Privacy- en cookieverklaring de Nederlandse ggz

Jouw privacy is voor de Nederlandse ggz van groot belang. Wij stellen alles in het werk om de verzamelde persoonsgegevens te beschermen.

Deze verklaring is van toepassing op:

de openbare website van de Nederlandse ggz (www.denederlandseggz.nl) en het besloten onlineplatform van de GGZ Community (www.ggzcommunity.nl)

Samenvatting in het kort

De Nederlandse ggz verwerkt persoonsgegevens van o.a. medewerkers van leden, stakeholders, community-gebruikers, sollicitanten, medewerkers en websitebezoekers.
We gebruiken die gegevens voor ledenrelaties, belangenbehartiging, community, bijeenkomsten, HR, communicatie en beveiliging van systemen.
Gegevens komen vooral van betrokkenen zelf, hun organisatie, openbare bronnen en dienstverleners die in opdracht van ons werken.
We verwerken alleen wat nodig is en altijd op een AVG-grondslag (overeenkomst, wet, gerechtvaardigd belang of toestemming).
Bewaartermijnen zijn per proces vastgelegd. Gegevens worden verwijderd, geanonimiseerd of gearchiveerd zodra deze niet meer nodig zijn.
We delen gegevens uitsluitend met verwerkers en partijen die nodig zijn voor onze taken. We verkopen geen persoonsgegevens.
Beveiliging is ingericht met technische én organisatorische maatregelen, plus een datalek- en incidentbeheerprocedure.
Betrokkenen hebben rechten (inzage, correctie, verwijdering, bezwaar, etc.) en kunnen hiervoor terecht bij het CPAI.
Cookies en vergelijkbare technieken gebruiken we voor werking website en online platform, statistiek en - na toestemming - marketing.
Deze privacyverklaring wordt periodiek geactualiseerd. Belangrijke wijzigingen communiceren we actief.

1. Inleiding

In deze privacy- en cookieverklaring leggen wij uit hoe de Nederlandse ggz met persoonsgegevens omgaat. Wij vinden het belangrijk dat u weet welke gegevens wij verwerken, waarom wij dat doen en welke rechten u heeft.

Deze verklaring is van toepassing op de persoonsgegevens van:

medewerkers en contactpersonen van lid-instellingen (“medewerkers leden”);
ontvangers van onze nieuwsbrieven en andere communicatie;
gebruikers van de GGZ Community en andere online omgevingen van de Nederlandse ggz;
stakeholders, lobbycontacten, donateurs en andere geïnteresseerden;
(potentiële) medewerkers, (oud-)medewerkers en stagiairs;
bezoekers van onze websites en portalen;
externe medewerkers (inhuur/gedelegeerden) en leverancierscontacten;
bezoekers en sprekers op bijeenkomsten van de Nederlandse ggz.

De verklaring privacy- en cookieverklaring gaat niet over het verwerken van patiëntgegevens door ggz-instellingen zelf. Daarvoor zijn de afzonderlijke zorginstellingen verantwoordelijk met hun eigen privacybeleid.

Bij de verwerking van persoonsgegevens houden wij ons aan de Algemene verordening gegevensbescherming (AVG) en andere toepasselijke wet- en regelgeving.

2. Wie is de verwerkingsverantwoordelijke?

2.1 De Nederlandse ggz

De Nederlandse ggz is de branchevereniging voor de geestelijke gezondheidszorg en verslavingszorg in Nederland en is voor de in deze verklaring beschreven verwerkingen de verwerkingsverantwoordelijke in de zin van de AVG.

De Nederlandse ggz
Piet Mondriaanplein 25
3812 GZ Amersfoort
KvK-nummer: 40483580
E-mail: info@denederlandseggz.nl
Telefoon: +31 (0)33 460 89 00

2.2 Coördinatiepunt Privacy, AI en Informatiebeveiliging (CPAI)

De Nederlandse ggz heeft geen Functionaris Gegevensbescherming aangewezen. Voor zover wij kunnen beoordelen, zijn wij op basis van de huidige AVG-criteria niet verplicht een FG aan te wijzen.

Wij hebben wél een Coördinatiepunt Privacy, AI en Informatiebeveiliging (CPAI) ingericht. Dit coördinatiepunt is het primaire centrale aanspreekpunt voor:

vragen over privacy en informatiebeveiliging;
meldingen of vragen over AI-toepassingen;
verzoeken tot uitoefening van privacyrechten.

