Privacybeleid

1Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens overeenkomstig art. 4, lid 7 van EU-Verordening 2016/679 (hierna "AVG") is:

Rechtspersoon	Human Flow Health Technology SRLS
Statutaire zetel	Via Monsignor Giuseppe Bolla, 14036 Moncalvo (AT), Italia
Btw-nummer / Fiscale code	01782670051
REA-nummer	REA: wordt toegevoegd na inschrijving bij het handelsregister
Gecertificeerde e-mail (PEC)	boido.ermete@pec.it
Telefoon	+39 340 3838609
Privacy contact-e-mail	privacy@humanflowhealthtech.com

Functionaris voor gegevensbescherming (FG / DPO). De verwerkingsverantwoordelijke heeft op dit moment geen functionaris voor gegevensbescherming aangesteld overeenkomstig art. 37 AVG, aangezien de activiteiten niet behoren tot die waarvoor een dergelijke aanstelling verplicht is (stelselmatige en grootschalige monitoring van betrokkenen of grootschalige verwerking van bijzondere categorieën van persoonsgegevens). Voor elk verzoek met betrekking tot de verwerking van persoonsgegevens kan de verwerkingsverantwoordelijke worden bereikt op de hierboven vermelde contactgegevens.

2Verzamelde persoonsgegevens

Bij het leveren van zijn HFbioVR-diensten (virtual reality brain training-platform, Cognitive-wellnesspakketten en — in de toekomst, na certificering — Psychological- en Functional-pakketten als medische hulpmiddelen), verzamelt en verwerkt de verwerkingsverantwoordelijke verschillende soorten persoonsgegevens, die hieronder worden beschreven.

2.1 Gegevens verzameld via het openbare contactformulier

Wanneer de gebruiker het formulier "Demo / activering aanvragen" op openbare pagina's (catalogus, demo, contact) invult, worden de volgende gegevens verzameld:

naam van de kliniek / praktijk / centrum
voor- en achternaam van de contactpersoon
professioneel e-mailadres
telefoonnummer (optioneel)
vestigingsplaats (optioneel)
type instelling
vrije notities en klinische behoeften (optioneel)
toestemming voor verwerking en marketing

2.2 Registratiegegevens klant (kliniekaccount)

Wanneer een kliniek / centrum / praktijk een HFbioVR-pakket afsluit en een eigen administratie-account aanmaakt, worden de volgende gegevens verzameld:

inlog-e-mail en wachtwoord (opgeslagen in versleutelde vorm via een eenrichtingshashfunctie)
voor- en achternaam van de beheerder
telefoonnummer
officiële naam van de kliniek, btw-nummer, adres
facturatiegegevens (SDI-ontvangercode of PEC)

2.3 Gegevens van dienstgebruikers (therapeuten en eindgebruikers)

De beheerder van de kliniekklant kan profielen aanmaken voor zijn operators (therapeuten) en eindgebruikers. Voor elk profiel worden de volgende gegevens verzameld:

e-mail en wachtwoord (voor operators; wachtwoord in versleutelde vorm)
voor- en achternaam
rol (operator, eindgebruiker)

In dergelijke gevallen treedt de verwerkingsverantwoordelijke op als verwerker namens de kliniekklant, die de autonome verwerkingsverantwoordelijke is voor de gegevens van zijn eigen eindgebruikers.

2.4 Sessiegegevens en prestatiemetrieken

Tijdens VR-oefeningen registreert het systeem prestatiegegevens van de ervaring: reactietijden, responspercentages, sessieduur, geselecteerd niveau, uitvoeringsparameters van paradigma's. Deze gegevens worden gekoppeld aan het gebruikersprofiel via een interne identificator.

Voor Cognitive-pakketten (wellness / brain training) vertegenwoordigen deze metrieken gedragsprestatiegegevens en vormen zij geen gezondheidsgegevens in de zin van art. 9, lid 1 AVG. Zie sectie 4 voor de bijzondere bepaling.

2.5 Betalingsgegevens

De verwerkingsverantwoordelijke slaat geen betaalkaartgegevens op. Het gehele betalingsproces wordt beheerd via de provider Stripe (Stripe Payments Europe Limited en Stripe, Inc.), die opereert in overeenstemming met de PCI-DSS-standaarden. De verwerkingsverantwoordelijke ontvangt van Stripe alleen het resultaat van de transactie en de facturatiegegevens die strikt noodzakelijk zijn voor de uitgifte van het fiscale document.

2.6 Technische navigatiegegevens en logs

De IT-systemen van de verwerkingsverantwoordelijke en die van zijn hostingproviders verzamelen automatisch enkele technische gegevens als onderdeel van de normale werking van de webdiensten:

IP-adres van het apparaat
browsertype en besturingssysteem
datum en tijd van toegang
bezochte pagina's en uitgevoerde acties
technische sessie-identificator

3Verwerkingsdoeleinden en rechtsgronden

Persoonsgegevens worden verwerkt voor de volgende doeleinden, elk gebaseerd op een specifieke rechtsgrond overeenkomstig art. 6 (en art. 9 indien van toepassing) van de AVG:

Doeleinde	Rechtsgrond
Levering van diensten (platformtoegang, oefeningen, monitoringdashboard)	Uitvoering van een overeenkomst waarbij de betrokkene partij is, of uitvoering van precontractuele maatregelen (art. 6.1.b AVG)
Administratief en boekhoudkundig beheer, facturatie, fiscale verplichtingen	Wettelijke verplichting (art. 6.1.c AVG) en Italiaanse fiscale regelgeving
Reactie op informatie- en demo-aanvragen via openbare formulieren	Toestemming van de betrokkene (art. 6.1.a AVG) en gerechtvaardigd belang bij commerciële opvolging
Transactionele communicatie (registratiebevestigingen, betalingsbevestigingen, vervaldata)	Uitvoering van de overeenkomst (art. 6.1.b AVG)
Verzending van commerciële communicatie, nieuwsbrieven, productupdates	Uitdrukkelijke en herroepbare toestemming van de betrokkene (art. 6.1.a AVG)
IT-beveiliging, misbruik- en fraudepreventie, technische logs	Gerechtvaardigd belang van de verwerkingsverantwoordelijke (art. 6.1.f AVG)
Anonieme en productanalytics (geaggregeerde statistieken over oefeninggebruik)	Gerechtvaardigd belang van de verwerkingsverantwoordelijke bij dienstverbetering (art. 6.1.f AVG)

Verstrekking van gegevens. De verstrekking van gegevens voor de doeleinden van contractuele uitvoering en wettelijke naleving is noodzakelijk: elke weigering om deze te verstrekken maakt de dienstverlening onmogelijk. De verstrekking voor marketing- en commerciële communicatiedoeleinden is optioneel, en de toestemming kan te allen tijde worden ingetrokken.

4Bijzondere bepaling — Wellness-pakketten en toekomstige medische hulpmiddelen

🧠 Cognitive-pakketten (momenteel beschikbaar) — Brain training-instrumenten

De Cognitive-pakketten van HFbioVR, momenteel beschikbaar, zijn instrumenten voor cognitieve versterking en mentaal welzijn (virtual reality brain training). Het zijn geen medische hulpmiddelen in de zin van EU-Verordening 2017/745 en latere wijzigingen, ze zijn niet bedoeld voor de diagnose, screening of behandeling van enige klinische aandoening, en ze vervangen op geen enkele wijze de beoordeling, diagnose of interventie van gekwalificeerde zorgprofessionals.

Bijgevolg vormen de prestatiemetrieken die worden verzameld tijdens het gebruik van Cognitive-pakketten (reactietijden, nauwkeurigheid, percentage juiste antwoorden, sessieduur, voltooide niveaus) gedragsprestatiegegevens binnen de context van een brain training-ervaring, en vormen zij geen gezondheidsgegevens in de zin van art. 4, lid 15 en art. 9, lid 1 AVG.

Deze gegevens worden verwerkt op basis van de rechtsgrond toestemming of contractuele uitvoering (zie sectie 3) en niet op basis van de rechtsgrond voor bijzondere categorieën van gegevens als bedoeld in art. 9 AVG.

Psychological-, Functional- en Mega Suite-pakketten — Toekomstige levering

De Psychological-, Functional- en Mega Suite-pakketten zijn momenteel in afwachting van CE-certificering als medische hulpmiddelen overeenkomstig EU-Verordening 2017/745 (MDR). Totdat de certificering is verleend, kunnen dergelijke pakketten niet worden gebruikt in een klinisch-revalidatiecontext en zijn zij niet toegankelijk via de commerciële catalogus.

Bij afgifte van de CE MDR-certificering zal dit privacybeleid worden bijgewerkt om het volgende op te nemen:

de verwerking van gezondheidsgegevens van eindgebruikers in de context van revalidatieactiviteiten
de specifieke rechtsgrond overeenkomstig art. 9, lid 2 AVG (bijvoorbeeld: letter h, doeleinden van medische diagnose, gezondheidszorg of therapie, door of onder de verantwoordelijkheid van een beroepsbeoefenaar die aan het beroepsgeheim gebonden is)
versterkte beveiligingsmaatregelen voor bijzondere categorieën van gegevens
specifieke bewaartermijnen vastgesteld voor klinische gegevens
de rol van de verwerkingsverantwoordelijke als leverancier van medische hulpmiddelen en de daaruit voortvloeiende bewakingsverplichtingen

Gebruikers van CE-gecertificeerde pakketten zullen uitdrukkelijk worden geïnformeerd en zullen specifieke toestemming moeten geven, onderscheiden van die welke vereist is voor de huidige wellness-diensten.

5Bewaartermijnen

De verwerkingsverantwoordelijke bewaart persoonsgegevens uitsluitend voor de tijd die nodig is om de doeleinden te verwezenlijken waarvoor deze werden verzameld, en in elk geval voor de tijd die door de wet wordt vereist.

Gegevenscategorie	Bewaartermijn
Leadgegevens verzameld via openbare formulieren (demo- / informatieaanvragen)	24 maanden vanaf de aanvraagdatum, tenzij omgezet naar een klant
Registratie- en accountgegevens van klanten (kliniek / centrum)	Voor de gehele duur van de contractuele relatie en gedurende 12 maanden na beëindiging
Profielgegevens van eindgebruikers	Voor de gehele duur van de relatie van de kliniekklant, totdat een verzoek tot verwijdering wordt ingediend door de verwerkingsverantwoordelijke (de kliniek)
Sessiegegevens en prestatiemetrieken	Voor de gehele duur van de relatie en gedurende 12 maanden na beëindiging
Technische toegangs- en navigatielogs	12 maanden vanaf de verzameling
Boekhoudkundige documentatie en facturen	10 jaar, zoals vereist door de Italiaanse fiscale wetgeving (art. 2220 Burgerlijk Wetboek)
Toestemmings- en marketingvoorkeurgegevens	Voor de gehele geldigheidsduur van de toestemming, tot herroeping, en gedurende 5 jaar daarna voor bewijsdoeleinden

6Ontvangers en doorgifte buiten de EU

Persoonsgegevens kunnen worden meegedeeld aan de volgende categorieën ontvangers, die elk optreden als verwerker overeenkomstig art. 28 AVG (met een passende overeenkomst) of als autonome verwerkingsverantwoordelijke:

Ontvanger	Rol / doel
Aruba S.p.A. (Italië)	Webinfrastructuur en databasehosting (verwerker)
Stripe Payments Europe Limited (Ierland) en Stripe, Inc. (VS)	Verwerking van elektronische betalingen (autonome verwerkingsverantwoordelijke voor betalingsgegevens, verwerker voor facturatiemetadata)
Meta Platforms, Inc. (VS)	Distributie van de VR-applicatie via Meta Horizon Store / App Lab; minimale technische installatiegegevens en crash reporting
Providers van transactionele e-mail en CRM (potentieel, in de toekomst)	Verzending van transactionele e-mails en beheer van de klantrelatie (verwerkers)
Professionele adviseurs, accountant, advocaten	Fiscale, boekhoudkundige, juridische naleving (verwerkers of autonome verwerkingsverantwoordelijken afhankelijk van het geval)
Justitiële, fiscale en openbare veiligheidsautoriteiten	Naleving van wettelijke verplichtingen of van bevelen van de Autoriteit

Doorgifte buiten de EU

De verwerking van sommige gegevens kan doorgifte buiten de Europese Economische Ruimte inhouden, met name naar de Verenigde Staten van Amerika (Stripe, Meta). Dergelijke doorgiftes vinden plaats in overeenstemming met art. 46 AVG, door de aanname van modelcontractbepalingen goedgekeurd door de Europese Commissie en — waar van toepassing — op basis van het EU-US Data Privacy Framework adequaatheidsbesluit voor deelnemende ontvangers.

De betrokkene kan een kopie van de aangenomen waarborgen opvragen op de contactgegevens van de verwerkingsverantwoordelijke.

