Eerlijk over wat we
met je gegevens doen.

Deze verklaring legt uit hoe Hysio met persoonsgegevens omgaat. Zij richt zich primair tot de fysiotherapeuten en andere zorgverleners die het Hysio Platform afnemen ("Gebruikers") en bevat ook informatie die relevant is voor patiënten van die zorgverleners. Voor patiënten geldt dat hun zorgverlener de verwerkingsverantwoordelijke is en dat zij in eerste instantie via die zorgverlener informatie ontvangen over de verwerking van hun gezondheidsgegevens. Hysio levert hiervoor een Patiënt-informatieblad v1.1 als communicatiehulpmiddel.

De verklaring is opgesteld in het Nederlands, in heldere en toegankelijke taal conform AVG art. 12 lid 1, en is in deze taal juridisch bindend. Zij vormt onderdeel van een samenhangend juridisch pakket dat ook bestaat uit de Algemene Voorwaarden v3.7, de Verwerkersovereenkomst v3.7, het MDR Positiedocument v3.7, de AI Act Transparantieverklaring v3.7, de Disclaimer v3.7 en de Regeling Datatoegang v3.7.

Wij verwerken de volgende categorieën, met per categorie de rol van Hysio.

4.1 Account- en identificatiegegevens (Hysio = verantwoordelijke). Naam, e-mailadres, gehasht wachtwoord (bcrypt, 12 rounds), bevestigingsstatus, taalvoorkeur (nl/en), rolaanduiding (gebruiker of beheerder), tijdstip aanmaak en laatste login. Bron: jij verstrekt deze bij registratie of profielbewerking. Het verstrekken van naam en e-mailadres bij registratie is een noodzakelijke voorwaarde voor het aangaan van de overeenkomst met Hysio; zonder deze gegevens kun je geen Hysio-account aanmaken en het Platform niet gebruiken.

4.2 Factuur- en bedrijfsgegevens (Hysio = verantwoordelijke). Bedrijfsnaam, factuuradres, postcode, plaats, land en een Mollie-klant-ID (mollie_customer_id). Hysio bewaart geen kaartgegevens, IBAN of pasnummers; Mollie verwerkt deze onder eigen verantwoordelijkheid.

4.3 Verwijzings- en programmagegevens (Hysio = verantwoordelijke). Een verwijzingscode (HysioCode in formaat HYS-XXXXX), identiteit van een eventuele verwijzer en uit succesvolle verwijzingen voortvloeiende kredieten. Maximum 12 credit-events per kalenderjaar per verwijzer (zie Algemene Voorwaarden v3.7 artikel 19).

4.4 Authenticatie- en sessiegegevens (Hysio = verantwoordelijke). Sanctum-toegangstokens in personal_access_tokens opgeslagen in SHA-256-gehashte vorm (de plaintekst kent alleen jouw browser op het moment van uitgifte), een browser-herkende device-naam, tijdstip van laatste tokengebruik. Browserzijde bewaart het token in localStorage onder auth_token. Volledige uitleg over deze localStorage-rij staat in §9 (Cookies en tracking).

4.5 Gebruiks- en capaciteitsgegevens (Hysio = verantwoordelijke). Aantal gebruikte Sessies, periodegebonden verbruik, periodebegin en per-Sessie verbruiksregistraties ten behoeve van pakketlimieten, capaciteitsbeheer en facturering. Hysio communiceert capaciteit klantgericht uitsluitend in Sessies.

4.6 Communicatie- en supportgegevens (Hysio = verantwoordelijke). Inhoud van support-e-mails, feedbacktekst en sessiewaarderingen. Bij gebruik van het contactformulier op hysio.nl ontvangen wij naam, e-mailadres, type contactverzoek en bericht-inhoud. Het formulier kent een honeypot-veld en een rate-limit van drie inzendingen per IP per uur.

4.7 Patiënt- en sessiedata (Hysio = verwerker). Bij workflow-uitvoering verwerkt het Platform: antwoorden op intake-vragen (zoals patiëntpseudoniem, leeftijdsband, geslacht en lichaamsregio), vrije tekst per stap (zoals anamnese, observaties en behandelinstructies), geüploade documenten (PDF, DOCX of afbeelding, tot de gepubliceerde uploadlimiet), tijdelijk een audio-opname van een consult, de gegenereerde transcriptie en de concept-output. Voor deze categorie ben jij verwerkingsverantwoordelijke en is Hysio verwerker. Opslag van deze gegevens en bestanden vindt plaats op de Contabo-infrastructuur binnen de Europese Economische Ruimte (zie §7.5).

4.8 Logbestanden (Hysio = verantwoordelijke). Application-logs omvatten authenticatie, transcriptieprocessen en betalingsfouten. Vrije-tekst-invoer, patiëntcontent en audio-inhoud worden niet bedoeld als loginhoud; incidentele foutmeldingen van externe diensten kunnen tekstfragmenten bevatten en worden bij detectie gesaneerd. De logs roteren dagelijks en worden standaard veertien dagen bewaard. Een NEN 7513-conforme audit-logtabel (wie, wanneer, wat, waarom en gevolg) staat op de roadmap voor Q3 2027 als onderdeel van het ISO 27001-traject.

4.9 BSN, AGB-code, BIG-nummer, IBAN: nuance. Hysio bevat geen apart, gestructureerd veld voor BSN, BIG-nummer, AGB-code, IBAN, betaalpasdetails of telefoonnummer in de users-tabel of in patiënt-tabellen; patiëntidentificatie verloopt via pseudoniem of minimaal-identificerende intake-invoer en sessies vormen de eenheid van persistente verwerking. Vrije-tekst-invoer en audio-opnames kunnen incidenteel BSN's, BIG-nummers of andere identificerende nummers bevatten zodra de Gebruiker deze invoert. In dat geval blijft de Gebruiker als verwerkingsverantwoordelijke verantwoordelijk voor de rechtmatigheid van het gebruik van het BSN onder de Wet algemene bepalingen burgerservicenummer (Wabb) en, voor zover relevant, de Wabvpz, en voor de instructies aan Hysio; Hysio behoudt daarbij haar eigen verplichtingen als verwerker, waaronder passende beveiliging en een dataminimaliserende inrichting. Hysio adviseert Gebruikers nadrukkelijk om BSN's niet in vrije tekst of audio in te voeren tenzij dat strikt noodzakelijk is voor de zorgverlening, en biedt waar mogelijk pseudoniem-prompts en data-minimalisatie aan in de workflow-systemen.

4.10 LocalStorage en client-side opslag. Naast auth_token bewaart het Platform browserzijdig een taalvoorkeur (locale), een tijdelijk pakket-ID tijdens de checkout en een vlag voor verwijzingsregistratie. Audio-opnames staan tijdens het opnemen en verzenden alleen tijdelijk in het werkgeheugen van de browser; patiëntgegevens, sessie-inhoud en audiobestanden worden niet blijvend client-side opgeslagen. Volledige uitleg en de juridische grondslag per item staan in §9 en in het Cookie Statement v1.0.

4.11 Audit-log accountbrede bulk-exports (Hysio = verantwoordelijke, roadmap). Zodra de accountbrede bulk-export operationeel is, registreert Hysio datum en tijdstip, identiteit en bevoegdheid van de aanvrager, uitkomst van de verificatie, omvang van de export en downloadstatus. De auditregel bevat geen geëxporteerde inhoud. Totdat deze functionaliteit operationeel is, handelt Hysio integrale exportverzoeken via privacy@hysio.nl af. Bewaartermijn en grondslag: zie §6.

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor het doel (AVG art. 5 lid 1 sub e, opslagbeperking).

De cesuur tussen periode 1 en periode 2 voor workflow-sessies markeert het moment waarop de configureerbare retentie-instelling op accountniveau live gaat. Wij informeren bestaande Gebruikers per e-mail en via een melding in het Platform op het moment dat periode 2 ingaat, met een redelijke overgangstermijn voor instellingen en bezwaar.

Voor het patiëntdossier geldt voor de zorgverlener een wettelijke bewaartermijn van twintig jaar vanaf laatste wijziging (BW art. 7:454 lid 3, Wgbo) of zoveel langer als redelijkerwijs voortvloeit uit zorg van een goed hulpverlener. Hysio bewaart patiëntdata onder verwerkersrol op instructie van de zorgverlener; de zorgverlener bepaalt vernietiging conform BW art. 7:455. Hysio voert vernietigingsverzoeken uit op uitdrukkelijke instructie van de zorgverlener als verwerkingsverantwoordelijke en past zich aan diens wettelijke dossier-bewaarplicht aan. De Gebruiker kan via de configureerbare retentie (vanaf periode 2) of via privacy@hysio.nl eerdere vernietiging bewerkstelligen, onder voorbehoud van de eigen wettelijke bewaarplicht onder Wgbo.

Audio-retentie. De audio-retentietermijn op de productie-infrastructuur is maximaal negentig (90) dagen. De doel- en toegangsafbakening voor bewaring binnen deze maximumtermijn staat in de rij Audio-opnames in de tabel hierboven.

