Privacyverklaring — Zoravet-app (diereneigenaren)

1. Over deze verklaring en wie verantwoordelijk is voor je gegevens

De Zoravet-app is een witgelabelde app die je van je dierenkliniek krijgt. In de app kun je de gegevens van je huisdier bekijken, afspraken beheren, met de kliniek berichten en je facturen inzien.

Bij het verwerken van je gegevens zijn twee organisaties betrokken, en het maakt uit wie waarvoor verantwoordelijk is:

• Je dierenkliniek is de “verwerkingsverantwoordelijke” voor je accountgegevens, je huisdieren, hun medische dossiers, je afspraken, berichten en facturen. De kliniek bepaalt waarom en hoe deze gegevens worden gebruikt om diergeneeskundige zorg te verlenen en de praktijk te runnen. De naam en contactgegevens van je kliniek vind je in de app onder Instellingen → Over je kliniek. Je kliniek is het eerste aanspreekpunt voor vragen over je persoonsgegevens en voor het uitoefenen van je rechten (zie hoofdstuk 8).
• Zoravet is de “verwerker” voor diezelfde kliniek- en huisdiergegevens. Zoravet bouwt en beheert de app en het onderliggende platform in opdracht en namens de kliniek. Zoravet gebruikt je kliniekgegevens niet voor eigen doeleinden.
• Zoravet is zélf “verwerkingsverantwoordelijke” voor een beperkte set gegevens die nodig is om het platform als product te laten draaien: je inlogaccount voor het platform (beheerd via ons identiteitssysteem), beveiligings- en auditlogs, en basale technische en operationele gegevens om de dienst veilig, betrouwbaar en werkend te houden. Dit staat in hoofdstuk 4.2.

Gegevens van Zoravet als organisatie:

• Jensen Software
• KvK 96526181
• Oanjelaan 32, 1421 AK Uithoorn
• support@zoravet.nl (ma–vr 09:00–17:00 CET, behalve op Nederlandse feestdagen; buiten die tijden naar beste vermogen)
• Contact bij beveiliging of datalekken: security@zoravet.nl
• Toepasselijk recht: Nederland

2. Even over medische gegevens van je huisdier

Het medisch dossier in de app gaat over je dier, niet over jou. Onder de AVG (GDPR) zijn gezondheidsgegevens over dieren geen “bijzondere persoonsgegevens” in de zin van artikel 9 (dat beschermt gegevens over de gezondheid van mensen en andere gevoelige categorieën over personen).

Toch gaan we zorgvuldig en met passende beveiliging om met de medische informatie van je huisdier, omdat die aan jou als eigenaar gekoppeld is en omdat het vertrouwelijke klinische informatie is. Goed om te weten: het strengere regime van artikel 9 voor menselijke gezondheidsgegevens geldt niet voor medische gegevens van dieren.

Mocht de app ooit gezondheidsinformatie over jou persoonlijk bevatten (bijvoorbeeld een aantekening dat je slecht ter been bent en je huisdier daardoor lastig kunt brengen), dan zijn dat je eigen gezondheidsgegevens en vallen die wél onder de strengere regels van artikel 9. De app is niet bedoeld om zulke gegevens te verzamelen; vul die dan ook niet in.

3. Welke gegevens we verwerken

Afhankelijk van hoe je de app gebruikt, kunnen we de volgende categorieën persoonsgegevens verwerken:

Categorie	Voorbeelden
Account & identiteit	Naam, e-mailadres, telefoonnummer, inloggegevens (beheerd via ons identiteitssysteem)
Huisdieren	Naam, diersoort, ras, geslacht, geboortedatum, identificatie (bijvoorbeeld chipnummer)
Medisch dossier	Consultaantekeningen, diagnoses, behandelingen, vaccinaties, recepten, gewicht, labuitslagen (gegevens over het dier)
Afspraken	Aangevraagde en ingeplande afspraken, reden van bezoek, status
Berichten	Berichten die je via de app met de kliniek uitwisselt
Facturatie	Facturen, betaalstatus, bedragen (betaalkaartgegevens worden niet door de app opgeslagen)
Meldingen	Pushtoken(s) van je apparaat, je meldingsvoorkeuren/opt-ins
Technisch/operationeel	App-versie, type apparaat/besturingssysteem, fout- en beveiligingslogs, tijdstippen van handelingen