7Rechten van de betrokkene

De betrokkene heeft te allen tijde de rechten zoals bepaald in art. 15-22 van de AVG:

Recht op inzage (art. 15) — bevestiging verkrijgen van het bestaan van verwerking en toegang tot de gegevens
Recht op rectificatie (art. 16) — verzoeken om correctie van onnauwkeurige gegevens of aanvulling van onvolledige gegevens
Recht op wissing (art. 17) — het "recht om vergeten te worden", binnen de door de wet gestelde grenzen
Recht op beperking (art. 18) — verzoeken om tijdelijke opschorting van de verwerking
Recht op overdraagbaarheid van gegevens (art. 20) — uw gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat
Recht van bezwaar (art. 21) — bezwaar maken tegen de verwerking om redenen die verband houden met uw persoonlijke situatie, in het bijzonder voor marketingdoeleinden
Recht om niet te worden onderworpen aan geautomatiseerde besluiten (art. 22), inclusief profilering, behalve in de gevallen waarin door de AVG is voorzien
Recht om de toestemming te herroepen op elk moment, zonder afbreuk te doen aan de rechtmatigheid van de verwerking op basis van de toestemming vóór herroeping

Hoe uw rechten uit te oefenen

Om een of meer van de hierboven genoemde rechten uit te oefenen, kan de betrokkene schrijven naar het e-mailadres privacy@humanflowhealthtech.com, met bijvoeging van een kopie van een geldig identiteitsbewijs om verificatie van de identiteit van de aanvrager mogelijk te maken. De verwerkingsverantwoordelijke zal binnen 30 dagen na ontvangst van het verzoek reageren, behoudens het recht om deze termijn met maximaal 60 dagen te verlengen in geval van bijzonder complexe verzoeken, met kennisgeving aan de betrokkene.

8Cookies en trackingtechnologieën

De website gebruikt uitsluitend technische cookies die essentieel zijn voor de werking van de diensten. Op dit moment maakt de website geen gebruik van profileringscookies noch van cookies van derden bestemd voor gedragsgerichte advertenties.

Cookie	Doel	Duur
`HASTA_SESSID`	Technische sessiecookie vereist om de authenticatie te behouden	Duur van de browsersessie
`hf_lang` (localStorage)	Opslag van de taalvoorkeur van de gebruiker	Permanent

Aangezien het uitsluitend om technische cookies gaat, is een toestemmingsbanner niet vereist onder de momenteel toepasselijke regelgeving. Mocht de verwerkingsverantwoordelijke in de toekomst profileringscookies of analytics van derden invoeren, dan zal de gebruiker worden geïnformeerd via een specifiek cookiebeleid en zal voorafgaande toestemming worden gevraagd.

9Klachten bij de toezichthoudende autoriteit

Onverminderd elke andere administratieve of gerechtelijke actie, heeft de betrokkene die van mening is dat de verwerking van zijn persoonsgegevens de bepalingen van de AVG schendt, het recht om een klacht in te dienen bij de Italiaanse autoriteit voor gegevensbescherming (Garante per la Protezione dei Dati Personali):

Piazza Venezia, 11 — 00187 Rome, Italië
Centrale: +39 06 696771
E-mail: protocollo@gpdp.it
Website: www.garanteprivacy.it

Betrokkenen die in Nederland of België wonen, kunnen zich ook wenden tot hun nationale toezichthoudende autoriteit (respectievelijk de Autoriteit Persoonsgegevens en de Gegevensbeschermingsautoriteit).

10Wijzigingen in dit beleid

De verwerkingsverantwoordelijke behoudt zich het recht voor om dit privacybeleid te wijzigen, aan te vullen of bij te werken als gevolg van wetgevingsontwikkelingen of veranderingen in de uitgevoerde verwerkingen. De actuele versie wordt altijd op deze pagina gepubliceerd met vermelding van de datum van de laatste update (zie kop van het document).

In geval van substantiële wijzigingen — met name bij de afgifte van de CE MDR-certificering voor de Psychological- / Functional-pakketten en de daaruit voortvloeiende verwerking van gezondheidsgegevens — zal de verwerkingsverantwoordelijke geregistreerde betrokkenen per e-mail informeren op het bij de registratie opgegeven adres.

Voor verzoeken of verduidelijkingen met betrekking tot dit beleid kunt u schrijven naar privacy@humanflowhealthtech.com.

Inhoudsopgave