Trust Centre

Aantoonbaar

Werkende controls + baseline-assessment + Quickscan-dashboard in de Compliance-module. Curanta is niet gecertificeerd: Curanta streeft naar certificering en het traject is in voorbereiding.

Aantoonbaar

Gegevens van een organisatie dragen haar kenmerk, en op elk gegeven met dat kenmerk filtert de databank vanzelf naar de organisatie van de gebruiker. Zo wordt in de code voorkomen dat een organisatie gegevens van een andere te zien krijgt.

Aantoonbaar

Elke admin-actie (rol-wijziging, modulekeuze, governance) wordt bewaard en is via /admin/audit-trail in te zien.

Aantoonbaar

Ingericht sinds 21 oktober 2026. De database, de bijlagen, foto's en spraakberichten en de back-ups staan versleuteld opgeslagen (volumeversleuteling op de server); het wachtwoord van dat volume staat niet op de server. Het BSN is daarnaast op veldniveau versleuteld; zie Privacy. Elke dag gaat er bovendien een versleutelde kopie naar een plek buiten de server, in de EU.

Aantoonbaar

Versleutelde verbindingen (TLS 1.2 of hoger) zijn verplicht en de browser krijgt de opdracht niets anders te gebruiken (HSTS); een gewone verbinding wordt naar HTTPS omgeleid.

Aantoonbaar

Een onveranderbaar logboek per organisatie, waarin elke regel de vingerafdruk (SHA-256) van de vorige draagt; regels die tegelijk binnenkomen worden na elkaar vastgelegd. Een controle stelt vast of een regel is gewijzigd, ontbreekt of niet aansluit.

Aantoonbaar

Tweestapsverificatie met een code uit een app (TOTP volgens RFC 6238: SHA-1, 30 seconden, 6 cijfers) en eenmalige herstelcodes per gebruiker, opgeslagen in de database. Instellen gaat via /beveiliging/tweestapsverificatie, met een QR-code op het scherm. Een verkeerde code telt mee voor de tijdelijke blokkering na herhaalde pogingen.

Op roadmap

Curanta streeft naar certificering, in één traject met NEN 7510. Vraagt een externe audit door een certificerende instelling.

Op roadmap

Een externe pentest door een onafhankelijke partij is nog niet uitgevoerd. Het rapport is na uitvoering op aanvraag beschikbaar.

Aantoonbaar

Een Cbw-module voor de zorgaanbieder. Meldplicht: incidentregister met de termijnen van 24 uur, 72 uur en één maand na de incidentmelding; Curanta meldt niet zelf bij het CSIRT. Zorgplicht: de tien onderwerpen van art. 21 lid 2 met stand, bewijs en eigenaar, in één registratie. Bestuur: de vaststelling van de maatregelen door het bestuur als onwijzigbare momentopname met opdrachten, de NCSC-registratie, en een rapportage als pdf, zonder score. Toeleveringsketen: een leveranciersregister met beoordeling, waarin Curanta zelf vooringevuld staat. Opleiding van bestuurders wordt geregistreerd; Curanta biedt geen opleiding aan. De Cyberbeveiligingswet geldt sinds 15 augustus 2026.

Aantoonbaar

Verwerkingsregister, audit-trail op admin-acties, recht-van-inzage flow (op aanvraag) zijn beschikbaar.

Aantoonbaar

Een DPIA-module met beoordelingen, verwerkingsactiviteiten en een vaste werkwijze per nieuwe module.

Aantoonbaar

Op /trust/dpa.pdf maakt Curanta direct een verwerkersovereenkomst als pdf, met de naam en het KvK-nummer van uw organisatie erin: een sjabloon van 8 artikelen volgens de modelovereenkomst van de AP.

Aantoonbaar

Systeem-breed register op /trust/subverwerkers conform AVG art. 28 lid 2. Wijzigingen voert alleen Curanta door; beheerders van een organisatie zien op /admin/subverwerkers ook de beëindigde subverwerkers.