Contact via:
E-mail: cpai@denederlandseggz.nl

3. Welke persoonsgegevens verwerken wij?

Welke persoonsgegevens wij verwerken hangt af van uw relatie met de Nederlandse ggz. In hoofdlijnen gaat het om de volgende categorieën.

Medewerkers van leden: naam, functie, organisatie, contactgegevens, betrokkenheid bij werkgroepen en projecten, communicatievoorkeuren.
Ontvangers nieuwsbrieven: naam, (zakelijk) e-mailadres, organisatie, voorkeuren voor thema’s, beperkte gebruiksstatistieken (bijv. open- en klikgedrag).
Gebruikers GGZ Community: account- en profielgegevens, berichten en reacties, groepslidmaatschappen, log- en beveiligingsgegevens, notificatievoorkeuren.
Stakeholders, lobbycontacten, donateurs en geïnteresseerden: naam, functie, organisatie, contactgegevens, rol in relevante dossiers, publiek beschikbare activiteiten.
(Potentiële) medewerkers, (oud-)medewerkers en stagiairs: identificatie- en contactgegevens, gegevens uit cv en sollicitatie, HR- en loonadministratie, verzuim- en arbo-informatie, opleidings- en functioneringsgegevens, waar nodig beperkte gezondheidsgegevens voor zover wettelijk toegestaan.
Bezoekers websites en portalen: IP-adressen, cookie-ID’s en voorkeuren, log- en beveiligingsgegevens, geaggregeerde statistieken over gebruik.
Externe medewerkers en leverancierscontacten: contactgegevens, contractgegevens, toegangsrechten tot systemen/locaties.
Bezoekers en sprekers op bijeenkomsten: naam, organisatie, functie, contactgegevens, informatie over deelname (bijv. sessies), eventuele dieetwensen of toegankelijkheidsbehoeften, en - indien van toepassing - beeld- en geluidsmateriaal.

In de volgende hoofdstukken leggen wij per doel uit op basis waarvan en waarvoor wij deze gegevens verwerken.

4. Waar komen uw gegevens vandaan?

Bijvoorbeeld: bij sollicitaties kunnen wij informatie ontvangen via een recruiter of via referenties die u heeft opgegeven. Ook kunnen leden van uw organisatie uw naam doorgeven bij deelname aan een werkgroep of overleg.

Wij ontvangen persoonsgegevens op verschillende manieren.

Rechtstreeks van u:
wanneer u of uw organisatie contact met ons heeft (bijv. lidmaatschap, events, community, sollicitatie, nieuwsbriefinschrijving).
Via uw werkgever of organisatie:
bijvoorbeeld wanneer u wordt aangemeld als contactpersoon, deelnemer aan een project, overleg of bijeenkomst.
Uit openbare bronnen:
met name voor belangenbehartiging en netwerkdoeleinden, via:
- websites van organisaties;
- openbare registers (zoals de KvK);
- beleidsdocumenten, nieuwsartikelen en andere publicaties;
- openbaar toegankelijke profielpagina’s en sociale media (zoals LinkedIn), voor zover u die zelf openbaar heeft gemaakt.
Via onze dienstverleners (verwerkers):
bijvoorbeeld via aanbieders van:
- hosting en technisch beheer;
- leveranciers (hardware/software)
- mail- en nieuwsbriefsystemen;
- community- en eventplatformen;
- beveiligingstools.

Deze dienstverleners verwerken persoonsgegevens uitsluitend in onze opdracht. Met hen sluiten wij verwerkersovereenkomsten.

Als wij persoonsgegevens over u verwerken die wij niet rechtstreeks van u hebben ontvangen (bijvoorbeeld via uw organisatie of uit openbare bronnen), informeren wij u daarover binnen een redelijke termijn, uiterlijk binnen één maand na ontvangst, of op het moment van het eerste contact, tenzij een wettelijke uitzondering geldt

5. Waarvoor gebruiken wij uw persoonsgegevens (doeleinden en grondslagen)

Wij verwerken persoonsgegevens alleen als daar een duidelijk doel en een wettelijke grondslag voor aanwezig is.

