Privacyverklaring EMDR met Bram

1 Wie is verantwoordelijk voor het verwerken van uw gegevens?

Mind to Move BV is verantwoordelijk voor de verwerking van uw persoonsgegevens binnen EMDR met Bram.

Adres: Briandlaan 11, 2037 XE Haarlem

KvK-nummer: 76029174

E-mailadres voor privacyvragen: iddo.post@mind-to-move.nl

Wanneer u de applicatie gebruikt via een zorgaanbieder, is deze zorgaanbieder verantwoordelijk voor uw medisch dossier en daarmee voor de verwerking van uw persoonsgegevens. Mind to Move BV is in dat geval, in de zin van de AVG, een verwerker namens de zorgaanbieder.

2 Welke persoonsgegevens verwerken wij?

Wij verwerken uitsluitend gegevens die nodig zijn voor de hieronder genoemde doelen. Afhankelijk van de inrichting en het gebruik van de applicatie gaat het om:

• Account- en contactgegevens: naam en e-mailadres.
• Gezondheidsgegevens: informatie over uw klachten, traumatische herinneringen, positieve en negatieve zelfuitspraken, spanningsscores, het beloop van de behandeling en de behandelresultaten.
• Sessiegegevens: de informatie die u tijdens de behandeling invoert en gegevens over het verloop en de resultaten van uw sessies.
• Berichten: de berichten die u en uw behandelaar elkaar via de applicatie sturen.
• Technische gegevens: inloggegevens en logbestanden over het gebruik van de software, waaronder inlogactiviteit, wijzigingen in gebruikersaccounts en rollen, en sessiegegevens.
• Toestemmingsgegevens: welke toestemming u heeft gegeven, op welk moment en voor welke versie van deze privacyverklaring.

3 Waarvoor gebruiken wij uw gegevens?

Wij gebruiken uw persoonsgegevens om:

• u toegang te geven tot de applicatie;
• de digitale EMDR-sessie uit te voeren en uw ingevoerde antwoorden te verwerken;
• uw voortgang vast te leggen en een sessie te hervatten, voor zover deze functie beschikbaar is;
• met uw toestemming relevante behandelgegevens beschikbaar te stellen aan uw betrokken behandelaar;
• berichten tussen u en uw behandelaar mogelijk te maken;
• vragen over het gebruik van de applicatie te beantwoorden;
• de applicatie te beveiligen en technische problemen op te lossen;
• te voldoen aan wettelijke verplichtingen die op ons van toepassing zijn.

Voor wetenschappelijk onderzoek vragen wij afzonderlijke toestemming wanneer dit nodig is. Eventueel door u gegeven toestemming voor kwaliteitsdoeleinden omvat geen toestemming voor wetenschappelijk onderzoek.

Kwaliteitsdoeleinden

Met uw afzonderlijke, uitdrukkelijke toestemming gebruiken wij gegevens over het behandelverloop, uw spanningsscores, behandelresultaten en het gebruik van de applicatie om de kwaliteit, veiligheid en gebruiksvriendelijkheid van EMDR met Bram te beoordelen en te verbeteren. Dit omvat het evalueren van behandelresultaten en het signaleren van knelpunten in de digitale behandeling. Informatie over herinneringen en zelfuitspraken gebruiken wij alleen voor zover noodzakelijk. Wij beperken de gegevens tot het noodzakelijke en gebruiken waar mogelijk gegevens zonder kenmerken die naar uw identiteit herleid kunnen worden.

4 Op welke grondslag verwerken wij uw gegevens?

Toestemming voor gebruik van de applicatie

De grondslag voor de verwerking van persoonsgegevens voor het gebruik van EMDR met Bram is toestemming. Dit betreft het verwerken van door u of uw behandelaar ingevoerde gegevens voor de digitale EMDR-behandeling, de registratie van het behandelverloop en de behandelresultaten en het bijbehorende account- en technische beheer. Omdat in het proces gezondheidsgegevens verwerkt worden, vragen wij uw uitdrukkelijke toestemming.

Voor het delen van uw persoonsgegevens om de kwaliteit van EMDR met Bram te verbeteren, vragen wij uw afzonderlijke uitdrukkelijke toestemming. Dit is vrijwillig en uw keuze heeft geen gevolgen voor uw behandeling of toegang tot de applicatie.

Verwerking als onderdeel van een behandeling

Wanneer het gebruik van EMDR met Bram onderdeel is van een geneeskundige behandeling, kunnen gegevens ook worden verwerkt voor de uitvoering van de behandelovereenkomst en het voldoen aan wettelijke verplichtingen. Gezondheidsgegevens worden dan verwerkt voor het verlenen van gezondheidszorg, onder de daarvoor geldende voorwaarden en geheimhoudingsplicht.

Beveiliging en technisch beheer

Wij verwerken uw inloggegevens en logbestanden uit de applicatie voor het toegangsbeheer, de beveiliging en het controleren van het gebruik van de software. Omdat zonder uw toestemming geen sessies uitgevoerd worden, is het gepast geacht om ook deze verwerkingen onder de grondslag toestemming te plaatsen.

5 Is het gebruik van persoonsgegevens noodzakelijk?

Gezondheidsgegevens zijn noodzakelijk om de digitale EMDR-behandeling uit te voeren. Naam en e-mailadres zijn nodig voor uw account.

U beslist zelf of u toestemming geeft voor verwerkingen die op toestemming berusten. Als u de applicatie via uw behandelaar gebruikt en geen toestemming wilt geven, kunt u met uw behandelaar bespreken welke andere behandelmogelijkheden beschikbaar zijn.

U kunt na afronding van uw behandeling uw gegevens exporteren. Uw behandelaar kan u uitnodigen en basisgegevens invoeren. U geeft daarna in de applicatie toestemming voor verdere verwerking. Gegevens over de EMDR-sessie worden met de behandelaar gedeeld. De behandelaar verwerkt de relevante gegevens na afronding van uw behandeling in uw elektronisch patiëntendossier bij de zorgaanbieder, met inachtneming van diens wettelijke dossierplicht.

6 Wie kan uw gegevens ontvangen?

Uw gegevens zijn alleen toegankelijk voor personen en organisaties die deze nodig hebben voor hun werkzaamheden en daartoe bevoegd zijn. Het kan gaan om:

• uw betrokken behandelaar, met uw toestemming, voor het volgen van uw voortgang en behandelresultaten;
• bevoegde medewerkers voor ondersteuning, beheer en, wanneer u hiervoor afzonderlijk toestemming geeft, kwaliteitsverbetering, uitsluitend voor zover nodig voor hun werkzaamheden;
• technische dienstverleners voor hosting en gegevensopslag: Vercel voor de webapplicatie en Neon voor de PostgreSQL-database op AWS.

Wij sluiten verwerkersovereenkomsten met dienstverleners die persoonsgegevens namens ons verwerken. Daarin leggen wij onder meer afspraken vast over beveiliging, vertrouwelijkheid en het gebruik van uw gegevens.

Verstrekking aan andere partijen vindt alleen plaats als daarvoor een geldige wettelijke grondslag bestaat.

7 Waar worden uw gegevens verwerkt

Uw gegevens worden opgeslagen in een Neon PostgreSQL-database, gehost in AWS binnen de Europese Economische Ruimte (EER). De webapplicatie draait op het Vercel-platform, tevens gehost in de EER.

Voor het versturen van toegangslinks en accountgegevens, wordt de applicatie Resend gebruikt. Hierbij wordt uw e-mailadres verwerkt door Resend, waarbij verwerking in de Verenigde Staten plaatsvindt. Resend valt onder het adequaatheidsbesluit van de Europese Commissie vanuit het EU-U.S. Data Privacy Framework. Dit houdt in dat het beveiligingsniveau van de verwerking in de V.S. gelijkgesteld is aan het EU-niveau.

Voor het uitschrijven van wat u inspreekt wordt OpenAI gebruikt (zie hoofdstuk 12) en voor het afspelen van de video's Mux. Beide verwerken gegevens in de Verenigde Staten, onder het EU-U.S. Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Voor beveiliging, technische loggegevens en foutmeldingen gebruiken wij dienstverleners in de EU. De technische logbestanden bij deze dienstverleners bevatten onder meer uw IP-adres en worden, net als de foutmeldingen, na 30 dagen verwijderd. Dit staat los van de loggegevens in hoofdstuk 9. Die houdt EMDR met Bram zelf bij, zoals wie wanneer heeft ingelogd en wie uw gegevens heeft ingezien of gewijzigd.

8 Hoe beveiligen wij uw gegevens?

Wij nemen in elk geval de volgende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen verlies, onbevoegde toegang en ongeoorloofd gebruik:

• Versleuteling van verbindingen met TLS en van opgeslagen gegevens;
• inloggen met een passkey (tweefactorauthenticatie) of met een eenmalige inloglink per e-mail;
• rolgebaseerde toegang;
• logging en monitoring;
• updates en beveiligingspatches;
• periodieke penetratietests;
• back-upprocedures;
• een datalekprocedure;
• training van gebruikers;
• beperking van de hoeveelheid verwerkte gegevens;
• verwerkersovereenkomsten met partijen die namens ons uw persoonsgegevens verwerken.

Medewerkers en dienstverleners die toegang hebben tot persoonsgegevens zijn gebonden aan geheimhouding.

9 Hoelang bewaren wij uw gegevens?

Wij bewaren uw gegevens niet langer dan nodig is voor het doel waarvoor zij zijn verzameld, tenzij een wettelijke bewaarplicht geldt.