Aantoonbaar

AES-256-GCM op veldniveau. Het BSN in het cliëntdossier met één sleutel voor het platform; het BSN in onder meer Zvw-declaratie, kraamzorg en jeugdzorg met een per organisatie afgeleide sleutel (HKDF) en de organisatie-id als AAD. De sleutels staan niet in de database maar als geheime omgevingsvariabelen op de server; een productieserver zonder eigen sleutels start niet.

Aantoonbaar

Eén wisopdracht voor het hele platform, met een wisstap in elke module met gegevens van de organisatie (bewaakt door een test). Via /admin/tenant-erasure, met dubbele bevestiging en een controle die wissen bij een andere organisatie tegenhoudt. Het NEN 7513-toegangslogboek over een cliënt blijft zolang diens dossier bestaat en wordt gewist wanneer het dossier wordt vernietigd.

Aantoonbaar

Een ZIP-export van de hele organisatie: elke module met gegevens van de organisatie levert een sectie, één JSON-bestand per tabel met alle kolommen, en de bestanden waarnaar de rijen verwijzen (bijlagen, foto's, spraakberichten). Een test legt de export naast het datamodel. Het BSN alleen als laatste vier cijfers en hash. Een eigen bevoegdheid (taakrol Organisatie-export, niet vanzelf bij de beheerder); klokkenluidersmeldingen, crisis-escalaties en de toegangssignalering staan niet in de gewone export maar in een aparte ZIP voor de vertrouwenspersoon resp. de aangewezen functionaris; het collega-netwerk en de lotgenotenfunctie staan in geen enkele export (alleen voor de medewerker zelf). Een inhoudsopgave met de onderdelen en een tijdstempel maakt de export later na te gaan.

Aantoonbaar

Bewaartermijnen per dossier, met een achtergrondtaak die ze bewaakt: een cliëntdossier wordt gearchiveerd, met een auditregel, zodra de bewaartermijn is verlopen.

In afronding

De BgZ- en de eOverdracht-bundel worden uit het dossier opgebouwd in FHIR R4 en in de tests gevalideerd tegen de Nictiz-profielen (nl-core 0.12.1-beta.1); medicatie volgt FHIR R4 zonder Nictiz-profiel. Nog niet alle zibs worden gevuld. De read-only BgZ-document-API is gebouwd; een sandbox is er nog niet.

In afronding

BgZ-bundel en eOverdracht-bundel uit het dossier gebouwd; verzenden via Nuts nog niet.

In afronding

Toestemming per cliënt vastleggen is gebouwd. Bevragen via het Landelijk Schakelpunt vraagt een VZVZ-aansluittraject en UZI-certificaten; die zijn er nog niet.

In afronding

Interne BgZ-bundelbrug gebouwd. Uitwisseling met een persoonlijke gezondheidsomgeving vraagt deelnemerschap bij Stichting MedMij, een PKIoverheid-certificaat en een conformiteitstest; die zijn er nog niet.

In afronding

Inloggen met de UZI-pas is gebouwd: Curanta leest de pas uit, controleert de certificaatketen en de intrekking (is die niet vast te stellen, dan geen toegang), en een beheerder koppelt een pas aan een gebruiker. Beschikbaar zodra de UZI-hostnaam op de server is ingericht; dat is nog niet gebeurd. De eindtest met een echte UZI-pas doen we bij de eerste klant.

In afronding

Digitaal ondertekenen via DocuSign is gebouwd; voor gebruik in productie is alleen de sleutel van DocuSign nodig, als geheime omgevingsvariabele op de server.

In afronding

Een publieke, read-only FHIR R4 BgZ-document-API is gebouwd, met SMART Backend Services voor vooraf geregistreerde systeemclients. Dit is geen generieke FHIR-server; er is nog geen publieke sandbox of self-service registratie.

Aantoonbaar

Export van de hele organisatie naar ZIP (JSON per tabel, met de bestanden) via /admin/tenant-export.zip; de vertrouwelijke delen in aparte ZIP's voor de vertrouwenspersoon en de toegangssignalering. De gegevens van één cliënt via het inzageverzoek in het ECD.