Belangrijke doelen zijn:

beheer van het lidmaatschap en de ledenadministratie;
organiseren van bijeenkomsten, trainingen en (online) events;
faciliteren van de GGZ Community en andere online samenwerking;
uitvoeren van belangenbehartiging en beleidsontwikkeling;
interne bedrijfsvoering, waaronder HR en financiën;
informeren van betrokkenen via nieuwsbrieven en andere communicatie;
beveiligen en verbeteren van websites, systemen en diensten.

We baseren ons daarbij op de volgende grondslagen (art. 6 AVG):

uitvoering van een overeenkomst (bijv. lidmaatschap, arbeidsovereenkomst, eventdeelname, communitygebruik);
nakoming van een wettelijke verplichting (bijv. fiscale bewaarplichten, arbeidsrechtelijke verplichtingen);
uw toestemming (bijv. nieuwsbrieven, marketingcookies, bepaald gebruik van beeldmateriaal);
gerechtvaardigd belang van de Nederlandse ggz of een derde, waarbij wij een zorgvuldige belangenafweging maken (bijv. belangenbehartiging, beveiliging, privacyvriendelijke statistiek).

Voor bepaalde HR-processen verwerken wij in beperkte gevallen bijzondere persoonsgegevens, zoals gezondheidsgegevens in het kader van verzuim of re-integratie. Dit gebeurt uitsluitend op grond van een specifieke wettelijke uitzondering, bijvoorbeeld op basis van de uitzondering van artikel 9 lid 2 onder b AVG, maar nooit op basis van impliciete toestemming.

5.1 Overzicht per categorie

Welke persoonsgegevens verwerken wij?
Welke persoonsgegevens wij verwerken hangt af van uw relatie met de Nederlandse ggz. Hieronder geven wij per categorie een overzicht van de belangrijkste gegevens.

Medewerkers van leden
Wij verwerken onder meer:

naam, functie en organisatie;
zakelijke contactgegevens (e-mailadres, telefoonnummer);
informatie over uw betrokkenheid bij werkgroepen, commissies, projecten of kennisgroepen;
voorkeuren voor nieuwsbrieven en andere communicatie.

Ontvangers van de nieuwsbrief
Wij verwerken onder meer:

naam en (zakelijk) e-mailadres;
organisatie en (indien bekend) functie;
uw voorkeuren voor bepaalde nieuwsbrieven of thema’s;
beperkte gebruiksstatistieken (zoals open- en klikgedrag) om onze communicatie te verbeteren.

Gebruikers van de GGZ Community
Wij verwerken onder meer:

naam, gebruikersnaam en profielgegevens;
contactgegevens en organisatierol;
lidmaatschappen van groepen of community ’s;
door u geplaatste berichten, reacties en andere bijdragen;
technische gegevens, zoals inloggegevens, logbestanden en beveiligingsinformatie.

Stakeholders, lobbycontacten, donateurs en geïnteresseerden
Wij verwerken onder meer:

naam, functie en organisatie;
contactgegevens;
informatie over uw rol in relevante dossiers of overlegstructuren;
informatie over publiek beschikbare activiteiten (bijvoorbeeld publicaties, bijdragen aan commissies of deelname aan openbare debatten).

Medewerkers, sollicitanten, (oud-)medewerkers en stagiairs
Wij verwerken onder meer:

identificatie- en contactgegevens;
gegevens uit cv, motivatiebrief en referenties;
gegevens die nodig zijn voor salarisadministratie, verzuim- en arboprocessen;
gegevens over opleiding, ontwikkeling en functioneringsgesprekken;
waar nodig en toegestaan: beperkte gezondheidsgegevens in het kader van wet- en regelgeving (bijvoorbeeld re-integratie of arbobeleid).

Bezoekers van websites en portalen
Wij verwerken onder meer:

IP-adres en andere online identificatoren;
cookie-ID’s en instellingen;
log- en beveiligingsgegevens (bijv. foutmeldingen, inlogpogingen);
geaggregeerde statistieken over website- en portaalgebruik.

Externe medewerkers en leverancierscontacten
Wij verwerken onder meer:

naam, functie en organisatie;
contactgegevens;
contractgegevens en relevante correspondentie;
toegangsbeheer tot onze systemen en locaties indien van toepassing.

Bezoekers en sprekers op bijeenkomsten
Wij verwerken onder meer:

naam, organisatie en functie;
contactgegevens;
informatie over uw deelname (bijvoorbeeld welke sessies u bezoekt);
eventuele dieetwensen of toegankelijkheidsbehoeften die u doorgeeft;
(indien van toepassing) beeld- en geluidsmateriaal van bijeenkomsten waarvoor toestemming is gegeven.

