Privacybeleid

1. Over dit privacybeleid

HypnoStroom is een online boekings- en klantbeheerplatform (CRM) voor hypnotherapeuten, opererend vanuit Portugal. Dit privacybeleid legt uit welke persoonsgegevens we verwerken, waarom, en welke rechten je hebt.

Vragen over dit beleid of over je gegevens? Mail contact@hypnostroom.nl.

2. Op wie dit beleid van toepassing is

• Bezoekers van hypnostroom.nl;
• Accounthouders — hypnotherapeuten die een HypnoStroom-account aanmaken;
• Cliënten — personen die via een hypnotherapeut een afspraak boeken.

Voor de gegevens van een accounthouder is HypnoStroom de verwerkingsverantwoordelijke. Voor cliëntgegevens die een hypnotherapeut in HypnoStroom invoert en beheert, is de hypnotherapeut de verwerkingsverantwoordelijke en treedt HypnoStroom op als verwerker, op basis van een verwerkersovereenkomst.

3. Welke gegevens we verwerken

Accountgegevens

Via onze authenticatiepartner Clerk verwerken we je naam, e-mailadres en inloggegevens. In onze eigen database (Convex) bewaren we daarnaast je praktijknaam, bedrijfsadres en — indien ingevuld — je KvK- en btw-nummer voor op facturen, en je taalvoorkeur. Je taalvoorkeur wordt bovendien opgeslagen in een cookie in je browser (zie het onderdeel Cookies), zodat die ook zonder inloggen werkt.

Cliënt- en boekingsgegevens (ingevoerd door de hypnotherapeut)

Naam, e-mailadres, telefoonnummer en geboortedatum van de cliënt, afspraakgegevens en sessienotities. Sessienotities kunnen gezondheidsgegevens bevatten; dat zijn bijzondere categorieën van persoonsgegevens die uitsluitend onder verantwoordelijkheid van de hypnotherapeut worden verwerkt.

Betaalgegevens

Betalingen van cliënten aan hypnotherapeuten lopen rechtstreeks via de betaalprovider (Stripe of Mollie) van de betreffende hypnotherapeut. Wij ontvangen alleen de status van een transactie (bijvoorbeeld “betaald”), nooit volledige kaartgegevens.

Technische gegevens

Bij gebruik van de dienst verwerken we logbestanden met bijvoorbeeld IP-adres, browsertype en tijdstip, voor beveiliging, foutopsporing en misbruikpreventie.

4. Gekoppelde agenda’s: Google, Microsoft en Apple

Een accounthouder kan er zelf voor kiezen om een agenda te koppelen zodat HypnoStroom rekening houdt met bestaande afspraken. Deze koppeling is optioneel en kan op elk moment worden verbroken.

• Google Agenda — via OAuth vragen we toegang tot de scope https://www.googleapis.com/auth/calendar en tot het e-mailadres van je Google-account (userinfo.email).
• Microsoft / Outlook Agenda — via OAuth met de rechten Calendars.ReadWrite en User.Read.
• Apple Agenda — via CalDAV met een app-specifiek wachtwoord dat je zelf aanmaakt.

We gebruiken deze toegang uitsluitend om:

• bezette tijdvakken in je agenda op te halen (vrij/bezet-informatie) zodat er geen dubbele boekingen ontstaan; en
• bevestigde HypnoStroom-afspraken als agenda-item in je agenda te zetten.

We lezen de inhoud van je bestaande afspraken niet uit voor andere doeleinden, we tonen die inhoud niet in de app, en we bewaren geen kopie van je agenda buiten wat nodig is voor bovenstaande functies.

Beperkt gebruik van Google-gebruikersgegevens

Het gebruik door HypnoStroom van gegevens die zijn ontvangen via Google API’s voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-vereisten. In het Engels, zoals door Google vereist: “HypnoStroom’s use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.”

Concreet betekent dit dat we Google-gebruikersgegevens:

• alleen gebruiken om de door jou gevraagde functies te leveren (agendasynchronisatie voor beschikbaarheid en het aanmaken van afspraken);
• niet verkopen;
• niet gebruiken of doorgeven voor advertenties;
• niet delen met derden, behalve voor zover nodig om de dienst te leveren, om te voldoen aan toepasselijke wetgeving, of met jouw toestemming;
• niet door mensen laten inzien, tenzij je daarvoor uitdrukkelijk toestemming geeft, het nodig is voor beveiligingsdoeleinden, het wettelijk verplicht is, of de gegevens geaggregeerd en geanonimiseerd zijn.

Toegang intrekken

Je kunt een agendakoppeling verbreken in HypnoStroom via Instellingen, onderdeel Agenda-koppeling. Voor Google kun je de toegang daarnaast intrekken via myaccount.google.com/permissions. Bij het verbreken van de koppeling of het sluiten van je account verwijderen we de bijbehorende OAuth-tokens.

