Privacy-verklaring
Laatst bijgewerkt: 8 oktober 2026
Deze verklaring legt uit welke persoonsgegevens Paul Dingemans verwerkt, op welke juridische grondslag dat gebeurt, hoe lang gegevens bewaard worden, met welke partijen we samenwerken, en welke rechten jij hebt als betrokkene.
We gaan zorgvuldig met je gegevens om. De Energiescan verwerkt medische gegevens: daarvoor gelden extra waarborgen, een aparte opt-in en strengere bewaartermijnen (zie sectie 2 en 4).
1. Verantwoordelijke
Verwerkingsverantwoordelijke in de zin van de AVG is:
- Naam
- Paul Dingemans, handelend onder PD Osteopathie
- Adres
- Bijster 30, Breda
- Vestigingsplaats
- Breda
- KvK-nummer
- 72228024
- Btw-nummer
- NL001269407B70
- Telefoon
- 06-15318034
- privacy@pauldingemans.com
Voor alle vragen over privacy of deze verklaring, gebruik het bovenstaande e-mailadres. Je ontvangt binnen 30 dagen antwoord.
2. Welke persoonsgegevens verwerken we
Welke gegevens we verwerken hangt af van de dienst. Per categorie staat hieronder wat we vastleggen en waarom.
2.1 Contact en aanvragen
Bij contactformulieren, coaching-aanvragen, boekingen en workshops verwerken we: naam, e-mailadres, eventueel telefoonnummer, en de inhoud van je bericht of aanvraag. Meld je je aan voor de wachtlijst van een e-book, dan verwerken we alleen je e-mailadres.
2.2 Energietest en Energiekompas
Bij de Energietest en het Energiekompas verwerken we je antwoorden, je e-mailadres als je het rapport wilt ontvangen, en het berekende profiel en de scores. Dit zijn geen medische gegevens; het zijn indicatieve zelfrapportage-uitkomsten.
2.3 Energiescan, onderscheid tussen deel 1 en deel 2
De Energiescan bestaat uit twee delen met verschillende privacy-gevoeligheid:
- Deel 1 (algemeen): contactgegevens, werkcontext, slaap- en leefstijlvragen, stress-indicatoren. Deze gegevens zijn nodig om het scan-rapport op te leveren.
- Deel 2 (medisch, optioneel): gegevens over medicatiegebruik, diagnoses, klachten, eerdere behandelingen en hulpvraag aan de zorg. Deze gegevens zijn bijzondere persoonsgegevens over gezondheid in de zin van AVG Art. 9. Je kunt de Energiescan voltooien zonder deel 2; je krijgt dan een rapport zonder medische verdieping.
Deel 2 wordt alleen verwerkt nadat je expliciet hebt aangevinkt dat je dit wenst en dat je instemt met verwerking als bedoeld in AVG Art. 9 lid 2 sub a (uitdrukkelijke toestemming). Je kunt deze toestemming altijd intrekken via privacy@pauldingemans.com.
2.4 Coaching-trajecten en sessies
Tijdens een coaching-traject (Sprint, Marathon, Ultra) leggen we sessie-aantekeningen, voortgang, afspraken en actiepunten vast. Voor zover deze aantekeningen gezondheidsgegevens bevatten, gelden de strengere regels uit paragraaf 2.3 onverkort. Krijg je tijdens je traject een verdiepingsmodule, dan bewaren we ook je antwoorden daarop. In de module over je zenuwstelsel zijn dat thuismetingen die je zelf doet: je ademtempo in rust, een adem-pauze-test, een diepe-ademhalingstest en de plekken waar je spanning merkt. Deze metingen zijn zelfinzicht en gesprekshulp, geen diagnose.
