24 uur in het geheugen als cache; die cache hebben wij voor ons project uitgezet (sinds 13 oktober 2026).
- Google controleert elke aanvraag automatisch op misbruik van de dienst. Een prompt die daarbij als verdacht wordt aangemerkt, mag Google tot 90 dagen bewaren, zodat een medewerker van Google hem kan beoordelen. Dat gebeurt binnen dezelfde EU-regio en los van training. Andere prompts worden hiervoor niet bewaard. Een uitzondering hierop kunnen wij bij Google aanvragen, maar dat hebben wij bewust niet gedaan; het is vastgelegd als geaccepteerd restrisico. Het betekent dat zo'n gemarkeerde prompt tot 90 dagen buiten onze eigen verwijdermechanismen om bij Google kan liggen. Wij noemen dat hier omdat een auditor het hoort te weten, niet omdat het verborgen zat. De verwerkersovereenkomst (editie 2026-10) noemt nog dertig dagen voor alle prompts; dat was de termijn die Google eerder noemde, en de volgende editie past dat aan.
Wie de hostingpartij is, eerlijk gezegd
Wij huren capaciteit bij Google Cloud. De regiokeuze legt vast dat de gegevens fysiek in Nederland respectievelijk in de EU staan en dat de verwerking daar plaatsvindt. Wat de regiokeuze niet verandert, is dat Google een Amerikaans moederbedrijf heeft. Dat gegeven is contractueel geadresseerd — via de verwerkersovereenkomst van Google Cloud, de bijbehorende standaardcontractsbepalingen en de aanvullende maatregelen die Google daarbij publiceert — en niet structureel weggenomen.
Wij presenteren Scrivio daarom niet als soevereine of Europees-eigendom hosting. Als uw organisatie die eis stelt, is dat een gesprek dat wij liever vooraf voeren dan achteraf.
Authenticatie: de uitzondering op de regiokeuze
Inloggen loopt via Firebase Authentication, een dienst van Google. Daar staan geen dossiergegevens: alleen wat er nodig is om iemand te herkennen — het e-mailadres, een intern account-nummer, en of tweefactorauthenticatie is ingeschakeld.
Dat geldt ook voor cliënten die het cliëntportaal gebruiken. Zij loggen in met een inloglink per e-mail, en hun e-mailadres staat daarmee ook in die dienst. Voor Firebase Authentication biedt Google niet dezelfde regiokeuze als voor de diensten in de tabel hierboven. Wij vermelden dit apart omdat het de enige plek is waar de zin "alles staat in Nederland" niet zonder toelichting klopt.
Bewaartermijnen
| Gegevenssoort | Bewaartermijn |
|---|---|
| Dossiergegevens (cliënt, zorgtraject, afspraken, rapportages, declaraties) | Geen automatische verwijdertermijn. Blijft staan tot de praktijk het laat verwijderen. De wettelijke bewaartermijn is een verplichting van de praktijk als verwerkingsverantwoordelijke, niet van Scrivio |
| Audio van een opgenomen consult | Verwijderd zodra het transcript er is. Levert een opname geen enkel woord op, dan blijft het geluidsbestand staan zodat de behandelaar er nog bij kan — maar de opslag verwijdert elk audiobestand hoe dan ook binnen 24 uur |
| Transcript en transcriptsegmenten | Onderdeel van het dossier; volgt de regel van de eerste rij |
| Documenten, brieven en bijlagen | Het actuele bestand blijft zolang het dossier ernaar verwijst. Een verwijderde of overschreven versie is nog 90 dagen terug te halen en wordt daarna definitief verwijderd |
| Geüpload exportarchief bij een migratie uit een ander EPD | 7 dagen. Bewust kort: dit is werkmateriaal, geen dossier |
| Auditlog | Blijft staan. Wordt niet verwijderd wanneer dossiergegevens worden gewist — anders zou het bewijs verdwijnen met datgene waarover het bewijs gaat |
| Database-back-ups | De laatste 30 back-ups, plus transactielogboeken van 7 dagen voor herstel naar een willekeurig moment |
| Database-exports voor herstel op lange termijn | 1 jaar, in archiefopslag in europe-west4 |
| Prompts bij Google die bij de misbruikcontrole als verdacht zijn aangemerkt | Tot 90 dagen, bij Google; andere prompts worden niet bewaard — zie De AI-ondersteuning staat in de EU |
| Foutmeldingen en storingsdiagnostiek | Bevat geen dossiergegevens: het meesturen van persoonsgegevens staat uit. De termijn is die van de dienst zelf; wij leggen er geen eigen termijn overheen |
De opnameketen is de vraag die het vaakst als eerste komt, dus expliciet: het geluid van een consult verdwijnt binnen een dag; de tekst die eruit komt is dossier en wordt behandeld als dossier.
