Privacyverklaring

Algemene informatie en verplichte informatie

De verantwoordelijke instantie voor de gegevensverwerking in deze app en op deze website is: physiopass.eu Friederike Dethleff Am Schellbruch 34 23568 Lübeck De verantwoordelijke instantie beslist alleen of samen met anderen over de doeleinden en middelen van de verwerking van persoonsgegevens (bijv. namen, contactgegevens enz.).

Intrekking van de toestemming voor gegevensverwerking

Sommige gegevensverwerkingsprocessen zijn alleen mogelijk met de uitdrukkelijke toestemming van de betrokkene. Een reeds gegeven toestemming kan op elk moment worden ingetrokken. Een informele mededeling per e-mail is voldoende voor de intrekking. De rechtmatigheid van de gegevensverwerking die heeft plaatsgevonden vóór de intrekking blijft onaangetast door de intrekking. Recht op klacht bij de bevoegde toezichthoudende autoriteit: de betrokkene heeft het recht om in geval van een inbreuk op de privacywetgeving een klacht in te dienen bij de bevoegde toezichthoudende autoriteit. De bevoegde toezichthoudende autoriteit voor privacykwesties is de functionaris voor gegevensbescherming van de deelstaat waar ons bedrijf gevestigd is. De volgende link biedt een lijst van functionarissen voor gegevensbescherming en hun contactgegevens: https://www.bfdi.bund.de/DE/Infothek/Anschriften_Links/anschriften_links-node.html.

Rechten van de betrokkene (Art. 15–22 AVG)

Binnen het kader van de geldende wettelijke bepalingen heeft de betrokkene de volgende rechten met betrekking tot zijn persoonsgegevens: Recht op informatie (Art. 15 AVG): de betrokkene kan te allen tijde kosteloze informatie opvragen over de over hem opgeslagen persoonsgegevens, de herkomst ervan, de ontvangers en het doel van de verwerking. Recht op rectificatie (Art. 16 AVG): de betrokkene kan de correctie van onjuiste gegevens of de aanvulling van de bij ons opgeslagen persoonsgegevens verlangen. Recht op wissing (Art. 17 AVG): de betrokkene kan de verwijdering van de over hem opgeslagen persoonsgegevens verlangen, tenzij de verwerking noodzakelijk is voor de uitoefening van het recht op vrijheid van meningsuiting, voor de nakoming van een wettelijke verplichting of om redenen van algemeen belang. Recht op beperking van de verwerking (Art. 18 AVG): de betrokkene kan de beperking van de verwerking van zijn persoonsgegevens verlangen als hij de juistheid van de gegevens betwist, de verwerking onrechtmatig is, wij de gegevens niet meer nodig hebben of hij bezwaar heeft gemaakt tegen de verwerking. Recht op gegevensoverdraagbaarheid (Art. 20 AVG): de betrokkene heeft het recht om gegevens die wij op basis van zijn toestemming of ter uitvoering van een overeenkomst geautomatiseerd verwerken, in een machineleesbaar formaat aan zichzelf of aan een derde te laten verstrekken. Recht van bezwaar (Art. 21 AVG): indien persoonsgegevens worden verwerkt op basis van gerechtvaardigde belangen overeenkomstig Art. 6 lid 1 lit. f AVG, heeft de betrokkene het recht om bezwaar te maken tegen de verwerking overeenkomstig Art. 21 AVG, onder opgave van redenen die verband houden met zijn bijzondere situatie. Geautomatiseerde besluitvorming (Art. 22 AVG): Er vindt geen geautomatiseerde besluitvorming plaats, inclusief profilering, die rechtsgevolgen voor de betrokkene heeft of hem op vergelijkbare wijze aanzienlijk treft. Hiervoor en ook voor verdere vragen over het onderwerp persoonsgegevens kan de betrokkene te allen tijde contact met ons opnemen via de contactmogelijkheden vermeld in het impressum.

SSL- of TLS-versleuteling

Om veiligheidsredenen en ter bescherming van de overdracht van vertrouwelijke inhoud die gebruikers naar ons sturen, maken onze app en website gebruik van SSL- of TLS-versleuteling. Dit betekent dat gegevens die via deze app of website worden verzonden, niet door derden kunnen worden gelezen. Een versleutelde verbinding is herkenbaar aan de "https://" adresregel van de browser en het slotpictogram in de browserregel.

Serverlogbestanden

In serverlogbestanden verzamelt en slaat de provider van de website automatisch informatie op die de browser van de gebruiker automatisch naar ons verzendt. Dit zijn: bezochte pagina op ons domein, datum en tijd van het serververzoek, browsertype en browserversie, gebruikt besturingssysteem, verwijzende URL, hostnaam van de toegang verkrijgende computer, IP-adres. Deze gegevens worden niet samengevoegd met andere gegevensbronnen. De basis voor de gegevensverwerking is Art. 6 lid 1 lit. b AVG, dat de verwerking van gegevens voor de uitvoering van een overeenkomst of precontractuele maatregelen toestaat.

Contactformulier

Via het contactformulier verzonden gegevens worden inclusief de contactgegevens van de gebruiker opgeslagen om het verzoek te kunnen verwerken of om beschikbaar te zijn voor vervolgvragen. Deze gegevens worden niet doorgegeven zonder toestemming van de gebruiker. De verwerking van de in het contactformulier ingevoerde gegevens vindt uitsluitend plaats op basis van die toestemming (Art. 6 lid 1 lit. a AVG). Een reeds gegeven toestemming kan op elk moment worden ingetrokken. Een informele mededeling per e-mail is voldoende voor de intrekking. De rechtmatigheid van de gegevensverwerkingsprocessen die hebben plaatsgevonden vóór de intrekking blijft onaangetast door de intrekking. Via het contactformulier verzonden gegevens blijven bij ons totdat de gebruiker ons verzoekt ze te verwijderen, zijn toestemming voor opslag intrekt of er geen noodzaak meer is voor gegevensopslag. Dwingende wettelijke bepalingen — met name bewaartermijnen — blijven onaangetast. Het bericht wordt per e-mail bezorgd op het in het impressum genoemde contactadres. De bezorging wordt uitgevoerd door Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, VS, als verwerker, uitsluitend ten behoeve van de e-mailverzending. De doorgifte van gegevens naar de VS vindt plaats op basis van standaardcontractbepalingen (SCC's) overeenkomstig art. 46 lid 2 onder c AVG. Meer informatie: https://resend.com/legal/privacy-policy.

