Privacyverklaring Epdee

Elysium B.V., handelend onder de naam Epdee.

• KvK: 77870859
• BTW: NL006230752B01
• Vestiging: Herenweg 32, 3513 CE Utrecht, Nederland
• Contact privacy: privacy@epdee.nl

Voor patiëntdata in de Epdee-applicatie zijn wij verwerker(zie onze Verwerkersovereenkomst). Voor onze eigen bedrijfsvoering (klantadministratie, marketing, support) zijn wij verwerkingsverantwoordelijke.

2.1 Bezoekers van epdee.nl

• IP-adres + browser-fingerprint (voor beveiliging en analyse)
• Bezochte pagina's + tijdstip (alleen geaggregeerd)
• Cookie-voorkeuren (functioneel + analytics na toestemming)

2.2 Aanvragers / leads

• Naam + e-mailadres + telefoonnummer (indien opgegeven)
• Naam organisatie + KvK + adres
• Type kliniek + geschatte omvang (voor offerte)

2.3 Klanten + hun gebruikers

• Naam, e-mail, functie binnen kliniek
• Inlog-gegevens (wachtwoord-hash, 2FA-secret indien actief)
• IP-adres + datum/tijd van logins (audit-log, NEN 7513)
• Acties in de applicatie (audit-log)

2.4 Patiëntgegevens

Patiëntdata wordt verwerkt onder regie van de zorgaanbieder (verwerkingsverantwoordelijke). Wij zien deze data nietbehalve voor het uitvoeren van support op uitdrukkelijk verzoek van de klant. Onze rol is technische verwerker — zie de DPA.

Wij delen alleen met dienstverleners die wij zelf inschakelen om de dienst te kunnen leveren (sub-verwerkers). Met elk van hen hebben wij een verwerkersovereenkomst gesloten.

• Vercel Inc. — Hosting van de applicatie (compute + CDN) (EU (Frankfurt fra1))
• Supabase Inc. / AWS — Database-hosting (PostgreSQL) (EU (Ierland eu-west-1))
• Resend Inc. / AWS SES — Transactionele e-mail (login-links, factuur-bevestigingen, herinneringen) (EU (Ierland eu-west-1))
• Mollie B.V. — Online betalingen door patiënten. Tenant koppelt eigen Mollie-account; geld stroomt direct naar tenant. (EU (Amsterdam))
• Hetzner Online GmbH — Egress-proxy voor mTLS-koppelingen (Vecozo, Vektis) (EU (Duitsland))
• Google LLC (Workspace) — E-mail mailbox voor Epdee-medewerkers (hallo@epdee.nl etc.) (EU + US (Standard Contractual Clauses))

Wij verkopen nooit persoonsgegevens. Wij delen alleen op verzoek van bevoegde autoriteiten als wij daartoe wettelijk verplicht zijn.

Wij nemen onder meer de volgende technische en organisatorische maatregelen:

• TLS 1.3 voor alle verbindingen
• Encryptie at-rest van wachtwoorden (bcrypt) en BSN (AES-256-GCM)
• Verplichte 2FA voor toegang tot productieomgeving door personeel
• RBAC + per-tenant data-isolatie op database-niveau
• Audit-log van inzage in dossiers (NEN 7513)
• Periodieke beveiligingsaudits + penetratietest
• Sub-verwerkers binnen de EER of onder Standard Contractual Clauses

U heeft onder de AVG het recht om:

• uw gegevens in te zien (art. 15)
• onjuiste gegevens te laten corrigeren (art. 16)
• uw gegevens te laten verwijderen (art. 17, "recht op vergetelheid")
• de verwerking te beperken (art. 18)
• gegevens over te dragen aan een andere partij (art. 20)
• bezwaar te maken tegen verwerking (art. 21)
• een toestemming in te trekken (zoals voor analytics-cookies)

Vraag in te dienen? Mail privacy@epdee.nl. Wij reageren binnen 30 dagen. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Wij plaatsen alleen functionele cookies (login, sessie, cookie-keuze onthouden) zonder toestemming. Analyse-cookies (voor anoniem meten welke pagina's populair zijn) plaatsen wij pas na uw expliciete toestemming via de cookie-banner. Tracking-cookies van derden plaatsen wij niet.

Onze sub-verwerkers zijn EU-gebaseerd of werken onder Standard Contractual Clauses. Voor doorgifte naar de VS (Google Workspace) vertrouwen wij op de SCC's + Google's EU Data Boundary + additional safeguards (encryptie-at-rest, key-management binnen EU).

Wij kunnen deze privacyverklaring aanpassen. De huidige versie en ingangsdatum staan bovenaan deze pagina. Bij ingrijpende wijzigingen informeren wij klanten per e-mail.

Functionaris Gegevensbescherming (FG): dpo@epdee.nl

Klacht bij toezichthouder: Autoriteit Persoonsgegevens