Hoe Casuria met persoonsgegevens omgaat

1. Wie is verantwoordelijk

Casuria is een dienst van Protium.digital BV. Protium.digital BV is verwerkingsverantwoordelijke voor de gegevens die deze site verwerkt, voor de accounts van testgebruikers in de toepassing en voor het contact dat u per e-mail met ons heeft.

Vragen over deze verklaring of over uw gegevens stelt u aan gerard@protium.digital. Meer over het bedrijf staat op protium.digital.

Een organisatie die Casuria na de testfase voor eigen dossiers gebruikt, is zelf verwerkingsverantwoordelijke voor die dossiers. Protium.digital BV is dan verwerker en sluit daarvoor vooraf een verwerkersovereenkomst met die organisatie.

2. Casuria is in testfase

De echte persoonsgegevens in deze fase zijn beperkt tot de accounts van testgebruikers en de gegevens van mensen die contact met ons opnemen. De hoofdstukken hieronder beschrijven ook wat de toepassing doet zodra organisaties er echte gesprekken en dossiers in verwerken, zodat u nu al weet hoe Casuria is gebouwd.

3. De introductiesite casuria.eu

De site verzamelt niets. Ze bestaat uit vaste pagina's zonder scripts, zonder cookies, zonder analyse- of trackingdiensten en zonder formulieren. Lettertypes en afbeeldingen komen van onze eigen server; er wordt geen enkele bron van een derde partij geladen.

Om een pagina te kunnen tonen ontvangt onze server het IP-adres van uw browser. Dat adres wordt niet vastgelegd: de toegangslogboeken van zowel de webserver als de TLS-laag staan uit. Het beveiligingscertificaat komt van Let's Encrypt; daarvoor geven wij geen e-mailadres of andere persoonsgegevens door.

4. Contact per e-mail

Contact met ons verloopt via e-mail. Als u ons mailt, verwerken wij uw naam, uw e-mailadres en de inhoud van uw bericht om te antwoorden en, als u een demo vraagt, om die in te plannen. De grondslag is ons gerechtvaardigd belang om op uw verzoek te reageren of, als u een samenwerking overweegt, de stappen die aan een overeenkomst voorafgaan.

Wij bewaren de correspondentie zolang dat nodig is om uw verzoek af te handelen. Ontstaat er geen samenwerking, dan verwijderen wij haar daarna.

5. Inloggen op de toepassing

De toepassing op app.casuria.eu is alleen toegankelijk met een account. Accounts worden aangemaakt door de beheerder van uw organisatie; welke rol u krijgt bepaalt een mens, nooit het systeem. Er zijn drie manieren om in te loggen.

Casuria-account met wachtwoord

Van een account bewaren wij het e-mailadres, de weergavenaam, de rol of rollen, de organisatie en het tijdstip van de laatste login. Het wachtwoord wordt niet opgeslagen, alleen een afgeleide (argon2id-hash) waaruit het wachtwoord niet is terug te rekenen.

Werkplek-login met Microsoft Entra ID of Google Workspace

Als uw organisatie dit heeft ingeschakeld, kunt u inloggen met uw werkaccount. De toepassing vraagt de identiteitsdienst dan om de standaardgegevens openid, profile en email. Uit het ondertekende id-token dat terugkomt leest Casuria:

• uw werk-e-mailadres (bij Microsoft de gebruikersnaam van het werkaccount, bij Google het geverifieerde e-mailadres);
• uw naam, als de identiteitsdienst die meestuurt;
• het kenmerk van uw organisatie (bij Microsoft het directory-id, bij Google het Workspace-domein). Dat kenmerk wordt alleen gebruikt om te controleren of uw organisatie toegang heeft en wordt niet opgeslagen.

Overige gegevens in het token, zoals een profielfoto, worden niet gelezen. Het token zelf wordt na controle van de handtekening weggegooid. Casuria bewaart geen id-token, geen toegangstoken, geen vernieuwingstoken en geen gebruikersnummer van Microsoft of Google. Uw wachtwoord bij Microsoft of Google ziet Casuria nooit; u voert het in bij de identiteitsdienst zelf.

Heeft u al een account in Casuria, dan wordt bij een geslaagde login alleen het tijdstip bijgewerkt en een regel in het auditlogboek geschreven (identiteitsdienst, domein, tijdstip). Alleen als uw organisatie voor haar domein een standaardrol heeft ingesteld, kan bij een eerste login een nieuw account ontstaan; daarin worden dan uw e-mailadres en naam vastgelegd, en de aanmaak wordt in het auditlogboek vermeld.

Microsoft respectievelijk Google ziet dat iemand met uw werkaccount op een bepaald moment inlogt bij Casuria, onder de app-registratie van Casuria. Er gaan geen gegevens uit Casuria naar deze diensten: geen dossiers, geen gesprekken, geen namen van anderen. Hoe Microsoft en Google uw werkaccount verwerken valt onder hun eigen privacyverklaring en de afspraken van uw organisatie met hen. Dit is de enige plaats waar Casuria een Amerikaanse dienst inschakelt; zij wordt alleen gebruikt als u of uw organisatie voor deze manier van inloggen kiest.

Inlogcode per e-mail

De toepassing kent ook een login met een zescijferige code per e-mail. Deze manier staat in de testfase nog niet aan, omdat er nog geen Europese mailvoorziening is gekozen. Zodra zij aan staat, bewaart de toepassing de code tien minuten als versleutelde afgeleide en telt zij per e-mailadres en per IP-adres hoeveel codes er per uur worden aangevraagd; die tellers vervallen na een uur.