Cookies en lokale opslag

De app plaatst geen cookies. Cookies zijn een technologie van de webbrowser en worden in de app niet toegepast. Er worden evenmin advertentie- of trackingkenmerken van het besturingssysteem uitgelezen (zoals de IDFA op iOS of de Advertising ID op Android), en er vindt geen tracking over apparaten heen plaats. De website laadt een Google Ads-conversietag pas na uitdrukkelijke toestemming via de informatiemelding (Google Consent Mode v2). Tot dat moment blijven ad_storage, ad_user_data, ad_personalization en analytics_storage op „denied“ gezet; er worden geen advertentiecookies geplaatst. Het sluiten van de melding verbergt het bericht zonder die toestemming te verlenen. Ook zonder toestemming telt de website geaggregeerd hoe vaak de melding wordt geaccepteerd, geweigerd of gesloten en hoe vaak op een link naar een app store of naar de console voor therapeuten wordt geklikt. Hiervoor stuurt de browser een eigen verzoek naar physiopass.eu dat alleen het type gebeurtenis en de taal van de pagina bevat; er wordt niets op het apparaat opgeslagen of daaruit gelezen, het verzoek bevat geen identificatie, en IP-adres, user agent en referrer worden voor de telling niet gelezen of opgeslagen. De telling wordt niet aan een persoon gekoppeld en dient uitsluitend om bereik en toestemmingspercentage van de website en de advertenties te beoordelen. De hostingprovider verwerkt het verzoek technisch zoals elk ander paginaverzoek (zie sectie 17). De melding biedt „Accepteren” en „Weigeren” gelijkwaardig aan; weigeren verleent niets. De store-QR-codes op de website verwijzen naar korte links op physiopass.eu (/go/ios, /go/android). Een scan wordt anoniem en zonder identificatie geteld en daarna met een campagnemarkering doorgestuurd naar de store; er wordt verder niets gelezen of opgeslagen. Het OpenAI Measurement Pixel wordt eveneens pas na toestemming geladen en kan dan de first-partycookie __oppref plaatsen om een klik op een ChatGPT-advertentie toe te wijzen. Ook Vercel Web Analytics wordt pas na toestemming geladen; het gaat om een cookieloze server-side paginaweergaveteller die gepseudonimiseerde gegevens verzamelt over de bezochte pagina, de verwijzende URL, de globale locatie (land/stad) en het apparaat, besturingssysteem en de browser. De praktijkwerkplek op app.physiopass.eu laadt Vercel Web Analytics eveneens pas na een optionele toestemming in de werkplek; tot dat moment wordt de teller niet opgevraagd. Die toestemming wordt in de lokale opslag van deze oorsprong bewaard en geldt niet voor physiopass.eu, omdat de twee oorsprongen de lokale opslag niet delen.

De website slaat vijf vermeldingen op in de lokale opslag (Web Storage) van de browser. Deze gegevens blijven op het apparaat van de gebruiker en worden noch aan ons noch aan derden doorgegeven. physiopass_lang (localStorage, blijft bewaard tot de gebruiker het verwijdert) slaat de taal op die de gebruiker uitdrukkelijk heeft gekozen via de taalkiezer of via een ?lang=-parameter, zodat de website bij een volgend bezoek in die taal verschijnt; een taal die uitsluitend uit de browserinstellingen wordt afgeleid, wordt niet opgeslagen. physiopass_lang_redirected (sessionStorage, wordt verwijderd wanneer het browsertabblad wordt gesloten) legt vast dat in dit tabblad al een eenmalige doorverwijzing naar een taalversie heeft plaatsgevonden en voorkomt herhaalde doorverwijzingen. physiopass_consent (localStorage, blijft bewaard tot de gebruiker het verwijdert) slaat de datum en het tijdstip op waarop de informatiemelding is verborgen, zodat deze niet bij elk bezoek opnieuw wordt getoond. physiopass_ads_consent (localStorage, blijft bewaard tot de gebruiker het verwijdert) legt vast dat de betrokkene de Google Ads-conversietag en het OpenAI Measurement Pixel heeft geaccepteerd, zodat de tag bij een volgend bezoek kan worden geconfigureerd. Het enkel sluiten van de melding schrijft deze vermelding niet. physiopass_analytics_consent (localStorage, blijft bewaard tot de gebruiker het verwijdert) legt vast dat de betrokkene Vercel Web Analytics heeft geaccepteerd, zodat de teller bij een volgend bezoek kan worden geladen. Het enkel sluiten van de melding schrijft ook deze vermelding niet.

De praktijkwerkplek (app.physiopass.eu) slaat op de eigen oorsprong drie vermeldingen op in de lokale opslag van de browser. Deze gegevens blijven op het apparaat van de gebruiker en worden noch aan ons noch aan derden doorgegeven. physiopass_analytics_consent (localStorage, bewaard tot de gebruiker het verwijdert) wordt alleen geschreven als de betrokkene op de praktijkwerkplek toestemming geeft voor Vercel Web Analytics, zodat de paginabezoekteller bij een volgend bezoek kan worden geladen. Zolang die vermelding ontbreekt, wordt de teller niet geladen. physiopass_recent_shares (localStorage, bewaard tot de gebruiker het verwijdert) slaat per aangemelde gebruiker de laatst vanaf de werkplek gedeelde programma’s en het tijdstip van het delen op, zodat ze opnieuw gedeeld kunnen worden. physiopass_share_default (localStorage, bewaard tot de gebruiker het verwijdert) slaat per aangemelde gebruiker op welke manier het laatst is gedeeld (QR-code, PDF, link of het deelvenster van het apparaat), zodat die manier de volgende keer al is geselecteerd. Toestemming op physiopass.eu geldt niet voor app.physiopass.eu en omgekeerd. De enige verbinding is de meting van de aanmelding: na een aanmelding laadt de console in een verborgen frame een lege pagina van physiopass.eu. Er worden geen accountgegevens aan doorgegeven. Die pagina past de op physiopass.eu gegeven toestemming toe: als daar advertentietoestemming is gegeven, meldt zij aan Google Ads dat een aanmelding heeft plaatsgevonden; anders verhoogt zij alleen de in deze sectie beschreven anonieme telling. Daarnaast plaatst de therapeutenconsole één eigen cookie, physiopass_ui_locale, alleen wanneer de gebruiker op de inlogpagina of in de console een taal kiest. Het bewaart de gekozen taalcode een jaar, zodat de console bij het volgende bezoek, ook vóór het inloggen, in die taal wordt weergegeven. De browser stuurt het met paginaverzoeken naar onze server; het bevat geen identificatiemiddel en wordt niet met derden gedeeld. Een louter gedetecteerde taal wordt niet opgeslagen: om de begintaal te kiezen leest de console de taalinstellingen van de browser en het land dat de hostingprovider uit het IP-adres afleidt en in een verzoekheader doorgeeft; geen van beide wordt voor dit doel bewaard.

De app slaat gegevens op in het beveiligde app-gebied van het apparaat. Deze gegevens blijven op het apparaat en zijn uitsluitend voor de app toegankelijk. Het gaat concreet om: (a) de aanmeldsessie, dat wil zeggen de door Supabase Auth uitgegeven toegangs- en vernieuwingstokens, zodat de gebruiker na het sluiten van de app aangemeld blijft; (b) app-instellingen en interfacestatus, namelijk de gekozen taal, de geluids- en autoplay-instelling, de instellingen voor trainingsherinneringen (ingeschakeld ja/nee, tijdstip, weekdagen), de laatst gebruikte filters en lijstweergaven en de registratie van welke eenmalige hints al zijn getoond; (c) de stand van een lopende training, dat wil zeggen de kenmerken van de opgenomen oefeningen, de huidige positie en de naam van het trainingsplan, zodat een onderbroken training kan worden hervat; (d) een mediacache waarin reeds gedownloade oefeningsafbeeldingen en -video's tijdelijk worden bewaard om laadtijden en dataverbruik te beperken; (e) de lokale caches van de gebruikte diensten (zie de secties 10, 11 en 13), zoals nog niet verzonden foutmeldingen en de laatst bekende abonnementsstatus; en (f) een wachtrij met niet-opgeslagen trainingen: als het opslaan van een afgeronde training in de database mislukt, wordt de vermelding lokaal bewaard en later opnieuw verzonden. Elke vermelding bestaat uit een kenmerk van de training, de kenmerken van de uitgevoerde oefeningen, het kenmerk en de naam van het trainingsplan voor zover de training vanuit een plan is gestart, de plaats in de app van waaruit deze is gestart, het starttijdstip en de gebruikers-id die bij aanvang van de training is vastgelegd. Een vermelding wordt verwijderd zodra de training met succes is opgeslagen, maar uiterlijk 30 dagen na het starttijdstip ervan. De vermeldingen worden niet verwijderd bij het afmelden en kunnen daarom bij een volgende aanmelding op een gedeeld apparaat nog aanwezig zijn. Verder (g) een offlinekopie van de inhoud van de gebruiker: zodat de app ook zonder internetverbinding iets kan tonen, bewaart zij op het apparaat een kopie van de laatst geladen inhoud van het account, namelijk de eigen oefeningen en programma's met hun teksten, de favorieten en recent gebruikte items, een deel van de oefeningencatalogus en de dagelijkse activiteitsoverzichten op het startscherm (datum, minuten en stemmingsbeoordeling). Elke lijst is beperkt tot 50 items, de bestanden worden beschermd door de gegevensbescherming van het apparaat, zijn uitgesloten van back-ups van het apparaat en worden vervangen telkens wanneer de inhoud opnieuw wordt geladen. De kopie wordt gewist bij het afmelden, bij het verwijderen van het account en wanneer de aanmeldsessie om een andere reden eindigt.

De strikt noodzakelijke opslagvermeldingen zijn zowel op de website als in de app onmisbaar om de door de gebruiker uitdrukkelijk gewenste digitale dienst te kunnen leveren en zijn daarom vrijgesteld van toestemming op grond van § 25 lid 2 nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; tot 14 mei 2024 TTDSG geheten). De op de website getoonde melding vraagt toestemming voor de Google Ads-conversietag, het OpenAI Measurement Pixel en Vercel Web Analytics op grond van § 25 lid 1 TDDDG en Art. 6 lid 1 lit. a AVG indien de betrokkene accepteert. Het sluiten van de melding verleent die toestemming niet. Op de praktijkwerkplek wordt Vercel Web Analytics pas geladen nadat de betrokkene toestemming geeft (navigatie of Mijn praktijk) op grond van § 25 lid 1 TDDDG en Art. 6 lid 1 lit. a AVG; tot dat moment wordt geen paginabezoekteller opgevraagd. Die toestemming kan te allen tijde onder Mijn praktijk worden ingetrokken. De productanalyse in de app vormt een verdere uitzondering: de analysefunctie is bij het starten van de app uitgeschakeld en wordt pas na uitdrukkelijke toestemming geactiveerd; die toestemming wordt gevraagd op grond van § 25 lid 1 TDDDG en Art. 6 lid 1 lit. a AVG en kan op elk moment in de app-instellingen worden ingetrokken (zie sectie 11).