Aantoonbaar

De applicatie, de databases en de bestanden draaien op een server in Duitsland (EU); curanta.nl en de mailserver ook. Wie de hostingpartij is, staat in het subverwerkersregister. Buiten de EER, en alleen als de functie aan staat: Anthropic (gepseudonimiseerde promptinhoud, alleen met een geconfigureerde AI-sleutel en voor een organisatie die zelf voor Anthropic kiest, onder SCC 2021/914) en DocuSign (digitaal ondertekenen). Zie het subverwerkersregister.

Aantoonbaar

Een controleadres (/health/ready) dat de database, de koppelingen en de taak voor de bewaartermijnen nagaat.

Aantoonbaar

Live status per onderdeel op /status, gevoed door dezelfde controles. Die pagina draait op dezelfde server als Curanta en valt bij uitval mee weg.

Op roadmap

Controle van buitenaf op de drie hosts, met een statuspagina die bereikbaar blijft als de server uitvalt. Gebouwd, nog niet ingericht.

Aantoonbaar

Een offline kopie in het medewerkerportaal, een versleuteld noodoverzicht (pdf) met de medicatie van de dag in de backoffice, en een noodprocedure voor de organisatie: docs/help/admin/noodprocedure.md.

Op roadmap

Doel in onze voorwaarden: 99,9% op kantooruren. Nog geen gemeten historie: er draait nog geen zorgorganisatie in productie.

Aantoonbaar

Sinds 27 oktober 2026 gaat er elke dag een versleutelde kopie van de databank, de sleutels en de bijlagen naar een plek buiten de server, in de EU. Een kopie telt pas als de ontvangst is bevestigd.

Aantoonbaar

Geslaagd op 28 oktober 2026: de kopie van buiten de server is op een aparte machine gecontroleerd, ontsleuteld en teruggezet, en binnen twee minuten stond de databank weer.

In afronding

Doel in onze voorwaarden: RPO 1 uur, RTO 4 uur. De databank houdt een doorlopend archief van wijzigingen bij, met een volledige back-up, en elke dag gaat er een versleutelde kopie naar een plek buiten de server. De dienst draait op één server, zonder uitwijklocatie. Doc: docs/help/admin/rpo-rto.md.

Aantoonbaar

Export via /admin/tenant-export.zip, daarna vernietiging via /admin/tenant-erasure; de werkwijze staat in de help van Curanta, onder Exit-procedure. Het vernietigingscertificaat wordt nog met de hand opgesteld.

Op roadmap

Vraagt een waarnemingsperiode van 6 tot 12 maanden en een externe audit. Start na het ISO 27001-traject: de maatregelen van SOC 2 Type II overlappen met die van ISO 27001.

Aantoonbaar

Uw toelating vastleggen en de termijn van 31 mei voor de jaarverantwoording bewaken, in de Wtza-module.

Aantoonbaar

De halfjaarlijkse aanlevering aan de IGJ (XML) uit de Wzd/Wvggz-module; het stappenplan met escalatie.

Aantoonbaar

Uw eigen toelating en de organisaties aan wie u uitleent vastleggen, en bij inlenen de toelating van de uitlener controleren met bewijs, datum en een taak bij elke nieuwe overeenkomst of verlenging. De controle zelf doet u in het register van de NAU; de Wtta geldt vanaf 1 januari 2027.

Aantoonbaar

Klachtenregistratie met een vaste afhandeling en een jaarrapport als pdf.

Aantoonbaar

Toets op het uurtarief (rechtsvermoeden van een arbeidsovereenkomst) en op gezag.

Aantoonbaar

De DPIA-module vraagt een beoordeling voordat een module met een hoog risico wordt aangezet.

