Privacyverklaring B&R Vitaal

Laatst bijgewerkt: 5 november 2026. B&R Vitaal V.O.F., Anemoonplantsoen 13, 2651 PB Berkel en Rodenrijs · KvK 42151373 · Btw-id NL869941665B01.

Artikel 1 – Identiteit en Contactgegevens

1. Verwerkingsverantwoordelijke: B&R Vitaal V.O.F., ingeschreven in het Handelsregister van de Kamer van Koophandel.
2. Vestigingsadres: Anemoonplantsoen 13, 2651 PB Berkel en Rodenrijs, Nederland.
3. Contactadres voor privacyzaken: info@brvitaal.nl.

Artikel 2 – Grondslagen voor de Verwerking

B&R Vitaal verwerkt persoonsgegevens uitsluitend op basis van de volgende wettelijke grondslagen uit artikel 6 lid 1 van de AVG:

1. Toestemming (art. 6 lid 1 sub a AVG): Uw uitdrukkelijke, vrije en specifieke toestemming, bijvoorbeeld voor de nieuwsbrief, voor analytische cookies en voor wat u invult bij de open vraag in het kennismakingsformulier.
2. Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG): De verwerking is noodzakelijk om de overeengekomen Zakelijke of Particuliere Diensten te kunnen leveren.
3. Wettelijke verplichting (art. 6 lid 1 sub c AVG): Voor zover de wet ons verplicht gegevens vast te leggen en te bewaren, zoals het behandeldossier (WGBO), het burgerservicenummer in de zorg en onze administratie (fiscale bewaarplicht).
4. Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): Het belang van B&R Vitaal om haar website te optimaliseren, de veiligheid te handhaven en misbruik te voorkomen, en om u na een afgerond traject eenmalig te vragen of u uw ervaring wilt delen.
5. Bijzondere persoonsgegevens (art. 9 lid 2 AVG): Gezondheidsgegevens die nodig zijn voor diëtistische zorg verwerkt de diëtist op grond van art. 9 lid 2 sub h AVG en artikel 30 lid 3 Uitvoeringswet AVG: de verwerking is noodzakelijk voor de behandeling en gebeurt door een zorgverlener met een beroepsgeheim. Uw toestemming is daarvoor niet de grondslag; het dossier moeten wij bewaren zolang de wet dat voorschrijft. Voor glucosewaarden buiten een behandeling en voor uw antwoord op de open vraag in het kennismakingsformulier vragen wij wel uw uitdrukkelijke toestemming (art. 9 lid 2 sub a AVG). Het burgerservicenummer verwerkt de diëtist omdat de wet dat zorgverleners voorschrijft (Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg).

Artikel 3 – Categorieën van Persoonsgegevens

B&R Vitaal verzamelt en verwerkt de volgende categorieën gegevens:

1. Algemene persoonsgegevens: Naam, voorletters, geslacht, e-mailadres, telefoonnummer, functieomschrijving en indien van toepassing de bedrijfsnaam of zakelijke adresgegevens.
2. Gegevens bij het aanvragen van een kennismaking: Voornaam en achternaam, e-mailadres, telefoonnummer, de bevestiging dat u 18 jaar of ouder bent of als ouder of voogd een kind aanmeldt en, als u die kiest, het traject dat u aanspreekt, de locatie van uw voorkeur, uw antwoord op de open vraag waar u begeleiding bij zoekt en hoe u ons hebt gevonden. Kwam u via een campagnelink op de site, dan krijgen wij ook het label van die link mee (bijvoorbeeld “instagram / bio”), zonder gegevens over u. Wij vragen u in de open vraag geen medische gegevens te zetten. Bij het direct aanvragen en betalen van een Inzichttraject vragen wij dezelfde gegevens, behalve het traject, want dat hebt u al gekozen.
3. Fysiologische gegevens (bijzondere persoonsgegevens): Bloedsuikerwaarden en glucosetrends verkregen via Continue Glucosemonitoring (CGM) sensoren, die door de Deelnemer zelfstandig worden aangebracht.
4. Gezondheidsgegevens in het behandeldossier (bijzondere persoonsgegevens): Gegevens over medicijngebruik, aandoeningen en klachten, een eventuele pleisterallergie en medische omstandigheden die van belang zijn om een CGM-sensor veilig te dragen (zoals een geïmplanteerd medisch apparaat of een geplande scan). Deze legt de behandelend diëtist vast in MijnDiAD; wij vragen ze niet via de website.
5. Gegevens voor de zorg en de declaratie: Voor diëtistische zorg legt de diëtist in MijnDiAD ook uw burgerservicenummer (BSN) vast, na controle van uw identiteitsbewijs, zoals de wet voorschrijft voor zorgverleners, en de naam van uw zorgverzekeraar en uw polisnummer, zodat u de factuur kunt declareren. Gegevens delen met uw huisarts, specialist of bedrijfsarts gebeurt alleen met uw toestemming.
6. Leefstijl- en performancegegevens: Gegevens over voedingspatronen, slaapkwaliteit, fysieke activiteit, stressniveaus, energielevels en werkgerelateerde focussymptomen.
7. Digitale metadata: IP-adres, browsertype, surfgedrag op de website en interactiedata via functionele of analytische cookies.

Artikel 4 – Doeleinden van de Verwerking

De persoonsgegevens worden uitsluitend verwerkt voor de volgende doeleinden:

1. Het leveren en uitvoeren van zakelijke vitaliteitsprogramma's, workshops en masterclasses voor organisaties.
2. Het verlenen van diëtistische zorg aan particulieren, met het bijhouden van het behandeldossier en het opstellen van facturen die u bij uw zorgverzekeraar kunt declareren.
3. Het inplannen en voeren van een kennismaking en het beantwoorden van aanvragen.
4. Het versturen van de nieuwsbrief, alleen als u zich daarvoor heeft aangemeld.
5. Het organiseren van communityactiviteiten, zoals de wandelgroep, en het afhandelen van aanmeldingen daarvoor.
6. Het analyseren van individuele en groepsgewijze fysiologische trends om leefstijl-, voedings- en prestatieadviezen te formuleren.
7. Het onderhouden van klantrelaties, facturatie, administratieve afhandeling en het beantwoorden van vragen of klachten.
8. Het waarborgen en verbeteren van de werking, veiligheid en stabiliteit van de website en de gebruikte digitale systemen.
9. Het eenmalig per e-mail vragen of u uw ervaring op Google wilt delen nadat uw traject is afgerond. Dat is vrijblijvend en u kunt er bezwaar tegen maken via info@brvitaal.nl. Wij geven daarvoor geen gegevens aan Google door. Wat u zelf op Google plaatst, is openbaar en valt onder de voorwaarden en het privacybeleid van Google.

Artikel 5 – De B2B/B2C-datablokkade

B&R Vitaal hanteert een absolute en ondoordringbare scheiding tussen de betalende organisatie en de persoonsgegevens van individuele werknemers.

1. Zakelijke Trajecten (B2B): Alle individuele bio-data, glucosetrends of persoonlijke logboeken vallen onder het beroepsgeheim van de uitvoerende specialist. De werkgever (Opdrachtgever) heeft onder geen beding recht op inzage in deze individuele gegevens.
2. Geaggregeerde rapportage: B&R Vitaal hanteert een minimum van 15 actieve deelnemers voor rapportages op groepsniveau. Rapportages bevatten geen uitsplitsing naar kleinere subgroepen en worden ook beoordeeld op mogelijke indirecte herkenbaarheid; gegevens die een persoon kunnen onthullen, nemen wij niet op. Onder de grens van 15 actieve deelnemers ontvangt de werkgever uitsluitend een procesmatige aanwezigheidsbevestiging.
3. Particuliere trajecten (B2C): Neemt u op eigen titel en voor eigen rekening een particulier traject bij Romy Thumann, dan staan die gegevens volledig los van uw werkgever. Ook als uw werkgever een zakelijk programma bij B&R Vitaal afneemt, worden deze gegevens onder geen beding gedeeld, geanalyseerd of vermeld in rapportages aan die organisatie.

