Privacyverklaring

✎

Concept, versie 30 september 2026. Gemarkeerde onderdelen worden nog aangevuld en gecontroleerd voordat deze verklaring ingaat.

Als je bij AAYA komt voor een consult, check of behandeling, vertrouw je ons gevoelige informatie toe. Daar gaan we zorgvuldig mee om. In deze privacyverklaring lees je welke gegevens we van je verwerken, waarom we dat doen, met wie we ze delen, hoe lang we ze bewaren en welke rechten je hebt. Dat geldt voor cliënten, voor bezoekers van onze website, voor klanten van onze webshop en voor sollicitanten. Heb je een vraag? Mail ons via sophie@aaya.nl of bel 020 210 1230.

Artikel 1. Wie wij zijn

Deze privacyverklaring is van AAYA Health & Cosmetic Clinic B.V. (KvK 67381111, btw NL821964872B01). Bestellingen in onze webshop verwerken we via AAYA Products B.V. (KvK 96673265, btw NL867709054B01), handelend onder de naam AAYA Health & Cosmetic Clinic, gevestigd aan de Minervalaan 29, 1077 NL Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 67381111, AGB-code 84-057632. In deze verklaring noemen we dat "AAYA", "wij" of "ons".
AAYA is de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG). Dat betekent dat wij bepalen waarom en hoe je gegevens worden verwerkt, en dat wij daarvoor verantwoordelijk zijn.
We hebben locaties in Amsterdam (Minervalaan 29), Zandvoort (Haltestraat 12), Deventer (Waltorenpad 4) en Lochem (Koopsdijk 1). Voor alle locaties geldt deze ene privacyverklaring. Actuele adressen vind je op Locaties en contact.
Heb je een vraag over privacy of wil je een van je rechten gebruiken? Neem contact op met:
- onze privacycontactpersonen: Rebecca Hietink (leefstijlarts) en Maxime Hoogveld (cosmetisch arts)
- e-mail: sophie@aaya.nl
- telefoon: 020 210 1230
- post: AAYA, t.a.v. privacy, Minervalaan 29, 1077 NL Amsterdam

Artikel 2. Welke gegevens we verwerken

Welke gegevens we van je verwerken, hangt af van hoe je met ons in contact komt.

Als je cliënt bent

Je naam, adres, woonplaats, telefoonnummer en e-mailadres.
Je geboortedatum en geslacht.
Je burgerservicenummer (BSN) en het nummer van je identiteitsbewijs. Die controleren we bij je eerste afspraak.
De naam en gegevens van je huisarts, en eventueel van je verwijzer of specialist.
Gegevens over je afspraken: datum, tijd, locatie, behandelaar en of je bent geweest.
Betaal- en factuurgegevens.
Als je jonger bent dan 16 jaar: de gegevens van je ouder of voogd.

Medische gegevens

Je medische voorgeschiedenis, je medicatie (zoals je actueel medicatieoverzicht) en je allergieën.
Wat je ons vertelt in vragenlijsten, bij de intake en tijdens consulten.
Uitslagen van metingen, checks, bloed- en laboratoriumonderzoek en thuistesten.
De afspraken over je behandeling, je toestemming en het verloop van de behandeling.
Foto's van het behandelgebied in verschillende stadia van je behandeling, voor en na.
Correspondentie met je huisarts of andere zorgverleners.

Medische gegevens zijn bijzondere persoonsgegevens. Daar gelden extra strenge regels voor, en daar houden we ons aan.

Als je onze website bezoekt

Technische gegevens, zoals je IP-adres, het type apparaat en browser, en de pagina's die je bekijkt.
Als je daarvoor toestemming geeft: gegevens over je surfgedrag op onze website, via analytische en marketingcookies (zie artikel 7).
Wat je invult in het contactformulier: je naam, e-mailadres, telefoonnummer en je bericht.
Als je je aanmeldt voor de nieuwsbrief: je naam en e-mailadres.
Als je online een afspraak maakt: de gegevens die je invult in de online agenda.

Als je iets koopt in onze webshop

Je naam, factuur- en afleveradres, e-mailadres en telefoonnummer.
Je bestelling, je bestelgeschiedenis en je account, als je dat aanmaakt.
Betaalgegevens, zoals de betaalmethode en of de betaling is gelukt. Je volledige bank- of kaartgegevens zien wij niet: die verwerkt onze betaalprovider.
Hoe je bij de webshop bent gekomen, bijvoorbeeld via een zoekmachine of een advertentie (bestelherkomst).

