Veiligheid en transparantie
Personeelsdossiers zijn de meest gevoelige gegevens waar je als HR'er mee werkt. Daarom lees je hier precies hoe het zit: opslag in Frankfurt, AI-verwerking bij Anthropic in de VS onder SCC's, en een technische guard die medische informatie tegenhoudt voordat die ooit wordt opgeslagen of een AI-model bereikt.
Jullie AI is Anthropic, een Amerikaans bedrijf. Dus mijn gesprekken en de context over medewerkers, inclusief dát iemand ziek is, gaan over Amerikaanse servers. Klopt dat, en wat dan?
Je opslag staat in Frankfurt en blijft in de EU. Maar de AI-verwerking niet. Als je met Sam werkt, gaan je gesprek en de context daarbij, inclusief verzuiminformatie, naar Anthropic in de Verenigde Staten. De zoekvectoren waarmee Sam je documenten doorzoekt gaan naar VoyageAI, ook in de VS.
Dat is een internationale doorgifte onder hoofdstuk V van de AVG, en die is geregeld zoals het hoort: SCC's, getekende verwerkersovereenkomsten en leveranciers die niet op je data trainen. Hieronder staat precies wat waar naartoe gaat. En direct daarna het belangrijkste: hoe we zorgen dat je gevoeligste gegevens die reis nooit maken.
Dát iemand ziek is, is zélf al een gezondheidsgegeven onder artikel 9 van de AVG. Juist daarom is dit het hart van de opzet: diagnoses en ziekteoorzaken horen by design niet in het platform, die horen bij de bedrijfsarts. Het dossier bevat alleen functionele en procesdata, en alleen die data bereikt het AI-model.
Diagnoses en ziekteoorzaken krijgen geen plek in het platform. Die horen bij de bedrijfsarts. Het dossier kent alleen functionele en procesdata.
Een medische upload-guard herkent diagnoses en medische termen en houdt ze tegen voordat er iets wordt opgeslagen of naar de AI gaat.
Conceptmails, agenda en kalender bevatten geen medische inhoud. De nachtmail bevat alleen een telling en een link, de kalender alleen procesdata.
Functionele en procesdata: genoeg om het verzuimproces goed te voeren, niet meer.
Die horen bij de bedrijfsarts of arbodienst. Wat hier niet staat, kan ook niet lekken en niet doorgegeven worden.
De controle herkende een medische term. Diagnoses en ziekteoorzaken horen niet in het personeelsdossier, maar bij de bedrijfsarts of arbodienst.
Dit is geen huisregel maar een controle in het product: bij het uploaden worden medische termen herkend en tegengehouden, vóórdat er iets wordt opgeslagen of naar een AI-model gaat. Met een bevestiging en een route naar de bedrijfsarts.
Je gesprek met Sam loopt via Anthropic in de Verenigde Staten. Die doorgifte rust niet op vertrouwen alleen, maar op drie dingen tegelijk: contracten, technische instellingen en zo min mogelijk data die de reis überhaupt maakt.
En de CLOUD Act? Die geldt voor vrijwel elke Amerikaanse clouddienst, dus ook voor Microsoft 365, Google Workspace en AWS. We beperken de reikwijdte ervan met EU-opslag, SCC's en databeperking: wat niet in het dossier staat, kan ook niet worden opgevraagd.
Alles wat opgeslagen wordt, staat in Frankfurt en blijft binnen de EU. Per dienst, met naam en regio, zodat je het zelf kunt controleren. Wat opgeslagen is, is versleuteld. Wat onderweg is, ook.
Afscherming is hier geen laagje in de app, maar een regel in de databank zelf. Row-level security op 73 tabellen zorgt dat elke rij per gebruiker is afgeschermd. Een andere gebruiker kan jouw gegevens niet opvragen, ook niet per ongeluk.
Sleutels blijven op de server. Server-side sleutels worden alleen op de server gebruikt.
Juist omdat het gesprek met Sam naar een AI-leverancier gaat, ligt de beslissing nooit bij Sam. Menselijke controle is hier geen instelling die je aan moet zetten, maar de enige stand die er is. Vier stappen, bij elke actie opnieuw.
Een concept, een voorstel, een klaargezette actie. Meer niet.
Elke schrijfactie gebeurt pas na jouw bevestiging.
Elke goedgekeurde actie kun je terugdraaien.
Alles komt in een append-only auditlog. Toevoegen kan, herschrijven niet.
En verzenden? Sam verstuurt zelf nooit een e-mail. Concepten klaarzetten wel. Op verzenden drukken doe jij.
Voor je rechten hoef je geen mail te sturen en niet te wachten. Ze zitten als knoppen in het product, waar ze horen.
Exporteer je gegevens wanneer je wilt. Self-service, zonder ticket.
Bekijk zelf wat er in jouw account is gebeurd.
Verwijder per item wat Sam over je onthoudt.
Op verzoek verwijderen we je account.
Helder op papier, precies zoals de wet het vraagt. De afspraken zelf lees je na in de documenten hieronder, inclusief de subverwerkers en doorgiftes van deze pagina.