Privacybeleid en cookies

Dit document Privacybeleid en cookies beschrijft hoe WEBET Sp. z o.o. ("Beheerder", "wij", "ons", "onze") je persoonsgegevens verzamelt, verwerkt, opslaat en beschermt in verband met het gebruik van het CheaperForDrug-platform (taniejpolek.pl). Dit document is opgesteld overeenkomstig Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens (AVG) en de Poolse Wet bescherming persoonsgegevens.

1.1 Gegevens van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke van je persoonsgegevens is:
WEBET SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
ul. 1 Maja 30A
45-355 Opole, Polen
NIP: 7543346806
REGON: 520717497
KRS: 0000940072 (Sąd Rejonowy w Opolu, VIII Wydział Gospodarczy KRS), maatschappelijk kapitaal 5.000,00 PLN
E-mail: biuro@webet.pl
Telefoon: +48 798 908 242

1.2 Contact voor aangelegenheden inzake gegevensbescherming

Voor alle aangelegenheden in verband met gegevensbescherming kun je contact met ons opnemen:
E-mail: biuro@webet.pl
Telefoon: +48 798 908 242 (ma-vr, 9:00-17:00)
Per post: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen, met vermelding "Gegevensbescherming"

2.1 Door de gebruiker verstrekte gegevens

Accountgegevens (verplicht):

• E-mailadres
• Wachtwoord (uitsluitend opgeslagen als cryptografische hash - bcrypt met een salt, waardoor het onmogelijk is het wachtwoord te lezen, zelfs voor de beheerders van de Dienst)
• Voor- en achternaam (optioneel)

Abonnements- en betalingsgegevens:

• Type abonnement (gratis, jaarlijks)
• Status en aankoopdatum van het abonnement
• Betalingsinformatie (verwerkt door Stripe)
• Transactiegeschiedenis

Gebruiksgegevens:

• Boodschappenlijst en gezochte geneesmiddelen
• Zoek- en vergelijkingsgeschiedenis
• Opgeslagen gebruikersvoorkeuren
• Inhoud van gesprekken met de AI-Medicijnkast (tekstberichten; geüploade afbeeldingen worden niet bewaard)
• Aanvragen aan apotheken in de buurt: items (waaronder receptgeneesmiddelen die je invoert), plaats en gebied, locatie van het apparaat (als je die deelt), telefoonnummer (als je dat opgeeft), opmerking en gesprek met de apotheek, antwoord van de apotheek, ophaalcode

2.2 Automatisch verzamelde gegevens

• IP-adres en geschatte geografische locatie
• Type en versie van de browser
• Besturingssysteem en type toestel
• Bezochte pagina's en tijd op de site
• Bron van het bezoek (referrer)
• Technische sessiegegevens
• Cookies en vergelijkbare technologieën

2.3 Betalingsgegevens

Belangrijk: De gegevens van je betaalkaart (kaartnummer, CVV, vervaldatum) worden uitsluitend verwerkt door Stripe, Inc. - een betaaldienstverlener met PCI DSS Level 1-certificering. Wij slaan de volledige gegevens van je betaalkaart NIET op en hebben er GEEN toegang toe.

Wij slaan alleen het volgende op:

• Stripe Customer ID - een unieke identifier in het Stripe-systeem
• Stripe Subscription ID - de identifier van het abonnement
• Stripe Payment Intent ID - de identifier van de transactie
• Betalingsbedrag en valuta (in de valuta van de markt van de gebruiker)
• Betalingsstatus (in behandeling, voltooid, mislukt, geannuleerd)
• Laatste 4 cijfers van de kaart (ter identificatie)

Wij verwerken je persoonsgegevens uitsluitend voor bepaalde doeleinden en op basis van passende rechtsgronden overeenkomstig art. 6 AVG:

3.1 Uitvoering van een overeenkomst (art. 6(1)(b) AVG)

• Het aanmaken en beheren van het gebruikersaccount
• Het leveren van diensten voor prijsvergelijking van geneesmiddelen
• Het beheren van het abonnement (gratis of betaald)
• Betalingsverwerking
• Het versturen van dienstgerelateerde meldingen
• Werking van de AI-Medicijnkast en afrekening van de vragenlimiet en de vragenpakketten
• Afhandeling van aanvragen aan apotheken in de buurt: doorgeven van het antwoord van de apotheek, reservering en bevestiging van het afhalen, verrekening van de maandelijkse aanvraaglimiet

3.2 Naleving van wettelijke verplichtingen (art. 6(1)(c) AVG)

• Het uitreiken en bewaren van btw-facturen
• Het nakomen van fiscale verplichtingen
• Het nakomen van verplichtingen uit het consumentenrecht
• Het beantwoorden van verzoeken van overheidsinstanties (voor zover wettelijk vereist)

3.3 Gerechtvaardigd belang (art. 6(1)(f) AVG)

• Het waarborgen van de veiligheid en het opsporen van misbruik
• Analyse en verbetering van de werking van het platform
• Het behandelen van klachten en geschillen
• Het instellen van of het verweer tegen vorderingen
• Het archiveren van gegevens met het oog op compliance

3.4 Toestemming (art. 6(1)(a) AVG)

• Het versturen van nieuwsbrieven met aanbiedingen en promoties (direct marketing)
• Personalisatie van marketingcommunicatie
• Het plaatsen en lezen van analytische en marketingcookies

Nieuwsbrief - gecombineerde rechtsgrond:

Nieuwsbrieven worden verstuurd op basis van drie rechtsgronden samen: (a) art. 6(1)(a) AVG - je vrijwillige toestemming voor de verwerking van je e-mailadres; (b) art. 10(1) van de Poolse wet van 18 juli 2002 op de levering van elektronische diensten - je toestemming om commerciële informatie via elektronische weg te ontvangen; (c) art. 172(1) van de Poolse wet van 16 juli 2004 - Telecommunicatiewet - je toestemming voor het gebruik van telecommunicatie-eindapparatuur voor direct-marketingdoeleinden. De toestemmingen worden samen verzameld door actief een selectievakje in het inschrijvingsformulier aan te vinken. Je kunt elke toestemming op elk moment intrekken door op de link "Uitschrijven" in de voettekst van elke e-mail te klikken of door contact op te nemen met biuro@webet.pl.