De lokale opslag van de browser kan in elke moderne browser worden bekeken en gewist (instellingen, browsegegevens of websitegegevens wissen). Als deze vermeldingen worden verwijderd of geblokkeerd, blijft de website volledig bruikbaar; de taal moet dan opnieuw worden gekozen en de melding verschijnt opnieuw. In de app wordt de stand van een training gewist zodra deze is afgerond of verworpen, en de aanmeldsessie en de offlinekopie van de inhoud worden bij het afmelden gewist. Alle overige lokaal opgeslagen gegevens worden verwijderd wanneer de app wordt gedeïnstalleerd of de opslag ervan via de systeeminstellingen van het apparaat wordt gewist; de mediacache is bovendien in omvang begrensd en wordt periodiek opgeschoond. Worden deze gegevens gewist, dan blijft de app onbeperkt bruikbaar; de gebruiker moet zich dan opnieuw aanmelden en zijn instellingen opnieuw invoeren.

Aanbieder van de conversietag is Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland (zie ook sectie 14). Meer informatie: https://policies.google.com/privacy De aanbieder van het OpenAI Measurement Pixel is OpenAI, Inc., VS. De doorgifte van gegevens naar de VS is gebaseerd op het EU-VS Data Privacy Framework en, waar nodig, op standaardcontractbepalingen (SCC’s). Meer informatie: https://openai.com/policies/privacy-policy/ De aanbieder van Vercel Web Analytics is Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, VS. De doorgifte van gegevens naar de VS is gebaseerd op standaardcontractbepalingen (SCC's) en op de certificering van Vercel onder het EU-VS Data Privacy Framework (DPF). Meer informatie: https://vercel.com/legal/privacy-policy

Supabase (database, authenticatie, opslag)

Onze app gebruikt Supabase als backend-infrastructuur. De aanbieder is Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (infrastructuur beheerd op Amazon Web Services, AWS). Doel: Supabase wordt gebruikt voor gebruikersauthenticatie (aanmelding met e-mail/wachtwoord en aanmelding via een Google- of Apple-account, zie sectie 14), gegevensopslag (profielen, oefeningen, activiteiten, trainingsplannen, uitnodigingen) en bestandsopslag (video's, afbeeldingen). Verwerkte gegevens: e-mailadres, naam, gebruikersrol, oefenprogramma's, trainingsgeschiedenis, geüploade mediabestanden en, wanneer de gebruiker uitdrukkelijke toestemming heeft gegeven, een pijnscore die voor een activiteit is vastgelegd. Rechtsgrondslag: Art. 6 lid 1 lit. b AVG (uitvoering van de overeenkomst — de verwerking is noodzakelijk om de functionaliteit van de app te bieden) voor account-, oefen-, activiteits- en mediagegevens. Een pijnscore is een gezondheidsgegeven in de zin van Art. 9 AVG en wordt alleen opgeslagen op grond van Art. 9 lid 2 lit. a AVG (uitdrukkelijke toestemming). Voordat een pijnscore wordt opgeslagen, toont de app een toestemmingsblad op het moment van invoer. De gebruiker kan de opslag toestaan of weigeren. Weigeren slaat niets op; trainingen en programma's blijven werken. De toestemming kan op elk moment worden ingetrokken onder Instellingen → Privacy; intrekking verwijdert de opgeslagen pijnscores. Pijnscores die al waren opgeslagen voordat om deze toestemming werd gevraagd, blijven verborgen en worden niet verwerkt totdat de gebruiker ze toestaat of verwijdert. Als de gebruiker niet antwoordt, worden die eerdere scores verwijderd op een vaste datum, 90 dagen nadat de functie is ingeschakeld. De pijnscore wordt niet gedeeld met de therapeut. Locatie van de gegevens: EU (Frankfurt, Duitsland, AWS eu-central-1). Meer informatie: https://supabase.com/privacy.

xAI / Grok API (AI-assistent "Jana")

Onze app biedt een AI-gestuurde fysiotherapie-assistent genaamd "Jana". De aanbieder is SpaceXAI LLC ("xAI"), een bedrijf gevestigd in de VS. Doel: Het beantwoorden van gezondheidsgerelateerde vragen van de gebruiker met behulp van het AI-model "Grok" van xAI. Verwerkte gegevens: Alleen de tekst van de vraag en een pseudonieme technische identificatiecode (geen naam en geen e-mailadres), waarmee xAI misbruik van zijn dienst kan toewijzen, worden verzonden naar de xAI API, en alleen nadat de gebruiker uitdrukkelijke toestemming heeft gegeven op een blad dat op het moment van de vraag wordt getoond, samen met de mededeling over de assistent. Physiopass slaat de vraag en het antwoord niet op: de tekst staat alleen in het geheugen zolang dat blad open is en wordt daarna verwijderd. Physiopass gebruikt voor deze verzoeken de Zero Data Retention-modus van xAI: xAI verwerkt de vraag en het antwoord slechts tijdelijk om het antwoord te genereren en verwijdert ze zodra het antwoord is afgeleverd, en in elk geval uiterlijk één uur na de verwerking van het verzoek. xAI bewaart geen logbestanden, back-ups of andere kopieën ervan, ook niet om veiligheids- of wettelijke redenen. xAI gebruikt via de API ingediende gegevens niet voor het trainen van zijn modellen. Weigeren blokkeert alle vrije-tekstvragen aan Jana. De toestemming kan op elk moment worden ingetrokken onder Instellingen → Privacy; intrekking stopt toekomstige vragen. Rechtsgrondslag: Art. 9 lid 2 lit. a AVG (uitdrukkelijke toestemming) voor de gezondheidsvraag, samen met Art. 6 lid 1 lit. a AVG voor de bijbehorende verwerking. Doorgifte naar derde landen: De gegevens worden doorgegeven naar de VS en kunnen ook worden verwerkt in andere landen waar xAI en zijn subverwerkers actief zijn. De doorgifte vindt plaats op basis van Standaard Contractuele Clausules (SCC's) overeenkomstig Art. 46 lid 2 lit. c AVG, die deel uitmaken van de verwerkersovereenkomst (Data Processing Addendum) van xAI. Meer informatie: https://x.ai/legal/data-processing-addendum.