In uw browser

De toepassing gebruikt geen cookies. Na het inloggen staat het toegangsbewijs in de sessieopslag van het browsertabblad en verdwijnt het zodra u het tabblad sluit. Uw browser praat uitsluitend met app.casuria.eu; er wordt niets naar een ander adres gestuurd.

6. Wat de toepassing verwerkt bij gebruik

Dit hoofdstuk beschrijft hoe Casuria werkt zodra een organisatie er echte gesprekken en dossiers in verwerkt. In de testfase gebeurt dit met synthetische gegevens.

• Gesprekken. Een intake- of voortgangsgesprek wordt opgenomen of als bestand geüpload. De opname wordt versleuteld opgeslagen (AES-256; de sleutel bestaat alleen bij de toepassing, niet bij de opslagdienst), lokaal uitgeschreven door spraakherkenning in dezelfde omgeving en 24 uur na goedkeuring van het verslag automatisch verwijderd.
• Verslagen en dossiers. Elk veld in een verslag verwijst naar de zin uit het gesprek waar het vandaan komt. Een voorstel van het taalmodel wordt pas opgeslagen nadat een professional het uitdrukkelijk heeft overgenomen. Verzuimdossiers bevatten de termijnen uit de Wet verbetering poortwachter als taken.
• Medewerkerregister. Een organisatie kan een register bijhouden met personeelsnummer, naam, functie, afdeling, werk-e-mailadres en datum in en uit dienst, eventueel aangevuld vanuit het personeelssysteem van de organisatie. Burgerservicenummers worden geweigerd; gezondheidsgegevens horen niet in het register.
• Respita, de ruimte van de medewerker. Gegevens van de medewerker zelf (notities, gespreksvoorbereiding, Buddy-gesprek) staan in een apart gegevensschema, gescheiden van de organisatiekant. Van een Buddy-gesprek wordt alleen vastgelegd dát het plaatsvond, niet wat er is gezegd. Er gaat niets naar de werkgever zonder een eigen handeling van de medewerker.
• Inzicht. Cijfers richting de organisatie gaan altijd over groepen van minstens vijf personen. Casuria geeft nooit een score, ranking of advies over een individuele medewerker aan de werkgever.
• Modellen. Spraakherkenning en taalmodel draaien in dezelfde omgeving als de toepassing, zonder verbinding met internet. Er wordt geen externe AI-dienst gebruikt en er wordt niet getraind op uw gegevens. Elke modelaanroep wordt vastgelegd in het auditlogboek, met een vingerafdruk van invoer en uitvoer.
• Geen emotieherkenning. Casuria leidt geen gevoel, toon of toestand af uit stem, beeld of biometrie. Toon wordt alleen uit tekst bepaald, met een vaste woordenlijst, en alleen in de eigen ruimte van de medewerker.

7. Waar de gegevens staan

Casuria draait op een server van DigitalOcean in het datacentrum Amsterdam (AMS3), binnen de Europese Unie. De database is een beheerde PostgreSQL-database van DigitalOcean in hetzelfde datacentrum, met een dagelijkse back-up. Gespreksopnamen staan versleuteld in objectopslag op de server zelf. De domeinnaam wordt beheerd bij TransIP (Nederland), met DNSSEC. Er staat geen CDN of proxy van een derde partij voor de site of de toepassing.

Partijen die bij de verwerking betrokken zijn:

Buiten het inlogmoment via Microsoft of Google verlaten er geen gegevens de Europese Unie.

8. Beveiliging

• Alle verbindingen lopen over TLS met HSTS; de browser mag alleen bronnen van de eigen server laden (Content Security Policy).
• Toegang per rol en per organisatie; de database filtert op organisatie bij elke opvraging.
• Het auditlogboek is alleen-toevoegen met een hash-keten: de toepassing kan regels niet wijzigen of verwijderen, en de keten is op elk moment te controleren.
• De modelservices hebben geen uitgaande verbinding; dat wordt bij elke uitrol getest.
• Organisatiegegevens en medewerkergegevens staan in gescheiden schema's en worden niet gekoppeld zonder vastgelegde grondslag.

9. Bewaartermijnen

10. Uw rechten

U heeft het recht om uw gegevens in te zien, te laten corrigeren of verwijderen, de verwerking te laten beperken, uw gegevens in een gangbaar bestandsformaat te ontvangen en bezwaar te maken tegen een verwerking op grond van gerechtvaardigd belang. Stuur uw verzoek aan gerard@protium.digital; wij reageren binnen een maand. Om zeker te weten dat het verzoek van u komt, kunnen wij om een bevestiging vragen via het e-mailadres van uw account.

Gebruikt u Casuria via uw organisatie, dan kunt u ook terecht bij de beheerder van uw organisatie; voor dossiers van een organisatie is die organisatie uw eerste aanspreekpunt. Het auditlogboek is bewust niet te wijzigen; een verzoek tot verwijdering passen wij toe op uw account en de gegevens eromheen, en op het logboek zodra de bewaartermijn is verstreken.

Bent u niet tevreden over hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens.

11. Geen geautomatiseerde besluiten

Casuria neemt geen besluiten over personen en maakt geen profielen. Een voorstel van het taalmodel is een suggestie die pas iets wordt nadat een professional met de juiste rol het heeft beoordeeld en overgenomen. Casuria geeft de werkgever nooit een score, ranking of advies over een individuele medewerker.

12. Wijzigingen

Deze verklaring kan veranderen, zeker in de testfase. De geldende versie staat altijd op deze pagina, met versienummer en datum bovenaan. Bij een wezenlijke wijziging informeren wij de beheerders van de organisaties die Casuria gebruiken.