Privacyverklaring.

Dit is een placeholder, en met opzet geen concept-privacyverklaring. Aannemelijk klinkende privacytekst schrijven voor een dienst die gezondheidsgegevens verwerkt is erger dan niets schrijven: het leest als een juridische belofte die niemand heeft getoetst, en onder de AVG zijn de antwoorden uit de vragenlijst bijzondere persoonsgegevens (art. 9).

De echte verklaring moet in elk geval het volgende dekken, en moet juridisch getoetst zijn voordat deze pagina live gaat:

• Welke gegevens worden verzameld: contactgegevens, geboortedatum, en de antwoorden uit de vragenlijst — inclusief de vragen over contra-indicaties, die gezondheidsgegevens zijn.
• De grondslag. Voor de gezondheidsantwoorden is dat expliciete toestemming (art. 9 lid 2 sub a); het moment van toestemming en de versie van deze verklaring worden bij elke aanvraag vastgelegd.
• Wie het ziet: de beoordelende arts. De antwoorden staan niet in notificatiemails.
• Bewaartermijn. Contactgegevens en factuurgegevens blijven langer staan dan de antwoorden op de vragenlijst. De antwoorden worden 90 dagen na het besluit van de arts verwijderd, of 30 dagen als de scan niet bij je situatie blijkt te passen — er komt dan geen scan, dus de antwoorden hebben geen doel meer zodra het besluit is meegedeeld. Die twee termijnen volgen uit de vergunning en staan als instelling, niet in deze tekst getypt.
• Verwerkers: hosting, database, e-mailbezorging, en — alleen met marketingtoestemming — advertentiemeting.
• Cookies en meting, en hoe je toestemming intrekt.
• Je rechten: inzage, correctie, verwijdering, overdraagbaarheid, bezwaar, en de weg naar de Autoriteit Persoonsgegevens.
• Contactgegevens van de verwerkingsverantwoordelijke, en een functionaris gegevensbescherming als die wordt aangesteld.

Zolang de verklaring niet geschreven en getoetst is, verwijst de toestemmingstekst in de vragenlijst naar dit versienummer, zodat traceerbaar blijft met welke tekst iemand heeft ingestemd.