Informatiebeveiliging bij Online Welzijn
De antwoorden op de vragen die uw inkoop, uw CISO en uw functionaris gegevensbescherming toch gaan stellen. | Laatst bijgewerkt: 31 augustus 2026
1. Waarom deze pagina bestaat
Wie als gemeente of zorginstelling met een externe partij werkt, stuurt vroeg of laat een vragenlijst over informatiebeveiliging. Terecht, en meestal kost dat aan beide kanten tijd. Daarom staan de antwoorden hier alvast. Klopt er iets niet met wat uw organisatie nodig heeft, dan hoor ik dat liever vóór de opdracht dan erna.
2. Wat Online Welzijn niet is
Online Welzijn is een eenmanszaak en valt niet zelf onder de Baseline Informatiebeveiliging Overheid, de Cyberbeveiligingswet of de ENSIA-verantwoording. Die kaders gelden voor overheidsorganisaties, niet voor hun adviseurs. Wat wel geldt, is dat de BIO doorwerkt in de eisen die u aan leveranciers stelt. Deze pagina beschrijft daarom niet dat Online Welzijn aan de BIO voldoet, want dat is geen zinnige uitspraak, maar hoe de werkwijze zo is ingericht dat uw eigen naleving er niet door in gevaar komt.
Online Welzijn levert ook geen certificering, geen conformiteitsbeoordeling onder de AI-verordening en geen assurance-oordeel. Dat is voorbehouden aan geaccrediteerde instellingen en aan geregistreerde IT-auditors. Zie ook artikel 5 van de algemene voorwaarden.
3. Welke gegevens er binnenkomen
Zo min mogelijk, en dat is een bewuste keuze. In de praktijk gaat het hooguit om namen van deelnemers aan een training of sessie. Waar het kan blijft de deelnemerslijst bij de opdrachtgever zelf; dan komen die namen hier helemaal niet binnen.
Casuïstiek. Bij het bespreken van praktijkvoorbeelden wordt vooraf afgesproken dat er geen persoonsgegevens worden genoemd. Komt er onverhoopt toch iets herleidbaars langs, dan wordt dat niet vastgelegd en direct verwijderd.
Verwerkersovereenkomst. Er is een eigen model beschikbaar. Wilt u liever uw eigen model gebruiken, dan is dat prima; het voorstel is altijd om dat vooraf af te stemmen in plaats van achteraf te repareren.
Hoe Online Welzijn omgaat met persoonsgegevens van opdrachtgevers, deelnemers en websitebezoekers staat in het privacybeleid.
4. Waar gegevens staan
Documenten van opdrachtgevers staan in OneDrive, binnen een zakelijke Microsoft 365-omgeving. Daarmee valt de opslag onder de verwerkersovereenkomst van Microsoft. Er wordt daarnaast gebruikgemaakt van iCloud en Google Drive, maar uitsluitend voor eigen materiaal; gegevens van opdrachtgevers komen daar niet in.
Subverwerkers. Onderstaande partijen kunnen bij de uitvoering van een opdracht gegevens verwerken:
- Microsoft voor documentopslag (OneDrive) en e-mail en agenda (Outlook)
- Notion voor het transcriberen en uitwerken van gesprekken en sessies, zie punt 7
- TransIP voor de hosting van deze website
- Formspree voor het contactformulier op deze website
- n8n Cloud voor de verwerking van inzendingen van de AI-Scan
- Calendly voor het inplannen van een kennismakingsgesprek. Wie via de agenda een afspraak maakt, laat daar naam, e-mailadres en het gekozen tijdstip achter. Verwerking vindt plaats in de Verenigde Staten op basis van standaardcontractbepalingen. Liever niet? Mail dan rechtstreeks, dan plannen we het handmatig in.
Facturen worden zelf opgesteld; er is geen externe boekhoudsoftware waar gegevens van opdrachtgevers in terechtkomen.
5. Toegang en apparatuur
Alle zakelijke accounts zijn beveiligd met meerfactorauthenticatie. Wachtwoorden staan in de wachtwoordmanagers van Apple en Google en worden niet hergebruikt. De schijf van laptop en telefoon is versleuteld.
Wie er toegang heeft. Alleen Thomas Vermeij. Er zijn geen medewerkers of vaste derden met toegang tot gegevens van opdrachtgevers. Zou dat voor een specifieke opdracht toch nodig zijn, dan gebeurt dat niet zonder uw toestemming en niet zonder geheimhoudingsafspraak vooraf.