Onze beleidslijn is verwerking en opslag binnen de Europese Economische Ruimte. Hosting bij Contabo en de primaire verwerking van transactionele e-mail door Resend in Ierland vinden binnen de Europese Economische Ruimte plaats. Voor de AI-functionaliteit zijn doorgiften naar de Verenigde Staten op dit moment onvermijdelijk omdat Hysio gebruik maakt van Amerikaanse sub-verwerkers. Voor deze doorgiften gelden de volgende waarborgen, gedocumenteerd in de Transfer Impact Assessment v1.1.

8.1 Adequaatheidsbesluit (AVG art. 45), EU-US Data Privacy Framework. Uitvoeringsbesluit (EU) 2023/1795 van 10 juli 2023 stelt vast dat de Verenigde Staten een passend beschermingsniveau bieden voor gegevens die worden doorgegeven aan gecertificeerde organisaties. Een beroep tegen dit besluit is op 3 september 2025 door het Gerecht van de Europese Unie verworpen (T-553/23); toekomstige toetsing door hogere rechtspraak of bij gewijzigde omstandigheden blijft mogelijk. Google LLC en Resend Inc. zijn DPF-gecertificeerd. Hysio controleert minimaal jaarlijks de deelnemersstatus. Bij verlies van certificering of ongeldigheid van het besluit beoordeelt Hysio onmiddellijk of een andere rechtsgeldige grondslag met effectieve aanvullende maatregelen of een alternatief binnen de Europese Economische Ruimte beschikbaar is. Als dat niet tijdig kan worden geborgd, schort Hysio de betreffende doorgifte op en informeert zij de Verantwoordelijke binnen dertig dagen.

8.2 Standard Contractual Clauses (AVG art. 46), Uitvoeringsbesluit (EU) 2021/914. Groq Inc. is op datum publicatie niet DPF-gecertificeerd. Doorgifte op SCCs Module 3 (verwerker-naar-verwerker), omdat Hysio voor patiëntgegevens verwerker is en Groq sub-verwerker. Voor accountdata waarvoor Hysio zelfstandig verantwoordelijke is, geldt waar van toepassing Module 2.

8.3 Aanvullende maatregelen (Schrems II), EDPB Recommendations 01/2020. Op grond van Schrems II (HvJ EU C-311/18) volstaan SCCs niet zonder aanvullende waarborgen. Hysio volgt het zes-stappen-traject: doorgiften inventariseren, instrument kiezen, het recht van het derde land beoordelen, aanvullende maatregelen treffen, procedurele stappen uitvoeren en periodiek herbeoordelen. Voor Groq zijn onder meer TLS-versleuteling, contractuele uitsluiting van modeltraining, de geactiveerde Zero Data Retention-configuratie, een meldplicht bij overheidsverzoeken voor zover mededeling wettelijk is toegestaan en dataminimalisatie toegepast. De Transfer Impact Assessment v1.1 is op verzoek beschikbaar via legal@hysio.nl onder geheimhoudingsplicht.

8.4 Geen andere doorgiften. Buiten bovengenoemde sub-verwerkers geen doorgiften naar derde landen. Bij toekomstige sub-verwerkers buiten de EER wordt voorafgaand een nieuwe TIA uitgevoerd.

Voor een laagdrempelige uitleg van de in deze paragraaf beschreven juridische grondslag, zie de FAQ Persoonsgegevens en Amerika hieronder in deze Privacyverklaring.

Wij nemen passende technische en organisatorische maatregelen tegen ongeoorloofde of onrechtmatige verwerking en tegen verlies, vernietiging of beschadiging van persoonsgegevens (AVG art. 32). Wij claimen geen formele certificering onder NEN 7510 of ISO/IEC 27001; wij volgen de uitgangspunten van beide normen. Het ISO 27001-traject start in Q4 2026 (scope-definitie en gap-analyse), gevolgd door audit Q3 2027. Het NEN 7510-traject volgt in Q4 2027 - Q1 2028. Volledige technische en organisatorische maatregelen staan in Bijlage 2 van de Verwerkersovereenkomst v3.7 en in het Security Policy Pack v1.1.

10.1 Versleuteling tijdens transport. Verkeer tussen jouw browser en het Platform verloopt via HTTPS met TLS 1.3. API-verkeer verloopt met een beveiligd toegangstoken in de autorisatieheader. Verbindingen met sub-verwerkers verlopen eveneens via HTTPS met TLS.

