Verwerkersovereenkomst (Data Processing Agreement)

Tussen Blooom en de Verwerkingsverantwoordelijke

Versie: 1.4 Datum: 12 oktober 2026

---

Partijen

Verwerker: Blooom, gevestigd te Dorpsweg 15, 4223 NA Hoornaar, ingeschreven bij de Kamer van Koophandel onder nummer 11052379, rechtsgeldig vertegenwoordigd door J. E. Rol, hierna te noemen: "Blooom".

Verwerkingsverantwoordelijke: De natuurlijke persoon of rechtspersoon die gebruik maakt van het Blooom-platform op basis van een geldige gebruiksovereenkomst, hierna te noemen: "Coach" of "Verwerkingsverantwoordelijke".

Blooom en de Coach worden hierna gezamenlijk aangeduid als "Partijen" en ieder afzonderlijk als "Partij".

---

Overwegingen

1. Partijen hebben een overeenkomst gesloten waarbij Blooom een SaaS-platform ter beschikking stelt dat de Coach ondersteunt bij de uitvoering van zijn of haar coachingspraktijk ("Hoofdovereenkomst").
2. Bij de uitvoering van de Hoofdovereenkomst verwerkt Blooom persoonsgegevens namens de Coach.
3. De Coach is ten aanzien van deze persoonsgegevens verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG; Blooom is verwerker in de zin van artikel 4 lid 8 AVG.
4. Partijen wensen, in overeenstemming met artikel 28 lid 3 AVG, schriftelijk vast te leggen op welke wijze Blooom de Persoonsgegevens verwerkt.

---

Artikel 1 — Definities

In deze Verwerkersovereenkomst ("Overeenkomst") hebben de onderstaande begrippen de volgende betekenis:

1. AVG: Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (Algemene Verordening Gegevensbescherming).
2. Betrokkene: de geïdentificeerde of identificeerbare natuurlijke persoon op wie Persoonsgegevens betrekking hebben, in dit geval met name de cliënten van de Coach.
3. Bijzondere Persoonsgegevens: persoonsgegevens als bedoeld in artikel 9 AVG, waaronder gezondheidsgegevens.
4. Datalek: een inbreuk in verband met persoonsgegevens als bedoeld in artikel 4 lid 12 AVG.
5. Diensten: de diensten die Blooom levert onder de Hoofdovereenkomst.
6. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die door Blooom namens de Coach wordt verwerkt, zoals gespecificeerd in Annex A.
7. Subverwerker: een door Blooom ingeschakelde derde partij die Persoonsgegevens verwerkt ten behoeve van de uitvoering van de Diensten.
8. Verwerken / Verwerking: een verwerking als bedoeld in artikel 4 lid 2 AVG.

Overige begrippen in deze Overeenkomst hebben de betekenis die daaraan in de AVG wordt gegeven.

---

Artikel 2 — Onderwerp, aard, doel en duur van de verwerking

1. Blooom verwerkt Persoonsgegevens uitsluitend ten behoeve van de levering van de Diensten aan de Coach. De aard en het doel van de verwerking, de soorten Persoonsgegevens en de categorieën van Betrokkenen zijn nader beschreven in Annex A.
2. Deze Overeenkomst gaat in op de datum waarop de Coach de Hoofdovereenkomst aanvaardt en blijft van kracht zolang Blooom Persoonsgegevens verwerkt namens de Coach.
3. Deze Overeenkomst eindigt van rechtswege bij beëindiging van de Hoofdovereenkomst, onverminderd de verplichtingen die naar hun aard bestemd zijn om na beëindiging voort te duren (zoals geheimhouding en verwijdering van gegevens).

---

Artikel 3 — Rechten en plichten van de Coach

1. De Coach is verantwoordelijk voor het bepalen van de doeleinden en middelen van de verwerking van Persoonsgegevens die via het Blooom-platform plaatsvinden.
2. De Coach staat er jegens Blooom voor in dat: a. de verwerking van Persoonsgegevens een rechtmatige grondslag heeft in de zin van artikel 6 AVG en, waar van toepassing, artikel 9 AVG; b. de Coach zijn cliënten op juiste en volledige wijze informeert over de verwerking van hun Persoonsgegevens, waaronder het gebruik van Blooom als verwerker; c. de Coach de vereiste toestemming verkrijgt van cliënten voor zover noodzakelijk, in het bijzonder voor de verwerking van Bijzondere Persoonsgegevens zoals gezondheidsgegevens; d. de inhoud en het gebruik van Persoonsgegevens op het Blooom-platform rechtmatig is en geen inbreuk maakt op rechten van derden.
3. De Coach vrijwaart Blooom voor aanspraken van derden die voortvloeien uit het niet-nakomen door de Coach van de verplichtingen onder dit artikel.

---

Artikel 4 — Verwerking uitsluitend op basis van instructies

1. Blooom verwerkt de Persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Coach, tenzij een op Blooom toepasselijke Unierechtelijke of lidstaatrechtelijke bepaling Blooom tot verwerking verplicht. In dat laatste geval stelt Blooom de Coach voorafgaand aan de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
2. De Hoofdovereenkomst, deze Overeenkomst (inclusief Annex A), alsmede de instellingen en handelingen die de Coach via het Blooom-platform verricht, worden beschouwd als de gedocumenteerde instructies van de Coach aan Blooom.
3. Blooom stelt de Coach onverwijld in kennis indien een instructie van de Coach naar het oordeel van Blooom inbreuk maakt op de AVG of op andere Unierechtelijke of lidstaatrechtelijke bepalingen inzake gegevensbescherming.
4. Het is Blooom niet toegestaan Persoonsgegevens voor eigen doeleinden te verwerken, behoudens voor zover dit noodzakelijk is voor het beheer, de beveiliging, de verbetering en de goede werking van het platform, en Blooom in dat geval optreedt als zelfstandig verwerkingsverantwoordelijke binnen de grenzen van de AVG.

---

Artikel 5 — Vertrouwelijkheid

1. Blooom waarborgt dat personen die onder haar gezag Persoonsgegevens verwerken zich hebben verbonden tot geheimhouding, hetzij door een contractuele geheimhoudingsplicht, hetzij door een wettelijke geheimhoudingsplicht.
2. Deze geheimhoudingsplicht geldt ook na beëindiging van de arbeidsrelatie of opdracht tussen Blooom en de betreffende persoon.
3. Blooom beperkt de toegang tot Persoonsgegevens tot personeel dat deze toegang nodig heeft voor de uitvoering van de Diensten ("need-to-know"-principe).

---

Artikel 6 — Beveiliging

1. Blooom treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking, en de risico's voor de rechten en vrijheden van Betrokkenen, conform artikel 32 AVG.
2. De maatregelen omvatten in elk geval: a. pseudonimisering en versleuteling van Persoonsgegevens waar passend; b. het vermogen om de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen en -diensten te waarborgen; c. het vermogen om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot Persoonsgegevens tijdig te herstellen; d. een procedure voor het op gezette tijdstippen testen, beoordelen en evalueren van de doeltreffendheid van de beveiligingsmaatregelen.
3. Een nadere beschrijving van de getroffen maatregelen is opgenomen in Annex B.
4. Partijen erkennen dat passende beveiligingsmaatregelen zich kunnen ontwikkelen en dat Blooom gerechtigd is de maatregelen aan te passen, mits het beveiligingsniveau gelijkwaardig of hoger blijft.

---

Artikel 7 — Subverwerkers

1. De Coach verleent Blooom hierbij algemene toestemming voor het inschakelen van Subverwerkers voor de uitvoering van de Diensten. Een actueel overzicht van ingeschakelde Subverwerkers is opgenomen in Annex C.
2. Blooom legt aan iedere Subverwerker bij schriftelijke overeenkomst verplichtingen op die ten minste gelijkwaardig zijn aan de verplichtingen die voor Blooom uit deze Overeenkomst voortvloeien, in het bijzonder ten aanzien van passende technische en organisatorische maatregelen.
3. Blooom informeert de Coach voorafgaand aan iedere voorgenomen wijziging inzake de toevoeging of vervanging van Subverwerkers, met een redelijke termijn (doorgaans ten minste 30 dagen) waarbinnen de Coach bezwaar kan maken.
4. Indien de Coach gegronde bezwaren heeft tegen de wijziging, zullen Partijen in redelijkheid overleg voeren om tot een oplossing te komen. Indien geen oplossing wordt bereikt, is de Coach gerechtigd de Hoofdovereenkomst op te zeggen zonder dat Blooom tot vergoeding gehouden is.
5. Blooom blijft volledig aansprakelijk jegens de Coach voor het handelen en nalaten van Subverwerkers als ware het haar eigen handelen.
6. Bij doorgifte van Persoonsgegevens naar landen buiten de Europese Economische Ruimte ("EER") zorgt Blooom voor passende waarborgen in de zin van artikel 46 AVG, waaronder de Standard Contractual Clauses ("SCC's") van de Europese Commissie en, waar nodig, aanvullende maatregelen in lijn met de Schrems II-uitspraak.

---

Artikel 8 — Bijstand bij rechten van Betrokkenen

1. Blooom biedt, rekening houdend met de aard van de verwerking, passende technische en organisatorische maatregelen om de Coach in staat te stellen te voldoen aan zijn plicht om verzoeken van Betrokkenen tot uitoefening van hun rechten te beantwoorden, waaronder: a. recht op inzage (artikel 15 AVG); b. recht op rectificatie (artikel 16 AVG); c. recht op wissing (artikel 17 AVG); d. recht op beperking van de verwerking (artikel 18 AVG); e. recht op dataportabiliteit (artikel 20 AVG); f. recht van bezwaar (artikel 21 AVG).
2. Het Blooom-platform biedt de Coach zelfbedieningsfunctionaliteit waarmee de Coach deze rechten grotendeels zelfstandig kan faciliteren, waaronder de mogelijkheid tot inzage, bewerking, export en verwijdering van cliëntgegevens.
3. Indien een Betrokkene zich rechtstreeks tot Blooom wendt, zal Blooom de Betrokkene verwijzen naar de Coach en de Coach hierover onverwijld informeren, tenzij anders vereist door wet of rechterlijke uitspraak.

---

Artikel 9 — Bijstand bij overige verplichtingen

Blooom verleent de Coach, rekening houdend met de aard van de verwerking en de informatie waarover Blooom beschikt, redelijke bijstand bij het nakomen van zijn verplichtingen op grond van de artikelen 32 tot en met 36 AVG, waaronder:

1. het treffen van passende beveiligingsmaatregelen;
2. het melden van Datalekken aan de Autoriteit Persoonsgegevens en — waar vereist — aan Betrokkenen;
3. het uitvoeren van een gegevensbeschermingseffectbeoordeling ("DPIA");
4. voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

---

Artikel 10 — Datalekken

1. Blooom meldt een Datalek dat betrekking heeft op Persoonsgegevens die zij namens de Coach verwerkt zonder onnodige vertraging aan de Coach: in beginsel binnen 24 uur en uiterlijk binnen 48 uur na ontdekking.
2. De melding bevat ten minste, voor zover op dat moment bij Blooom bekend: a. een beschrijving van de aard van het Datalek, waar mogelijk met vermelding van de categorieën en het aantal betrokken Persoonsgegevens en Betrokkenen; b. de naam en contactgegevens van een contactpersoon bij Blooom; c. een beschrijving van de waarschijnlijke gevolgen van het Datalek; d. een beschrijving van de genomen en voorgenomen maatregelen om het Datalek aan te pakken en de nadelige gevolgen te beperken.
3. Indien niet alle informatie tegelijk verstrekt kan worden, verstrekt Blooom deze zo snel mogelijk daarna in aanvullende rapportages.
4. De Coach is zelf verantwoordelijk voor het — indien vereist — melden van het Datalek aan de Autoriteit Persoonsgegevens en aan Betrokkenen.
5. Blooom documenteert alle Datalekken, inclusief de feiten, gevolgen en genomen corrigerende maatregelen.

---

Artikel 11 — Einde van de verwerking

1. Bij beëindiging van de Hoofdovereenkomst, om welke reden dan ook, stelt Blooom de Coach gedurende een redelijke termijn — in beginsel 30 dagen — in staat de Persoonsgegevens via de daarvoor aanwezige exportfunctionaliteit te exporteren.
2. Na afloop van deze termijn verwijdert Blooom alle Persoonsgegevens die zij namens de Coach verwerkt, tenzij opslag van Persoonsgegevens op grond van Unierechtelijke of lidstaatrechtelijke bepalingen is vereist.
3. Back-ups worden verwijderd conform de reguliere back-uprotatie van Blooom, met een maximale termijn van 90 dagen na definitieve verwijdering van de actieve data.
4. Op verzoek van de Coach bevestigt Blooom schriftelijk dat de verwijdering heeft plaatsgevonden.

---

Artikel 12 — Audit

1. Blooom stelt de Coach alle informatie ter beschikking die nodig is om aan te tonen dat wordt voldaan aan de verplichtingen uit artikel 28 AVG en deze Overeenkomst.
2. Blooom voldoet aan haar auditverplichting primair door het ter beschikking stellen van: a. beschrijvingen van technische en organisatorische maatregelen (Annex B); b. relevante certificeringen of auditrapporten waarover Blooom beschikt (zoals SOC 2, ISO 27001 of vergelijkbaar), indien aanwezig; c. ingevulde leveranciers-vragenlijsten op redelijke verzoeken van de Coach.
3. Indien de onder lid 2 genoemde middelen naar het redelijk oordeel van de Coach onvoldoende zijn, of indien er een concrete aanleiding is om aan de naleving te twijfelen (bijvoorbeeld na een Datalek of een aanwijzing van een toezichthouder), is de Coach gerechtigd een audit uit te voeren of te laten uitvoeren door een onafhankelijke, gecertificeerde derde.
4. Een dergelijke audit wordt ten minste 30 dagen van tevoren aangekondigd, vindt plaats tijdens reguliere kantooruren, verstoort de bedrijfsvoering van Blooom zo min mogelijk, en de auditor tekent een geheimhoudingsverklaring.
5. De kosten van een audit komen voor rekening van de Coach, tenzij uit de audit blijkt dat Blooom in materiële mate tekortschiet in haar verplichtingen; in dat geval draagt Blooom de redelijke kosten.
6. Ten hoogste één audit per kalenderjaar is toegestaan, behoudens bij gegronde aanleiding als bedoeld in lid 3.

---

Artikel 13 — Aansprakelijkheid

1. De aansprakelijkheidsregeling uit de Hoofdovereenkomst is onverkort van toepassing op deze Overeenkomst, tenzij dwingend recht anders bepaalt.
2. Iedere Partij is zelfstandig aansprakelijk voor door haar of haar Subverwerkers geleden of veroorzaakte schade in het kader van deze Overeenkomst, met inachtneming van artikel 82 AVG.
3. Bestuurlijke boetes die door de Autoriteit Persoonsgegevens of een andere toezichthouder aan een Partij worden opgelegd, komen voor rekening van de Partij aan wie de betreffende tekortkoming is toe te rekenen.
4. Partijen vrijwaren elkaar voor aanspraken van derden voor zover deze aanspraken hun oorsprong vinden in een toerekenbare tekortkoming van de vrijwarende Partij onder deze Overeenkomst.

---

Artikel 14 — Wijzigingen

1. Blooom is gerechtigd deze Overeenkomst eenzijdig te wijzigen indien dit noodzakelijk is op grond van gewijzigde wet- en regelgeving, richtsnoeren van toezichthouders of uitspraken van rechterlijke instanties.
2. Overige wijzigingen behoeven de instemming van beide Partijen.
3. Blooom informeert de Coach ten minste 30 dagen voorafgaand aan een wijziging. Indien de Coach zich niet met de wijziging kan verenigen, is de Coach gerechtigd de Hoofdovereenkomst op te zeggen tegen de datum van inwerkingtreding van de wijziging.

---

Artikel 15 — Toepasselijk recht en geschillen

1. Op deze Overeenkomst is uitsluitend Nederlands recht van toepassing.
2. Alle geschillen die uit deze Overeenkomst voortvloeien of daarmee verband houden, worden bij uitsluiting voorgelegd aan de bevoegde rechter te Amsterdam, tenzij dwingend recht anders voorschrijft.

---

Artikel 16 — Slotbepalingen

1. In geval van strijdigheid tussen deze Overeenkomst en de Hoofdovereenkomst, prevaleert deze Overeenkomst voor zover het de verwerking van Persoonsgegevens betreft.
2. Indien één of meer bepalingen van deze Overeenkomst nietig zijn of vernietigd worden, blijven de overige bepalingen onverminderd van kracht. Partijen zullen de nietige of vernietigde bepalingen vervangen door bepalingen die het doel en de strekking van de oorspronkelijke bepalingen zoveel mogelijk benaderen.
3. Deze Overeenkomst vormt, samen met de Hoofdovereenkomst en haar annexen, de volledige overeenkomst tussen Partijen met betrekking tot de verwerking van Persoonsgegevens.

---

Annex A — Beschrijving van de verwerking

A.1 Onderwerp en aard van de verwerking

Blooom biedt een SaaS-platform voor 1-op-1 coaches (life-coaching, business-coaching en mental-health coaching) waarmee de Coach zijn of haar coachingspraktijk kan beheren. De verwerking heeft betrekking op het hosten, opslaan, verwerken, analyseren en beschikbaar stellen van gegevens die de Coach en diens cliënten in het platform invoeren of via geïntegreerde diensten uitwisselen.

A.2 Doel van de verwerking

De verwerking heeft tot doel de Coach in staat te stellen gebruik te maken van de volgende functionaliteiten:

• Contactbeheer van cliënten
• Planning en beheer van coachingssessies
• Vastleggen van sessienotities
• Upload en transcriptie van audio-opnames van sessies
• Intake-formulieren en vragenlijsten
• Opstellen en beheren van contracten
• Facturatie en betalingsverwerking
• Transactionele e-mailcommunicatie
• Agenda-koppeling met externe agenda-diensten
• Cliënt-portaal voor communicatie en toegang tot documenten
• Check-ins, reflecties en journaling door cliënten
• Doelen en habit-tracking
• AI-ondersteunde analyse van transcripten ten behoeve van de Coach

A.3 Categorieën van Betrokkenen

• Cliënten van de Coach
• (Indien van toepassing) medewerkers of partners van de Coach die toegang hebben tot het platform

A.4 Soorten Persoonsgegevens

Gewone Persoonsgegevens (artikel 6 AVG):

• Identiteits- en contactgegevens: naam, e-mailadres, telefoonnummer, adresgegevens
• Accountgegevens: inloggegevens, gebruikersvoorkeuren
• Financiële gegevens: factuurgegevens, betaalstatussen, transactiegegevens
• Communicatiegegevens: e-mailcorrespondentie via het platform, berichten in het cliënt-portaal
• Agendagegevens: sessietijden, beschikbaarheid, locaties
• Gebruiksgegevens: IP-adres, loggegevens, activiteit binnen het platform

Bijzondere Persoonsgegevens (artikel 9 AVG) — afhankelijk van coachingstype:

• Gezondheidsgegevens zoals opgenomen in sessienotities
• Gezondheidsgegevens vervat in audio-opnames en transcripten van sessies
• Gezondheidsgegevens in intake-antwoorden, journals, reflecties en check-ins
• Gegevens over psychisch welzijn, stressniveaus, mentale gezondheid en persoonlijke ontwikkeling

De Coach is ervan op de hoogte dat de verwerking van Bijzondere Persoonsgegevens bijzondere waarborgen vereist en draagt er zorg voor dat er een geldige grondslag bestaat in de zin van artikel 9 lid 2 AVG (doorgaans: uitdrukkelijke toestemming van de cliënt of, waar van toepassing, uitvoering van een overeenkomst tot geneeskundige behandeling).

A.5 Bewaartermijnen

• Actieve gegevens: voor de duur van de Hoofdovereenkomst
• Na beëindiging: exportmogelijkheid gedurende 30 dagen; daarna verwijdering
• Back-ups: maximaal 90 dagen na definitieve verwijdering
• Sessie-opnames: audio en volledig transcript worden na 30 dagen automatisch verwijderd; de samenvatting blijft bestaan tot de Coach deze verwijdert. Mislukt de transcriptie of de AI-analyse, dan blijven de audio of het transcript bewaard tot de Coach opnieuw verwerkt of de opname verwijdert
• Spraakberichten in de chat: de audio wordt na 30 dagen automatisch verwijderd; de uitgeschreven tekst blijft onderdeel van de gespreksgeschiedenis
• Verwijdering van een cliënt door de Coach: het dossier, de sessies, berichten en opnames worden direct verwijderd; facturen en contracten blijven vanwege de wettelijke bewaarplicht bewaard, met de gegevens die erin staan, los van het cliëntdossier
• E-maillog: e-mailadres, naam, onderwerp en inhoud van verzonden e-mails worden bewaard tot 12 maanden na verzending en daarna gewist. Wat overblijft (tijdstip, soort e-mail, verzendstatus en technische kenmerken) dient alleen om te voorkomen dat dezelfde e-mail opnieuw wordt verstuurd. Dit geldt ook na verwijdering van de cliënt
• Beveiligings- en toegangslogs: 90 dagen
• Wettelijke bewaarplichten (zoals fiscale bewaartermijnen voor facturen): conform toepasselijke wetgeving

---

Annex B — Technische en organisatorische beveiligingsmaatregelen

Blooom treft de volgende technische en organisatorische maatregelen conform artikel 32 AVG. Deze lijst is niet uitputtend en wordt periodiek geactualiseerd.