Artikel 6 – Zakelijke dienstverlening en individuele diëtistische zorg

1. De workshops, procesbegeleiding en managementrapportages die B&R Vitaal V.O.F. aan organisaties levert, betreffen zakelijke dienstverlening en worden aangegaan als overeenkomst van opdracht in de zin van artikel 7:400 BW.
2. De particuliere trajecten zijn diëtistische zorg, verleend door Romy Thumann als diëtist. Daarop is de Wet op de geneeskundige behandelingsovereenkomst (WGBO, artikelen 7:446 e.v. BW) van toepassing. Bij zakelijke programma's kan de WGBO gelden voor het onderdeel waarin de diëtist individueel fysiologische gegevens, laboratoriumuitslagen of voedingsanalyses duidt.
3. Diëtist is een beschermde opleidingstitel voor een beroep op grond van artikel 34 Wet BIG. De titel houdt geen registratie in het BIG-register in.

Artikel 7 – Data-infrastructuur, Ontvangers en Derden

1. Persoonsgegevens worden niet verkocht of gedeeld met derden voor commerciële of marketingdoeleinden.
2. Uitlezen bloedsuikerdata: Het real-time uitlezen en inzien van de bloedsuikermonitoringswaarden geschiedt door de diëtist en de Deelnemer rechtstreeks via het beveiligde online platform van de desbetreffende sensorfabrikant.
3. Opslag individuele dossiers: Individuele persoonsgegevens en leefstijlanalyses bewaren wij in beveiligde omgevingen. Gezondheidsgegevens en het behandeldossier staan uitsluitend in MijnDiAD, het elektronisch dossier voor diëtisten met NEN 7510-certificering, en zijn uitsluitend toegankelijk voor de behandelend diëtist, Romy Thumann. De niet-medische vennoot van B&R Vitaal heeft geen toegang tot deze gegevens. Toegang is beveiligd met persoonlijke inloggegevens en tweestapsverificatie.
4. Zelfstandig Verwerkingsverantwoordelijke: B&R Vitaal opereert ten opzichte van de Opdrachtgever (de werkgever) te allen tijde als zelfstandig verwerkingsverantwoordelijke. Er is geen sprake van een verwerkersrelatie of gezamenlijke verantwoordelijkheid, aangezien de Opdrachtgever geen zeggenschap heeft over de data en geen toegang verkrijgt tot de persoonsgegevens.
5. Wettelijke meldplicht: Bij een vermoeden van huiselijk geweld of kindermishandeling volgt de diëtist de Meldcode huiselijk geweld en kindermishandeling van de beroepsgroep. Daarbij kan zij in uitzonderlijke gevallen, ook zonder uw toestemming, gegevens delen met Veilig Thuis. Dit gebeurt alleen als de meldcode dat toestaat en zo veel mogelijk na overleg met u.

Artikel 7a – Ontvangers en verwerkers van deze website

Voor het functioneren van www.brvitaal.nl en de verwerking van formulierinzendingen schakelen wij de volgende partijen in. Met de partijen die voor ons gegevens verwerken, gelden verwerkersovereenkomsten, vaak als onderdeel van hun standaardvoorwaarden.

