Beveiliging en gegevens
Waar de gegevens van uw bellers staan, en wie erbij kan
Een telefoongesprek behoort tot de gevoeligste gegevens die een organisatie heeft: een naam, een identiteitsnummer, een medische situatie, een juridisch geschil — hardop uitgesproken en opgeslagen. Deze pagina zet uiteen wat het systeem daar werkelijk mee doet, inclusief wat we niet hebben.
Kort gezegd
Wat gebeurt er met persoonsgegevens die tijdens een gesprek met een AI-agent worden uitgesproken?
Elk transcript gaat door een laag die identificerende gegevens herkent en maskeert en die op het Hebreeuws is toegesneden; elke afdeling bepaalt zelf welke entiteitstypen bij haar worden gemaskeerd. Toegang tot opnamen en transcripten is per rol beperkt en gevoelige handelingen worden in een auditlog vastgelegd. Voor een verwijderingsverzoek van een burger bestaat een eigen werkwijze: die maakt de identificatiegegevens van de beller leeg, blokt de persoonsgegevens in het transcript weg, koppelt de opname los en zet er een referentienummer op dat u aan de burger kunt doorgeven. Gereguleerde instanties kunnen het hele systeem binnen de eigen perimeter draaien, modelgewichten inbegrepen, zodat er geen gespreksgegevens het netwerk verlaten. Wij bezitten geen auditcertificering volgens welke beveiligingsstandaard dan ook, en beweren ook niet anders.
Wat we niet hebben — vóór wat we wel hebben
Wij hebben geen SOC 2, wij hebben geen ISO 27001 en wij zijn niet HIPAA- of AVG-gecertificeerd. Een «AVG-certificaat» bestaat sowieso niet, en HIPAA is Amerikaanse regelgeving die voor de meeste lezers hier niet geldt — maar ze staan op zoveel beveiligingspagina’s dat het de moeite waard is ronduit te zeggen dat ze op de onze niet staan. In plaats van te suggereren dat we een accreditatie hebben die we niet bezitten, beschrijft alles hieronder maatregelen die daadwerkelijk in het product zitten, en we tonen u elk daarvan graag live op een draaiend systeem. Als de standaard waaraan u moet voldoen een gecertificeerde leverancier vereist, zeggen we dat in het eerste gesprek en niet pas bij de inkoop.
Herkenning en maskering van persoonsgegevens
Het transcript van een Hebreeuws gesprek staat vol met precies datgene wat je niet leesbaar mag laten staan: een volledige naam, een cijfer voor cijfer gedicteerd identiteitsnummer, een adres, een telefoonnummer, de naam van een arts of een instelling. Het systeem draait over elke beurt in het gesprek een op het Hebreeuws getrainde entiteitsherkenning — geen algemene engine die het Hebreeuws als bijzaak behandelt. Wat wordt gevonden, wordt opgeslagen als posities in de tekst, zodat het transcript gemaskeerd kan worden getoond aan wie het origineel niet mag zien, zonder dat het gesprek onanalyseerbaar wordt.
- Elke afdeling bepaalt zelf welke entiteitstypen bij haar worden gemaskeerd — naam, identiteitsnummer, telefoon, adres en meer
- Een entiteitstype dat het systeem niet kent, wordt standaard gemaskeerd in plaats van per ongeluk zichtbaar te blijven
- Na een instellingswijziging kan de herkenning opnieuw over oude gesprekken worden gedraaid, zodat het verleden overeenkomt met het heden
- De maskering geldt zowel voor transcripten als voor exports — een CSV die de organisatie verlaat, kan gemaskeerd naar buiten gaan
Verwijderingsverzoeken — de volledige werkwijze
Een burger die om verwijdering van zijn gegevens vraagt, hoort geen genoegen te hoeven nemen met een mondelinge toezegging. Een verwijderingsverzoek is in het systeem een vastgelegde handeling die kan draaien over één gesprek, over alle gesprekken vanaf een bepaald telefoonnummer, of over een datumbereik en een zaakkenmerk — en dit is wat er feitelijk gebeurt:
- Identificatiegegevens van de beller — telefoonnummer, zaakkenmerk, naam — worden in het gespreksrecord leeggemaakt
- Elk fragment dat in het transcript als persoonsgegeven is herkend, wordt vervangen door een blok en blijft niet in de tekst staan
- De herkenningsposities zelf worden gewist, zodat wat verborgen was er niet uit gereconstrueerd kan worden
- De verwijzing naar de opname wordt leeggemaakt, zodat afspelen veilig mislukt en er niets klinkt
- Het gesprek wordt gemarkeerd als verwerkt, met een stempel van wie het uitvoerde, wanneer, en het referentienummer
Aan het einde van het proces wordt een referentienummer in een vast formaat op het record gezet. Dat is het nummer dat de burger krijgt, en het is ook waarmee u achteraf kunt aantonen dat het verzoek is afgehandeld, wanneer en door wie. Tegelijk wordt voor elk geraakt gesprek een regel in het auditlog geschreven — niet één regel per verzoek, maar één regel per aangeraakt record.
