Wat wij kunnen lezen, en wat niet
In gewone woorden: wat op slot gaat, wie de sleutel heeft, en wat er gebeurt als u die kwijtraakt.
Wat vertrouwelijk blijft
Wij kunnen uw sessieverslagen niet lezen
Wat u over een sessie schrijft, wordt op uw eigen computer op slot gedaan voor het vertrekt. Wij bewaren alleen het slot, niet de sleutel. Collega’s aan wie u toegang geeft, kunnen de verslagen van de praktijk lezen.
Uw persoonlijke notities zijn alleen voor u
Geen collega, niet de eigenaar van de praktijk, en ook wij niet.
Wat wij wel zien
Namen, contactgegevens, administratieve notities en de agenda zelf. Die hebben we nodig om uw agenda te tonen en herinneringen te sturen. Geen andere praktijk krijgt ze ooit te zien.
Als u uw wachtwoord vergeet
U kunt altijd opnieuw aanmelden
Vraag een nieuw wachtwoord aan op de aanmeldpagina. Wij sturen een link naar uw e-mailadres.
Een nieuw wachtwoord opent uw oude notities niet
Die zitten op slot met uw oude wachtwoord. Schiet het u later weer te binnen, dan gaat alles opnieuw open.
Blijft het weg, dan kunt u opnieuw beginnen, en zijn uw persoonlijke notities definitief weg. Niemand kan ze terughalen, ook wij niet.
De verslagen van de praktijk gaan niet verloren
Een collega geeft u opnieuw toegang, of de eigenaar gebruikt de herstelsleutel van de praktijk: een code die één keer getoond wordt bij het instellen, om af te drukken en veilig op te bergen.
Is ook die code kwijt, en kan niemand anders de dossiers nog openen, dan zijn de verslagen niet meer te herstellen. Wat wij niet kunnen lezen, kunnen wij ook niet terugzetten.
Wie binnenkomt
De ene praktijk ziet de andere nooit
Uw patiënten en uw agenda zijn zichtbaar binnen uw eigen praktijk, nooit in een andere.
Een code van uw smartphone, als u dat wilt
Voeg een authenticator-app toe, en bij het aanmelden vragen we ook de code van 6 cijfers die de app toont.
Alles wordt bijgehouden
Wie aanmeldde, wie boekte en wie annuleerde. Niemand kan dat achteraf aanpassen, en u kunt het nalezen.
Als u vertrekt
Neem een kopie mee
Uw afspraken als bestand dat elke kalender opent, en voor elke patiënt een kopie van zijn dossier.
Verwijderd is verwijderd
Wordt uw account afgesloten, dan verdwijnen uw gegevens uit ons systeem.
Een praktijk die alleen van u is, moet eerst overgedragen of leeggemaakt worden.
Wat nog niet gebouwd is
Wat u verwijdert, verdwijnt meteen uit het systeem, maar niet uit back-ups die al gemaakt waren. En een verwijderde notitie is echt weg, niet doorgehaald; of een patiëntendossier dat mag toelaten, moeten we nog beslissen.
Voor wie het technisch wil weten
- Verslagen en notities worden in de browser versleuteld met AES-256-GCM, met sleutels die via Argon2id (64 MiB, 3 passes, 4 lanes) uit het wachtwoord afgeleid worden. De server bewaart alleen versleutelde tekst en ingepakte sleutels.
- Elk account heeft een P-256-sleutelpaar. De praktijksleutel wordt ingepakt voor elk lid dat toegang kreeg en voor de herstelsleutel, waarvan het private deel de server nooit bereikt.
- Praktijken zijn gescheiden door row-level security in PostgreSQL, afgedwongen op elke tabel, voor een applicatierol die niets bezit en er niet omheen kan.
- Aanmeldwachtwoorden worden bewaard als Argon2id-hashes. Een fout wachtwoord en een onbekend adres kosten evenveel werk om te beantwoorden.
- Aanmeldsessies veranderen bij elk gebruik. Een oude opnieuw aanbieden trekt de hele reeks in en komt in het logboek.
- Het activiteitenlogboek kan alleen aangevuld worden, afgedwongen door een trigger in de databank. De enige toegestane wijziging is een naam vergeten wanneer een account gewist wordt.
- Een test vraagt de databank welke kolommen een persoon noemen, en controleert elk ervan na een wissing.