contact@bloodsense.ai
Upload je labuitslag

Privacyverklaring

Ingangsdatum: 19 oktober 2026

Inleiding

Welkom bij Bloodsense! Smart Medical Care SAS (“wij”, “we”, “ons”, “onze”) zet zich in voor de bescherming van de privacy en de veiligheid van de persoonsgegevens van haar gebruikers (“jij”, “je”, “jouw”). Bloodsense is een dienst van Smart Medical Care SAS. In deze Privacyverklaring leggen we uit hoe we je persoonsgegevens verzamelen, gebruiken, delen, bewaren en beschermen wanneer je onze website bloodsense.ai (de “Site”) gebruikt en onze AI-diensten die je helpen je laboratoriumuitslagen te begrijpen en te interpreteren (de “Diensten”). Ook informeren we je over je rechten op het gebied van gegevensbescherming en over de beschikbare rechtsmiddelen. Door onze Diensten te gebruiken, erken je dat je deze verklaring hebt gelezen. De verwerking van je gezondheidsgegevens is gebaseerd op je uitdrukkelijke toestemming, die afzonderlijk wordt gevraagd.

Een strikt informatieve dienst. Bloodsense is een informatieve en educatieve dienst die je helpt je uitslagen te begrijpen. Het is een aanvulling op professionele medische zorg, geen vervanging daarvan, en het stelt geen diagnose. Bloodsense is geen medisch hulpmiddel: het Franse nationale agentschap voor de veiligheid van geneesmiddelen en gezondheidsproducten (ANSM, referentie GIO 23593272, dossier 2500297) heeft bevestigd dat de onderliggende dienst geen medisch hulpmiddel is.

1. Verwerkingsverantwoordelijke en privacycontactpunt

De verwerkingsverantwoordelijke voor je persoonsgegevens is:

  • Onderneming: Smart Medical Care SAS (een vereenvoudigde naamloze vennootschap / société par actions simplifiée naar Frans recht)
  • Statutaire zetel: 37 Avenue Maréchal Foch, 06000 Nice, Frankrijk
  • Handels- en vennootschapsregister: RCS Nice 932 924 194
  • Contact-e-mail: contact@bloodsense.ai

Je privacycontactpunt. Voor vragen over deze verklaring of over je persoonsgegevens, of om je rechten uit te oefenen, neem je contact op met onze functionaris voor gegevensbescherming, Julien P., via contact@bloodsense.ai.

Functionaris voor gegevensbescherming (FG / DPO). Smart Medical Care SAS heeft een functionaris voor gegevensbescherming aangewezen in de zin van de artikelen 37 tot en met 39 van de AVG: Julien P., bereikbaar via contact@bloodsense.ai.

Gezondheidsgegevens gehost in Frankrijk. Ongeacht waar je je bevindt, worden alle gezondheidsgegevens die via Bloodsense worden verwerkt uitsluitend gehost op servers van Google Cloud in Frankrijk, gecertificeerd voor de hosting van gezondheidsgegevens (Hébergement de Données de Santé, HDS). De gezondheidsgegevens van je account en je rapporten worden niet buiten de Europese Unie gehost. Overeenkomstig artikel L1111-8 van de Franse Volksgezondheidswet (Code de la santé publique) vindt deze hosting plaats nadat je bent geïnformeerd en tenzij je daartegen op gegronde redenen bezwaar maakt; dit recht kun je uitoefenen via contact@bloodsense.ai (de uitoefening ervan kan er echter toe leiden dat we de dienst niet kunnen leveren). De enige uitzondering, voor kwaliteitscontrole: gepseudonimiseerde interpretaties (zonder directe identificatiegegevens op het bord; onze artsen hebben geen toegang tot onze databases en kunnen je niet opnieuw identificeren) kunnen worden beoordeeld door de artsen van onze Wetenschappelijke & Ethische Commissie via Trello (Atlassian), dat in de Verenigde Staten wordt gehost en onder een verwerkersovereenkomst valt (modelcontractbepalingen en Data Privacy Framework).

2. Persoonsgegevens die we verzamelen

  • Identificatie- en contactgegevens: voornaam, achternaam, e-mailadres. Je voor- en achternaam worden gebruikt om je verslag vóór de AI-verwerking te pseudonimiseren (de-identificeren); je e-mailadres wordt gebruikt om je het gegenereerde AI-rapport te sturen.
  • Gezondheids- en contextgegevens (bijzondere categorieën): het laboratoriumverslag (bloed, urine, ontlasting) dat je als pdf uploadt, en de contextinformatie die je verstrekt (leeftijd, geslacht, lengte, gewicht, persoonlijke en familiaire medische voorgeschiedenis, allergieën, leefstijl) om een relevantere uitleg te genereren.
  • Transactiegegevens: informatie over je aankoop, rechtstreeks verwerkt door onze betaaldienstverlener Stripe (we slaan je volledige kaartgegevens niet op); je transactiegeschiedenis bij ons.
  • Technische gebruiksgegevens: hoe je de Site gebruikt, verzameld via Google Analytics op voorwaarde van je toestemming (IP-adres, waar mogelijk geanonimiseerd, browsertype, bezochte pagina’s, bezoekduur, navigatiepad).
  • Communicatiegegevens: alle informatie die je verstrekt wanneer je contact opneemt met onze klantenservice of feedback geeft.

