Privacybeleid

1. Over dit privacybeleid

HypnoStroom is een online boekings- en klantbeheerplatform (CRM) voor hypnotherapeuten, opererend vanuit Portugal. Dit privacybeleid legt uit welke persoonsgegevens we verwerken, waarom, en welke rechten je hebt.

Vragen over dit beleid of over je gegevens? Mail contact@hypnostroom.nl.

2. Op wie dit beleid van toepassing is

• Bezoekers van hypnostroom.nl;
• Accounthouders — hypnotherapeuten die een HypnoStroom-account aanmaken;
• Cliënten — personen die via een hypnotherapeut een afspraak boeken.

Voor de gegevens van een accounthouder is HypnoStroom de verwerkingsverantwoordelijke. Voor cliëntgegevens die een hypnotherapeut in HypnoStroom invoert en beheert, is de hypnotherapeut de verwerkingsverantwoordelijke en treedt HypnoStroom op als verwerker, op basis van een verwerkersovereenkomst.

3. Welke gegevens we verwerken

Accountgegevens

Via onze authenticatiepartner Clerk verwerken we je naam, e-mailadres en inloggegevens. In onze eigen database (Convex) bewaren we daarnaast je praktijknaam, bedrijfsadres en — indien ingevuld — je KvK- en btw-nummer voor op facturen, en je taalvoorkeur. Je taalvoorkeur wordt bovendien opgeslagen in een cookie in je browser (zie het onderdeel Cookies), zodat die ook zonder inloggen werkt.

Cliënt- en boekingsgegevens (ingevoerd door de hypnotherapeut)

Naam, e-mailadres, telefoonnummer en geboortedatum van de cliënt, afspraakgegevens en sessienotities. Sessienotities kunnen gezondheidsgegevens bevatten; dat zijn bijzondere categorieën van persoonsgegevens die uitsluitend onder verantwoordelijkheid van de hypnotherapeut worden verwerkt.

Betaalgegevens

Betalingen van cliënten aan hypnotherapeuten lopen rechtstreeks via de betaalprovider (Stripe of Mollie) van de betreffende hypnotherapeut. Wij ontvangen alleen de status van een transactie (bijvoorbeeld “betaald”), nooit volledige kaartgegevens.

Technische gegevens

Bij gebruik van de dienst verwerken we logbestanden met bijvoorbeeld IP-adres, browsertype en tijdstip, voor beveiliging, foutopsporing en misbruikpreventie.

4. Gekoppelde agenda’s: Google, Microsoft en Apple

Een accounthouder kan er zelf voor kiezen om een agenda te koppelen zodat HypnoStroom rekening houdt met bestaande afspraken. Deze koppeling is optioneel en kan op elk moment worden verbroken.

• Google Agenda — via OAuth vragen we toegang tot de scope https://www.googleapis.com/auth/calendar en tot het e-mailadres van je Google-account (userinfo.email).
• Microsoft / Outlook Agenda — via OAuth met de rechten Calendars.ReadWrite en User.Read.
• Apple Agenda — via CalDAV met een app-specifiek wachtwoord dat je zelf aanmaakt.

We gebruiken deze toegang uitsluitend om:

• bezette tijdvakken in je agenda op te halen (vrij/bezet-informatie) zodat er geen dubbele boekingen ontstaan; en
• bevestigde HypnoStroom-afspraken als agenda-item in je agenda te zetten.

We lezen de inhoud van je bestaande afspraken niet uit voor andere doeleinden, we tonen die inhoud niet in de app, en we bewaren geen kopie van je agenda buiten wat nodig is voor bovenstaande functies.

Beperkt gebruik van Google-gebruikersgegevens

Het gebruik door HypnoStroom van gegevens die zijn ontvangen via Google API’s voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. In het Engels, zoals door Google vereist: “HypnoStroom’s use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.”

Concreet betekent dit dat we Google-gebruikersgegevens:

• alleen gebruiken om de door jou gevraagde functies te leveren (agendasynchronisatie voor beschikbaarheid en het aanmaken van afspraken);
• niet verkopen;
• niet gebruiken of doorgeven voor advertenties;
• niet delen met derden, behalve voor zover nodig om de dienst te leveren, om te voldoen aan toepasselijke wetgeving, of met jouw toestemming;
• niet door mensen laten inzien, tenzij je daarvoor uitdrukkelijk toestemming geeft, het nodig is voor beveiligingsdoeleinden, het wettelijk verplicht is, of de gegevens geaggregeerd en geanonimiseerd zijn.

Toegang intrekken

Je kunt een agendakoppeling verbreken in HypnoStroom via Instellingen, onderdeel Agenda-koppeling. Voor Google kun je de toegang daarnaast intrekken via myaccount.google.com/permissions. Bij het verbreken van de koppeling of het sluiten van je account verwijderen we de bijbehorende OAuth-tokens.

5. Doeleinden en rechtsgronden

• Uitvoering van de overeenkomst — het leveren van het platform aan accounthouders (art. 6 lid 1 sub b AVG).
• Toestemming — het koppelen van een externe agenda (art. 6 lid 1 sub a AVG); op elk moment intrekbaar.
• Gerechtvaardigd belang — beveiliging, verbetering van de dienst en misbruikpreventie (art. 6 lid 1 sub f AVG).
• Wettelijke verplichting — het bewaren van facturen en financiële gegevens (art. 6 lid 1 sub c AVG).
• Cliëntgegevens worden verwerkt onder verantwoordelijkheid van de hypnotherapeut; de grondslag voor bijzondere categorieën (gezondheid) ligt doorgaans in art. 9 lid 2 sub h AVG (zorgverlening) en wordt door de hypnotherapeut bepaald.