10.2 Versleuteling in rust. Wachtwoorden worden gehasht met bcrypt (12 rounds). Sanctum-tokens worden in de database in SHA-256-gehashte vorm opgeslagen (de plaintekst is alleen aan jouw browser bekend op het moment van uitgifte). Voor de opslag op de Contabo-infrastructuur geldt de beveiligingsconfiguratie van de afgenomen dienst. Hysio maakt geen aanspraak op een specifieke encryptieconfiguratie op schijf- of databaseserverniveau zolang die configuratie niet contractueel en technisch is bevestigd. Patiëntdata en sessie-output staan op dit moment zonder kolomniveauversleuteling in de MySQL-database; bescherming volgt het hostingniveau. Implementatie van kolomniveauversleuteling op gevoelige tekstvelden, zoals sessie-output, vrije tekst en factuuradres, is gepland voor Q4 2026 tot Q1 2027 als onderdeel van het ISO 27001-traject.

10.3 Toegangsbeheer. Het beheerderspaneel is afgeschermd met authenticatie en rolgebaseerde autorisatie. Toegang tot productie-infrastructuur is beperkt tot de bestuurder en de technische lead onder geheimhoudingsplicht. Multi-factor authenticatie is ingericht voor administratief infrastructuurbeheer. MFA op Platformniveau voor administratieve accounts en Klantaccounts staat op de roadmap voor Q4 2026 tot Q1 2027. Een formeel toegangsbeleid is onderdeel van het Security Policy Pack v1.1.

10.4 Beveiligingsmaatregelen. De volgende maatregelen zijn geïmplementeerd conform AVG art. 32 lid 1 en de uitgangspunten van ISO/IEC 27001:2022 en NEN 7510:2024.

Geïmplementeerde maatregelen:

• TLS 1.3 op alle externe endpoints (app.hysio.nl, hysio.nl) via Nginx en Let's Encrypt.
• Wachtwoorden worden gehasht met bcrypt.
• Sanctum bearer-tokens in SHA-256-gehashte vorm opgeslagen in de database; plaintekst alleen browser-zijdig op het moment van uitgifte; intrekking bij logout, wachtwoordreset of admin-actie.
• Rate-limiting op het login-endpoint: maximaal 5 mislukte inlogpogingen per 15 minuten per e-mail- en IP-combinatie. Dit is rate-limiting, geen account-lockout; account-lockout staat op de roadmap Q4 2026 - Q1 2027.
• Wachtwoordvereisten: minimaal 8 tekens, met complexiteitsregels (hoofdletter, kleine letter, speciaal teken), admin-configureerbaar.
• CSRF-bescherming op alle POST/PUT/DELETE-endpoints, SQL-injectie-bescherming via Eloquent prepared statements, XSS-mitigatie via input-sanitisatie.
• Soft-delete op gevoelige tabellen (workflow_sessions, transcription_jobs, users, subscriptions).
• Application-logs roteren dagelijks en worden veertien dagen bewaard. Patiëntdata is niet bedoeld als loginhoud; incidentele foutmeldingen van externe diensten kunnen tekstfragmenten bevatten en worden bij detectie gesaneerd.
• Audio wordt dagelijks geautomatiseerd verwijderd zodra de toepasselijke bewaartermijn is bereikt, met een maximum van negentig dagen en de afbakening uit §6.
• MFA op administratieve infrastructuur: SSH-toegang, Contabo-portaal en DNS-portaal.
• Geautomatiseerde dependency-scans (composer audit, npm audit) maandelijks.
• Pseudoniem-gebruik aangemoedigd in workflow-prompts (data-minimalisatie).
• Geen BSN/AGB/BIG/IBAN/telefoonnummer als zelfstandig veld in de users-tabel.
• Productie-tekstgeneratie via Vertex AI in de EU-region van Google, binnen de Europese Economische Ruimte.

Op de roadmap:

• MFA op Platformniveau voor administratieve accounts en Klantaccounts: gepland Q4 2026 tot Q1 2027.
• LocalStorage-token migratie naar HttpOnly secure cookies met CSP- en HSTS-headers: gepland Q3-Q4 2026.
• Kolom-niveau-versleuteling gevoelige tekstkolommen (Laravel encrypted cast): gepland Q4 2026 - Q1 2027.
• Sanctum-token TTL 30 dagen en rotation policy: gepland Q4 2026.
• Self-service accountverwijdering en archief-export: gepland Q4 2026 - Q1 2027.
• Sessie-retentie cron (workflow_sessions, workflow_session_steps): gepland Q4 2026 - Q1 2027.
• Account-lockout (volledige blokkade na herhaalde mislukte pogingen): gepland Q4 2026 - Q1 2027.
• CORS-whitelist: gepland Q2-Q3 2026.
• NEN 7513-conforme audit-logtabel: gepland Q3 2027 (onderdeel ISO 27001-traject).
• Externe penetratietest (eerste cyclus): gepland Q4 2027.
• ISO 27001-audit: gepland Q3 2027.
• NEN 7510-audit: gepland Q4 2027 - Q1 2028.