3. Hoe we je gegevens gebruiken (doeleinden en rechtsgronden)

We verwerken je gegevens alleen als we daarvoor een passende rechtsgrond hebben op grond van de AVG (en de UK GDPR):

  • Om de Bloodsense-dienst te leveren (je verslag analyseren en de AI-uitleg genereren): je uitdrukkelijke toestemming voor gezondheidsgegevens (art. 9, lid 2, onder a), verkregen via een verplicht aan te vinken vakje vóór elke verwerking, en de uitvoering van de overeenkomst voor niet-gevoelige gegevens (art. 6, lid 1, onder b).
  • Om je verslag te pseudonimiseren (verwijdering van je directe identificatiegegevens vóór de AI-analyse): uitvoering van de overeenkomst (art. 6, lid 1, onder b), binnen de verwerking die op je uitdrukkelijke toestemming is gebaseerd (art. 9, lid 2, onder a).
  • Om je het gegenereerde AI-rapport te sturen: uitvoering van de overeenkomst (art. 6, lid 1, onder b).
  • Om de klantrelatie te beheren en betalingen te verwerken (via Stripe): uitvoering van de overeenkomst (art. 6, lid 1, onder b).
  • Om het gebruik van de Site te analyseren en de Site te beveiligen (via Google Analytics): je toestemming voor niet-essentiële cookies (art. 6, lid 1, onder a); ons gerechtvaardigd belang voor de beveiliging (art. 6, lid 1, onder f).
  • Om je verzoeken te beantwoorden: uitvoering van de overeenkomst (art. 6, lid 1, onder b) of gerechtvaardigd belang (art. 6, lid 1, onder f).
  • Om je marketingcommunicatie te sturen (indien van toepassing): uitsluitend op basis van je specifieke toestemming (opt-in), die afzonderlijk wordt gevraagd en nooit wordt verondersteld (art. 6, lid 1, onder a).
  • Om te voldoen aan onze wettelijke en reglementaire verplichtingen: wettelijke verplichting (art. 6, lid 1, onder c).

Pseudonimisering en verbetering van de AI

Onze eigen tool verwijdert je directe identificatiegegevens (voor- en achternaam) uit je pdf-verslag vóór elke AI-analyse. Dit is pseudonimisering in de zin van artikel 4, punt 5, van de AVG: je gezondheidsgegevens zijn niet langer direct identificerend, maar blijven persoonsgegevens zolang ze via je e-mailadres, dat afzonderlijk wordt bewaard, aan jou kunnen worden gekoppeld. We maken geen zogenaamd anonieme datasets aan die voor onbepaalde tijd worden bewaard.

We trainen geen AI-modellen met je gegevens. We verbeteren de kwaliteit van onze uitleg met een eigen kennisbank, die wordt gevoed door de beoordeling van gepseudonimiseerde interpretatierapporten door de artsen van onze Wetenschappelijke & Ethische Commissie, die geen toegang hebben tot onze databases en je niet opnieuw kunnen identificeren. Omdat deze rapporten gezondheidsgegevens blijven, kun je op elk moment bezwaar maken (opt-out) tegen deze beoordeling door te schrijven naar contact@bloodsense.ai.

Geen geautomatiseerde besluitvorming

De AI-interpretatie van je uitslagen is geen besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd en waaraan voor jou rechtsgevolgen zijn verbonden of dat jou anderszins in aanmerkelijke mate treft, in de zin van artikel 22 van de AVG. Het Bloodsense-rapport is een informatief en educatief document: het stelt geen diagnose, neemt geen medische beslissing en is bedoeld om met een zorgprofessional te bespreken. De interpretatie wordt gegenereerd door een groot taalmodel (Claude, van Anthropic) op basis van je verslag en je contextgegevens; je kunt ons op elk moment om toelichting vragen, je standpunt kenbaar maken en de uitkomst betwisten door te schrijven naar contact@bloodsense.ai.

Noodzaak van het verstrekken van je gegevens

Het verstrekken van je labverslag, je contextgegevens en je uitdrukkelijke toestemming is noodzakelijk om de dienst te gebruiken: zonder deze gegevens kunnen we je AI-rapport niet genereren. Dit is geen wettelijke of contractuele verplichting, maar volgt uitsluitend uit je eigen beslissing; het staat je vrij ze niet te verstrekken, in welk geval de dienst niet kan worden geleverd.