2.4a Begeleide programma's (Rust in je kop)
Neem je deel aan het zesweekse begeleide programma Rust in je kop, dan verwerken we met jouw expliciete toestemming je week 0-voorbereiding en je begeleiding. De voorbereiding bestaat uit de Veerkrachtscan (een vragenlijst over hoe je je herstel en spanning ervaart) en drie korte testmetingen die je thuis zelf doet: je rust-ademfrequentie, een adem-pauze-test en een diepe-ademhalingstest, aan het begin en aan het einde van het programma. Deze metingen zijn zelfinzicht en gesprekshulp, geen diagnose. Tijdens de zes weken verwerken we je dagscores (avondspanning en ochtendslaap), weekreflecties, antwoorden op korte belastbaarheidsvragen en je berichten aan Paul. Alleen Paul leest mee. Deze gegevens dienen uitsluitend voor jouw persoonlijke begeleiding; het is begeleiding, geen medisch dossier en geen behandelrelatie-registratie. E-mailmeldingen over het programma bevatten nooit inhoudelijke gegevens, alleen een melding met een link naar je beveiligde omgeving.
2.5 Osteopathie-dossier
Voor osteopathische behandelingen houdt Paul Dingemans in zijn hoedanigheid als zorgverlener een klantdossier bij volgens de WGBO (Wet op de geneeskundige behandelingsovereenkomst). Daarin staan anamnese, onderzoeksbevindingen, behandelverslagen en verwijzingen. Deze verwerking valt onder het aparte juridische regime voor zorgverleners.
2.6 Bestellingen en betalingen
Bij aankoop van een e-book of dienst verwerken we factuurgegevens (naam, adres, e-mailadres) en de betaling zelf. Betaalgegevens (IBAN, kaartnummer) worden niet door ons opgeslagen; die blijven bij onze betaalprovider Mollie. Na aankoop van een e-book sturen we je drie e-mails bij het boek: twee met leestips en één over persoonlijke begeleiding. Dat doen we op basis van ons gerechtvaardigd belang (art. 6 lid 1 onder f AVG) en de regel voor bestaande klanten (art. 11.7 lid 3 Telecommunicatiewet). Je kunt dit bij het afrekenen uitzetten en in elke mail met één klik afmelden.
2.7 Website-gebruik
Alleen met je toestemming meten we met PostHog (EU) hoe de website wordt gebruikt; zie 6.2. Zonder toestemming meet PostHog in je browser niets. Zet je zelf een stap, zoals je aanmelden na de Energietest, een boeking of een aankoop, dan leggen we die stap vast in PostHog, los van je cookiekeuze. Dat doen we onder een code die we met een geheime sleutel afleiden uit je e-mailadres of uit een intern nummer. PostHog krijgt daarbij geen naam, e-mailadres, antwoorden of scores. Zo zien we hoeveel mensen een stap afronden. Grondslag: AVG art. 6 lid 1 sub f (gerechtvaardigd belang). Je kunt daartegen bezwaar maken (zie sectie 7).
Daarnaast tellen we op alle pagina's bezoeken met Vercel Web Analytics en meten we de laadsnelheid met Vercel Speed Insights. Beide werken zonder cookies. Vercel herkent een bezoek aan een code die het maakt uit gegevens van je verzoek, zoals je IP-adres en je browser. Die code vervalt na een dag, zodat niemand je over meerdere dagen of websites kan volgen. Per telling legt Vercel vast: de pagina, de website waarvandaan je kwam, je land, regio en stad bij benadering, het type apparaat, het besturingssysteem en de browser. Speed Insights legt daarnaast de laadtijden en het type netwerkverbinding vast. Pagina's met een persoonlijke link, zoals je rapport of je vragenlijst, sturen we niet naar Vercel. Van andere webadressen gaat alleen de pagina mee, met hooguit een campagnecode (utm). We koppelen deze cijfers niet aan je naam, e-mailadres of antwoorden. Vercel Inc. verwerkt ze als onze verwerker, vooral in de Verenigde Staten (zie sectie 5). In ons dashboard zijn de bezoekcijfers twaalf maanden en de laadtijden hooguit dertig dagen terug te zien. Vercel kan ze langer bewaren, zonder koppeling aan een IP-adres. Deze telling loopt ook als je in de cookiebanner alleen noodzakelijke cookies kiest. Grondslag: AVG art. 6 lid 1 sub f (gerechtvaardigd belang: weten hoe de website wordt gebruikt en hoe snel hij laadt). Je kunt daartegen bezwaar maken (zie sectie 7).