Spraakinvoer: Het vraagveld kan worden gevuld door dicteren. De app gebruikt dan de spraakherkenning van het besturingssysteem (Apple Speech op iOS, de spraakherkenning van het apparaat op Android), die het microfoonsignaal omzet in tekst. Waar taal en apparaat dat toelaten, vindt de herkenning op het apparaat plaats; anders kan de aanbieder van het besturingssysteem (Apple, Google of de fabrikant van het apparaat) de opname op zijn servers verwerken volgens zijn eigen privacyvoorwaarden. Physiopass ontvangt en bewaart geen audio en stuurt er ook geen door naar xAI: alleen de herkende tekst verschijnt in het vraagveld en wordt pas naar xAI verzonden wanneer de gebruiker de vraag verstuurt, onder voorbehoud van de hierboven beschreven toestemming. Dicteren vereist de microfoontoestemming en op iOS ook de toestemming voor spraakherkenning; beide kunnen op elk moment worden ingetrokken in de apparaatinstellingen, en de vraag kan altijd ook worden getypt.

Dezelfde spraakinvoer is ook beschikbaar in de tekstvelden voor het aanmaken en bewerken van oefeningen en programma's (naam, opmerking en oefenstappen). De herkenning werkt zoals hierboven beschreven. De herkende tekst verschijnt in het betreffende veld en wordt pas, net als getypte tekst, in de database van Physiopass opgeslagen wanneer de gebruiker de oefening of het programma opslaat; hij wordt niet naar xAI verzonden. Ook hier ontvangt en bewaart Physiopass geen audio-opname.

Oefeningsuggesties en afbeeldingen: na een antwoord kan de gebruiker Jana vragen om er oefeningsuggesties van te maken. Daarvoor wordt de tekst van dat antwoord (niet de vraag van de gebruiker) onder dezelfde voorwaarden als hierboven (toestemming, pseudoniem technisch kenmerk, Zero Data Retention) naar xAI verzonden en teruggegeven als gestructureerde suggestie, die Physiopass controleert voordat deze wordt getoond. Er wordt niets opgeslagen totdat de gebruiker de suggestie toevoegt. Voor gebruikers met een Pro-abonnement kan bovendien een afbeelding bij een oefening worden gegenereerd: alleen de naam, de uitgangspositie en de eerste stappen van die oefening worden naar het afbeeldingsmodel van xAI verzonden, zonder naam, e-mailadres of enig ander kenmerk van de gebruiker, en xAI verwerkt ze uitsluitend om de afbeelding te genereren. De afbeelding wordt in de Physiopass-database opgeslagen zoals een geüploade afbeelding, totdat de gebruiker deze of het account verwijdert. Om de dagelijkse limieten af te dwingen registreert Physiopass per verzoek alleen het type, het aantal tokens en het tijdstip, zonder inhoud, tot het account wordt verwijderd. Rechtsgrondslag: art. 6 lid 1 sub b AVG voor de afbeelding; de suggesties berusten op de hierboven beschreven toestemming.

Sentry (fout- en crashrapportage)

Physiopass gebruikt Sentry om fouten te detecteren en op te lossen in zijn mobiele app en therapeutenconsole (app.physiopass.eu). De aanbieder is Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, VS. Doel: foutdetectie, crashrapportage en verbetering van de stabiliteit van de toepassingen. Verwerkte gegevens: in de mobiele app apparaatinformatie (model, besturingssysteem, appversie); in de therapeutenconsole browser-, besturingssysteem- en consoleversie-informatie; in beide toepassingen foutlogboeken (stack traces) en opgeschoonde technische gebeurtenissporen (breadcrumbs) van vlak vóór de fout. Screenshots en sessiereplay (schermopnamen) zijn in beide toepassingen uitgeschakeld; scherminhoud, gebruikerskenmerken, gezondheidsgegevens, programma-inhoud of inhoud over verbonden gebruikers, aanvraaginhoud en identificerende URL-parameters worden niet naar Sentry verzonden. Deze gegevens worden uitsluitend gebruikt voor foutopsporing en worden na 90 dagen automatisch verwijderd. Rechtsgrondslag: Art. 6 lid 1 lit. f AVG (gerechtvaardigd belang bij de stabiliteit en veiligheid van de toepassingen). Doorgifte naar derde landen: De doorgifte van gegevens naar de VS vindt plaats op basis van Standaard Contractuele Clausules (SCC's) en de certificering van Sentry in het EU-US Data Privacy Framework (DPF). Meer informatie: https://sentry.io/privacy/.

PostHog (productanalyse)

Wij gebruiken PostHog om het gebruik van de app te analyseren. De aanbieder is PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, VS. De gegevens worden verwerkt op EU-servers (eu.i.posthog.com, locatie Frankfurt, Duitsland). Doel: Het begrijpen van app-gebruik om functies en gebruikerservaring te verbeteren. Verwerkte gegevens: gepseudonimiseerd gebruikers-ID, gebruikersrol, appversie, platform, schermweergaven, interacties met interface-elementen. Er worden geen gezondheidsgegevens verzameld. Rechtsgrondslag: Art. 6 lid 1 lit. a AVG (uitdrukkelijke toestemming — de toestemming van de gebruiker wordt gevraagd tijdens de onboarding). De toestemming kan te allen tijde worden ingetrokken in de app-instellingen. Doorgifte naar derde landen: Er vindt geen doorgifte naar derde landen plaats — de gegevens blijven op EU-servers in Frankfurt. Bewaartermijn: 12 maanden. Meer informatie: https://posthog.com/privacy.

Gebruiksstatistieken voor gedeelde trainingsprogramma's

Therapeuten kunnen trainingsprogramma's met hun gebruikers delen via een QR-code, een link, een PDF of het deelvenster van het apparaat. Opdat de therapeut kan zien of een door hem gedeeld programma wordt gebruikt, en de therapie zo nodig kan aanpassen, stellen wij per gedeeld programma wekelijkse statistieken op en tonen wij die in het therapeutaccount van waaruit het is gedeeld. Elke keer dat een programma wordt gedeeld (bijvoorbeeld via een QR-code of link), geldt dat voor deze statistieken als een afzonderlijk gedeeld programma.

