Privacyverklaring

1. Wie zijn wij

Bloei is een dienst van DutchDesk Holding B.V. ("wij", "ons"), De van der Schuerenlaan 2, 5261 GB Vught, Nederland, KvK 71191569, btw NL858615988B01. Voor privacyvragen en privacyverzoeken: gebruik het contactformulier (onderwerp Privacy). Voor hulp bij je account of de Recorder: gebruik het contactformulier.

2. Onze rol: verwerker én verantwoordelijke

Bloei is een dienst die coaches en behandelaars gebruiken bij hun gesprekken en de begeleiding van hun cliënten — onder meer leefstijl- en gezondheidscoaches, diëtisten, kindercoaches, orthomoleculair therapeuten, executive coaches, re-integratieconsultants, sportcoaches, burn-outcoaches, ergotherapeuten en fysiotherapeuten. Daarbij hebben we twee rollen:

• Verwerker voor de gegevens van cliënten en andere gesprekspartners. Wat je opneemt, invoert of koppelt — het gesprek zelf, het transcript, het verslag, de naam of code van een cliënt — bepaalt de coach. Wie in een opname te horen is of genoemd wordt, is niet altijd een cliënt: het kan ook een ouder, partner, collega of verwijzer zijn, of een deelnemer aan een groepsgesprek. De coach is voor al die mensen de verwerkingsverantwoordelijke; wij verwerken die gegevens uitsluitend op gedocumenteerde instructie van de coach. Hiervoor geldt onze verwerkersovereenkomst. Ook bij een proefaccount aanvaard je die bij het aanmelden.
• Verwerkingsverantwoordelijke voor onze eigen gegevensverwerking: het account van de coach (ook een proefaccount), de minutenregistratie en betalingen, supportberichten, een demo-aanvraag, de bezoekstatistiek van deze website en de beveiliging van het platform (zie hieronder).

3. Vox Recorder Wat er gebeurt met een opname en met je proefaccount

De Vox Recorder neemt een gesprek op, zet het om in tekst en maakt er een conceptverslag van dat jij nakijkt. Zo gaat het met je gegevens, per onderdeel.

Aanmelden en proefaccount

• Wat we vragen: je naam, e-mailadres en een wachtwoord. We leggen vast dat je de voorwaarden en de verwerkersovereenkomst hebt aanvaard, met tijdstip en versie. Het wachtwoord slaan we niet leesbaar op.
• De proef: 120 gratis minuten, gedurende 30 dagen vanaf je eerste geslaagde verslag. De proef is gratis en gaat niet vanzelf over in een abonnement.
• Daarna: heb je geen abonnement afgesloten, dan blijven je verslagen 30 dagen na het einde van de proef nog beschikbaar. Daarna wissen we de gespreksinhoud: verslag, transcript, privénotitie, cliëntnaam en spiegel. Gedetailleerd verbruiksbewijs zonder gespreksinhoud (datum, duur, status) wordt bewaard zolang dit nodig is voor afrekening of een concrete vraag over verbruik; een vaste automatische wistermijn is niet ingericht. Voor noodzakelijk financieel en acceptatiebewijs geldt artikel 9. Sluit je wél een abonnement af, dan blijft je inhoud staan totdat je zelf gesprekken of je account verwijdert, en worden de proefminuten die je overhad omgezet in tegoed.
• Zelf wissen: in de Recorder kun je een gesprek verwijderen en, bij een los proefaccount, je hele proefaccount met de gespreksinhoud. Dat kan niet worden teruggedraaid. Back-ups lopen uit volgens artikel 9.

Opnemen en uitschrijven

• Audio verwerken we tijdelijk. Daarbij kunnen tijdelijke werkbestanden op de server ontstaan. Na de verwerking verwijderen wij die werkbestanden. Audio is geen onderdeel van het consultdossier. Transcripties en verslagen zijn afzonderlijke dossiergegevens. Een lokale herstelkopie kan op jouw eigen apparaat blijven; die staat los van de serververwerking. Je beheert de toegang en verwijdering op je eigen apparaat.
• Transcript en verslag staan in de versleutelde database van Bloei. Een gesprek kan ook gezondheidsgegevens en gegevens van derden bevatten; zie artikel 2 en 6 voor wie daar verantwoordelijk voor is. Vóór elke opname bevestig je dat de betrokkenen zijn geïnformeerd over de opname en de AI-verwerking en dat je het gesprek hiervoor mag gebruiken.
• Transcripties na 30 dagen wissen (jouw keuze): zet je dit aan, dan wissen we het transcript van elk gesprek 30 dagen nadat het is opgeslagen, en minimaal 30 dagen nadat je de keuze aanzet. Het verslag blijft staan. Zet je het uit, dan vervalt de geplande wis.
• Waar het naartoe gaat: audio gaat naar Voxtral van Mistral in Frankrijk. De spiegel gaat rechtstreeks naar Mistral, met de namen in het transcript; het terugvalpad schermt namen af. Het conceptverslag en de contextfuncties gebruiken de ingestelde EU-tekstroute: Bedrock wanneer die route is ingericht, anders Mistral. Mistral is ook de terugval bij een Bedrock-fout. Transcript en context kunnen namen bevatten. Er is geen algemene garantie dat namen vooraf zijn afgeschermd.