Als je bij ons solliciteert

Je naam en contactgegevens, je cv, je motivatiebrief en wat je ons verder vertelt tijdens de sollicitatie.
Bij artsen en andere zorgverleners: je BIG-registratie en diploma's.

Artikel 3. Waarvoor we je gegevens gebruiken en op welke grondslag

We gebruiken je gegevens alleen als daar een wettelijke grondslag voor is. Hieronder zie je per doel welke grondslag we gebruiken.

Je zorg en behandeling. Om je afspraken in te plannen, je te onderzoeken en te behandelen, je medisch dossier bij te houden en je nazorg te geven.
Grondslag: de uitvoering van de behandelovereenkomst (artikel 6 lid 1 sub b AVG) en voor je medische gegevens de verlening van gezondheidszorg (artikel 9 lid 2 sub h AVG, in combinatie met artikel 30 van de Uitvoeringswet AVG). Het bijhouden van een dossier is ook een wettelijke plicht onder de WGBO (artikel 7:454 BW).
Je identiteit en je BSN. Om te controleren wie je bent en je BSN vast te leggen in je dossier.
Grondslag: wettelijke plicht (artikel 6 lid 1 sub c AVG), op grond van de Wet gebruik burgerservicenummer in de zorg.
Betaling en administratie. Om facturen te maken, betalingen te verwerken en onze boekhouding te doen. Waar van toepassing ook om een declaratie bij je zorgverzekeraar mogelijk te maken.
Grondslag: de uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG) en de wettelijke fiscale bewaarplicht (artikel 6 lid 1 sub c AVG).
Contact met je huisarts of andere zorgverleners. Bijvoorbeeld bij een afwijkende uitslag, of als dat nodig is voor goede zorg.
Grondslag: de verlening van gezondheidszorg (artikel 9 lid 2 sub h AVG). We doen dit alleen met jouw toestemming, tenzij de wet ons verplicht of er sprake is van een noodsituatie.
Kwaliteit en veiligheid van onze zorg. Om onze zorg te evalueren en te verbeteren, en om klachten en incidenten af te handelen zoals de Wet kwaliteit, klachten en geschillen zorg (Wkkgz) van ons vraagt.
Grondslag: wettelijke plicht (artikel 6 lid 1 sub c AVG) en ons gerechtvaardigd belang bij goede zorg (artikel 6 lid 1 sub f AVG). Voor analyses en statistiek gebruiken we zoveel mogelijk gegevens die niet tot jou te herleiden zijn.
Wetenschappelijk onderzoek. We gebruiken gegevens uit ons dossier alleen voor wetenschappelijk onderzoek als ze niet tot jou te herleiden zijn, of als je daar vooraf uitdrukkelijk toestemming voor hebt gegeven.
Grondslag: je uitdrukkelijke toestemming (artikel 9 lid 2 sub a AVG) of de uitzondering voor wetenschappelijk onderzoek in de WGBO (artikel 7:458 BW).
Online afspraken maken. Om je afspraak via de online agenda in te plannen en je een bevestiging en herinnering te sturen.
Grondslag: de uitvoering van de overeenkomst of het nemen van stappen daarvoor (artikel 6 lid 1 sub b AVG).
Webshop. Om je bestelling te verwerken, te laten bezorgen en te laten betalen, om je op de hoogte te houden van je bestelling en om retouren en garantie af te handelen.
Grondslag: de uitvoering van de koopovereenkomst (artikel 6 lid 1 sub b AVG) en de fiscale bewaarplicht (artikel 6 lid 1 sub c AVG).
Vragen via het contactformulier, e-mail of telefoon. Om je vraag te beantwoorden.
Grondslag: ons gerechtvaardigd belang om vragen goed te kunnen beantwoorden (artikel 6 lid 1 sub f AVG), of het nemen van stappen voor een overeenkomst (artikel 6 lid 1 sub b AVG).
Nieuwsbrief. Om je onze nieuwsbrief te sturen met nieuws, tips en aanbiedingen van AAYA.
Grondslag: je toestemming (artikel 6 lid 1 sub a AVG). Je kunt je altijd afmelden via de link onder elke nieuwsbrief.
Analytische en marketingcookies. Om te meten hoe onze website wordt gebruikt, de website te verbeteren en advertenties te tonen en te meten.
Grondslag: je toestemming via onze cookiebanner (artikel 6 lid 1 sub a AVG en artikel 11.7a Telecommunicatiewet).
Een veilige en werkende website. Om de website technisch te laten werken, te beveiligen en misbruik te voorkomen.
Grondslag: ons gerechtvaardigd belang (artikel 6 lid 1 sub f AVG).
Sollicitaties. Om je sollicitatie te beoordelen en contact met je op te nemen.
Grondslag: het nemen van stappen voor een arbeidsovereenkomst (artikel 6 lid 1 sub b AVG) en, als we je gegevens langer bewaren, je toestemming (artikel 6 lid 1 sub a AVG).

We nemen geen besluiten over jou die alleen op geautomatiseerde verwerking zijn gebaseerd, zonder dat er een mens naar kijkt. We verkopen je gegevens nooit aan anderen.

Toestemming bij de start van je behandeling

Bij je eerste consult of check leggen we je uit hoe de behandeling werkt en hoe we met je gegevens omgaan. Dat leggen we vast in de behandelovereenkomst die je ondertekent. Zonder de gegevens die nodig zijn voor je behandeling en je dossier kunnen we je geen zorg verlenen. Ben je jonger dan 16 jaar? Dan geeft je ouder of voogd toestemming voor de behandeling en voor het verwerken van je gegevens.

Artikel 4. Je medisch dossier en je AAYA-code

Bij je eerste bezoek maken we een medisch dossier voor je aan in ons elektronisch patiëntendossier (EPD) van FileMaker. Daarin leggen we alles vast wat nodig is voor goede zorg, waaronder de foto's die we tijdens je behandeling maken.
In het EPD krijg je een eigen, unieke AAYA-code. Je medische gegevens, metingen en rapporten slaan we op onder die code, los van je naam en adresgegevens. Dat heet pseudonimiseren. Zo kan iemand die alleen de medische gegevens ziet, niet zien van wie ze zijn.
Let op: gepseudonimiseerde gegevens zijn niet anoniem. AAYA kan de code weer koppelen aan jou, en dat moet ook, want anders kunnen we je niet goed behandelen. Daarom blijven de regels van de AVG en de WGBO gewoon van toepassing, en behandelen we je gegevens altijd als vertrouwelijke medische gegevens.
Na een check krijg je bij de outtake altijd een fysiek rapport mee naar huis. Wil je dat? Dan sturen we je ook een pdf van het rapport. Dat doen we via een beveiligde verbinding.
Kun je je eigen gegevens online terugzien, bijvoorbeeld in onze webapp, dan staan ze ook daar onder je AAYA-code en log je veilig in.
Alleen de mensen die bij je zorg betrokken zijn, hebben toegang tot je dossier: je behandelaar, andere zorgverleners in de kliniek, waarnemers en stagiaires onder begeleiding, en administratieve medewerkers voor zover dat voor hun werk nodig is. Iedereen heeft een geheimhoudingsplicht: artsen op grond van hun beroepsgeheim, en alle medewerkers ook via een geheimhoudingsverklaring.
Foto's uit je dossier gebruiken we alleen voor je behandeling. We gebruiken ze nooit voor de website, social media of andere publicaties, tenzij je daar vooraf apart en schriftelijk toestemming voor geeft. Die toestemming kun je altijd weer intrekken.

Artikel 5. Hoe lang we je gegevens bewaren

We bewaren je gegevens niet langer dan nodig is voor het doel waarvoor we ze hebben verzameld, of zo lang als de wet dat verplicht.

Medisch dossier: 20 jaar na je laatste behandeling, zoals de WGBO voorschrijft (artikel 7:454 BW). Soms bewaren we het langer, als dat nodig is voor goede zorg, bijvoorbeeld bij een langdurige behandeling of een erfelijke aandoening.
Financiële en administratieve gegevens (facturen, betalingen, bestellingen): 7 jaar, vanwege de fiscale bewaarplicht.
Contactformulier en e-mails met vragen: maximaal 1 jaar nadat je vraag is afgehandeld, tenzij het bericht onderdeel wordt van je dossier.
Nieuwsbrief: tot je je afmeldt. Daarna verwijderen we je gegevens uit de verzendlijst.
Webshopaccount: tot je je account opheft, of 2 jaar na je laatste bestelling. De bestelgegevens zelf bewaren we 7 jaar vanwege de fiscale bewaarplicht.
Cookies en websitestatistieken: zolang in ons cookiebeleid staat.
Sollicitaties: tot 4 weken na het einde van de sollicitatieprocedure. Geef je toestemming, dan bewaren we je gegevens maximaal 1 jaar voor een eventuele andere vacature.