Je kunt je toestemming op elk moment intrekken, wat geen invloed heeft op de rechtmatigheid van de verwerking die vóór de intrekking heeft plaatsgevonden.

Wij bewaren je persoonsgegevens gedurende de perioden die nodig zijn om de aangegeven doeleinden te bereiken, rekening houdend met de wettelijk vereiste perioden:

De boodschappenlijst met vrij verkrijgbare geneesmiddelen en voedingssupplementen die je in de Dienst maakt, en de berichten die je naar de AI-Medicijnkast stuurt, kunnen informatie onthullen over je gezondheid of over de gezondheid van de mensen voor wie je koopt. Het zijn dan gezondheidsgegevens in de zin van art. 4, punt 15, en art. 9(1) AVG. We behandelen ze altijd zo, ongeacht voor wie je koopt.

5.1 Rechtsgrond van de verwerking

Uitdrukkelijke toestemming van de Gebruiker (art. 9(2)(a) AVG). Wij vragen om twee afzonderlijke toestemmingen, elk wanneer die nodig is: toestemming voor het mandje en de prijsvergelijking voordat het eerste product aan het mandje wordt toegevoegd, en toestemming voor de AI-Medicijnkast voordat het eerste bericht wordt verstuurd. Zoeken vraagt geen toestemming. Weigering van de ene heeft geen invloed op de andere: zonder toestemming voor het mandje maken we geen mandje aan op onze server en vergelijken we de prijs niet, zonder toestemming voor de AI-Medicijnkast versturen we geen berichten. De overige pagina's van de Dienst kun je zonder beide bekijken. Voor elke aanvraag bij apotheken in de buurt vragen we om een aparte toestemming (punt 5.8.3).

5.2 Omvang

Toestemming voor het mandje: namen en aantallen van de producten in het mandje, inclusief het voorraadplan en de prijsmeldingen die bij het mandje horen. Toestemming voor de AI-Medicijnkast: de tekst van berichten en afbeeldingen die naar de AI-Medicijnkast zijn gestuurd, geplakte lijsten, doseringen die in het voorraadplan zijn ingevoerd en de productlijst die in het gesprek is opgebouwd. Daarnaast de regels van een aanvraag bij apotheken in de buurt, inclusief receptgeneesmiddelen die je invoert, de opmerking en het gesprek met de apotheek (punt 5.8). We koppelen ze aan de identificatie van het Account en zonder inloggen aan een willekeurige identificatie van sessie en browser.

5.3 Doel

Toestemming voor het mandje: producten zoeken, het mandje opslaan en de prijs van het hele mandje vergelijken bij de online apotheken die in de Dienst worden getoond, en op het Account ook prijsmeldingen en herinneringen over het mandje. Toestemming voor de AI-Medicijnkast: je berichten beantwoorden en het gesprek bewaren zodat je erop terug kunt komen, ten hoogste 12 maanden na het laatste bericht. Wanneer je een aanvraag naar apotheken in de buurt stuurt, ook het doorgeven ervan aan die apotheken en de afhandeling van het ophalen (punt 5.8).

Op basis van dezelfde toestemming leggen we ook het verloop van je bezoek vast: waarnaar je hebt gezocht, wat je aan het mandje hebt toegevoegd, de uitkomst van de vergelijking en de links naar apotheken die je hebt geopend. Dat doen we uitsluitend om de zoekfunctie en de vergelijking te controleren en te verbeteren. We gebruiken deze gegevens niet voor reclame of profilering en geven ze niet door aan reclamepartijen.

Zoektermen die je typt voordat je toestemming geeft, blijven in je browser. We sturen ze pas naar onze server op het moment dat je toestemming geeft en alleen van het huidige bezoek. Als je weigert of het tabblad sluit, verdwijnen ze uit de browser en komen ze nooit bij ons terecht.

5.4 Intrekking van de toestemming

Je kunt elk van de twee toestemmingen op elk moment intrekken, onafhankelijk van de andere: met de schakelaar in de Privacy-instellingen (link onderaan elke pagina; in je Account: Instellingen › Privacy) of door te mailen naar biuro@webet.pl. Een mandje verwijderen is geen intrekking van toestemming. Na het intrekken van de toestemming voor het mandje verwijderen we van onze server de opgeslagen mandjes met hun regels, voorraadplan, deellinks, prijsgeschiedenis en prognoses, evenals prijsmeldingen, verborgen producten en e-mails over mandjes; in de registers van vergelijkingen en gebeurtenissen verwijderen we de koppeling met jou. Het mandje dat in je browser is opgeslagen, blijft op dat apparaat. Na het intrekken van de toestemming voor de AI-Medicijnkast verwijderen we de opgeslagen gesprekken; kopieën die aan Anthropic zijn doorgegeven verdwijnen daar binnen 30 dagen (punt 6.8). De registratie van het geven en intrekken van toestemming bewaren we 6 jaar als bewijs (punt 4). Intrekking van toestemming tast de rechtmatigheid van de verwerking vóór de intrekking niet aan. De toestemming voor het doorgeven van een aanvraag aan apotheken trek je in door de aanvraag te annuleren (punt 5.8.8).

5.5 Geen gezondheidsprofilering

De Beheerder gebruikt deze gegevens NIET voor gezondheidsprofilering of gepersonaliseerde marketing. Hij stelt ze ter beschikking aan de verwerkers die in de punten 6.1–6.8 en 6.10 worden genoemd en die op zijn instructie handelen, voor de doeleinden die in de punten 5.3 en 5.7 zijn beschreven en, wanneer je een aanvraag naar apotheken in de buurt stuurt — ook aan fysieke apotheken, die afzonderlijke verwerkingsverantwoordelijken zijn (punten 5.8 en 6.9). De Dienst biedt geen medisch of farmaceutisch advies.

5.6 Geen doorgifte aan marketing

Deze gegevens worden NIET doorgegeven aan marketingverwerkers (Google Ads, Meta Platforms) of analyseaanbieders, behalve geanonimiseerde aggregaten waarin afzonderlijke geneesmiddelen niet identificeerbaar zijn op het niveau van een individuele Gebruiker.

5.7 AI-Medicijnkast en andere functies met kunstmatige intelligentie

De AI-Medicijnkast is een assistent op basis van het model voor kunstmatige intelligentie Claude, geleverd door Anthropic Ireland, Limited (punt 6.8). Op basis van je berichten zoekt hij producten in onze catalogus, stelt hij een boodschappenlijst samen en berekent hij waar het hele mandje het goedkoopst is. Hetzelfde model gebruiken we wanneer we productnamen uit een geplakte lijst of een foto uitlezen, wanneer we goedkopere gelijkwaardige producten voor de producten in het mandje voorstellen en wanneer we een dosering herschrijven die je zelf in het voorraadplan opgeeft.

Welke gegevens: de inhoud van je berichten aan de AI-Medicijnkast (namen van geneesmiddelen en voedingssupplementen en alles wat je erbij schrijft), geüploade afbeeldingen, de geschiedenis van het lopende gesprek, de in het gesprek samengestelde productlijst en, bij gelijkwaardige producten, de namen, identificatiecodes en prijzen van de producten in het mandje. We koppelen het gesprek aan je Account. Gesprekken die vóór 16 oktober 2026 zonder in te loggen zijn opgeslagen, zijn gekoppeld aan een willekeurige identificatiecode van sessie en browser. We bewaren geen afbeeldingen. We leggen alleen vast dat er een afbeelding was bijgevoegd.

Om een product te zoeken is de naam voldoende. Beschrijf geen symptomen of ziekten en upload geen foto's van recepten of medische documentatie. De AI-Medicijnkast geeft geen gezondheidsadvies.

Doel: op jouw verzoek producten zoeken, de boodschappenlijst samenstellen en de prijs van het mandje vergelijken; het gesprek opslaan zodat het kan worden voortgezet; fouten in antwoorden verduidelijken en misbruik voorkomen.

Rechtsgrond: je uitdrukkelijke toestemming voor de AI-Medicijnkast (art. 6(1)(a) en art. 9(2)(a) AVG), los van de toestemming voor het mandje (punt 5.1). We vragen erom voordat het eerste bericht naar de AI-Medicijnkast gaat. Ze omvat ook het uitlezen van productnamen uit een geplakte lijst of foto en het overnemen van een dosering die in het voorraadplan is ingevoerd. Zonder toestemming verstuurt de AI-Medicijnkast geen berichten. Goedkopere alternatieven en de prijsprognose sturen alleen catalogusproductnamen naar het model, zonder identificatie van de persoon, en berusten op de toestemming voor het mandje. Het vragenlimiet en de vragenpakketten rekenen we af op grond van de overeenkomst (art. 6(1)(b) AVG, § 7 van de Voorwaarden).

Ontvanger: Anthropic Ireland, Limited, als verwerker, op basis van een verwerkersovereenkomst (punt 6.8). We geven de inhoud van berichten en afbeeldingen en de geschiedenis van het lopende gesprek aan hem door. We geven geen voor- en achternaam, e-mailadres, identificatiecode van het Account of IP-adres door. Anthropic mag op deze gegevens geen modellen trainen en verwijdert ze binnen 30 dagen, met de uitzonderingen die in punt 6.8 zijn beschreven. De gegevens kunnen buiten de Europese Economische Ruimte worden verwerkt op de grondslag van punt 7.

De antwoorden worden gegenereerd door een model voor kunstmatige intelligentie en kunnen fouten bevatten. De prijs en samenstelling controleer je op de productkaart en op de pagina van de apotheek. We nemen jegens jou geen besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en die rechtsgevolgen voor jou hebben of je op vergelijkbare wijze in aanmerkelijke mate treffen (art. 22 AVG).

Hoelang we de gegevens bewaren: punt 4. Je rechten, waaronder inzage in opgeslagen gesprekken en verwijdering ervan: punt 8.

5.8 Aanvraag aan apotheken in de buurt en afhalen met een code

5.8.1. Waar het om gaat. Wanneer je een aanvraag naar apotheken in de buurt stuurt, geven we die door aan openbare apotheken binnen het gebied dat je hebt gekozen, een voor een vanaf de dichtstbijzijnde, totdat er een antwoordt. De dichtstbijzijnde geopende apotheek krijgt de aanvraag als eerste, de volgende na ongeveer 10 minuten; als je Premium hebt, gaat de aanvraag meteen naar de twee dichtstbijzijnde apotheken. Het antwoord van de apotheek tonen we aan jou, en wanneer je het afhalen reserveert, kennen we een ophaalcode toe.

5.8.2. Welke gegevens we verzamelen.

• a) de items van de aanvraag: namen, verpakkingen en hoeveelheden van geneesmiddelen zonder recept en voedingssupplementen uit het mandje en, als je daarbij de toestemming aanvinkt, ook namen en hoeveelheden van receptgeneesmiddelen die je invoert, met de eigen bijdrage als je die opgeeft;
• b) de plaats en het gebied dat je hebt gekozen (je eigen plaats of 5, 10 of 20 km) en, als je de locatie van het apparaat deelt, de coördinaten;
• c) je mobiele telefoonnummer, als je dat opgeeft;
• d) de opmerking bij de aanvraag en het gesprek met de apotheek;
• e) het e-mailadres: het adres van het Account of, wanneer je een aanvraag verstuurt zonder in te loggen, het adres dat in het formulier is opgegeven en waarvoor we een Account zonder wachtwoord aanmaken;
• f) het verloop van de aanvraag: de tijdstippen waarop apotheken haar hebben ontvangen en geopend, het antwoord van de apotheek (beschikbaarheid, hoeveelheden, alternatieven, prijzen), de ophaalcode en de afhaaltermijn, het tijdstip van afhalen en je antwoord op de vraag na het afhalen of de prijs klopte;
• g) de registratie van je toestemming: de datum, de versie van de toestemmingstekst, het IP-adres en de browser-ID.

