Privacybeleid

1. Inleiding

Fyzzy hecht groot belang aan de bescherming van uw persoonsgegevens. In dit privacybeleid leggen wij uit welke gegevens wij verzamelen, waarom wij dat doen, hoe wij deze gegevens verwerken en welke rechten u heeft. Dit beleid is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG).

Fyzzy is een platform voor fysiotherapeuten en hun patiënten, bedoeld om het behandelproces te ondersteunen. Bij het gebruik van ons platform worden persoonsgegevens verwerkt, waaronder gezondheidsgegevens die onder de bijzondere categorieën van de AVG vallen.

Fyzzy is gevestigd te Westerbracht 18, 7821 CH Emmen. Voor privacyvragen kunt u contact opnemen via info@fyzzy.nl.

2. Verwerkingsverantwoordelijke en verwerker

Voor de gegevens van patiënten die een praktijk in Fyzzy vastlegt, is de fysiotherapiepraktijk de verwerkingsverantwoordelijke en treedt Fyzzy op als verwerker in de zin van de AVG. Voor gegevens die Fyzzy zelf bepaalt — zoals account- en contactgegevens van praktijkmedewerkers, facturatie en bezoekgegevens van fyzzy.nl — is Fyzzy verwerkingsverantwoordelijke.

Fyzzy heeft geen functionaris gegevensbescherming (FG) aangesteld. Voor privacyvragen kunt u gebruikmaken van bovenstaand e-mailadres.

3. Welke gegevens verzamelen wij

Wij kunnen de volgende categorieën persoonsgegevens verwerken:

Accountgegevens

• Naam en achternaam
• E-mailadres
• Wachtwoord (versleuteld opgeslagen)
• Rol binnen het platform (therapeut, receptionist, patiënt, administrator)

Patiëntgegevens

• Naam en contactgegevens
• Geboortedatum en geslacht
• Adresgegevens en telefoonnummer
• Verzekeringsgegevens

Gezondheidsgegevens (bijzondere categorie)

• Aandoeningen en diagnoses
• Behandelplannen, hersteltrajecten en oefenprogramma's
• Sessiegegevens, metingen en testresultaten
• Trainingslogboeken en vragenlijsten (waaronder PREM/ROM en dagstatus)
• Declaratiegegevens

Technische gegevens

• IP-adres
• Browsertype en -versie
• Inlogmomenten en inzage-logging (audittrail, o.a. NEN 7513)

4. Doeleinden van de verwerking

• Behandelondersteuning: het faciliteren van het fysiotherapeutisch behandelproces, waaronder oefenprogramma's, voortgang en het plannen van afspraken.
• Accountbeheer: het aanmaken en beheren van gebruikersaccounts en inloggegevens.
• Communicatie: het versturen van uitnodigingen, herinneringen en belangrijke meldingen.
• Facturatie: het verwerken van declaraties, verzekerings- en betaalgegevens.
• Beveiliging: het beschermen van de toegang en het voorkomen van ongeautoriseerd gebruik.

5. Rechtsgrond

• Uitvoering van een overeenkomst: de verwerking is noodzakelijk voor het leveren van onze diensten.
• Wettelijke verplichting: bepaalde gegevens worden verwerkt om te voldoen aan wettelijke verplichtingen, zoals de bewaarplicht voor medische dossiers.
• Gezondheidszorg: de verwerking van gezondheidsgegevens vindt plaats ten behoeve van de gezondheidszorg door of onder verantwoordelijkheid van een beroepsbeoefenaar met geheimhoudingsplicht (AVG art. 9 lid 2 sub h), dan wel op grond van uitdrukkelijke toestemming.
• Gerechtvaardigd belang: voor technische gegevens die noodzakelijk zijn voor de beveiliging en het functioneren van het platform.

6. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk. Voor medische dossiers geldt een wettelijke bewaartermijn conform de Wet op de geneeskundige behandelingsovereenkomst (WGBO). Overige gegevens worden verwijderd zodra het account wordt opgeheven of wanneer de gegevens niet langer nodig zijn. Facturatiegegevens bewaren wij gedurende de wettelijke fiscale bewaartermijn.

7. Verwerkers en sub-verwerkers

Wij schakelen voor de dienstverlening de volgende partijen in:

• Hosting/infrastructuur: Hostinger, met servers in Frankfurt (Duitsland), binnen de Europese Economische Ruimte (EER).
• E-mail en notificaties: een eigen server bij Webba, gevestigd te Emmen (Nederland, EER).
• Betalingen: Stripe, voor de verwerking van betaalgegevens.
• Analyse (alleen de publieke website, uitsluitend na uw toestemming): Google Ireland Ltd., voor Google Analytics 4 op fyzzy.nl.
• Marketing (alleen de publieke website, uitsluitend na uw toestemming): Meta Platforms Ireland Ltd., voor de Meta Pixel op fyzzy.nl.
• Google en Meta ontvangen geen cliënt- of gezondheidsgegevens: hun scripts staan uitsluitend op de publieke marketingpagina's, nooit in de beveiligde omgeving.

