Privacybeleid Procelexa

1. Algemene informatie

2. Wie zijn wij?

Wij zijn een softwareleverancier die zakelijke klanten een AI-oplossing biedt. Als verwerker van persoonsgegevens bieden wij de technische infrastructuur en tools aan waarmee klanten (de verwerkingsverantwoordelijken) persoonsgegevens kunnen verwerken. Wij bewaren transcripten en gegenereerde rapporten uitsluitend gedurende een korte, door de klant ingestelde retentieperiode (standaard 24 uur, instelbaar tussen 1 en 24 uur) zodat de zorgprofessional zijn sessie kan afronden. Audio wordt nooit opgeslagen. Welke persoonsgegevens via onze AI-oplossing worden verwerkt, is volledig afhankelijk van het gebruik door de klant; wij hebben geen invloed op de gegevens die door onze klanten in ons systeem worden ingevoerd.

3. Soorten persoonsgegevens die wij verwerken

Wij verwerken van onze klanten alleen naam, functie, e-mailadres en telefoonnummer van de contactpersonen van onze klanten. Dat doen we om contact op te nemen kunnen met vragen over het contract en de samenwerking en om facturen te kunnen sturen.

De gegevens die in ons systeem worden verwerkt, kunnen onderstaande gegevens zijn, maar het uiteindelijke overzicht is afhankelijk van het gebruik door de klant zelf:

• Identificatiegegevens: zoals naam, adres, telefoonnummer, e-mailadres van gebruikers van onze klanten.
• Bedrijfsinformatie: zoals naam van de organisatie, functie, afdeling.
• Gegevens naar aanleiding van de dienstverlening van de klant: zoals verzuimgegevens, medische gegevens of administratieve gegevens.

Wij bewaren deze gegevens uitsluitend gedurende de door de klant ingestelde retentieperiode (standaard 24 uur, instelbaar tussen 1 en 24 uur) en hebben geen toegang tot de inhoud van de door onze klanten ingevoerde gegevens, behalve voor de technische ondersteuning die wij bieden, indien nodig. Live audio wordt verwerkt voor transcriptie maar niet opgeslagen.

4. Doelen van de gegevensverwerking

Wij verwerken persoonsgegevens enkel in opdracht van onze klanten en voor de volgende doeleinden:

• Het aanbieden van onze AI-oplossing: De AI-oplossing is een tool die door klanten wordt gebruikt om bepaalde analyses en verwerkingen uit te voeren op hun eigen gegevens.
• Ondersteuning en onderhoud: Wij kunnen toegang krijgen tot gegevens om klanten te ondersteunen bij technische problemen of om de werking van de software te verbeteren, maar altijd binnen de grenzen van wat nodig is om de dienst te verlenen.
• Beveiliging en kwaliteitscontrole: Wij verwerken gegevens om onze systemen veilig te houden en de kwaliteit van onze diensten te waarborgen.

Voor de via onze AI-oplossing verwerkte gegevens verzamelen of gebruiken wij geen gegevens voor andere doeleinden dan hierboven beschreven. Daarnaast verwerken wij voor onze eigen doeleinden (nieuwsbrief, wachtlijst en CRM) beperkte zakelijke contactgegevens — zie paragraaf 5a.

5. Verwerkingsverantwoordelijke en verwerker

• Verwerkingsverantwoordelijke: De klant die gebruik maakt van onze AI-oplossing is de verwerkingsverantwoordelijke. Dit betekent dat zij bepalen welke persoonsgegevens worden verzameld en waarom.
• Verwerker: Wij fungeren als verwerker van de persoonsgegevens in de zin van de AVG die door onze klanten worden ingevoerd. Dit betekent dat wij persoonsgegevens enkel verwerken in opdracht van de klant en dat wij geen eigen doeleinden hebben voor de verwerking van deze gegevens.

5a. ProceLexa als verwerkingsverantwoordelijke (nieuwsbrief, wachtlijst en CRM)

Voor een aantal verwerkingen bepalen wij zélf het doel en de middelen. Voor díe activiteiten zijn wij de verwerkingsverantwoordelijke (en dus niet de verwerker zoals in paragraaf 5 beschreven voor de gegevens in onze AI-oplossing). Het gaat uitsluitend om zakelijke contactgegevens (zoals naam, e-mailadres en vakgebied) van professionals die zelf contact met ons zoeken — nooit om patiënt- of bijzondere persoonsgegevens.