3. Verwerkingsgronden (AVG Art. 6)
Wij verwerken persoonsgegevens alleen op basis van een grondslag uit AVG Art. 6:
- Art. 6 lid 1 sub a, toestemming: voor nieuwsbrief-inschrijving, voor het delen van testimonials en voor het verwerken van medische gegevens in Energiescan deel 2.
- Art. 6 lid 1 sub b, uitvoering van een overeenkomst: voor het leveren van coaching, Energiescan, workshops, e-books en andere diensten die je bij ons afneemt.
- Art. 6 lid 1 sub c, wettelijke verplichting: voor het bewaren van facturen, het bijhouden van een klantdossier op grond van de WGBO, en het voldoen aan fiscale bewaarplicht.
- Art. 6 lid 1 sub f, gerechtvaardigd belang: voor beveiliging, fraudepreventie, bot-protectie, bezoekstatistiek en site-analyse (zie 2.7), de digitale assistent op de website en het verweer bij geschillen. We toetsen dit belang af tegen jouw privacy en beperken de verwerking tot wat noodzakelijk is.
Voor bijzondere persoonsgegevens (gezondheid) geldt AVG Art. 9. We verwerken deze uitsluitend op basis van uitdrukkelijke toestemming (Art. 9 lid 2 sub a) of op basis van de zorgrelatie (Art. 9 lid 2 sub h) voor zover het om osteopathische behandeling gaat.
4. Bewaartermijnen
We bewaren gegevens niet langer dan nodig is voor het doel waarvoor ze zijn verzameld. Concreet:
- Klantdossier osteopathie: 20 jaar na de laatste behandeling (wettelijke bewaarplicht uit de WGBO, artikel 7:454 BW).
- Energiescan deel 2 (medische data): 20 jaar als de scan is onderdeel van een zorgrelatie; anders maximaal 2 jaar na afronding, of eerder op jouw verzoek.
- Coaching-trajecten: klinische inhoud 2 jaar, administratie 7 jaar. De inhoudelijke gegevens (sessieverslagen, notities, eventuele transcripties) verwijderen we 2 jaar na het einde van de klantrelatie, tenzij een lopend geschil een langere bewaring rechtvaardigt. De administratieve gegevens (datum, duur, facturatie) bewaren we 7 jaar conform de fiscale bewaarplicht.
- Rust in je kop (Veerkrachtscan-voorbereiding, testmetingen, dagscores, reflecties, berichten): toegang plus 24 maanden. Programmagegevens blijven beschikbaar zolang je toegang tot de content loopt. Daarna verwijderen of anonimiseren we ze binnen 24 maanden, of eerder op jouw verzoek.
- Energiekompas en Energietest: maximaal 1 jaar. De antwoorden bewaren we maximaal 1 jaar na het invullen, tenzij je actief kiest voor langere opslag om voortgang te volgen.
- Contactformulieren en coaching-aanvragen: 90 dagen. Een bericht of aanvraag verwijderen we 90 dagen na de laatste wijziging. Leidt een coaching-aanvraag tot een traject, dan bewaren we hem bij je dossier en gelden de termijnen voor coaching-trajecten.
- Workshopaanvragen: 180 dagen. Een aanvraag voor een workshop verwijderen we 180 dagen na de laatste wijziging.
- Wachtlijst voor een e-book: tot 30 dagen na verschijnen. Een aanmelding die je niet bevestigt, verwijderen we binnen drie dagen. Een bevestigde aanmelding gebruiken we voor één mail op de dag dat het boek verschijnt; 30 dagen daarna verwijderen we je adres.