De namen van geneesmiddelen en voedingssupplementen kunnen informatie onthullen over je gezondheid of over de gezondheid van de persoon voor wie je koopt. We behandelen ze als gezondheidsgegevens, ook wanneer het producten zonder recept betreft.

5.8.3. Rechtsgrond. We geven de aanvraag door aan apotheken op grond van je uitdrukkelijke toestemming (art. 9(2)(a) AVG), waar we bij elke aanvraag om vragen. Zonder toestemming versturen we de aanvraag niet. Receptgeneesmiddelen voegen we alleen aan de aanvraag toe als je de toestemming bij receptgeneesmiddelen aanvinkt; een mandje dat uitsluitend uit receptgeneesmiddelen bestaat, versturen we zonder die toestemming niet. De overige gegevens (e-mailadres, plaats, verloop van de aanvraag, aanvraaglimiet) verwerken we om de dienst uit te voeren die je bestelt door de aanvraag te versturen (art. 6(1)(b) AVG).

Tekst van de toestemming:

Ik geef uitdrukkelijke toestemming om mijn aanvraag — de namen en hoeveelheden van geneesmiddelen en voedingssupplementen, waaronder receptgeneesmiddelen, mijn opmerking, mijn voornaam en mijn telefoonnummer, als ik dat opgeef — door te geven aan openbare apotheken binnen het door mij gekozen gebied, een voor een vanaf de dichtstbijzijnde, om informatie over beschikbaarheid en prijs te krijgen en het afhalen te reserveren. Ik weet dat deze gegevens informatie over gezondheid kunnen onthullen (art. 9(2)(a) AVG) en dat ik de toestemming kan intrekken door de aanvraag te annuleren. Details: Privacybeleid, punt 5.8.

5.8.4. Wat de apotheek ziet. Apotheken zijn afzonderlijke verwerkingsverantwoordelijken: zij zijn zelf verantwoordelijk voor wat zij met de gegevens uit de aanvraag doen en verwerken ze om te antwoorden, de reservering voor te bereiden en de producten te verkopen en te verstrekken.

De apotheek ziet je e-mailadres, achternaam en exacte locatie niet. In de e-mail met de melding krijgt de apotheek een lijst van maximaal acht items van de aanvraag, de afstand en het tijdstip waarop zij uiterlijk kan antwoorden, zonder voornaam en telefoonnummer. De sms aan de apotheek bevat geen enkele gegevens uit de aanvraag.

5.8.5. Wie ze verder nog ontvangt. De naam en het adres van de apotheek die heeft geantwoord, tonen we in het antwoord, samen met haar informatie over gegevensverwerking. De lijst van alle apotheken die je aanvraag hebben ontvangen, verstrekken we op verzoek aan biuro@webet.pl. De e-mails met het antwoord van de apotheek en de ophaalcode worden verzonden door onze e-mailleverancier (punt 6.3), en de gegevens slaan we op bij onze hostingaanbieder (punt 6.2). Gegevens uit aanvragen geven we niet door aan marketingpartijen (punt 5.6) en we vragen apotheken geen vergoedingen die afhangen van het aantal of de waarde van aanvragen.

5.8.6. Wat je over de apotheek ziet. De naam, het adres, het telefoonnummer en de openingstijden krijg je uitsluitend te zien van de apotheek die heeft geantwoord. Tijdens het wachten zie je alleen de afstanden van de apotheken waar de aanvraag naartoe is gegaan. Apotheken krijgen elkaars namen niet te zien.

5.8.7. Hoe lang we de gegevens bewaren. De aanvraag (items, antwoord, ophaalcode): 12 maanden na het beëindigen van de aanvraag. Telefoonnummer, opmerking en gesprek met de apotheek: 30 dagen na het beëindigen van de aanvraag. De locatie die bij de aanvraag is opgegeven: 30 dagen na het beëindigen van de aanvraag. De registratie van toestemming (datum, documentversie, IP-adres): 6 jaar na het verlenen van de toestemming. De inhoud van e-mails met de items van de aanvraag bewaren we even lang als de aanvraag zelf. Nadat de aanvraag is verwijderd, blijven de door de apotheek opgegeven prijzen bij ons als prijsgegevens, zonder verband met jou. Het verwijderen van het Account verwijdert je aanvragen meteen.

5.8.8. Je rechten. Je hebt alle rechten uit punt 8. Daarnaast:

• a) Je trekt de toestemming in door de aanvraag te annuleren. Apotheken die niet hebben geantwoord, verliezen dan meteen de toegang tot je gegevens; een apotheek die al heeft geantwoord, verliest het telefoonnummer meteen en de overige gegevens na 24 uur.
• b) Het intrekken van de toestemming maakt een doorgifte die al heeft plaatsgevonden niet ongedaan. Verzoeken over gegevens die een apotheek zelf heeft bewaard, richt je aan die apotheek.
• c) Het telefoonnummer en de opmerking zijn optioneel.
• d) We nemen jegens jou geen besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en die rechtsgevolgen zouden hebben of jou anderszins in aanmerkelijke mate zouden treffen. De volgorde van apotheken volgt uitsluitend uit de afstand.
• e) De link naar de status van een zonder in te loggen verstuurde aanvraag is 7 dagen geldig.

Je persoonsgegevens delen we met verwerkers (punten 6.1–6.8 en 6.10) uitsluitend voor zover dat nodig is om de verwerkingsdoeleinden te bereiken; met elk van hen hebben we een verwerkersovereenkomst gesloten op grond van art. 28 AVG. Wanneer je een aanvraag naar apotheken in de buurt stuurt, ontvangen ook fysieke apotheken de gegevens uit de aanvraag (punt 6.9). Zij zijn afzonderlijke verwerkingsverantwoordelijken en met hen sluiten we geen verwerkersovereenkomst.

6.1 Stripe Payments Europe Ltd. en Stripe, Inc. (betaaldienstverlener)

• Rol: Verwerker
• Verwerkingsdoel: Het verwerken van krediet-/debetkaarten en andere betaalmethoden, het beheren van abonnementen en de automatische verlenging, het afhandelen van terugbetalingen en het voorkomen van betalingsfraude.
• Omvang van de gegevens: Stripe Customer ID, Subscription ID, transactie-ID, bedrag en valuta, betalingsstatus, laatste 4 cijfers van de kaart, e-mailadres van de Gebruiker, IP-adres (voor fraudeverificatie). De volledige kaartgegevens (nummer, CVV, vervaldatum) worden rechtstreeks in het Stripe-systeem ingevoerd en passeren onze servers niet.
• Locatie: Stripe Payments Europe Ltd. - Ierland (EER); Stripe, Inc. - Verenigde Staten (wereldwijde infrastructuur).
• Rechtsgrond: art. 6(1)(b) AVG (uitvoering van een overeenkomst) en art. 6(1)(f) AVG (gerechtvaardigd belang - fraudepreventie).
• Grondslag voor doorgifte buiten de EER: EU-VS-kader voor gegevensbescherming (Uitvoeringsbesluit (EU) 2023/1795 van de Commissie van 10 juli 2023) - Stripe, Inc. is een gecertificeerde entiteit. Daarnaast standaardcontractbepalingen (SCC's) en PCI DSS Level 1-certificering.
• Privacybeleid: stripe.com/privacy

6.2 Hetzner Online GmbH (infrastructuurhosting)

• Rol: Verwerker
• Verwerkingsdoel: Het hosten van de webapplicatie, de API en de PostgreSQL-databank, het hosten van de Elasticsearch-zoekindex en de Redis-cache.
• Omvang van de gegevens: de volledige omvang van de in de databank opgeslagen gebruikersgegevens (accountgegevens, boodschappenlijsten, zoekgeschiedenis, sessiegegevens, technische logs).
• Locatie: Duitsland (Europese Economische Ruimte) - de gegevens verlaten de EER niet.
• Rechtsgrond: art. 6(1)(b) AVG (uitvoering van een overeenkomst).
• Grondslag voor doorgifte: niet van toepassing - de verwerking vindt volledig binnen de EER plaats. Hetzner beschikt over de certificeringen ISO 27001 en ISO 9001.

6.3 Twilio SendGrid, Inc. (transactionele e-mails en nieuwsbrief)

• Rol: Verwerker
• Verwerkingsdoel: Het versturen van transactionele e-mails (registratiebevestigingen, betalingsbevestigingen, meldingen over de verlenging van het abonnement, wachtwoordherstel, bevestigingslinks) en marketingnieuwsbrieven.
• Omvang van de gegevens: e-mailadres, voor- en achternaam (indien opgegeven bij onboarding), inhoud van het bericht, bevestigingslinks, status van aflevering/opening.
• Locatie: Verenigde Staten.
• Rechtsgrond: art. 6(1)(b) AVG (uitvoering van een overeenkomst - transactionele e-mails) en art. 6(1)(a) AVG in samenhang met de Poolse wet op de levering van elektronische diensten en de Telecommunicatiewet (toestemming - marketingnieuwsbrief).
• Grondslag voor doorgifte buiten de EER: EU-VS-kader voor gegevensbescherming (Uitvoeringsbesluit (EU) 2023/1795 van de Commissie) - Twilio SendGrid is een gecertificeerde entiteit. Daarnaast standaardcontractbepalingen (SCC's).

6.4 Amazon Web Services EMEA SARL (S3-bestandshosting)

• Rol: Verwerker
• Verwerkingsdoel: Het opslaan van bijlagebestanden, statische bronnen en back-ups in Amazon S3 (Active Storage).
• Omvang van de gegevens: bestanden die door de Gebruiker zijn toegevoegd of door de Dienst zijn gegenereerd (pdf-facturen, AVG-gegevensexports, statische bronnen).
• Locatie: Amazon Web Services EMEA SARL - Luxemburg (hoofdkantoor). We slaan de gegevens op in een regio van de Europese Unie.
• Rechtsgrond: art. 6(1)(b) AVG (uitvoering van een overeenkomst) en art. 6(1)(c) AVG (wettelijke verplichting - bewaring van facturen).
• Grondslag voor doorgifte buiten de EER: EU-VS-kader voor gegevensbescherming (Amazon Web Services is een gecertificeerde entiteit) en standaardcontractbepalingen (SCC's). AWS beschikt over de certificeringen ISO 27001, ISO 27017, ISO 27018 en SOC 1/2/3.

6.5 Rollbar, Inc. (monitoring van applicatiefouten)

• Rol: Verwerker
• Verwerkingsdoel: Detectie, rapportering en diagnose van applicatiefouten om de kwaliteit en veiligheid van de Dienst te behouden.
• Omvang van de gegevens: stack trace van de fout, sessie-identifier, user agent, IP-adres, technische context van het verzoek. Persoonsgegevens van de gebruiker worden gefilterd (PII scrubbing) vóór de verzending - voornaam, achternaam, e-mailadres, wachtwoord en betalingsgegevens worden niet doorgegeven.
• Locatie: Verenigde Staten.
• Rechtsgrond: art. 6(1)(f) AVG - gerechtvaardigd belang van de Beheerder bij het waarborgen van de veiligheid, stabiliteit en kwaliteit van de geleverde dienst.
• Grondslag voor doorgifte buiten de EER: standaardcontractbepalingen (SCC's - Uitvoeringsbesluit (EU) 2021/914 van de Commissie). Op de datum van dit beleid is Rollbar, Inc. niet gecertificeerd onder het EU-VS-kader voor gegevensbescherming - de gegevens worden uitsluitend doorgegeven op basis van SCC's en aanvullende technische maatregelen (PII scrubbing).

6.6 Google Ireland Ltd. en Google LLC (Google Tag Manager, Google Analytics 4, Google Ads)

• Rol: Verwerker - met betrekking tot GA4 en Google Ads overeenkomstig de Google Ads Data Processing Terms.
• Verwerkingsdoel: Verkeersmeting, analyse van gebruikersgedrag, meting van de effectiviteit van advertentiecampagnes (conversies), retargeting en Enhanced Conversions. Container-ID van Google Tag Manager: GTM-5ZLFN8Z7.
• Omvang van de gegevens: gedragsgegevens (bezochte pagina's, sessieduur, conversiepad), conversie-events, toestelidentifiers (Google Client ID), IP-adres (ingekort/geanonimiseerd). Voor Enhanced Conversions: gebruikersidentifier en met SHA-256 gehasht e-mailadres.
• Locatie: Google Ireland Ltd. - Ierland (EER); Google LLC - Verenigde Staten (wereldwijde infrastructuur).
• Rechtsgrond: art. 6(1)(a) AVG (toestemming van de Gebruiker, gegeven in de cookiebanner) in samenhang met de Poolse Telecommunicatiewet.
• Grondslag voor doorgifte buiten de EER: EU-VS-kader voor gegevensbescherming (Google LLC is een gecertificeerde entiteit - Besluit (EU) 2023/1795). Daarnaast standaardcontractbepalingen (SCC's).
• Privacybeleid: policies.google.com/privacy

6.7 Meta Platforms Ireland Ltd. en Meta Platforms, Inc. (Facebook Pixel)

• Rol: Gezamenlijke verwerkingsverantwoordelijke (met betrekking tot de meting van conversie-events - overeenkomstig de Controller Addendum for Facebook Business Tools).
• Verwerkingsdoel: Meting van conversies van advertentiecampagnes op het Meta-netwerk (Facebook, Instagram), retargeting en het aanmaken van Lookalike Audiences. Pixel-ID: 699317922143678.
• Omvang van de gegevens: conversie-events (PageView, AddToCart, PharmacyClick - aangepast event van de Dienst), Meta-gebruikersidentifier (indien aanwezig), standaardparameters (URL, tijdstip van het event), IP-adres. De gegevens worden doorgegeven zonder directe persoonlijke identifiers aan de zijde van de Dienst.
• Locatie: Meta Platforms Ireland Ltd. - Ierland (EER); Meta Platforms, Inc. - Verenigde Staten (wereldwijde infrastructuur).
• Rechtsgrond: art. 6(1)(a) AVG (toestemming van de Gebruiker, gegeven in de cookiebanner) in samenhang met de Poolse Telecommunicatiewet.
• Grondslag voor doorgifte buiten de EER: EU-VS-kader voor gegevensbescherming (Meta Platforms, Inc. is een gecertificeerde entiteit - Besluit (EU) 2023/1795). Daarnaast standaardcontractbepalingen (SCC's).
• Privacybeleid: facebook.com/privacy/policy

6.8 Anthropic Ireland, Limited (model voor kunstmatige intelligentie Claude)

• Rol: Verwerker. De contractpartij van de Beheerder is Anthropic Ireland, Limited (Ierland). Anthropic maakt gebruik van de subverwerkers die zijn vermeld op anthropic.com/subprocessors.
• Doel van de verwerking: het genereren van de antwoorden van de AI-Medicijnkast, het uitlezen van productnamen uit tekst en afbeeldingen, het voorstellen van gelijkwaardige producten in het mandje en het herschrijven van doseringen die de Gebruiker in het voorraadplan heeft opgegeven - zie punt 5.7.
• Omvang van de gegevens: de inhoud van berichten en afbeeldingen die naar de AI-Medicijnkast zijn gestuurd, de geschiedenis van het lopende gesprek, de productlijst in het gesprek en de namen, identificatiecodes en prijzen van de producten in het mandje. Zonder voor- en achternaam, e-mailadres, identificatiecode van het Account en IP-adres van de Gebruiker.
• Locatie: Anthropic Ireland, Limited - Ierland (EER); de verwerking door Anthropic en zijn subverwerkers vindt ook buiten de EER plaats.
• Rechtsgrond: uitdrukkelijke toestemming van de Gebruiker (art. 6(1)(a) en art. 9(2)(a) AVG) - zie punt 5.7. Verwerkersovereenkomst (art. 28 AVG): de commerciële voorwaarden van Anthropic (Commercial Terms of Service) samen met het Data Processing Addendum, door de Beheerder aanvaard. Anthropic mag op de door de Beheerder doorgegeven gegevens geen modellen trainen.
• Grondslag voor doorgifte buiten de EER: standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie) die in het Data Processing Addendum van Anthropic zijn opgenomen.
• Bewaartermijn bij Anthropic: invoer en antwoorden worden binnen 30 dagen verwijderd; langer — tot 2 jaar — alleen als de automatische veiligheidssystemen van Anthropic een gesprek als strijdig met de gebruiksregels markeren, of als de wet dat vereist.
• Informatie van Anthropic over gegevensbescherming: anthropic.com/legal/privacy; lijst van subverwerkers: anthropic.com/subprocessors.

6.9 Fysieke apotheken (ontvangers van aanvragen)

• Categorie ontvangers: openbare apotheken in Polen die met ons een overeenkomst hebben gesloten en zich binnen het door jou gekozen gebied bevinden.
• Rol: afzonderlijke verwerkingsverantwoordelijken. Met apotheken sluiten we geen verwerkersovereenkomst; een apotheek verwerkt geen gegevens namens ons.
• Omvang van de gegevens: punt 5.8.4.
• Doel: beantwoording van de aanvraag, reservering, verkoop en verstrekking van producten.
• Grondslag voor doorgifte: je uitdrukkelijke toestemming (art. 9(2)(a) AVG).
• Locatie: Polen.

6.10 SMSAPI (sms-meldingen voor apotheken)

• Rol: verwerker.
• Verwerkingsdoel: het versturen van sms-meldingen aan apotheken die dit kanaal hebben ingeschakeld.
• Omvang van de gegevens: het telefoonnummer van de apotheek en de inhoud van de melding. Geen patiëntgegevens.
• Locatie: Polen.
• Rechtsgrond: art. 6(1)(b) AVG (uitvoering van de overeenkomst met de apotheek).