• Nieuwsbrief en marketing: wij sturen u alleen e-mails nadat u zich daarvoor heeft aangemeld. Grondslag: toestemming. U kunt zich op elk moment afmelden via de afmeldlink in elke e-mail of via privacy@procelexa.nl.
• Wachtlijst voor vakgebieden: laat u op /vakgebieden uw e-mailadres en vakgebied achter, dan gebruiken wij die gegevens om u te informeren zodra ProceLexa uw vakgebied verder ondersteunt, en als signaal voor welke vakgebieden wij als volgende uitwerken. Grondslag: toestemming.
• Contact en CRM: neemt u contact met ons op of wordt u klant, dan leggen wij uw contactgegevens vast in ons CRM om u te kunnen helpen en de samenwerking te onderhouden. Grondslag: uitvoering van (de aanloop naar) een overeenkomst en gerechtvaardigd belang.

Bewaartermijn: nieuwsbrief-, wachtlijst- en marketinggegevens bewaren wij tot u zich afmeldt (uitschrijving); daarna verwijderen wij uw gegevens uit de betreffende lijst. Contactgegevens in ons CRM bewaren wij zolang dat voor de relatie nodig is of zolang een wettelijke bewaarplicht geldt.

Wij leggen vast wanneer en via welk formulier u toestemming heeft gegeven, zodat wij dit desgevraagd kunnen aantonen (art. 7 AVG). U heeft de in paragraaf 10 genoemde rechten, waaronder het recht om uw toestemming in te trekken en bezwaar te maken tegen direct marketing. De subverwerkers die wij voor deze verwerkingen inschakelen (Resend en Attio) staan vermeld in paragraaf 8.

6. Grondslagen voor de verwerking

De verwerking van persoonsgegevens door ons gebeurt op basis van de volgende grondslagen:

• Toestemming: Voor onze nieuwsbrief, de vakgebied-wachtlijst en overige direct marketing (zie paragraaf 5a) verwerken wij uw gegevens op basis van uw toestemming. U kunt deze toestemming op elk moment intrekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór de intrekking.
• Uitvoering van een contract: Wij verwerken persoonsgegevens om onze diensten aan de klant te leveren, zoals beschreven in de overeenkomst tussen ons en de klant. De klant is verantwoordelijk voor de verwerking van de gegevens in onze AI-oplossing.
• Wettelijke verplichting: Indien wij wettelijk verplicht zijn om gegevens te verwerken (bijvoorbeeld voor belastingdoeleinden), zullen wij dit doen.
• Gerechtvaardigd belang:Wij kunnen persoonsgegevens verwerken voor technische ondersteuning, onderhoud van de systemen en om de veiligheid van onze diensten te waarborgen. Op deze grondslag voeren wij ook geanonimiseerde productanalyse uit (via PostHog, gehost in de EU) om het platform te verbeteren. Hierbij worden geen transcripten, patiëntgegevens of rapportinhoud verwerkt en worden tekst en invoervelden gemaskeerd. U kunt hiertegen bezwaar maken door de productanalyse uit te zetten via Instellingen → Privacy & analyse in uw account.

7. Opslag en beveiliging van persoonsgegevens

Transcripten en gegenereerde rapporten worden opgeslagen in versleutelde tabellen binnen de Europese Unie. De opslagduur is per organisatie instelbaar tussen 1 en 24 uur, met een platformplafond van maximaal 24 uur. Na het verstrijken van deze retentieperiode worden de gegevens automatisch en gegarandeerd verwijderd door een geplande verwijderingstaak (uitgevoerd ten minste elke 15 minuten), met TTL-techniek als extra vangnet. Live audio wordt voor transcriptie verwerkt maar niet op onze infrastructuur opgeslagen.

Iedere wijziging aan een transcript of rapport wordt als nieuwe, onveranderlijke versie vastgelegd binnen dezelfde retentieperiode, zodat de bewerkingsgeschiedenis zelf als audit trail dient. Gebruikers kunnen een sessie en alle bijbehorende versies te allen tijde handmatig verwijderen via het dashboard.

Wij nemen passende technische en organisatorische maatregelen om de persoonsgegevens die wij verwerken te beschermen tegen verlies of ongeautoriseerde toegang, waaronder versleuteling, toegangsbescherming en veilige netwerken. Uiteraard zien wij het als onze verantwoordelijkheid om onze klanten te informeren over een verantwoord en juist gebruik van de AI-oplossing en faciliteren wij veilig gebruik.

8. Delen van persoonsgegevens

Wij delen geen persoonsgegevens met derden, tenzij dit noodzakelijk is voor de uitvoering van de overeenkomst met de klant, of indien dit wettelijk vereist is.

In geval van gebruik van subverwerkers voor technische ondersteuning of infrastructuur, zorgen wij ervoor dat er een verwerkersovereenkomst is afgesloten die voldoet aan de vereisten van de AVG.

Voor geanonimiseerde productanalyse maken wij gebruik van PostHog als subverwerker. PostHog wordt gehost binnen de Europese Unie (EU) en de gegevens worden niet buiten de EU verwerkt. Optionele marketing- en meetcookies (via Google Tag Manager / Google Analytics) worden uitsluitend geplaatst nadat u daarvoor toestemming heeft gegeven via onze cookiemelding. Zie onze cookieverklaring voor meer informatie.