- Verzoeken over je privacyrechten: 7 jaar. Een verzoek en de afhandeling ervan bewaren we 7 jaar na afronding, zodat we kunnen aantonen dat we het goed hebben afgehandeld.
- Toestemmingsregistratie: 7 jaar als bewijs van de toestemming die je hebt gegeven.
- Facturen en boekhouding: 7 jaar (fiscale bewaarplicht, artikel 52 lid 4 AWR).
- Nieuwsbrief-inschrijving: tot uitschrijving. Na uitschrijving verwijderen we je gegevens binnen 30 dagen, behalve de uitschrijfgeschiedenis zelf (om herplaatsing te voorkomen).
- Analytics (PostHog): Analytics-events worden maximaal 12 maanden bewaard. Session recordings worden maximaal 30 dagen bewaard. Daarna worden ruwe events en opnames automatisch verwijderd; alleen geaggregeerde, niet-herleidbare cijfers blijven beschikbaar.
- Audit-logs en veiligheidslogs: 12 maanden voor beveiligings- en fraudedoeleinden.
5. Verwerkers en subverwerkers
We maken gebruik van de volgende verwerkers. Met de meeste verwerkers is een verwerkersovereenkomst gesloten. Bij verwerkers waar dit nog in behandeling is, staat dit hieronder vermeld. Wij werken actief aan het voltooien van alle overeenkomsten.
| Verwerker | Doel | Locatie data | DPA-status |
|---|---|---|---|
| Supabase | Database, authenticatie | EU (Frankfurt) | Ondertekend |
| Resend | E-mail (transactioneel en nieuwsbrief) | VS (verwerking via eu-west-1, DPF + SCC) | Via servicevoorwaarden |
| Mollie | Betalingsverwerking | NL | Zelfstandig verantwoordelijke |
| PostHog | Website-analytics (gepseudonimiseerd) | EU (Frankfurt) | Ondertekend |
| e-Boekhouden | Boekhouding en facturatie | NL | Ondertekend |
| Vercel | Hosting en edge-netwerk | EU (servercode), CDN wereldwijd | Via servicevoorwaarden (Pro) |
| Vercel (Web Analytics, Speed Insights) | Bezoekstatistiek en laadsnelheid, zonder cookies | VS (DPF + SCC) | Via servicevoorwaarden (Pro) |
| Amazon Web Services EMEA SARL (AWS) | Amazon Bedrock (digitale assistent op de website) | Frankfurt, Duitsland (eu-central-1) | AWS GDPR Data Processing Addendum |
| Google Workspace | E-mail, agenda, videobellen | VS (EU-opslag te activeren) | Via servicevoorwaarden |
| Cloudflare (Turnstile) | Botbescherming op formulieren | VS/wereldwijd | Via servicevoorwaarden |
Bijzondere persoonsgegevens en AI
Je antwoorden in onze scans, intakes, vragenlijsten, check-ins en programma's gaan niet naar een AI-dienst. Scores en aandachtspunten komen uit vaste rekenregels in onze eigen omgeving, en waar Paul je begeleidt, leest en beoordeelt hij je antwoorden zelf. Eerder kon je apart toestemming geven voor een AI-analyse van je antwoorden. Die analyse bieden we niet meer aan. Heb je die toestemming ooit gegeven, dan kun je haar intrekken via privacy@pauldingemans.com.
We bieden op deze website een digitale assistent (chatbot) aan. De chatbot-functionaliteit draait via Amazon Bedrock (Claude) op servers van Amazon Web Services EMEA SARL in de regio Frankfurt (eu-central-1), volledig binnen de EU. Er is geen doorgifte buiten de EU. Gesprekken met de assistent worden anoniem opgeslagen om de kwaliteit van de service te verbeteren. We slaan geen naam, e-mailadres of telefoonnummer op. IP-adressen worden gehasht met een geheime sleutel en zijn niet herleidbaar tot een persoon. Opgeslagen gesprekken worden na 12 maanden automatisch verwijderd. De assistent geeft geen medisch advies en stelt geen diagnoses. Herkent de assistent in je bericht woorden over klachten of medische zaken, dan gaat dat bericht niet naar de AI, ook later in het gesprek niet: je krijgt een vast antwoord, en sinds 25 september 2026 bewaren we de tekst van zo'n bericht niet meer. Die herkenning werkt met een vaste woordenlijst en vangt niet alles, dus deel geen gezondheidsgegevens met de assistent. De assistent staat niet op de pagina's waar je een scan, intake, vragenlijst of check-in invult of je uitkomsten bekijkt.
