Veiligheid, privacy en geheimhouding bij Minuut

In het kort

Het korte antwoord. Minuut wordt gehost in Europa: de applicatie, de database, je bestanden en de back-ups. Elk AI-verzoek gaat met een verplichte Zero Data Retention-instelling (ZDR): de AI-diensten slaan de inhoud van verzoek en antwoord niet blijvend als inhoudelijke log op en gebruiken die niet voor modeltraining. Wij trainen niet op je invoer zonder je afzonderlijke, expliciete en voorafgaande schriftelijke toestemming. Binnen Minuut heeft alleen de eigenaar toegang tot productiegegevens. En onze verwerkersovereenkomst, met alle uitvoerders, is openbaar.

Waar je gegevens staan

De applicatie, de database, je bestanden en alle back-ups worden in Europa gehost.

Hoe we AI inzetten

Voor elk verzoek aan de AI-diensten die we inschakelen geldt een verplichte Zero Data Retention-instelling (ZDR) (verwerkersovereenkomst, bijlage A.2). De inhoud van je verzoeken en de antwoorden wordt bij die AI-diensten dus niet blijvend als inhoudelijke log opgeslagen, en niet gebruikt om modellen te trainen.

Twee dingen die je daarbij wilt weten:

• Je dossier blijft voor jou beschikbaar. ZDR geldt bij de AI-diensten. Je casussen en Minuut Memo’s blijven gewoon in je eigen Minuut-omgeving staan, tot je ze laat verwijderen (zie bewaartermijnen hieronder).
• We sturen alleen mee wat nodig is. Naar de AI-diensten gaat alleen de context die je opdracht vraagt (bijlage B.3).

Geen training op je invoer

Je dossiers gebruiken we voor jouw onderzoek, voor de opslag en om je opdracht uit te voeren. Niet voor modeltraining, fine-tuning, tests, benchmarks of algemene productverbetering, tenzij je daar afzonderlijk, expliciet en vooraf schriftelijk toestemming voor geeft. Dezelfde beperking leggen we onze uitvoerders op (dienstvoorwaarden, art. 7.2).

Technische gebruiksgegevens gebruiken we onder meer voor beheer, beveiliging en facturering. Die gaan niet over de inhoud van je dossiers (art. 7.3).

Subverwerkers

Welke partij wat doet en waar, zie je in de tabel hieronder. Gaan gegevens buiten de Europese Economische Ruimte, dan gebeurt dat alleen op gedocumenteerde instructie en met een geldige grondslag, zoals de Europese standaardcontractbepalingen (verwerkersovereenkomst, art. 6.5).

Bron: privacyverklaring, onderdeel 4, en verwerkersovereenkomst, bijlage A. Voegen we een subverwerker toe of vervangen we er een, dan laten we je dat vooraf schriftelijk weten. Je hebt dan in beginsel veertien dagen om gemotiveerd bezwaar te maken (art. 6.2).

Toegang en beveiliging

• Inloggen gaat met een inloglink per e-mail; de verificatietokens slaan we gehasht op.
• Interne toegang: binnen Minuut heeft alleen de eigenaar toegang tot productiegegevens.
• Transport en afscherming: al het webverkeer loopt via HTTPS, met toegangscontroles en afscherming tussen klantomgevingen.
• Ontwikkeling: productiegegevens zijn niet bestemd voor ontwikkel- of testomgevingen.
• Inhoudelijke inzage: we kijken alleen in je inhoud als je daar vooraf toestemming voor geeft, bijvoorbeeld bij een supportverzoek. Zonder toestemming alleen bij strikte noodzaak voor een wettelijke verplichting of een concreet beveiligingsincident.
• Datalekken: weten we van een inbreuk, dan informeren we je zonder onredelijke vertraging.

Dit hebben we vastgelegd in de verwerkersovereenkomst (bijlage B en art. 7.1) en de privacyverklaring (onderdeel 3).

Bewaren en verwijderen

• Klantinhoud: geef je een verwijderinstructie, dan halen we je inhoud uiterlijk binnen dertig dagen uit de actieve systemen (verwerkersovereenkomst, art. 9.2).
• Back-ups: we maken elke dag een back-up en verwijderen of overschrijven die uiterlijk zeven dagen na het maken (art. 9.3).
• Accountgegevens: na het gebruik verwijderen of anonimiseren we die in beginsel binnen dertig dagen. Technische IP- en foutlogs bewaren we in beginsel maximaal negentig dagen, zakelijke correspondentie tijdens de behandeling en maximaal twee jaar daarna en de fiscale administratie in beginsel zeven jaar (privacyverklaring, onderdeel 5).
• Je data meenemen: een afgeronde Minuut Memo exporteer je als Word- of pdf-bestand, en een volledige export vraag je aan via lucas@minuut.eu (exportbijlage).

Wat je niet invoert

Deze gegevens voer je niet in, tenzij we daar samen apart schriftelijk iets over afspreken (dienstvoorwaarden, art. 4.5):

• bijzondere of strafrechtelijke persoonsgegevens;
• gezondheidsinformatie;
• gevoelige financiële rekeninginformatie;
• burgerservicenummers en andere overheidsidentificatienummers;
• ongeredigeerde identiteitsdocumenten;
• wachtwoorden, toegangssleutels of vergelijkbare geheimen.

Haal die gegevens weg of anonimiseer ze voordat je je casus invoert. Alleen namen vervangen is niet genoeg als personen nog herkenbaar zijn. Voor een juridische vraag heb je ze zelden nodig: beschrijf de feiten zo dat de rechtsvraag duidelijk is, zonder dat iemand herkenbaar is.

Wat de NOvA van je vraagt, en hoe wij je helpen

Voor advocaten geldt de geheimhoudingsplicht van art. 11a Advocatenwet. De NOvA adviseert in haar aanbevelingen: “Weet waar data worden opgeslagen en verwerkt (land, onderaannemers, beveiliging)”, en: “Vertrouw niet alleen op FAQ’s of marketingbeloften; lees de (privacy)voorwaarden.” Daarom staan al onze documenten hieronder, openbaar. Meer hierover: Mag een advocaat AI gebruiken?

Cookies

We gebruiken alleen functionele cookies die nodig zijn voor inloggen en beveiliging: lrui_session (sessie) en lrui_csrf (bescherming tegen verzoekvervalsing). Geen tracking, geen analyses, geen advertenties. Daarom zie je bij ons ook geen cookiebanner.

Documenten en contact

• Privacyverklaring
• Verwerkersovereenkomst
• Dienstvoorwaarden
• Gebruiksbijlage (onder meer: deel je toegang niet, meld incidenten, geen scraping of bulkgebruik)
• Export- en overstapbijlage

Verzoeken over je persoonsgegevens (inzage, correctie, verwijdering) beantwoorden we uiterlijk binnen één maand. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Vragen over beveiliging of de verwerkersovereenkomst? Mail naar lucas@minuut.eu.

Veelgestelde vragen