MemoryCare.
Zorgvuldig vooruit.

MemoryCare is een voorgestelde uitbreiding binnen My Secret Butler voor dagelijkse oriëntatie, familiecontact en fotoherinneringen. Het doel is samen met een Nederlandse zorgorganisatie te onderzoeken of de bediening begrijpelijk is en welke ondersteuning gebruikers ervaren.

Voorstel van 11 oktober 2026. Geen aanbod van een operationele zorgdienst. Een pilot met echte deelnemers start pas na de hieronder beschreven vrijgave. Bestaande zorg en noodvoorzieningen blijven leidend.

Product en demonstraties

De demonstratie gebruikt uitsluitend fictieve personen. Tekst blijft tekst: geen diagnose, medicatieadvies of open AI-gesprek voor de oudere. De download bevat twee vaste Nederlandse stemproeven. In de lokale ontwikkelversie kan familie daarnaast een fictieve eigen boodschap laten inspreken via een ingelogd testaccount. Alleen na expliciete toestemming gaat de tekst naar OpenAI. Familie beluistert en keurt de opname goed voordat de luisterknop bij de oudere verschijnt. Een gewijzigde dagplanning verwijdert de verouderde opname. De gebruiker heeft beide stemproeven op 11 oktober 2026 goedgekeurd. Voorlezen mag nooit onverwacht starten en moet direct kunnen stoppen.

De gewenste interface gebruikt het bestaande warme ivoor en donkerblauw van My Secret Butler, een terughoudend groen accent, grote knoppen en duidelijke Nederlandse woorden. De oudere ziet één dag tegelijk. Geen schuldindicerende rode score, ranglijst, aftelstress of stigmatiserende aanduiding in het persoonlijke dagscherm.

Hergebruik en architectuur

Het bestaande project bevat een statische webinterface, een lokale Python-server, SQLite, lokale testaccounts, sessies en tekst-AI. De vormgeving, navigatie en bruikbare componenten worden hergebruikt. De bestaande functionaliteiten blijven bestaan; de MemoryCare-module krijgt eigen schermen en gegevensmodellen.

De huidige lokale accounts bewijzen nog geen geschiktheid voor professionele zorg. Productie vereist een geteste serverautorisatie, organisatieafscheiding, herstelprocedure en passend beheer. De demonstratie is geen reden om echte cliëntgegevens in de bestaande lokale opslag te plaatsen.

Voorgesteld gegevensmodel: organisaties, locaties, gebruikers, lidmaatschappen, cliëntprofielen, toegangsverleningen, dagpunten, berichten, fotoherinneringen, contactverzoeken, integratieverbindingen, apparaatgebeurtenissen en auditregistraties. Elk cliëntgebonden record krijgt een organisatie- en cliëntkenmerk. Elke serveraanvraag controleert zowel rol als concrete cliëntrelatie; een filter in de browser is onvoldoende.

De normale Butler-AI krijgt standaard geen MemoryCare-inhoud. Eventuele latere AI-ondersteuning blijft een afzonderlijke, beoordeelde functie, bijvoorbeeld een concept voor een door familie te controleren tekst. Geen model krijgt zelfstandige bevoegdheid om zorg op te schalen, medicatie te wijzigen of besluiten voor de gebruiker te nemen.

Rollen en toegang

Voor een pilot: MFA voor medewerkers en beheerders, individuele accounts, korte en intrekbare uitnodigingen, periodieke toegangscontrole, direct intrekken bij uitdiensttreding, sessiebeëindiging en aantoonbare bescherming tegen toegang via een geraden cliënt-ID. Een vertegenwoordiger wordt niet automatisch gekozen op basis van familieband. Beoordeel beslisvaardigheid voor de specifieke beslissing en leg de geldige vertegenwoordiging waar nodig vast.

Integraties en gegevensbetekenis

Alle onderstaande koppelingen hebben de status onderzoek, niet aangesloten.

Evondos beschrijft API-routering van Medido-meldingen voor verpleegoproepleveranciers. Dat bevestigt een mogelijke partnerroute, niet dat My Secret Butler toegang heeft. Bron: Evondos

Voorgesteld adaptercontract: event-ID, schema-versie, organisatie, interne cliëntreferentie, leverancier, apparaatreferentie, gebeurtenistype, vastleggingstijd, ontvangsttijd, tijdzone, eenheid indien relevant, betrouwbaarheid of ontbrekendheid en bronstatus. Gebruik uitsluitend werkelijk beschikbare velden; verzin geen betrouwbaarheidsscore.

Verwerkingsketen: ondertekend leveranciersbericht → servervalidatie → controle actieve toegang en apparaatkoppeling → idempotente opslag → interpretatie volgens gedocumenteerde betekenis → dashboard → vastgelegde menselijke opvolging. Dubbele berichten veranderen de toestand niet tweemaal. Oude, ontbrekende of uit volgorde ontvangen data blijven herkenbaar. Een verbindingsfout krijgt nooit de status ‘alles goed’.

Per adapter zijn een sandbox, contracttests, uitval- en hersteltest, tijdzonetest, intrekkingstest en verificatie met de leverancier nodig. Alarmopvolging moet onafhankelijk van de generatieve AI en van deze browserdemo functioneren.

Privacy en DPIA

Gezondheidsgegevens zijn bijzondere persoonsgegevens. De AP noemt onder meer extra eisen aan beveiliging en gegevensdeling en DPIA- en FG-verplichtingen in toepasselijke gevallen. Bron: Autoriteit Persoonsgegevens

Voorgestelde projectbeslissing: voer vóór de eerste verwerking van echte cliëntgegevens een volledige DPIA uit. De combinatie van kwetsbare betrokkenen, familie-inzage en mogelijke monitoring rechtvaardigt een zorgvuldige beoordeling. Dit voorstel is geen afgeronde DPIA of juridisch oordeel.

De verantwoordelijke organisatie en een privacyjurist of FG leggen vast:

1. Doelen, gegevensstromen, ontvangers en noodzakelijkheid per functie.
2. Wie verwerkingsverantwoordelijke, verwerker of eventueel gezamenlijk verantwoordelijke is. De zorgorganisatie is niet in ieder scenario automatisch de enige verantwoordelijke.
3. De passende grondslag onder artikel 6 AVG en een toepasselijke uitzondering onder artikel 9 waar gezondheidsgegevens worden verwerkt. Toestemming is geen universele oplossing voor iedere zorgverwerking.
4. Toegang van familie, vertegenwoordiging, intrekken, inzage, correctie, export en verwijderverzoeken.
5. Hosting, subverwerkers, verwerkersovereenkomsten en eventuele internationale doorgiften.
6. Risico's op ongewenste controle, sociale druk, verwarring, gegevenslekken en onterechte geruststelling, inclusief overleg met cliënten en naasten.
7. Resterende risico's, maatregelen, eigenaar en besluit over vrijgave; zo nodig voorafgaande raadpleging van de toezichthouder.

Voorgesteld bewaarbeleid voor de pilot: demo uitsluitend fictief en sessiegebonden. In de echte pilot per gegeven een termijn vastleggen. Na einde: export aanbieden en niet-meer-noodzakelijke platformgegevens binnen 30 dagen verwijderen; back-ups volgens een vooraf overeengekomen korte cyclus. Zorgdossiergegevens kunnen andere wettelijke bewaarplichten hebben en mogen niet blind volgens deze concepttermijn worden verwijderd. Geen gebruik voor modeltraining of reclame.

MDR en overige beoordeling

De kwalificatie van software hangt af van het beoogde doel, inclusief reclame en verkoopmateriaal. Een disclaimer ‘geen medisch advies’ beslist dit niet. De MDCG-richtsnoeren bespreken kwalificatie, modules en onder meer regel 11 voor medische software. Bron: MDCG 2019-11 rev. 1, juni 2025

Vóór een echte pilot: laat een deskundige het beoogde doel en elke module schriftelijk beoordelen. Juist de positionering voor dementie en het compenseren van geheugenproblemen kan relevant zijn voor een medisch doel. Geen conclusie ‘geen hulpmiddel’ of risicoklasse zonder die analyse.

Leg vast: gebruikers, gebruiksomgeving, claims, uitsluitingen, functionele grenzen, mogelijke medische informatieverwerking en invloed op behandeling of bewaking. Beoordeel ook of gekoppelde software een medisch hulpmiddel aanstuurt of ondersteunt. Bij toepasselijkheid volgt een passend traject voor kwaliteit, risicobeheersing, klinische onderbouwing en conformiteit; een kleine pilot geeft geen automatische vrijstelling.

Laat daarnaast de toepasselijkheid van zorgwetgeving, Wabvpz, Wzd, WGBO, NEN 7510/7512/7513 en de AI-verordening beoordelen voor de gekozen dienst. Dit zijn onderzoekspunten, geen claim dat alle normen gelden of dat MemoryCare gecertificeerd is. Bepaal met de onderzoekspartner of toetsing van het pilotonderzoek nodig is.

Beveiliging en incidentopvolging

Vrijgave-eisen: transportversleuteling; passende versleuteling van opslag en back-ups; gescheiden ontwikkel- en productieomgevingen; geheimen uitsluitend op de server; MFA; serverautorisatie per organisatie en cliënt; privéschermen op gedeelde apparaten; beperkte uploadtypen en grootte; controles op schadelijke bestanden; kort geldige downloadlinks; geen cliëntinhoud in logs; audit op inzage en wijzigingen; monitoring; hersteltest; onafhankelijke beveiligingstest en herstel van kritieke bevindingen.

Incidentverantwoordelijkheid wordt bij naam en vervanger belegd vóór de pilot. Een veiligheidsincident gaat naar de pilotcoördinator en verantwoordelijke zorgprofessional; een mogelijk datalek direct naar de privacyverantwoordelijke. Het team beperkt schade, bewaart relevante sporen, beoordeelt getroffen personen en documenteert de beslissing. Een meldplichtig datalek kan binnen 72 uur bij de AP moeten worden gemeld; ook informeren van betrokkenen kan verplicht zijn. Bron: AP datalekstappenplan

Menselijke escalatie: per cliënt staan de normale contactroute, bereikbaarheid, vervanger en terugvalroute vast. Een sociaal contactverzoek mag niet de indruk wekken dat al iemand onderweg is. Het scherm toont pas ‘ontvangen’ na een echte bevestiging. Bij uitval blijft bestaande telefonische of professionele zorgopvolging beschikbaar.

MemoryCare levert in dit voorstel geen 24/7 alarmdienst. Contractuele responstijden mogen pas worden aangeboden wanneer daarvoor werkelijk capaciteit en opvolging bestaan.

Pilot van 20 tot 50 deelnemers

Doel: haalbaarheid en gebruikservaring onderzoeken, geen werkzaamheid claimen. Richtomvang 20 deelnemers bij één organisatie, maximaal twee locaties, uitbreidbaar naar 50 na een tussentijdse beoordeling. Deelnemers met beginnende dementie en hun naasten worden samen met professionals geselecteerd op geschiktheid voor deze functies. Bestaande zorg wordt niet verminderd op basis van de proef.

De 8 weken beginnen na de voorbereidende vrijgave. Werving, juridische beoordeling, ontwikkeling en apparaatselectie vallen dus niet vanzelf binnen 8 weken.

Deze eenvoudige meetvragen zijn eigen pilotvragen, geen gevalideerde klinische schalen. Laat een onderzoekspartner eventuele gevalideerde instrumenten selecteren. Rapporteer aantallen, ontbrekende antwoorden, spreiding en individuele ervaringen. De proef is niet opgezet om een klinisch effect of minder valincidenten te bewijzen.

Stopregels: onmiddellijk pauzeren bij een ernstige privacyfout, ongewenste toegang, fout die tot een onveilige handeling kan leiden of duidelijk door het product veroorzaakte ontregeling. Bij herhaalde verwarring, stress of onbedoelde afhankelijkheid stopt deelname voor die persoon totdat een professional heeft beoordeeld wat passend is. De deelnemer kan altijd stoppen zonder verlies van normale zorg.

Commercieel voorstel

Alle bedragen hieronder zijn eigen prijs- en kostenaannames, exclusief btw. Ze zijn bedoeld voor gesprekken en zijn nog geen bestelbaar aanbod. De bestaande consumentenprijzen van My Secret Butler veranderen hierdoor niet.

Niet inbegrepen: hardware, verbindingen, zorgverlening, alarmopvolging, leverancierslicenties, externe juridische beoordeling, onafhankelijke pentest en ontwikkeling tot een productierijpe dienst. Begroot en financier deze punten vóór een pilotcontract; de pilotprijs kan deze investeringen niet dragen.

Kostprijs en rekenscenario

Bij €4.950 omzet resteert €950 vóór ontwikkeling, acquisitie, overhead en overige externe kosten. Dit is geen nettowinst. Bij uitbreiding wordt voorlopig €40 directe extra kosten per deelnemer geraamd; de werkelijke ondersteuningsbehoefte kan hoger zijn.

Maandmodel na een geslaagde pilot: €3 hosting en beveiligingsvoorzieningen, €0,75 mediaopslag, €4,50 ondersteuning (6 minuten × €45 per uur) en €2 technisch beheer per actieve cliënt = €10,25 directe kosten. Daarboven een voorlopige vaste maandreserve van €1.000 voor beheer en compliance. De reserve vervangt geen concrete offerte van een beveiligings- of juridisch specialist.

Onder deze beperkte aannames ligt het rekenkundige omslagpunt op 73 actieve cliënten. Bij 1.000 cliënten moet de vaste organisatie waarschijnlijk meegroeien; €12.750 is daarom een rekenscenario en geen winstverwachting. Verdubbelt de ondersteuningsduur, dan nemen de kosten met €4,50 per cliënt toe. Generatieve AI en betaalde stemmen zijn niet opgenomen; de vaste demostemmen zijn vooraf gegenereerd. De lokale spraakfunctie stuurt alleen na toestemming de fictieve invoertekst naar OpenAI, maximaal 1.200 tekens en 20 aanvragen per dag. Werkelijke spraakkosten moeten nog aan het kostprijsmodel worden toegevoegd.

Voorgestelde servicevoorwaarden

Een pilot loopt af zonder automatische overgang naar een betaald abonnement. Vervolggebruik vraagt een afzonderlijke overeenkomst en een expliciet vrijgavebesluit. Het Team-abonnement wordt voorgesteld als maandelijks opzegbaar na de afgesproken implementatie; maatwerk kan andere voorwaarden vragen.

Leg vooraf vast: taakverdeling, ondersteuning, gegevensgebruik, subverwerkers, bewaartermijnen, export, beëindiging, aansprakelijkheid en verzekering, wijzigingen, incidentmelding en onderaannemers. Juridische toetsing moet aan ondertekening voorafgaan.

Voorstel reguliere ondersteuning: werkdagen 09.00-17.00 uur, eerste reactie binnen één werkdag. Dit is geen toezegging dat incidenten pas dan beoordeeld mogen worden; veiligheids- en datalekroutes krijgen afzonderlijke bereikbaarheid. Er is geen 24/7 dienstverlening verkocht. Beschikbaarheid, hersteldoelen en back-upfrequentie worden pas als SLA aangeboden na infrastructuur- en hersteltests.

Tijdens een storing gebruikt de zorgorganisatie het afgesproken bestaande alternatief. Geen boetes, zorgvermindering of automatische beëindiging van deelname wegens weinig gebruik.

Verkoopmateriaal en eerste gesprekken

Gespreksopening: “My Secret Butler MemoryCare brengt een rustig dagoverzicht, familieberichten en fotoherinneringen samen. We zoeken een zorgorganisatie die met cliënten, naasten en medewerkers wil onderzoeken wat prettig en bruikbaar is. We beginnen met fictieve voorbeelden en een afgebakende pilot, met duidelijke privacy- en veiligheidsvoorwaarden.”

