Privacyverklaring: Zoravet-app (diereneigenaren)
1. Over deze verklaring en wie verantwoordelijk is voor uw gegevens
De Zoravet-app is een witgelabelde app die u van uw dierenkliniek krijgt. In de app kunt u de gegevens van uw huisdier bekijken, afspraken beheren, met de kliniek berichten en uw facturen inzien.
Bij het verwerken van uw gegevens zijn twee organisaties betrokken, en het maakt uit wie waarvoor verantwoordelijk is:
- Uw dierenkliniek is de “verwerkingsverantwoordelijke” voor uw accountgegevens, uw huisdieren, hun medische dossiers, uw afspraken, berichten en facturen. De kliniek bepaalt waarom en hoe deze gegevens worden gebruikt om diergeneeskundige zorg te verlenen en de praktijk te voeren. De naam en contactgegevens van uw kliniek vindt u in de app onder Profiel → Uw kliniek. Uw kliniek is het eerste aanspreekpunt voor vragen over uw persoonsgegevens en voor het uitoefenen van uw rechten (zie hoofdstuk 8).
- Zoravet is de “verwerker” voor diezelfde kliniek- en huisdiergegevens. Zoravet bouwt en beheert de app en het onderliggende platform in opdracht en namens de kliniek. Zoravet gebruikt uw kliniekgegevens niet voor eigen doeleinden.
- Zoravet is zélf “verwerkingsverantwoordelijke” voor een beperkte set gegevens die nodig is om het platform als product te laten draaien: uw inlogaccount voor het platform (beheerd via ons identiteitssysteem), beveiligings- en auditlogs, en basale technische en operationele gegevens om de dienst veilig, betrouwbaar en werkend te houden. Dit staat in hoofdstuk 4.2.
Gegevens van Zoravet als organisatie:
- Jensen Software
- KvK 96526181
- Oanjelaan 32, 1421 AK Uithoorn
- support@zoravet.nl (ma–vr 09:00–17:00 CET, behalve op Nederlandse feestdagen; buiten die tijden naar beste vermogen)
- Contact bij beveiliging of datalekken: security@zoravet.nl
- Toepasselijk recht: Nederland
2. Over de medische gegevens van uw huisdier
Het medisch dossier in de app gaat over uw dier, niet over u. Onder de AVG (GDPR) zijn gezondheidsgegevens over dieren geen “bijzondere persoonsgegevens” in de zin van artikel 9 (dat beschermt gegevens over de gezondheid van mensen en andere gevoelige categorieën over personen).
Toch gaan we zorgvuldig en met passende beveiliging om met de medische informatie van uw huisdier, omdat die aan u als eigenaar gekoppeld is en omdat het vertrouwelijke klinische informatie is. Ter verduidelijking: het strengere regime van artikel 9 voor menselijke gezondheidsgegevens geldt niet voor medische gegevens van dieren.
Mocht de app ooit gezondheidsinformatie over u persoonlijk bevatten (bijvoorbeeld een aantekening dat u slecht ter been bent en uw huisdier daardoor lastig kunt brengen), dan zijn dat uw eigen gezondheidsgegevens en vallen die wél onder de strengere regels van artikel 9. De app is niet bedoeld om zulke gegevens te verzamelen; vul die dan ook niet in.