Concreet houdt dit in dat uw gegevens na zes (6) maanden verwijderd worden, gerekend vanaf de laatste activiteit in EMDR met Bram. Als uw behandelaar aan uw account gekoppeld is en de sessiegegevens wil gebruiken voor uw medisch dossier, dan moet uw behandelaar binnen die periode de gegevens uit EMDR met Bram halen.

Loggegevens, die geen onderdeel uitmaken van uw sessiegegevens, worden op basis van de voorgeschreven termijn in het ‘Besluit elektronische gegevensverwerking door zorgaanbieders’ vijf (5) jaar bewaard.

Na het verwijderen van de gegevens zijn de gegevens nog beschikbaar in back-ups. Het duurt maximaal 35 dagen voordat de gegevens ook uit de back-ups verwijderd zijn.

Voor gegevens die voor kwaliteitsdoeleinden gebruikt worden, geldt dat deze maximaal een (1) jaar bewaard worden. Als dergelijke gegevens langer worden bewaard, worden deze eerst volledig ontdaan van gegevens die naar u herleid kunnen worden.

10 Toestemming intrekken

U kunt uw toestemming op ieder moment wijzigen of intrekken in uw persoonlijke account.

Na intrekking stoppen wij de verwerkingen die op uw toestemming gebaseerd zijn. Dit kan betekenen dat u de applicatie of bepaalde functies niet meer kunt gebruiken.

U kunt uw toestemming voor kwaliteitsdoeleinden afzonderlijk intrekken. Hiervoor kunt u een e-mail sturen naar iddo.post@mind-to-move.nl. Wij stoppen dan het verdere gebruik van uw persoonsgegevens voor dat doel. Als geen andere geldige grondslag voor bewaring bestaat, verwijderen wij de betreffende persoonsgegevens. Eerder volledig geanonimiseerde resultaten zijn niet meer naar u te herleiden en kunnen daarom niet individueel worden verwijderd.

Intrekking heeft geen gevolgen voor de rechtmatigheid van de verwerking vóór het moment van intrekking. Gegevens die wij op een andere geldige grondslag moeten bewaren, zoals gegevens in een verplicht medisch dossier, worden niet automatisch verwijderd.

11 Welke rechten heeft u?

U kunt ons verzoeken om:

• inzage in uw persoonsgegevens en een kopie daarvan;
• verbetering van onjuiste of onvolledige gegevens;
• verwijdering van uw gegevens;
• beperking van de verwerking;
• overdracht van uw gegevens, voor zover het recht op gegevensoverdraagbaarheid van toepassing is.

U kunt bezwaar maken tegen verwerkingen die op een gerechtvaardigd belang berusten. Deze rechten zijn niet in alle situaties onbeperkt van toepassing. Wanneer wij een verzoek niet of slechts gedeeltelijk kunnen uitvoeren, leggen wij uit waarom.

Stuur uw verzoek naar iddo.post@mind-to-move.nl. Wij reageren in beginsel binnen één maand. Als een verlenging nodig is, informeren wij u hierover binnen die maand. Wij kunnen u vragen uw identiteit op een passende manier te bevestigen.

Heeft u een klacht over de verwerking van uw persoonsgegevens? Neem dan contact met ons op. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl.

12 Cookies en geautomatiseerde verwerking

Cookies en vergelijkbare technieken: EMDR met Bram gebruikt alleen functionele cookies die nodig zijn om de applicatie te laten werken, bijvoorbeeld om u ingelogd te houden. Deze cookies verlopen na maximaal een jaar. Daarvoor is geen toestemming nodig.

Geautomatiseerde verwerking: EMDR met Bram biedt digitale EMDR en verwerkt uw ingevoerde antwoorden tijdens de behandeling. Deze verwerking is gestandaardiseerd op basis van de principes van EMDR-behandelingen. Voor het verwerken van uw ingesproken tekst tijdens een sessie, wordt kunstmatige intelligentie (AI) van OpenAI gebruikt. Dit gedeelte gaat om het omzetten van de gesproken tekst en, bij het beschrijven van een beeld, een korte samenvatting daarvan, zodat deze invoer in het verloop van de sessie gebruikt kan worden. Dit gebeurt buiten de EMDR-applicatie om, in aparte software. Hierbij wordt alleen de tekst zelf verwerkt in de aparte software, zonder enige persoonsgegevens van of over u te delen. Daarom is hierbij geen sprake van verwerking van persoonsgegevens. OpenAI gebruikt deze gegevens niet om modellen te trainen.

13 Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. De actuele versie is beschikbaar via de link ‘Privacyverklaring’ op de startpagina en de inlogpagina van EMDR met Bram. Als een wijziging nieuwe toestemming vereist, vragen wij die voordat de betreffende verwerking begint.