Met alle hierboven genoemde verwerkers (punten 6.1–6.8 en 6.10) hebben we verwerkersovereenkomsten (DPA) gesloten op grond van art. 28 AVG. De Beheerder heeft geen functionaris voor gegevensbescherming (DPO) aangesteld - de verwerking voldoet niet aan de criteria voor verplichte aanstelling die in art. 37(1) AVG zijn vastgelegd. Alle aangelegenheden inzake gegevensbescherming kunnen rechtstreeks aan de Beheerder worden gericht op biuro@webet.pl.

Sommige gegevens kunnen buiten de Europese Economische Ruimte worden verwerkt. De verwerking buiten de EER betreft de volgende entiteiten: Stripe, Inc. (Verenigde Staten), Twilio SendGrid, Inc. (Verenigde Staten), Amazon Web Services - wereldwijde infrastructuur (met gegevens van de Dienst gehost in EU-regio's), Rollbar, Inc. (Verenigde Staten), Google LLC (Verenigde Staten), Meta Platforms, Inc. (Verenigde Staten), Anthropic — subverwerkers van Anthropic Ireland, Limited buiten de EER. De gegevens die door Hetzner Online GmbH worden verwerkt, blijven volledig in Duitsland (EER). De doorgifte van gegevens buiten de EER vindt plaats op basis van:

• (a) Uitvoeringsbesluit (EU) 2023/1795 van de Commissie van 10 juli 2023 betreffende het EU-VS-kader voor gegevensbescherming - met betrekking tot gecertificeerde entiteiten (Stripe, Twilio SendGrid, AWS, Google, Meta)
• (b) Standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914 van de Commissie) - in andere gevallen, waaronder Rollbar, Inc. en Anthropic.
• (c) Organisatorische en technische maatregelen conform PCI DSS Level 1, ISO 27001, SOC 2 - afhankelijk van de aanbieder
• (d) Aanvullende technische waarborgen zoals SSL/TLS-versleuteling, pseudonimisering en filtering van persoonsgegevens (PII scrubbing) vóór de verzending

Een kopie van de standaardcontractbepalingen (SCC's) en informatie over specifieke waarborgen voor doorgifte kun je verkrijgen door contact op te nemen met de Beheerder op biuro@webet.pl.

Op grond van de AVG heb je de volgende rechten:

8.1 Recht op inzage in de gegevens (art. 15 AVG)

Je kunt bevestiging verkrijgen of wij je gegevens verwerken en toegang tot die gegevens krijgen.

8.2 Recht op rectificatie (art. 16 AVG)

Je kunt verzoeken om de rectificatie van onjuiste gegevens of de aanvulling van onvolledige gegevens.

8.3 Recht op gegevenswissing - "recht om vergeten te worden" (art. 17 AVG)

Je kunt verzoeken om de wissing van gegevens als deze niet langer nodig zijn of als je je toestemming hebt ingetrokken.

8.4 Recht op beperking van de verwerking (art. 18 AVG)

Je kunt in bepaalde situaties verzoeken om de beperking van de verwerking.

8.5 Recht op gegevensoverdraagbaarheid (art. 20 AVG)

Je kunt je gegevens in CSV- of JSON-formaat ontvangen en overdragen aan een andere verwerkingsverantwoordelijke.

8.6 Recht van bezwaar (art. 21 AVG)

Je kunt op elk moment bezwaar maken tegen de verwerking van gegevens voor marketingdoeleinden.

8.7 Recht om de toestemming in te trekken (art. 7(3) AVG)

Als de verwerking op toestemming berust, kun je deze op elk moment intrekken.

8.8 Recht om een klacht in te dienen (art. 77 AVG)

Je kunt een klacht indienen bij de toezichthoudende autoriteit - in Polen de voorzitter van het Bureau voor de Bescherming van Persoonsgegevens:

Bureau voor de Bescherming van Persoonsgegevens (UODO)
ul. Stawki 2, 00-193 Warschau, Polen
E-mail: kancelaria@uodo.gov.pl
Telefoon: +48 22 531 03 00
Website: uodo.gov.pl

Hoe oefen je je rechten uit?

Om een van de bovenstaande rechten uit te oefenen, neem contact met ons op:

• E-mail: biuro@webet.pl
• Telefoon: +48 798 908 242
• Per post: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen (met vermelding "Gegevensbescherming")

Wij beantwoorden je verzoek zonder onnodige vertraging - uiterlijk binnen één maand na ontvangst van het verzoek.

Wij passen passende technische en organisatorische maatregelen toe om je persoonsgegevens te beschermen:

9.1 Technische maatregelen

• SSL/TLS-versleuteling voor alle gegevensoverdrachten
• Hashing van wachtwoorden met het bcrypt-algoritme met een individuele salt (eenrichting, onomkeerbaar - het wachtwoord kan zelfs door de beheerder niet worden hersteld)
• Versleuteling van gevoelige gegevens in de databank
• Regelmatige versleutelde back-ups
• Firewall en DDoS-bescherming
• 24/7 beveiligingsmonitoring

9.2 Organisatorische maatregelen

• Beperkte toegang tot persoonsgegevens
• Beleid inzake informatiebeveiliging
• Regelmatige opleiding van het personeel
• Vertrouwelijkheidsovereenkomsten met werknemers en contractanten
• Periodieke beveiligingsaudits

10.1 Wat zijn cookies?

Cookies zijn kleine tekstbestanden die je browser tijdens het browsen op websites op je toestel opslaat. Ze maken het mogelijk om je toestel te herkennen en informatie over je bezoek te onthouden.