«Denk mee»

Klik je tijdens een opname op «Denk mee», dan wordt alleen de laatste minuut van de opname omgezet in tekst en aan een AI-model in de EU voorgelegd, dat vervolgvragen voorstelt. Bij een gekozen cliënt kan eerdere gesprekscontext en, als Vox Plus aanstaat, documentcontext meegaan zoals hieronder beschreven. Dat fragment en de suggesties worden niet opgeslagen, niet in je gespreksdossier en niet als audiobestand. Bloei houdt alleen bij hoe vaak je het gebruikt, voor de begrenzing per dag; wat er gezegd werd houden we niet bij. «Denk mee» kost geen minuten.

«Voorbereiden»

Koppel je gesprekken aan een cliënt (een naam, initialen of code die jij kiest), dan kun je een volgend gesprek laten voorbereiden. Daarvoor gaan de tien meest recente gekoppelde verslagen, elk tot 1.800 tekens, naar een AI-model in de EU. In Vox Plus kan daarnaast gelezen tekst uit maximaal vijf ingeschakelde documenten meegaan, tot 16.000 tekens per document en 40.000 tekens samen, na de filtering hieronder. Privénotities gaan nooit mee. Voorbereiden kost geen opgenomen minuten. Jij beoordeelt de suggesties.

Vox Plus: documenten als context

In Vox Plus voeg je documenten toe aan hetzelfde cliëntdossier als in Bloei. Het oorspronkelijke bestand wordt versleuteld bewaard. De server leest de tekst lokaal; bij scans en afbeeldingen gebruikt hij lokale OCR. Nieuwe uploads worden automatisch lokaal gelezen. Bij bestaande archiefdocumenten die nog niet zijn ingelezen begint dit pas nadat je «Gebruiken als AI-bron» kiest. Het uitlezen gebruikt geen taalmodel en maakt geen aparte AI-samenvatting. Het toevoegen of openen van een document verstuurt de inhoud niet naar een AI-leverancier.

Vóór documenttekst naar de AI gaat, filtert Bloei herkende e-mailadressen, telefoonnummers, adressen, BSN, IBAN en geboortedatums uit de tekst en bestandsnaam. De gekoppelde cliëntnaam wordt vervangen door een code. Dit beperkt identificerende gegevens, maar is geen garantie dat alle namen of herkenbare informatie uit vrije tekst zijn verwijderd. Bloei neemt geen contact- of profielgegevens automatisch over.

Wanneer je Voorbereiden, het conceptverslag, de spiegel of Denk mee gebruikt, kan Vox Plus gelezen tekst uit de ingeschakelde documenten als achtergrond meesturen via de bestaande EU-tekstroute. Daarvoor gelden grenzen: maximaal vijf documenten, maximaal 16.000 tekens per document en 40.000 tekens documenttekst samen. Langere teksten worden als fragmenten meegestuurd. Bij Voorbereiden kun je de gebruikte documenttekst bekijken, met paginanummers waar beschikbaar en de aangegeven afkapping. Leesbeperkingen blijven zichtbaar. Documentinhoud wordt niet als uitspraak uit het huidige gesprek behandeld.

De lokaal gelezen tekst en leesgegevens staan bij het dossier in de versleutelde database. Je kunt het gebruik als AI-bron per document uitschakelen zonder het bestand te wissen. Uitschakelen voorkomt gebruik in volgende aanvragen; bestaande verslagen veranderen daardoor niet. Verwijderen wist het document en de bijbehorende leesgegevens uit het gedeelde dossier. Voor back-ups gelden de termijnen in artikel 9. Het uitlezen kan onvolledig zijn: afbeeldingen en ingesloten bijlagen in Word worden niet gelezen, en lees- en OCR-limieten worden gemeld. Onleesbare documenten worden niet gebruikt. Bij een duidelijke aanwijzing voor een andere cliënt volgt één bevestiging van de koppeling voordat de tekst als context beschikbaar komt.

Minutenregistratie en tegoed

Voor je abonnement en je minuten leggen we vast: hoeveel minuten je hebt, welke opname hoeveel minuten kostte, de status daarvan (gereserveerd, afgerekend of vrijgegeven), welke minutenbundels je kocht en het resterende tegoed. Betalen loopt via Mollie (zie artikel 8). Dit is nodig om de dienst te leveren en om te kunnen laten zien waar een bedrag vandaan komt.

Supportberichten

Stuur je via de Recorder of per mail een vraag, dan bewaren we je bericht, je naam en je e-mailadres om je vraag te beantwoorden en om later te kunnen nalezen wat is afgesproken. Zet daar geen gespreksinhoud of cliëntgegevens in.