3. Welke gegevens we verwerken
Afhankelijk van hoe u de app gebruikt, kunnen we de volgende categorieën persoonsgegevens verwerken:
| Categorie | Voorbeelden |
|---|---|
| Account & identiteit | Naam, adres, e-mailadres, telefoonnummer, taalvoorkeur, geboortedatum (als uw kliniek die vastlegt), inloggegevens (beheerd via ons identiteitssysteem) |
| Huisdieren | Naam, diersoort, ras, geslacht, geboortedatum, identificatie (bijvoorbeeld chipnummer), een foto als u die in de app toevoegt, verzekeraar en polisnummer (als die zijn vastgelegd) |
| Medisch dossier | Consultaantekeningen, diagnoses, behandelingen, vaccinaties, recepten, gewicht, labuitslagen (gegevens over het dier) |
| Afspraken | Aangevraagde en ingeplande afspraken, reden van bezoek, status |
| Berichten | Berichten die u via de app met de kliniek uitwisselt, en een overzicht van ander contact tussen de kliniek en u (inclusief eerdere e-mails, brieven en notities van telefoongesprekken die zijn overgenomen uit het vorige systeem van uw kliniek) |
| Documenten | Documenten die uw kliniek in de app met u deelt, zoals facturen, labuitslagen, nazorgbrieven en bijsluiters |
| Bestellingen | Bestellingen van herhaalmedicatie en voer die u in de app plaatst: product, huisdier, uw opmerking en de status van de bestelling |
| Verstrekte geneesmiddelen | Het wettelijk verplichte register van uw kliniek met geneesmiddelen die aan uw huisdier zijn verstrekt of toegediend: product, batch, hoeveelheid, uw huisdier, uw naam en adres, en de voorschrijvende dierenarts |
| Notities van de kliniek | Opmerkingen en waarschuwingen die uw kliniek over u of uw huisdier vastlegt |
| Facturatie | Facturen, betaalstatus (ook of uw kliniek uw account als achterstallig heeft gemarkeerd), bedragen, spaarpunten (als uw kliniek die gebruikt); betaalkaartgegevens worden niet door de app opgeslagen |
| Meldingen | Pushtoken(s) van uw apparaat, uw meldingsvoorkeuren/opt-ins |
| Toestemmings- en acceptatiegegevens | Welke versie van de voorwaarden en van deze privacyverklaring u hebt geaccepteerd, en wanneer; wanneer uw toestemming voor meldingen en nieuws is aan- of uitgezet, en door wie |
| Technisch/operationeel | App-versie, type apparaat/besturingssysteem, fout- en beveiligingslogs, tijdstippen van handelingen |
4. Waarom we uw gegevens gebruiken en op welke grondslag
4.1 Doeleinden onder regie van de kliniek (kliniek is verwerkingsverantwoordelijke, Zoravet is verwerker)
| Doel | Grondslag (AVG art. 6) |
|---|---|
| Diergeneeskundige zorg verlenen en het medisch dossier van uw huisdier bijhouden | Overeenkomst met de kliniek (art. 6 lid 1 sub b); gerechtvaardigd belang bij het voeren van de praktijk (art. 6 lid 1 sub f) |
| Afspraken beheren | Overeenkomst (art. 6 lid 1 sub b) |
| Met u communiceren (berichten, transactionele meldingen over afspraken, uitslagen, facturen) | Overeenkomst (art. 6 lid 1 sub b); gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Facturen sturen en betalingen verwerken | Overeenkomst (art. 6 lid 1 sub b); wettelijke administratieplicht (art. 6 lid 1 sub c) |
| Nieuws- / marketingberichten sturen (bijvoorbeeld nieuwsbrieven of acties van de kliniek) | Toestemming (art. 6 lid 1 sub a): opt-in, die u op elk moment kunt intrekken |
| Optionele AI-ondersteuning voor het kliniekteam: een samenvatting van de medische voorgeschiedenis van uw huisdier, alleen als uw kliniek dit heeft aangezet | Gerechtvaardigd belang van de kliniek bij efficiënte, zorgvuldige diergeneeskundige zorg (art. 6 lid 1 sub f) |
De kliniek bepaalt deze doeleinden en grondslagen. Welke grondslag voor een bepaald bericht geldt, kan afhangen van het beleid van uw kliniek.
4.2 Doeleinden onder regie van Zoravet (Zoravet is verwerkingsverantwoordelijke)
| Doel | Grondslag (AVG art. 6) |
|---|---|
| Uw inlogaccount aanbieden, beveiligen en onderhouden | Gerechtvaardigd belang bij het aanbieden van de dienst (art. 6 lid 1 sub f) |
| De dienst veilig houden (auditlogs, misbruikpreventie, incidentafhandeling) | Gerechtvaardigd belang bij beveiliging (art. 6 lid 1 sub f); wettelijke verplichting waar van toepassing (art. 6 lid 1 sub c) |
| Technische problemen opsporen en de app betrouwbaar houden | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
We doen geen gedragsanalyse van productgebruik en geen advertentietracking in de app (zie hoofdstuk 10).
5. Meldingen en pushtokens
Om pushmeldingen te kunnen sturen, registreert de app een pushtoken voor uw apparaat. Voor het versturen van een pushmelding is het technisch nodig dat dit token, samen met de inhoud van de melding, via Google Firebase Cloud Messaging (FCM) loopt (voor Android, en via het systeem van Apple voor bezorging op iOS). Meldingsgerelateerde technische gegevens gaan daardoor via de infrastructuur van Google. Zie hoofdstuk 6 over subverwerkers en doorgifte buiten de EU.