Wat er wordt geteld. Per gedeeld programma tellen wij: (1) hoe vaak het in de app is geopend of via de weblink is bekeken; (2) hoe vaak het in de app is geïmporteerd of aan een ontvanger is bezorgd; en (3) voor trainingen die vanuit dat programma in de app zijn gestart, ook wanneer de app zonder account wordt gebruikt, hoeveel sessies zijn gestart, hoeveel zijn voltooid en hoeveel oefeningen zijn uitgevoerd.

Hoe er wordt geteld. Het tellen gebeurt uitsluitend op onze servers. Openingen en webweergaven worden geteld wanneer het programma bij onze servers wordt opgevraagd om het weer te geven. Het aantal sessies en oefeningen wordt afgeleid uit de trainingsregistraties die de app al opslaat om de trainingsgeschiedenis te bieden. Voor deze statistieken worden geen aanvullende gegevens vanaf het apparaat van de gebruiker verzonden, en voor dit doel wordt geen informatie op het apparaat van de gebruiker opgeslagen of daaruit uitgelezen. De tellers bevatten uitsluitend het gedeelde programma, de kalenderweek en het type gebeurtenis. Ze bevatten geen naam, e-mailadres, gebruikers- of account-ID, apparaatidentificator, IP-adres of andere identificator.

Bescherming tegen identificatie van personen. Statistieken worden uitsluitend per vaste kalenderweek getoond. Elke waarde van 0 tot en met 4 wordt in plaats van het exacte aantal weergegeven als ‘<5’, en elk totaal waarin zo’n waarde is opgenomen, wordt alleen als minimumwaarde getoond (bijvoorbeeld ‘≥12’). Het aantal sessies en oefeningen voor een gedeeld programma wordt pas getoond zodra dat gedeelde programma aan ten minste vijf verschillende ontvangers is bezorgd. Om deze drempel te controleren, tellen onze servers het aantal verschillende ontvangers; alleen dat aantal wordt gebruikt en het wordt niet getoond. Deze regels worden op onze servers toegepast voordat enig cijfer onze systemen verlaat, en gelden evenzeer voor de export als CSV-bestand.

Ontvangers. De statistieken worden uitsluitend getoond in het therapeutaccount van waaruit het programma is gedeeld. Ze worden niet verstrekt aan werkgevers, zorgverzekeraars of andere derden en worden niet voor reclamedoeleinden gebruikt. De gegevens worden opgeslagen bij onze hostingprovider Supabase (zie sectie 8), die optreedt als onze verwerker.

Rechtsgrondslag. Art. 6 lid 1 lit. f AVG. Ons gerechtvaardigd belang, en dat van de therapeut, is de therapeut te laten zien of een door hem gedeeld programma wordt gebruikt, zodat hij de therapie kan begeleiden en aanpassen, zonder de trainingsgegevens van individuele personen bekend te maken. Voor zover het aantal sessies en oefeningen wordt afgeleid uit trainingsregistraties die oorspronkelijk zijn opgeslagen om de trainingsgeschiedenis te bieden (Art. 6 lid 1 lit. b AVG), is deze verdere verwerking verenigbaar met het oorspronkelijke doel in de zin van Art. 6 lid 4 AVG: zij betreft dezelfde dienst en het programma dat de therapeut heeft verstrekt, en er worden uitsluitend geaggregeerde, gemaskeerde aantallen zonder identificatoren gegenereerd.

Recht van bezwaar. De betrokkene kan te allen tijde bezwaar maken tegen deze verwerking (Art. 21 AVG). De eenvoudigste manier is de optie ‘Sluit me uit van gebruiksstatistieken’ in de app-instellingen, die ook zonder account werkt. Vanaf dat moment worden zijn trainingen niet meer in deze statistieken meegenomen. Als alternatief kan hij per e-mail bezwaar maken bij het in het impressum genoemde contactadres; als de app zonder account wordt gebruikt, kunnen wij zijn gegevens op basis van alleen een e-mail mogelijk niet identificeren (Art. 11 lid 2 AVG), zodat het in dat geval de voorkeur verdient de optie in de app te gebruiken. Wanneer een account wordt verwijderd, worden de trainingen van dat account niet meer geteld. Reeds opgestelde cijfers bevatten geen identificator en kunnen niet meer aan hem worden toegeschreven (Art. 11 AVG).

Bewaartermijn. De wekelijkse tellers worden na 12 maanden verwijderd. De onderliggende trainingsregistraties worden bewaard overeenkomstig sectie 16 (Bewaartermijnen van gegevens).

RevenueCat (beheer van in-app-abonnementen)

Wij gebruiken RevenueCat voor de afhandeling en het beheer van in-app-abonnementen. De aanbieder is RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, VS. Doel: Beheer van in-app-abonnementen, validatie van aankopen bij de App Store of Google Play en synchronisatie van de toegangsrechten (entitlements) tussen de apparaten van de gebruiker. Verwerkte gegevens: gepseudonimiseerd gebruikers-ID (App User ID; dit komt overeen met het gebruikers-ID van het Physiopass-account van de gebruiker, maar bevat zelf geen gegevens in leesbare vorm), door het platform toegekende apparaat- en store-identificatoren, aankoop- en abonnementsstatus (product, aanvang, afloop, verlenging, opzegging, terugbetaling) en het land van het store-account. E-mailadres, naam en gezondheidsgegevens worden niet aan RevenueCat doorgegeven. Betaalgegevens (bijv. kaartgegevens) worden uitsluitend door Apple of Google verwerkt; noch wij noch RevenueCat ontvangen deze. RevenueCat stuurt abonnementsgebeurtenissen via een interface aan ons terug, zodat wij de abonnementsstatus in het account van de gebruiker actueel kunnen houden. De SDK wordt bij het starten van de app geïnitialiseerd, zodat een bestaand abonnement op alle apparaten van de gebruiker kan worden herkend. Rechtsgrondslag: Art. 6 lid 1 lit. b AVG (uitvoering van een overeenkomst — de verwerking is noodzakelijk om betaalde functies te leveren en te factureren en om aankopen te herstellen). Doorgifte naar derde landen: De doorgifte van gegevens naar de VS vindt plaats op basis van Standaard Contractuele Clausules (SCC's) overeenkomstig Art. 46 lid 2 lit. c AVG; er bestaat geen certificering onder het EU-US Data Privacy Framework (DPF). Bewaring: abonnements- en aankoopgegevens in onze database tot verwijdering van het account; bij RevenueCat voor de duur van de contractuele relatie overeenkomstig de verwerkersovereenkomst. Meer informatie: https://www.revenuecat.com/privacy.

