Privacyverklaring

1. Wie de verwerkingsverantwoordelijke is

Voor je accountgegevens (naam, e-mailadres, factuurgegevens voor je abonnement), als je behandelaar of praktijk met een Nerela-account bent, en voor de gegevens van mensen die onze websites (nerela.eu en nerela.lat) bezoeken, is LAGASTROEMIA VENTURES OÜ de verwerkingsverantwoordelijke, met statutaire zetel aan Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estland, btw-identificatienummer EE102418024. Met vragen over gegevensbescherming kun je bij ons terecht via admin@nerela.eu.

Voor de gegevens van cliënten die een behandelaar in de App invoert (cliëntendossiers, sessieaantekeningen, afspraken) is de behandelaar of praktijk zelf de verwerkingsverantwoordelijke — die bepaalt immers welke gegevens worden verzameld en waarom. Nerela treedt hier op als verwerker: we verwerken die gegevens alleen om de dienst te leveren en volgens de instructies van de behandelaar, nooit voor eigen doeleinden.

2. Welke gegevens we verwerken

• Accountgegevens van de behandelaar: naam, e-mailadres, telefoonnummer, accounttype (zelfstandig/centrum), voorkeurstaal.
• Factuurgegevens voor het abonnement: btw-nummer, factuuradres, IBAN (voor je eigen Nerela-abonnement).
• Cliëntgegevens die de behandelaar invoert: naam, contactgegevens (e-mailadres/telefoonnummer), adres, afspraakgegevens en — de gevoeligste categorie — klinische sessieaantekeningen.
• Minimale technische gegevens: toegangs- en foutlogs van de server, gefilterd zoals beschreven in onderdeel 9.
• Gegevens van mensen die onze websites (nerela.eu en nerela.lat) bezoeken: de campagne of link waarvandaan je komt en, alleen als je advertenties accepteert, browser-ID's en gebeurtenissen van het bezoek (de pagina bekijken, op de aanmeldknop of de WhatsApp-knop klikken), zoals beschreven in onderdeel 11.
• Alleen als je marketingcookies op onze openbare website hebt geaccepteerd: de gegevens die we naar Meta sturen wanneer je je account aanmaakt (je e-mailadres en telefoonnummer omgezet in een onomkeerbare vingerafdruk — een SHA-256-hash —, je IP-adres, de user agent van je browser en de Meta-identificatoren van je browser en van je klik). Daar zitten geen cliëntgegevens in.

3. Gezondheidsgegevens: rechtsgrond en extra zorgvuldigheid

Sessieaantekeningen en alle klinische informatie zijn “bijzondere categorieën van persoonsgegevens” volgens artikel 9 van de AVG. De behandelaar (als verwerkingsverantwoordelijke ten opzichte van de eigen cliënt) moet over een geldige rechtsgrond beschikken — doorgaans de uitdrukkelijke toestemming van de cliënt, of het feit dat de verwerking nodig is voor de therapeutische zorg die de cliënt zelf ontvangt (artikel 9, lid 2, onder a of h).

Aan onze kant beschermen we die gegevens met een technische scheiding per behandelaar (Row Level Security in Supabase — elke behandelaar heeft op databaseniveau alleen toegang tot de eigen cliënten) en met het filterbeleid van onze foutmonitoring, beschreven in onderdeel 9.

4. Doeleinden en rechtsgrond van de verwerking

• De dienst leveren (agenda, dossiers, aantekeningen, facturering, online afspraken) — uitvoering van onze overeenkomst met jou.
• Je abonnement en de bijbehorende facturering afhandelen — uitvoering van de overeenkomst en nakoming van wettelijke fiscale verplichtingen.
• Afspraakherinneringen per e-mail/WhatsApp naar cliënten sturen, op verzoek van de behandelaar — uitvoering van de overeenkomst tussen de behandelaar en de cliënt, via Nerela als verwerker.
• Beveiliging en het opsporen van fouten — gerechtvaardigd belang bij een betrouwbare en veilige werking van de dienst, waarbij persoonsgegevens worden uitgefilterd (onderdeel 9).
• Onze advertenties op Google en Meta meten en optimaliseren — jouw toestemming (artikel 6, lid 1, onder a van de AVG en, voor cookies, de ePrivacyregels), die je op elk moment kunt intrekken via de link “Cookies” onderaan de website.
• Weten uit welke campagne of via welke link elke aanmelding komt, met de eigen meetcookies uit het Cookiebeleid — gerechtvaardigd belang bij het meten van de effectiviteit van onze eigen advertenties, zonder die gegevens met derden te delen.