Aantoonbaar

De AI Act-module: een register per AI-systeem met de risicoklasse (verboden, hoog, beperkt of minimaal), het domein uit Annex III, conformiteitsverklaring + risicobeoordeling. Curanta's eigen AI-functies zijn per module geclassificeerd; alleen de matching van kandidaten op een vacature valt onder Annex III punt 4 (werving en selectie); een score beslist niets, een medewerker beoordeelt elke kandidaat zelf. In het register, met een taalmodel via de AI-gateway: Curanta-Coach (SOEP-rapportage), CAO-assistent, Kennisassistent (protocollen en werkinstructies), Lekentaal-herformulering zorg- en ondersteuningsplan, SMART-doelvoorstel zorgplan, Samenvatting dienstoverdracht, Kandidaat-matching, CV-inlezen bij sollicitatie, Zorgplan-templatesuggestie. Zonder taalmodel, voor de volledigheid ook in het register: Vraagvoorspelling zorg-uren, Signalering declaraties en rooster, Planningsmeldingen, Spraakgestuurde invoer.

Aantoonbaar

Centrale AI-gateway redigeert uitgaande promptinhoud (BSN, datums, postcodes, telefoonnummers, e-mailadressen en IBAN's, en de namen die een functie als gevoelig opgeeft → pseudoniemen) en weigert fail-closed bij een resterende treffer; auditspoor legt promptstempel, model, herkomst en tokenverbruik vast, niet de inhoud. Alle functies met een taalmodel uit het register hierboven lopen via deze gateway; modules kennen provider noch API-sleutel. Zonder geconfigureerde sleutel verlaat er geen promptinhoud het platform.

Aantoonbaar

Een organisatie zet op het beheerscherm AI als geheel uit; dan stuurt de gateway voor haar niets meer naar een taalmodel, ook niet voor functies die later bijkomen. Elke wijziging heeft een reden en staat in een spoor. Het auditspoor legt per aanroep aanbieder en regio vast.

In afronding

Standaard gaan de AI-functies naar Mistral AI (EU); een organisatie kan Anthropic (VS) kiezen. Er gaat nooit een aanroep van de ene aanbieder naar de andere; werkt de gekozen aanbieder niet, dan valt de functie terug op haar vaste regels. De route via Mistral AI is in gebruik sinds 16-10-2026, met zero data retention en zonder training op uw gegevens; de verwerkersovereenkomst wordt nog juridisch getoetst.

Aantoonbaar

De medewerker geeft zijn voorkeuren voor beschikbaarheid op, biedt diensten ter ruil aan en meldt zich voor open diensten. De planner keurt altijd goed (met een toets aan de cao). Verlopen aanbiedingen verdwijnen elk kwartier vanzelf.

Aantoonbaar

Een dossier voor fysiotherapeut, ergotherapeut, logopedist, diëtist en psycholoog: behandelcontracten met het toegekende aantal en een melding bij overschrijding, ICF-doelen (WHO 2001) met nulmeting en streefwaarde, en behandelsessies met SOEP en declarabele minuten per kwartier.

Aantoonbaar

Storten en opnemen worden alleen toegevoegd, nooit gewijzigd; bedragen in centen, zodat er niets wegrondt; een maandrapport (CSV) voor de bewindvoerder. Wordt een cliënt vergeten (AVG art. 17), dan worden zijn persoonsgegevens gepseudonimiseerd; het saldo blijft voor de fiscale bewaarplicht van zeven jaar.

Aantoonbaar

Een beveiligde HTTPS-koppeling per leverancier (Mextal, Ascom, Sensara, CLB, CarePhone), die elk bericht toetst aan een gedeeld geheim. Elk alarm krijgt één vaste vorm, met het oorspronkelijke bericht erbij voor nader onderzoek. Een nieuw apparaat wordt vanzelf geregistreerd.

Aantoonbaar

Een installeerbare web-app voor mantelzorgers (iOS, Android, desktop) die zonder verbinding een eigen pagina toont, met pushmeldingen voor taken, berichten en nieuws in het levensboek. De meldingen gaan rechtstreeks via Web Push (W3C) met eigen sleutels, zonder tussenpartij.