4. Waarom we je gegevens gebruiken en op welke grondslag

4.1 Doeleinden onder regie van de kliniek (kliniek is verwerkingsverantwoordelijke, Zoravet is verwerker)

Doel	Grondslag (AVG art. 6)
Diergeneeskundige zorg verlenen en het medisch dossier van je huisdier bijhouden	Overeenkomst met de kliniek (art. 6 lid 1 sub b); gerechtvaardigd belang bij het runnen van de praktijk (art. 6 lid 1 sub f)
Afspraken beheren	Overeenkomst (art. 6 lid 1 sub b)
Met je communiceren (berichten, transactionele meldingen over afspraken, uitslagen, facturen)	Overeenkomst (art. 6 lid 1 sub b); gerechtvaardigd belang (art. 6 lid 1 sub f)
Facturen sturen en betalingen verwerken	Overeenkomst (art. 6 lid 1 sub b); wettelijke administratieplicht (art. 6 lid 1 sub c)
Nieuws- / marketingberichten sturen (bijvoorbeeld nieuwsbrieven of acties van de kliniek)	Toestemming (art. 6 lid 1 sub a) — opt-in, die je op elk moment kunt intrekken

De kliniek bepaalt deze doeleinden en grondslagen. Welke grondslag voor een bepaald bericht geldt, kan afhangen van het beleid van je kliniek.

4.2 Doeleinden onder regie van Zoravet (Zoravet is verwerkingsverantwoordelijke)

Doel	Grondslag (AVG art. 6)
Je inlogaccount aanbieden, beveiligen en onderhouden	Gerechtvaardigd belang bij het aanbieden van de dienst (art. 6 lid 1 sub f)
De dienst veilig houden (auditlogs, misbruikpreventie, incidentafhandeling)	Gerechtvaardigd belang bij beveiliging (art. 6 lid 1 sub f); wettelijke verplichting waar van toepassing (art. 6 lid 1 sub c)
Technische problemen opsporen en de app betrouwbaar houden	Gerechtvaardigd belang (art. 6 lid 1 sub f)

We doen geen gedragsanalyse van productgebruik en geen advertentietracking in de app (zie hoofdstuk 10).

5. Meldingen en pushtokens

Om pushmeldingen te kunnen sturen, registreert de app een pushtoken voor je apparaat. Voor het versturen van een pushmelding is het technisch nodig dat dit token, samen met de inhoud van de melding, via Google Firebase Cloud Messaging (FCM) loopt (voor Android, en via het systeem van Apple voor bezorging op iOS). Meldingsgerelateerde technische gegevens gaan daardoor via de infrastructuur van Google. Zie hoofdstuk 6 over subverwerkers en doorgifte buiten de EU.

Jij hebt de meldingen in de hand:

• Transactionele meldingen (afspraakherinneringen, uitslag beschikbaar, nieuw bericht, factuur) horen bij de dienst.
• Nieuws- / marketingberichten zijn alleen op opt-in. Je krijgt ze niet, tenzij je ze zelf aanzet, en je kunt ze op elk moment weer uitzetten in de app-instellingen.

Om zo min mogelijk gegevens naar Google te sturen, houden we de inhoud van meldingen beknopt waar dat kan. Je kunt pushmeldingen ook volledig uitzetten op het niveau van je besturingssysteem.

6. Wie je gegevens nog meer verwerkt (subverwerkers) en doorgifte buiten de EU

Zoravet gebruikt de volgende subverwerkers om het platform te laten draaien. Zij handelen in opdracht van Zoravet (en uiteindelijk de kliniek) op basis van een overeenkomst:

Subverwerker	Rol	Locatie / opmerking over doorgifte
AWS (Amazon Web Services EMEA SARL)	Cloudinfrastructuur: rekenkracht, database, objectopslag, back-ups, transactionele e-mail, secrets	EU-regio’s — primair Frankfurt (Duitsland), back-up Ierland. Gegevens blijven in de EU/EER.
Google LLC (Firebase Cloud Messaging)	Bezorging van pushmeldingen (alleen app)	Google is een in de VS gevestigde aanbieder; meldingstokens/-inhoud kunnen buiten de EER worden verwerkt. Google LLC valt onder het EU–VS Data Privacy Framework, met EU-standaardcontractbepalingen als terugvaloptie.
Mollie B.V.	Betalingsverwerking (betaallink voor kliniekfacturen)	Nederland. Gepland, nog niet actief. Uitsluitend gehoste checkout — er komen geen betaalkaartgegevens op onze servers. Elke kliniek gebruikt haar eigen Mollie-account; Mollie betaalt rechtstreeks aan de kliniek uit. Wordt hier met voorafgaande kennisgeving toegevoegd vóór activering.

Onze inlog-/identiteitsdienst draait zelf gehost door Zoravet op onze eigen EU-infrastructuur en is daarom geen externe subverwerker — het is onderdeel van ons eigen platform. GitHub gebruiken we alleen voor broncode en CI; daar lopen geen persoonsgegevens van kliniek of eigenaar doorheen.

De volledige lijst met subverwerkers, die we met deze verklaring in sync houden, staat op de pagina Subverwerkers.

Zoravet voegt geen subverwerkers voor kliniekgegevens toe en wijzigt ze niet zonder de kliniek te informeren zoals afgesproken in onze overeenkomst met de kliniek.

7. Hoe lang we je gegevens bewaren

De bewaartermijn van kliniekgegevens wordt uiteindelijk bepaald door je kliniek als verwerkingsverantwoordelijke. De standaardtermijnen van het platform zijn:

• Medische dossiers: bewaard gedurende het leven van het huisdier plus 5 jaar, voor de diergeneeskundige zorg en de professionele dossierplicht.
• Facturen / financiële gegevens: 7 jaar bewaard, conform de Nederlandse fiscale bewaarplicht.
• Berichten en afspraken: 5 jaar bewaard na de laatste activiteit.
• Pushtokens: verwijderd zodra ze ongeldig worden of wanneer je meldingen uitzet of de app verwijdert.
• Platformaccount & beveiligingslogs (Zoravet als verwerkingsverantwoordelijke): bewaard zolang je account actief is en tot 12 maanden na afsluiting, voor beveiliging en geschillen.

Zodra een bewaartermijn afloopt, worden de gegevens verwijderd of geanonimiseerd.

8. Je rechten en hoe je ze uitoefent

Op grond van de AVG (GDPR) heb je de volgende rechten over je persoonsgegevens:

• Inzage — een kopie krijgen van de persoonsgegevens die we over je hebben.
• Rectificatie — onjuiste of onvolledige gegevens laten corrigeren.
• Verwijdering (“recht op vergetelheid”) — je gegevens laten wissen, behoudens wettelijke bewaarplichten (bijvoorbeeld facturen).
• Dataportabiliteit — bepaalde gegevens in een gestructureerd, machineleesbaar formaat ontvangen, of laten overdragen.
• Bezwaar — bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Beperking — ons vragen de verwerking in bepaalde gevallen te beperken.
• Toestemming intrekken — waar de verwerking op toestemming berust (bijvoorbeeld marketingberichten), die op elk moment intrekken, zonder gevolgen voor eerdere verwerking.

Hoe je ze uitoefent: omdat je kliniek de verwerkingsverantwoordelijke is voor je huisdier- en kliniekgegevens, richt je deze verzoeken aan je kliniek (contactgegevens in hoofdstuk 1). Zoravet helpt de kliniek bij het afhandelen van je verzoek — het exporteren van gegevens (portabiliteit) en het verwijderen van account- en dierdossiers zijn ingebouwd in het platform, zodat de kliniek dat namens jou kan doen. Voor verzoeken over gegevens waarvoor Zoravet de verwerkingsverantwoordelijke is (je platformaccount, beveiligingslogs) kun je rechtstreeks contact opnemen met Zoravet via support@zoravet.nl.

We streven ernaar te reageren binnen de wettelijke termijn (in de regel één maand).