Wie ziet wat
Rechten worden per rol toegekend, niet op basis van vertrouwen. Opnamen zijn het scherpste geval: in audio bestaat geen maskering — een stem is een stem — dus de toegang is beperkt tot de rollen die hem nodig hebben, en een afdeling die het beluisteren ook voor alleen-lezen gebruikers wil openstellen, moet dat bewust aanzetten. Gevoelige handelingen worden weggeschreven naar een controleerbaar auditlog.
- Aparte rollen voor een beheerder, een kwaliteitsbeoordelaar en een meekijker — en ze zien niet allemaal hetzelfde
- Het beluisteren van opnamen staat open voor beheerders en beoordelaars; het openstellen voor meekijkers is een aparte, bewuste instelling per afdeling
- Gevoelige handelingen — verwijderen, exporteren, instellingen wijzigen — worden vastgelegd met de uitvoerder en een tijdstempel
- Exports doorlopen dezelfde rechtencontroles en dezelfde vastlegging als het bekijken binnen het systeem
Drie implementatievormen
Hetzelfde systeem, drie verschillende antwoorden op de vraag «hoeveel van de buitenwereld raakt deze gegevens aan». De keuze is aan u, niet aan ons.
Multitenant cloud
De snelle route. Wij draaien het systeem en de gegevens van elke organisatie zijn van alle andere gescheiden. Geschikt voor bedrijven die niet onder regelgeving vallen die zeggenschap over de infrastructuur voorschrijft. Sommige modeldiensten zijn in deze vorm externe diensten — en dat zeggen we onomwonden, want juist dat kan een gereguleerde instantie niet accepteren.
Hybride opzet
Het datavlak — database, opnamen, de maskeringslaag en de veiligheidsbegrenzingen — staat op infrastructuur die u beheert, terwijl de modellen zelf op afzonderlijke, met u afgesproken dedicated hardware draaien. Een bewust compromis: goedkoper dan een volledige installatie op eigen locatie, maar niet passend bij elke gegevensclassificatie — en we zeggen u wanneer niet.
Volledig op eigen locatie
Het hele systeem draait binnen uw perimeter, modelgewichten inbegrepen — spraakherkenning, taalmodel en spraaksynthese. In de praktijk: geen enkel audiofragment en geen enkel transcript verlaat uw netwerk richting welke externe aanbieder dan ook, ook niet richting ons. Dit is de vorm die is gebouwd voor overheidsinstanties en gereguleerde organisaties, en ze wordt ook ondersteund in een van het externe netwerk afgesloten omgeving.
Afstemmingswerk met הנחיה 5.43 (Israëlische richtlijn voor informatiebeveiliging)
Voor Israëlische overheidsinstanties is de informatiebeveiligingsrichtlijn הנחיה 5.43 het referentiekader dat werkelijk telt — niet SOC 2. Wij voeren afstemmingswerk uit tegen de eisen daarvan: rolgebaseerde toegangscontrole, vastlegging van handelingen in een auditspoor, minimalisering van persoonsgegevens via de maskeringslaag, en de mogelijkheid om elk onderdeel binnen het eigen netwerk van de organisatie te draaien. Om precies te zijn: afstemmingswerk is geen goedkeuring en geen accreditatie, en wij leggen geen goedkeuring van welke autoriteit dan ook over. Het verschil tussen die twee lopen we graag artikel voor artikel met uw informatiebeveiligingsfunctionaris door.
Wat u ons zou moeten vragen
Beoordeelt u leveranciers in dit veld, dan zijn dit de vragen die een beveiligingspagina van een product scheiden. Stel ze ook aan ons.
- Werkt de maskering van persoonsgegevens echt op het Hebreeuws, of is het een Engelse engine die op Hebreeuwse tekst is losgelaten?
- Wat gebeurt er precies met een record na een verwijderingsverzoek — en wat blijft er over om aan te tonen dat de verwijdering heeft plaatsgevonden?
- Is de opname bereikbaar voor dezelfde mensen als het transcript, of zijn die twee gescheiden?
- Als wij eisen dat gegevens ons netwerk nooit verlaten: draaien de modellen dan bij ons, of alleen de database?
- Welke formele certificeringen bezit u werkelijk, en welke daarvan is relevant voor de standaard waaraan ik moet voldoen?
Bel de AI-agent nu
Een echt telefoongesprek, in het Hebreeuws. Precies wat uw bellers te horen krijgen.
Laat de AI-agent u bellen
Laat een nummer achter — de agent belt binnen een minuut terug.
Bijgewerkt: