Privacyverklaring Caro-app

Voor patiënten · Patient App B.V. (Caro Health) · Versie 3.0, oktober 2026 (vervangt versie 2.0 augustus 2026)

Caro is een app die u helpt tijdens uw behandeling of herstel. U gebruikt Caro omdat uw ziekenhuis of kliniek de app aan u aanbiedt. Hieronder leggen we in gewone taal uit wat er met uw gegevens gebeurt en hoe we ze beschermen.

Belangrijk: uw zorginstelling bepaalt welke gegevens in Caro worden gebruikt en waarom. Zij is de “verwerkingsverantwoordelijke”. Caro verwerkt uw gegevens alleen in opdracht van uw zorginstelling. Wilt u het volledige plaatje? Lees dan ook de privacyverklaring van uw eigen zorgverlener.

Wie is verantwoordelijk voor uw gegevens?

Uw zorginstelling (het ziekenhuis of de kliniek waar u onder behandeling bent) beslist welke gegevens in Caro worden gebruikt en waarom. Via de afspraken die u met uw zorginstelling heeft, schakelt zij Caro in om uw gegevens te verwerken. Caro (Patient App B.V.) verwerkt uw gegevens dus in opdracht van uw zorginstelling, op basis van een verwerkersovereenkomst. Een paar dingen bepaalt Caro zelf; die leest u verderop.

U kunt ons bereiken via: Patient App B.V. · H.J.E. Wenckebachweg 123, 1096 AM Amsterdam · info@caro.health · +31 (0)20 244 0361.

Onze Functionaris Gegevensbescherming (FG) let er namens ons op dat wij ons aan de privacywet houden. De FG heeft een wettelijke geheimhoudingsplicht (artikel 38 lid 5 AVG). Wat u met de FG deelt — bijvoorbeeld bij een klacht of een vraag over uw gegevens — blijft vertrouwelijk. Heeft u een vraag over uw gegevens? Stuur dan een e-mail naar privacy@caro.health.

Welke gegevens verwerkt Caro?

• Wie u bent: naam, geboortedatum (optioneel), contactgegevens.

• Uw behandeling: type behandeling en locatie, afspraken, symptomen, pijnscores, vragenlijsten en herstelvoortgang.

• Berichten tussen u en uw zorgteam.

• Hoe u de app gebruikt: welke onderdelen u bekijkt en invult.

• Technische gegevens die nodig zijn om de app te laten werken en om u meldingen te sturen.

Een deel hiervan zijn gezondheidsgegevens. Die zijn extra gevoelig, dus gaan we er extra zorgvuldig mee om.

Waarvoor gebruikt Caro uw gegevens, en op welke grond?

Voor uw zorg verwerkt Caro uw gegevens in opdracht van uw zorginstelling. Uw zorginstelling heeft daarvoor een wettelijke grondslag, dit is meestal het bieden van zorg (art. 9 lid 2 sub h AVG).

Caro is verwerker voor de volgende activiteiten:

• de app veilig houden en fraude en misbruik voorkomen (gerechtvaardigd belang);

• het anonimiseren van technische gegevens voor analysedoeleinden (gerechtvaardigd belang).

Gebruikt Caro kunstmatige intelligentie (AI)?

Ja. Caro gebruikt AI om u praktische informatie te geven over uw behandeling en om uw zorgteam te ondersteunen, bijvoorbeeld bij het voorbereiden van informatie of teksten.

Hiervoor werken wij samen met Orq, een leverancier die de AI-diensten voor ons uitvoert. Uw gegevens worden niet gebruikt om AI-modellen te trainen.

Bij alles wat AI voorbereidt, is altijd een mens betrokken. Caro neemt geen geautomatiseerde besluiten over uw behandeling of zorg: die beslissingen worden altijd door uw zorgverleners genomen.

Met wie kan Caro uw gegevens delen?

Met uw zorgteam, via uw zorginstelling, en met leveranciers die Caro inschakelt om de app te laten werken. Met elk van hen hebben wij een verwerkersovereenkomst afgesloten. Wij schakelen leveranciers in voor de volgende doeleinden:

• opslag en hosting: AWS en MongoDB Atlas;

• pushmeldingen op uw telefoon: Google Firebase;

• sms-berichten: Spryng;

• AI-functies: Orq (met subverwerkers Azure en Bedrock).