4. Welke gegevens we verwerken

Van de coach (account)

• Naam, e-mailadres, inloggegevens en voorkeuren. Sluit je een abonnement af, dan komen daar factuurgegevens bij, zoals praktijknaam, adres, KvK- en btw-nummer.
• Abonnements-, betaal- en factuurgegevens. Volledige betaalgegevens worden door betaalprovider Mollie verwerkt; Bloei ontvangt alleen de betaalstatus en technische betaalreferenties.
• Vox Recorder Minutenregistratie en tegoed (zie artikel 3), en berichten die je ons stuurt.
• Gebruiks- en beveiligingsgegevens (acties in de app, tijdstippen, sessie- en technische gegevens, en je IP-adres voor de begrenzing van inlogpogingen en formulierspam. De standaard meetperiode daarvoor is vijf minuten; dit is geen garantie dat alle IP-sleutels na vijf minuten zijn verwijderd. Voor andere server- en beveiligingslogs gelden afzonderlijke, beperkte termijnen).

Van cliënten en andere gesprekspartners (namens de coach)

• Vox Recorder Wat in een opgenomen gesprek wordt gezegd (als transcript en verslag) en de naam, initialen of code die de coach bij een cliënt invult. In Vox Plus ook dossierdocumenten, lokaal gelezen tekst, leesgegevens, bronversies en de keuze voor gebruik in AI-context. Dat kunnen ook gezondheidsgegevens zijn en gegevens van mensen die geen cliënt zijn. Zie artikel 3.
• Vox Plus en bestaande Bloei-app Identiteit en contact: naam en — als de coach die invult — contactgegevens. De bestaande Bloei-app kan ook een geboortejaar bevatten.
• Vox Plus en bestaande Bloei-app Begeleidingsgegevens: doelen, check-ins, berichten, afspraken, documenten en gespreksverslagen. De bestaande Bloei-app kan daarnaast een voedingslogboek, werkvormen en formulieren bevatten.
• Gezondheidsgegevens (bijzondere categorie): in de Recorder alles wat in een gesprek over gezondheid wordt gezegd; in Vox Plus ook gezondheidsgerelateerde dossiergegevens en check-ins; in de bestaande Bloei-app daarnaast een eventuele medische indicatie, diagnose of verwijzer.
• Bestaande Bloei-app Eventuele historische wearable-data (bijv. Oura): slaap, rusthartslag en activiteit. De Oura-koppeling en synchronisatie zijn volledig uitgeschakeld; bestaande lokale Oura-data kan direct worden gewist.

Als je een demo aanvraagt of je aanmeldt voor een kennismaking

• De gegevens die je zelf invult in het formulier: je naam en e-mailadres, en als je dat wilt je beroep, praktijk, telefoonnummer, wanneer je bereikbaar bent en je vraag. We gebruiken ze om contact met je op te nemen en je een proeftoegang aan te bieden. De aanvraag gaat per e-mail naar de oprichters van Bloei; je krijgt een antwoord op het adres dat je opgaf. Een aanmelding voor de Vox Recorder zelf loopt niet via dit formulier maar via artikel 3.
• Kanaal: voor inzicht in de herkomst van een aanvraag bewaren we geen marketingbronlabel op jouw apparaat zonder toestemming. Een algemeen kanaalgegeven dat je zelf bij een aanvraag opgeeft, kan bij die aanvraag worden bewaard en is dan een persoonsgegeven. Een eerder opgeslagen browserlabel verwijderen we bij een volgend bezoek aan een publieke pagina en lezen we niet meer uit voor een aanvraag. Bij een aanvraag kan ook het domein van de verwijzende website worden bewaard, nooit het volledige adres met zoekwoorden. Een niet-herkend kanaallabel bewaren we als «onbekend». We gebruiken geen individueel volgprofiel.

Bestaande Bloei-app Van een collega die we uitnodigen

Coaches die met Bloei werken nodigen soms vakgenoten uit om eens te kijken. Voor die uitnodiging verwerken we een beperkt aantal gegevens die de vakgenoot zelf openbaar heeft gemaakt:

• Naam, praktijknaam, plaats, specialisatie, website en het openbare zakelijke e-mailadres.
• Bron: het openbare beroepsregister van de BLCN (Beroepsvereniging Leefstijlcoaches Nederland) en de eigen praktijkwebsite. We kopen geen adressenlijsten en verzamelen niets uit besloten bronnen.
• Of er een bericht is verstuurd of beantwoord en, uitsluitend wanneer de verzendende coach dit heeft aangezet, of het bericht is geopend of een link is aangeklikt.

Elke uitnodiging wordt door de coach zelf gelezen en verstuurd — het is persoonlijke post, geen mailing. Onderaan elk bericht staat een link waarmee je in één klik van de lijst af gaat; dat adres bewaren we daarna alleen nog om te voorkomen dat je opnieuw wordt aangeschreven. Antwoorden op de mail werkt ook.