Artikel 6. Met wie we je gegevens delen

We delen je gegevens alleen met anderen als dat nodig is voor je zorg, voor onze dienstverlening of als de wet ons daartoe verplicht. Iedere partij krijgt alleen de gegevens die nodig zijn.
Andere zorgverleners. Je huisarts, een specialist of een andere zorgverlener krijgt alleen gegevens van je als dat nodig is voor je zorg en je daar toestemming voor geeft, bijvoorbeeld bij een afwijkende uitslag. Zonder je toestemming delen we alleen als de wet ons verplicht of als er sprake is van een noodsituatie.
Laboratoria. Als we bloed of ander materiaal laten onderzoeken, krijgt het laboratorium de gegevens die nodig zijn voor het onderzoek en de uitslag.
Zorgverzekeraar. AAYA heeft geen contracten met zorgverzekeraars. Wordt een behandeling toch (deels) vergoed, bijvoorbeeld de GLI of een consult bij de gynaecoloog met verwijzing, dan delen we alleen de gegevens die nodig zijn voor de declaratie.
Instanties die daar wettelijk recht op hebben. Bijvoorbeeld de Inspectie Gezondheidszorg en Jeugd of de Belastingdienst, als de wet dat verplicht.
Verwerkers. Voor een deel van ons werk schakelen we bedrijven in die gegevens voor ons verwerken. Met al deze partijen hebben we een verwerkersovereenkomst gesloten. Daarin staat dat ze je gegevens alleen in onze opdracht gebruiken, ze goed beveiligen en geheimhouden. Het gaat om:
- de leverancier van ons EPD: FileMaker;
- e-Kis, voor ons afsprakensysteem en de online agenda op Afspraak maken;
- Mollie, onze betaalprovider voor betalingen in de webshop;
- onze hostingpartij, die onze website en webshop in Nederland of de EU host: [hostingpartij invullen];
- onze e-mail- en SMTP-dienst, voor het versturen van e-mails vanaf de website: [SMTP-provider invullen];
- de verzendpartij die je webshopbestelling bezorgt: [verzendpartij invullen];
- de nieuwsbriefdienst waarmee we de nieuwsbrief versturen: [nieuwsbriefdienst invullen zodra gekozen];
- onze boekhouder: Praud;
- onze IT-beheerder en websitebouwer, voor zover die bij onderhoud toegang tot gegevens hebben: Le Collectif.
Google, Meta en Hotjar. Alleen als je daar via onze cookiebanner toestemming voor geeft, plaatsen we cookies van Google (Google Analytics 4 en Google Ads), Meta (de Facebook Pixel) en Hotjar. Deze partijen krijgen dan gegevens over je gebruik van onze website. Meer hierover lees je in artikel 7 en in ons cookiebeleid.
Ingesloten inhoud. Op sommige pagina's tonen we Google-reviews (via Google Places), YouTube-video's en onze Instagram-feed. Google, YouTube en Instagram kunnen daarbij gegevens zoals je IP-adres ontvangen. Waar mogelijk laden we deze inhoud pas na je toestemming, of gebruiken we een privacyvriendelijke instelling.

Doorgifte buiten de Europese Economische Ruimte (EER)

We slaan je medische gegevens op binnen de EER. Sommige partijen, zoals Google, Meta en Hotjar, kunnen gegevens verwerken in landen buiten de EER, vooral in de Verenigde Staten. Dat doen we alleen als er passende waarborgen zijn. Voor de Verenigde Staten is dat het EU-VS Data Privacy Framework, als de partij daarbij is aangesloten, of anders de standaardcontractbepalingen van de Europese Commissie. Wil je daar meer over weten? Neem dan contact met ons op.

Artikel 7. Cookies en vergelijkbare technieken

Onze website gebruikt cookies en vergelijkbare technieken. Functionele cookies zijn nodig om de website en de webshop te laten werken, bijvoorbeeld om je winkelmandje te onthouden. Daarvoor vragen we geen toestemming.
Analytische en marketingcookies plaatsen we alleen als je daar toestemming voor geeft via onze cookiebanner (Complianz). We gebruiken Google Tag Manager om deze diensten te beheren, en Google Consent Mode v2 zorgt ervoor dat Google Analytics 4 en Google Ads pas cookies plaatsen als je toestemming hebt gegeven. Hetzelfde geldt voor de Meta (Facebook) Pixel en Hotjar.
Je kunt je keuze altijd aanpassen of je toestemming intrekken via de cookie-instellingen op onze website.
Welke cookies we precies gebruiken, waarvoor en hoe lang, lees je in ons cookiebeleid.

