Wat we bewaren, en waarom.

De verwerkingsverantwoordelijke voor de gegevens die hieronder beschreven staan, is:

• Actus Rens, handelend onder de naam HormoTize (eenmanszaak naar Nederlands recht)
• KvK-nummer: [KvK-nummer]
• Vestigingsadres: [vestigingsadres]
• E-mail: [contactadres]
• Website: HormoTize.com

Verwerkingsverantwoordelijke betekent dat wij bepalen waarvoor en hoe je gegevens worden gebruikt, en dat je bij ons terechtkunt voor al je vragen en rechten. Wil je iets vragen, inzien, corrigeren of laten verwijderen, dan is bovenstaand e-mailadres het adres.

Wij verwerken de volgende categorieën persoonsgegevens. Niet alles geldt voor iedereen: wat je niet invult en niet koppelt, verwerken wij ook niet.

• Accountgegevens: je e-mailadres, je wachtwoord (uitsluitend versleuteld opgeslagen als hash, wij kunnen het niet lezen), je naam, en de taal, eenheden en het thema waarin je de app gebruikt.
• Contact- en factuurgegevens: voornaam, achternaam, adres, postcode, plaats, land en optioneel je telefoonnummer. Je postcode wordt daarnaast gebruikt om de dichtstbijzijnde priklocatie te zoeken; je telefoonnummer alleen als het lab je over je afspraak moet bereiken.
• Profielgegevens: geboortedatum, geslacht, lengte, gewicht, taille-omtrek en vetpercentage, je doel, je activiteitsniveau, het aantal trainingsdagen per week, hoeveel je normaal slaapt, je gemiddelde stressniveau en een eventuele lichamelijke klacht die je bij de intake omschrijft.
• Gezondheidsgegevens uit bloedonderzoek: de gemeten waarde per biomarker, de eenheid, de datum van afname, het referentiebereik en het optimale bereik, en de status die daaruit volgt.
• Gegevens uit je dagelijkse check-in: libido, stemming, energie in de ochtend, middag en avond, stressniveau met eventuele oorzaken en een vrije notitie, alcohol, cafeïne, water, type training, bedtijd en waktijd, en de gewoonten die je zelf hebt gekozen om bij te houden (daglicht, supplementen, ademwerk, koude, schermen laat op de avond, en wat je verder aan je lijst toevoegt).
• Gegevens uit een gekoppelde wearable: slaapduur en het begin en einde van je nacht, slaap-, herstel-, stress- en activiteitsscores, hartslagvariabiliteit, rusthartslag, strain, stappen, VO₂max en verbruikte energie.
• Door ons berekende gegevens: je Hormonal Recovery Index en de subscores daaronder, je biologische leeftijd per lichaamssysteem, je streak, je dagelijkse momentopnames en de acties die de app je voorstelt en die je afvinkt.
• Betaalgegevens: het feit dat en waarvoor je hebt betaald, het bedrag, de status van je abonnement en de referentie van de transactie bij onze betaaldienstverlener. Volledige kaartgegevens komen nooit bij ons binnen.
• Technische gegevens: het IP-adres waarmee je onze server benadert, tijdstippen van inloggen en synchroniseren, foutmeldingen en logbestanden, en de apparaat-token die nodig is om je een pushbericht te sturen.

• Van jou: alles wat je invult bij het aanmaken van je account, tijdens de onboarding, bij het bestellen en in de dagelijkse check-in.
• Van het laboratorium: de uitslagen van je bloedonderzoek, die na analyse aan je account worden gekoppeld.
• Van je wearable: alleen als je die zelf koppelt, en alleen de gegevens die hieronder bij 'Wearables' staan.
• Van onze eigen berekeningen: je scores, je biologische leeftijden en je adviezen worden afgeleid uit de gegevens hierboven.

Elke verwerking heeft een doel en een juridische grondslag. Voor gezondheidsgegevens geldt bovendien de extra eis van artikel 9 AVG; die staat in het volgende hoofdstuk.

Wij gebruiken je gegevens niet voor advertenties, verkopen ze niet, en verhandelen ze niet met derden voor hun eigen doeleinden.

Bloedwaarden, slaap, hartslagvariabiliteit, stress, libido: dat zijn gegevens over je gezondheid. De AVG verbiedt de verwerking daarvan in beginsel, tenzij er een uitzondering geldt. Wij baseren ons op de uitzondering van artikel 9 lid 2 sub a: jouw uitdrukkelijke toestemming.

Die toestemming vraag je zichtbaar en apart — bij het aanmaken van je account voor je bloeduitslagen en je dagelijkse gegevens, en opnieuw op het moment dat je een wearable koppelt of een trainer toegang geeft. Toestemming geven is vrijwillig.

Je kunt je toestemming op elk moment intrekken, en dat is net zo eenvoudig als het geven ervan: koppel de wearable los, verbreek de samenwerking met je trainer, of verwijder je account in de app. Intrekken werkt niet met terugwerkende kracht: wat wij vóór dat moment rechtmatig hebben verwerkt, blijft rechtmatig verwerkt. Wel stoppen wij daarna met die verwerking en verwijderen wij de betreffende gegevens volgens de bewaartermijnen verderop.

Trek je je toestemming voor de verwerking van je gezondheidsgegevens in het geheel in, dan kunnen wij de kern van de dienst niet meer leveren: zonder die gegevens is er geen score, geen biologische leeftijd en geen advies.

Een wearable koppelen is optioneel. De app werkt ook zonder, alleen leunt je dagelijkse score dan volledig op wat je zelf invult. Koppel je er wel een, dan halen wij hier per meetdag deze gegevens op:

• Slaap: hoe lang je sliep en wanneer je nacht begon en eindigde, en waar de leverancier die geeft, een slaapscore.
• Herstel en stress: hartslagvariabiliteit, rusthartslag, en waar beschikbaar een herstel- of stressscore.
• Inspanning: stappen, strain of belasting, verbruikte energie en VO₂max.

Wij halen géén hartslagmetingen per seconde op, geen locatie of route van je trainingen, geen berichten, contacten of andere gegevens uit je telefoon, en geen gegevens over andere mensen.

Er zijn twee soorten koppelingen. Bij WHOOP, Oura en Fitbit geef je toestemming op de site van die leverancier zelf; wij ontvangen daarna een sleutel waarmee onze server periodiek je dagcijfers ophaalt. Die sleutel bewaren wij versleuteld (AES-256-GCM) en hij is uitsluitend geldig voor de gegevens die je hebt goedgekeurd. Bij Apple Health en Google Health Connect gebeurt alles op je telefoon: jij geeft daar per soort gegeven toestemming, de app leest ze uit en stuurt alleen de dagwaarden hierboven naar onze server. In beide gevallen kun je de koppeling in de app verbreken; wij gebruiken de sleutel dan niet meer en verwijderen hem.

De leverancier van je wearable is voor zijn eigen platform zelfstandig verantwoordelijk. Wat die partij met je gegevens doet, staat in zijn eigen privacyverklaring; wij hebben daar geen zeggenschap over.

De app heeft een coach die je vragen over je eigen cijfers in gewone taal beantwoordt. Daarvoor gaat een beperkte samenvatting van jouw gegevens naar het taalmodel van onze leverancier (Anthropic), die daarbij optreedt als verwerker.

Die samenvatting bevat: je voornaam, je doel, je huidige HRI en de trend daarin, je vijf subscores, welke factoren je score helpen en welke hem drukken, de namen en de status van biomarkers die buiten hun bereik liggen, de meest recente waarden van je wearable en de datum van je laatste check-in. Meer niet.

Wat er níet naartoe gaat: je e-mailadres, je adres, je telefoonnummer, je betaalgegevens, je geboortedatum, je vrije notities en je volledige geschiedenis. Op grond van de zakelijke voorwaarden van de gebruikte programmeerinterface worden deze gegevens niet gebruikt om modellen te trainen.

Elk antwoord van de coach gaat door een controle voordat je het ziet: noemt het model een medicijn, een dosering of een diagnose, dan wordt het antwoord vervangen door een bericht dat je naar een arts verwijst. De coach is uitdrukkelijk geen arts en stelt geen diagnose.

Voor de onderbouwing van adviezen controleren wij verwijzingen naar wetenschappelijke publicaties bij PubMed (NCBI). Daarbij gaat alleen het nummer van de publicatie de deur uit — nooit iets over jou.

Werk je met een personal trainer die HormoTize gebruikt, dan kun je hem toegang geven tot jouw gegevens. Dat gebeurt alleen als jij die koppeling zelf bevestigt; wij leggen het moment van je toestemming vast.

Een gekoppelde trainer ziet je scores, je verloop daarin en de biomarkers die buiten hun bereik liggen, plus de notities die jullie in die samenwerking aan elkaar schrijven. Hij ziet niet je betaalgegevens, je adres of je wachtwoord.

Je kunt de koppeling op elk moment verbreken. De trainer verliest dan direct de toegang tot je gegevens.

Wij schakelen andere partijen in om de dienst te kunnen leveren. Met partijen die voor ons verwerken, sluiten wij een verwerkersovereenkomst zoals artikel 28 AVG voorschrijft. Zij mogen je gegevens uitsluitend gebruiken voor het doel waarvoor wij ze aanleveren.

Daarnaast kunnen wij gegevens verstrekken aan een toezichthouder, opsporingsinstantie of rechter wanneer wij daartoe wettelijk verplicht zijn.

Een aantal van de partijen hierboven is gevestigd in de Verenigde Staten of verwerkt gegevens buiten de EER: Stripe, Railway, Expo, Anthropic en de leveranciers van wearables.

Voor die doorgifte zorgen wij voor een passende waarborg in de zin van hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie waar dat geldt (zoals het EU-US Data Privacy Framework voor partijen die daaraan deelnemen), en anders de door de Commissie vastgestelde modelcontractbepalingen, aangevuld met technische maatregelen zoals versleuteling tijdens transport en opslag.

Wil je weten welke waarborg voor een specifieke partij geldt, vraag het ons dan; wij sturen je die informatie.