5. Doeleinden en grondslagen

6. Gezondheidsgegevens & minderjarigen

Gezondheidsgegevens zijn bijzondere persoonsgegevens. In een gesprek kunnen ze ter sprake komen, ook als je er niet naar vraagt. De coach moet vooraf een geldige grondslag van art. 6 AVG én een toepasselijke uitzondering van art. 9.2 AVG bepalen, vastleggen en de cliënt — en ieder ander die in een opname te horen is — informeren, vóór een gesprek wordt opgenomen. Gebruikt de coach toestemming, dan moet die vrij, specifiek, geïnformeerd en aantoonbaar zijn en eenvoudig kunnen worden ingetrokken. Bij cliënten jonger dan 16 jaar beoordeelt de coach welke toestemming van een ouder of wettelijk vertegenwoordiger nodig is en legt die vast.

7. Inzet van AI

Bloei gebruikt AI voor concepten die jij controleert. De spraakherkenning loopt via Voxtral van Mistral in Frankrijk. De spiegel gaat rechtstreeks naar Mistral, met de namen in het transcript; het terugvalpad schermt namen af. Verslag en contextfuncties gebruiken de geconfigureerde EU-tekstroute: Bedrock indien ingericht, anders Mistral; Mistral is ook terugval bij een Bedrock-fout. De teksten kunnen namen bevatten. Deze volgorde geldt per functie, geen universele pseudonimisatie. Daarbij geldt:

• Vox Recorder Opname, «Denk mee» en «Voorbereiden»: de audio van een opname gaat naar Voxtral van Mistral in Frankrijk; het transcript gaat, met de namen die erin voorkomen, naar een AI-model in de EU voor het conceptverslag en de spiegel. Bij «Denk mee» geldt dat voor de laatste minuut en bewaart Bloei het fragment en de suggestie niet als dossier; bij «Voorbereiden» gaan de tien recentste gekoppelde verslagen (tot 1.800 tekens per verslag, zonder privénotities) naar een AI-model in de EU. Zie artikel 3.
• Vox Recorder Vox Plus-documenttekst: het bestand wordt lokaal gelezen, zonder aparte AI-samenvatting. Bij Voorbereiden, het conceptverslag, de spiegel en Denk mee kan de gelezen tekst na filtering van herkende persoonsgegevens begrensd meegaan als achtergrond via de bestaande EU-tekstroute. Zie artikel 3 voor grenzen, uitschakelen en verwijderen.
• Bestaande Bloei-app Pseudonimisatie waar mogelijk: bij tekstverwerking vervangen we de naam van de cliënt vóór verzending door een placeholder, ook in een zelf geüpload document; in het resultaat komt de naam daarna terug. Een gespreksverslag en een spiegel maken we in de EU mét namen (zie hieronder). Bij een formulier dat je vanuit het gesprek invult schermen we ook de namen van andere mensen die in het gesprek genoemd worden zo goed mogelijk af; lukt dat niet betrouwbaar, dan gaat het transcript niet naar het model. In andere teksten, zoals notities, antwoorden die een cliënt zelf in een formulier geeft en geüploade documenten, kunnen namen van anderen en contactgegevens wel meegaan. Bij het uitlezen van een document zijn contactgegevens en adres juist wat Bloei ophaalt om het dossier te vullen.
• Bestaande Bloei-app Het gepseudonimiseerde profiel en relevante recente check-ins kunnen naar dit taalmodel in de EU gaan om een concept te genereren. Dit gebeurt uitsluitend in opdracht van de coach en onder de door de coach vastgestelde grondslag; Bloei gebruikt de inhoud niet voor een eigen doel.
• Mens-in-de-lus: de AI doet alleen suggesties; de coach beoordeelt en beslist. Wat AI voorbereidt, gaat nooit zonder de coach naar de cliënt of een andere gesprekspartner. Los daarvan kunnen in de bestaande Bloei-app drie vaste berichten zónder AI de cliënt wel automatisch bereiken: een betaalherinnering en een verjaardagsmail als de coach die aanzet, en één herinnering aan een handtekening die de coach heeft gevraagd.
• Training en bewaren bij AI-leveranciers: Bloei gebruikt geen enkele opname, transcript, verslag of correctie van een coach om een AI-model te trainen; Bloei heeft geen eigen model. De AI-diensten die we inschakelen hebben dat contractueel ook uitgesloten: Mistral (transcriptie met Voxtral, spiegel, terugval) met training-opt-out en Zero Data Retention op het Bloei-account, en Amazon Bedrock (het verslag, met Claude) waar klantinhoud volgens de AWS-servicevoorwaarden niet voor training wordt gebruikt, niet aan de modelmaker wordt doorgegeven en niet wordt opgeslagen; het optionele aanroeplogboek van Bedrock heeft Bloei niet aangezet. Anthropic en OpenAI krijgen zelf geen cliëntgegevens. Wat de coach in een verslag verbetert, blijft in haar dossier en gaat nergens heen. Deze afspraken zijn accountgebonden; wij controleren ze per kwartaal en passen deze verklaring aan vóór een wijziging van kracht wordt.
• Consult-opnames (optioneel): neemt de coach met toestemming van de betrokkenen een consult op, dan schrijft Voxtral van Mistral in Frankrijk de audio uit, zonder terugval buiten de EU, met training-opt-out en Zero Data Retention op het Bloei-account (zie «Training en bewaren bij AI-leveranciers» hierboven). Om namen goed te laten uitschrijven stuurt Bloei met de audio een woordenlijst naar Mistral: de namen van de cliënt en de coach, de namen van mensen die bij eerdere opnames van deze cliënt bij «wie is wie» zijn genoemd, de naam van het noodcontact (zonder telefoonnummer), eigen woorden die de coach in de instellingen heeft opgegeven en vakwoorden van het beroep — hooguit 50 losse woorden. Stukken in een andere taal dan Nederlands in de uitgeschreven tekst gaan — met de namen van cliënt en coach vervangen — één keer naar een taalmodel van Mistral voor vertaling of samenvatting. Een uitgesproken naam of ander identificerend detail kan in de audio en de uitgeschreven tekst meekomen. De coach beoordeelt en bewerkt het verslag altijd.
• Gespreksverslag: van een opgenomen consult maakt Bloei een conceptverslag. Daarvoor gaat het transcript — mét de namen die erin voorkomen, de naam en het doel van de cliënt, de verslagopzet van de coach en bij de SOEP-indeling recente metingen — naar Claude (het model van Anthropic) bij Amazon Web Services in Frankfurt, via een Europees profiel dat alleen in EU-regio's rekent, met Mistral in Frankrijk als terugval. Dit loopt niet via een dienst buiten de EU. Voor training en bewaren geldt «Training en bewaren bij AI-leveranciers» hierboven.
• Spiegel op het gesprek (optioneel, alleen op verzoek van de coach): vraagt de coach een spiegel op de eigen gesprekstechniek, dan gaat het transcript van dat gesprek — mét de namen die erin voorkomen — naar een taalmodel van Mistral in Frankrijk, met training-opt-out en Zero Data Retention op het Bloei-account. De spiegel is alleen voor de coach. Is Mistral niet bereikbaar, dan blijft de terugval binnen de EU en gaan namen van cliënt, sprekers en andere genoemde personen afgeschermd mee.
• Bestaande Bloei-app Ingesproken check-in (optioneel): kiest een cliënt ervoor zijn check-in in te spreken in plaats van te typen, dan schrijft Voxtral van Mistral in Frankrijk die opname één keer uit en wordt hij na transcriptie niet door Bloei opgeslagen. De bewaartermijn bij de transcriptiedienst volgt de voor die dienst vastgestelde afspraken. Alleen de uitgeschreven tekst blijft over, en die staat in het formulier waar de cliënt hem eerst naleest en zo nodig aanpast vóórdat de check-in wordt verstuurd. Inspreken is nooit verplicht: typen kan altijd, en dan verlaat er geen audio je apparaat.
• Bestaande Bloei-app Geen tweede AI-lezer van berichten aan de cliënt: Bloei kan een conceptbericht aan een cliënt laten nalezen door een tweede taalmodel (Mistral), maar die route staat technisch uit. Dat staat los van het gespreksverslag en de spiegel hierboven: daarvoor gelden de hierboven per functie beschreven routes. Gaat de tweede lezer ooit aan, dan passen we deze verklaring vooraf aan. De coach blijft degene die beoordeelt en verstuurt.
• EU-stand staat aan (platformbreed, voor alle praktijken): alle AI-verwerking van cliëntgegevens — tekst én spraak — blijft binnen de EU. AI-tekst — verslagen, voorstellen en samenvattingen — verwerkt Claude (het model van Anthropic) bij Amazon Web Services in Frankfurt, via een Europees profiel dat alleen in EU-regio's rekent. Vox Plus-documenttekst leest Bloei lokaal, zonder taalmodel; bij een gekozen AI-functie kan die tekst als context meegaan. AWS gebruikt die inhoud niet voor training, slaat haar niet op en deelt haar niet met Anthropic. Lukt dat niet, dan valt Bloei terug op Mistral in Frankrijk. Spraak zet Voxtral van Mistral om in tekst. Anthropic en OpenAI krijgen zelf geen cliëntgegevens; lukt de verwerking in de EU niet, dan valt Bloei niet terug op een dienst buiten de EU. De Google Agenda-koppeling staat uit. E-mail gaat via een mailserver in de EU.
• Bestaande Bloei-app Wearable-data blijft buiten AI: gegevens die via Oura of een andere wearable-koppeling binnenkomen, worden niet in prompts aan Anthropic, OpenAI of Mistral opgenomen.

8. Subverwerkers en andere ontvangers

Beveiligde cliëntomgeving voor Vox Plus en de bestaande Bloei-app. Berichten en documenten van je coach staan in een eigen omgeving. Je logt in met een eenmalige sms-code of, als je die hebt ingesteld, een passkey op je eigen apparaat. Per e-mail krijg je alleen een neutrale melding dat er iets klaarstaat, nooit de inhoud. Inzage wordt vastgelegd in het logboek van het dossier.

