Is een vitaliteitsplatform veilig, en wat betekent dat voor de AVG?

Sinds 15 augustus 2026 is deze vraag geen formaliteit meer. Onder de Cyberbeveiligingswet moeten zorginstellingen aantoonbaar controleren hoe hun leveranciers het geregeld hebben. Informatiebeveiliging wordt dus niet meer aan het eind van een traject afgevinkt, maar zit er vanaf het begin bij.

Wie is waarvoor verantwoordelijk

Jullie organisatie is verwerkingsverantwoordelijke, wij zijn verwerker. Dat is geen juridische bijzin: het betekent dat jullie bepalen wat er met de gegevens gebeurt en dat wij niets doen wat daar niet in staat. Naleving van de AVG is een gedeelde verantwoordelijkheid, en de afspraken daarover staan in de verwerkersovereenkomst met Bijlage 1b eronder.

Welke gegevens er langskomen

• Op het platform is geen account nodig. Er is dus ook geen profiel van wie wat leest. Wat je in het dashboard ziet zijn aantallen en thema's, geen personen.
• In de app is er wel een account, met het e-mailadres van het werk. Dat is nodig voor de challenges, want die houden een persoonlijke stand bij.
• Bij een activiteit gaat het om aanmeldingen en de beoordeling achteraf. Wie zich waarvoor opgeeft, en wat een deelnemer er na afloop van vond, met het e-mailadres erbij. Dat ziet alleen de beheerder.

Waar de gegevens staan

Het platform, de database en de back-ups draaien bij AWS in Frankfurt. Onze foutmeldingen lopen via een dienst binnen de EU. Je gegevens staan dus in Duitsland en niet in Amerika.

Wat we er eerlijk bij zeggen: dat gaat over het platform en over jullie gegevens, niet over elke byte die een browser ophaalt. Op deze site staat bijvoorbeeld een video die bij YouTube vandaan komt. Die laadt pas als je erop klikt, en tot dat moment gaat er niets naar Google. Druk je op play, dan wel, en dan ziet die partij je IP-adres. Dat hoort bij het openbare deel van de site en niet bij het platform.

Hebben jullie een functionaris gegevensbescherming?

Nee, en dat hoeft ook niet. Artikel 37 van de AVG kent drie gevallen waarin het moet: je bent een overheidsinstantie, je hoofdactiviteit is grootschalige stelselmatige observatie van mensen, of je hoofdactiviteit is grootschalige verwerking van bijzondere persoonsgegevens. Geen van die drie gaat voor ons op. Wij zijn geen overheid, we volgen geen individueel gedrag over tijd, en het verwerken van bijzondere persoonsgegevens is niet onze kernactiviteit.

Die afweging is schriftelijk vastgelegd. Dat hoort erbij: wie tot "niet nodig" concludeert, moet kunnen laten zien dat hij er bewust naar gekeken heeft.

Wat we bewust niet zeggen

Er staan drie zinnen niet op deze pagina, en dat is met opzet. We schrijven niet dat we volledig AVG-compliant zijn, want dat is een claim die niemand kan waarmaken en die bij ons is geschrapt. We noemen geen ISO- of NEN-certificaat, want die hebben we niet. En we beloven niet dat het onhackbaar is.

Wat we wel kunnen: laten zien hoe het geregeld is. Welke gegevens we verwerken, waar ze staan, wie erbij kan en wat er gebeurt bij een incident.