---

Laatst bijgewerkt: 16 juli 2025

1. Inleiding

Dit HIPAA Privacybeleid legt uit hoe Bloo, Inc. ("wij", "ons", of "Blue") de privacy en beveiliging van Beschermde Gezondheidsinformatie (PHI) beschermt in overeenstemming met de Health Insurance Portability and Accountability Act van 1996 (HIPAA) en de bijbehorende regelgeving. Dit beleid is van toepassing op onze website www.Blue.cc en ons B2B SaaS-platform wanneer dit wordt gebruikt voor het verwerken van PHI.

2. Definities

• Beschermde Gezondheidsinformatie (PHI): Alle informatie over gezondheidsstatus, verlening van gezondheidszorg, of betaling voor gezondheidszorg die gekoppeld kan worden aan een specifiek individu.
• Covered Entity: Zorgverleners, zorgverzekeraars en zorgclearinghuizen die gezondheidsinformatie elektronisch overdragen.
• Business Associate: Een persoon of entiteit die bepaalde functies of activiteiten uitvoert die het gebruik of de openbaarmaking van PHI inhouden namens, of diensten verleent aan, een Covered Entity.

3. Onze Rol

Blue functioneert als Business Associate voor Covered Entities wanneer ons B2B SaaS-platform wordt gebruikt om PHI te verwerken. Wij zijn toegewijd aan het naleven van HIPAA-regelgeving in deze hoedanigheid.

4. PHI die Wij Kunnen Verwerken

Als Business Associate kunnen wij verschillende soorten PHI verwerken, waaronder maar niet beperkt tot:

• Patiëntnamen
• Adressen
• Datums (geboorte, opname, ontslag, etc.)
• Telefoonnummers
• E-mailadressen
• Medische dossiernummers
• Rekeningnummers
• Zorgverzekeringsbeneficiariënummers

5. Gebruik en Openbaarmaking van PHI

Wij zullen PHI alleen gebruiken of openbaar maken zoals toegestaan door onze Business Associate Agreement met de Covered Entity en in overeenstemming met HIPAA-regelgeving. Dit kan omvatten:

• Het leveren van onze B2B SaaS-platformdiensten
• Het uitvoeren van data-analyse om onze diensten te verbeteren
• Het uitvoeren van systeemonderhoud en probleemoplossing

Wij zullen PHI niet gebruiken of openbaar maken voor marketingdoeleinden of PHI verkopen tenzij expliciet geautoriseerd door de Covered Entity en het individu.

6. Gegevensbeveiligingsmaatregelen

Wij implementeren robuuste beveiligingsmaatregelen om PHI te beschermen, waaronder:

• Enterprise-niveau encryptie (AES-256) voor data in rust en in transit
• Geavanceerde monitoring- en waarschuwingssystemen
• Multi-factor authenticatie (MFA) voor backend-systemen
• Regelmatige externe beveiligingsaudits
• Dagelijkse gegevensbackups
• Samenwerking met externe beveiligingsonderzoekers

7. Werknemertraining en Toegang

Al onze werknemers ontvangen regelmatige training over HIPAA-naleving. Toegang tot PHI is beperkt tot geautoriseerd personeel op basis van need-to-know.

8. Gegevensbewaring

Wij bewaren PHI alleen zolang als nodig is om onze diensten te verlenen of zoals vereist door de wet. Zodra PHI wordt verwijderd, bewaren wij het gedurende 30 dagen voordat het permanent wordt verwijderd.

9. Gegevensopslag en -overdracht

PHI wordt versleuteld opgeslagen in AWS-datacenters. Als wij PHI buiten de Verenigde Staten overdragen (bijv. naar Singapore), zorgen wij ervoor dat passende waarborgen aanwezig zijn en dat alle toepasselijke wetten en regelgeving worden nageleefd.

10. Melding van Inbreuken

In het geval van een inbreuk op onbeveiligde PHI, zullen wij getroffen Covered Entities zonder onredelijke vertraging en in geen geval later dan 60 kalenderdagen na ontdekking van de inbreuk op de hoogte stellen.

11. Individuele Rechten

Wij zullen Covered Entities helpen bij het vervullen van hun verplichtingen om individuen hun rechten onder HIPAA te bieden, waaronder:

• Recht op toegang tot hun PHI
• Recht om wijzigingen aan hun PHI te verzoeken
• Recht op een overzicht van openbaarmakingen
• Recht om beperkingen op gebruik en openbaarmaking van hun PHI te verzoeken
• Recht om vertrouwelijke communicatie te verzoeken

Individuen moeten contact opnemen met hun zorgverlener (de Covered Entity) om deze rechten uit te oefenen.

12. Business Associate Agreements (BAA's)

Als Business Associate is Blue toegewijd aan het aangaan van Business Associate Agreements (BAA's) met Covered Entities zoals vereist door HIPAA. Als u een Covered Entity bent en onze diensten wilt gebruiken voor het verwerken van Beschermde Gezondheidsinformatie (PHI), moet u een getekende BAA met ons hebben.

Om een BAA aan te vragen:

1. Neem contact op met ons verkoopteam via sales@blue.cc of via ons website contactformulier.
2. Specificeer dat u een Covered Entity bent die een BAA nodig heeft voor HIPAA-naleving.
3. Verstrek de naam en contactgegevens van uw organisatie.
4. Ons team zal binnen 2 werkdagen reageren met onze standaard BAA of om eventuele aangepaste vereisten te bespreken.

Let op:

• Wij gebruiken een standaard BAA-sjabloon dat door ons juridisch team is beoordeeld voor HIPAA-naleving.
• Eventuele wijzigingen aan onze standaard BAA kunnen aanvullende beoordeling en goedkeuring vereisen.
• Wij raden aan dat u de BAA laat beoordelen door uw eigen juridisch adviseur voordat u ondertekent.
• Er moet een getekende BAA van kracht zijn voordat PHI via ons platform wordt verwerkt.

13. Wijzigingen in Dit Beleid

Wij kunnen dit HIPAA Privacybeleid van tijd tot tijd bijwerken. Wij zullen Covered Entities op de hoogte stellen van significante wijzigingen door het nieuwe Privacybeleid op deze pagina te plaatsen. U kunt alle versiegecontroleerde wijzigingen vinden in onze Gitlab Repository

14. Contact Opnemen

Als u vragen heeft over dit HIPAA Privacybeleid, onze gegevensverwerking, of ons BAA-proces, neem dan contact op met onze Privacy Officer:

Emanuele FAJA, CEO
E-mail: support@blue.cc