5. Hoe lang we gegevens bewaren

Zolang je account actief is, bewaren we de gegevens die nodig zijn om de dienst te leveren. Na je opzegging verwijderen of anonimiseren we ze binnen een redelijke termijn, behalve wanneer we wettelijk verplicht zijn ze langer te bewaren (bijvoorbeeld de fiscale documenten van je abonnement).

Voor de dossiers van je cliënten gelden eigen bewaartermijnen, vastgelegd in de wet en in de regels van je beroepsorganisatie. Als verwerkingsverantwoordelijke voor die gegevens ben jij degene die deze termijnen moet naleven: als je informatie langer wilt bewaren dan je account bestaat, neem dan contact met ons op voordat je opzegt (admin@nerela.eu).

6. Met wie we gegevens delen (subverwerkers)

We verkopen gegevens aan niemand. We delen gegevens alleen met de dienstverleners die we nodig hebben om de dienst te laten werken, elk met eigen afspraken over gegevensbescherming — zie de tabel onderaan deze pagina. Meta is geen verwerker en staat daarom niet in de tabel: als je advertenties op de website accepteert, ontvangt Meta de pixelgegevens als verwerkingsverantwoordelijke (onderdeel 11).

7. Internationale doorgifte

De klinische gegevens die je in Nerela vastlegt — cliëntdossiers, afspraken, sessieaantekeningen en bijgevoegde afbeeldingen — staan bij Supabase (database, authenticatie en bestandsopslag), in de EU-regio Parijs, Frankrijk (eu-west-3). De servercode van de App draait bij Vercel, ook in Parijs (regio cdg1); statische bestanden en de routering van verzoeken lopen via het wereldwijde netwerk van Vercel.

Sommige dienstverleners verwerken gegevens in de Verenigde Staten, en dat zeggen we liever openlijk dan dat we beweren dat er geen zijn. Resend verstuurt de e-mails van de App (afspraakherinneringen en -uitnodigingen, facturen, overzichten voor je boekhouder en meldingen aan jou) en verwerkt die gegevens in de Verenigde Staten. Twilio komt er alleen aan te pas als je WhatsApp gebruikt (herinneringen via WhatsApp of de Secretaria Virtual) en verwerkt de berichten in de Verenigde Staten, de standaardregio van Twilio. Stripe handelt de betaling van je abonnement af en — als je dat inschakelt — de kaartbetalingen van je cliënten, vanuit Ierland en met doorgifte naar de Verenigde Staten. Anthropic komt er alleen aan te pas als je de Secretaria Virtual inschakelt: het AI-model dat WhatsApp-antwoorden opstelt, moet de berichten in dat gesprek kunnen lezen. Geen van deze dienstverleners ontvangt je sessieaantekeningen.

Als we foutmonitoring (Sentry) inschakelen, kunnen foutrapporten — gefilterd voordat ze onze server verlaten (onderdeel 9) — in de Verenigde Staten worden verwerkt, afhankelijk van de regio van het project. Elke doorgifte buiten de EER berust op een waarborg uit hoofdstuk V van de AVG — het EU-VS-kader inzake gegevensbescherming of de modelcontractbepalingen die door de Europese Commissie zijn goedgekeurd — die in de tabel onderaan deze pagina staat.

Als je advertenties op de website accepteert, ontvangt Meta Platforms Ireland Limited (Ierland) de gegevens van de Meta-pixel (onderdeel 11) en kan die doorgeven aan de Verenigde Staten, met een waarborg uit hoofdstuk V van de AVG: het EU-VS-kader inzake gegevensbescherming of de modelcontractbepalingen die door de Europese Commissie zijn goedgekeurd.

8. Je rechten

Ben je behandelaar met een Nerela-account, of cliënt van een behandelaar die Nerela gebruikt? Dan heb je recht op inzage, rectificatie, wissing en beperking van de verwerking van je persoonsgegevens, het recht om bezwaar te maken en het recht op overdraagbaarheid van je gegevens. Als je cliënt bent, richt je je verzoek normaal gesproken eerst tot je behandelaar (de verwerkingsverantwoordelijke voor je klinische gegevens); wij ondersteunen het afhandelen van dat verzoek technisch.

Wil je deze rechten uitoefenen voor de gegevens van je behandelaarsaccount, mail dan naar admin@nerela.eu. De gegevens van je cliënten kun je rechtstreeks in de App inzien, corrigeren en wissen. Voor overdraagbaarheid kun je de gegevens exporteren via Instellingen, in het onderdeel over privacy en gegevens, zodra die optie in je account beschikbaar is, of ons via admin@nerela.eu om een kopie vragen; die sturen we je binnen 30 dagen toe, in een gestructureerde en gangbare vorm.

