Data & Veiligheid

RBAC (Role-Based Access Control) is een manier om toegang tot een systeem te regelen op basis van rollen en verantwoordelijkheden. In plaats van dat iedere gebruiker overal bij kan, krijgt iemand alleen toegang tot die onderdelen die nodig zijn voor het eigen werk. Dit wordt ook wel het principe van minimale rechten genoemd.

Een voorbeeld buiten Legal Mind: in een ziekenhuis kan een arts patiëntendossiers inzien en aanpassen, maar geen financiële administratie raadplegen. Een medewerker van de financiële afdeling kan juist facturen verwerken, maar geen medische gegevens bekijken. Zo wordt informatie afgeschermd en risico op misbruik of fouten beperkt.

Bij Legal Mind passen wij hetzelfde principe toe:

Juristen en advocaten (klanten): zij hebben toegang tot hun eigen dossiers, documenten en AI-gegenereerde conceptteksten. Zaken die zij niet nodig hebben, zoals technische instellingen of systeembeheer, blijven volledig afgesloten.

Legal Mind-systeembeheerders (technici): zij hebben toegang tot de infrastructuur, bijvoorbeeld om onderhoud uit te voeren, updates te installeren of een storing te verhelpen. Maar zij hebben geen toegang tot inhoudelijke dossiers of cliëntgegevens.

Om dit veilig te organiseren werken wij met twee lagen van beveiliging:

Auth0 (Okta) – regelt wie er kan inloggen en toegang krijgt tot het platform. Alleen geverifieerde accounts komen binnen.

Azure RBAC – bepaalt wat iemand binnen het platform mag doen of zien. Een jurist kan een dossier openen, een systeembeheerder kan een update draaien, maar niemand krijgt meer rechten dan strikt noodzakelijk.

Deze combinatie zorgt voor een duidelijke scheiding tussen toegang tot het systeem en toegang tot de data. Daardoor is geborgd dat de inhoud van cliëntdossiers en AI-documenten altijd privé blijft, terwijl het platform veilig en betrouwbaar wordt beheerd.

Nee. Legal Mind heeft geen toegang tot uw klantgegevens. Onze systemen zijn zo ingericht dat alleen de vragen aan de juridisch onderzoeksassistent-module zichtbaar zijn. Deze bevatten doorgaans geen gevoelige data. Encryptie en contractuele verplichtingen garanderen dat uw gegevens ontoegankelijk blijven voor ons team.

Ja. Legal Mind verwerkt wel metadata, zoals bestandsnamen, datum van upload, omvang van documenten of het aantal keren dat een module wordt gebruikt. Deze informatie is nodig om het platform goed te laten functioneren, maar bevat géén inhoudelijke gegevens van dossiers of cliëntdocumenten. Metadata wordt niet als gevoelige informatie beschouwd, omdat er geen vertrouwelijke inhoud uit kan worden afgeleid. Uiteraard wordt ook deze metadata versleuteld opgeslagen en conform de AVG verwerkt.

Uw gegevens worden altijd versleuteld opgeslagen en verstuurd. Tijdens transport tussen uw apparaat en onze servers wordt minimaal TLS 1.2 gebruikt (waar mogelijk TLS 1.3).

Ontsleuteling vindt uitsluitend plaats wanneer dit technisch noodzakelijk is om gegevens tijdelijk te verwerken in de taalmodellen. Dit gebeurt volledig geautomatiseerd binnen beveiligde Microsoft Azure-datacenters in Europa. Toegang is alleen mogelijk na succesvolle authenticatie (zoals wachtwoord en MFA).

Medewerkers van Legal Mind of Microsoft hebben geen toegang tot de inhoud van uw gegevens. Technische maatregelen (RBAC, logging, encryptie) en contractuele verplichtingen (AVG en verwerkersovereenkomst) garanderen dat uw informatie vertrouwelijk blijft.

Het encryptie- en ontsleutelingsproces is volledig geautomatiseerd en vindt uitsluitend plaats binnen Microsoft Azure-datacenters in Europa. Microsoft beheert de sleutels in gecertificeerde Hardware Security Modules (HSM's).

Legal Mind bepaalt toegangs- en authenticatieprocedures (zoals RBAC en MFA), maar heeft geen directe toegang tot de sleutels. Microsoft kan deze sleutels evenmin gebruiken om gegevens in te zien. Internationale standaarden (ISO 27001, ISO 27018, SOC 1/2/3) en de AVG waarborgen de veiligheid.