5. Doeleinden en rechtsgronden

• Uitvoering van de overeenkomst — het leveren van het platform aan accounthouders (art. 6 lid 1 sub b AVG).
• Toestemming — het koppelen van een externe agenda (art. 6 lid 1 sub a AVG); op elk moment intrekbaar.
• Gerechtvaardigd belang — beveiliging, verbetering van de dienst en misbruikpreventie (art. 6 lid 1 sub f AVG).
• Wettelijke verplichting — het bewaren van facturen en financiële gegevens (art. 6 lid 1 sub c AVG).
• Cliëntgegevens worden verwerkt onder verantwoordelijkheid van de hypnotherapeut; de grondslag voor bijzondere categorieën (gezondheid) ligt doorgaans in art. 9 lid 2 sub h AVG (zorgverlening) en wordt door de hypnotherapeut bepaald.

6. Verwerkers en andere ontvangers

We schakelen zorgvuldig geselecteerde dienstverleners in die namens ons gegevens verwerken, op basis van een verwerkersovereenkomst:

• Convex — database en back-end (primaire opslag in de EU, regio Ierland);
• Clerk — accountauthenticatie;
• Vercel — hosting van de webapplicatie;
• Resend — verzending van transactionele e-mail (bevestigingen, herinneringen);
• Stripe en Mollie — betalingsverwerking, uitsluitend als een hypnotherapeut die koppelt;
• Google, Microsoft en Apple — uitsluitend bij een door de accounthouder gekozen agendakoppeling.

We verkopen je gegevens niet en delen ze niet met derden voor hun eigen doeleinden.

7. Doorgifte buiten de Europese Economische Ruimte

De primaire opslag van HypnoStroom bevindt zich in de EU. Sommige verwerkers (bijvoorbeeld Stripe, Google, Microsoft) kunnen gegevens verwerken buiten de EER. In dat geval gebeurt dit onder passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit.

8. Bewaartermijnen

• Accountgegevens — zolang je account actief is, en tot 90 dagen daarna in back-ups, tenzij een langere termijn wettelijk vereist is.
• Facturen en financiële gegevens — gedurende de wettelijke fiscale bewaartermijn (in Nederland doorgaans zeven jaar).
• Cliëntgegevens, waaronder sessienotities — beheerd door de hypnotherapeut. Voor sessienotities geldt in Nederland een wettelijke bewaarplicht (in de regel 20 jaar); deze gegevens mogen niet zonder meer worden verwijderd. Zolang het praktijkaccount actief is, bewaren wij ze namens de hypnotherapeut. Zegt een hypnotherapeut het account op, dan is die er zelf verantwoordelijk voor om vóór beëindiging alle sessienotities en cliëntdossiers te exporteren of te laten exporteren en elders te bewaren voor de resterende wettelijke bewaartermijn; daarna verwijderen wij de gegevens van onze systemen.
• Agenda-tokens — tot je de koppeling verbreekt of je account sluit.
• Technische logs — doorgaans niet langer dan 12 maanden.

9. Je rechten

Je hebt het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, bezwaar, en overdraagbaarheid van je gegevens, en het recht om gegeven toestemming in te trekken.

• Accounthouders — richt je verzoek aan contact@hypnostroom.nl.
• Cliënten — richt je verzoek in eerste instantie tot je hypnotherapeut, die verantwoordelijk is voor jouw gegevens. Wij ondersteunen de hypnotherapeut bij de afhandeling.

Je hebt ook het recht een klacht in te dienen bij een toezichthouder voor gegevensbescherming: in Nederland de Autoriteit Persoonsgegevens, of de toezichthouder voor gegevensbescherming in je eigen land.

10. Beveiliging

We beschermen je gegevens met versleuteling tijdens transport (TLS), toegangscontrole, gescheiden omgevingen voor ontwikkeling en productie, en opslag bij gerenommeerde providers met datacenters in de EU. Geen enkele dienst kan absolute veiligheid garanderen, maar we evalueren onze maatregelen doorlopend.

11. Cookies

HypnoStroom gebruikt alleen strikt noodzakelijke cookies: een sessiecookie om ingelogd te blijven (Clerk) en een cookie (NEXT_LOCALE) dat je taalkeuze onthoudt. We gebruiken geen trackingcookies, advertentiecookies of analytics van derden.

12. Minderjarigen

De dienst is bedoeld voor professionele hypnotherapeuten. Een cliënt jonger dan 18 jaar kan alleen worden geboekt met toestemming van een ouder of voogd; de hypnotherapeut beoordeelt dit.

13. Wijzigingen in dit beleid

We kunnen dit privacybeleid van tijd tot tijd aanpassen. De datum bovenaan de pagina geeft aan wanneer de laatste wijziging is doorgevoerd. Bij wezenlijke wijzigingen informeren we accounthouders per e-mail of via de app.

14. Contact

HypnoStroom, gevestigd in Portugal (hypnostroom.nl). E-mail: contact@hypnostroom.nl. Zie ook onze algemene voorwaarden.