9. Klachten

Ben je niet tevreden over hoe we met je gegevens zijn omgegaan, dan heb je het recht een klacht in te dienen bij de Nederlandse toezichthouder:

Autoriteit Persoonsgegevens (AP) — www.autoriteitpersoonsgegevens.nl

We lossen je klacht graag eerst zelf op, maar dat beperkt je recht om bij de AP te klagen niet.

10. Geautomatiseerde besluiten, profilering, analyse en verkoop van gegevens

• Geen geautomatiseerde besluitvorming: we nemen geen besluiten met rechtsgevolgen of vergelijkbare, aanzienlijke gevolgen voor jou die uitsluitend op geautomatiseerde verwerking berusten.
• Geen profilering voor advertenties.
• Geen analyse-/trackingsoftware: de app bevat op dit moment geen product-analyse of advertentietrackers van derden. Verandert dit, dan passen we deze verklaring aan en vragen we, waar nodig, eerst je toestemming.
• Geen verkoop van gegevens: we verkopen je persoonsgegevens aan niemand.

11. Beveiliging

Zoravet beschermt je gegevens met technische en organisatorische maatregelen, waaronder:

• Hosting bij een vooraanstaande cloudaanbieder in datacenters binnen de EU (EER), met back-ups die naar een tweede EU-regio worden gerepliceerd.
• Versleuteling onderweg (TLS) en in rust.
• Een beheerde, hoogbeschikbare databasedienst.
• Geautomatiseerde back-ups met point-in-time recovery, geo-redundant binnen de EU; herstelprocedures worden periodiek getest. Specifieke hersteldoelstellingen zijn op aanvraag beschikbaar.
• Continue, geautomatiseerde monitoring en alarmering.
• Centrale, op rollen gebaseerde toegang volgens het principe van minimale rechten, met strikte scheiding per kliniek die “closed” faalt; onze maatregelen tegen toegang over klinieken heen zijn onafhankelijk getoetst.
• Een eigen identiteits- en toegangsbeheersysteem; meervoudige authenticatie (MFA) wordt ondersteund en kan verplicht worden gesteld, al is die nog niet platformbreed afgedwongen.
• Een web application firewall beschermt onze diensten, en interne systemen draaien in afgeschermde netwerken.
• Wijzigingen worden uitgerold via geautomatiseerde pijplijnen met automatische terugrol, en productie-uitrol gebeurt pas na een handmatige goedkeuringsstap.

Geen enkel systeem is volledig veilig, en we zijn eerlijk over onze fase: Zoravet is een jong bedrijf met één beheerder. We hebben geen 24/7-beveiligingscentrum of piketdienst, en op dit moment geen formele beveiligingscertificeringen (zoals ISO 27001 of SOC 2) — die streven we op deze schaal nu niet na, maar we richten onze werkwijze in naar erkende beveiligingskaders, in verhouding tot onze omvang.

Bij een datalek dat je gegevens raakt, informeert Zoravet (als verwerker) de betrokken kliniek (als verwerkingsverantwoordelijke) zonder onnodige vertraging en binnen 48 uur nadat we ervan op de hoogte zijn, zodat de kliniek haar eigen meldplicht van 72 uur aan de Autoriteit Persoonsgegevens kan nakomen. Ons beveiligingsteam bereik je via security@zoravet.nl.

Meer over onze beveiligings- en compliancepositie lees je in het Security Statement.

12. Wijzigingen in deze verklaring

We kunnen deze verklaring aanpassen. Belangrijke wijzigingen laten we je weten (bijvoorbeeld in de app), en waar nodig vragen we je de nieuwe versie te bevestigen. De actuele versie en datum staan bovenaan.

13. Contact

• Je kliniek (verwerkingsverantwoordelijke): te vinden in de app onder Instellingen → Over je kliniek.
• Zoravet (verwerker / verwerkingsverantwoordelijke voor het platform): Jensen Software, KvK 96526181, Oanjelaan 32, 1421 AK Uithoorn, support@zoravet.nl
• Contact bij beveiliging of datalekken: security@zoravet.nl
• Functionaris voor Gegevensbescherming / privacycontact: niet aangesteld — een FG is voor deze verwerking niet verplicht (geen grootschalige verwerking of verwerking van bijzondere categorieën in de zin van AVG art. 37). Privacycontact: support@zoravet.nl.