Privacyverklaring

De verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG is Mensis Health B.V. (KvK 98765432, BTW NL867890123B01), Spoorlaan 21, 5038 CB Tilburg, Nederland.

Privacyvragen en -verzoeken

privacy@mensishealth.com

Vragen over de app

support@mensishealth.com

We hebben geen functionaris voor gegevensbescherming aangesteld. Dat is voor een organisatie van onze omvang niet verplicht; privacyverzoeken komen rechtstreeks bij het team terecht dat de app bouwt.

Accountgegevens

Je meldt je aan met Sign in with Apple of met Google. Daarbij ontvangen wij een identificator van die dienst en, afhankelijk van je keuze, een e-mailadres of een doorgegeven alias. Wij bieden bewust geen aanmelden met e-mailadres en wachtwoord aan: zonder e-mailadressen hebben we geen e-mailverwerker in de keten nodig.

Gezondheidsgegevens (artikel 9 AVG)

• Start- en einddatum van je menstruatie en de intensiteit van je flow
• Symptomen die je logt: stemming, energie, pijn en krampen, slaap, huid, libido, afscheiding, hoofdpijn en eetlust
• Vrije notities die je zelf schrijft
• Je anticonceptiemethode en je gekozen modus (cyclus volgen, zwanger worden, anticonceptie gebruiken)
• Je gemiddelde cyclus- en menstruatielengte, afgeleid uit je logs

Gegevens over religieuze overtuiging (artikel 9 AVG)

Alleen als je de deen-module aanzet: je ingestelde fiqh-drempels, je hayd- en istihada-status, je ghusl-registraties, je gemiste en ingehaalde vastendagen en de door jou bevestigde Ramadan-datums. Zet je de module niet aan, dan verwerken wij geen enkel gegeven uit deze categorie.

Technische en operationele gegevens

• Foutrapportages als de app crasht, zonder de inhoud van je logs
• Je instellingen: thema, meldingsvoorkeuren, taal, discrete modus
• De inhoud van je e-mails aan onze supportadressen

Artikel 9 AVG verbiedt in principe het verwerken van gegevens over gezondheid en over religieuze overtuiging. Dat verbod vervalt onder meer als jij daar uitdrukkelijk toestemming voor geeft. Mensis raakt beide categorieën, en we houden ze uit elkaar.

• De toestemming voor gezondheidsgegevens vragen we in stap 2 van de onboarding, vóór de eerste vraag over je cyclus. Niet vooraangevinkt.
• De toestemming voor de deen-module vragen we apart, in stap 7. Geef je die niet, dan bestaat de module niet in jouw app en verwerken we geen gegevens over je geloof.
• De toestemming voor de AI-assistent is nog een derde, losse toestemming, die je apart kunt intrekken zonder de rest van de app op te geven.

Elke toestemming trek je in via Instellingen → Privacy. Intrekken moet net zo makkelijk zijn als geven (artikel 7 lid 3 AVG), en dat is bij ons ook zo: het is dezelfde schakelaar. Trek je de toestemming voor gezondheidsgegevens in, dan kan de app zijn kernfunctie niet meer uitvoeren en bieden we je aan je account te verwijderen — eerst met een export, als je die wilt.

Je gegevens staan in een PostgreSQL-database bij Supabase in de regio Frankfurt (eu-central-1), Duitsland. Je toestel houdt een lokale kopie zodat de app offline werkt; die kopie is beveiligd door de standaard app-sandbox van iOS of Android en, als je dat aanzet, door biometrische vergrendeling.

Wat de beveiliging wél is

• Transport over TLS 1.2 of hoger
• Versleuteling op schijf met AES-256
• Row-level security in de database: een gebruiker kan alleen bij de eigen rijen
• Scheiding van identiteit en inhoud: wie je bent staat in een andere tabel dan wat je logt
• Tweefactorauthenticatie op alle beheeraccounts
• Een pentest vóór lancering en een vastgelegd datalek-draaiboek

In het dagelijkse werk komt niemand bij gebruikersgegevens. De sleutel die de row-level security kan omzeilen (de zogenoemde service role) zit niet in onze normale werkomgeving en wordt niet gebruikt voor ontwikkeling, support of analyse.

Is toegang tot individuele gegevens onvermijdelijk — bij een storing die anders niet op te lossen is, of bij een wettelijk verzoek waar we aan moeten voldoen — dan geldt de volgende procedure:

1. 1.De aanleiding wordt vooraf schriftelijk vastgelegd: wat is het probleem, waarom is toegang tot deze gegevens noodzakelijk, en welke minder ingrijpende route is overwogen.
2. 2.Twee personen moeten goedkeuren. Degene die toegang vraagt kan niet zichzelf goedkeuren.
3. 3.De toegang wordt gelogd in een append-only log dat degene die de toegang krijgt niet kan wijzigen of wissen.
4. 4.De toegang wordt beperkt in reikwijdte en in tijd: alleen de rijen die nodig zijn, en niet langer dan nodig.
5. 5.Aantallen en categorieën uit dit log komen terug in ons jaarlijkse transparantierapport.

We publiceren deze procedure omdat een belofte zonder controleerbaar mechanisme niets waard is. Voor alle duidelijkheid: dit is een organisatorische maatregel. Ze werkt zolang wij ons eraan houden en zolang het log integer blijft. Vind je dat te weinig, dan is dat een terecht bezwaar — wij zeggen niet dat het anders ligt.

We werken met een zo klein mogelijk aantal leveranciers. Met elk van hen is een verwerkersovereenkomst gesloten. De volledige lijst, met per partij de rol, de datalocatie en de grondslag voor doorgifte, staat op een aparte pagina die we bijwerken zodra er iets verandert.

Op die pagina staat ook expliciet welke soorten leveranciers wij níét gebruiken: geen advertentienetwerken, geen attributie- of analytics-SDK's, geen datahandelaren en geen social-media-SDK's.

Je gegevens staan fysiek in Frankfurt. Een aantal van onze leveranciers zijn echter in de Verenigde Staten gevestigde rechtspersonen. Waar dat tot doorgifte of tot toegang van buiten de EU kan leiden, gebruiken we standaardcontractbepalingen (module 2) van de Europese Commissie en, waar de partij daarvoor gecertificeerd is, het EU-VS Data Privacy Framework.

We noemen termijnen in dagen. "Zolang als nodig" is geen bewaartermijn maar een uitvlucht.

De AVG geeft je een aantal rechten. Waar het kan, hebben we die in de app zelf gezet — dan hoef je niet op ons te wachten.

Inzage (artikel 15)

Alles wat we van je hebben, zie je in de app. Wil je een volledig bestand, gebruik dan de exportfunctie of mail ons.

Rectificatie (artikel 16)

Je past je logs en je profiel rechtstreeks in de app aan.

Verwijdering (artikel 17)

Instellingen → Account → Verwijderen. Dit werkt zonder tussenkomst van ons.

Beperking (artikel 18)

Mail privacy@mensishealth.com met wat je beperkt wilt hebben en waarom.

Overdraagbaarheid (artikel 20)

Instellingen → Gegevens → Exporteren geeft je een JSON-bestand in een machineleesbaar formaat. Een PDF voor menselijk gebruik kan ook.

Bezwaar (artikel 21)

Mail privacy@mensishealth.com. Bezwaar tegen verwerking op grond van gerechtvaardigd belang honoreren we tenzij er dwingende gronden zijn die zwaarder wegen.

Toestemming intrekken (artikel 7 lid 3)

Instellingen → Privacy. Per categorie: gezondheid, deen, AI-assistent.

Doe je een verzoek per e-mail, dan reageren we binnen 30 dagen. Lukt het uitzonderlijk niet binnen die termijn, dan laten we je binnen diezelfde termijn weten waarom en hoeveel langer we nodig hebben. Een verzoek is gratis; alleen bij kennelijk ongegronde of buitensporige herhaalde verzoeken mogen we kosten rekenen of weigeren.

Mensis neemt geen besluiten met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen op basis van uitsluitend geautomatiseerde verwerking, zoals bedoeld in artikel 22 AVG.

De app berekent wel voorspellingen op basis van je eigen historie. Dat is een berekening, geen besluit over jou: er wordt niets toegewezen of geweigerd, en het resultaat wordt altijd met een onzekerheidsmarge getoond. De AI-assistent geeft informatie en stelt geen diagnose.

De AI-assistent is nog niet beschikbaar. Als hij dat wel is, geldt het volgende, en we schrijven het nu al op zodat je weet waar je aan toe bent.

