Keiro verwerkt bijzondere persoonsgegevens in de zorg. Hieronder leggen wij transparant uit volgens welke wet- en regelgeving wij bouwen, welke maatregelen operationeel zijn en wat nog in uitvoering is. Wij geloven dat eerlijke transparantie meer vertrouwen schept dan ongefundeerde certificeringsclaims.
Keiro is ontworpen volgens de Algemene Verordening Gegevensbescherming (AVG/GDPR). Keiro treedt op als verwerker namens de zorgorganisatie, die verwerkingsverantwoordelijke is. Met elke klant sluiten wij een verwerkersovereenkomst (DPA) waarin doel, grondslag, beveiliging, subverwerkers en bewaartermijnen zijn vastgelegd.
Betrokkenen kunnen hun rechten uitoefenen (inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar) via privacy@keiro.care. Het volledige privacybeleid is beschikbaar op /privacy.
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Keiro wordt gebouwd conform de principes van NEN 7510: risicogebaseerd beveiligingsbeleid, toegangsbeheer op basis van rollen, versleuteling van gegevens onderweg en in rust, gescheiden omgevingen per klant (multi-tenant isolatie) en periodieke evaluatie van beveiligingsmaatregelen.
Wij werken toe naar formele toetsing. Tot die tijd leveren wij onze beveiligingsmaatregelen transparant aan via onze DPA en een security-overzicht, zodat zorgorganisaties hun eigen NEN 7510-verplichtingen kunnen onderbouwen.
NEN 7513 vereist dat een EPD gedetailleerd vastlegt wie welke patientgegevens heeft benaderd, wanneer, wat er is gedaan en in welke context. Keiro legt hiervoor audit trails aan over de volledige levenscyclus van een dossier: inzien, zoeken, bewerken, exporteren, verwijderen, printen, API-toegang, beheeracties, rolwijzigingen, mislukte inlogpogingen en nood- (break-glass) toegang.
De logging is ontworpen om bestand te zijn tegen manipulatie, is uitsluitend toegankelijk voor geautoriseerde gebruikers, wordt bewaard conform beleid en is gescheiden per klant en tenant. Via het audit-logoverzicht kan een zorgorganisatie logs raadplegen en exporteren per patient, gebruiker, organisatie en periode.
Hiermee kunnen onze klanten rechtmatige en gecontroleerde toegang tot patientgegevens aantonen — voor een EPD-leverancier is dit een kernvereiste, geen optie.
Conform de Wet op de geneeskundige behandelingsovereenkomst (Wgbo) ondersteunt Keiro de dossierplicht en de wettelijke bewaartermijn van 20 jaar na de laatste behandeling. Financiele gegevens worden 7 jaar bewaard conform de fiscale bewaarplicht; audit trails worden bewaard volgens beleid. Na afloop van de bewaartermijn worden gegevens veilig vernietigd.
De Europese Medical Device Regulation (MDR) is van toepassing wanneer software een medisch doel heeft (bijvoorbeeld het ondersteunen van diagnose, behandelbeslissingen of risicovoorspelling). De kern van Keiro — het vastleggen van patientgegevens, notities, documenten, afspraken, berichten, facturatie en workflow — is administratief en niet-diagnostisch. Daarmee valt het kern-EPD niet onder de MDR en is geen CE-markering vereist.
AI-ondersteunde functionaliteit zoals intake en triage positioneren wij uitdrukkelijk als workflow- en beslissingsondersteuning, niet als diagnose. Mocht een module in de toekomst een medisch doel krijgen, dan behandelen wij die als een afzonderlijke module en beoordelen wij vooraf of CE-markering onder de MDR noodzakelijk is, voordat die wordt vrijgegeven.
Patientgegevens worden gehost binnen de EU. Wij maken gebruik van zorgvuldig geselecteerde subverwerkers, waaronder Supabase (database hosting, EU) en Anthropic (AI-verwerking). Met alle subverwerkers zijn verwerkersovereenkomsten gesloten.
Bij AI-functionaliteit minimaliseren wij doorgifte buiten de EU en sturen wij geen direct identificeerbare patientgegevens naar het AI-model. Doorgifte vindt plaats op basis van de standaardcontractbepalingen (SCC) van de Europese Commissie.
Versleuteling van data onderweg en in rust, toegangscontrole op basis van rollen, isolatie van gegevens per organisatie, audit logging van acties op patientgegevens en back-ups op EU-locaties. Wij hanteren het principe van dataminimalisatie en least-privilege toegang, en voeren beveiligingsevaluaties uit als doorlopend proces.
De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn en verplicht organisaties om hun digitale systemen aantoonbaar weerbaar te maken tegen cyberdreigingen. De wet wordt naar verwachting rond 1 juli 2026 van kracht: de Tweede Kamer heeft het wetsvoorstel aangenomen, behandeling in de Eerste Kamer loopt nog. De zorg behoort tot de (zeer) kritieke sectoren.
Voor Keiro is vooral de keten-route relevant. Organisaties die onder de Cbw vallen, moeten borgen dat hun toeleveranciers cyberveilig zijn. Als leverancier van een EPD aan zorginstellingen verwachten wij dat onze klanten ons zullen vragen onze beveiliging aantoonbaar op orde te hebben, ook wanneer de wet ons niet rechtstreeks aanwijst.
Wat zorgklanten doorgaans uitvragen, met onze eerlijke status: informatiebeveiliging volgens erkende normen (wij bouwen volgens NEN 7510-principes; een ISO 27001-certificering staat op de roadmap), gedocumenteerd risicobeheer, tweefactor-authenticatie (in uitvoering), regelmatige beveiligingsupdates, heldere meldtermijnen bij incidenten en datalekken (vastgelegd in ons incidentresponsplan), back-ups op EU-locaties, een bedrijfscontinuïteitsplan (BCP), penetratietests en securitytraining van medewerkers (op de roadmap). De actuele status houden wij hierboven en in onze DPA transparant bij.
Dit is geen juridisch advies. De precieze eisen kunnen vóór inwerkingtreding nog wijzigen. Wij raden zorgorganisaties aan hun eigen verplichtingen te bevestigen met juridisch adviseurs en deze samen met ons af te stemmen in het inkoop- en DPA-traject.
Keiro is in oprichting. KVK-registratie en de juridische entiteit zijn in aanvraag. Tot de afronding daarvan werken wij met klanten samen op basis van een verwerkersovereenkomst en het hierboven beschreven beveiligingsmodel.