Wij bewaren gegevens niet langer dan nodig is voor het doel waarvoor wij ze hebben gekregen.

Wij nemen passende technische en organisatorische maatregelen zoals artikel 32 AVG voorschrijft. Concreet, en niet als algemene belofte:

• Al het verkeer tussen je telefoon, je browser en onze server loopt versleuteld over TLS.
• Je wachtwoord slaan wij alleen op als een onomkeerbare hash. Wij kunnen het niet uitlezen en zullen er nooit naar vragen.
• De toegangssleutels van gekoppelde wearables staan versleuteld in de database met AES-256-GCM, onder een sleutel die apart van de database wordt beheerd.
• Elk verzoek aan de server wordt gecontroleerd op een geldige, tijdelijke sessie; iedere gegevensopvraging is gebonden aan de gebruiker die hem doet, zodat niemand bij het account van een ander kan.
• Toegang tot de productieomgeving is beperkt tot wie die nodig heeft, en wordt gelogd.
• Antwoorden van de AI-coach worden gecontroleerd voordat ze je bereiken, zodat er geen medicatie- of diagnoseadvies uitkomt.

De app berekent automatisch je Hormonal Recovery Index, je subscores en je biologische leeftijd per lichaamssysteem, en leidt daaruit adviezen af. Dat is profilering in de zin van de AVG: er wordt een beeld van je gezondheid opgebouwd uit je gegevens.

Het is geen geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen als bedoeld in artikel 22 AVG. Er wordt geen besluit over jou genomen dat je rechtspositie raakt: er wordt niets toegekend of geweigerd, en de uitkomst wordt niet gedeeld met verzekeraars, werkgevers of wie dan ook.

De logica erachter is opzettelijk navolgbaar: de app laat per score zien welke factoren eraan bijdragen en met hoeveel gewicht. Klopt er iets niet in de gegevens waarop een score rust, dan kun je die corrigeren en rekent de app opnieuw.

Onder de AVG heb je de volgende rechten. Je oefent ze uit door ons te mailen, en voor een aantal ervan kun je het zelf sneller in de app doen.

• Inzage: je mag weten welke gegevens wij van je verwerken en daar een kopie van krijgen.
• Rectificatie: kloppen gegevens niet, dan corrigeren wij ze. Je profiel en je check-ins pas je zelf aan in de app.
• Verwijdering: je mag je gegevens laten wissen. In de app kun je je account verwijderen; daarmee gaan je profiel, je uitslagen, je check-ins, je wearable-gegevens en je berekende scores in één keer weg. Wat wij wettelijk moeten bewaren — de factuurgegevens — blijft staan tot die termijn is verstreken.
• Beperking: je mag ons vragen de verwerking tijdelijk stil te leggen, bijvoorbeeld terwijl wij een correctie onderzoeken.
• Bezwaar: tegen verwerkingen die op ons gerechtvaardigd belang rusten, mag je bezwaar maken.
• Overdraagbaarheid: je mag je gegevens in een gangbaar, machineleesbaar formaat ontvangen om ze mee te nemen naar een andere dienst. Vraag het ons en je krijgt een export.
• Intrekken van toestemming: op elk moment, en net zo eenvoudig als het geven ervan.

Wij reageren binnen één maand op je verzoek. Is het verzoek complex, dan mogen wij die termijn met twee maanden verlengen; wij laten je dat dan binnen de eerste maand weten.

Om te voorkomen dat wij de gegevens van de verkeerde persoon verstrekken of wissen, kunnen wij je vragen jezelf te identificeren.

Ontstaat er een inbreuk op de beveiliging waarbij je gegevens betrokken zijn, dan melden wij dat binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat de inbreuk een risico oplevert. Levert de inbreuk een hoog risico op voor jouw rechten en vrijheden, dan informeren wij ook jou, in gewone taal, over wat er gebeurd is en wat je zelf kunt doen.

HormoTize is bedoeld voor volwassenen. Je moet achttien jaar of ouder zijn om een account aan te maken en een pakket af te nemen. Ontdekken wij dat wij gegevens van iemand jonger hebben verwerkt, dan verwijderen wij die.

De website bewaart een klein aantal gegevens in je browser: je sessie, zodat je ingelogd blijft, en je taalkeuze, zodat de site in dezelfde taal terugkomt. In het cookiebeleid staat wat er precies staat, hoe lang, en hoe je het weghaalt.

Verandert de dienst, dan verandert deze verklaring mee. De datum bovenaan zegt wanneer dat voor het laatst gebeurde. Bij een wezenlijke wijziging — een nieuw doel, een nieuwe categorie gegevens of een nieuwe ontvanger — laten wij het je weten via de app of per e-mail voordat de wijziging ingaat.

Heb je een vraag over deze verklaring of over wat wij met je gegevens doen, mail dan naar [contactadres]. Wij antwoorden je zelf; daar hoeft geen formulier tussen.

Ben je het niet eens met hoe wij met je gegevens omgaan, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Wij horen het liever eerst zelf, zodat wij het kunnen oplossen — maar die weg staat altijd voor je open.