B.1 Toegangsbeveiliging

• Wachtwoordbeleid met minimale complexiteitseisen; wachtwoorden worden uitsluitend gehasht opgeslagen
• Strikte scheiding tussen Coaches op databaseniveau (Row Level Security): een Coach kan technisch alleen bij de eigen gegevens
• Cliënten krijgen toegang tot hun portaal via een persoonlijke toegangslink, die na 30 dagen verloopt, of een eenmalige inlogcode
• Opnames, bijlagen en gedeelde documenten zijn uitsluitend bereikbaar via tijdelijke, ondertekende links, na controle van eigenaarschap of expliciete deling
• Toegang door Blooom-support tot een account uitsluitend na expliciete toestemming van de Coach, tijdelijk, met vastlegging van begin en einde van elke sessie
• Need-to-know-principe voor medewerkers van Blooom

B.2 Versleuteling

• Versleuteling van Persoonsgegevens tijdens transport via TLS 1.2 of hoger
• Versleuteling van Persoonsgegevens in rust (at rest) op database- en storageniveau
• Versleutelde opslag van audio-opnames en transcripten
• Veilige sleutelbeheerpraktijken bij de infrastructuurleveranciers

B.3 Netwerk- en infrastructuurbeveiliging

• Hosting bij gecertificeerde Europese en internationale cloudproviders (zie Annex C)
• Firewalls en netwerksegmentatie
• Monitoring van infrastructuur en logging van beveiligingsrelevante events
• DDoS-bescherming via de hostingpartner

B.4 Applicatiebeveiliging

• Secure development-praktijken
• Periodieke afhankelijkhedencontrole en patching
• Bescherming tegen bekende webapplicatiekwetsbaarheden (OWASP Top 10)
• Code review-processen voor wijzigingen in productiecode

B.5 Beschikbaarheid en herstel

• Dagelijkse geautomatiseerde, versleutelde back-ups bij de databaseleverancier (zie Annex C)
• Gedocumenteerd herstelproces bij calamiteiten

B.6 Organisatorische maatregelen

• Geheimhoudingsverklaringen voor medewerkers en Subverwerkers
• Bewustwordingstraining voor personeel met toegang tot Persoonsgegevens
• Incident-response-procedure voor Datalekken
• Datalek-register
• Register van verwerkingsactiviteiten
• Periodieke evaluatie en bijstelling van beveiligingsmaatregelen

B.7 Specifieke maatregelen voor Bijzondere Persoonsgegevens

Gelet op de aanwezigheid van gezondheidsgegevens treft Blooom aanvullende waarborgen:

• Strikte toegangsbeperking tot audio-opnames, transcripten en sessienotities
• Versleuteling van transcriptie-pijplijnen
• Een opname wordt alleen verwerkt nadat de Coach heeft bevestigd dat de cliënt toestemming gaf; die bevestiging wordt vastgelegd met tijdstip
• Transcriptie en AI-analyse uitsluitend binnen de EU (AssemblyAI EU-endpoint)
• De Coach kan automatische AI-verwerking uitschakelen voor de hele praktijk, en alle AI-verwerking per cliënt
• De transcriptiedienst gebruikt audio en transcripten niet voor het trainen van AI-modellen (model-training uitgeschakeld)
• Het transcript wordt direct na verwerking bij de transcriptiedienst verwijderd; Blooom bewaart uitsluitend de eigen kopie (aanvullend geldt bij de transcriptiedienst een bewaartermijn van maximaal 1 dag)

---

Annex C — Overzicht Subverwerkers

Blooom maakt gebruik van de volgende Subverwerkers voor de uitvoering van de Diensten. Dit overzicht wordt actueel gehouden en is ook raadpleegbaar via het Blooom-platform of op verzoek bij Blooom.

Toelichting:

• De Calendar-integraties (Google / Microsoft) worden uitsluitend geactiveerd indien de Coach daar zelf voor kiest en de verbinding autoriseert.
• Xipler is een Nederlandse leverancier van transactionele e-mail die zelf gebruik maakt van Amazon Web Services (AWS) voor de feitelijke verzending. Blooom heeft een verwerkersovereenkomst met Xipler; Xipler heeft op haar beurt passende afspraken met AWS.
• Voor alle Subverwerkers buiten de EER zijn de Standard Contractual Clauses (SCC's) van de Europese Commissie van toepassing. Waar nodig treft Blooom aanvullende maatregelen in lijn met de richtsnoeren van de European Data Protection Board (EDPB) en de Schrems II-uitspraak.
• Blooom informeert de Coach ten minste 30 dagen voorafgaand aan iedere voorgenomen wijziging van Subverwerkers, overeenkomstig artikel 7 van deze Overeenkomst.

---

Einde van de Verwerkersovereenkomst, versie 1.4.