U bepaalt zelf welke meldingen u ontvangt:
- Transactionele meldingen (afspraakherinneringen, uitslag beschikbaar, nieuw bericht, factuur) horen bij de dienst.
- Nieuws- / marketingberichten zijn alleen op opt-in. U krijgt ze niet, tenzij u ze zelf aanzet, en u kunt ze op elk moment weer uitzetten in de app-instellingen.
Om zo min mogelijk gegevens naar Google te sturen, houden we de inhoud van meldingen beknopt waar dat kan. U kunt pushmeldingen ook volledig uitzetten op het niveau van uw besturingssysteem.
6. Wie uw gegevens nog meer verwerkt (subverwerkers) en doorgifte buiten de EU
Zoravet gebruikt de volgende subverwerkers om het platform te laten draaien. Zij handelen in opdracht van Zoravet (en uiteindelijk de kliniek) op basis van een overeenkomst:
| Subverwerker | Rol | Locatie / opmerking over doorgifte |
|---|---|---|
| Amazon Web Services EMEA SARL (AWS) | Cloudinfrastructuur: rekenkracht, database, objectopslag, back-ups, transactionele e-mail, secrets | EU-regio’s (primair Duitsland, back-up Ierland). Gegevens blijven in de EU/EER. |
| Amazon Web Services EMEA SARL (AWS): Amazon Bedrock | AI-verwerking voor de AI-samenvatting van de medische voorgeschiedenis van uw huisdier, gebruikt door het kliniekteam; staat uit totdat uw kliniek hem aanzet. (Wanneer de gegevens van een kliniek worden overgezet uit haar vorige systeem, wordt dezelfde dienst ook gebruikt om verschillend gespelde rasnamen samen te voegen; daarvoor worden geen gegevens over u verstuurd.) | Alleen in de EU. De tekst wordt alleen verwerkt om de samenvatting te maken: de AI-dienst bewaart hem niet, gebruikt hem niet om AI-modellen te trainen en deelt hem niet met de modelleverancier. |
| Google LLC (Firebase Cloud Messaging) | Bezorging van pushmeldingen (alleen app) | Google is een in de VS gevestigde aanbieder; meldingstokens/-inhoud kunnen buiten de EER worden verwerkt. Google LLC valt onder het EU–VS Data Privacy Framework, met EU-standaardcontractbepalingen als terugvaloptie. |
| Mollie B.V. | Betalingsverwerking (betaallink voor kliniekfacturen) | Nederland. Gepland, nog niet actief. Uitsluitend gehoste checkout: er komen geen betaalkaartgegevens op onze servers. Elke kliniek gebruikt haar eigen Mollie-account; Mollie betaalt rechtstreeks aan de kliniek uit. Wordt hier met voorafgaande kennisgeving toegevoegd vóór activering. |
Onze inlog-/identiteitsdienst draait zelf gehost door Zoravet op onze eigen EU-infrastructuur en is daarom geen externe subverwerker. Het is onderdeel van ons eigen platform. GitHub gebruiken we alleen voor broncode en CI; daar lopen geen persoonsgegevens van kliniek of eigenaar doorheen.
De volledige lijst met subverwerkers, die we met deze verklaring in overeenstemming houden, staat op de pagina Subverwerkers.
Zoravet voegt geen subverwerkers voor kliniekgegevens toe en wijzigt ze niet zonder de kliniek te informeren zoals afgesproken in onze overeenkomst met de kliniek.
7. Hoe lang we uw gegevens bewaren
De bewaartermijn van kliniekgegevens wordt uiteindelijk bepaald door uw kliniek als verwerkingsverantwoordelijke. De standaardtermijnen van het platform zijn:
- Medische dossiers: bewaard als levenslange patiëntgeschiedenis van uw huisdier, onder beheer van uw kliniek, en verwijderd wanneer u uw kliniek vraagt uw gegevens te wissen (behalve wat wettelijk bewaard moet blijven, zie hieronder).
- Facturen / financiële gegevens: ten minste 7 jaar bewaard, conform de Nederlandse fiscale bewaarplicht.