Niet iedere externe partij heeft dezelfde AVG-rol. De volgende partijen verwerken gegevens voor hun vermelde functie:

Oura / Ouraring is geen actieve leverancier van Bloei. De koppeling en alle synchronisatie zijn volledig uitgeschakeld na toetsing van de actuele API-voorwaarden. Er gaat geen nieuwe Oura-data naar Bloei of naar AI-aanbieders. Cliënt en coach kunnen eventueel eerder lokaal geïmporteerde Oura-metingen direct verwijderen. Mollie is voor de gewone betaaldienst zelfstandig verwerkingsverantwoordelijke.

Google Agenda-koppeling. In de EU-stand staat de koppeling met Google Agenda uit: Bloei wisselt dan geen gegevens met Google uit. Een coach die al gekoppeld was, kan in de agenda van Bloei ontkoppelen; de agenda «Bloei» wordt dan uit het Google-account verwijderd en de toegang ingetrokken.

Open Food Facts levert productinformatie en ontvangt van Bloei geen cliëntdossier. Voor doorgifte buiten de EER is een geldig doorgiftemechanisme en waar nodig een aanvullende risicoanalyse vereist. De per leverancier genoemde waarborg geldt uitsluitend voor die leverancier; zij dekt de openstaande Telegram-route niet. Een kopie of toelichting op de toepasselijke waarborgen kun je opvragen via het contactformulier (onderwerp Privacy).

9. Bewaartermijnen

• Cliëntdossier in Vox Plus en de bestaande Bloei-app: zolang de coach het dossier voor de begeleiding nodig heeft. De coach bepaalt de inhoudelijke bewaartermijn en kan tussentijds om definitieve verwijdering vragen. Vox Plus uitzetten wist opgeslagen dossiergegevens niet automatisch; een export- of verwijderverzoek kan via het contactformulier voor privacyvragen.
• Na beëindiging: cliënt- en accountgegevens worden op verzoek geretourneerd en uiterlijk binnen 30 dagen uit de actieve omgeving verwijderd of geanonimiseerd, behalve gegevens die wettelijk bewaard moeten blijven. Voor back-ups gelden de afspraken en de nog niet herstelde afwijkingen hieronder; eerder vastgelegde verwijderingen moeten na herstel opnieuw worden uitgevoerd vóór regulier gebruik.
• Consultaudio: we verwerken audio tijdelijk en verwijderen tijdelijke serverwerkbestanden na verwerking. We bewaren audio niet als onderdeel van het consultdossier. Een lokale herstelkopie kan op het eigen apparaat van de coach blijven. Transcripties en verslagen zijn afzonderlijke dossiergegevens en volgen de toepasselijke dossiertermijn. Na een storing is geen maximale opruimduur aangetoond. Dit is geen verklaring dat alle historische audio op alle locaties gewist is.
• Vox Recorder Proefaccount: de proef loopt 30 dagen vanaf het eerste geslaagde verslag. Heeft de coach dan geen abonnement, dan wissen we 30 dagen na het einde van de proef de gespreksinhoud (verslag, transcript, privénotitie, cliëntnaam en spiegel) en de cliëntkoppelingen. Het gedetailleerde verbruiksbewijs zonder gespreksinhoud volgt de termijn voor minutenregistratie hieronder. Sluit de coach wel een abonnement af, dan blijft de inhoud staan tot de coach die zelf verwijdert.
• Vox Recorder Transcripties: kiest de coach «transcripties na 30 dagen wissen», dan wissen we elk transcript 30 dagen na het opslaan, en niet eerder dan 30 dagen nadat de keuze is aangezet. Het verslag blijft staan.
• Vox Recorder «Denk mee»: het fragment van de laatste minuut en de suggesties worden niet opgeslagen. Alleen het aantal keer en het tijdstip van gebruik worden bijgehouden, voor de dagelijkse begrenzing.
• Vox Recorder Minutenregistratie, tegoed en betaalgegevens: gedetailleerde verbruiksgegevens blijven bewaard zolang dit nodig is voor afrekening of een concrete vraag over verbruik. Een vaste automatische wistermijn is niet ingericht. Het saldo blijft beschikbaar zolang het account bestaat; ongebruikt tegoed verloopt niet. Alleen noodzakelijk financieel of acceptatiebewijs blijft langer voor de toepasselijke wettelijke bewaarplicht of een concreet onderbouwd rechtsvorderingsdoel. Niet iedere gebruiksregel valt onder de fiscale bewaarplicht.
• Support, demo-aanvragen, proefaccounts en uitnodigingen: we bewaren deze gegevens zolang ze nodig zijn om je vraag of aanvraag af te handelen, je account te beheren of een concrete aanspraak te behandelen. Voor deze gegevens is geen vaste automatische wistermijn ingericht. Voor gespreksinhoud uit een proef geldt de eerdere verwijdering hierboven. Een verwijderverzoek blijft mogelijk; onnodige bewaring is niet toegestaan.
• Back-ups: de afspraak is maximaal 30 dagen na het maken van de kopie voor databaseback-ups en maximaal 14 dagen voor documentback-ups, inclusief eigen offsite- en herstelkopieën. De controle van 23 oktober 2026 vond oudere kopieën; naleving over alle locaties is nog niet aangetoond. Gegevens kunnen daardoor momenteel langer aanwezig zijn. Dit verandert de bestaande bewaarplichten niet: overschrijdingen moeten worden hersteld. Back-ups mogen uitsluitend voor herstel worden gebruikt; eerder vastgelegde verwijderingen moeten opnieuw worden uitgevoerd vóór regulier gebruik van herstelde gegevens.
• Ingesproken check-in: de audio wordt na transcriptie niet door Bloei opgeslagen; alleen de door de cliënt gecontroleerde tekst kan worden ingestuurd.
• Niet-afgeronde import: tijdelijke importbestanden en -voorstellen verlopen na 24 uur.
• Intakeaanvragen: maximaal 90 dagen.
• Facturen en fiscale administratie: 7 jaar, voor zover de wettelijke bewaarplicht geldt.
• Inzagelog en beheerlog: Bloei legt vast wie een dossier raadpleegde (wie, wanneer, vanaf welk apparaat en welk onderdeel, nooit de inhoud) en wat een beheerder deed. Dat logboek blijft 5 jaar bewaard, ook als het dossier of het account is gewist, zodat achteraf aantoonbaar blijft wie erbij kon (verantwoordingsplicht, AVG artikel 5 en 32). Na het wissen staat er geen naam meer bij, alleen een intern nummer. Het logboek is beveiligd tegen achteraf wijzigen; na 5 jaar wordt het automatisch verwijderd.
• Toestemming voor opname: geeft een cliënt in de beveiligde omgeving vooraf toestemming voor het opnemen van gesprekken, dan bewaren we daarvan alleen het bewijs (intern nummer, tijdstip, tekstversie en of het is ingetrokken), ook als het dossier is gewist, zodat later aantoonbaar blijft waarop een opname berustte. Er staat geen naam en geen inhoud in.