Bij beëindiging van de overeenkomst kunnen wij op verzoek van de praktijk alle dossiergegevens van die organisatie verwijderen. Het auditlog blijft daarbij bestaan, om de reden in de tabel.
Sub-verwerkers
| Partij | Wat die partij verwerkt | Wanneer |
|---|---|---|
| Google Cloud | Hosting: database, bestandsopslag, applicatieservers, sleutelbeheer | Altijd |
| Google Cloud Vertex AI | Gesprektekst en formuliervragen, voor AI-samenvatting en het voorinvullen van formulieren | Alleen bij gebruik van de AI-functies |
| Firebase Authentication (Google) | E-mailadres, account-nummer, status tweefactorauthenticatie | Altijd |
| Twilio SendGrid | Verzending van e-mail: afspraakbevestigingen en -herinneringen, uitnodigingen, inloglinks voor het cliëntportaal, wachtwoordherstel. Bevat het e-mailadres en afspraakgegevens (soort afspraak, datum, tijd, locatie, behandelaar). Geen dossierinhoud | Altijd |
| Sentry (EU-regio, Duitsland) | Technische foutmeldingen. Het meesturen van persoonsgegevens staat uit | Altijd |
| Zivver | Beveiligde verzending van een brief aan een externe ontvanger. De brief passeert Zivver | Alleen als de praktijk Zivver inricht en een behandelaar er bewust voor kiest |
| VECOZO | Declaratieberichten en de controle op verzekeringsrecht | Alleen bij declareren via de verzekeraar |
| ZorgDomein | Ontvangst van verwijzingen die aan de praktijk worden gestuurd | Alleen als de koppeling voor de praktijk is aangezet |
Een aantal koppelingen bestaat in de software maar is nog niet in gebruik bij praktijken, en daarom hierboven niet opgevoerd. Deze tabel is de actuele lijst waarnaar artikel 4.4 van de verwerkersovereenkomst verwijst. Een toevoeging of vervanging wordt ten minste dertig dagen vooraf aangekondigd (artikel 4.1).
Wat Scrivio-support kan zien
Dit is de vraag achter "niet dat jij daarin gaat zitten kijken?", en het eerlijke antwoord bestaat uit twee delen.
Wat support standaard ziet, is geen dossier. De beheeromgeving waarin Scrivio en een eventuele implementatiepartner werken, gaat over de organisatie en niet over de zorg: organisaties en hun licentie, gebruikersaccounts, tarieven, partnerbeheer, en het beheer-auditlog. Er is in die omgeving geen scherm en geen koppeling die de inhoud van een dossier toont. Uitzondering met opzet: het valideren en doorvoeren van een gegevensmigratie uit een ander EPD gebeurt vanuit die omgeving en raakt dus wél de gegevens van de betreffende praktijk — dat is een handeling die de praktijk zelf heeft gevraagd.
De enige route naar een dossier is impersonatie, en die laat sporen na. Een beheerder kan tijdelijk als een gebruiker gaan werken om een probleem te reproduceren. Daaraan hangen de volgende beperkingen:
- Het vereist een expliciet recht; niet elke beheerder heeft het.
- Een implementatiepartner kan uitsluitend gebruikers van de aan die partner toegewezen organisaties overnemen, en alleen zolang die partner actief is.
- De token waarmee zo'n sessie wordt gestart, is één uur geldig.
- Beheerders kunnen elkaar niet overnemen, en een geblokkeerde gebruiker kan niet worden overgenomen.
- Elke handeling die in zo'n sessie wordt verricht, wordt vastgelegd in het auditlog van uw eigen organisatie — toegerekend aan de gebruiker namens wie is gehandeld, mét de naam van degene die het werkelijk deed. Ook het enkel bekijken van een dossier, downloaden of exporteren levert een regel op, met IP-adres en browser.
- Dat auditlog is op databaseniveau append-only: regels kunnen niet worden gewijzigd of verwijderd, ook niet door ons.
U ziet dit zelf terug in Organisatiebeheer › Auditlog in uw eigen omgeving. Zie Auditlog. U heeft ons niet nodig om te controleren of wij in een dossier hebben gekeken.
