1. Wie zijn wij — de verwerkingsverantwoordelijke

De volgende entiteiten zijn gezamenlijk verwerkingsverantwoordelijken in de zin van artikel 4(7) AVG/GDPR:

• Cosmotrend BV — KBO BE 0891.559.167 — Ringlaan 7, 9900 Eeklo, België
• Cosmofarma BV — Ringlaan 7, 9900 Eeklo, België

Samen opereren zij onder de naam Cosmogroup EU. De eindverantwoordelijkheid voor de verwerking van persoonsgegevens ligt bij het directieteam van Cosmogroup EU — niet bij één enkele persoon.

Voor privacy-gerelateerde vragen of verzoeken: [email protected]

2. Welke gegevens verwerken wij

2.1 Bezoekers van de website

• IP-adres (afgekapt — niet herleidbaar tot individu)
• Browsertype, schermresolutie, taalinstelling
• Paginaweergaven, sessieduur, herkomstpagina
• Cookie-voorkeuren

2.2 Contactformulier & aanvragen

• Naam, voornaam
• Professioneel e-mailadres
• Instelling of organisatie
• Inhoud van het bericht

2.3 Portaalgebruikers — zorgprofessionals (FarmacoBiomics)

• Professionele accountgegevens (naam, instelling, RIZIV-nummer optioneel)
• Study ID's van analyses — nooit patiëntnamen
• Geüploade documenten (enkel na expliciete toestemming)
• Rapportdownloads en tijdstempels

2.4 Biologische analysedata (My InnerSelfie, FarmacoBiomics, CosmoPulse)

2.5 CosmoPulse — sportprestatidata

• CRAS-scores, PDI-waarden, Pulse Types — pseudoniem (spelerscode)
• Gekoppeld aan teamaccount — niet aan publieke identiteit

3. Waarom en op welke grondslag

Verwerking	Doel	Rechtsgrond (AVG)
Websitebezoek — anonieme statistieken	Verbetering van de website	Art. 6(1)(f) — gerechtvaardigd belang
Contactformulier	Beantwoorden van aanvragen	Art. 6(1)(b) — uitvoering overeenkomst / precontractueel
Portaaltoegang zorgprofessionals	Levering van de dienst	Art. 6(1)(b) — uitvoering overeenkomst
Biologische analysedata	Uitvoering multi-omics analyse en rapportage	Art. 9(2)(a) — expliciete toestemming · Art. 9(2)(h) — medische zorg
CosmoPulse prestatiedata	Prestatie-intelligentie voor de club/organisatie	Art. 6(1)(b) — overeenkomst met de club
Analytische cookies	Websiteoptimalisatie	Art. 6(1)(a) — toestemming via cookie-banner
Marketing cookies (LinkedIn)	B2B-bereik	Art. 6(1)(a) — expliciete toestemming
Facturatie en boekhouding	Wettelijke verplichting	Art. 6(1)(c) — wettelijke verplichting

4. Bewaartermijnen

Datatype	Bewaartermijn	Na termijn
Anonieme websitestatistieken	13 maanden	Automatisch verwijderd
Contactformulier	2 jaar na laatste contact	Verwijderd op verzoek of automatisch
My InnerSelfie analysedata	6 maanden na aanmaak rapport	Automatisch verwijderd — rapport blijft in account zolang account actief is
Full Monty analysedata	1 jaar na aanmaak rapport	Automatisch verwijderd — rapport blijft in account
FarmacoBiomics analysedata	6 maanden na rapport	Automatisch verwijderd — rapport in portaal zolang account actief
CosmoPulse prestatiedata	1 maand na invoer	Automatisch verwijderd
Portaalaccounts	Zolang account actief is	Verwijderd binnen 30 dagen na opzegging
Factuurdata	7 jaar (wettelijk vereist)	Gearchiveerd conform Belgisch boekhoudrecht
Cookie-consent log	12 maanden	Automatisch verwijderd

5. Derden en internationale doorgifte

Cosmogroup EU werkt met de volgende verwerkers. Met elke verwerker is een verwerkersovereenkomst (DPA) afgesloten conform artikel 28 AVG:

Verwerker	Rol	Locatie
Amazon Web Services (AWS)	Cloud-hosting — alle platformen	EU — Ierland (eu-west-1). Geen doorgifte buiten EER.
Netlify	Hosting portaal & Intel-platform	CDN globaal — data-opslag EU
Airtable	Datamanagement portaal	VS — SCCs afgesloten + EU data residency
WordPress (zelfgehost)	Website CMS	AWS Ierland
Shopify	Transactioneel platform — kits	VS — SCCs afgesloten · betaaldata via Shopify Payments
[TODO: analytics]	Websiteanalytics	[TODO: locatie invullen]

Cosmogroup EU verkoopt nooit persoonsgegevens aan derden en deelt geen gegevens voor reclamedoeleinden van derden.

6. Uw rechten

Op grond van de AVG beschikt u over de volgende rechten:

• Recht op inzage (art. 15) — u kunt opvragen welke gegevens wij over u verwerken
• Recht op rectificatie (art. 16) — u kunt onjuiste gegevens laten corrigeren
• Recht op verwijdering (art. 17) — u kunt verwijdering vragen ("recht op vergetelheid")
• Recht op beperking (art. 18) — u kunt de verwerking laten beperken
• Recht op overdraagbaarheid (art. 20) — u kunt uw gegevens in leesbaar formaat ontvangen
• Recht van bezwaar (art. 21) — u kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang
• Recht op intrekking toestemming — u kunt gegeven toestemming op elk moment intrekken

Verzoeken worden beantwoord binnen 30 dagen. Bij identiteitsverificatie kan gevraagd worden om aanvullende informatie. Stuur uw verzoek naar: [email protected]

7. Beveiliging

• Alle data versleuteld in transit (TLS 1.3) en at rest (AES-256)
• Biologische analysedata altijd geanonimiseerd — nooit in plain text opgeslagen
• Toegangscontrole via role-based access — minimale rechten per gebruiker
• AWS-infrastructuur in Ierland — ISO 27001, SOC 2, GDPR-compliant
• Belgian DPA 72-uursprotocol bij datalek — melding aan Gegevensbeschermingsautoriteit
• Regelmatige beveiligingsaudits

8. Cookies

Cosmogroup EU gebruikt drie categorieën cookies: noodzakelijk, analytisch en marketing. U kunt uw voorkeuren instellen via de cookiebanner bij uw eerste bezoek of via het cookie-icoon linksonder op elke pagina. Zie ons volledige cookiebeleid voor een gedetailleerd overzicht per cookie.

9. Gezondheidsdata — bijzondere categorie (art. 9 AVG)

• Op basis van expliciete toestemming (art. 9(2)(a)) van de betrokkene via de behandelende professional
• In het kader van medische zorg of behandeling (art. 9(2)(h)) door een zorgprofessional
• Met een Study ID-systeem — nooit naam of BSN/INSZ in het systeem van Cosmogroup
• Met verplichte informed consent voorafgaand aan elke analyse
• Conform het Belgian DPA-protocol — melding bij inbreuk binnen 72 uur

De koppeling van een Study ID aan een patiëntidentiteit berust uitsluitend bij de behandelende professional en valt buiten de verwerkingsverantwoordelijkheid van Cosmogroup EU.

10. Contact & klachten