Privacyverklaring

Patient App B.V. (Caro Health) · Versie 3.0, september 2026 · vervangt versie 2.0 (juni 2026)

Caro Health maakt digitale zorg makkelijker voor patiënten en zorgverleners. Gebruikt u onze website caro.health, neemt u contact met ons op of solliciteert u bij ons? Dan verwerken wij een aantal persoonsgegevens van u. Hieronder leggen we in gewone taal uit wélke gegevens dat zijn, waárom we ze gebruiken, hoelang we ze bewaren en welke rechten u heeft.

Deze verklaring gaat over onze website, ons zakelijke contact, contact- en demoaanvragen en sollicitaties. Gebruikt u de Caro-app als patiënt, of het zorgverlenersportaal als zorgverlener? Daarvoor gelden aparte privacyverklaringen.

Wie zijn wij?

Wij zijn Patient App B.V., beter bekend als Caro Health. Wij bepalen welke gegevens van u worden verwerkt en waarom. Volgens de Algemene Verordening Gegevensbescherming (AVG) zijn wij de “verwerkingsverantwoordelijke”. U kunt ons bereiken via:

Patient App B.V. · H.J.E. Wenckebachweg 123, 1096 AM Amsterdam · KvK 71943765 · info@caro.health · +31 (0)20 244 0361

Caro Health maakt deel uit van de HOPCo-groep, gevestigd in de Verenigde Staten. Dit heeft geen invloed op de opslag van of toegang tot uw gegevens. Wij delen deze niet met onze moederbedrijven in het Verenigd Koninkrijk of de Verenigde Staten, en zij hebben er geen toegang toe.

Onze Functionaris Gegevensbescherming (FG) let er namens ons op dat wij ons aan de privacywet houden. De FG heeft een wettelijke geheimhoudingsplicht (artikel 38 lid 5 AVG). Wat u met de FG deelt — bijvoorbeeld bij een klacht of een vraag over uw gegevens — blijft vertrouwelijk. Heeft u een vraag over uw gegevens of wilt u een recht uitoefenen? Stuur een e-mail naar privacy@caro.health.

Voor wie geldt deze verklaring?

Voor:

• websitebezoekers van caro.health;

• zakelijke contactpersonen bij (mogelijke) klanten en partners;

• mensen die contact met ons opnemen of een demo aanvragen;

• sollicitanten.

Patiënten die de Caro-app gebruiken en zorgverleners die het portaal gebruiken, vinden informatie over de verwerking hun persoonsgegevens in aparte privacyverklaringen.

Welke gegevens gebruiken wij, en waarom?

Hieronder vindt u per verwerking wélke gegevens we gebruiken en op basis van welke grondslag.

*Dit is verplichte informatie: zonder deze gegevens kunnen wij uw verzoek, aanvraag of sollicitatie niet in behandeling nemen.

Baseren wij ons op een “gerechtvaardigd belang”? Dan wegen wij dat belang altijd af tegen de privacy van de betrokkene, en gebruiken wij alleen gegevens die noodzakelijk zijn. Bijzondere gegevens (zoals gezondheidsgegevens) verwerken wij niet via deze website.

Wie verwerkt uw gegevens — wij of een ander?

Wij zijn verantwoordelijk voor alle verwerkingen die in deze privacyverklaring zijn beschreven. Wij schakelen wel leveranciers in die in onze opdracht gegevens verwerken (bijvoorbeeld voor onze CRM, hosting en statistieken). Met elk van hen hebben wij een verwerkersovereenkomst afgesloten.

Voor het patiëntenplatform geldt een andere situatie. Leveren wij het patiëntenplatform aan een zorginstelling, dan is die instelling verwerkingsverantwoordelijke en zijn wij hun verwerker. Meer informatie over de verwerking van patiëntgegevens vindt u daarom in de privacyverklaring van de desbetreffende zorgaanbieder.

Met wie delen wij uw gegevens?

Alleen waar dat nodig is, met:

• onze leveranciers: Pipedrive (CRM), Intercom (chat/e-mail), Google (Google Workspace — e-mail, documenten, agenda; Google Analytics — websitestatistieken), Framer (websitehosting), Homerun (werving), Cal (demo-aanvragen), WeFact (facturatie), PandaDoc (ondertekenen van contracten), Leadfeeder (marketing- en leadgeneratie) en Cookiebot (cookie consent banner);

• adviseurs, onafhankelijke auditors en autoriteiten, als dat moet of wettelijk is toegestaan.

Wij verkopen uw gegevens niet en gebruiken ze niet voor advertenties.

Blijven uw gegevens in Europa?

Uw gegevens worden zo veel mogelijk binnen de Europese Economische Ruimte (EER) verwerkt. Homerun (werving) bewaart uw gegevens binnen de EU.

Een aantal leveranciers zijn gevestigd in de Verenigde Staten: Google (Workspace, Analytics), Intercom (chat), Framer (hosting), PandaDoc (ondertekenen) en Pipedrive (CRM). Voor eventuele doorgifte naar de VS gebruiken wij het EU-VS Data Privacy Framework als de leverancier daarvoor is gecertificeerd, of de modelcontractbepalingen (SCC’s) van de Europese Commissie met, indien nodig, extra waarborgen. We houden daarbij rekening met mogelijke toegang door Amerikaanse overheidsinstanties, zoals op grond van de CLOUD Act. Meer weten? Stuur een e-mail naar privacy@caro.health.

Hoe beschermt Caro uw gegevens?

We nemen verschillende technische en organisatorische maatregelen om uw persoonsgegevens goed te beveiligen. Caro is ISO 27001- en NEN 7510-gecertificeerd, dit zijn erkende normen voor informatiebeveiliging in de zorg. Ons platform draait volledig in de cloud bij Amazon Web Services (AWS); wij beheren zelf geen fysieke servers. Verder is de toegang tot onze systemen beperkt tot medewerkers die dit voor hun werk nodig hebben en vereist deze altijd twee-factor-authenticatie.

Meer informatie over de bescherming van uw gegevens vindt u hier.

Hoe lang bewaren wij uw gegevens?

Niet langer dan nodig. Concreet:

• (Zakelijke) contact- en CRM-gegevens: zolang we contact hebben, en tot 180 dagen nadat een vraag of lead is afgesloten. Daarna verwijderen of anonimiseren we de gegevens.

• Contracten en facturen: 7 jaar. Dat is op basis van de belastingwet (art. 52 AWR) verplicht.

• Sollicitatiegegevens: met uw toestemming bewaren wij uw gegevens tot 12 maanden na de sollicitatie (bijvoorbeeld voor een latere vacature). Zonder toestemming bewaren wij uw gegevens tot 1 maand. Daarna vragen we opnieuw om toestemming of verwijderen we uw gegevens.

• Websitestatistieken (Google Analytics 4): gebeurtenisgegevens bewaren wij 2 maanden, gerekend vanaf het moment van de gebeurtenis. Gegevens die aan een cookie of gebruikers-ID zijn gekoppeld bewaren wij 14 maanden vanaf uw laatste activiteit op de website; bij een nieuw bezoek start deze termijn opnieuw. Geaggregeerde, niet tot u herleidbare statistieken blijven daarna beschikbaar.

• Nieuwsbrief: tot u zich afmeldt. We onthouden daarna alleen dat u geen mail meer wilt.

Gebruiken wij cookies?

Wij gebruiken cookies om onze website goed en veilig te laten werken, om uw voorkeuren te onthouden, om het gebruik van onze website te meten en voor marketingdoeleinden. Onze cookiebanner (Cookiebot/Usercentrics) deelt cookies in vier categorieën in:

• Noodzakelijke cookies — nodig om de website goed en veilig te laten werken, bijvoorbeeld het cookie waarin wij uw cookievoorkeuren opslaan. Hiervoor is geen toestemming nodig (art. 11.7a, lid 3 Telecommunicatiewet).

• Voorkeurscookies — onthouden uw keuzes en ondersteunen de chatfunctie, bijvoorbeeld de cookies die Intercom plaatst zodra u een chat met ons opent.

• Statistiekcookies — meten hoe onze website wordt gebruikt. Hiervoor gebruiken wij Google Analytics 4, dat bijvoorbeeld apparaat-ID's en bij benadering vastgestelde locatiegegevens (land, regio, plaats) verzamelt.

• Marketingcookies — geplaatst door Leadfeeder (Dealfront) om te herkennen welke organisaties onze website bezoeken en welke pagina's zij bekijken.

Voor voorkeurs-, statistiek- en marketingcookies vragen wij vooraf uw toestemming via onze cookiebanner.

Inzien, intrekken of aanpassen cookie consent

U kunt uw toestemming op elk moment inzien, intrekken of aanpassen via de zwarte ronde knop linksonder op de website. Meer informatie vindt u in onze cookieverklaring.

Nemen wij automatische besluiten over u?

Nee. Wij nemen geen beslissingen over u die alleen door een computer worden gemaakt en u flink raken. Uw sollicitatie wordt altijd door mensen beoordeeld, niet door een algoritme.

Welke rechten heeft u?

U heeft verschillende rechten als het gaat om uw persoonsgegevens. U mag ons altijd vragen om:

• te zien welke gegevens wij van u hebben (inzage);

• fouten te corrigeren of gegevens te verwijderen;

• de verwerking te beperken of er bezwaar tegen te maken;

• uw gegevens in een bruikbaar bestand te ontvangen (overdraagbaarheid);

• uw toestemming weer in te trekken.

Stuur een e-mail naar privacy@caro.health en we reageren binnen één maand. Is uw vraag ingewikkeld, dan mogen we er twee maanden bij nemen; dat laten we u binnen de eerste maand weten.

Niet tevreden over hoe wij met uw gegevens omgaan?

Laat het ons eerst weten via privacy@caro.health: we lossen het graag op. U mag ook altijd een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Gegevens van kinderen

Caro.health is niet bedoeld voor kinderen van 16 jaar of jonger. Krijgen we toch gegevens van een kind binnen, dan verwijderen we die zodra we het weten.

Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. Belangrijke wijzigingen kondigen we op tijd aan. De nieuwste versie staat altijd op caro.health.