Privacyverklaring

Vivamentis Praktijk is het therapeutenplatform van Viva Mentis, de handelsnaam van de praktijk van Daniël Beerdsen, ingeschreven bij de KvK onder nummer 95399186. Je bereikt ons via daniel@vivamentis.nl.

Dit is het belangrijkste om te begrijpen, omdat het platform met twee soorten gegevens werkt:

• Jouw account- en praktijkgegevens (therapeut). Hiervoor is Viva Mentis de verwerkingsverantwoordelijke. Deze verklaring beschrijft hoe wij daarmee omgaan.
• De gegevens van jouw cliënten. Die voer jij in en gebruik je in je eigen behandelrelatie. Daarvoor ben jij de verwerkingsverantwoordelijke en is Viva Mentis slechts verwerker: wij verwerken die gegevens uitsluitend in jouw opdracht, om het platform te laten werken. De afspraken hierover leggen we vast in een verwerkersovereenkomst.

Van jou als therapeut: naam, e-mailadres, en optioneel praktijknaam, telefoonnummer, KvK- en btw-nummer en een logo. Voor inloggen bewaren we nooit je wachtwoord in leesbare vorm; authenticatie verloopt via onze identiteitsleverancier (Supabase Auth) en een versleutelde, HTTP-only sessiecookie.

Van je cliënten (in jouw opdracht): naam en optioneel e-mailadres, geboortedatum en geslacht, de antwoorden op de vragenlijsten, de daaruit berekende profielen en de notities, doelen en check-ins die je vastlegt. De antwoorden en profielen kunnen gezondheidsgegevens zijn — een bijzondere categorie persoonsgegevens die we met extra zorg behandelen.

Betaalgegevens: je abonnement loopt via Mollie. Wij ontvangen een betaalreferentie en de status, maar verwerken of bewaren geen kaart- of rekeninggegevens; die blijven bij Mollie. Factuurgegevens vallen onder de fiscale bewaarplicht van 7 jaar.

Gebruiks- en logboekgegevens: om de beveiliging en herleidbaarheid te borgen leggen we in een toegangslogboek vast wie welke gegevens wanneer inzag of wijzigde, met IP-adres en browsertype.

• Uitvoering van de overeenkomst (art. 6 lid 1b AVG): om je account, het platform en je abonnement te leveren.
• Wettelijke verplichting (art. 6 lid 1c): voor de fiscale bewaarplicht van facturen.
• Gerechtvaardigd belang (art. 6 lid 1f): voor beveiliging, fraudepreventie en het toegangslogboek.
• Cliënt-gezondheidsgegevens: die verwerken wij uitsluitend in jouw opdracht als verwerker. Jij zorgt voor een geldige grondslag in je behandelrelatie — doorgaans uitdrukkelijke toestemming van de cliënt (art. 9 AVG) — en informeert je cliënt over het gebruik van het platform.

• Account- en praktijkgegevens: zolang je een account hebt, en daarna tot maximaal 6 maanden na opzegging.
• Cliëntgegevens: zolang jij ze in het platform bewaart. Jij bepaalt dit; je kunt cliënten en gegevens zelf verwijderen. Bij beëindiging van je account verwijderen we de cliëntgegevens of geven we ze aan je terug, volgens de verwerkersovereenkomst.
• Facturen: 7 jaar (wettelijke bewaarplicht).
• Toegangslogboek: regels die over het dossier van een cliënt gaan blijven staan zolang dat dossier bestaat. Dat schrijft NEN 7513 voor: een logboek mag niet eerder verdwijnen dan de gegevens waar het over gaat, anders valt precies de periode weg waarin iemand zou willen weten wie er heeft gekeken. Overige regels (inloggen, abonnement, beheer) bewaren we 24 maanden.

We verkopen je gegevens nooit. We schakelen zorgvuldig gekozen leveranciers in, elk met een verwerkersovereenkomst:

• Supabase — database en authenticatie, opgeslagen in de Europese Unie (Frankfurt, Duitsland).
• Vercel — hosting van de applicatie.
• Resend — verzending van transactionele e-mail (uitnodigingen, profielen).
• Mollie — betalingen en incasso.
• AFAS — facturatie en administratie.

Je gegevens worden in beginsel binnen de EU opgeslagen en verwerkt.

Eén partij die géén cliëntgegevens van therapeuten ziet: voor het opstellen van persoonlijke prestatieplannen voor de eigen sportcliënten van Viva Mentis gebruiken we de API van Anthropic. Dat is een aparte dienst van Viva Mentis, los van het praktijkplatform. Dossiers die therapeuten hier bijhouden komen daar niet langs; alleen de intakegegevens van een sporter die daar zelf toestemming voor heeft gegeven.

Gegevens staan versleuteld opgeslagen in de EU. De toegang is op databaseniveau afgeschermd, zodat een therapeut uitsluitend bij de eigen cliënten kan. Cliënten loggen niet in met een wachtwoord, maar openen hun profiel via een persoonlijke, ondertekende link. Toegang en wijzigingen worden vastgelegd in een toegangslogboek. Verbindingen verlopen versleuteld (HTTPS) en het verkeer is afgeschermd met strikte beveiligingsheaders.

Wie bij cliëntgegevens komt, doet dat niet op een wachtwoord alleen: tweestapsverificatie is verplicht. Een sessie sluit zichzelf na een half uur zonder handeling, zodat een dossier niet openblijft op een scherm in de behandelkamer. Elke keer dat iemand een dossier opent wordt vastgelegd — ook een poging die wordt geweigerd — en dat logboek is achteraf niet aan te passen of te wissen, ook niet door ons. Een cliënt kan in zijn eigen omgeving zien wie er in zijn dossier heeft gekeken.

Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid van je gegevens. In het platform kun je je accountgegevens zelf exporteren (een download van je gegevens) en je account zelf verwijderen. Verzoeken over cliëntgegevens lopen via jou als verwer­kingsverantwoordelijke; wij helpen je daarbij als verwerker. Een verzoek aan ons stuur je naar daniel@vivamentis.nl. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Komt er onverhoopt een datalek voor met risico voor betrokkenen, dan melden we dat zonder onnodige vertraging bij jou als verwerkingsverantwoordelijke, zodat jij je wettelijke meldplicht kunt nakomen, en waar van toepassing bij de Autoriteit Persoonsgegevens.

Het platform plaatst geen tracking- of marketingcookies. We gebruiken alleen een functionele, versleutelde sessiecookie die nodig is om ingelogd te blijven. Zonder die cookie werkt inloggen niet.

Op de publieke pagina's onthoudt je browser tijdelijk waar je bezoek vandaan kwam: de labels in de link waarmee je binnenkwam en de naam van de site die naar ons verwees. Dat staat alleen in het geheugen van dat tabblad (geen cookie) en verdwijnt als je het sluit. Maak je een account aan, dan bewaren we die herkomst bij je account, zodat we weten welke kanalen werken. Het wordt niet gedeeld en niet gebruikt om je te volgen.

We kunnen deze verklaring aanpassen. De meest recente versie staat altijd op deze pagina. Bij belangrijke wijzigingen informeren we je per e-mail.