Aanmelden met Google of Apple

De app biedt aanmelding via een Google- of Apple-account. Het gebruik hiervan is vrijwillig; aanmelden met e-mailadres en wachtwoord blijft onbeperkt beschikbaar. Kiest de gebruiker deze optie, dan opent het besturingssysteem een aanmeldvenster van de betreffende aanbieder; de inloggegevens van het account bij de aanbieder worden uitsluitend daar ingevoerd en bereiken ons op geen enkel moment. De aanbieders zijn Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland, en Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ierland. Deze aanbieders verwerken de aanmelding als zelfstandige verwerkingsverantwoordelijken en niet als verwerkers namens ons; daarbij komen zij te weten dat de gebruiker zich bij Physiopass heeft aangemeld, evenals het tijdstip en het apparaat van de aanmelding. Ontvangen gegevens: na een geslaagde aanmelding ontvangen wij van de aanbieder een permanente identificatie van het account bij de aanbieder, het e-mailadres en, voor zover door de aanbieder doorgegeven, de voor- en achternaam. Deze gegevens worden aan het Physiopass-account gekoppeld en net als de overige accountgegevens opgeslagen conform sectie 8. Andere gegevens uit het account bij de aanbieder, in het bijzonder contacten, agenda's of opgeslagen inhoud, worden niet opgevraagd en niet doorgegeven. Kiest de gebruiker bij Apple de optie "Verberg mijn e-mailadres", dan geeft Apple in plaats van het persoonlijke e-mailadres een door de aanbieder gegenereerd doorstuuradres (@privaterelay.appleid.com) door; dat adres geldt als het e-mailadres van het account en wordt als zodanig behandeld. Rechtsgrondslag: Art. 6, lid 1, onder b AVG (uitvoering van een overeenkomst — de verwerking is noodzakelijk voor het aanmaken en gebruiken van het account). Doorgifte naar derde landen: de contractpartijen zijn de hierboven genoemde Ierse vennootschappen; voor zover de aanbieders gegevens naar de VS doorgeven, baseren zij dit op Standaard Contractuele Clausules conform Art. 46, lid 2, onder c AVG en op hun certificering onder het EU-US Data Privacy Framework. Bewaring: de koppeling met het account bij de aanbieder blijft bestaan tot het Physiopass-account wordt verwijderd. Meer informatie: https://policies.google.com/privacy en https://www.apple.com/legal/privacy.

Lettertypen

Onze website gebruikt het lettertype Inter voor koppen en enkele uitgelichte tekstelementen; dit lettertype wordt lokaal op onze webserver gehost (self-hosting). De lopende tekst wordt weergegeven in het systeemlettertype dat al op het apparaat van de gebruiker aanwezig is; hiervoor wordt geen lettertypebestand gedownload. Ook onze app gebruikt het systeemlettertype van het apparaat; het lokaal in de app gebundelde lettertype Lato wordt uitsluitend gebruikt voor het genereren van PDF-bestanden (export van oefeningen). Er wordt in geen geval verbinding gemaakt met externe lettertypeservers (zoals Google Fonts). Er worden dan ook geen gegevens aan derden doorgegeven in het kader van het laden van lettertypen.

Bewaartermijnen van gegevens

Wij slaan persoonsgegevens slechts zo lang op als nodig is voor de respectieve doeleinden: Gebruikersaccountgegevens (e-mail, naam, rol): tot verwijdering van het account. Oefen- en trainingsgegevens: tot verwijdering van het account. Activiteitsgegevens: tot verwijdering van het account. Pijnscores: totdat de gebruiker de toestemming intrekt onder Instellingen → Privacy, waardoor ze worden verwijderd, of tot verwijdering van het account. Pijnscores die vóór de toestemming zijn opgeslagen en onbeantwoord blijven, worden verwijderd op de vaste datum, 90 dagen nadat de functie is ingeschakeld. Toestemmingsregistraties (het doel, of het is toegestaan, de versie van de mededeling en het tijdstip): tot verwijdering van het account. Sentry-foutgegevens: 90 dagen (automatische verwijdering). PostHog-analysegegevens: 12 maanden (EU-servers). Gebruiksstatistieken voor gedeelde trainingsprogramma's: 12 maanden. Abonnements- en aankoopgegevens (RevenueCat): tot verwijdering van het account; bij RevenueCat voor de duur van de contractuele relatie. AI-vragen (xAI): Physiopass slaat de tekst van de vraag niet op; xAI verwijdert die zodra het antwoord is afgeleverd (Zero Data Retention). Technische logboekregels voor Jana (model en tokenaantallen, zonder de vraag en zonder het antwoord): 13 maanden, en bij verwijdering van het account. Serverlogbestanden: 7 dagen. Contactformuliergegevens: tot het doel is bereikt of de gebruiker om verwijdering verzoekt. Accountverwijdering: de gebruiker kan zijn account en alle bijbehorende gegevens op elk moment volledig verwijderen, rechtstreeks in de app via de functie ‘Account verwijderen’. De verwijdering vindt onmiddellijk en onherroepelijk plaats: het account en alle bijbehorende gegevens (profiel, oefeningen, programma's, activiteits- en voortgangsgegevens, en geüploade afbeeldingen en video's) worden permanent uit onze systemen verwijderd en kunnen niet worden hersteld. De verwijdering kan ook op elk moment vormvrij per e-mail worden aangevraagd. Eventuele wettelijk verplichte bewaartermijnen blijven hierdoor onverlet.