Een aantal verwerkers verwerkt gegevens buiten de Europese Economische Ruimte (EER), met name in de Verenigde Staten. Dit betreft Google, Cloudflare, Resend (e-mailverwerking via Resend Inc., VS, met DPF en SCC's) en Vercel (hosting, bezoekstatistiek en laadsnelheid via Vercel Inc., VS, met DPF en SCC's). Voor die doorgifte gelden de EU-standaardcontractbepalingen (SCC's) die onderdeel zijn van hun servicevoorwaarden, aangevuld met aanvullende technische maatregelen (pseudonimisering, versleuteling). Waar een verwerkersovereenkomst nog in behandeling is, staat dit in de verwerkerstabel hierboven vermeld.
6. Cookies
We gebruiken cookies op deze website. Je beheert je voorkeuren via de cookiebanner die bij je eerste bezoek verschijnt en kunt deze op elk moment opnieuw openen via "Cookies aanpassen" in de footer. Bij weigeren plaatsen we alleen de cookies die altijd aan staan: die uit 6.1 en 6.4.
6.1 Functionele cookies (noodzakelijk)
Deze cookies zijn nodig om de website te laten werken: het onthouden van je sessie, het verwerken van formulieren en het opslaan van je cookiekeuze zelf. We plaatsen ze altijd. Bewaartermijn: de cookies voor je sessie en voor formulieren verlopen aan het einde van je bezoek of zodra je uitlogt. Je cookiekeuze bewaren we twaalf maanden (365 dagen), in de opslag van je browser en niet in een cookie; daarna vragen we het opnieuw. Het cookie site-groep uit 6.4 verloopt na 60 dagen. Grondslag: AVG art. 6 lid 1 sub f (gerechtvaardigd belang); voor strikt noodzakelijke cookies is geen toestemming vereist.
6.2 Analytische cookies (PostHog)
Alleen met je toestemming meten we met PostHog hoe de website wordt gebruikt. PostHog draait op EU-servers (Frankfurt). We leggen geen paginaweergaven vast: we meten dus niet welke pagina's je bekijkt, hoe lang je blijft of op welke pagina je de site verlaat. Wat we zelf vastleggen is een korte, vaste lijst handelingen: een klik op de knop om een afspraak te maken, een klik op het telefoonnummer en een klik in het menu boven de osteopathiepagina, het insturen van een vraag via het formulier onder de veelgestelde vragen, een verzoek over je privacyrechten, en het afronden van een boeking of een aankoop. De laatste drie leggen we op onze eigen server vast en staan daarom ook in 2.7. Verder gaat een technische foutmelding uit je browser mee, zonder de inhoud van de pagina. Van het webadres gaat alleen het pad mee, met hooguit een campagnecode erin; opende je een pagina met een persoonlijke link, dan vervalt de meting helemaal. We koppelen niets aan je naam, e-mailadres, antwoorden of scores. Analytics-events worden maximaal 12 maanden bewaard. Grondslag: AVG art. 6 lid 1 sub a (toestemming via de cookiebanner).