Onderstaande tabel geeft een verkorte weergave van de juridische grondslagen (art. 6 AVG) voor de belangrijkste categorieën van betrokkenen.

Categorie	Typische verwerkingen	Grondslag / artikel 6 AVG	Toelichting
Medewerkers van leden	Lidmaatschapsadmi-nistratie, communicatie, beleidsinformatie	Art. 6 lid 1 b – uitvoering overeenkomst Art. 6 lid 1 f – gerechtvaardigd belang	Beheer lidrelatie en dienstverlening; noodzakelijke communicatie.
Ontvangers nieuwsbrief	Verzending nieuwsbrief, beheer abonnement, statistiek (open/click)	Art. 6 lid 1 a – toestemming	Actieve opt‑in; intrekbaar; beperkt statistisch gebruik.
GGZ Community‑gebruikers	Accountbeheer, profiel, berichten, interactie	Art. 6 lid 1 b – overeenkomst Art. 6 lid 1 f – beveiliging/moderatie	Functioneel noodzakelijk; beveiligings‑ en moderatiebelang.
Stakeholders/lobbycontacten, donateurs, geïnteresseerden	Relatiebeheer, uitnodigingen, communicatie	Art. 6 lid 1 f – gerechtvaardigd belang	Belangenbehartiging en representatie van de sector.
Medewerkers, sollicitanten, (oud‑)medewerkers, stagiaires	Sollicitatie‑, HR‑ en loonadministratie, verzuim, opleidingen	Art. 6 lid 1 b – arbeidsovereenkomst/precontractueel Art. 6 lid 1 c – wettelijke verplichting Art. 6 lid 1 a – toestemming (optioneel)	Contractuele of wettelijke basis; toestemming enkel voor vrijwillige verwerkingen.
Bezoekers websites/portalen	Functionele cookies, statistiek, beveiliging	Art. 6 lid 1 f – gerechtvaardigd belang Art. 6 lid 1 a – toestemming (niet‑essentiële cookies)	Essentiële cookies op belang; overige enkel na toestemming.
Externe medewerkers en leveranciers -contacten	Contractbeheer, facturatie, toegangsbeheer	Art. 6 lid 1 b – uitvoering overeenkomst Art. 6 lid 1 f – gerechtvaardigd belang	Noodzakelijk voor uitvoering en beveiliging van processen.
Bezoekers en sprekers op bijeenkomsten	Aanmelding, deelnemerslijsten, beeldmateriaal	Art. 6 lid 1 b – deelname overeenkomst Art. 6 lid 1 a – toestemming (beeldmateriaal) Art. 6 lid 1 f – organisatiebelang	Organisatie van evenement; toestemming voor beeldmateriaal.

Wanneer wij ons beroepen op gerechtvaardigd belang (art. 6 lid 1 f AVG), hanteren wij de volgende waarborgen:

Doel: bijvoorbeeld beveiliging van systemen/portalen, kwaliteitsverbetering website, belangenbehartiging in de sector.
Noodzakelijkheid: verwerking is proportioneel en beperkt tot wat nodig is (minimale gegevens, beperkte bewaartermijn, pseudonimisering waar mogelijk).
Balansmaatregelen: duidelijke opt‑outs waar passend, toegangsbeperking (need‑to‑know), DPIA review en geen onverwachte of onevenredige impact voor betrokkenen.

6. Met wie delen wij uw persoonsgegevens?

Wij delen persoonsgegevens alleen als dat nodig is voor onze taken, als wij daartoe wettelijk verplicht zijn of als u daar toestemming voor hebt gegeven. Bijvoorbeeld: bij evenementen kunnen wij uw gegevens delen met sprekers, locatiebeheer of cateringpartijen als dat nodig is voor een goede organisatie, bij dieetwensen of toegangsbeheer.

Verwerkers: partijen die in onze opdracht diensten leveren (hosting, mail, community, beveiliging, etc.). Met hen sluiten wij verwerkersovereenkomsten.
Andere verwerkingsverantwoordelijken: bijvoorbeeld social media platforms (LinkedIn, Meta) voor zover zij eigen doeleinden bepalen.
Interne ontvangers: betrokken afdelingen en medewerkers binnen de Nederlandse ggz, voor zover zij toegang nodig hebben voor hun werkzaamheden.