Wat nog niet aan de cliënt wordt getoond. De praktijk ziet de volledige inzagegeschiedenis van een cliënt, inclusief een handeling die via impersonatie liep. De cliënt zelf ziet die nog niet: het cliëntportaal heeft op dit moment geen scherm waarin de cliënt kan zien wie zijn of haar dossier heeft ingezien. Het spoor bestaat en is volledig — het is alleen nog niet aan de cliëntkant ontsloten. Wij noemen dit hier omdat een FG er terecht naar vraagt.
Toegangsbeheer binnen de praktijk
Wie binnen de praktijk welk dossier mag zien, bepaalt de praktijk zelf. Scrivio levert de mechanismen:
- Rollen bundelen rechten en worden per organisatie ingericht. Zie Rollen & rechten.
- Behandelrelatie. Voor cliëntgegevens is een rol niet genoeg: er wordt daarnaast gekeken naar de relatie tussen de gebruiker en de cliënt (behandelteam, team). Een collega met dezelfde rol maar zonder relatie tot de cliënt komt er niet in — het "need to know"-beginsel.
- Organisatiescheiding. Gegevens van de ene organisatie zijn nooit zichtbaar vanuit een andere. Dit is geen instelling maar een eigenschap van het gegevensmodel.
- Tweefactorauthenticatie. Elke gebruiker kan die zelf inschakelen; de organisatie kan die voor alle gebruikers verplicht stellen, met een instelbare overgangsperiode. Zie Tweefactorauthenticatie.
- Weigering wordt óók gelogd. Een poging die op een rechtencontrole strandt, levert net zo goed een auditregel op als een geslaagde inzage.
Noodtoegang ("break the glass") bestaat niet. Er is geen route waarmee een gebruiker of beheerder de reguliere autorisatie kan omzeilen om in noodgeval een dossier te openen — ook niet met achterlating van een verklaring. Wie geen relatie tot de cliënt heeft, komt er niet in. Dit is een bewuste beperking en geen omissie, maar het is wel iets om te weten als uw calamiteitenprocedure ervan uitgaat dat zo'n route bestaat.
Beschikbaarheid en herstel
| Maximaal aanvaardbaar gegevensverlies (RPO) | 1 uur |
| Maximaal aanvaardbare hersteltijd (RTO) | 24 uur |
| Database | Hoge beschikbaarheid, verdeeld over meerdere locaties binnen de regio |
| Back-ups | Zie de rij Database-back-ups onder Bewaartermijnen |
| Herstelprocedures | Uitgeschreven, met een vastgelegd testschema |
De herstelprocedures, het testschema en de onderbouwing van bovenstaande termijnen zijn vastgelegd. Die documentatie is intern — ze beschrijft de infrastructuur op een detailniveau dat niet op een openbare pagina hoort — en wordt op verzoek verstrekt aan een auditor of uw functionaris gegevensbescherming. Vraag ernaar via uw contactpersoon.
Beveiliging van wat u uploadt
Elk bestand dat naar Scrivio wordt geüpload — een document in het dossier, een verwijsbrief, een profielfoto, een organisatielogo, een certificaat — wordt vóór opslag op malware gescand. Komt er geen oordeel terug omdat de scanner niet bereikbaar is, dan wordt de upload geweigerd en niet opgeslagen. Een storing in de scanner is dus storing in het uploaden, met opzet: het alternatief is een ongescand bestand dat via het cliëntportaal of een brief bij een andere partij terechtkomt.
De verwerkersovereenkomst inzien
De verwerkersovereenkomst is openbaar en hoeft niet te worden opgevraagd. Onder Voorwaarden staat elke editie als webpagina en als PDF, met daarbij welke editie voor een praktijk geldt.
Wilt u iets zien wat op deze pagina staat maar hier niet volledig kan worden opgenomen — de reikwijdte van een maatregel, een procesbeschrijving, onderbouwing van een bewaartermijn — stuur dan een bericht aan support@scrivio.nl met de naam van uw organisatie. Wij sturen liever het document dan een samenvatting ervan.
Wat deze pagina niet is
Deze pagina is geen certificaat, geen auditverklaring en geen verwerkersovereenkomst. Het is een feitelijke beschrijving van hoe Scrivio is ingericht, bedoeld om de vragen te beantwoorden die een auditor of FG als eerste stelt. Waar het antwoord "dat hebben wij niet" is, staat dat er zo.