Een aantal van deze partijen is een Amerikaans bedrijf (Cloudflare, Supabase, Resend, Google en Anthropic). Wij kiezen waar dat kan voor opslag in de Europese Unie. Voor doorgifte naar of toegang vanuit de Verenigde Staten gelden het EU-VS-gegevensprivacykader (Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

1. Behandeldossier in MijnDiAD: Gezondheidsgegevens en het behandeldossier staan uitsluitend in MijnDiAD, het elektronisch dossier voor diëtisten met NEN 7510-certificering. Ze zijn uitsluitend toegankelijk voor de behandelend diëtist, Romy Thumann, en vallen onder haar medisch beroepsgeheim (artikel 7:457 BW). De niet-medische vennoot van B&R Vitaal heeft geen toegang tot deze gegevens. Onze website, automatiseringsomgeving, database en e-mail bevatten geen medische gegevens uit uw behandeling.
2. Hosting van de website – Cloudflare, Inc.: De website wordt als statische website gehost en wereldwijd gedistribueerd via Cloudflare Pages. Hierbij worden technische gegevens verwerkt die bij ieder websitebezoek horen, zoals uw IP-adres, browsertype en de opgevraagde pagina. Cloudflare verwerkt deze gegevens uitsluitend om de website te leveren en te beveiligen tegen misbruik.
3. Video’s – Cloudflare R2: De video’s van Romy staan bij Cloudflare (R2), onze hostingpartij Cloudflare, Inc. Een video wordt pas opgehaald nadat u op afspelen klikt, met uitzondering van de korte stille lus zonder geluid op de startpagina; een voorbeeldbeeld kan wel direct worden opgehaald. Daarbij verwerkt Cloudflare technische gegevens zoals uw IP-adres en browsertype, zoals bij ieder websitebezoek. Wij gebruiken deze gegevens niet voor advertenties.
4. Verwerking van formulieren – n8n op een eigen server: Wanneer u een formulier op deze website verzendt, worden de door u ingevulde gegevens via een beveiligde verbinding (HTTPS) verstuurd naar onze eigen automatiseringsomgeving (n8n). Deze draait op een virtuele privéserver die wij huren bij Hostinger International Ltd. en die fysiek is gevestigd in een datacentrum in Frankfurt, Duitsland. Uw gegevens verlaten daarmee de Europese Economische Ruimte niet. Vanuit deze omgeving sturen wij de bevestigingsmail aan u en de melding aan onszelf; de e-mail zelf verloopt via Resend (zie hieronder).
5. Opslag van contact- en aanvraaggegevens – Supabase: Gegevens uit openbare contact- en aanvraagformulieren worden opgeslagen in onze database bij Supabase. Deze database is gevestigd in de regio Centraal-Europa (Frankfurt, Duitsland) en verlaat de Europese Economische Ruimte niet. Wij gebruiken deze opslag uitsluitend om uw aanvraag te behandelen en op te volgen; de toegang is beperkt tot de vennoten van B&R Vitaal en beveiligd met tweestapsverificatie. Deze database bevat geen medische gegevens uit uw behandeling; die staan uitsluitend in MijnDiAD. Alleen uw eventuele keuze van een aanleiding uit de vaste lijst in het kennismakingsformulier (zoals meer energie of beter slapen) staat bij uw aanvraag, zodat Romy zich kan voorbereiden; de volledige kopie van het formulier wissen wij na 30 dagen.
6. Bewaartermijn van contactformulieren: De uitvoeringsgegevens van deze automatisering voor openbare contact- en aanvraagformulieren worden na afhandeling automatisch verwijderd. De administratieve opvolging verloopt daarna via onze reguliere e-mail- en dossieromgeving, waarop de bewaartermijnen uit Artikel 9 van toepassing zijn. Voor het behandeldossier in MijnDiAD gelden de afzonderlijke bewaartermijnen uit Artikel 9.
7. Websitestatistieken zonder cookies – Cloudflare Web Analytics: Daarnaast meten wij bezoekersaantallen met Cloudflare Web Analytics. Dit gebeurt zonder cookies en zonder iets op uw apparaat op te slaan; er worden geen profielen opgebouwd en uw IP-adres wordt niet bewaard. Omdat hierbij geen persoonsgegevens worden vastgelegd, is hiervoor geen toestemming nodig.