Met je toestemming maakt PostHog op een deel van de pagina's ook een opname van je bezoek (session replay) en een warmtekaart van kliks en scrollen. Dat gebeurt alleen op pagina's zonder gezondheidsgegevens: de homepage, /coaching (alleen die pagina zelf), /boeken, /shop, /over, /workshops, /verhalen, /voeding, /inzichten, /rust-in-je-kop en de bedankpagina's na een betaling. Op alle andere pagina's staat het uit, en het gaat middenin een bezoek uit zodra je naar zo'n andere pagina klikt. Een vragenlijst, een scan, een rapport, een klachtpagina, het portaal, het dashboard en deze privacyverklaring worden dus nooit opgenomen. Opnames worden maximaal 30 dagen bewaard. Voor snelheidsmetingen (web vitals) legt PostHog niets vast; die staan helemaal uit.
Als je geen toestemming geeft, start PostHog niet in je browser: er gaat geen enkel verzoek naar PostHog, PostHog plaatst geen cookies en meet PostHog in je browser niets, dus geen handeling, geen opname en geen warmtekaart. De stappen uit 2.7, zoals een boeking of een aankoop, leggen we wel vast op onze eigen server, zonder cookies. Je keuze kun je op elk moment wijzigen via de cookiebanner.
6.3 Geen marketing- of trackingcookies
We plaatsen geen marketing-, advertentie- of trackingcookies van derden. Geen retargeting, geen advertentienetwerken, geen doorverkoop van gegevens.
6.4 Testcookie voor de website
We testen twee versies van de website: de ene helft van de nieuwe bezoekers ziet versie A, de andere helft versie B. De versies verschillen in vormgeving, en op de homepage ook in indeling. Zo meten we welke versie vaker leidt tot een klik naar de gratis Energietest, een klik om een afspraak te plannen of een klik op een bestelknop van een boek. Daarvoor plaatsen we bij je eerste bezoek aan een openbare pagina het cookie site-groep. Dat onthoudt welke versie je te zien kreeg, zodat je bij een volgend bezoek dezelfde versie ziet. Het bevat alleen de letter a of b en verloopt 60 dagen nadat we het plaatsen; we verlengen het niet. Alleen onze eigen website leest het, op onze server en in je browser, om je de juiste versie te tonen. Had je nog het cookie site-test-groep van de eerdere test op de homepage, dan nemen we die letter bij je eerste bezoek over in een nieuw cookie site-groep, dat vanaf dat moment 60 dagen geldt, en verwijderen we het oude cookie. In de cookiebanner staat het bij de categorie die altijd aan staat, dus we plaatsen het ook als je alleen noodzakelijke cookies kiest. We beroepen ons daarvoor op art. 11.7a lid 3 Telecommunicatiewet: voor een cookie met geen of geringe gevolgen voor je privacy is geen toestemming nodig.
Open je een link waarmee je zelf een versie of een vormgeving kiest, dan onthoudt het cookie site-versie of site-thema die keuze één dag. Zo blijf je bij het doorklikken in dezelfde versie. Deze functionele cookies plaatsen we alleen op jouw eigen verzoek; ook daarvoor is geen toestemming nodig. Zulke bezoeken tellen niet mee in de test. Al deze cookies kun je altijd verwijderen via de instellingen van je browser.
Voor de test telt Vercel Web Analytics, zonder cookies, hoe vaak elke versie wordt bekeken en in welk deel van de website, en hoe vaak er wordt geklikt naar de Energietest, om een afspraak te plannen of op een bestelknop van een boek. Naast de gegevens uit 2.7 gaat daarbij alleen mee welke versie je zag en welk deel van de website of welke soort klik het was; bij een klik naar de Energietest op de homepage ook waar de link op de pagina stond. Het cookie zelf delen we met niemand. We koppelen de uitkomsten niet aan je naam, e-mailadres, antwoorden of bestellingen. Grondslag: AVG art. 6 lid 1 sub f (gerechtvaardigd belang: onze website verbeteren).
7. Rechten van betrokkenen
Onder de AVG heb je de volgende rechten:
- Inzage: je kunt opvragen welke gegevens we van je verwerken.
- Rectificatie: je kunt onjuiste gegevens laten corrigeren.