4. Delen van je persoonsgegevens

We verkopen je persoonsgegevens niet. We delen ze alleen met de verwerkers die strikt noodzakelijk zijn om de Diensten te leveren, met passende waarborgen:

  • Hosting: Google Cloud. Je gezondheidsgegevens worden gehost op HDS-gecertificeerde servers in Frankrijk.
  • AI-infrastructuur: OpenRouter, Inc. (Verenigde Staten), dat op beveiligde wijze de verbinding legt met het AI-model (Claude, van Anthropic) om je rapport te genereren. Alleen zorgvuldig gepseudonimiseerde gegevens (ontdaan van je directe identificatiegegevens) worden doorgegeven; deze dienstverleners hebben nooit toegang tot je identiteit en mogen je gegevens niet hergebruiken, ook niet om hun modellen te trainen.
  • Betalingsverwerking: Stripe, Inc. (Verenigde Staten), dat je betalingen op beveiligde wijze verwerkt.
  • Transactionele e-mail: SendGrid (Twilio Inc.), dat je e-mailadres en de inhoud van je rapport tijdelijk verwerkt, uitsluitend voor de verzending en aflevering van het AI-rapport.
  • Bezoekersanalyse: Google LLC (Google Analytics), op voorwaarde van je toestemming voor cookies.
  • Kwaliteitscontrole (Wetenschappelijke & Ethische Commissie): Atlassian, Inc. (Trello, Verenigde Staten), dat het bord host waarop de artsen van onze commissie gepseudonimiseerde AI-interpretaties (zonder directe identificatiegegevens) beoordelen om de juistheid ervan te controleren. Er worden geen identificerende gegevens en geen laboratoriumverslagen met hen gedeeld.

We kunnen je gegevens ook verstrekken aan de bevoegde autoriteiten als de wet dat vereist, of ze overdragen aan een overnemende entiteit bij een fusie, overname of verkoop van activa, onder gelijkwaardige vertrouwelijkheidsverplichtingen.

5. Internationale doorgifte van gegevens

Je gezondheidsgegevens worden in Frankrijk gehost en worden voor opslag niet buiten de Europese Economische Ruimte (EER) doorgegeven. Sommige van onze verwerkers (OpenRouter, Stripe, Google, Twilio, Atlassian) zijn gevestigd of actief in de Verenigde Staten. Wanneer er een doorgifte buiten de EER/het VK plaatsvindt, zorgen we voor een passend beschermingsniveau via een van de volgende middelen:

  • Het EU-VS Data Privacy Framework en de uitbreiding daarvan voor het VK, voor gecertificeerde ondernemingen (Stripe, Google, Twilio, Atlassian).
  • De door de Europese Commissie goedgekeurde modelcontractbepalingen (en het UK International Data Transfer Addendum voor doorgiften vanuit het VK), zo nodig samen met een beoordeling van de gevolgen van de doorgifte (transfer impact assessment).
  • Voorafgaande pseudonimisering van de gegevens die naar de AI-dienstverlener worden gestuurd, waarbij je directe identificatiegegevens vóór elke doorgifte worden verwijderd.

6. Beveiliging van gegevens

We nemen passende technische en organisatorische maatregelen om verlies van, onbevoegde toegang tot en wijziging of openbaarmaking van je gegevens te voorkomen, waaronder:

  • Hosting op HDS-gecertificeerde servers in Frankrijk (Google Cloud, gecertificeerd volgens ISO/IEC 27001 en SOC 2).
  • Pseudonimisering van verslagen (verwijdering van je directe identificatiegegevens) vóór de AI-verwerking.
  • Versleuteling van gegevens tijdens de overdracht (TLS) en in opslag (AES-256).
  • Strikte toegangscontroles volgens het principe van minimale rechten; meervoudige authenticatie (MFA) wordt momenteel ingevoerd en toegangsrechten worden maandelijks herzien.
  • Procedures voor het beheer en de melding van inbreuken in verband met persoonsgegevens, overeenkomstig de artikelen 33 en 34 van de AVG.