10.5 Self-service betrokkenenverzoeken. Self-service accountverwijdering en archief-export gepland voor Q4 2026 - Q1 2027 (zie §10.4). Tot dan handmatig binnen de wettelijke antwoordtermijn (AVG art. 12 lid 3).

10.6 Datalekkenregister. Wij houden een datalekkenregister bij in een gestructureerd intern bestand onder versiebeheer, conform AVG art. 33 lid 5. Het register bevat aard, omvang, getroffen categorieën, aantal betrokkenen, gevolgen, mitigerende maatregelen en redenen voor wel/niet melden. Een dedicated incident-log-tabel als onderdeel van de NEN 7513-conforme audit-logtabel staat op de Q3 2027 roadmap (§10.4).

10.7 Kwetsbaarheidsbeheer. Afhankelijkheden worden actueel gehouden via composer audit en npm audit. Kritieke patches worden binnen zeven (7) dagen geïmplementeerd; high-severity binnen veertien (14) dagen, conform NCSC-richtsnoeren voor zorg-relevante systemen. Voor zorgkritieke beveiligingsincidenten met directe impact op patiëntgegevens gelden aanvullende kortere reactietijden via de incidentresponsprocedure (24-uurs-meldtermijn aan Verantwoordelijke conform §12.1, met onmiddellijke beheersmaatregelen waar mogelijk). De volledige incidentresponsprocedure staat in het Security Policy Pack v1.1.

12.1 Onze rol als verwerker. Bij vaststelling van een inbreuk melden wij deze onverwijld aan de betrokken Gebruiker als verwerkingsverantwoordelijke (AVG art. 33 lid 2). De Verwerkersovereenkomst v3.7 bevat een meldtermijn van 24 uur na ontdekking, met feitenrelaas, eerste impactanalyse en getroffen maatregelen. De zorgverlener doet vervolgens de eigen beoordeling en, indien van toepassing, de melding aan de Autoriteit Persoonsgegevens binnen 72 uur (AVG art. 33 lid 1) en aan betrokkenen bij hoog risico (AVG art. 34 lid 1).

12.2 Onze rol als verwerkingsverantwoordelijke. Voor verwerkingen waarvoor Hysio zelfstandig verantwoordelijke is, melden wij een datalek met risico voor rechten en vrijheden binnen 72 uur aan de Autoriteit Persoonsgegevens (AVG art. 33 lid 1). Bij waarschijnlijk hoog risico informeren wij betrokkenen onverwijld in heldere taal (art. 34 lid 1), tenzij een uitzondering uit art. 34 lid 3 geldt.

12.3 Voorafgaande raadpleging Autoriteit Persoonsgegevens (AVG art. 36). Indien een door Hysio uitgevoerde DPIA aantoont dat een nieuwe verwerking een hoog restrisico met zich meebrengt dat met de getroffen maatregelen niet kan worden gemitigeerd, raadpleegt Hysio de Autoriteit Persoonsgegevens vooraf conform AVG art. 36. Dit geldt vooral bij materiële uitbreidingen van het Platform (bijvoorbeeld EPD-integratie, patiëntportaal, secundair gebruik van data). Voor MDSW-grenzen en toekomstige herclassificatie zie MDR Positiedocument v3.7 §11.

12.4 Intern register. Alle datalekken, ook niet-meldingsplichtige, worden bijgehouden in ons datalekkenregister (zie §10.6).

12.5 AI-incidenten en serieuze AI-output-fouten. Voor serieuze incidenten met AI-output, bijvoorbeeld een transcriptiefout met een hoog risico op klinische foutintroductie, volgt Hysio de procedure uit AI Act Transparantieverklaring v3.7 §10. Als het AI-incident tevens een datalek vormt, gelden ook de meld- en documentatieplichten uit AVG art. 33.

12.6 Verhouding met Wkkgz. Hysio is geen zorgaanbieder onder Wkkgz en heeft geen eigen meldplicht aan de IGJ. Bij een datalek dat tevens een calamiteit oplevert in de zin van Wkkgz art. 11, meldt de zorgaanbieder (Gebruiker); Hysio levert technische en feitelijke ondersteuning binnen de meldtermijn.