- Verwijdering: je kunt verzoeken om gegevens te laten verwijderen, voor zover er geen wettelijke bewaarplicht in de weg staat. Een verwijderverzoek omvat al je gezondheidsgegevens, testresultaten, sessieverslagen en bijbehorende bestanden. Een eerder gegeven toestemming voor AI-analyse, die we niet meer vragen, trekken we hierbij automatisch in. Je factuur- en betaalgegevens blijven wel bewaard onder de wettelijke fiscale bewaarplicht van zeven jaar, ook als we je gezondheidsgegevens op je verzoek wissen. Gegevens kunnen nog kort doorlopen in automatische database-backups, totdat de backup-bewaartermijn verloopt.
- Beperking van verwerking: je kunt vragen de verwerking tijdelijk stil te zetten.
- Dataportabiliteit: je kunt een kopie van je gegevens in een gestructureerd, machine-leesbaar formaat krijgen.
- Bezwaar: je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
- Intrekking van toestemming: als een verwerking berust op toestemming, kun je die altijd intrekken zonder opgaaf van reden.
Je kunt deze rechten uitoefenen via de zelfbedieningspagina mijn gegevens of per e-mail aan privacy@pauldingemans.com. We reageren binnen 30 dagen. Om je identiteit te controleren kunnen we aanvullende verificatie vragen, zonder onnodig persoonsgegevens op te vragen.
8. Klachtrecht Autoriteit Persoonsgegevens
Ben je het oneens met hoe wij met je gegevens omgaan en komen we er samen niet uit, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens. Je vindt de klachtenprocedure op autoriteitpersoonsgegevens.nl. We vragen je om ons eerst rechtstreeks te benaderen; dan kunnen we snel kijken of we het in goed overleg kunnen oplossen.
9. Beveiligingsmaatregelen
We nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, ongeautoriseerde toegang en misbruik:
- TLS 1.3 in transit: alle verbindingen met de website en onze verwerkers verlopen via versleuteld verkeer.
- Encryptie at rest: gegevens in de database worden versleuteld opgeslagen.
- 2FA op admin-toegang: het dashboard en het cliëntenportaal zijn alleen toegankelijk met tweefactorauthenticatie.
- Least-privilege: rolgebaseerde toegang, elke rol heeft alleen de rechten die strikt nodig zijn.
- Audit-logging: gevoelige acties op klantdossiers en medische data worden gelogd en periodiek gereviewd.
- Bot- en rate-limit-bescherming: formulieren zijn beschermd met honeypot, Turnstile, een automatische controle op onzin-invoer en rate-limiters per IP-hash en per gehasht e-mailadres.
10. Datalek-protocol
Mocht er onverhoopt een datalek optreden, dan hanteren we het volgende protocol:
- Het lek wordt binnen 24 uur na ontdekking intern geregistreerd en beoordeeld op risico voor betrokkenen.
- Als het lek een risico oplevert voor rechten en vrijheden van betrokkenen melden wij het binnen 72 uur bij de Autoriteit Persoonsgegevens, conform AVG Art. 33.
- Als het lek een hoog risico oplevert, informeren wij de betrokken personen rechtstreeks, in duidelijke taal en met concrete handelingsadviezen, conform AVG Art. 34.
- We documenteren elk incident: oorzaak, impact, genomen maatregelen en structurele preventie.
11. Wijzigingen
Deze verklaring kan wijzigen, bijvoorbeeld bij nieuwe diensten, nieuwe verwerkers of aangescherpte wetgeving. De meest recente versie staat altijd op deze pagina. De datum bovenaan geeft aan wanneer de laatste wijziging is gedaan. Bij ingrijpende wijzigingen brengen we actieve gebruikers per e-mail op de hoogte.
12. Contact
Heb je vragen over deze privacy-verklaring, wil je een recht uitoefenen, of wil je een klacht indienen?
Stuur een e-mail naar privacy@pauldingemans.com. We reageren binnen 30 dagen, meestal sneller.
Einde privacy-verklaring · Laatst bijgewerkt 8 oktober 2026