Privacybeleid

Laatste update: 27 mei 2026

1. Verwerkingsverantwoordelijke

Voor de gegevens van de gebruikers (opticiens) van de dienst Opticlic is de verwerkingsverantwoordelijke de uitgever van de dienst opticlic (KBO BE 1038.332.540), bereikbaar per e-mail op rgpd@opticlic.be.

Volledige burgerlijke identiteit en adres: zie Wettelijke vermeldingen.

Voor de patiëntgegevens die via Opticlic worden verwerkt, is de verwerkingsverantwoordelijke de erkende opticien die de dienst gebruikt. Opticlic treedt op als verwerker in de zin van artikel 28 van de AVG. Zie onze DPA.

2. Verzamelde gegevens

2.1 Gegevens van de gebruikers (opticiens)

• Identiteit: naam, voornaam, professioneel e-mailadres
• Professionele identificatiegegevens: RIZIV-nummer, KBO-nummer, maatschappelijke benaming
• Adres van de praktijk
• Bankgegevens (IBAN/BIC voor de derdebetalersregeling) — versleuteld
• Facturatiegegevens beheerd door Stripe (onze betaaldienstverlener)
• Verbindings- en gebruikslogs (duur, IP, browser)

2.2 Patiëntgegevens (verwerking voor de opticien)

• Identiteit: naam, voornaam, geboortedatum, INSZ (rijksregisternummer)
• Postadres
• Verzekeringsinstelling (ziekenfonds)
• Gezondheidsgegevens: volledig oftalmologisch voorschrift (sfeer, cilinder, as, additie, prisma), voorgeschreven uitrusting, medische indicatie Artikel 30 (medische filter) in voorkomend geval
• Economische gegevens: toegepaste prijzen, kortingen, VI-tegemoetkoming, persoonlijk aandeel van de patiënt (remgeld)

3. Doeleinden en rechtsgronden

• Levering van de Dienst (uitvoering van de overeenkomst, art. 6.1.b AVG): de opticien in staat stellen zijn Bijlage 15 te berekenen en te genereren.
• Facturatie (wettelijke verplichting + overeenkomst).
• Beveiliging van de Dienst (gerechtvaardigd belang): logs, fraudebestrijding.
• Patiëntgegevens: verwerkt in naam en voor rekening van de opticien (verwerking). Rechtsgrond op het niveau van de opticien: uitvoering van een taak van algemeen belang op het gebied van de gezondheid (art. 9.2.h AVG) en wettelijke verplichting (overmaking aan het ziekenfonds).

4. Hosting en lokalisatie

Alle gegevens worden gehost binnen de Europese Unie:

• Patiëntendatabank: Supabase, regio Frankfurt (Duitsland)
• Webapplicatie: Vercel, regio Parijs (fra1) of EU-equivalent
• Transactionele e-mails: Resend (regio EU)
• Betalingen: Stripe Payments Europe, Ltd. (Dublin, Ierland) — de betaalgegevens passeren nooit via de servers van Opticlic

5. Beveiligingsmaatregelen

• TLS-versleuteling van begin tot eind (overal HTTPS)
• Applicatieve versleuteling in rust van de gevoelige velden (INSZ, naam patiënt)
• Row Level Security (PostgreSQL): een opticien ziet enkel zijn eigen dossiers
• Audit log van de toegangen en wijzigingen
• Automatische versleutelde back-ups
• Authenticatie via gehasht wachtwoord (bcrypt) of magic link per e-mail

6. Bewaringstermijn

• Gebruikersaccount: gedurende de looptijd van het abonnement + 3 jaar na opzegging (boekhoudkundige verplichtingen).
• Patiëntendossiers: 5 jaar vanaf de afgifte van de Bijlage 15 (wettelijke bewaringstermijn Bijlage 15 voor de controles RIZIV/ziekenfondsen). De opticien kan op elk moment de verwijdering ervan vragen.
• Beveiligingslogs: 12 maanden.

7. Uw rechten

Overeenkomstig de AVG en de Belgische wet van 30 juli 2018 beschikt u over de volgende rechten:

• Toegang tot uw gegevens
• Rectificatie
• Wissing (« recht op vergetelheid »)
• Beperking van de verwerking
• Overdraagbaarheid (export in JSON- of PDF-formaat)
• Bezwaar
• Intrekking van de toestemming op elk moment

Om deze rechten uit te oefenen: rgpd@opticlic.be. U kunt eveneens een klacht indienen bij de Gegevensbeschermingsautoriteit (GBA) te Brussel.

Voor de patiëntgegevens dient u uw verzoek te richten aan de opticien die ze heeft ingevoerd (hij is verwerkingsverantwoordelijke).

8. Technische verwerkers

9. Cookies

Opticlic gebruikt geen enkele tracking-, reclame- of gedragsanalysecookie. Enkel strikt noodzakelijke cookies voor de werking (authenticatiesessie, weergavevoorkeur) worden geplaatst. Geen enkel gegeven wordt met derden gedeeld voor commerciële doeleinden.

10. Wijzigingen

Elke substantiële wijziging wordt minstens 30 dagen voor de inwerkingtreding ervan per e-mail meegedeeld.