Voor onze eigen e-mail-, nieuwsbrief-, wachtlijst- en CRM-verwerkingen (zie paragraaf 5a) maken wij gebruik van de volgende subverwerkers, waarmee wij een verwerkersovereenkomst hebben gesloten. Zij ontvangen uitsluitend zakelijke contactgegevens, nooit transcripten, patiëntgegevens of rapportinhoud:

• Resend(bezorging van nieuwsbrief en transactionele e-mail). Resend verwerkt e-mailadressen en bijbehorende accountgegevens in de Verenigde Staten. Deze doorgifte buiten de EER vindt plaats op basis van de EU-modelcontractbepalingen (SCC's) en het EU-VS Data Privacy Framework. Stuurt u ons een bericht via een contactformulier, dan passeert de inhoud van dat bericht ook de (Amerikaanse) logs van Resend — voer daarom in onze formulieren geen patiënt- of bijzondere persoonsgegevens in.
• Attio (CRM). Attio host gegevens in het Verenigd Koninkrijk en de EU, op basis van een adequaatheidsbesluit van de Europese Commissie.

9. Bewaartermijn

Transcripten en gegenereerde rapporten worden bewaard gedurende de door de organisatie ingestelde retentieperiode (standaard 24 uur, instelbaar tussen 1 en 24 uur). Daarna worden zij automatisch en gegarandeerd verwijderd; herstel uit back-up is voor deze gegevens niet mogelijk, zodat de retentiegarantie ook bij een rollback geldt. Live audio wordt nooit opgeslagen.

Contactgegevens van klanten en facturatiegegevens worden bewaard zolang de overeenkomst loopt en daarna conform de geldende wettelijke bewaartermijnen. Technische loggegevens worden maximaal 90 dagen bewaard.

Gegevens die wij verwerken voor onze nieuwsbrief, de vakgebied-wachtlijst en marketing (zie paragraaf 5a) bewaren wij tot u zich afmeldt; daarna verwijderen wij deze uit de betreffende lijst. Contactgegevens in ons CRM bewaren wij zolang dat voor de relatie nodig is of zolang een wettelijke bewaarplicht geldt.

10. Rechten van betrokkenen

Voor de gegevens die via onze AI-oplossing worden verwerkt zijn wij uitsluitend verwerker; in dat geval dient de klant als verwerkingsverantwoordelijke ervoor te zorgen dat de betrokkenen (de personen wiens gegevens worden verwerkt) op de hoogte zijn van hun rechten en dat deze rechten kunnen worden uitgeoefend.

Voor de verwerkingen waarvoor wij zélf verwerkingsverantwoordelijke zijn — onze nieuwsbrief, de vakgebied-wachtlijst en ons CRM (zie paragraaf 5a) — kunt u deze rechten rechtstreeks bij ons uitoefenen via privacy@procelexa.nl.

De rechten van betrokkenen onder de AVG zijn onder meer:

• Recht op inzage: De betrokkene kan verzoeken om een kopie van hun gegevens.
• Recht op rectificatie: De betrokkene kan verzoeken om onjuiste gegevens te corrigeren.
• Recht op verwijdering: De betrokkene kan verzoeken om gegevens te verwijderen, bijvoorbeeld wanneer ze niet langer nodig zijn voor de doeleinden waarvoor ze zijn verzameld.
• Recht op beperking van de verwerking: De betrokkene kan verzoeken om de verwerking van gegevens te beperken.
• Recht op dataportabiliteit: De betrokkene kan verzoeken om hun gegevens in een gestructureerd, veelgebruikt en machineleesbaar formaat te ontvangen.
• Recht van bezwaar: De betrokkene kan bezwaar maken tegen de verwerking van hun persoonsgegevens, waaronder een te allen tijde geldend recht van bezwaar tegen direct marketing.
• Recht om toestemming in te trekken: Waar de verwerking op toestemming berust (paragraaf 5a), kan de betrokkene die toestemming op elk moment intrekken — via de afmeldlink in onze e-mails of via privacy@procelexa.nl.

11. Wijzigingen in het privacybeleid

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken om te voldoen aan de wetgeving of wijzigingen in onze verwerkingsactiviteiten. Alle wijzigingen worden op deze pagina gepubliceerd en, indien van toepassing, zullen we u informeren via e-mail of een andere geschikte communicatie.

12. Contactgegevens

Als u vragen heeft over dit privacybeleid of de verwerking van persoonsgegevens, kunt u contact met ons opnemen via de onderstaande gegevens:

Wilt u een klacht indienen over de verwerking van persoonsgegevens door Procelexa? U kunt hiervoor contact opnemen met de Autoriteit Persoonsgegevens.