Artikel 8. Beveiliging

We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies, onbevoegde toegang, misbruik en ongewenste wijziging of openbaarmaking. Bijvoorbeeld:
- je medische gegevens staan gepseudonimiseerd in ons EPD onder je AAYA-code (zie artikel 4);
- alleen medewerkers die het voor hun werk nodig hebben, hebben toegang, met een persoonlijke inlog;
- alle medewerkers hebben een geheimhoudingsplicht en weten hoe ze veilig met gegevens omgaan;
- onze website en webshop gebruiken een beveiligde verbinding (https);
- medische gegevens, rapporten en recepten versturen we via beveiligde e-mail of een beveiligde omgeving;
- we maken afspraken met onze leveranciers over beveiliging en controleren of ze zich daaraan houden.
Gaat er toch iets mis met je gegevens, een zogenoemd datalek? Dan melden we dat, als de wet dat vraagt, binnen 72 uur bij de Autoriteit Persoonsgegevens. Als het datalek grote gevolgen voor jou kan hebben, laten we het jou ook weten.
Heb je het idee dat je gegevens niet goed beveiligd zijn of dat er misbruik is? Neem dan meteen contact met ons op via sophie@aaya.nl.

Artikel 9. Jouw rechten

Het gaat om jouw gegevens. Daarom heb je de volgende rechten:

Recht op inzage: je mag weten welke gegevens we van je hebben en een kopie van je medisch dossier krijgen. De eerste kopie is gratis.
Recht op rectificatie en aanvulling: kloppen je gegevens niet, dan passen we ze aan. Je mag ook een eigen verklaring aan je medisch dossier laten toevoegen.
Recht op verwijdering: je kunt ons vragen je gegevens te verwijderen. Dat geldt ook voor je medisch dossier: op grond van de WGBO kun je schriftelijk vragen om (een deel van) je dossier te vernietigen. We doen dat binnen 3 maanden, tenzij het bewaren van aanmerkelijk belang is voor een ander of de wet ons verplicht om het te bewaren. Houd er rekening mee dat we je dan bij een volgende behandeling minder goed kunnen helpen.
Recht op beperking: je kunt ons vragen je gegevens tijdelijk niet te gebruiken, bijvoorbeeld zolang we uitzoeken of ze kloppen.
Recht op bezwaar: gebruiken we je gegevens op basis van ons gerechtvaardigd belang, dan kun je daartegen bezwaar maken. Tegen gebruik voor direct marketing kun je altijd bezwaar maken.
Recht op overdraagbaarheid: je kunt ons vragen de gegevens die je zelf aan ons hebt gegeven in een gangbaar digitaal formaat aan jou of aan een andere partij te geven.
Recht om toestemming in te trekken: heb je ons toestemming gegeven, bijvoorbeeld voor de nieuwsbrief, cookies of het gebruik van foto's, dan kun je die altijd weer intrekken. Dat geldt vanaf het moment van intrekken, niet met terugwerkende kracht.

Zo gebruik je je rechten

Stuur je verzoek naar sophie@aaya.nl of per post naar het adres in artikel 1. Voor de nieuwsbrief kun je je ook afmelden via de link onder elke nieuwsbrief.
We willen zeker weten dat we je gegevens aan de juiste persoon geven. Daarom kunnen we je vragen je te legitimeren, bijvoorbeeld door je identiteitsbewijs te laten zien in de kliniek. Stuur geen kopie van je identiteitsbewijs mee zonder dat we daarom vragen. Doe je dat toch, maak dan je BSN en pasfoto onleesbaar.
We reageren binnen 1 maand na ontvangst van je verzoek. Is je verzoek ingewikkeld of krijgen we veel verzoeken, dan kunnen we die termijn met maximaal 2 maanden verlengen. Dat laten we je dan binnen de eerste maand weten, met de reden.
Gebruik je je rechten, dan kost dat je niets. Alleen als een verzoek duidelijk ongegrond of buitensporig is, kunnen we een redelijke vergoeding vragen of het verzoek weigeren. We leggen dan uit waarom.

Artikel 10. Klachten

Ben je niet tevreden over hoe we met je gegevens omgaan? Laat het ons dan eerst weten via sophie@aaya.nl. We zoeken graag samen met je naar een oplossing. Voor klachten over je behandeling zelf volg je onze klachtenregeling.
Kom je er met ons niet uit, of wil je dat liever niet? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens, de toezichthouder op het gebied van privacy in Nederland. Dat kan via autoriteitpersoonsgegevens.nl.

Artikel 11. Wijzigingen

We kunnen deze privacyverklaring aanpassen, bijvoorbeeld als we een nieuwe dienst gaan gebruiken of als de wet verandert. De nieuwste versie staat altijd op deze pagina, met de datum bovenaan.
Gaan we je gegevens op een wezenlijk andere manier gebruiken, dan laten we je dat van tevoren weten. Is daar je toestemming voor nodig, dan vragen we die eerst.