Privacyverklaring

1. Inleiding

Praxio («wij») hecht aan de bescherming van uw gegevens. Deze verklaring zet uiteen welke gegevens wij verzamelen, waarom, en welke rechten u hebt op grond van de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG. Eén onderscheid draagt alles wat hierna volgt: voor de gegevens van uw zakelijke account treden wij op als verwerkingsverantwoordelijke; voor de gegevens van uw patiënten bent u de verwerkingsverantwoordelijke en treden wij op als verwerker, uitsluitend op grond van uw gedocumenteerde instructies.

2. Welke gegevens wij verzamelen

Wij verzamelen de gegevens die u ons rechtstreeks verstrekt, te weten:

• accountgegevens (naam, e-mailadres, wachtwoord);
• zakelijke gegevens (naam van de praktijk of dienst, specialisme);
• de patiëntgegevens die u in de dienst invoert, waaronder gegevens over gezondheid in de zin van artikel 9 AVG;
• betaalgegevens, veilig verwerkt door Stripe.

Wij ontvangen daarnaast beperkte technische gegevens wanneer u onze website bezoekt. Uw IP-adres wordt uitsluitend gebruikt, in het geheugen en alleen voor de duur van het verzoek, om te bepalen vanuit welk land u verbinding maakt, zodat de site in de juiste regionale taal kan worden getoond. Het wordt niet opgeslagen, niet gelogd en nooit aan derden verstrekt: het land wordt opgezocht in een database op onze eigen server. Het wordt niet gebruikt om u te identificeren, te lokaliseren of te profileren.

De enige cookie die wij plaatsen onthoudt in welke taal u de site leest. Bij het inloggen wordt een sessietoken in de lokale opslag van uw browser bewaard en niet in een cookie. Geen van beide wordt voor advertenties gebruikt en wij plaatsen geen enkele cookie van derden.

Wij gebruiken Plausible Analytics om paginaweergaven en verwijzende sites geaggregeerd te tellen. Plausible plaatst geen cookie en slaat niets op uw apparaat op; het bewaart uw IP-adres niet en maakt geen identificator aan die van de ene dag op de andere blijft bestaan, zodat het u niet kan herkennen tussen bezoeken of op andere sites. Voor de pagina's van uw account wordt nooit een weergave geregistreerd, en Plausible wordt in Retroact helemaal niet gebruikt.

3. Doeleinden en grondslagen

Wij gebruiken deze gegevens om:

• onze diensten te leveren, te onderhouden en te verbeteren, op grond van de uitvoering van de overeenkomst met u;
• betalingen en bijbehorende handelingen af te wikkelen, op grond van de uitvoering van de overeenkomst en onze administratieve verplichtingen;
• u technische berichten en supportberichten te sturen, op grond van ons gerechtvaardigd belang bij een goed werkende dienst;
• op uw opmerkingen en vragen te reageren, op grond van ons gerechtvaardigd belang u antwoord te geven.

4. Beveiliging

Wij treffen passende technische en organisatorische maatregelen om uw gegevens te beschermen tegen ongeoorloofde toegang, wijziging, openbaarmaking of vernietiging: versleuteling van het verkeer, scheiding tussen accounts, vastlegging van toegang en periodieke back-ups. Omdat geen enkel systeem onfeilbaar is, kunnen wij geen absolute beveiliging garanderen.

5. Waar uw gegevens staan en doorgifte buiten de Europese Unie

De plaats waar patiëntdossiers worden bewaard, wordt bepaald door een instelling die aan de accounthouder toekomt. In de standaardinrichting bewaren wij die dossiers, en dit onderdeel beschrijft die inrichting. De accounthouder kan er in plaats daarvan voor kiezen alle dossiers te bewaren op één computer die aan de praktijk toebehoort, in welk geval de dossiers ons niet bereiken: wij zijn niet in staat deze te lezen, er een back-up van te maken of deze te herstellen. Die inrichting voorziet in één computer en één gebruiker en laat derhalve noch toegang door collega’s noch het delen van patiënten toe.

Uw patiëntdossiers — de klinische gegevens die u invoert en de bijbehorende patiëntgegevens — staan op Google Cloud Platform, in de regio northamerica-northeast1 (Montreal, Canada), met back-ups in Canada. Zij staan dus niet binnen de Europese Unie.

Datalocatie kan tot 48 uur duren voordat zij van kracht wordt. Bestaat de regio voor uw markt nog niet, dan staan uw dossiers zolang in onze regio in Canada. U kunt op elk moment in uw account nagaan waar uw eigen dossiers staan, onder Instellingen → Datalocatie.

Andere gegevens worden buiten die opslaglocatie verwerkt door de dienstverleners waarvan wij gebruikmaken:

• inloggegevens (uw e-mailadres en accountnummer) worden bewaard door Google Firebase Authentication in de Verenigde Staten;
• facturatiegegevens worden verwerkt door Stripe in de Verenigde Staten. Wij bewaren zelf geen kaartnummers;
• het versturen van e-mail verloopt via Resend in de Verenigde Staten, zodat de inhoud van berichten die wij u sturen langs die dienstverlener gaat.

De verwerkersvoorwaarden van onze hostingprovider bevatten de door de Europese Commissie vastgestelde standaardcontractbepalingen, en de hierboven beschreven diensten in de Verenigde Staten berusten, waar de dienstverlener daarvoor is gecertificeerd, op het EU-VS Data Privacy Framework. Wij beschrijven hier de contractuele mechanismen die van kracht zijn; het is aan uw organisatie om, zo nodig met haar functionaris voor gegevensbescherming, te beoordelen of die aan haar eigen verplichtingen voldoen. Wij wijzen u er daarnaast in alle openheid op dat het opslaan van gezondheidsgegevens buiten de Europese Economische Ruimte een punt is dat uw organisatie uitdrukkelijk moet meewegen in haar risicoafweging en, waar van toepassing, in haar gegevensbeschermingseffectbeoordeling. Wij zeggen het liever dan het onvermeld te laten.

Opslag van gegevens in een bepaald land staat niet gelijk aan het onttrekken daarvan aan de rechtsgang van een ander land. Onze infrastructuuraanbieder is een Amerikaanse vennootschap en kan onderworpen zijn aan rechtmatige bevelen van Amerikaanse autoriteiten, ongeacht waar gegevens fysiek worden bewaard. Wij vermelden dit in plaats van een bescherming te suggereren die wij niet kunnen bieden.

De volledige lijst met subverwerkers

6. Uw rechten

De AVG geeft u recht op inzage in de persoonsgegevens die wij over u hebben, en daarnaast recht op rectificatie, wissing, beperking van de verwerking, bezwaar en overdraagbaarheid in een gestructureerd en gangbaar formaat.

Waar wij als verwerker optreden voor de gegevens van uw patiënten, moeten verzoeken van die patiënten worden gericht aan de organisatie die verwerkingsverantwoordelijke is: wij helpen u die af te handelen, maar behandelen ze niet zelf.

Wilt u deze rechten uitoefenen, neem dan contact op via het formulier hieronder. U kunt uw gegevens ook op elk moment vanuit uw account exporteren. Vindt u dat uw rechten niet worden gerespecteerd, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag.

7. Contact

Hebt u vragen over deze privacyverklaring, schrijf ons dan op:

Contactformulier