• De assistent staat standaard uit en vraagt een eigen toestemming, los van je andere toestemmingen.
• Het model draait op Amazon Bedrock met een Europees inference-profiel. De directe API van de modelaanbieder kent geen EU-regio; deze route wel.
• In de context gaan: je cyclusfase, je dagnummer, je gemiddelde cyclus- en menstruatielengte, een samenvatting van je symptomen van de afgelopen dagen en je gekozen modus.
• Nooit in de context: je e-mailadres, je gebruikers-id, je naam, je ruwe logs en je vrije notities.
• Nooit in de context: je deen-gegevens. Categorisch, zonder uitzondering. Een test in onze pipeline faalt als een deen-veld ooit in de contextopbouw belandt.
• De assistent beantwoordt geen fiqh-vragen.
• Er wordt niet getraind op je berichten. Dat is contractueel vastgelegd met de modelaanbieder, niet aangenomen.

Mensis is bedoeld voor gebruikers van 16 jaar en ouder. Dat is de leeftijd waarop je in Nederland zelfstandig toestemming kunt geven voor het verwerken van je persoonsgegevens (artikel 5 Uitvoeringswet AVG).

De onboarding vraagt in de eerste stap je geboortejaar. Ben je jonger, dan stopt de flow met een uitleg en verwerken we verder niets. Ontdekken we alsnog dat een account van iemand jonger is, dan verwijderen we het en de bijbehorende gegevens.

Deze website is een statische site. Er staat geen tracking op, er draait geen analytics-script en er worden geen cookies geplaatst waarvoor toestemming nodig zou zijn.

• Onze hostingpartij verwerkt technische logs, waaronder je IP-adres, om de site te kunnen leveren en te beschermen tegen misbruik. Grondslag: gerechtvaardigd belang (artikel 6 lid 1 sub f).
• Vraag je via Mensis for Business een offerte aan, dan verwerken we de gegevens die je in dat formulier invult: bedrijfsnaam, contactpersoon, zakelijk e-mailadres, het aantal medewerkers en je eventuele toelichting. Grondslag: uitvoering van of aanloop naar een overeenkomst (artikel 6 lid 1 sub b). Dit zijn zakelijke contactgegevens, geen gezondheidsgegevens.
• Logt een HR-beheerder in op het portaal, dan verwerken we het zakelijke e-mailadres en een inlogcode die na gebruik vervalt. Het portaal toont alleen aantallen — nooit gegevens van individuele medewerkers.
• Lettertypen worden vanaf onze eigen server geladen. Er gaat geen verzoek naar Google Fonts of een ander extern domein.

We hebben een draaiboek voor het geval er toch iets misgaat. Bij een inbreuk in verband met persoonsgegevens melden we dat binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG), tenzij het onwaarschijnlijk is dat de inbreuk een risico oplevert.

Levert de inbreuk waarschijnlijk een hoog risico op voor je rechten en vrijheden, dan informeren we je zonder onnodige vertraging en in gewone taal (artikel 34 AVG): wat er gebeurd is, welke gegevens het betrof, wat wij doen en wat jij kunt doen. Gezien de gevoeligheid van cyclus- en deen-gegevens gaan we bij twijfel over tot melden.

Eén keer per jaar publiceren we een rapport met daarin: hoeveel verzoeken van overheden of opsporingsdiensten we hebben ontvangen, uit welke landen, hoeveel we er hebben gehonoreerd en hoe vaak de break-glass-procedure uit paragraaf 6 is gebruikt.

We publiceren dat rapport ook als het antwoord op alle vragen nul is. Juist dan is het een nulmeting die later betekenis krijgt.

We werken deze verklaring bij als de app of onze leveranciers veranderen. De datum bovenaan geeft aan wanneer dat voor het laatst gebeurde en oudere versies bewaren we.

Beperkt een wijziging je rechten of verandert er iets wezenlijks aan wat we met je gegevens doen, dan laten we dat minstens 30 dagen van tevoren weten via een melding in de app. Bij een wijziging die om nieuwe toestemming vraagt, vragen we die opnieuw — stilzwijgend doorgaan is geen toestemming.

Ben je het oneens met hoe we met je gegevens omgaan, laat het ons dan eerst weten via privacy@mensishealth.com. We lossen het liever zelf op.

Kom je er met ons niet uit, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Woon je in een andere EU-lidstaat, dan kun je ook terecht bij de toezichthouder daar.