Privacy-verklaring
Hoe wij omgaan met uw persoonlijke en medische gegevens.
1. Verwerkingsverantwoordelijke
Voor de Beauty Passport-app is Clinic Control B.V. i.o. de verwerkingsverantwoordelijke. Voor de Kliniek-portaal is de Kliniek zelf verwerkingsverantwoordelijke en is Clinic Control de verwerker (DPA van toepassing).
Adres: Bennebroekerlaan 42, 2106 EH Bennebroek · KvK 92847583 · BTW NL868352640B01 · privacy@cliniccontrol.nl
2. Welke gegevens verwerken wij?
- Identiteit: naam, geboortedatum, geslacht, BSN (alleen voor medische administratie en zorgverlening, niet zichtbaar in app)
- Contact: e-mail, telefoon, adres
- Medisch: behandelhistorie, producten, doseringen, lot-nummers, anamnese, foto's voor/na
- Financieel: betaalgeschiedenis (geen volledige creditcardgegevens — verwerkt door Stripe)
- Technisch: IP-adres, browser-type, app-versie, geanonimiseerde gebruiksstatistieken
3. Doel van de verwerking
- Levering van de Diensten (medisch dossier, afspraken, communicatie)
- Voldoen aan wettelijke verplichtingen (Wkkgz 20-jaar bewaarplicht, WGBO, IGJ-toezicht)
- Beveiliging en frauddetectie
- Geanonimiseerde verbetering van het Platform
- Marketing communicatie (alleen na expliciete opt-in)
4. Rechtsgrond
De verwerking is gebaseerd op (i) uitvoering van de overeenkomst, (ii) wettelijke plicht (Wkkgz, WGBO, fiscale bewaarplicht), (iii) gerechtvaardigd belang (beveiliging, fraude), en (iv) toestemming (foto-gebruik in educatie, marketing).
5. Beveiliging
Alle gegevens worden versleuteld opgeslagen (AES-256 at rest, TLS 1.3 in transit) op servers binnen de EER (Supabase, Ireland). Toegang is rolgebaseerd, gelogd en pseudonimiseerbaar. Hashing met SHA-256 voor audit-trail.
Certificeringen leverancier: ISO 27001, SOC 2 Type II, NEN 7510-relevante controls.
6. Bewaartermijnen
- Medische gegevens: 20 jaar (Wkkgz)
- Financiële administratie: 7 jaar (Belastingdienst)
- Foto's en consent-formulieren: 20 jaar (Wkkgz)
- Marketing-data: tot intrekken van toestemming, maximaal 5 jaar inactiviteit
- Technische logs: 12 maanden
7. Delen met derden
Wij delen gegevens alleen met:
- Subverwerkers met DPA (Supabase, Vercel, Anthropic Claude, ElevenLabs voor TTS, Stripe voor betalingen)
- Zorgverleners betrokken bij uw behandeling, alleen na uitdrukkelijke toestemming
- Overheidsinstanties wanneer wettelijk verplicht (IGJ, FIOD)
Wij verkopen nooit gegevens. Wij doen geen profilering met geautomatiseerde besluitvorming met juridische gevolgen.
8. Uw rechten (AVG)
- Inzage: kopie van uw gegevens binnen 30 dagen
- Rectificatie: onjuiste gegevens corrigeren
- Verwijdering: dataportabiliteit én verwijdering, met uitzondering van medische bewaarplicht
- Bezwaar tegen verwerking op basis van gerechtvaardigd belang
- Intrekken van toestemming, op elk moment
- Klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl)
Verzoek indienen: privacy@cliniccontrol.nl
9. Cookies
Wij gebruiken uitsluitend functionele cookies (sessie, voorkeurinstellingen). Geen tracking-cookies, geen advertentie-cookies, geen Google Analytics-defaults. Volledige cookie-uitleg in de in-app cookie-melding.
10. Functionaris voor Gegevensbescherming
Wij hebben een DPO aangesteld. Contact: dpo@cliniccontrol.nl
11. Wijzigingen
Wij kunnen deze verklaring aanpassen. Materiële wijzigingen worden 30 dagen vooraf in-app en per e-mail aangekondigd.