Gegevens van een uitgenodigde vakgenoot bewaren we tot twee jaar na het laatste contact. Meld je je af, dan houden we alleen je e-mailadres op een blokkeerlijst — juist om te kunnen garanderen dat je niet nog eens wordt aangeschreven. De rest wordt verwijderd.

10. Beveiliging

We nemen passende technische en organisatorische maatregelen: versleutelde verbindingen (HTTPS/TLS), met SQLCipher versleutelde opslag met een afzonderlijk beheerde sleutel, toegang op basis van inlog en rechten met verplichte tweestapsverificatie, een sessie die na acht uur zonder handeling verloopt, gegevensscheiding per coach, nieuw geüploade documenten versleuteld op schijf, beperkte productietoegang, beveiligde back-ups en periodieke tests. Wie een dossier opent, een onderdeel ervan bekijkt of iets wijzigt, komt in het inzagelog (wie, wanneer, vanaf welk apparaat, welk onderdeel, nooit de inhoud), en een poging op een dossier van een ander ook. Ook overzichtsschermen met meerdere cliënten (zoals «vandaag», de cliëntlijst en de ochtendbriefing) komen per cliënt in het log. Een coach kan per cliënt zien wie het dossier opende. Het log wordt elke ochtend automatisch op afwijkingen gecontroleerd en elke maand ter aftekening aan de verantwoordelijke gestuurd. Beheer op de server hoort via een vastgelegde route met een verplichte reden te lopen; de toegang tot database, sleutels en documenten wordt daarnaast door het besturingssysteem bijgehouden, zodat ook toegang buiten die route achteraf zichtbaar is. Meer informatie staat op Veiligheid en privacy, op Techniek en beveiliging en in de DPIA-template.

11. Jouw rechten

Je hebt, afhankelijk van de verwerking, recht op inzage, correctie, verwijdering, beperking, bezwaar, overdraagbaarheid en het intrekken van toestemming. Een coach kan in Bloei een volledig dossier exporteren en na dubbele bevestiging definitief wissen. Je kunt ook contact opnemen via het contactformulier (onderwerp Privacy). We kunnen aanvullende informatie vragen om je identiteit veilig vast te stellen. We reageren kosteloos en in beginsel binnen één maand.

Ben je cliënt of een andere gesprekspartner van een coach, bijvoorbeeld iemand die in een opname te horen is? Richt je verzoek dan in eerste instantie tot de coach, omdat die verantwoordelijk is voor jouw gegevens. Bloei ondersteunt de coach bij de afhandeling. Ben je niet tevreden, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

12. Geautomatiseerde besluitvorming

Bloei neemt geen uitsluitend geautomatiseerde besluiten met rechtsgevolgen of een vergelijkbaar zwaar effect. AI levert alleen concepten en signalen; de coach beoordeelt en beslist.