Wij verkopen geen persoonsgegevens aan derden.

7. Doorgifte van persoonsgegevens buiten de EER

Onze primaire verwerkingen vinden plaats binnen de Europese Economische Ruimte (EER). Als er toch gegevens worden doorgegeven naar landen buiten de EER, zorgen wij voor passende waarborgen, zoals:

een adequaatheidsbesluit van de Europese Commissie (bijv. voor het Verenigd Koninkrijk);
deelname van de ontvanger aan het EU–US Data Privacy Framework (DPF);
standaardcontractbepalingen (Standard Contractual Clauses – SCC’s) met aanvullende maatregelen waar nodig.

In het cookie-overzicht geven wij per aanbieder aan of er sprake kan zijn van doorgifte buiten de EER en welke waarborgen daarvoor gelden.

8. Bewaar- en vernietigingstermijnen

Wij bewaren persoonsgegevens niet langer dan nodig is voor de doelen waarvoor wij ze hebben verzameld, tenzij wij wettelijk verplicht zijn deze langer te bewaren. Na afloop van de bewaartermijnen verwijderen of anonimiseren wij de gegevens, of worden deze op een zodanige manier gearchiveerd, dat de toegang sterk wordt beperkt.

Voorbeelden:

nieuwsbrieven: tot uitschrijving + beperkte periode (bijv. 24 maanden inactiviteit).
stakeholders/lobbycontacten: zolang relevant, met periodieke herbeoordeling (bijv. elke 2 jaar).
community-accounts: zolang account actief is; beveiligingslogs bijv. 6 maanden.
sollicitaties: 4 weken na afronding procedure, of 1 jaar met toestemming.
personeelsdossiers: volgens wettelijke termijnen (bijv. 7 jaar voor fiscale gegevens).
beveiligingslogbestanden: standaard 6 maanden, langer alleen bij incident/onderzoek.

Concrete termijnen zijn vastgelegd in ons interne Bewaartermijnen en vernietigingsbeleid. Een overzicht van deze termijnen is op aanvraag beschikbaar, zodat u inzicht heeft in onze bewaartermijnsystematiek en verwijderprocedures.

9. Gebruik van de GGZ Community

De GGZ Community is een online platform van de Nederlandse ggz voor samenwerking en kennisdeling binnen de geestelijke gezondheidszorg. Om u toegang te kunnen geven en het platform veilig te laten functioneren, verwerken wij verschillende persoonsgegevens.

Welke gegevens in de GGZ Community?
In de GGZ Community verwerken wij onder meer:

account- en profielgegevens: naam, gebruikersnaam, (zakelijk) e-mailadres, organisatie, functie/rol, interessegebieden;
community-activiteiten: berichten, reacties, uploads, deelname aan groepen of kanalen, likes of andere interacties;
technische en beveiligingsgegevens: inlogmomenten, IP-adres, logbestanden, rechten en rollen, fouten- en beveiligingsmeldingen;
instellingen en voorkeuren: notificatievoorkeuren, taalinstellingen, zichtbaarheid van profielonderdelen.

Doeleinden en rechtsgrond
Wij verwerken community-gegevens voor de volgende doeleinden:

faciliteren van samenwerking en kennisdeling tussen betrokken partijen in de ggz;
beheer van accounts en autorisaties, zodat alleen bevoegde gebruikers toegang hebben;
moderatie en misbruikpreventie, bijvoorbeeld bij overtreding van gedragsregels of beveiligingsincidenten;
beveiliging en verbetering van het platform, inclusief het oplossen van storingen en het analyseren van gebruik (geaggregeerd/niet tot op persoonsniveau waar mogelijk).

De verwerking van deze gegevens baseren wij op:

Uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG): u maakt gebruik van de GGZ Community op basis van gebruikersvoorwaarden of deelname-afspraken;
Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): het belang van de Nederlandse ggz en haar leden om een veilig, betrouwbaar en relevant community-platform te kunnen aanbieden en misbruik te voorkomen. Hierbij maken wij een zorgvuldige afweging tussen onze belangen en uw privacy.

Wij verwerken via de GGZ Community geen patiënt- of cliëntdossiers.