10.2 Welke cookies gebruiken wij?

Essentiële cookies

Doel: Noodzakelijk voor de correcte werking van de website
Rechtsgrond: Gerechtvaardigd belang (art. 6(1)(f) AVG)
Duur: Sessie of tot 1 jaar

Voorbeelden: sessie-ID, CSRF-token, cookie_consent

Functionele cookies

Doel: Het onthouden van voorkeuren en instellingen
Rechtsgrond: Gerechtvaardigd belang
Duur: Tot 12 maanden

Voorbeelden: user_preferences, theme_mode

Stripe-cookies (betalingen)

Doel: Betalingsverwerking, fraudepreventie
Aanbieder: Stripe, Inc. (VS)
Rechtsgrond: Uitvoering van een overeenkomst (art. 6(1)(b) AVG)
Duur: Van sessie tot 2 jaar

Voorbeelden: __stripe_mid, __stripe_sid
Meer info: stripe.com/cookies-policy/legal

Analytische cookies

Doel: Analyse van gebruikersgedrag, optimalisatie van de site
Rechtsgrond: Toestemming van de gebruiker (art. 6(1)(a) AVG)
Duur: Tot 24 maanden

privacy.sections.cookies.types.analytics.examples

Opmerking: Deze cookies worden alleen gebruikt met je uitdrukkelijke toestemming.

10.3 Beheer van cookies

Bij je eerste bezoek tonen wij een banner met cookie-informatie. Je kunt:

• Alle cookies aanvaarden - toestemming voor alle types
• Voorkeuren aanpassen - cookietypes selecteren
• Optionele cookies weigeren - alleen essentiële cookies

Je kunt cookies ook beheren in de instellingen van je browser (Chrome, Firefox, Safari, Edge).

Opmerking: Het uitschakelen van sommige cookies kan de functionaliteit van de site beïnvloeden. Essentiële cookies kunnen niet worden uitgeschakeld zonder de basisfunctionaliteit te verliezen.

De Dienst is bestemd voor volwassenen (18 jaar en ouder) overeenkomstig de voorwaarden. De Beheerder verzamelt niet bewust persoonsgegevens van personen jonger dan 16 jaar. Indien wordt vastgesteld dat gegevens van een persoon jonger dan 16 jaar zijn verzameld zonder verifieerbare toestemming van de persoon die het ouderlijk gezag uitoefent (art. 8(1) AVG), worden deze onverwijld verwijderd. Als je een ouder of voogd bent en denkt dat een kind ons persoonsgegevens heeft verstrekt, neem dan contact met ons op via biuro@webet.pl.

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Wij informeren je over wezenlijke wijzigingen:

• Door een e-mailmelding te versturen
• Door een melding op de startpagina
• Door een melding in de Dienst na het inloggen

Over wezenlijke wijzigingen die van invloed zijn op de omvang van de verwerking van persoonsgegevens, informeren we je ten minste 14 dagen voordat ze in werking treden. Waar de verwerking jouw toestemming vereist, vragen we daar afzonderlijk om.

Als je vragen hebt over dit privacybeleid of je rechten wilt uitoefenen, neem contact met ons op:

E-mail: biuro@webet.pl

Telefoon: +48 798 908 242 (ma-vr, 9:00-17:00)

Adres: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polen

Wij antwoorden op algemene vragen binnen 3 werkdagen en op AVG-verzoeken binnen één maand.

AVG-conformiteit: CheaperForDrug is volledig conform de Algemene Verordening Gegevensbescherming (AVG - Verordening (EU) 2016/679) en de Poolse Wet bescherming persoonsgegevens van 10 mei 2018. Je gegevens worden verwerkt volgens de hoogste normen inzake veiligheid en privacy.

• Verordening (EU) 2016/679 van het Europees Parlement en de Raad (AVG)
• De Poolse wet van 10 mei 2018 op de bescherming van persoonsgegevens
• De Poolse wet van 18 juli 2002 op de levering van elektronische diensten
• De Poolse wet van 16 juli 2004 - Telecommunicatiewet
• De Poolse wet van 30 mei 2014 op de Consumentenrechten
• Uitvoeringsbesluit (EU) 2023/1795 van de Commissie van 10 juli 2023 (EU-VS-kader voor gegevensbescherming)
• Uitvoeringsbesluit (EU) 2021/914 van de Commissie (standaardcontractbepalingen)

• 16 oktober 2026 — toevoeging van punt 5.8 (aanvraag aan apotheken in de buurt en afhalen met een code), punt 6.9 (fysieke apotheken als afzonderlijke verwerkingsverantwoordelijken), punt 6.10 (sms-leverancier) en punt 2.4 (apotheekgegevens); aanvulling van de punten 2, 3 en 4; wijziging van de punten 5.1–5.5 en van de inleiding op punt 6.
• 31 oktober 2026 — toevoeging van punt 5.7 (AI-Medicijnkast en andere functies met kunstmatige intelligentie) en punt 6.8 (Anthropic Ireland, Limited als verwerker), aanvulling van de punten 2, 3, 4, 5 en 7 met gesprekken met de AI-Medicijnkast; de toestemming voor de verwerking van gezondheidsgegevens omvat vanaf deze versie ook berichten aan de AI-Medicijnkast en wordt vóór het eerste bericht gevraagd.
• 3 juli 2026 — bijwerking van de datum van het document. De toen in de geschiedenis beschreven punten 5.7 en 6.8 zijn niet gepubliceerd; de inhoud ervan wordt ingevoerd door de versie van 31 oktober 2026.
• 13 mei 2026 - update compliance-audit: lijst van gegevensverwerkers bijgewerkt (Stripe, Hetzner, Twilio SendGrid, AWS, Rollbar, Google, Meta in plaats van de eerder vermelde Vercel/Scalingo), sectie over gegevens van bijzondere categorie toegevoegd (art. 9 AVG - gezondheidsgegevens in boodschappenlijsten met vrij verkrijgbare geneesmiddelen), clausules inzake wijziging van de voorwaarden bijgewerkt (actieve aanvaarding in plaats van stilzwijgende) en automatische verlenging van het abonnement (melding 7 dagen op voorhand), bcrypt-terminologie gecorrigeerd (hashing in plaats van versleuteling), leeftijdsregels verduidelijkt (16/18), rechtsgrond voor de nieuwsbrief bijgewerkt.
• 17 november 2025 - oorspronkelijke versie van het document.