Subverwerkers en functionaris voor gegevensbescherming

De volgende subverwerkers worden ingezet voor het leveren van onze diensten: Supabase Inc. (database, authenticatie, opslag) — EU (Frankfurt), AWS eu-central-1. SpaceXAI LLC / xAI (AI-assistent) — VS en andere landen, Standaard Contractuele Clausules (SCC's). Functional Software, Inc. / Sentry (foutrapportage) — VS, SCC's + EU-US DPF. PostHog, Inc. (productanalyse) — EU (Frankfurt), geen doorgifte naar derde landen. RevenueCat, Inc. (beheer van in-app-abonnementen) — VS, Standaard Contractuele Clausules (SCC's). Apple Inc. / Google LLC (app-distributie via App Store / Google Play) — VS, eigen privacybeleid van de platformen. Google Ireland Limited en Apple Distribution International Ltd. (aanmelding via een Google- of Apple-account, zie sectie 14) — Ierland; deze aanbieders treden in dit opzicht op als zelfstandige verwerkingsverantwoordelijken en niet als verwerkers. Plus Five Five, Inc. / Resend (bezorging van e-mails van het contactformulier) — VS, standaardcontractbepalingen (SCC's). Vercel Inc. (Vercel Web Analytics) — VS, Standaard Contractuele Clausules (SCC's) + EU-US DPF. Functionaris voor gegevensbescherming: De benoeming van een functionaris voor gegevensbescherming is niet verplicht voor onze organisatie op grond van Art. 37 AVG. Voor vragen over gegevensbescherming kan contact worden opgenomen met de verantwoordelijke instantie genoemd in sectie 1.

Wachtlijsten voor praktijken (therapeutenconsole)

De therapeutenconsole (app.physiopass.eu) biedt geactiveerde praktijken een wachtlijst voor patiënten die wachten op een vrijgekomen afspraak. De praktijk die de lijst beheert (de eigenaar van de lijst) is de verwerkingsverantwoordelijke voor de daarin opgeslagen patiëntgegevens. Physiopass verwerkt deze gegevens namens de praktijk als verwerker (art. 28 AVG) op basis van een verwerkersovereenkomst. De rechtsgrond aan de kant van de praktijk is de behandelrelatie (art. 6, lid 1, onder b, en art. 9, lid 2, onder h, AVG).

Opgeslagen gegevens. Per invoer: naam, verordening, aantal behandelingen, urgentie, gewenste periode en tijdvoorwaarden, voorkeuren voor therapeuten, telefoonnummers, notities en reeds afgesproken of via de lijst toegewezen afspraken. Ook wordt opgeslagen welk lid een invoer heeft aangemaakt en voor het laatst heeft gewijzigd. De gegevens staan bij Supabase (EU, Frankfurt, zie sectie 8). Alleen de leden van de betreffende lijst hebben toegang.

De lijst delen. De eigenaar van een lijst kan collega’s per e-mail uitnodigen. Het e-mailadres van de uitgenodigde wordt opgeslagen tot de uitnodiging wordt geaccepteerd, ingetrokken of verloopt (14 dagen) en wordt verzonden via de e-maildienst Resend. Daarna wordt het verwijderd. Leden van een lijst zien de naam en het e-mailadres van de andere leden.

Dicteren. Bij het dicteren wordt de opname pas na het indrukken van de opnameknop en alleen voor die handeling verzonden naar onze server en vandaar naar xAI (VS, zie sectie 9) voor transcriptie en analyse. xAI verwerkt de gegevens zonder opslag (Zero Data Retention). Physiopass slaat noch de opname noch het transcript op. Om het gebruik te beperken wordt per dictaat alleen een tellerrecord met tijdstip, duur, bestandsgrootte en resultaat (zonder inhoud) opgeslagen. De voorgestelde wijzigingen worden pas na bevestiging door de gebruiker in de invoer overgenomen.

Praktijkagenda. Praktijken waarvan de console in het Duits staat, kunnen naast de lijst een afsprakenagenda bijhouden. Daarin worden opgeslagen: een gezamenlijk patiëntenregister (naam, telefoonnummers, notitie), afspraken (patiënt, therapeut, begin en einde, behandeling, status en eventueel de reden van afzegging), afsprakenreeksen, afwezigheden van therapeuten en gegevens uit medische verwijzingen voor behandelingen (datum van afgifte, urgentie, behandelingen, behandeleenheden, frequentie, diagnosegroep, ICD-10-code, huisbezoek, therapieverslag, betaler). De diagnosegroep en de ICD-10-code zijn gezondheidsgegevens (art. 9 AVG). Voor verantwoordelijkheid, rechtsgrond, opslaglocatie en toegang geldt wat hierboven is beschreven. Afgelopen afspraken worden onbeperkt bewaard, tenzij de eigenaar van de lijst in de agenda-instellingen een kortere termijn (in maanden) instelt; afspraken die langer dan die termijn geleden zijn geëindigd, worden dan dagelijks automatisch verwijderd.

Bewaartermijn. Gearchiveerde invoeren worden 360 dagen na het archiveren automatisch verwijderd; afzonderlijke invoeren kunnen op elk moment worden verwijderd. Als het account van de eigenaar wordt verwijderd, wordt de hele lijst met alle invoeren, afspraken en uitnodigingen verwijderd en verliezen de andere leden de toegang. Als het account van een lid wordt verwijderd, vervalt de toegang van dat lid; de door hem of haar aangemaakte invoeren blijven in de lijst.

Laatst bijgewerkt: oktober 2026