7. Bewaring van gegevens

We bewaren je gegevens niet langer dan nodig is voor de doeleinden waarvoor ze zijn verzameld, onder meer om te voldoen aan onze wettelijke, boekhoudkundige en rapportageverplichtingen:

  • Origineel labverslag (pdf): tot 90 dagen nadat het AI-rapport is gegenereerd en geleverd, daarna veilig verwijderd (minimale gegevensverwerking, art. 5, lid 1, onder c).
  • Account-, contact- en contextgegevens en gegenereerde AI-rapporten: zolang het account actief is, daarna tot 3 jaar na deactivering of na de laatste interactie, waarna ze definitief worden verwijderd. Zolang het beveiligde patiëntenportaal nog niet beschikbaar is, zijn deze gegevens gekoppeld aan je e-mailadres en worden ze tot 3 jaar na je laatste gebruik bewaard.
  • Transactiegegevens: 6 jaar bewaard, en tot 10 jaar voor facturen en boekhoudkundige stukken vanaf de datum van uitgifte, overeenkomstig het Franse Wetboek van Koophandel (Code de commerce, art. L123-22) en het toepasselijke belastingrecht.
  • Analytische cookies (Google Analytics): tot 14 maanden (aanbeveling van de CNIL).
  • Toestemmingscookie: tot 6 maanden (aanbeveling van de CNIL).
  • Serverlogs (IP-adressen): tot 90 dagen (gerechtvaardigd belang: beveiliging).

Een verzoek om definitieve verwijdering leidt tot het wissen van al deze gegevens, behalve wanneer we wettelijk verplicht zijn ze te bewaren (met name transactiegegevens).

8. Je rechten op het gebied van gegevensbescherming

Op grond van de AVG (en de UK GDPR) heb je de volgende rechten: recht op inzage; rectificatie; gegevenswissing (“recht op vergetelheid”), met inachtneming van onze wettelijke verplichtingen; beperking van de verwerking; bezwaar (onder meer tegen de beoordeling van je gepseudonimiseerde interpretaties door onze Wetenschappelijke & Ethische Commissie, via opt-out, en tegen direct marketing); overdraagbaarheid van gegevens; en het recht om je toestemming op elk moment in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking vóór de intrekking.

We beantwoorden je verzoeken binnen één maand; deze termijn kan bij complexe verzoeken met twee maanden worden verlengd. Dit is kosteloos, tenzij het verzoek kennelijk ongegrond of buitensporig is.

Gebruikers in de Verenigde Staten. Afhankelijk van je staat van verblijf (bijvoorbeeld Californië, op grond van de CCPA/CPRA) kun je het recht hebben om te weten welke persoonsgegevens we over je hebben, er inzage in te krijgen, ze te corrigeren en te laten verwijderen, en om je af te melden voor de “verkoop” of het “delen” van persoonsgegevens. We verkopen je persoonsgegevens niet. Alleen op onze blogpagina’s kan Google AdSense advertenties tonen op basis van je interesses, wat sommige staatswetten beschouwen als “delen” voor gerichte advertenties. Je kunt je hiervoor op elk moment afmelden via de link “Do Not Sell or Share My Personal Information” die in de betrokken staten onderaan de pagina wordt getoond. Je laboratoriumverslagen en gezondheidsgegevens worden nooit voor advertenties gebruikt. Om deze rechten uit te oefenen, neem je contact met ons op via het onderstaande adres; we zullen je niet benadelen omdat je ze uitoefent.

Hoe je je rechten uitoefent. Schrijf naar contact@bloodsense.ai. Zodra het patiëntenportaal (in ontwikkeling) beschikbaar is, kun je deactivering en definitieve verwijdering ook rechtstreeks via je online-instellingen regelen.

9. Kinderen en minderjarigen

Onze Diensten zijn niet bedoeld voor personen jonger dan 18 jaar. Vóór de betaling moet je bevestigen dat je minstens 18 jaar oud bent. We verzamelen niet bewust persoonsgegevens van minderjarigen; als dat toch gebeurt, verwijderen we ze onmiddellijk.

10. Cookies

We gebruiken strikt noodzakelijke cookies (voor de werking van de Site) en analytische cookies (Google Analytics), deze laatste alleen met je toestemming, verkregen via de banner. Advertentiecookies (Google AdSense) worden alleen op blogpagina’s gebruikt, en alleen met je toestemming. Voor meer informatie en om je voorkeuren te beheren, zie ons Cookiebeleid.

11. Wijzigingen van deze verklaring

We kunnen deze verklaring van tijd tot tijd bijwerken. De datum van de laatste wijziging staat bovenaan deze pagina. Bij een wezenlijke wijziging informeren we je op passende wijze.

12. Recht om een klacht in te dienen

Als je zorgen hebt over hoe we met je gegevens omgaan, raden we je aan eerst contact op te nemen met onze functionaris voor gegevensbescherming via contact@bloodsense.ai. Je hebt ook het recht een klacht in te dienen bij een toezichthoudende autoriteit:

  • Frankrijk (leidende toezichthouder): Commission Nationale de l’Informatique et des Libertés (CNIL) — www.cnil.fr
  • Verenigd Koninkrijk: Information Commissioner’s Office (ICO) — www.ico.org.uk
  • Nederland: Autoriteit Persoonsgegevens (AP) — www.autoriteitpersoonsgegevens.nl
  • Andere EER-landen: de toezichthouder voor gegevensbescherming van je woonland.