Aanbod voor het eerste gesprek: 30 minuten demonstratie; daarna gezamenlijk één doelgroep, twee dagelijkse gebruikssituaties en de verantwoordelijken kiezen. Betrek innovatiemanager, zorginhoudelijk verantwoordelijke, cliëntenraad, ICT, informatiebeveiliging, FG en inkoop voordat een pilot wordt afgesproken.

De aanvraagomgeving krijgt drie keuzen: demonstratie, pilot of offerte. Velden: organisatie, zakelijk contact, aantal deelnemers, locaties, gewenste toepassing en moment. Geen cliëntnamen, BSN's of medische dossiers in een verkoopformulier. In de demo ontstaat uitsluitend een concept; verzending en CRM-koppeling zijn nog niet actief.

Niet gebruiken in verkoop: “voorkomt vallen”, “controleert medicatie-inname”, “vermindert gegarandeerd mantelzorgbelasting”, “MDR-vrij”, “zorggecertificeerd” of “24/7 bewaakt”. Resultaten van andere leveranciers zijn geen bewijs voor MemoryCare.

Potentiële gesprekspartners

Deze partijen zijn kandidaten voor verkenning, geen bevestigde partners. Er is geen aanvraag namens My Secret Butler verstuurd.

Prioriteit: eerst Carinova of Atlant voor een probleemverkenning, daarna een onderzoekspartner en leverancier. Zo wordt de techniek gekozen op basis van een concrete behoefte. De door Remco aangepaste brief aan Evondos blijft het concept voor contact; hij vraagt naar API, voorwaarden, demo en verantwoordelijkheid voor opvolging.

Testplan en openstaande vrijgavepunten

Huidige vrijgavestatus: niet vrijgegeven voor echte zorg of publicatie. De bestaande lokale architectuur is onderzocht. Er zijn nog geen bewezen MemoryCare-productiekoppelingen, afgeronde DPIA, MDR-besluit, doelgroepvalidatie of onafhankelijke beveiligingstest. Een rolwisselaar in een demo is geen bewijs van toegangsbeveiliging.

De ontwikkeling wordt voortgezet in het bestaande project. Uitgevoerd op 11 oktober 2026: 10 geslaagde MemoryCare-modeltests en 9 geslaagde server-, AI- en spraaktests. Een nieuwe fictieve boodschap is via de echte spraakdienst gemaakt en in de browser afgespeeld, goedgekeurd en bij de oudere beluisterd. Een gewijzigde planning verwijderde de oude opname zoals bedoeld. In de browser zijn toevoeging van dagplanning, familieberichten en fotoherinneringen, eigen bevestiging, een gesimuleerd contactverzoek, locatiekeuze en beheer gecontroleerd. Ook pilotgrenzen van 20-50 deelnemers en de conceptprijs van €7.200 bij 50 deelnemers zijn gecontroleerd. Mobiele breedte van 390 pixels vertoonde geen horizontale overloop. De oude apparaatstem is vervangen door twee AI-gegenereerde Nederlandse stemproeven; beide stemmen zijn op 11 oktober 2026 door de gebruiker goedgekeurd. Geen claim van tests op echte iPhones/Android-toestellen, doelgroepvalidatie, pen-test of beveiligde productieautorisatie. De verpakte HTML is via een lokale HTTP-preview gecontroleerd, inclusief navigatie, pilotkeuze en afspelen na 15 seconden. De TXT-download van een aanvraag en rechtstreeks openen van het gedownloade HTML-bestand zijn nog niet bevestigd in de in-app browser.

Besluitmoment vóór pilot: producteigenaar, zorgverantwoordelijke, privacyverantwoordelijke en technisch verantwoordelijke tekenen het afgebakende gebruik, de testresultaten, resterende risico's en terugvalprocedure af. Publicatie vraagt daarnaast akkoord van Remco.