Privacyverklaring

1. Wie zijn wij en welke rol hebben wij?

Blooom is een softwareplatform dat coaches gebruiken om hun cliëntrelaties, sessies, intake, contracten, facturatie en communicatie te beheren. Voor de gegevens van cliënten van een coach treedt Blooom op als verwerker; de coach is de verwerkingsverantwoordelijke.

Voor onze eigen klantenadministratie (de coaches zelf), website en marketing zijn wij wel zelf verwerkingsverantwoordelijke. Deze privacyverklaring beschrijft beide rollen.

2. Welke gegevens verwerken wij?

Afhankelijk van wat de coach in het systeem invoert, kunnen de volgende categorieën persoonsgegevens worden verwerkt:

• Identiteits- en contactgegevens: voor- en achternaam, e-mailadres, telefoonnummer, adres
• Account- en authenticatiegegevens: versleutelde wachtwoorden, sessietokens, IP-adres bij inloggen
• Coachinggegevens: sessienotities, doelen, voortgang, taken, intake-antwoorden, journaling, reflecties, check-ins, habits
• Audio en transcripten: door de coach geüploade sessie-opnames, spraakberichten die de coach of cliënt in de chat verstuurt, en de daaruit voortkomende transcripten en AI-samenvattingen
• Push-notificatie-aanmeldingen: wanneer een gebruiker push-notificaties activeert, slaan we het door de browser gegenereerde subscription-endpoint en de encryptie-sleutels op om versleutelde meldingen te kunnen versturen
• Financiële gegevens: facturen, betalingen, IBAN, KVK- en BTW-nummers
• Technische gegevens: IP-adres, browsertype, gebruikslogs voor beveiliging en foutopsporing
• Bijzondere persoonsgegevens (artikel 9 AVG): sessienotities, intake-antwoorden, audio en transcripten kunnen gezondheidsgegevens bevatten. De coach is verantwoordelijk voor het halen van uitdrukkelijke toestemming van de cliënt voor deze verwerking.

3. Waarvoor gebruiken wij deze gegevens?

• Het leveren van het Blooom platform aan coaches en hun cliënten
• Het verwerken van betalingen en het opstellen van facturen
• Het versturen van transactionele e-mail (uitnodigingen, herinneringen, bevestigingen)
• Het automatisch uitschrijven van sessie-opnames en spraakberichten naar tekst (transcriptie via AssemblyAI, uitsluitend op hun EU-endpoint) en het maken van een korte AI-samenvatting, zodat coach en cliënt de inhoud snel kunnen terugzoeken. De transcriptiedienst gebruikt deze gegevens niet om AI-modellen te trainen, en het transcript wordt direct na verwerking bij de transcriptiedienst verwijderd — wij bewaren uitsluitend de kopie in onze eigen EU-database. De coach kan automatische AI-verwerking uitzetten voor de hele praktijk, en alle AI-verwerking per cliënt.
• Het versturen van push-notificaties naar je apparaat bij nieuwe chat-berichten (alleen als je deze functie zelf hebt ingeschakeld)
• Het registreren van interesse via publieke kennismakings-, checkout- en contactformulieren in de lead-pipeline van de coach, zodat de coach kan opvolgen
• Beveiliging, foutopsporing en fraudedetectie
• Het voldoen aan wettelijke verplichtingen

3a. Specifiek: gegevens van bezoekers van publieke pagina's

Wanneer je via een coach-landingspagina van Blooom een actie onderneemt — een kennismakingsgesprek plant op /coach/[slug]/kennismaking, een traject in de checkout zet, of een bericht achterlaat via /coach/[slug]/contact — leggen wij de door jou ingevulde gegevens (naam, e-mail, eventueel telefoon, je bericht, en bij checkout je adres en bedrijfsgegevens) vast bij de betreffende coach. De coach is op dat moment de verwerkingsverantwoordelijke; Blooom verwerkt voor hem.

Je gegevens worden geregistreerd in de lead-pipeline van de coach — een interne lijst waarmee hij of zij kan opvolgen, contact opnemen en de status van het gesprek bijhouden. Bij een afgeronde checkout wordt de lead automatisch omgezet naar een klantrelatie.

Grondslag: bij een kennismakings- of contactformulier is dit jouw verzoek tot contact (artikel 6 lid 1 sub b AVG — precontractuele maatregelen) gecombineerd met het gerechtvaardigd belang van de coach om opvolging te doen (artikel 6 lid 1 sub f). Bij checkout is dit de uitvoering van een overeenkomst. Je kunt op elk moment bezwaar maken (artikel 21 AVG) of verzoeken om verwijdering via de coach of via privacy@blooom.nl.

4. Subverwerkers

Voor de levering van Blooom maken wij gebruik van een aantal externe partijen. Onderstaand overzicht is samengevat; de volledige en altijd actuele lijst staat op de pagina subverwerkers.

• Supabase Inc. (EU-West (Ierland)) — Database, authenticatie en bestandsopslag
• Vercel Inc. (EU (Frankfurt)) — Hosting van de applicatie
• Mollie B.V. (Nederland) — Betalingsverwerking (iDEAL, creditcard)
• Xipler (Nederland) — Versturen van transactionele e-mail
• AssemblyAI Inc. (EU-endpoint) — Audio-transcriptie van geüploade sessie-opnames én van spraakberichten in de coach-cliënt chat, én AI-analyse/samenvatting van sessie-transcripten en langere spraakberichten via hun EU-gebaseerde LLM-gateway (onderliggende AI-modellen: Google Gemini). Voor de AI-analyse wordt alleen tekst verwerkt, geen audio. Model-training op onze data is uitgeschakeld; het transcript wordt direct na verwerking bij AssemblyAI verwijderd (bewaartermijn daar max. 1 dag).
• Cloudflare, Inc. (EU / wereldwijd) — Bot-bescherming (Turnstile) op de aanmeldpagina — verifieert dat een aanmelding van een mens afkomstig is (verwerkt daarbij het IP-adres van de bezoeker)
• Browser-push-services (Apple APNs, Google FCM, Mozilla AutoPush) (Verenigde Staten / wereldwijd (per browser-provider)) — Bezorging van push-notificaties voor nieuwe chat-berichten (alleen versleutelde payload, geen leesbare berichtinhoud)
• Google LLC (EU / Verenigde Staten) — Google Calendar integratie (alleen indien coach koppelt)
• Microsoft Ireland Operations Ltd. (EU) — Microsoft 365 Calendar integratie (alleen indien coach koppelt)
• Functional Software, Inc. (Sentry) (Duitsland (EU-endpoint)) — Foutmonitoring en performance-analyse — verwerkt stack traces en een gepseudonimiseerd intern account-ID (geen e-mail, IP of cookies)

5. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk:

• Account-, contact-, sessie- en coachinggegevens: gedurende de looptijd van het abonnement van de coach. Na opzegging worden deze gegevens binnen 30 dagen verwijderd, tenzij wettelijke bewaarplichten anders vereisen.
• Sessie-opnames: audio en volledig transcript in onze eigen beveiligde opslag 30 dagen, daarna automatisch verwijderd; de AI-samenvatting blijft behouden tot de coach die verwijdert. Mislukt de transcriptie of de analyse, dan blijven de audio of het transcript staan tot de coach opnieuw verwerkt of de opname verwijdert. Van spraakberichten in de chat wordt de audio na 30 dagen verwijderd; de uitgeschreven tekst blijft in de gespreksgeschiedenis. Bij de transcriptiedienst wordt het transcript direct na verwerking verwijderd (en zou anders binnen uiterlijk 1 dag vervallen). De coach of cliënt kan altijd eerdere verwijdering verzoeken.
• Facturen en betalingsadministratie: 7 jaar (wettelijke fiscale bewaarplicht).
• Ondertekende contracten: 7 jaar na einde van het traject.
• E-mail logs: 12 maanden.
• Beveiligings- en toegangslogs: 90 dagen.
• Marketing-gerelateerde gegevens van coaches: tot intrekking van toestemming of einde klantrelatie + 2 jaar.

6. Beveiliging

Wij passen passende technische en organisatorische maatregelen toe (artikel 32 AVG):

• Versleuteling van data in transit (TLS) en at rest
• Toegangscontrole op rij-niveau (Row Level Security) in de database
• Sterke authenticatie en sessiebeheer via Supabase Auth
• Geautomatiseerde back-ups en herstel-procedures
• Periodieke controle en bijwerking van kritieke afhankelijkheden

7. Je rechten

Onder de AVG heb je de volgende rechten:

• Inzage in de gegevens die wij van je verwerken
• Rectificatie van onjuiste gegevens
• Wissing (“recht om vergeten te worden”)
• Beperking van de verwerking
• Dataportabiliteit — je gegevens in een leesbaar formaat ontvangen
• Bezwaar tegen bepaalde verwerkingen
• Intrekken van toestemming wanneer toestemming de grondslag is

Cliënten oefenen deze rechten uit via hun coach (de verwerkingsverantwoordelijke). Coaches kunnen contact opnemen met privacy@blooom.nl.

Je hebt daarnaast altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

8. Cookies & foutmonitoring

Binnen de Blooom-applicatie gebruiken wij uitsluitend functionele cookies die noodzakelijk zijn om in te kunnen loggen en je voorkeuren (zoals het thema) te onthouden. Hiervoor is geen toestemming vereist.

Lettertypen worden door Blooom zelf gehost; er gaat daarvoor geen verzoek naar Google. Voegt een coach zelf een video of audiofragment toe (YouTube, Vimeo of SoundCloud), dan wordt dat door die partij geladen zodra je het bekijkt. YouTube laden we via het privacyvriendelijke domein youtube-nocookie.com en Vimeo met "do not track".

Daarnaast gebruiken wij Sentry voor het opvangen van technische fouten en het bewaken van performance. Sentry draait op alle Blooom-pagina's — zowel binnen je account als op publiek toegankelijke pagina's zoals coach-landingspagina's, de kennismakings-flow en boekings-/aanmeldformulieren. Sentry verwerkt alleen op het moment van een fout:

• een stack trace en technische metadata over de fout;
• een gepseudonimiseerd intern account-ID — geen e-mailadres, IP-adres of cookies;
• een visuele weergave van het scherm op het foutmoment (zogeheten session replay) waarbij alle tekst, invoervelden en media volledig zijn afgeschermd.

Sentry draait niet continu (geen sessie-tracking) en de gegevens worden niet voor profilering of marketing gebruikt — uitsluitend voor foutdiagnose. De gegevens worden kort bewaard.

Grondslag: wij baseren deze verwerking op ons gerechtvaardigd belang (artikel 6 lid 1 sub f AVG) bij het waarborgen van de stabiliteit en veiligheid van onze dienst. Je hebt het recht om bezwaar te maken tegen deze verwerking (artikel 21 AVG) via privacy@blooom.nl. Zie de subverwerkers-pagina voor de juridische details over Sentry.

9. Datalekken

Wij hebben een datalekprocedure waarmee wij coaches uiterlijk binnen 48 uur na ontdekking informeren en — indien vereist — binnen 72 uur melding doen bij de Autoriteit Persoonsgegevens. Zie datalekprocedure.

10. Contact

Voor vragen over deze privacyverklaring of om je rechten uit te oefenen: privacy@blooom.nl.

11. Wijzigingen

Wij kunnen deze privacyverklaring van tijd tot tijd wijzigen. De meest recente versie is altijd op deze pagina beschikbaar. Bij belangrijke wijzigingen informeren wij coaches actief.