Voor login en identity management maakt Legal Mind gebruik van Auth0 (Okta). Dit draait volledig binnen de EU (primair Frankfurt, back-up in Dublin) en voldoet aan ISO 27001, multi-factor authenticatie en SSO via SAML 2.0.

Auth0 (Okta) wordt wereldwijd toegepast door grote organisaties zoals Siemens, Slack en T-Mobile, en geldt als een van de meest vertrouwde oplossingen voor veilige toegang.

In opzet verschilt Legal Mind niet van een modern intern DMS: wij beheren de infrastructuur, u beheert de inhoud. Met EU-hosting, end-to-end encryptie en strikte toegangsbeperking (RBAC) blijft cliëntinformatie afgeschermd en onder uw regie.

Alle medewerkers van Legal Mind hebben een contractuele geheimhoudingsplicht. Daarnaast geldt:

- Legal Mind gebruikt cliëntgegevens niet voor training van AI-modellen.

- De AI-output is altijd traceerbaar naar de geraadpleegde bronnen en staat onder menselijk toezicht van de jurist.

- Legal Mind heeft geen eigendom over uw inhoud.

Alleen als u in uw opdrachtbevestigingen of kantoorbeleid expliciet AI-verwerking (LLM) uitsluit, dient u daarvoor toestemming te vragen aan uw cliënt voordat u de AI-functionaliteiten gebruikt. In alle andere gevallen sluit onze werkwijze aan bij de zorgvuldigheidseisen voor vertrouwelijke cliëntgegevens en het beroepsgeheim.

Na beëindiging verwijdert Legal Mind de klantgegevens uit productieomgevingen conform de verwerkersovereenkomst en de AVG.

Back-ups hebben een beperkte bewaartermijn en worden volgens een retentiecyclus automatisch overschreven of verwijderd. Het kan enkele weken duren voordat álle kopieën definitief weg zijn. Dit beleid sluit volledig aan bij internationale normen (ISO 27001, ISO 27018, SOC 1/2/3).

Naast RBAC neemt Legal Mind aanvullende maatregelen, zoals:

Logging en monitoring: alle toegangspogingen en systeemhandelingen worden vastgelegd en gecontroleerd.

Audits: periodieke interne en externe controles op naleving.

Geheimhoudingsplicht: medewerkers zijn contractueel verplicht en volgen securitytrainings.

Contractuele verplichtingen: AVG en verwerkersovereenkomst schrijven expliciet voor dat cliëntgegevens niet mogen worden ingezien of hergebruikt.

Hiermee wordt het risico op ongeautoriseerde toegang tot een minimum beperkt.

Legal Mind gebruikt Microsoft vanwege hun erkende expertise in beveiliging en betrouwbaarheid. Alle data staat in Europese datacenters (o.a. Amsterdam en Zweden) die gecertificeerd zijn volgens ISO 27001, ISO 27018 en SOC 1/2/3. Daarmee is gewaarborgd dat uw gegevens worden verwerkt in een omgeving die voldoet aan de strengste eisen.

Legal Mind hanteert twee documenten die nauw met elkaar samenhangen, maar elk een ander doel dienen. Samen geven ze een volledig beeld van hoe uw gegevens beschermd zijn. De verwerkersovereenkomst legt de juridische verplichtingen vast, terwijl het securitydocument beschrijft hoe wij die verplichtingen in de praktijk technisch en organisatorisch uitvoeren.

De verwerkersovereenkomst

Dit is een juridisch bindend document, verplicht onder de AVG (artikel 28 en 32). Hierin staan de afspraken over hoe Legal Mind uw gegevens verwerkt: alleen op uw instructie, binnen de EU, met geheimhouding door medewerkers, meldplicht bij datalekken, bewaartermijnen en afspraken over subverwerkers (zoals Microsoft Azure en Auth0). Het is de juridische borging dat uw gegevens uitsluitend conform uw opdracht en de wet worden verwerkt.

Het securitydocument

Dit is een technische en organisatorische uitwerking. Hierin leggen wij vast hóe we de beveiliging inrichten in de praktijk. Denk aan encryptie in transit en at rest, rolgebaseerde toegang (RBAC), multi-factor authenticatie, logging, en het beleid dat klantdata niet wordt gebruikt voor modeltraining. Het securitydocument toont daarmee aan dat wij voldoen aan de beveiligingsverplichtingen die in de verwerkersovereenkomst en de AVG zijn vastgelegd.

Kort gezegd:

De verwerkersovereenkomst regelt de juridische verplichtingen, het securitydocument laat zien hoe wij die verplichtingen technisch en organisatorisch invullen. Beide documenten vullen elkaar dus aan.