Het Platform genereert AI-output op basis van jouw invoer (samenvattingen, conceptbrieven, gestructureerde verslagen, declaratie-coderingsuggesties). Deze output is uitdrukkelijk een concept ter ondersteuning van jouw werkzaamheden als zorgverlener.

14.1 Geen besluit zonder mens. Hysio neemt geen besluiten over patiënten op basis van uitsluitend geautomatiseerde verwerking in de zin van AVG art. 22. Elke output wordt voor controle, aanvulling of correctie aan de zorgverlener gepresenteerd voordat zij in het dossier of in patiëntcommunicatie terechtkomt. De klinische beslissing ligt te allen tijde bij de zorgverlener; menselijke review is een gebruikseis van het Platform en uitdrukkelijk vastgelegd in artikel 8.8 van de Algemene Voorwaarden v3.7.

14.2 Transparantie over de logica (AVG art. 13 lid 2 sub f, art. 15 lid 1 sub h). Het Platform werkt met grote taalmodellen die op basis van een systeemprompt, eventueel referentiemateriaal en jouw invoer een tekstvoorstel genereren. Functionele uitleg in MDR Positiedocument v3.7, AI Act Transparantieverklaring v3.7 en de Disclaimer v3.7.

14.3 AI Act art. 50 transparantie (geldend per 2 augustus 2026) en art. 4 AI-geletterdheid (in werking sinds 2 februari 2025). Onder Verordening (EU) 2024/1689 (AI Act) valt het Platform onder de transparantieverplichtingen van art. 50. Dit betekent dat je weet dat je met AI interacteert en welke output AI-gegenereerd is. Hysio waarborgt deze transparantie door (a) het UI-label "AI-gegenereerd concept, controle vereist" bij AI-output, dat uiterlijk 1 augustus 2026 wordt uitgerold (tot dat moment geldt de aanduiding van iedere output als bewerkbaar concept onder (b) als de huidige waarborg), (b) iedere output als bewerkbaar concept aan te bieden en (c) onboarding-content en helpcenter-artikelen die de werking van de AI uitleggen. Voor AI-geletterdheid (art. 4 AI Act, in werking sinds 2 februari 2025) volgen wij een interne training- en onboarding-praktijk; volledige beschrijving in AI Act Transparantieverklaring v3.7.

14.4 Geen profilering met rechtsgevolg. Hysio profileert patiënten niet voor besluitvorming, segmenteert hen niet voor commerciële doeleinden en zet geen automatische besluitvorming met rechtsgevolg of vergelijkbaar aanmerkelijk gevolg in.

14.5 Geen training op klantdata. Wij gebruiken jouw gegevens en de gegevens van patiënten niet om AI-modellen te trainen of te verbeteren. Voor het large language model van Google sluit het Google Cloud Data Processing Addendum modeltraining op klantdata contractueel uit. Voor de spraak-naar-tekst-dienst van Groq geldt de geactiveerde Zero Data Retention-configuratie, met de contractueel begrensde uitzondering voor beveiliging en misbruikpreventie zoals beschreven in §7.2. OpenAI is niet productioneel ingezet; bij een eventuele activering geldt eerst de procedure uit §7.6, inclusief de toepasselijke verwerkingsovereenkomst en uitsluiting van modeltraining. Hysio verifieert de relevante providerinstellingen minimaal jaarlijks en informeert Verantwoordelijken bij een materiële wijziging in een provider of verwerkingsconfiguratie.

Veelgestelde vraag: Worden mijn persoonsgegevens naar Amerika doorgegeven?

Het korte antwoord

Ja, deels. Hysio verwerkt tekst-invoer en gegenereerde rapporten via een large language model van Google en audio-input via een spraak-naar-tekst-dienst van Groq. Beide partijen zijn gevestigd in de Verenigde Staten. De juridische grondslag verschilt per partij: de doorgifte aan Google LLC is afgedekt door het EU-US Data Privacy Framework uit 2023 (Google is DPF-gecertificeerd). Groq Inc. is niet DPF-gecertificeerd; de doorgifte aan Groq baseert Hysio daarom op Standard Contractual Clauses (Module 3), een Transfer Impact Assessment en aanvullende technische en organisatorische maatregelen, waaronder Zero Data Retention. De volledige juridische beschrijving staat in §8 van deze Privacyverklaring.

Hysio werkt aan een klant-configureerbare LLM-backend in Q3 tot Q4 2026 om je als Klant zelf te laten kiezen welke AI-provider Hysio voor jouw workflows aanroept. Daarmee word je minder afhankelijk van de juridische status van Amerikaanse providers en kun je waar gewenst kiezen voor een EU-only stack of een eigen lokaal AI-model.