Caro verkoopt uw gegevens nooit en gebruikt deze niet voor advertenties. Uw gegevens worden niet gebruikt om AI-modellen te trainen.

Blijven uw gegevens in Europa?

Uw zorggegevens worden binnen de Europese Economische Ruimte (EER) verwerkt en opgeslagen. We gebruiken hiervoor AWS en MongoDB Atlas, Amerikaanse bedrijven met datacenters in de EER. Voor eventuele doorgifte naar de VS maken we gebruik van het EU-VS Data Privacy Framework (DPF). We houden daarbij rekening met mogelijke toegang door Amerikaanse overheidsinstanties, zoals op grond van de CLOUD Act.

Voor pushmeldingen gebruiken we Google Firebase; daarbij kan beperkte technische informatie naar de Verenigde Staten gaan, met passende waarborgen (DPF en SCC’s). Voor AI-functies waarbij uw gegevens betrokken zijn, gebruiken we Europese (Azure) modellen. Meer weten? Stuur een e-mail naar privacy@caro.health.

Hoe beschermt Caro uw gegevens?

We nemen verschillende technische en organisatorische maatregelen om uw persoonsgegevens goed te beveiligen. Caro is ISO 27001- en NEN 7510-gecertificeerd, dit zijn erkende normen voor informatiebeveiliging in de zorg. Ons platform draait volledig in de cloud bij Amazon Web Services (AWS); wij beheren zelf geen fysieke servers. Verder is de toegang tot onze systemen beperkt tot medewerkers die dit voor hun werk nodig hebben en vereist deze altijd twee-factor-authenticatie. We voeren wekelijks geautomatiseerde kwetsbaarheidsscans uit en houden een logboek bij van activiteiten op gevoelige gegevens zodat we altijd kunnen nagaan wie wat heeft gedaan.

Hoe lang worden uw gegevens bewaard?

Uw zorginstelling bepaalt hoe lang uw zorggegevens worden bewaard. Zij volgt daarvoor de wettelijke bewaartermijnen voor medische dossiers. Caro bewaart uw gegevens zolang dat nodig is om de app te leveren en zolang uw zorginstelling ons vraagt om de gegevens te bewaren. Op verzoek van uw zorginstelling verwijderen of anonimiseren wij uw gegevens.

Cookies en statistieken in de app

Wij gebruiken cookies om onze app goed en veilig te laten werken en om het gebruik van onze app te meten. Sommige cookies zijn daarvoor noodzakelijk, bijvoorbeeld voor beveiligingsdoeleinden. Daarvoor is geen toestemming nodig (art. 11.7a, lid 3 Telecommunicatiewet).

Voor het meten van het gebruik van onze app gebruiken we Google Analytics 4. Deze tool plaatst cookies en verzamelt bijvoorbeeld apparaat-ID’s en geanonimiseerde locatiegegevens. Wij plaatsen geen cookies voor commerciële doeleinden en volgen u niet over verschillende websites.

Gegevens van kinderen

Is de patiënt jonger dan 16 jaar, of staat hij of zij onder curatele of mentorschap? Dan handelt een ouder of wettelijk vertegenwoordiger namens de patiënt. Uw zorginstelling regelt hiervoor de toestemming.

Welke rechten heeft u?

U heeft verschillende rechten als het gaat om uw persoonsgegevens. U mag uw zorginstelling altijd vragen om:

• te zien welke gegevens wij van u hebben (inzage);

• fouten te corrigeren of gegevens te verwijderen;

• de verwerking te beperken of er bezwaar tegen te maken;

• uw gegevens in een bruikbaar bestand te ontvangen (overdraagbaarheid);

• uw toestemming weer in te trekken.

Omdat uw zorginstelling verantwoordelijk is voor uw persoonsgegevens, oefent u deze rechten uit via uw zorginstelling. Stuurt u uw verzoek toch naar Caro? Dan sturen we het verzoek door aan uw zorginstelling. Wij werken hieraan mee en geven uw zorginstelling de informatie en ondersteuning die zij nodig heeft om uw verzoek te behandelen.

Een vraag of klacht?

Voor vragen over uw zorggegevens neemt u contact op met uw zorginstelling. Vragen over de Caro-app kunt u stellen via privacy@caro.health. U heeft ook altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Wijzigingen

We kunnen deze privacyverklaring aanpassen. De nieuwste versie vindt u in de app.