AI-avatar modules: privacy & security

Een interactieve leeromgeving waarin medewerkers gesprekken oefenen, bijvoorbeeld feedback geven, klantgesprekken voeren of leidinggeven. De avatar reageert realtime. Na de oefening krijgt de deelnemer feedback op basis van vooraf ingestelde leerdoelen of competenties.

Alleen voor het uitvoeren van de oefening, het geven van feedback, het ondersteunen van de leerervaring en voor functionele logging, performance en beveiliging. De gegevens worden niet voor andere doeleinden gebruikt.

Nee. In onze reguliere e-learnings wordt geen AI ingezet die persoonsgegevens van deelnemers verwerkt. De avatar-modules zijn op dit moment de enige leeroplossingen waarin AI onderdeel is van de leerervaring.

Zoals bij elke AI-toepassing kunnen antwoorden of feedback onjuist of onvolledig zijn. Daarom zijn er guardrails, wordt de context van de oefening afgebakend en worden werking en kwaliteit gemonitord. De feedback is bedoeld om te oefenen en te leren, niet om besluiten over medewerkers te nemen.

Tip: deel tijdens een oefening geen onnodige persoonsgegevens of vertrouwelijke informatie.

Tijdens een oefening worden de volgende gegevens verwerkt:

• Ingevoerde tekst of spraak van de deelnemer
• Een uniek gebruikers-ID (U-ID)
• De tekst van het oefengesprek
• Feedbackresultaten
• Sessiegegevens, zoals starttijd, duur en voltooiing
• Informatie die de deelnemer zelf deelt tijdens de oefening

Namen en e-mailadressen worden niet aan Meta-Skills doorgegeven. De gegevens zijn wel gepseudonimiseerd en niet volledig anoniem. Daarom behandelen we ze als persoonsgegevens en blijft de AVG van toepassing.

Er worden geen audio- of video-opnames opgeslagen. Spraak wordt realtime omgezet naar tekst en de audio wordt direct daarna verwijderd. Het tekstverslag van het gesprek en de feedback kunnen na afloop wel worden bewaard.

Nee. Meta-Skills heeft dit contractueel vastgelegd met de betrokken AI-leveranciers. Ook onderliggende AI-partijen mogen de gegevens niet gebruiken voor training.

Binnen de Europese Unie. De database draait op servers van TransIP in Nederland en bestanden staan bij AWS in Frankfurt (Duitsland). De AI-gesprekken en feedback lopen via OpenAI in een EU-regio, spraak via ElevenLabs met EU-verwerking. Namen, e-mailadressen en het gebruikers-ID worden niet naar de AI-diensten gestuurd.

• OpenAI: AI-gesprekken en feedback
• ElevenLabs: spraakherkenning en de stem van de avatar
• TransIP en AWS: hosting en opslag
• LiveKit: realtime audioverbinding
• Grafana/Loki: monitoring en logging
• Cloudflare: aflevering van content en bescherming tegen aanvallen

Meta-Skills beoordeelt deze partijen jaarlijks. De laatste review was in februari 2026.

Ja. Er zijn technische, organisatorische en contractuele maatregelen ingericht om persoonsgegevens volgens de AVG te verwerken. New Heroes Academy en Meta-Skills zijn allebei ISO 27001-gecertificeerd en werken met privacy- en informatiebeveiligingsbeleid, een verwerkingsregister en datalekprocedures.

Ja, er is al een DPIA-traject doorlopen met een klantorganisatie die dezelfde avatar-oplossing gebruikt. Omdat een DPIA afhangt van hoe jouw organisatie de oplossing inzet, helpen we je graag bij een eigen DPIA of pre-DPIA. We leveren dan informatie over gegevensverwerking, subverwerkers, datastromen, beveiliging en bewaartermijnen.

Ja. Jouw organisatie sluit een verwerkersovereenkomst met New Heroes Academy. New Heroes Academy heeft op haar beurt een verwerkersovereenkomst met Meta-Skills als subverwerker.

Gebruikers hebben onder de AVG onder andere recht op inzage, rectificatie, verwijdering, beperking van verwerking, dataportabiliteit en bezwaar. Verzoeken kunnen via de eigen organisatie of via New Heroes Academy worden ingediend.

Op verzoek kunnen we onder andere het volgende aanleveren:

• Verwerkersovereenkomst (DPA)
• Overzicht van subverwerkers
• Informatie over gegevensverwerking
• Informatie over beveiligingsmaatregelen
• Informatie over bewaartermijnen
• Ondersteuning bij een DPIA of pre-DPIA

Meta-Skills verzorgt de technische beveiliging, onder andere met versleutelde verbindingen (TLS), encryptie van opgeslagen gegevens, rolgebaseerde toegang en logging en monitoring. Elk jaar voert een onafhankelijke partij een penetratietest uit. Bij de test van juli 2025 zijn geen kwetsbaarheden met middelhoge, hoge of kritieke ernst gevonden.

Op basis van ernst: kritieke kwetsbaarheden direct, hoge binnen een week, medium binnen een maand en lage via de reguliere planning.

Incidenten worden geregistreerd, onderzocht en opgevolgd volgens vaste procedures. Bij een datalek handelen we volgens de AVG. Waar dat wettelijk verplicht is, melden we het binnen de geldende termijnen bij de toezichthouder en de betrokken organisaties.

Tot 12 maanden na de laatste activiteit van een deelnemer. Bij nieuwe activiteit begint deze termijn opnieuw. Na 12 maanden zonder activiteit worden de gebruikersgegevens automatisch verwijderd.

Dan worden de gegevens verwijderd volgens de verwerkersovereenkomst en de geldende bewaartermijnen. Stopt de samenwerking tussen New Heroes Academy en Meta-Skills, dan worden bedrijfsgegevens binnen 30 werkdagen en back-ups binnen 90 dagen verwijderd. Op verzoek ontvang je een schriftelijke bevestiging.

Meta-Skills streeft naar herstel binnen één uur. Er worden dagelijks automatische back-ups gemaakt, waardoor maximaal 24 uur aan gegevens verloren kan gaan. Het terugzetten van back-ups wordt elk kwartaal getest.