Wat is het Data Privacy Framework?

Het EU-US Data Privacy Framework (DPF) is het in juli 2023 door de Europese Commissie genomen adequaatheidsbesluit voor doorgifte van persoonsgegevens uit de Europese Unie naar deelnemende organisaties in de Verenigde Staten. Het DPF erkent dat de Verenigde Staten voor deze deelnemende organisaties een passend beschermingsniveau bieden onder Uitvoeringsbesluit (EU) 2023/1795.

Google LLC (de partij achter de door Hysio gebruikte tekst-AI via Vertex AI) is DPF-gecertificeerd. Voor Groq Inc. baseert Hysio de doorgifte op Standard Contractual Clauses Module 3 in combinatie met een Transfer Impact Assessment en de Global Zero Data Retention-configuratie. Resend Inc. (e-mailprovider) verwerkt transactionele e-mail primair in Ierland, binnen de Europese Economische Ruimte, en gebruikt het DPF als aanvullende grondslag voor uitzonderlijke routering via de Verenigde Staten.

Welk risico erkent Hysio?

Het Europees Hof van Justitie heeft eerder vergelijkbare adequaatheidsbesluiten voor doorgifte naar de Verenigde Staten ongeldig verklaard:

• Safe Harbor (2000 tot 2015), ongeldig verklaard in HvJ EU C-362/14 (Schrems I).
• EU-US Privacy Shield (2016 tot 2020), ongeldig verklaard in HvJ EU C-311/18 (Schrems II).

Het is onzeker of en wanneer het Data Privacy Framework door rechtspraak of politiek beleid wordt gewijzigd of ongeldig verklaard. Hysio houdt daarom uit voorzorg alternatieve doorgifteroutes gereed; daarop is de roadmap hieronder gebaseerd.

Wat doet Hysio nu om dit risico te beperken?

Op de publicatiedatum gelden de volgende maatregelen en vastgelegde toezeggingen:

Wat is de roadmap?

Deze roadmap wordt ieder kwartaal beoordeeld tegen operationele voortgang en geo-juridische ontwikkelingen.

Wat kun je zelf doen als fysiotherapeut?

• Pseudonimiseer in je transcript-input. Spreek geen volledige BSN-nummers in. Adresgegevens kunnen via je EPD beheerd worden en hoeven niet via Hysio te lopen.
• Gebruik de DiagnoseCode-output via DCSPH-codes (de landelijke diagnosecodelijst paramedische hulp). Hysio gebruikt geen ICD- of DSM-codes.
• Houd je workflow-sessie-retentie kort. Een configureerbare sessie-retentie met een default van 12 maanden staat op de roadmap voor Q4 2026 tot Q1 2027 (zie §6). Tot die tijd kun je eerdere verwijdering van sessies aanvragen via privacy@hysio.nl.
• Vraag bij wezenlijke twijfel een integrale export aan via privacy@hysio.nl en archiveer deze lokaal of in je EPD.

Veelgestelde vervolgvragen

1. Wordt mijn audio-opname gebruikt om de AI te trainen?

Nee. Hysio heeft contractueel met Groq de Global Zero Data Retention-configuratie geactiveerd voor de productieconfiguratie; Groq bewaart audio-inputs en outputs niet na verwerking, behoudens de uitzonderlijke abuse-monitoringretentie beschreven in §7.2. Bij Hysio zelf wordt de audio verwerkt voor transcriptie en uiterlijk binnen 90 dagen automatisch verwijderd; tussentijdse bewaring dient uitsluitend foutanalyse en kwaliteitscontrole van de transcriptiefunctie, op geselecteerde opnames, met gelogde toegang voor uitsluitend geautoriseerde medewerkers en met eerdere verwijdering zodra het doel is bereikt. Hysio gebruikt audio niet voor modeltraining of algemene productverbetering. Geen modeltraining bij Groq.

2. Kan Hysio voorkomen dat Amerikaanse autoriteiten toegang krijgen tot mijn data?

Nee, geen enkele provider kan dat absoluut garanderen voor data die naar Amerikaanse cloud-diensten wordt verzonden. Dat is precies waarom de Schrems-arresten van het Hof van Justitie eerdere kaders ongeldig verklaarden. Hysio beperkt dit risico door (a) EU-region-configuratie waar mogelijk, (b) data-minimalisatie in prompts, (c) een meldplicht aan jou bij een overheidsverzoek aan een sub-verwerker voor zover mededeling daarvan wettelijk is toegestaan, en (d) de klant-configureerbare LLM-backend op de roadmap.

