Privacyverklaring

The Shift Concept hecht waarde aan je privacy. In deze verklaring lees je welke persoonsgegevens we verzamelen, waarom we dat doen, hoe lang we ze bewaren en welke rechten je hebt. We gaan zorgvuldig met je gegevens om en houden ons aan de Algemene Verordening Gegevensbescherming (AVG).

Wie zijn wij?

The Shift Concept is verwerkingsverantwoordelijke voor de verwerking van je persoonsgegevens.

• The Shift Concept
• KvK-nummer: 42038996
• E-mail: info@theshiftconcept.nl

Welke gegevens verzamelen we?

We verzamelen alleen gegevens die je zelf aan ons verstrekt. Dat gebeurt op twee momenten.

Als je een afspraak of contact aanvraagt

Via het boekingsformulier vragen we je naam en e-mailadres, en optioneel je telefoonnummer, organisatie, je voorkeur voor datum en dagdeel, en een eventueel bericht. We gebruiken deze gegevens om contact met je op te nemen en je afspraak te plannen.

Als je de zelfscan invult

De zelfscan bestaat uit vragen over slaap, ademhaling, voeding, beweging, immuunsysteem en stress. Je antwoorden zeggen iets over je gezondheid. Dat zijn onder de AVG bijzondere persoonsgegevens (artikel 9): de zwaarst beschermde categorie. Daarom gelden hier strengere regels dan voor gewone contactgegevens.

We slaan je antwoorden alleen op als je daar vooraf uitdrukkelijk toestemming voor geeft, via het vinkje bij de vragenlijst. Dat vinkje staat standaard uit. Zet je het niet aan, dan verlaat je antwoorden je browser niet en wordt er niets bewaard — je krijgt je uitslag dan gewoon te zien. Toestemming die je je uitslag kost, is namelijk geen vrije toestemming.

Geef je wel toestemming, dan leggen we ook het moment van die toestemming vast. Dat doen we zodat we kunnen aantonen dat er toestemming was, en zodat we weten welke gegevens we moeten wissen als je die toestemming intrekt.

De zelfscan is anoniem: we weten niet wie je bent, tenzij je aan het einde zelf je naam en contactgegevens achterlaat omdat je je uitslag wilt bespreken. Doe je dat niet, dan zijn de scores niet aan jou te herleiden.

Gebruiken we kunstmatige intelligentie?

Nee. Op deze website wordt geen kunstmatige intelligentie gebruikt — niet in de zelfscan, en nergens anders.

Je uitslag komt tot stand via een vaste rekenregel die wij zelf hebben opgesteld: per domein berekenen we het gemiddelde van jouw antwoorden, en het domein met de laagste score wordt aangemerkt als je aandachtspunt. Dezelfde antwoorden geven altijd dezelfde uitslag. Er zit geen model in dat leert, voorspelt of profielen opbouwt.

Er is dan ook geen sprake van geautomatiseerde besluitvorming of profilering zoals bedoeld in artikel 22 AVG. De zelfscan neemt geen enkel besluit over je: het is een gespreksstart, en een mens bespreekt de uitslag met je.

Omdat er geen AI-systeem in het spel is, is de Europese AI-verordening (AI Act) niet van toepassing op deze website. Mochten we ooit wél AI inzetten, dan melden we dat hier vooraf en leggen we uit wat het doet.

Waarom verwerken we je gegevens?

• Om contact met je op te nemen naar aanleiding van je aanvraag.
• Om je inzicht te geven in je zelfscan en dit desgewenst met je te bespreken.
• Om onze begeleiding en dienstverlening uit te voeren.

De grondslagen daarvoor zijn:

• Je aanvraag via het boekingsformulier — je toestemming, die je geeft door het formulier bewust in te vullen en te versturen (artikel 6 lid 1 sub a AVG). Gaan we een traject met je aan, dan is de grondslag de uitvoering van de overeenkomst (sub b).
• Je zelfscan-antwoorden — je uitdrukkelijke toestemming via het aparte vinkje (artikel 9 lid 2 sub a AVG). Omdat het om gezondheidsgegevens gaat, volstaat "gewone" toestemming hier niet: die moet apart, actief en ondubbelzinnig worden gegeven. Daarom is het een los vinkje dat standaard uit staat.

Met wie delen we je gegevens?

