1. Inleiding en contactgegevens

Dit privacybeleid is bedoeld om betrokkenen transparant en volledig te informeren over de manier waarop Pamela AI Holding B.V. (hierna: "Pamela", "we" of "ons") persoonsgegevens verwerkt, in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG), toepasselijke Nederlandse uitvoeringswetten en andere relevante wetgeving op het gebied van gegevensbescherming binnen de Europese Economische Ruimte (EER).

Pamela is gevestigd in Nederland en biedt een door AI aangedreven klinische documentatie-assistent voor zorgprofessionals. Pamela combineert omgevingsgeluid ('ambient listening') met real-time input van de arts om gepersonaliseerde medische verslagen te maken. We respecteren de privacy van onze gebruikers en gaan uiterst zorgvuldig om met persoonsgegevens.

Voor vragen of verzoeken kun je contact opnemen met: security@pamelahealth.com

2. Functionaris voor Gegevensbescherming (FG)

Pamela heeft een Functionaris voor Gegevensbescherming aangesteld die toezicht houdt op de naleving van de privacywetgeving. Je kunt de FG bereiken via: security@pamelahealth.com

3. Definities

De begrippen in dit beleid hebben dezelfde betekenis als gedefinieerd in artikel 4 van de AVG.

4. Toepassingsgebied

Dit beleid is van toepassing op elke verwerking van persoonsgegevens door of onder verantwoordelijkheid van Pamela, al dan niet geautomatiseerd of opgenomen in (of bestemd om te worden opgenomen in) een bestand.

5. Doeleinden van de verwerking

Pamela verwerkt persoonsgegevens uitsluitend voor specifieke, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, waaronder:

Het leveren van AI-gestuurde klinische documentatiediensten, inclusief ambient listening, transcriptie en verbetering van verslagen;

Het optimaliseren van de gebruikerservaring en het verbeteren van de softwareprestaties;

Klantondersteuning, inclusief het beantwoorden van vragen en klachten;

Interne administratie, beveiliging en naleving van wettelijke verplichtingen;

Het waarborgen van de veiligheid van onze infrastructuur en diensten.

6. Rechtsgronden

Pamela verwerkt persoonsgegevens op basis van ten minste één van de volgende rechtsgronden:

Uitvoering van een overeenkomst waarbij de betrokkene partij is;

Naleving van een wettelijke verplichting die op Pamela rust;

Gerechtvaardigde belangen van Pamela of een derde, mits deze belangen niet zwaarder wegen dan de rechten en vrijheden van de betrokkene;

Je uitdrukkelijke, geïnformeerde en ondubbelzinnige toestemming.

7. Bron van persoonsgegevens

Persoonsgegevens die door Pamela worden verwerkt, worden rechtstreeks van jou, je werkgever of zorgorganisatie verzameld, of gegenereerd door je gebruik van onze software.

8. Categorieën persoonsgegevens

Afhankelijk van je gebruik van onze diensten, kunnen we de volgende categorieën persoonsgegevens verwerken:

Identificatiegegevens (bijv. naam, e-mailadres, IP-adres, apparaatgegevens);

Audiobestanden, transcripten en door AI verbeterde klinische verslagen;

Technische metadata en gegevens over gebruikersinteractie;

Gezondheidsgegevens (Artikel 9 AVG) als onderdeel van klinische consulten die via de dienst worden verwerkt.

9. Gevoelige gegevens

De diensten zijn ontworpen voor gebruik door zorgprofessionals en omvatten de verwerking van gezondheidsgegevens (Artikel 9 AVG). Pamela verwerkt dergelijke gegevens onder passende technische en organisatorische waarborgen, waaronder encryptie, toegangscontroles en verwerkersovereenkomsten. Patiëntidentificatoren worden gepseudonimiseerd — Pamela werkt met identificatienummers uit het EPD-systeem van de behandelaar en genereert of bewaart geen directe contactgegevens van patiënten. De klant is er zelf verantwoordelijk voor dat er een geldige rechtsgrond is voor de verwerking van gevoelige gegevens via de diensten.