8. Bescherming tegen spam – Cloudflare Turnstile: Bij het verzenden van een formulier controleren wij met Cloudflare Turnstile of het verzoek van een mens afkomstig is. Turnstile verwerkt daarvoor technische kenmerken van uw browser, plaatst geen trackingcookies en gebruikt deze gegevens niet voor advertenties. Grondslag: ons gerechtvaardigd belang bij het beveiligen van de website en onze systemen.
9. Websitestatistieken – Google Analytics: Uitsluitend indien u daar via de cookiebanner uitdrukkelijk toestemming voor geeft, plaatsen wij Google Analytics (Google Ireland Limited) om geanonimiseerd te meten hoe de website gebruikt wordt. Uw IP-adres wordt daarbij verkort verwerkt. Weigert u, of maakt u geen keuze, dan wordt er geen enkel script van Google geladen en worden er geen cookies van Google geplaatst. U kunt uw keuze op elk moment wijzigen via ‘Cookievoorkeuren’ onderaan iedere pagina. Zie ook onze cookieverklaring. Google kan daarbij gegevens in de Verenigde Staten verwerken (Google LLC, EU-VS-gegevensprivacykader).
10. Kennismaking aanvragen – ons eigen formulier: Vraagt u een gratis telefonische kennismaking aan, dan gebruikt u het formulier op onze eigen website. Wij vragen daarbij uw voornaam en achternaam, e-mailadres en telefoonnummer, of u 18 jaar of ouder bent (of als ouder of voogd een kind aanmeldt) en, als u dat wilt, welk traject u aanspreekt, op welke locatie of online u begeleiding wilt, waar u begeleiding bij zoekt (een open vraag van maximaal 300 tekens) en hoe u ons hebt gevonden. Deze vragen zijn optioneel. Zet in de open vraag geen medische gegevens; die bespreekt u in de kennismaking. Omdat uw antwoord toch iets over uw gezondheid kan zeggen, vragen wij er uw uitdrukkelijke toestemming voor. Wij gebruiken deze gegevens om u binnen 1-2 werkdagen te bellen voor de kennismaking. De gegevens gaan via onze automatiseringsomgeving (n8n, Frankfurt) naar onze database bij Supabase (Frankfurt); uw antwoorden staan in die database en in de interne melding die Romy en ons info-adres krijgen (verstuurd via Resend, zie hieronder), zodat Romy zich op het gesprek kan voorbereiden. In de bevestiging aan u staan zij niet. Liever niet via het formulier? Mail ons dan op info@brvitaal.nl. Grondslag: stappen op uw verzoek voorafgaand aan een overeenkomst; voor uw aanleiding uit de lijst uw uitdrukkelijke toestemming (artikel 9 lid 2 onder a AVG), die u altijd kunt intrekken.
11. Nieuwsbrief: Meldt u zich aan voor onze nieuwsbrief, dan staat u direct op de verzendlijst en ontvangt u een bevestiging per e-mail (verzonden via Resend). Wij bewaren uw e-mailadres en het moment van aanmelden als bewijs van uw toestemming. Afmelden kan altijd via de link onderaan elke nieuwsbrief of via info@brvitaal.nl. Na afmelding bewaren wij alleen uw e-mailadres en het afmeldmoment, zodat een lopende verzending u niet meer bereikt; na 30 dagen verwijderen wij ook die.
12. Online consulten – videoverbinding: Kiest u voor online begeleiding, dan voeren wij de consulten via een beveiligde videoverbinding van een leverancier met wie wij een verwerkersovereenkomst hebben. Wij nemen online consulten niet op. Wat u in het consult vertelt, legt de diëtist vast in uw dossier, net als bij een consult in de praktijkruimte.
13. E-mail – Resend: E-mail vanuit de website, de planner en de nieuwsbrief (bevestigingen, herinneringen en de nieuwsbrief) versturen wij via Resend, een dienst van Resend, Inc. (Verenigde Staten). Daarvoor verwerkt Resend uw e-mailadres en de inhoud van het bericht. Wij versturen vanuit de EU-regio van Resend (Ierland, eu-west-1). De doorgifte buiten de Europese Economische Ruimte is geregeld met de standaardcontractbepalingen van de Europese Commissie in de verwerkersovereenkomst met Resend. Wij sturen geen medische gegevens per e-mail; stuur ze ons ook niet per e-mail. Alleen de interne melding over een kennismaking noemt uw eventuele keuze van een aanleiding uit de vaste lijst. Mailt u zelf naar info@brvitaal.nl, dan komt dat bij onze zakelijke account bij Google Workspace (Google Ireland Limited) binnen; de agenda en Google Meet blijven eveneens bij Google Workspace. Grondslag: de uitvoering van de overeenkomst en stappen op uw verzoek voorafgaand aan een overeenkomst; voor de nieuwsbrief uw toestemming.
14. Intern logboek: Zodat wij niets vergeten, houden wij een intern logboek bij van wat er rond uw aanvraag of deelname gebeurt: bijvoorbeeld dat uw aanvraag binnenkwam, dat er een afspraak of offerte is, dat een betaling of factuur voldaan is, of dat u ons mailde, met uw naam, e-mailadres en eventueel uw bedrijf. Van een e-mail leggen wij alleen het moment en uw adres vast, niet het onderwerp of de inhoud. Na een gesprek kunnen wij er een korte notitie aan toevoegen. Er staan geen gezondheidsgegevens in. Het logboek staat in onze database bij Supabase (Frankfurt) en is alleen voor de vennoten van B&R Vitaal. Grondslag: de uitvoering van de overeenkomst en ons gerechtvaardigd belang bij een goede opvolging.
15. Back-up – Google Workspace: Van de aanvragen in onze database maken wij een back-up in onze zakelijke Google Workspace-omgeving (Google Ireland Limited). Daarin staan geen gezondheidsgegevens en niet uw antwoord op de open vraag. Grondslag: ons gerechtvaardigd belang bij het voorkomen van gegevensverlies.
16. Interne zoekhulp – Anthropic: Om ons interne logboek en onze aanvragen snel te doorzoeken, gebruiken wij een interne zoekhulp met het taalmodel Claude van Anthropic (Anthropic, PBC, Verenigde Staten). Daarbij kunnen uw naam, e-mailadres en gegevens uit het logboek worden verwerkt, nooit gezondheidsgegevens, uw aanleiding of de inhoud van uw e-mails. Anthropic gebruikt deze gegevens niet om zijn modellen te trainen. Grondslag: ons gerechtvaardigd belang bij een goede opvolging.
17. Wandelgroep en Latin Living Room: Meldt u zich aan voor de wandelgroep of de wachtlijst van de Latin Living Room, dan verwerken wij de gegevens die u invult om u op de hoogte te houden, via dezelfde weg als hierboven (n8n, Supabase en Resend). Grondslag: stappen op uw verzoek. Koopt u een ticket voor de Latin Living Room, dan gebeurt dat in de betaalomgeving van de organisator, Fleur Lefers; zij is voor die gegevens zelf verantwoordelijk.
18. Inzichttraject online aanvragen – betalen en factuur: Vraagt u een Inzichttraject online aan, dan verloopt de betaling via Mollie B.V. (Amsterdam) en ontvangt u per e-mail een betalingsbevestiging. Onze facturen maken en bewaren wij in onze boekhouding bij Moneybird B.V. (Nederland). De zorgfactuur voor uw zorgverzekeraar maakt de diëtist op in MijnDiAD. De omschrijving op de betaling en de factuur is medisch neutraal (alleen de naam van het traject). Gezondheidsgegevens staan uitsluitend in het dossier in MijnDiAD en nooit in onze website-database, automatiseringsomgeving, e-mail of boekhouding. Grondslag: de uitvoering van de overeenkomst en onze wettelijke bewaarplicht (zeven jaar).
19. Ondernemerswandeling (gestopt): Tot november 2026 organiseerden wij een ondernemerswandeling. Van wie zich daarvoor inschreef, bewaren wij de inschrijving en de factuur alleen nog zo lang als hieronder bij de bewaartermijnen staat; er komen geen nieuwe inschrijvingen bij. Grondslag: onze wettelijke bewaarplicht voor de administratie.

Artikel 8 – Beveiliging van Persoonsgegevens

1. B&R Vitaal treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, diefstal, ongeoorloofde toegang of wijziging.
2. Gezondheidsgegevens worden uitsluitend verwerkt binnen beveiligde cloudomgevingen: het platform van de sensorfabrikant en MijnDiAD (NEN 7510-gecertificeerd). Onze website, automatiseringsomgeving, database en e-mail bevatten geen medische gegevens uit uw behandeling. Wij vragen u uitdrukkelijk geen medische gegevens in formulieren of e-mail te zetten; die bespreekt u in de kennismaking. Er vindt geen lokale opslag van individuele medische of fysiologische databestanden plaats op fysieke hardware of lokale schijven van B&R Vitaal.
3. Toegang tot de online platforms is strikt beperkt tot de uitvoerende specialisten van B&R Vitaal en is beveiligd middels tweestapsverificatie (2FA) en persoonlijke inloggegevens.

Artikel 9 – Bewaartermijnen

1. Persoonsgegevens worden niet langer bewaard dan strikt noodzakelijk is om de doeleinden zoals genoemd in Artikel 4 te realiseren.
2. Fysiologische data, laboratoriumuitslagen en leefstijlanalyses die noodzakelijk zijn voor zorg onder de WGBO en onderdeel zijn van het medisch dossier, worden bewaard volgens de wettelijke dossiertermijn: twintig jaar vanaf de laatste wijziging, of langer als goede zorg dat vereist (artikel 7:454 BW). Andere fysiologische data en leefstijlanalyses worden uiterlijk zes maanden na afronding van het traject verwijderd. Administratieve gegevens waarvoor een wettelijke bewaarplicht geldt, zoals factuurgegevens, bewaren wij volgens die termijn (in het algemeen zeven jaar).
3. Het behandeldossier in MijnDiAD bewaren wij volgens de wettelijke dossiertermijn (WGBO) van twintig jaar vanaf de laatste wijziging, of langer als goede zorg dat vereist. Een intrekking van toestemming leidt niet tot verwijdering voor zover een wettelijke bewaarplicht geldt.
4. Een afspraak uit onze planner bewaren wij tot zes maanden na de datum van het gesprek, tenzij er een traject uit voortkomt; de bijbehorende aanvraag volgt daarna de termijn van onze gewone aanvragen. Periodes die wij in de planner hebben geblokkeerd (zoals vakanties) bewaren wij drie maanden.
5. Aanvragen die niet tot een traject of opdracht leiden, verwijderen wij automatisch: van particulieren zes maanden en van organisaties twaalf maanden na het laatste contact. Bent u klant, dan bewaren wij uw contactgegevens in onze database tot twee jaar na het laatste contact; uw dossier en uw facturen volgen de termijnen hierboven. Een geannuleerde afspraak verwijderen wij na drie maanden.
6. De volledige kopie van een ingevuld formulier, met daarin uw eventuele antwoord op de open vraag, wissen wij na 30 dagen.
7. Na afmelding voor de nieuwsbrief verwijderen wij uw e-mailadres na 30 dagen.
8. Inschrijvingen voor de ondernemerswandeling met een mislukte of verlopen betaling verwijderen wij na 30 dagen, andere inschrijvingen twaalf maanden na uw laatste wandeling. Facturen bewaren wij zeven jaar.
9. Aanmeldingen voor de wandelgroep bewaren wij tot twaalf maanden na het laatste contact, de wachtlijst van de Latin Living Room tot drie maanden na de start. Vragen aan onze interne zoekhulp bewaren wij twaalf maanden.
10. Geeft u toestemming voor Google Analytics, dan blijven de cookies van Google maximaal twee jaar op uw apparaat.
11. Wat in ons interne logboek over u staat, verdwijnt zodra de aanvraag of inschrijving waar het bij hoort wordt verwijderd, en uiterlijk twee jaar na de gebeurtenis; het moment waarop u ons mailde, bewaren wij daarin hooguit twaalf maanden.

Artikel 10 – Rechten van Betrokkenen

Op grond van de AVG beschikt elke Deelnemer en Consument over de volgende specifieke rechten met betrekking tot de eigen persoonsgegevens:

1. Recht op inzage (art. 15 AVG): Het recht om te controleren welke gegevens B&R Vitaal verwerkt.
2. Recht op rectificatie (art. 16 AVG): Het recht om onjuiste of onvolledige gegevens direct te laten corrigeren.
3. Recht op gegevenswissing (art. 17 AVG): Het recht om gegevens in bepaalde situaties definitief te laten verwijderen.
4. Recht op beperking van de verwerking (art. 18 AVG): Het recht om de verwerking van gegevens tijdelijk te pauzeren.
5. Recht op gegevensoverdraagbaarheid (art. 20 AVG): Het recht om de gegevens in een gestructureerd en machineleesbaar formaat te ontvangen.
6. Recht van bezwaar (art. 21 AVG): Het recht om bezwaar te maken tegen de verwerking op basis van gerechtvaardigd belang.
7. Rechten bij uw behandeldossier (art. 7:456 en 7:455 BW): U kunt uw dossier inzien en er een afschrift van krijgen. U kunt ook vragen het dossier te vernietigen; dat doen wij binnen drie maanden, tenzij de wet of een aanmerkelijk belang van een ander zich daartegen verzet.
8. Geen geautomatiseerde besluiten: Wij nemen geen besluiten over u die uitsluitend op geautomatiseerde verwerking berusten, en wij maken geen profielen voor reclame.
9. Recht om toestemming in te trekken: Het recht om een gegeven toestemming (zoals voor de nieuwsbrief, cookies of uw antwoord op de open vraag) altijd in te trekken. Dat heeft geen gevolgen voor de verwerking daarvoor.

Om deze rechten uit te oefenen, kan de betrokkene een schriftelijk verzoek indienen via info@brvitaal.nl. Ter verificatie van de identiteit kan B&R Vitaal de verzoeker vragen om aanvullende identificatie via een veilige methode. B&R Vitaal reageert binnen één maand. Bij een ingewikkeld of groot verzoek kan die termijn met twee maanden worden verlengd; dat laten wij u dan binnen de eerste maand weten.

Artikel 11 – Klachten bij de Toezichthouder

Indien een betrokkene van mening is dat B&R Vitaal niet correct omgaat met persoonsgegevens, wordt verzocht dit direct te melden via info@brvitaal.nl. Daarnaast heeft de betrokkene te allen tijde het wettelijk recht een officiële klacht in te dienen bij de Nederlandse toezichthouder:

• Autoriteit Persoonsgegevens
• Postbus 93374, 2509 AJ Den Haag
• www.autoriteitpersoonsgegevens.nl

Artikel 12 – Wijzigingen en Toepasselijk Recht

1. B&R Vitaal behoudt zich het recht voor deze privacyverklaring eenzijdig te wijzigen. De meest actuele versie is te allen tijde beschikbaar op de website.
2. Op deze privacyverklaring is uitsluitend Nederlands recht van toepassing.
3. Heeft u een klacht over de verwerking van uw persoonsgegevens, dan lossen wij die bij voorkeur samen met u op. U kunt daarnaast altijd een klacht indienen bij de Autoriteit Persoonsgegevens (zie artikel 11) of naar de rechter stappen.
4. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Rotterdam, onverminderd het recht van een consument om te kiezen voor de volgens de wet bevoegde rechter.

Vragen over dit document? Ga naar contact of mail info@brvitaal.nl.