We verkopen je gegevens nooit. We delen ze alleen met partijen die ons helpen onze dienst te leveren, en alleen voor zover dat nodig is:

• Supabase — voor het beveiligd opslaan van formulier- en zelfscangegevens in onze database. De database staat in een datacentrum binnen de Europese Unie (regio Ierland). Je gegevens verlaten de EU dus niet.
• Netlify — voor het hosten van deze website.
• Google Fonts — de lettertypen op deze site worden geladen via Google. Daarbij wordt je IP-adres aan Google doorgegeven, een partij buiten de EU. We zijn bezig dit op te lossen door de lettertypen vanaf onze eigen server te serveren, zodat deze doorgifte helemaal vervalt.

Hoe lang bewaren we je gegevens?

We bewaren je gegevens niet langer dan nodig is voor de doelen hierboven. Concreet:

• Aanvragen via het boekingsformulier die niet tot een traject leiden: tot 12 maanden na je aanvraag.
• Contactgegevens van klanten: zolang het traject loopt en daarna zolang dat wettelijk moet.
• Zelfscangegevens waarbij je geen contactgegevens hebt achtergelaten: tot 24 maanden, uitsluitend om de zelfscan te verbeteren.
• Zelfscangegevens met contactgegevens: tot 12 maanden na het laatste contact, tenzij er een traject uit voortkomt.

Je kunt altijd zelf om verwijdering vragen, en je kunt je toestemming op elk moment intrekken. Trek je je toestemming voor de zelfscan in, dan verwijderen we die gegevens. Het intrekken heeft geen gevolgen voor wat er daarvóór al rechtmatig is gebeurd.

Hoe beveiligen we je gegevens?

We nemen passende technische en organisatorische maatregelen om misbruik en ongeoorloofde toegang te voorkomen (artikel 32 AVG). Omdat het om gezondheidsgegevens gaat, hanteren we daarbij de beveiligingsprincipes uit NEN 7510 en ISO 27002 als leidraad. We zijn niet NEN 7510-gecertificeerd; we gebruiken de norm als richtsnoer voor onze maatregelen. Concreet hebben we het volgende geregeld:

• Versleuteld transport. Al het verkeer met deze website en met onze database loopt uitsluitend over een versleutelde verbinding (https/TLS), afgedwongen door de server.
• Versleutelde opslag. De database is versleuteld op schijf en wordt door onze leverancier automatisch geback-upt.
• Toegangsbeperking op databaseniveau. De database staat zo ingesteld dat een bezoeker van de website gegevens alleen kan toevoegen — nooit opvragen, wijzigen of verwijderen. Ook niet die van zichzelf, en ook niet die van een ander. Alleen een ingelogde beheerder kan gegevens inzien.
• Persoonlijke toegang. De beheeromgeving is afgeschermd met een persoonlijk account met wachtwoord. De beheeromgeving is uitgesloten van zoekmachines en wordt niet in caches bewaard.
• Dataminimalisatie. We vragen alleen wat we nodig hebben. Geen toestemming voor de zelfscan betekent dat er niets wordt vastgelegd.
• Afgeschermde browseromgeving. De website mag alleen code en lettertypen laden van een vooraf vastgestelde lijst van bronnen, mag niet in een frame van een andere partij worden getoond, en heeft geen toegang tot camera, microfoon of locatie.
• Vastgelegde toestemming. Bij zelfscangegevens registreren we wanneer toestemming is gegeven, zodat dit aantoonbaar is.

Vermoed je een kwetsbaarheid of een datalek? Meld het via info@theshiftconcept.nl, dan pakken we het zo snel mogelijk op.

Cookies

Deze website gebruikt geen tracking- of analysecookies en volgt je surfgedrag niet. Er wordt alleen technisch noodzakelijke opslag gebruikt om de beveiligde beheeromgeving te laten werken; die is niet voor bezoekers van de website.

Welke rechten heb je?

Je hebt het recht om je gegevens in te zien, te laten corrigeren of te laten verwijderen. Ook kun je bezwaar maken tegen de verwerking, de verwerking laten beperken, en je gegevens laten overdragen. Stuur daarvoor een e-mail naar info@theshiftconcept.nl. We reageren zo snel mogelijk, uiterlijk binnen een maand.

Ben je het niet eens met hoe we met je gegevens omgaan, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Wijzigingen

We kunnen deze privacyverklaring van tijd tot tijd aanpassen. De meest actuele versie staat altijd op deze pagina, met de datum van de laatste wijziging bovenaan.