- Geneesmiddelenregistratie: het register van uw kliniek met geneesmiddelen die aan uw huisdier zijn verstrekt of toegediend, wordt ten minste 5 jaar bewaard (EU-verordening 2019/6). Als uw gegevens worden gewist, blijven uw naam en adres in die registratie staan, maar wordt de medische reden voor het geneesmiddel verwijderd.
- Berichten en afspraken: bewaard als onderdeel van uw klantdossier onder beheer van uw kliniek, en verwijderd wanneer uw gegevens worden gewist.
- Pushtokens: verwijderd zodra ze ongeldig worden of wanneer u meldingen uitzet of de app verwijdert.
- Meldingenlog: een overzicht van de meldingen die u zijn gestuurd, wordt 2 jaar bewaard.
- Platformaccount: verwijderd wanneer uw gegevens worden gewist. Auditgegevens (Zoravet als verwerkingsverantwoordelijke) over wijzigingen in uw gegevens worden 7 jaar bewaard, voor verantwoording en beveiliging; bij verwijdering van uw gegevens worden auditvermeldingen over u gepseudonimiseerd. Technische logs (applicatie- en beveiligingslogs, waarin IP-adressen kunnen staan) worden automatisch na 30 dagen verwijderd, en logs van webverkeer na 90 dagen.
Waar een bewaartermijn geldt, verwijdert of anonimiseert een geautomatiseerd proces de gegevens zodra die termijn afloopt. Voor facturen en de geneesmiddelenregistratie is verwijdering na de wettelijke minimumtermijn gepland, maar nog niet geautomatiseerd; tot die tijd worden ze langer bewaard dan het minimum, in geminimaliseerde vorm als uw gegevens zijn gewist.
Meer details: Data Retention & Erasure (Engelstalig).
8. Uw rechten en hoe u ze uitoefent
Op grond van de AVG (GDPR) hebt u de volgende rechten over uw persoonsgegevens:
- Inzage: een kopie krijgen van de persoonsgegevens die we over u hebben.
- Rectificatie: onjuiste of onvolledige gegevens laten corrigeren.
- Verwijdering (“recht op vergetelheid”): uw gegevens laten wissen, behoudens wettelijke bewaarplichten (bijvoorbeeld facturen).
- Dataportabiliteit: bepaalde gegevens in een gestructureerd, machineleesbaar formaat ontvangen, of laten overdragen.
- Bezwaar: bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
- Beperking: ons vragen de verwerking in bepaalde gevallen te beperken.
- Toestemming intrekken: waar de verwerking op toestemming berust (bijvoorbeeld marketingberichten), die op elk moment intrekken, zonder gevolgen voor eerdere verwerking.
Hoe u ze uitoefent: omdat uw kliniek de verwerkingsverantwoordelijke is voor uw huisdier- en kliniekgegevens, richt u deze verzoeken aan uw kliniek (contactgegevens in hoofdstuk 1). Zoravet helpt de kliniek bij het afhandelen van uw verzoek: het verwijderen van uw account en de dossiers van uw huisdieren is ingebouwd in het platform, zodat de kliniek dat namens u kan doen, en de kliniek verstrekt u kopieën van uw gegevens. Voor verzoeken over gegevens waarvoor Zoravet de verwerkingsverantwoordelijke is (uw platformaccount, beveiligingslogs) kunt u rechtstreeks contact opnemen met Zoravet via support@zoravet.nl. In de app kunt u ook zelf een kopie van uw profielgegevens downloaden (naam, contact- en adresgegevens, taalvoorkeur, spaarpunten en accountstatus; niet de dossiers van uw huisdieren, afspraken, berichten of facturen, die u bij uw kliniek opvraagt) en vragen om uw account te verwijderen; zo’n verzoek gaat naar uw kliniek, die de verwijdering uitvoert.
We streven ernaar te reageren binnen de wettelijke termijn (in de regel één maand).
9. Klachten
Bent u niet tevreden over hoe we met uw gegevens zijn omgegaan, dan hebt u het recht een klacht in te dienen bij de Nederlandse toezichthouder:
Autoriteit Persoonsgegevens (AP): www.autoriteitpersoonsgegevens.nl
We lossen uw klacht graag eerst zelf op, maar dat beperkt uw recht om een klacht in te dienen bij de AP niet.
10. Geautomatiseerde besluiten, profilering, analyse en verkoop van gegevens
- Geen geautomatiseerde besluitvorming: we nemen geen besluiten met rechtsgevolgen of vergelijkbare, aanzienlijke gevolgen voor u die uitsluitend op geautomatiseerde verwerking berusten. Optionele AI-functies helpen alleen het kliniekteam; ze nemen nooit zelf besluiten over u of uw huisdier.
- Geen profilering voor advertenties.
- Geen analyse-/trackingsoftware: de app bevat op dit moment geen product-analyse of advertentietrackers van derden. Verandert dit, dan passen we deze verklaring aan en vragen we, waar nodig, eerst uw toestemming.
- Geen verkoop van gegevens: we verkopen uw persoonsgegevens aan niemand.
11. Beveiliging
Zoravet beschermt uw gegevens met technische en organisatorische maatregelen, waaronder:
- Hosting bij een vooraanstaande cloudaanbieder in datacenters binnen de EU (EER), met back-ups die naar een tweede EU-regio worden gerepliceerd.
- Versleuteling onderweg (TLS) en in rust.
- Een beheerde, hoogbeschikbare databasedienst.
- Geautomatiseerde back-ups met point-in-time recovery, geo-redundant binnen de EU; herstelprocedures worden periodiek getest. Specifieke hersteldoelstellingen zijn op aanvraag beschikbaar.
- Continue, geautomatiseerde monitoring en alarmering.
- Centrale, op rollen gebaseerde toegang volgens het principe van minimale rechten, met strikte scheiding per kliniek, die zowel in de applicatie als in de database zelf wordt afgedwongen en “closed” faalt.
- Een eigen identiteits- en toegangsbeheersysteem; meervoudige authenticatie (MFA) wordt ondersteund en kan verplicht worden gesteld, al is die nog niet platformbreed afgedwongen.
- Een web application firewall beschermt onze diensten, en interne systemen draaien in afgeschermde netwerken.
- Wijzigingen worden uitgerold via geautomatiseerde pijplijnen met automatische terugrol, en productie-uitrol gebeurt pas na een handmatige goedkeuringsstap.
Geen enkel systeem is volledig veilig, en we zijn eerlijk over onze fase: Zoravet is een jong bedrijf met één beheerder. We hebben geen 24/7-beveiligingscentrum of piketdienst, en op dit moment geen formele beveiligingscertificeringen (zoals ISO 27001 of SOC 2): die streven we op deze schaal nu niet na, maar we richten onze werkwijze in naar erkende beveiligingskaders, in verhouding tot onze omvang.
Bij een datalek dat uw gegevens raakt, informeert Zoravet (als verwerker) de betrokken kliniek (als verwerkingsverantwoordelijke) zonder onnodige vertraging en binnen 48 uur nadat we ervan op de hoogte zijn, zodat de kliniek haar eigen meldplicht van 72 uur aan de Autoriteit Persoonsgegevens kan nakomen. Ons beveiligingsteam bereikt u via security@zoravet.nl.
Meer over onze beveiligings- en compliancepositie leest u in het Security Statement.
12. Wijzigingen in deze verklaring
We kunnen deze verklaring aanpassen. Belangrijke wijzigingen laten we u weten (bijvoorbeeld in de app), en waar nodig vragen we u de nieuwe versie te bevestigen. De actuele versie en datum staan bovenaan.
13. Contact
- Uw kliniek (verwerkingsverantwoordelijke): te vinden in de app onder Profiel → Uw kliniek.
- Zoravet (verwerker / verwerkingsverantwoordelijke voor het platform): Jensen Software, KvK 96526181, Oanjelaan 32, 1421 AK Uithoorn, support@zoravet.nl
- Contact bij beveiliging of datalekken: security@zoravet.nl
- Functionaris voor Gegevensbescherming / privacycontact: niet aangesteld. Een FG is niet verplicht: de kernactiviteiten van Zoravet bestaan niet uit grootschalige verwerking van bijzondere categorieën persoonsgegevens of grootschalige stelselmatige observatie (AVG art. 37). De enige bijzondere persoonsgegevens op het platform zijn verzuimgegevens van medewerkers van klinieken in de optionele HR-functies, die Zoravet als verwerker voor klinieken verwerkt, niet op grote schaal. Privacycontact: support@zoravet.nl.