Zichtbaarheid en delen van community-gegevens
Binnen de GGZ Community zijn bepaalde gegevens zichtbaar voor andere gebruikers, bijvoorbeeld:

uw naam, organisatie, functie en basisprofiel;
uw berichten, reacties en andere bijdragen in groepen of kanalen waar u actief bent.

In besloten groepen zijn uw bijdragen in principe alleen zichtbaar voor deelnemers aan die groep. Beheerders en aangewezen moderatoren kunnen toegang hebben tot aanvullende informatie voor beheer- en moderatiedoeleinden.

Wij delen community-gegevens niet met derden voor hun eigen marketing- of verkoopdoeleinden. Voor zover externe partijen het platform technisch ondersteunen, treden zij op als verwerker en verwerken zij gegevens uitsluitend in onze opdracht.

Moderatie, meldingen en huisregels
Om een veilige en professionele omgeving te waarborgen, hanteren wij community- of huisregels. Wij kunnen:

bijdragen beoordelen op naleving van deze regels;
bijdragen (laten) verbergen, aanpassen of verwijderen als ze hiermee in strijd zijn;
gebruikers waarschuwen of, in ernstige gevallen, de toegang (tijdelijk) beperken of beëindigen.

Gebruikers kunnen mogelijk ongewenste inhoud of gedrag melden via de GGZ Community of via het CPAI. Dergelijke meldingen worden vertrouwelijk behandeld en zo nodig gecombineerd met loggegevens om incidenten te onderzoeken.

Bewaartermijnen binnen de GGZ Community

Accounts: uw community-account bewaren wij zolang u dit actief gebruikt of zolang dat noodzakelijk is in verband met uw rol of functie. Als uw account wordt beëindigd, wordt de toegang afgesloten.
Profielgegevens: na beëindiging van het account worden profiel- en accountgegevens binnen een redelijke termijn verwijderd of gepseudonimiseerd, tenzij wij ze langer moeten bewaren op grond van een wettelijke verplichting of voor bewijsdoeleinden (bijvoorbeeld bij incidenten of geschillen).
Berichten en bijdragen: bijdragen in discussies en groepen kunnen – om de leesbaarheid van discussies en dossiervorming te behouden - (geanonimiseerd of gepseudonimiseerd) in de Community achterblijven. Waar mogelijk verwijderen of pseudonimiseren wij de directe herleidbaarheid naar uw profiel, tenzij dat strijdig is met zwaarwegende belangen (bijvoorbeeld bij integriteits- of veiligheidskwesties).
Log- en beveiligingsgegevens: beveiligingslogbestanden worden in principe 6 maanden bewaard, tenzij een langer bewaartermijn noodzakelijk is in verband met een beveiligingsincident, onderzoek of juridische verplichting.

De concrete bewaartermijnen zijn nader uitgewerkt in het interne Bewaartermijnen en vernietigingsbeleid. Wij evalueren deze termijnen periodiek en passen deze aan als dat nodig is.

10. Welke rechten heeft u?

U heeft op grond van de AVG onder meer het recht om:

inzage te vragen in de persoonsgegevens die wij van u verwerken;
rectificatie te vragen als uw gegevens onjuist of onvolledig zijn;
in bepaalde gevallen wissing (“recht om vergeten te worden”) te vragen;
beperking van de verwerking te vragen;
bezwaar te maken tegen bepaalde verwerkingen, bijvoorbeeld wanneer wij ons beroepen op gerechtvaardigd belang of direct marketing;
uw toestemming in te trekken, als wij persoonsgegevens op basis van uw toestemming verwerken;
in specifieke gevallen dataportabiliteit te vragen.

Geautomatiseerde besluitvorming/profiling
Wij nemen geen besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking en rechtsgevolgen voor u hebben of u in aanmerkelijke mate treffen. Er vindt geen geautomatiseerde besluitvorming/profilering plaats op grond van art. 22 AVG.
Mocht dit in de toekomst veranderen, dan informeren wij u vooraf en treffen wij de wettelijk vereiste waarborgen.

10.1 Hoe kunt u uw rechten uitoefenen?

U kunt een verzoek indienen via:

Coördinatiepunt Privacy, AI en Informatiebeveiliging (CPAI)
E-mail: cpai@denederlandseggz.nl

Wij kunnen u vragen om aanvullende informatie om uw identiteit te verifiëren. Wij reageren in principe binnen één maand na ontvangst van uw verzoek. In uitzonderlijke gevallen kan deze termijn met twee maanden worden verlengd; in dat geval informeren wij u binnen de eerste maand over de reden van de verlenging.

