Privacyverklaring

1. Verwerkingsverantwoordelijke en contact

DOCTO24 LTD is een in de Republiek Cyprus geregistreerde onderneming en valt volledig onder de Algemene verordening gegevensbescherming (AVG). Als EU-onderneming gelden voor ons dezelfde hoge privacynormen als voor ondernemingen in Duitsland of andere EU-lidstaten.

2. Functionaris voor gegevensbescherming en EU-vertegenwoordiger

Op grond van Art. 27 AVG hebben wij een vertegenwoordiger in de EU aangewezen, die tevens als functionaris voor gegevensbescherming optreedt:

Bevoegde toezichthoudende autoriteit in Cyprus:
Commissioner for Personal Data Protection
1 Iasonos Street, 1082 Nicosia, Cyprus
www.dataprotection.gov.cy

U kunt zich ook wenden tot de gegevensbeschermingsautoriteit van uw land van verblijf, zoals de Autoriteit Persoonsgegevens (AP) in Nederland.

3. Toepassingsgebied

Deze privacyverklaring is van toepassing op het verzamelen, verwerken en gebruiken van persoonsgegevens in het kader van het gebruik van het Docto24-platform (website en apps) en alle daarmee verbonden telemedische diensten.

Docto24 verleent haar diensten momenteel in Duitsland en is voornemens uit te breiden naar andere EU-landen (bijv. Frankrijk). In elk land worden uitsluitend artsen ingezet met een geldige BIG-registratie of gelijkwaardige bevoegdheid in het betreffende land van de patiënt.

4. Scheiding van verantwoordelijkheden: wie is waarvoor verantwoordelijk?

Bij het gebruik van ons platform gelden verschillende privacyrechtelijke verantwoordelijkheden:

5. Begripsbepalingen

6. Rechtsgrondslag voor de verwerking

7. Categorieën van gegevens en doeleinden

8. Bijzondere bescherming van gezondheidsgegevens

Gezondheidsgegevens vallen onder bijzondere bescherming op grond van Art. 9 AVG. Wij treffen de volgende maatregelen ter bescherming van uw gevoelige gegevens:

• End-to-end-versleuteling van alle gezondheidsgegevens bij overdracht
• Versleutelde opslag in de EU (AES-256)
• Toegangsregistratie (audit-log) voor alle gegevenstoegang
• Strikte toegangsbeperking volgens het minimalisatiebeginsel
• Regelmatige beveiligingsaudits door externe controleurs
• Gescheiden databases voor medische en administratieve gegevens

9. Gegevensverwerking bij cannabisvoorschriften

Vanwege de bijzondere regelgevende eisen gelden voor het voorschrijven van medicinale cannabis aanvullende regels:

• Documentatie conform de Opiumwet en Bureau voor Medicinale Cannabis (BMC)
• Hoeveelheidsdocumentatie en naleving van wettelijke limieten (100g/30 dagen)
• Geen verstrekking van patiëntgegevens aan autoriteiten zonder rechterlijk bevel
• Gescheiden opslag van cannabisgerelateerde behandelgegevens
• Documentatie van recepten conform de regelgeving voor gereguleerde stoffen

10. Videoconsult

Voor videoconsulten gebruiken wij een zelfgehoste Jitsi-instantie. De communicatie is versleuteld (SRTP/DTLS).

• Zelfgehoste videoserver in de EU (geen Amerikaanse dienst)
• Versleutelde audio- en video-overdracht
• Geen permanente opname van het videoconsult
• Verwijdering van tijdelijke gegevens na afloop van de sessie
• Technische metagegevens worden niet gekoppeld aan gezondheidsgegevens

11. Dienstverleners en verwerkers

Voor afzonderlijke diensten zetten wij de volgende dienstverleners in, met wie verwerkersovereenkomsten conform Art. 28 AVG zijn gesloten:

Alle dienstverleners zijn gevestigd in de EU of verwerken gegevens uitsluitend op EU-servers.

Qualifizierte Elektronische Signatur (QES)

Für die rechtssichere elektronische Unterzeichnung von Rezepten und Arbeitsunfähigkeitsbescheinigungen durch unsere Ärzte setzen wir Yousign SAS (Paris, Frankreich) als Qualifizierten Vertrauensdiensteanbieter (QTSP) nach der eIDAS-Verordnung (EU) 910/2014 ein.

12. Doorgifte van gegevens naar derde landen

Docto24 geeft in beginsel geen persoonsgegevens door naar derde landen buiten de EU/EER.

Mocht in de toekomst een doorgifte naar een derde land noodzakelijk worden, dan vindt deze uitsluitend plaats op basis van een adequaatheidsbesluit van de Europese Commissie (Art. 45 AVG) of passende waarborgen (Art. 46 AVG, bijv. EU-modelcontractbepalingen).

13. Bewaartermijnen

Wij bewaren uw gegevens slechts zo lang als noodzakelijk is voor het betreffende doel of zolang wettelijke bewaarplichten bestaan:

• Accountgegevens: tot verwijdering van het account
• Gezondheidsgegevens: 20 jaar (medische documentatieplicht conform WGBO, Art. 7:454 BW)
• Betalingsgegevens: 10 jaar (fiscale bewaarplicht)
• Identiteitsbewijzen: max. 30 dagen na verificatie
• Gebruiksgegevens: 13 maanden (geanonimiseerd)
• Supportverzoeken: 2 jaar na afhandeling

14. Uw rechten als betrokkene

Op grond van de AVG heeft u de volgende rechten:

15. Cookies en tracking

Informatie over de door ons gebruikte cookies vindt u in ons Cookiebeleid.

Wij gebruiken geen tracking-tools van derden zoals Google Analytics of Facebook Pixel.

Alle analytische gegevens worden uitsluitend intern en geanonimiseerd op EU-servers verwerkt.

16. E-mailcommunicatie

Wij versturen uitsluitend transactionele e-mails (bijv. orderbevestigingen, afspraakmeldingen) via onze in de EU gevestigde e-maildienst.

• Geen ongevraagde reclame zonder toestemming
• Afmeldmogelijkheid (Unsubscribe) in elke e-mail
• Versleutelde e-mailverzending (TLS)
• Geen e-mailtracking (geen openingspercentages, geen linktracking)

17. Beveiligingsmaatregelen (TOM)

Wij treffen uitgebreide technische en organisatorische maatregelen (TOM's) conform Art. 32 AVG ter bescherming van uw gegevens:

18. Sociale netwerken

Op onze website zijn momenteel geen social-media-plugins (Facebook Like, Twitter Share etc.) geïntegreerd. Er worden geen gegevens aan sociale netwerken doorgegeven.

Links naar onze social-mediaprofielen worden weergegeven als eenvoudige verwijzingen zonder tracking.

19. Geautomatiseerde besluitvorming

Er vindt geen geautomatiseerde besluitvorming (inclusief profilering) plaats in de zin van Art. 22 AVG die rechtsgevolgen voor u heeft of u op vergelijkbare wijze aanmerkelijk treft.

De AI-gestuurde symptoomchecker dient slechts als ondersteuning en vervangt geen medische beslissing.

20. Patiëntenvoorlichting

21. Authenticatie en identiteitsverificatie

Om de identiteit en leeftijd te waarborgen, gebruiken wij een tweestapsproces:

• Leeftijdsverificatie: zelfverklaring en bevestiging door de gebruiker
• Identiteitsverificatie: upload van een geldig identiteitsbewijs (identiteitskaart of paspoort)

Identiteitsbewijzen worden uitsluitend voor verificatie gebruikt en na succesvolle controle binnen 30 dagen verwijderd. Zij worden niet aan derden verstrekt.

22. Wijzigingen van deze verklaring

Wij behouden ons het recht voor deze privacyverklaring aan te passen aan gewijzigde wetgeving of bij wijzigingen van de dienst. De actuele versie vindt u steeds op deze pagina.

Wezenlijke wijzigingen worden ten minste 30 dagen voor inwerkingtreding per e-mail aangekondigd.

Datum van de laatste wijziging: december 2024

23. Contact voor privacyverzoeken

Bij vragen over gegevensbescherming kunt u contact met ons opnemen via:

Wij beantwoorden uw verzoek binnen 30 dagen (Art. 12 lid 3 AVG).