13. Cookies, lokale opslag en bezoekstatistiek

Bloei plaatst geen tracking- of advertentiecookies. Dit is wat er wel op je apparaat komt, of wat we meten:

Bestaande Bloei-app De Bloei-app onthoudt daarnaast in de lokale opslag van je browser een paar persoonlijke voorkeuren, zoals het onderdeel dat je het laatst opende en het gekozen uiterlijk. Daar staan geen cliënt- of praktijkgegevens in.

Contactformulier. Je naam, e-mailadres en bericht gebruiken we om je vraag te beantwoorden (gerechtvaardigd belang: bereikbare ondersteuning; bij een vraag over een overeenkomst ook de uitvoering daarvan). Het bericht gaat via onze bestaande maildienst naar het team en wordt niet in de applicatiedatabase opgeslagen. Voor spamwering bewaren we tijdelijk gepseudonimiseerde vingerafdrukken van IP-adres en e-mailadres in het werkgeheugen. Die tellen maximaal één uur mee voor de limiet, gebruikte formuliercodes maximaal twee uur voor het voorkomen van dubbele verzending. Verlopen gegevens worden bij een volgend verzoek opgeruimd en verdwijnen bij een herstart. De contactfunctie logt alleen tijdstip, onderwerpkeuze en verzendstatus, geen berichttekst of contactgegevens. Voor contactcorrespondentie geldt de bewaartermijn voor support in paragraaf 9: zolang nodig voor de afhandeling of een concrete aanspraak; er is geen vaste automatische wistermijn. Op het contactformulier staan geen bezoekstatistiek of tracking.

Bezoekstatistiek. Voor geaggregeerde bezoekstatistiek gebruiken we GoatCounter, op onze eigen server (stats.bloei.coach), dus zonder externe partij en zonder cookie. Het telt welke pagina's worden bekeken, via welke website je kwam en met wat voor browser of apparaat. We volgen je niet over andere websites en bouwen geen profiel van je op. De meting staat op de publieke pagina's van de website, niet in de Recorder-app zelf of op het contactformulier. Een vaste automatische wistermijn voor deze statistiekgegevens is niet ingericht. We beperken de bewaring tot wat nodig is voor inzicht in het gebruik en de verbetering van de website.

14. Wijzigingen

We kunnen deze verklaring aanpassen. De actuele versie staat altijd op deze pagina, met de datum van laatste wijziging bovenaan.

Wat is er nieuw in versie 3.6 (29 oktober 2026)?

• Vox Plus en de beveiligde cliëntomgeving staan nu afzonderlijk beschreven. Oude accountstatussen bepalen niet of er nog historische gegevens in de bestaande Bloei-app staan. Verouderde verwijzingen naar AI-uitlezen van documenten zijn gecorrigeerd: de tekst wordt lokaal gelezen.

Wat is er nieuw in versie 3.5 (25 oktober 2026)?

• Vox Plus-documenttekst: lokaal lezen zonder aparte AI-samenvatting, filtering van herkende persoonsgegevens en begrensd gebruik als achtergrond bij Voorbereiden, het conceptverslag, de spiegel en Denk mee. Bestaande archiefdocumenten worden pas na jouw keuze ingelezen. Het gebruik als AI-bron kan per document worden uitgeschakeld.

Wat was er nieuw in versie 3.4 (25 oktober 2026)?

• Nieuwe uploads krijgen automatisch een documentkaart. Bij bestaande documenten kies je zelf Maak kaart; alleen het openen van het dossier start geen kaartaanmaak.

Wat was er nieuw in versie 3.3 (25 oktober 2026)?

• Vox Plus-documentkaarten: lokaal lezen en filteren, eenmalige kaartaanmaak met de EU-tekstroute, bewerken en uitschakelen. De standaard AI-context bevat alleen kaarten; extra documenttekst vraagt een afzonderlijke keuze per voorbereiding of gesprek. Ook het contextgebruik van Denk mee is verduidelijkt.

Wat was er nieuw in versie 3.2 (25 oktober 2026)?

• Eén duidelijke alinea over training en bewaren bij AI-leveranciers: Bloei traint niet op opnames, transcripten, verslagen of correcties, en de ingeschakelde diensten (Mistral, Amazon Bedrock) hebben dat contractueel uitgesloten. De eerdere voorbehouden per functie zijn daardoor vervallen.

Wat was er nieuw in versie 3.1 (24 oktober 2026)?

• Een eigen artikel over de Vox Recorder: proefaccount en bewaartermijnen, «Denk mee», «Voorbereiden», minutenregistratie en supportberichten.
• De rolverdeling is op één plek beschreven, ook voor gesprekspartners die geen cliënt zijn.
• Proefaccount, demo-aanvraag en bezoekstatistiek staan in de tabel met grondslagen; de bestaande Telegram-route en eigen back-ups staan bij de ontvangers, met de nog op te lossen beperkingen.
• Tijdelijke audio en lokale herstelkopieën zijn onderscheiden; AI-routes zijn per functie beschreven. De verklaring beschrijft welke verwijdering automatisch plaatsvindt en waar een vaste automatische wistermijn ontbreekt. De website slaat geen marketingbronlabel meer op in je browser.