In sommige situaties kunnen wij uw verzoek (gedeeltelijk) niet inwilligen, bijvoorbeeld vanwege wettelijke bewaarplichten of de rechten van anderen. In dat geval lichten wij dat gemotiveerd toe.

11. Hoe beveiligen wij uw persoonsgegevens?

Wij nemen passende technische en organisatorische maatregelen om uw persoonsgegevens te beschermen tegen verlies, misbruik en onbevoegde toegang. Voorbeelden zijn:

toegangsbeveiliging op basis van functies en rollen (“need to know”);
sterke authenticatie en beveiligde verbindingen (zoals TLS);
versleuteling van gegevens waar dat passend is;
actuele beveiligingssoftware en regelmatige updates;
logging en monitoring van systemen;
afspraken en instructies voor medewerkers en verwerkers over zorgvuldig gebruik van gegevens.

Wij hanteren een datalek- en incidentbeheerprocedure. Datalekken worden geregistreerd, beoordeeld en, indien nodig, gemeld bij de Autoriteit Persoonsgegevens en de betrokkenen.

12. Cookies en vergelijkbare technieken

Wij gebruiken cookies en vergelijkbare technieken op onze website en in de GGZ Community. Cookies zijn kleine tekstbestanden die bij uw eerste bezoek worden opgeslagen op uw computer, tablet of mobiele telefoon. De opgeslagen informatie in de cookies wordt naar onze eigen beveiligde servers of die van de betreffende derde partijen gestuurd. Dit gebeurt via de webbrowser op uw apparaat.

We onderscheiden:

functionele (noodzakelijke) cookies: voor een goede werking en beveiliging van de website en portalen (geen toestemming nodig voor gebruik),
statistische cookies: voor inzicht in gebruik, soms op basis van gerechtvaardigd belang, soms met toestemming,
marketing cookies: voor meting en optimalisatie van campagnes en communicatie (alleen met uw toestemming).

LinkedIn Insight Tag/Meta‑pixel (marketing cookies)
Wij plaatsen marketing cookies uitsluitend na uw toestemming. Deze cookies meten campagne‑effectiviteit en ondersteunen (re)marketing. De betrokken platforms (LinkedIn/Meta) zijn eigen verwerkingsverantwoordelijke voor verdere verwerking van de gegevens. Verwerking kan buiten de EER plaatsvinden. Wij vertrouwen op DPF-certificering of SCC’s (met aanvullende maatregelen) en tonen dit per provider in de cookietabel.

U kunt uw toestemming altijd intrekken via de cookie‑instellingen, vanaf dat moment worden marketingtags niet meer geladen.

Bij uw eerste bezoek tonen wij een cookiebanner waarin u:

noodzakelijke cookies kunt accepteren;
kunt aangeven of u statistische en/of marketing cookies toestaat;
uw keuze later kunt wijzigen of uw toestemming kunt intrekken.

In het onderstaande cookie-overzicht (tabel) geven wij per cookie of tool aan:

naam;
domein/provider;
categorie;
doel;
bewaartermijn;
doorgifte buiten de EER en welke waarborgen gelden.