6. Back-up en continuïteit
Werkbestanden staan in de cloud met versiegeschiedenis. Daarnaast wordt wekelijks een back-up gemaakt naar een versleutelde externe schijf, die niet permanent aan het werkapparaat gekoppeld is.
Bij langdurige uitval. Online Welzijn is een eenmanszaak; dat betekent dat een opdracht bij langdurige uitval niet zonder meer doorloopt. Wat wel geldt: lopend materiaal is voor de opdrachtgever toegankelijk of overdraagbaar, en waar continuïteit kritiek is kan vooraf een vervanger uit het netwerk worden afgesproken. Dat is eerlijker dan de suggestie van een organisatie die er niet is.
7. AI-tools en gegevens van opdrachtgevers
Dit is de vraag waar een adviseur op het gebied van AI het scherpst op wordt beoordeeld, en daarom staat het antwoord hier voluit.
Documenten van opdrachtgevers gaan niet in een AI-tool. Wat wel gebeurt, is dat inzichten uit een opdracht worden gebruikt bij het uitwerken van plannen en teksten, in geanonimiseerde vorm en zonder herleidbare gegevens.
Gebruikte tools en hun status.
- Notion voor transcriptie en uitwerking. Notion legt zijn AI-subverwerkers contractueel op dat klantgegevens niet voor training worden gebruikt; buiten Enterprise geldt een bewaartermijn van dertig dagen bij die subverwerkers. Verwerking vindt plaats in de Verenigde Staten op basis van standaardcontractbepalingen.
- Microsoft 365 Copilot binnen de zakelijke omgeving. Microsoft gebruikt prompts, antwoorden en gegevens uit Microsoft Graph niet om zijn onderliggende modellen te trainen, en Copilot valt voor Europese klanten onder de EU Data Boundary en de verwerkersovereenkomst van Microsoft.
- Claude en ChatGPT voor het uitwerken van teksten en analyses. Beide draaien op een betaald abonnement waarbij de instelling voor modeltraining nadrukkelijk is uitgeschakeld, zodat gesprekken niet worden gebruikt om modellen te trainen en de bewaartermijn beperkt blijft.
- n8n voor de verwerking van inzendingen van de AI-Scan.
- Gemini Notebook (voorheen NotebookLM) voor het doornemen van openbare bronnen. Hier gaat geen materiaal van opdrachtgevers in.
Toestemming vooraf. Wordt er tijdens een sessie opgenomen of getranscribeerd, dan wordt dat vooraf gemeld en gebeurt het alleen met instemming van de aanwezigen.
8. Incidenten
Een beveiligingsincident of datalek dat een opdrachtgever raakt, wordt binnen 24 tot 48 uur na constatering gemeld bij de contactpersoon van die opdrachtgever, met wat op dat moment bekend is. Wachten tot het beeld compleet is kost tijd die de opdrachtgever zelf nodig heeft voor zijn eigen meldplicht.
Meldingen over kwetsbaarheden in deze website zijn welkom via thomas@onlinewelzijn.nl. Zie ook security.txt.
9. Bewaren en verwijderen
Werkmateriaal uit een opdracht wordt tot twaalf maanden na afronding bewaard, zodat vervolgvragen beantwoord kunnen worden, en daarna verwijderd. Facturen en de bijbehorende administratie vallen onder de wettelijke bewaarplicht van zeven jaar. Een opdrachtgever kan altijd eerder om verwijdering vragen en krijgt daar bevestiging van.
10. Geheimhouding en integriteit
Geheimhouding is geregeld in artikel 11 van de algemene voorwaarden. Een Verklaring Omtrent het Gedrag kan op aanvraag worden aangeleverd.
Onafhankelijkheid. Online Welzijn verkoopt geen software en heeft geen samenwerkings-, partner- of provisieafspraken met leveranciers van AI-software. Een advies over een leverancier is dus geen verkoopadvies.
11. Deze website
De website plaatst geen tracking- of analysecookies, gebruikt geen advertentienetwerken en laadt geen lettertypen of scripts van externe netwerken. Zie de cookieverklaring voor de diensten van derden die wel worden geladen. Verder staan er beveiligingsheaders ingesteld, waaronder een Content Security Policy, en is er een security.txt aanwezig voor het melden van kwetsbaarheden. Hoe de site scoort op digitale toegankelijkheid staat in de toegankelijkheidsverklaring.
12. Vragen of een eigen vragenlijst
Heeft uw organisatie een eigen inkoop- of securityvragenlijst, stuur die gerust op. Dat kan naar thomas@onlinewelzijn.nl.