9. Beveiliging en foutmonitoring

Gegevens zijn tijdens verzending altijd versleuteld (HTTPS/TLS). De scheiding tussen behandelaars wordt afgedwongen op databaseniveau (Row Level Security in Supabase), niet alleen in de applicatie.

Als we Sentry (foutmonitoring) inschakelen, stellen we dat in met een strikt privacybeleid: we sturen geen inhoud van verzoeken (request-bodies), queryparameters, sessiecookies of inhoud van sessieaantekeningen mee. We gebruiken geen sessieopname (“session replay”) en ook geen andere vorm van schermopname. Foutmeldingen gaan door een filter dat automatisch probeert e-mailadressen, telefoonnummers en fiscale nummers te verwijderen voordat ze onze server verlaten.

10. Minderjarigen

Nerela is een hulpmiddel voor behandelaars en is niet bedoeld om rechtstreeks door minderjarige cliënten te worden gebruikt. Gegevens van minderjarige cliënten kunnen worden verwerkt door de behandelaar die verantwoordelijk is voor hun zorg, op dezelfde rechtsgrond die voor de therapeutische relatie geldt.

11. Bezoekers van onze websites: advertenties en meting

Op nerela.eu en nerela.lat — de openbare website; de applicatie app.nerela.eu bevat geen advertenties — is het bedrijf uit onderdeel 1 de verwerkingsverantwoordelijke. Zonder jouw toestemming slaan we alleen op uit welke campagne of via welke link je komt (de cookies nerela_attrib en nerela_utm, beschreven in het Cookiebeleid), zodat we weten wat elke aanmelding heeft gebracht.

Als je advertenties accepteert in de cookiemelding, meten en optimaliseren we onze advertenties met Google Ads en met de Meta-pixel (Facebook en Instagram). De Meta-pixel wordt pas geladen nadat je advertenties hebt geaccepteerd en stuurt Meta de browser-ID's (de cookies _fbp en _fbc en, als je via een advertentie komt, de klik-ID van Facebook), het IP-adres, de browser, de pagina die je bezoekt en de gebeurtenissen van het bezoek: de pagina bekijken, op de aanmeldknop klikken of op de WhatsApp-knop klikken. We sturen Meta niets uit de applicatie en geen cliëntgegevens. De rechtsgrond is jouw toestemming (artikel 6, lid 1, onder a van de AVG), die je op elk moment kunt intrekken via de link “Cookies” onderaan de website, zonder dat dit de eerdere verwerking aantast.

Als je advertenties hebt geaccepteerd en daarna een account aanmaakt, kan onze server Meta laten weten dat je je hebt aangemeld, zonder enige klinische gegevens, zodat we kunnen meten welke advertentie de aanmelding heeft opgeleverd: daarvoor gebruikt hij de browser-ID's hierboven en de contactgegevens van het account, versleuteld met een hash voordat ze onze server verlaten. Als je advertenties niet hebt geaccepteerd, wordt er niets verstuurd.

Meta is niet onze verwerker: voor de pixelgegevens treedt Meta op als verwerkingsverantwoordelijke, zelfstandig of samen met ons, afhankelijk van de fase van de verwerking, en verwerkt die gegevens volgens de eigen voorwaarden en het eigen privacybeleid. Wil je je rechten uitoefenen op de gegevens uit dit onderdeel, mail dan naar admin@nerela.eu.

12. Wijzigingen in deze verklaring

We kunnen deze verklaring aanpassen om wijzigingen in de dienst of in de toepasselijke wetgeving weer te geven. Wezenlijke wijzigingen laten we je weten per e-mail of via een melding in de App.

13. Toezichthoudende autoriteit

Je hebt het recht een klacht in te dienen bij de bevoegde toezichthoudende autoriteit — in Portugal de Comissão Nacional de Proteção de Dados (CNPD); in Spanje de Agencia Española de Protección de Datos (AEPD); in Nederland de Autoriteit Persoonsgegevens (AP); in België de Gegevensbeschermingsautoriteit (GBA) — onverminderd elke andere administratieve of gerechtelijke voorziening.

14. Contact

Voor vragen over deze verklaring of over de manier waarop we je gegevens verwerken, kun je mailen naar admin@nerela.eu. Je schrijft dan naar hetzelfde bedrijf dat in onderdeel 1 wordt genoemd.