10. Delen met derden

We schakelen derden in voor gegevensverwerking om onze diensten te ondersteunen. Deze partijen treden op als verwerkers onder de verantwoordelijkheid van Pamela en verwerken gegevens uitsluitend op basis van onze instructies:

AWS (EU-regio's) voor hosting en infrastructuur

AWS Bedrock voor AI-model hosting en inferentie

Anthropic (Claude) voor AI-gestuurde verbetering van verslagen, toegankelijk via AWS Bedrock

Deepgram for transcriptie

ElevenLabs voor spraakverwerking

Eigen modellen voor audio- en spraakverwerking

Alle verwerkers beschikken over actuele beveiligingscertificeringen zoals ISO 27001 en/of SOC 2. Pamela streeft ernaar ISO 27001 en NEN 7510 compliant te zijn en zit momenteel in het certificeringstraject. Een actuele lijst met subverwerkers is op aanvraag beschikbaar.

Verwerking buiten de EER vindt alleen plaats met passende waarborgen in overeenstemming met Artikel 46 AVG.

11. Bewaartermijn

Persoonsgegevens worden niet langer bewaard dan noodzakelijk is voor de doeleinden waarvoor ze zijn verzameld:

Accountgegevens: tot 30 dagen na beëindiging van het account;

Audio-opnames: veilig en versleuteld opgeslagen op infrastructuur binnen de EU met strikte toegangscontroles;

Transcripten en klinische verslagen: de standaard bewaartermijn is 90 dagen, tenzij anders overeengekomen.

Na het verstrijken van de termijn worden de gegevens verwijderd of geanonimiseerd.

12. Rechten van betrokkenen

Onder de AVG heb je de volgende rechten:

Recht op inzage in je gegevens;

Recht op rectificatie of aanvulling;

Recht op gegevenswissing ('recht om vergeten te worden');

Recht op beperking van de verwerking;

Recht op overdraagbaarheid van gegevens;

Recht om bezwaar te maken tegen de verwerking;

Recht om niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming.

Om deze rechten uit te oefenen, kun je contact opnemen via security@pamelahealth.com. We reageren binnen een maand nadat we je identiteit hebben geverifieerd.

13. Weigering of beperking van verzoeken

Pamela kan een verzoek in specifieke gevallen weigeren of beperken, waaronder:

Wanneer dit noodzakelijk is voor de nationale of openbare veiligheid;

Voor de voorkoming, opsporing of vervolging van strafbare feiten;

In het kader van lopende gerechtelijke procedures;

Wanneer verzoeken buitensporig of herhalend zijn.

14. Klachten

Als je niet tevreden bent met onze reactie, kun je een klacht indienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl.

15. Gegevensbeveiliging

Pamela treft passende technische en organisatorische maatregelen, waaronder:

Versleuteling van gegevens in rust (AES-256) en in transit (TLS);

Op rollen gebaseerde toegangscontrole (RBAC) met volledige auditlogging;

Hosting uitsluitend in AWS-datacenters binnen de EU;

Geheimhoudingsverplichtingen voor al het personeel en externe partijen;

Achtergrondscreening van al het personeel met toegang tot gegevens, inclusief verificatie van een VOG (Verklaring Omtrent het Gedrag);

Regelmatige beveiligingsaudits en trainingen voor het personeel.

Pamela is ISO 27001 en NEN 7510 compliant en zit momenteel in het certificeringstraject.

16. Klinische documentatie — Geen klinische besluitvorming

Pamela is een AI-assistent voor klinische documentatie. Pamela vervangt het professionele klinische oordeel niet. Alle resultaten moeten vóór gebruik door de zorgprofessional worden gecontroleerd. Pamela geeft geen medisch advies, diagnoses of behandelingsaanbevelingen. Het gebruik van de resultaten voor klinische besluitvorming is volledig voor eigen verantwoordelijkheid van de zorgprofessional.

17. Aansprakelijkheid

De output van Pamela (zoals transcripten en verbeterde klinische verslagen) wordt gegenereerd via geautomatiseerde verwerking. Hoewel we streven naar een hoge nauwkeurigheid, garanderen we geen foutloze of volledige resultaten. Pamela is een documentatie-assistent, geen medisch hulpmiddel. Het gebruik van deze output in klinische documentatie is volledig voor eigen verantwoordelijkheid van de gebruiker. Pamela is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze gegevens.