3. Wat gebeurt er als DPF wordt ongeldig verklaard?

Hysio beoordeelt onmiddellijk of een andere rechtsgeldige doorgiftegrondslag met effectieve aanvullende maatregelen beschikbaar is, zoals SCCs Module 3 in combinatie met versterkte TIA-maatregelen, of, waar nodig, EU-only-providers via de klant-configureerbare LLM-backend. Waar dat niet tijdig kan worden geborgd, schort Hysio de betreffende doorgifte op. Een DPF-uitspraak betekent geen automatische dienstuitval; wel zal Hysio binnen de door de toezichthouders genoemde overgangstermijn schakelen.

4. Kan ik nu al kiezen voor een EU-only stack?

Volledig EU-only is op dit moment nog niet beschikbaar als klant-keuze, met name omdat de audio-transcriptie via Groq (VS) loopt. De klant-configureerbare LLM-backend levert een bredere keuze in Q3 tot Q4 2026. Voor de tekst-AI draait Hysio nu al via de EU-region van Vertex AI, binnen de Europese Economische Ruimte (zie §7.1), in combinatie met de Groq Zero Data Retention-configuratie voor audio.

5. Wordt mijn data verzameld voor verkoop aan derden?

Nee. Hysio en haar sub-verwerkers werken onder verwerkersovereenkomsten die het gebruik van Klantdata beperken tot het leveren van de in de Algemene Voorwaarden vastgelegde dienst. Geen reclame, geen profilering en geen verkoop. Mollie verwerkt betaaldiensten onder eigen toezicht en ontvangt geen patiëntcontent.

6. Hoe weet ik welke sub-verwerkers Hysio gebruikt?

De volledige sub-verwerkerslijst staat in §7 hierboven en in het Subprocessor Register v1.1, op verzoek beschikbaar via privacy@hysio.nl onder geheimhoudingsplicht. Hysio noteert in het Register welke partijen DPF-gecertificeerd zijn, welke partijen onder SCCs werken en welke aanvullende retentie- of regiowaarborgen van toepassing zijn.

7. Wat als een sub-verwerker een datalek heeft?

Bij een datalek bij een sub-verwerker meldt deze dat onverwijld aan Hysio. Hysio meldt het binnen 24 uur aan jou als Verantwoordelijke conform Verwerkersovereenkomst v3.7. Jij beoordeelt vervolgens of melding aan de Autoriteit Persoonsgegevens en aan betrokkenen op grond van AVG art. 33 en 34 noodzakelijk is.

Samenhangende documenten

• Subprocessor Register v1.1 (op verzoek via privacy@hysio.nl) voor de actuele sub-verwerkers-tabel en de doorgifte-grondslag per provider.
• Transfer Impact Assessment v1.1 (op verzoek via legal@hysio.nl onder geheimhoudingsplicht) voor de zes-stappen-beoordeling van het Schrems II-toezicht en de aanvullende maatregelen per sub-verwerker.
• Algemene Voorwaarden v3.7 §7.7 plus Regeling Datatoegang v3.7 voor je rechten op bulk-export en switching.
• Privacyverklaring v3.7 §7 voor de sub-verwerkers-tabel.
• Privacyverklaring v3.7 §8 voor de juridische beschrijving van internationale doorgifte.

Algemeen: support@hysio.nl. Privacyverzoeken en datalekmeldingen: privacy@hysio.nl. Compliance en sub-verwerkermeldingen: compliance@hysio.nl. Juridische correspondentie: legal@hysio.nl. Postadres: Hysio B.V., De Aak 11, 7908 EL Hoogeveen, Nederland. Kamer van Koophandel: 98649744. Btw-nummer: NL868584575B01.

Aanvaarding via registratie. De registratiepagina op app.hysio.nl/register vraagt je om de Verwerkersovereenkomst v3.7 en de overige toepasselijke documenten van het juridische pakket uitdrukkelijk te aanvaarden voordat je de normale registratieflow kunt afronden, conform Verwerkersovereenkomst v3.7 §21. Hysio registreert de aanmaakdatum van het Account en kan aan de hand van het versiearchief vaststellen welke documentversies op die datum golden. Het huidige accountrecord bevat geen afzonderlijke documentversienummers of documenthashes en Hysio stuurt niet automatisch een elektronisch tegenexemplaar. Je kunt via legal@hysio.nl kosteloos een bevestiging in PDF-vorm opvragen van de documentversies die op de registratiedatum golden. De bewaartermijnen voor Accountgegevens staan in §6.