Met partijen die persoonsgegevens in onze opdracht verwerken sluiten wij verwerkersovereenkomsten. Wij verkopen uw gegevens niet en gebruiken patiëntgegevens niet voor eigen commerciële doeleinden.

8. Doorgifte buiten de EER

De opslag en verwerking van de kern-persoonsgegevens vindt plaats binnen de EER (hosting in Frankfurt, e-mail in Nederland). Voor betalingen maken wij gebruik van Stripe; hierbij kan doorgifte naar de Verenigde Staten plaatsvinden, op basis van de daarvoor geldende waarborgen (het EU-US Data Privacy Framework en/of Standard Contractual Clauses).

Geeft u op de publieke website toestemming voor analyse- (Google Analytics) of marketingcookies (Meta Pixel), dan kan daarbij eveneens doorgifte naar de Verenigde Staten plaatsvinden, op basis van dezelfde waarborgen (EU-US Data Privacy Framework en/of Standard Contractual Clauses). Zonder uw toestemming vindt deze doorgifte niet plaats. Cliënt- en gezondheidsgegevens uit het platform worden nooit naar Google of Meta verzonden.

9. Beveiliging

• Versleutelde opslag van gevoelige gegevens en wachtwoorden
• Tweefactorauthenticatie
• Versleutelde verbindingen (HTTPS/TLS)
• Rolgebaseerde toegangscontrole en inzage-logging
• Regelmatige beveiligingsupdates

10. Uw rechten

Op grond van de AVG heeft u recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar, en kunt u een gegeven toestemming intrekken.

Voor patiëntgegevens richt u zich in beginsel tot de praktijk (verwerkingsverantwoordelijke); Fyzzy ondersteunt de praktijk daarbij. Voor gegevens waarvoor Fyzzy verantwoordelijke is, kunt u contact opnemen via info@fyzzy.nl. Wij reageren binnen 30 dagen.

11. Cookies

Fyzzy gebruikt functionele cookies die noodzakelijk zijn voor het functioneren van het platform, zoals sessiecookies voor het inloggen. Deze zijn altijd actief.

Op de publieke website (fyzzy.nl) kunt u daarnaast per categorie toestemming geven:

• Analytics — Google Analytics 4, waarmee wij meten hoeveel bezoekers de website heeft en welke pagina's worden bekeken.
• Marketing — de Meta Pixel, waarmee wij meten hoe effectief onze advertenties zijn.

Er worden pas cookies geplaatst nadat u daarvoor via de cookiemelding toestemming heeft gegeven, per categorie. Weigert u, of kiest u slechts één categorie, dan werkt de website gewoon.

Voor Google hanteren wij Google Consent Mode v2. Dat betekent dat het script van Google op elke pagina wordt geladen, maar dat alle toestemmingssignalen standaard op "geweigerd" staan: zolang u geen toestemming geeft, worden er geen cookies geplaatst en geen identificatiegegevens verzonden. Google ontvangt dan uitsluitend het technische verzoek om het script op te halen (waaronder uw IP-adres en browsertype) en zogeheten cookieloze signalen, waarmee bezoekersaantallen statistisch worden geschat. Geeft u toestemming voor analyse, dan worden wél analytische cookies geplaatst.

De Meta Pixel kent zo'n cookieloze modus niet en wordt daarom pas geladen nadat u toestemming geeft voor marketing. Zonder die toestemming wordt er niets bij Meta opgehaald en gaat er dus geen enkel gegeven naar Meta.

U kunt uw keuze op elk moment herroepen door de cookies en opslag van deze site in uw browser te wissen.

In de beveiligde omgeving van het platform — waar cliënt- en gezondheidsgegevens worden verwerkt — plaatsen wij geen marketing- of trackingcookies.

12. Wijzigingen

Wij behouden ons het recht voor dit privacybeleid te wijzigen. Wijzigingen worden op deze pagina gepubliceerd. Bij substantiële wijzigingen informeren wij gebruikers via het platform.

13. Klachten

Heeft u een klacht over de verwerking van uw persoonsgegevens? Neem dan eerst contact op via info@fyzzy.nl of met uw fysiotherapeut. U heeft daarnaast het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl.