Privacybeleid

Ingangsdatum: 11 juli 2026

Inleiding

Welkom bij AI DiagMe! Smart Medical Care SAS (“wij”, “ons”, “onze”) zet zich in voor de bescherming van de privacy en veiligheid van de persoonsgegevens van haar gebruikers (“u”, “uw”). AI DiagMe is een handelsnaam van Smart Medical Care SAS. Dit Privacybeleid legt uit hoe wij uw persoonsgegevens verzamelen, gebruiken, delen, bewaren en beschermen wanneer u gebruikmaakt van onze website aidiagme.com (de “Site”) en onze AI-diensten die u helpen uw laboratoriumuitslagen te begrijpen en te lezen (de “Diensten”). Het informeert u ook over uw rechten op het gebied van gegevensbescherming en de beschikbare rechtsmiddelen. Door gebruik te maken van onze Diensten bevestigt u dat u dit beleid heeft gelezen. De verwerking van uw gezondheidsgegevens is gebaseerd op uw uitdrukkelijke toestemming, die afzonderlijk wordt verzameld.

Een strikt informatieve dienst. AI DiagMe is een informatieve en educatieve dienst die u helpt uw testresultaten te begrijpen. Het is een aanvulling op — en geen vervanging van — professionele medische zorg, en het stelt geen diagnose. AI DiagMe is geen medisch hulpmiddel: dit is bevestigd door het Franse nationale agentschap voor de veiligheid van geneesmiddelen en gezondheidsproducten (ANSM — referentie GIO 23593272, dossier 2500297).

1. Verwerkingsverantwoordelijke en privacycontact

De verwerkingsverantwoordelijke voor uw persoonsgegevens is:

Bedrijf: Smart Medical Care SAS (een vereenvoudigde naamloze vennootschap / société par actions simplifiée opgericht in Frankrijk)
Maatschappelijke zetel: 37 Avenue Maréchal Foch, 06000 Nice, Frankrijk
Handels- & vennootschapsregister: RCS Nice 932 924 194
Contacte-mailadres: contact@aidiagme.com

Uw privacycontact. Voor vragen over dit beleid, uw persoonsgegevens of om uw rechten uit te oefenen, kunt u contact opnemen met onze privacyfunctionaris, Julien P., via contact@aidiagme.com.

Functionaris voor gegevensbescherming (FG). Op dit moment heeft Smart Medical Care SAS geen functionaris voor gegevensbescherming (FG) aangesteld in de zin van artikelen 37 tot en met 39 van de AVG, omdat haar activiteiten geen verplichte aanstelling vereisen. Julien P. fungeert als het belangrijkste aanspreekpunt voor alle gegevensbeschermingskwesties.

Gezondheidsgegevens gehost in Frankrijk. Ongeacht uw locatie worden alle gezondheidsgegevens die via AI DiagMe worden verwerkt, uitsluitend gehost op Google Cloud-servers in Frankrijk, gecertificeerd voor Gezondheidsgegevenshosting (Hébergement de Données de Santé — HDS). Uw accountgezondheidsgegevens en uw rapporten worden niet buiten de Europese Unie gehost. In overeenstemming met artikel L1111-8 van de Franse Wet op de Volksgezondheid vindt deze hosting plaats nadat u bent geïnformeerd en tenzij u op legitieme gronden bezwaar maakt; dit recht kan worden uitgeoefend via contact@aidiagme.com (de uitoefening ervan kan ons echter beletten de dienst te verlenen). De enige uitzondering, voor kwaliteitscontroledoeleinden: gepseudonimiseerd interpretaties (geen directe identificator op het bord; onze artsen hebben geen toegang tot onze databases en kunnen u niet opnieuw identificeren) kunnen worden beoordeeld door de artsen van ons Wetenschappelijk & Ethisch Comité via Trello (Atlassian), gehost in de Verenigde Staten en gedekt door een gegevensverwerkingsovereenkomst (Standaard Contractuele Clausules en Data Privacy Framework).

2. Persoonsgegevens die wij verzamelen

Identificatie- en contactgegevens: naam, achternaam, e-mailadres. Uw naam en achternaam worden gebruikt om uw rapport te pseudonimiseren (de-identificeren) vóór AI-verwerking; uw e-mailadres wordt gebruikt om u het gegenereerde AI-rapport toe te sturen.
Gezondheids- en contextgegevens (bijzondere categorieën): het laboratoriumtestrapport (bloed, urine, ontlasting) dat u uploadt als pdf, en de contextinformatie die u verstrekt (leeftijd, geslacht, lengte, gewicht, persoonlijke en familiale medische geschiedenis, allergieën, levensstijl) om een relevantere uitleg te genereren.
Transactiegegevens: informatie met betrekking tot uw aankoop, rechtstreeks verwerkt door onze betalingsprovider Stripe (wij slaan uw volledige kaartgegevens niet op); uw transactiegeschiedenis bij ons.
Technische gebruiksgegevens: hoe u met de site omgaat, verzameld via Google Analytics op basis van uw toestemming (IP-adres, waar mogelijk geanonimiseerd, browsertype, bezochte pagina's, bestede tijd, navigatiepad).
Communicatiegegevens: alle informatie die u verstrekt wanneer u contact opneemt met onze ondersteuning of feedback geeft.

3. Hoe wij uw gegevens gebruiken (doeleinden en rechtsgrondslagen)

Wij verwerken uw gegevens alleen wanneer wij daarvoor een passende rechtsgrondslag hebben op grond van de AVG (en UK GDPR):

Om de AI DiagMe-service te leveren (uw rapport analyseren en de AI-uitleg genereren): uw uitdrukkelijke toestemming voor gezondheidsgegevens (art. 9(2)(a)), verzameld via een verplicht selectievakje vóór enige verwerking, en de uitvoering van de overeenkomst voor niet-gevoelige gegevens (art. 6(1)(b)).
Om uw rapport te pseudonimiseren (het verwijderen van uw directe identificatoren vóór AI-analyse): uitvoering van de overeenkomst (art. 6(1)(b)), binnen de verwerking op basis van uw uitdrukkelijke toestemming (art. 9(2)(a)).
Om u het gegenereerde AI-rapport toe te sturen: uitvoering van de overeenkomst (art. 6(1)(b)).
Om de klantrelatie te beheren en betalingen te verwerken (via Stripe): uitvoering van de overeenkomst (art. 6(1)(b)).
Om het gebruik van de site te analyseren en de beveiliging te waarborgen (via Google Analytics): uw toestemming voor niet-essentiële cookies (art. 6(1)(a)); ons gerechtvaardigd belang voor beveiliging (art. 6(1)(f)).
Om uw verzoeken te beantwoorden: uitvoering van de overeenkomst (art. 6(1)(b)) of gerechtvaardigd belang (art. 6(1)(f)).
Om marketingcommunicatie te verzenden (indien van toepassing): uitsluitend op basis van uw specifieke opt-in toestemming, afzonderlijk gevraagd en nooit verondersteld (art. 6(1)(a)).
Om te voldoen aan onze wettelijke en reglementaire verplichtingen: wettelijke verplichting (art. 6(1)(c)).

Pseudonimisering en AI-verbetering

Ons interne hulpmiddel verwijdert uw directe identificatiegegevens (voor- en achternaam) uit uw PDF-rapport vóór elke AI-analyse. Dit vormt pseudonimisering in de zin van artikel 4, lid 5, van de AVG: uw gezondheidsgegevens zijn niet langer rechtstreeks identificerend, maar blijven persoonsgegevens zolang ze via uw e-mailadres, dat afzonderlijk wordt opgeslagen, aan u kunnen worden gekoppeld. Wij maken geen zogenaamd anonieme datasets aan die voor onbepaalde tijd worden bewaard.

Wij trainen geen AI-modellen op uw gegevens. Wij verbeteren de kwaliteit van onze uitleg via een eigen kennisbank, gevoed door de beoordeling van gepseudonimiseerd interpretatierapporten door de artsen van ons Wetenschappelijk & Ethisch Comité, die geen toegang hebben tot onze databases en u niet opnieuw kunnen identificeren. Omdat deze rapporten gezondheidsgegevensblijven, kunt u bezwaar maken (opt-out) tegen deze beoordeling op elk moment door te schrijven naar contact@aidiagme.com.

Geen geautomatiseerde besluitvorming

De AI-interpretatie van uw resultaten is geen beslissing die uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen voor u heeft of u op vergelijkbare wijze aanzienlijk treft, in de zin van artikel 22 van de AVG. Het AI DiagMe-rapport is een informatief en educatief document: het stelt geen diagnose en neemt geen medische beslissing, en het is bedoeld om met een zorgverlener te bespreken. De interpretatie wordt gegenereerd door een groot taalmodel (Claude, van Anthropic) op basis van uw rapport en contextgegevens; u kunt ons op elk moment om verduidelijking vragen, uw standpunt kenbaar maken en de uitkomst betwisten door te schrijven naar contact@aidiagme.com.

Noodzaak van het verstrekken van uw gegevens

Het verstrekken van uw testrapport, uw contextgegevens en uw uitdrukkelijke toestemming is noodzakelijk om gebruik te maken van de dienst: zonder deze gegevens kunnen wij uw AI-rapport niet genereren. Dit is geen wettelijke of contractuele verplichting, maar vloeit uitsluitend voort uit uw eigen keuze; u bent vrij om deze gegevens niet te verstrekken, in welk geval de dienst niet kan worden geleverd.

4. Delen van uw persoonsgegevens

Wij verkopen uw persoonsgegevens niet. Wij delen deze uitsluitend met de verwerkers die strikt noodzakelijk zijn voor het verlenen van de Diensten, met passende waarborgen:

Hosting: Google Cloud — uw gezondheidsgegevens worden gehost op HDS-gecertificeerde servers in Frankrijk.
AI-infrastructuur: OpenRouter, Inc. (Verenigde Staten), dat veilig communiceert met het AI-model (Claude, van Anthropic) om uw rapport te genereren. Alleen strikt gepseudonimiseerde gegevens (ontdaan van uw directe identificatiegegevens) worden verzonden; deze aanbieders hebben nooit toegang tot uw identiteit en mogen uw gegevens niet hergebruiken, ook niet voor het trainen van hun modellen.
Betalingsverwerking: Stripe, Inc. (Verenigde Staten), dat uw betalingen veilig verwerkt.
Transactionele e-mail: SendGrid (Twilio Inc.), dat uw e-mailadres en de inhoud van uw rapport tijdelijk verwerkt, uitsluitend voor de routering en bezorging van het AI-rapport.
Publieksanalyse: Google LLC (Google Analytics), afhankelijk van uw cookietoestemming.
Kwaliteitscontrole (Wetenschappelijk & Ethisch Comité): Atlassian, Inc. (Trello, Verenigde Staten) — hosting van het bord waarop de artsen van ons comité gepseudonimiseerde AI-interpretaties (geen identificerende gegevens) om de nauwkeurigheid ervan te verifiëren. Er worden geen identificerende gegevens en geen laboratoriumrapport met hen gedeeld.

Wij kunnen uw gegevens ook verstrekken aan de bevoegde autoriteiten wanneer de wet dit vereist, of overdragen aan een overnemende partij in geval van een fusie, overname of verkoop van activa, onder gelijkwaardige vertrouwelijkheidsverplichtingen.

5. Internationale doorgifte van gegevens

Uw gezondheidsgegevens worden gehost in Frankrijk en worden niet buiten de Europese Economische Ruimte (EER) overgedragen voor opslag. Sommige van onze verwerkers (OpenRouter, Stripe, Google, Twilio, Atlassian) zijn gevestigd in of actief vanuit de Verenigde Staten. Wanneer er een overdracht buiten de EER/het VK plaatsvindt, zorgen wij voor een adequaat beschermingsniveau via een van de volgende mechanismen:

Het EU-VS Data Privacy Framework en de uitbreiding daarvan naar het VK, voor gecertificeerde bedrijven (Stripe, Google, Twilio, Atlassian).
De door de Europese Commissie goedgekeurde standaardcontractbepalingen (en de UK International Data Transfer Addendum voor overdrachten naar het Verenigd Koninkrijk), samen met een gegevensoverdrachtseffectbeoordeling waar nodig.
Voorafgaande pseudonimisering van de gegevens die naar de AI-aanbieder worden verzonden, waarbij uw directe identificatoren worden verwijderd vóór elke overdracht.

6. Gegevensbeveiliging

Wij nemen passende technische en organisatorische maatregelen om verlies, ongeoorloofde toegang, wijziging of openbaarmaking van uw gegevens te voorkomen, waaronder:

Hosting op HDS-gecertificeerde servers in Frankrijk (Google Cloud, gecertificeerd ISO/IEC 27001 en SOC 2).
Pseudonimisering van rapporten (verwijdering van uw directe identificatoren) vóór AI-verwerking.
Versleuteling van gegevens tijdens overdracht (TLS) en in opslag (AES-256).
Strikte toegangscontroles op basis van het principe van minimale rechten; meervoudige authenticatie (MFA) wordt momenteel uitgerold en toegangsrechten worden maandelijks herzien.
Procedures voor het beheer en de melding van inbreuken op persoonsgegevens, overeenkomstig de artikelen 33 en 34 van de AVG.