Tabel met cookie-overzicht

Naam	Domein/Provider	Categorie	Doel	Bewaartermijn	Doorgifte
cookie_consent_status	*.denederlandseggz.nl · CMP	Noodzakelijk	Bewaart cookie‑voorkeuren en toestemmingsstatus	12–24 maanden (afhankelijk CMP)	n.v.t.
sessionid	*.denederlandseggz.nl · CMS/hosting	Noodzakelijk	Sessiebeheer, inloggen, beveiliging/load‑balancing	Sessie	n.v.t.
XSRF‑TOKEN	*.denederlandseggz.nl · CMS/hosting	Noodzakelijk	CSRF‑bescherming	Sessie	n.v.t.
_pk_id.*	*.denederlandseggz.nl · Piwik PRO (EU)	Statistisch	Unieke bezoeker voor geaggregeerde statistiek	±13 maanden	n.v.t.
_pk_ref	*.denederlandseggz.nl · Piwik PRO (EU)	Statistisch	Referrer/attributie	±6 maanden	n.v.t.
_pk_ses.*	*.denederlandseggz.nl · Piwik PRO (EU)	Statistisch	Sessie‑identificatie	±30 minuten	n.v.t.
li_gc	*.linkedin.com · LinkedIn Insight Tag	Marketing	Consentstatus/conversiemeting	±2 jaar	VS (DPF)/buiten EER (SCC)
li_sugr	*.linkedin.com · LinkedIn Insight Tag	Marketing	Probabilistische ID/ads	±90 dagen	VS (DPF)/buiten EER (SCC)
lidc	*.linkedin.com · LinkedIn	Marketing	Load‑balancing/route	±1 dag	VS (DPF)/buiten EER (SCC)
bcookie	*.linkedin.com · LinkedIn	Marketing	Browser‑ID/veiligheid	±2 jaar	VS (DPF)/buiten EER (SCC)
bscookie	*.www.linkedin.com · LinkedIn	Marketing	Beveiliging/login integraties	±2 jaar	VS (DPF)/buiten EER (SCC)
UserMatchHistory	*.linkedin.com · LinkedIn	Marketing	Matching/synchronisatie IDs	±30 dagen	VS (DPF)/buiten EER (SCC)
AnalyticsSyncHistory	*.linkedin.com · LinkedIn	Marketing	Sync‑gegevens analytics/ads	±1 maand	VS (DPF)/buiten EER (SCC)
_fbp	*.denederlandseggz.nl · Meta/Facebook Pixel	Marketing	(Re)marketing/advertenties	±90 dagen	VS (DPF)/buiten EER (SCC)
_fbc	*.denederlandseggz.nl · Meta/Facebook Pixel	Marketing	Click‑ID conversiemeting	±2 jaar	VS (DPF)/buiten EER (SCC)
wow.trackingdata	t.gatorleads.co.uk · Spotler (GatorLeads)	Marketing	Geëncrypteerde sessie‑identifier/leadherken-ning	Sessie	VK (EU‑adequacy)
wow.utmvalues	t.gatorleads.co.uk · Spotler (GatorLeads)	Marketing	UTM‑campagneparameters	Sessie	VK (EU‑adequacy)
wow.session	t.gatorleads.co.uk · Spotler (GatorLeads)	Marketing	Sessiestatus tracking	Sessie	VK (EU‑adequacy)
wow.data	t.gatorleads.co.uk · Spotler (GatorLeads)	Marketing	Persistente tracking t.b.v. leads	±2 jaar	VK (EU‑adequacy)

13. Externe websites en links

Onze website en de GGZ Community kunnen links bevatten naar websites van derden of ingesloten content van derden (bijvoorbeeld video’s of social mediaknoppen). Deze privacy- en cookieverklaring is niet van toepassing op deze externe websites en diensten. Wij hebben geen invloed op hoe deze partijen met persoonsgegevens omgaan.

Wij raden u aan de privacy- en cookieverklaringen van deze derden te lezen, wanneer u hun websites of diensten bezoekt.

14. Social media buttons

Op onze website maken wij gebruik van social media buttons, waarmee je wordt doorverwezen naar de verschillende social media platforms. De buttons functioneren door stukjes code die afkomstig zijn van de social media platforms.

Als je wilt weten wat de social media platforms doen met jouw persoonsgegevens, lees dan de desbetreffende privacyverklaring:

15. Vimeo

Wij tonen incidenteel Vimeo video’s op onze website. Wanneer u deze video’s afspeelt, komt u op de website van Vimeo. Lees de privacy- en cookieverklaring van Vimeo voor meer informatie over hoe zij met uw persoonsgegevens omgaan Vimeo (privacyverklaring).

16. Klachten en toezichthouder

Als u niet tevreden bent over de manier waarop wij met uw persoonsgegevens omgaan, vragen wij u dit eerst bij ons te melden via het Coördinatiepunt Privacy, AI en Informatiebeveiliging (CPAI). Wij proberen dan samen met u tot een oplossing te komen.

U heeft daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, de nationale toezichthouder voor de bescherming van persoonsgegevens in Nederland.

17. Contact en wijzigingen

Voor vragen over deze privacy- en cookieverklaring of over de manier waarop wij met persoonsgegevens omgaan, kunt u contact opnemen via:

De Nederlandse ggz
Piet Mondriaanplein 25
3812 GZ Amersfoort
E-mail: info@denederlandseggz.nl
Telefoon: +31 (0)33 460 89 00