6. Verwerkers en andere ontvangers

We schakelen zorgvuldig geselecteerde dienstverleners in die namens ons gegevens verwerken, op basis van een verwerkersovereenkomst:

• Convex — database en back-end (primaire opslag in de EU, regio Ierland);
• Clerk — accountauthenticatie;
• Vercel — hosting van de webapplicatie;
• Resend — verzending van transactionele e-mail (bevestigingen, herinneringen);
• Stripe en Mollie — betalingsverwerking, uitsluitend als een hypnotherapeut die koppelt;
• Google, Microsoft en Apple — uitsluitend bij een door de accounthouder gekozen agendakoppeling.

We verkopen je gegevens niet en delen ze niet met derden voor hun eigen doeleinden.

7. Doorgifte buiten de Europese Economische Ruimte

De primaire opslag van HypnoStroom is gevestigd in de EU: de database (Convex) staat in Ierland en de webapplicatie (Vercel) draait in een Europese regio.

Een aantal verwerkers verwerkt gegevens (deels) buiten de EER:

• Resend (verzending van e-mail) — verzendlogs en berichtgegevens worden opgeslagen in de Verenigde Staten en daar maximaal 30 dagen bewaard.
• Clerk (accountauthenticatie) — inloggegevens van accounthouders (zoals naam en e-mailadres) worden verwerkt in de Verenigde Staten. Cliëntgegevens worden niet via Clerk verwerkt.
• Stripe, Google en Microsoft — alleen als een hypnotherapeut deze zelf koppelt.

Deze doorgifte gebeurt onder passende waarborgen: het EU-VS Data Privacy Framework en, waar dat niet van toepassing is, de standaardcontractbepalingen van de Europese Commissie. Met onze verwerkers hebben we verwerkersovereenkomsten gesloten. Om risico’s te beperken nemen we in e-mails zo min mogelijk gegevens op: in bevestigingen en herinneringen staan nooit sessienotities of inhoudelijke gezondheidsinformatie. Wel vermelden we de naam van het sessietype, zoals de hypnotherapeut die zelf heeft ingesteld.

8. Bewaartermijnen

• Accountgegevens — zolang je account bestaat, ook als het account na opzegging alleen-lezen is.
• Facturen en financiële gegevens — gedurende de wettelijke fiscale bewaartermijn (in Nederland doorgaans zeven jaar).
• Cliëntgegevens en sessienotities — beheerd door de hypnotherapeut. Voor sessienotities geldt in Nederland in de regel een wettelijke bewaarplicht van 20 jaar. Zolang het account bestaat bewaren wij ze namens de hypnotherapeut. Bij opzegging wordt het account alleen-lezen: boeken en wijzigen kan dan niet meer, maar de gegevens blijven bewaard en je kunt ze blijven inzien en exporteren. De hypnotherapeut is zelf verantwoordelijk voor het naleven van de bewaartermijn die voor zijn praktijk geldt.
• Agenda-tokens — tot je de koppeling verbreekt of je account sluit.
• E-mailverzendlogs (Resend) — maximaal 30 dagen.
• Overige technische logs — doorgaans niet langer dan 12 maanden.

9. Je rechten

Je hebt het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, bezwaar, en overdraagbaarheid van je gegevens, en het recht om gegeven toestemming in te trekken.

• Accounthouders — richt je verzoek aan contact@hypnostroom.nl.
• Cliënten — richt je verzoek in eerste instantie tot je hypnotherapeut, die verantwoordelijk is voor jouw gegevens. Wij ondersteunen de hypnotherapeut bij de afhandeling.

Je hebt ook het recht een klacht in te dienen bij een toezichthouder voor gegevensbescherming: in Nederland de Autoriteit Persoonsgegevens, of de toezichthouder voor gegevensbescherming in je eigen land.

10. Beveiliging

We beschermen je gegevens met versleuteling tijdens transport (TLS), toegangscontrole en gescheiden omgevingen voor ontwikkeling en productie. De primaire opslag van cliëntgegevens bevindt zich in de EU. Bij een datalek dat de gegevens van je cliënten raakt, informeren we je zonder onnodige vertraging, zodat je als verantwoordelijke aan je meldplicht kunt voldoen. Geen enkele dienst kan absolute veiligheid garanderen, maar we evalueren onze maatregelen doorlopend.

11. Cookies

HypnoStroom gebruikt alleen strikt noodzakelijke cookies: een sessiecookie om ingelogd te blijven (Clerk) en een cookie (NEXT_LOCALE) dat je taalkeuze onthoudt. We gebruiken geen trackingcookies, advertentiecookies of analytics van derden.

12. Minderjarigen

De dienst is bedoeld voor professionele hypnotherapeuten. Een cliënt jonger dan 18 jaar kan alleen worden geboekt met toestemming van een ouder of voogd; de hypnotherapeut beoordeelt dit.

13. Wijzigingen in dit beleid

We kunnen dit privacybeleid van tijd tot tijd aanpassen. De datum bovenaan de pagina geeft aan wanneer de laatste wijziging is doorgevoerd. Bij wezenlijke wijzigingen informeren we accounthouders per e-mail of via de app.

14. Contact

HypnoStroom, gevestigd in Portugal (hypnostroom.nl). E-mail: contact@hypnostroom.nl. Zie ook onze algemene voorwaarden.