7. Bewaartermijnen

Wij bewaren uw gegevens alleen zo lang als nodig is voor de doeleinden waarvoor ze zijn verzameld, inclusief om te voldoen aan onze wettelijke, boekhoudkundige en rapportageverplichtingen:

Origineel testrapport (PDF): tot 90 dagen na het genereren en afleveren van het AI-rapport, daarna veilig verwijderd (gegevensminimalisatie, art. 5(1)(c)).
Account-, contact- en contextgegevens, en gegenereerde AI-rapporten: voor de duur van het actieve account, daarna tot 3 jaar na deactivering of het laatste contact, waarna definitieve verwijdering volgt. In afwachting van de lancering van het beveiligde patiëntenportaal zijn deze gegevens gekoppeld aan uw e-mailadres en worden ze tot 3 jaar na uw laatste gebruik bewaard.
Transactiegegevens: bewaard gedurende 6 jaar, en tot 10 jaar voor facturen en boekhoudkundige bescheiden vanaf de datum van uitgifte, overeenkomstig het Franse Wetboek van Koophandel (art. L123-22) en de toepasselijke belastingwetgeving.
Analytische cookies (Google Analytics): tot 14 maanden (aanbeveling van de CNIL).
Toestemmingscookie: tot 6 maanden (aanbeveling van de CNIL).
Serverlogboeken (IP-adressen): tot 90 dagen (gerechtvaardigd belang — beveiliging).

Een verzoek tot definitieve verwijdering leidt tot het wissen van al deze gegevens, behalve wanneer wij wettelijk verplicht zijn deze te bewaren (met name transactiegegevens).

8. Uw rechten inzake gegevensbescherming

Op grond van de AVG (en de Britse AVG) heeft u de volgende rechten: inzage; rectificatie; verwijdering (“recht om vergeten te worden”), met inachtneming van onze wettelijke verplichtingen; beperking van de verwerking; bezwaar (inclusief bezwaar tegen de beoordeling van uw gepseudonimiseerde interpretaties door ons Wetenschappelijk & Ethisch Comité, via opt-out, en tegen direct marketing); gegevensoverdraagbaarheid; en het recht om uw toestemming in te trekken op elk moment, zonder afbreuk te doen aan de rechtmatigheid van de eerdere verwerking.

Wij reageren op uw verzoeken binnen één maand, verlengbaar met twee maanden voor complexe verzoeken, kosteloos tenzij het verzoek kennelijk ongegrond of buitensporig is.

Gebruikers in de Verenigde Staten. Afhankelijk van uw staat van verblijf (bijvoorbeeld Californië, onder de CCPA/CPRA) kunt u het recht hebben om uw persoonsgegevens in te zien, te raadplegen, te corrigeren en te verwijderen, en om u af te melden voor de “verkoop” of het “delen” van persoonsgegevens. Wij verkopen uw persoonsgegevens niet. Om deze rechten uit te oefenen, kunt u contact met ons opnemen via het onderstaande adres; wij zullen u niet discrimineren omdat u deze rechten uitoefent.

Hoe u uw rechten kunt uitoefenen. Schrijf naar contact@aidiagme.com. Zodra het patiëntenportaal (momenteel in ontwikkeling) beschikbaar is, zijn de opties voor deactivering en permanente verwijdering ook rechtstreeks beschikbaar via uw online instellingen.

9. Kinderen en minderjarigen

Onze diensten zijn niet bedoeld voor personen onder de 18 jaar. Vóór betaling is een leeftijdsbevestiging (minimaal 18 jaar) vereist. Wij verzamelen niet bewust persoonsgegevens van minderjarigen; indien dit toch gebeurt, verwijderen wij deze onmiddellijk.

10. Cookies

Wij gebruiken strikt noodzakelijke cookies (voor het functioneren van de website) en analytische cookies (Google Analytics), waarbij de laatste alleen worden gebruikt met uw toestemming die via de banner is verzameld. Wij gebruiken geen advertentiecookies. Voor meer informatie en om uw voorkeuren te beheren, raadpleegt u onze Cookiebeleid.

11. Wijzigingen in dit beleid

Wij kunnen dit beleid van tijd tot tijd bijwerken. De datum van de laatste update staat bovenaan deze pagina vermeld. Bij een wezenlijke wijziging zullen wij u op passende wijze informeren.

12. Recht om een klacht in te dienen

Als u vragen heeft over de manier waarop wij uw gegevens verwerken, raden wij u aan eerst contact op te nemen met onze privacyfunctionaris via contact@aidiagme.com. U heeft ook het recht om een klacht in te dienen bij een toezichthoudende autoriteit:

Frankrijk (leidende autoriteit): Commission Nationale de l’Informatique et des Libertés (CNIL) — www.cnil.fr
Verenigd Koninkrijk: Information Commissioner’s Office (ICO) — www.ico.org.uk
Andere EER-landen: de gegevensbeschermingsautoriteit van uw land van verblijf.