Verwerkersovereenkomst

1. Onderwerp en duur

Wij verwerken persoonsgegevens in opdracht van de praktijk om haar de dienst Kinerapport te leveren. De overeenkomst loopt zolang de praktijk de dienst gebruikt (proefperiode en abonnement), en daarna tot alle gegevens van de praktijk teruggegeven of gewist zijn (artikel 11).

2. Aard en doel van de verwerking

De verwerking bestaat uit het bewaren, raadplegen, ordenen, aanpassen, doorgeven en wissen van gegevens om:

• patiënten de intakevragenlijst van de praktijk te laten invullen en die aan de praktijk te bezorgen;
• de zorgverleners van de praktijk de vragenlijsten te laten bekijken en aanvullen met hun onderzoek, vlaggen, werkhypothese en verslagen;
• patiënten die dat willen een account te geven om hun vragenlijsten te bewaren, aan te passen en over te zetten;
• de vrije tekst die een patiënt typte, automatisch te vertalen wanneer een zorgverlener van de praktijk dat vraagt;
• de nodige e-mails te sturen (aanmeldlinks, uitnodigingen, aanvragen om een onderzoek te delen);
• de dienst te beveiligen, te onderhouden en er fouten in op te sporen.

Wij gebruiken de gegevens voor geen enkel ander doel: niet voor reclame, niet voor verkoop en niet voor het trainen van modellen.

3. Soorten persoonsgegevens

• Identificatie- en contactgegevens: naam, e-mailadres, geboortedatum, geslacht, huisarts.
• Gegevens over gezondheid (bijzondere categorie, artikel 9 AVG): klachten, pijnzones, voorgeschiedenis, medicatie, rode vlaggen, beperkingen, onderzoeksbevindingen, werkhypotheses, behandelplannen en verslagen.
• Gegevens over leefstijl en context: werk, sport, gezin, stress, slaap.
• Gegevens van de zorgverleners van de praktijk: naam, e-mailadres, RIZIV-nummer, instellingen.
• Technische gegevens: IP-adressen (voor de beveiliging) en aanmeldgegevens.

4. Categorieën van betrokkenen

• patiënten van de praktijk, ook minderjarigen;
• ouders, voogden of andere personen die de vragenlijst voor een patiënt invullen;
• zorgverleners en medewerkers van de praktijk.

5. Verplichtingen van de praktijk

De praktijk bepaalt het doel en de middelen van de verwerking. Ze zorgt voor een rechtsgrond (voor gegevens over gezondheid: artikel 9.2.h AVG (zorgverlening)), informeert haar patiënten, beantwoordt hun verzoeken, beheert wie in haar praktijk toegang heeft, en bewaart de patiëntendossiers zo lang als de wet het vraagt. De termijn in België: minstens 30 en hoogstens 50 jaar na het laatste contact met de patiënt (artikel 35 van de wet van 22 april 2019 inzake de kwaliteitsvolle praktijkvoering in de gezondheidszorg).

6. Verplichtingen van de verwerker

Wij:

1. verwerken de gegevens alleen volgens de gedocumenteerde instructies van de praktijk: deze overeenkomst, de algemene voorwaarden en wat de praktijk in de dienst doet, ook voor doorgiften naar een derde land, tenzij een wettelijke verplichting ons iets anders oplegt (dan melden we dat vooraf, tenzij de wet het verbiedt);
2. melden het meteen als een instructie volgens ons in strijd is met de AVG of andere regels over gegevensbescherming;
3. zorgen dat wie de gegevens kan inzien, gebonden is door een geheimhoudingsplicht, en geven toegang alleen aan wie ze nodig heeft voor de dienst;
4. nemen de beveiligingsmaatregelen van artikel 8 (artikel 32 AVG);
5. werken alleen met subverwerkers volgens artikel 7;
6. helpen de praktijk bij de rechten van betrokkenen (artikel 9) en bij haar verplichtingen uit de artikelen 32 tot 36 AVG (beveiliging, meldingen van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging);
7. wissen of geven de gegevens terug aan het einde van de dienst (artikel 11);
8. stellen alle informatie ter beschikking die nodig is om aan te tonen dat we deze verplichtingen nakomen, en werken mee aan audits (artikel 12);
9. houden een register bij van de verwerkingen die we voor de praktijk uitvoeren (artikel 30.2 AVG).

7. Subverwerkers

De praktijk geeft ons een algemene toestemming om subverwerkers in te schakelen. Wij leggen hun dezelfde verplichtingen op als in deze overeenkomst en blijven tegenover de praktijk aansprakelijk voor hen. Een nieuwe of andere subverwerker melden we minstens 30 dagen vooraf; de praktijk kan om een gegronde reden bezwaar maken en het abonnement opzeggen als we geen oplossing vinden. Op dit ogenblik:

• Hosting: [HOSTINGPROVIDER EN DATACENTER IN DE EU]: de servers en de database van de dienst, in de Europese Economische Ruimte.
• E-mail: [E-MAILDIENST IN DE EU]: het versturen van aanmeldlinks en meldingen (e-mailadres en de inhoud van de mail, zonder gezondheidsgegevens).
• Automatisch vertalen: DeepL SE (Keulen, Duitsland): alleen de vrije tekst die een patiënt typte, en alleen wanneer een zorgverlener van de praktijk die laat vertalen. DeepL bewaart de teksten niet na de vertaling en gebruikt ze niet om zijn modellen te trainen (DeepL API Pro).
• Betalingen: Stripe Payments Europe, Ltd. (Ierland): alleen de facturatiegegevens van de praktijk en van haar praktijkhouder (naam, adres, ondernemingsnummer, e-mailadres, betaalmethode); geen gegevens van patiënten. Voor betalingen treedt Stripe deels op als zelfstandige verwerkingsverantwoordelijke.

Wij geven geen gegevens door naar landen buiten de Europese Economische Ruimte, tenzij de praktijk dat vraagt en er passende waarborgen zijn (hoofdstuk V AVG).

8. Beveiliging

Wij nemen passende technische en organisatorische maatregelen, rekening houdend met de gevoeligheid van gezondheidsgegevens, onder meer:

• versleutelde verbindingen (HTTPS) tussen browsers en de dienst;
• een strikte scheiding tussen praktijken: een zorgverlener ziet alleen de patiënten van zijn eigen praktijk; de database en de interne API zijn niet rechtstreeks vanaf het internet bereikbaar;
• wachtwoorden worden alleen als sterke hash (scrypt) bewaard; links in e-mails zijn willekeurig, kort geldig, één keer bruikbaar, en worden alleen als hash bewaard;
• beperking van het aantal pogingen (aanmelden, aanmaken van accounts, e-mails) tegen misbruik;
• een database-gebruiker met alleen de rechten die de dienst nodig heeft;
• regelmatige back-ups, versleuteling van de gegevens op schijf en een logboek van wie toegang had: [AAN TE VULLEN MET DE MAATREGELEN IN PRODUCTIE];
• geheimhouding door onze medewerkers, die alleen toegang krijgen wanneer dat nodig is (bv. bij een supportvraag van de praktijk).

9. Rechten van betrokkenen

Krijgen wij rechtstreeks een verzoek van een betrokkene (inzage, verbetering, wissing, beperking, overdraagbaarheid, bezwaar), dan sturen we het door naar de praktijk en beantwoorden we het niet zelf. Met de functies van de dienst (bekijken, aanpassen, verwijderen van patiënten en vragenlijsten) en waar nodig met onze hulp kan de praktijk deze verzoeken beantwoorden.

10. Inbreuken in verband met persoonsgegevens

Stellen we een inbreuk vast die de gegevens van de praktijk raakt, dan melden we dat de praktijk zonder onredelijke vertraging, en waar mogelijk binnen 48 uur nadat we ze ontdekten. We geven daarbij wat we weten over de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de maatregelen die we namen of voorstellen, en vullen dat aan zodra we meer weten. Zo kan de praktijk de inbreuk binnen 72 uur melden bij haar toezichthouder en, waar nodig, de betrokkenen inlichten. Voor een praktijk in België is dat de Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel (www.gegevensbeschermingsautoriteit.be).

11. Einde: teruggave en wissing

Na het einde van de dienst bewaren we de gegevens van de praktijk nog 90 dagen. Binnen die termijn bezorgen we de praktijk op haar vraag een kopie in een gangbaar formaat. Daarna wissen we de gegevens, en uit de back-ups binnen de bewaartermijn van die back-ups ([TERMIJN]), tenzij de wet ons verplicht ze langer te bewaren. Op vraag bevestigen we de wissing schriftelijk.

12. Audits

Op vraag bezorgen we de praktijk de informatie die nodig is om aan te tonen dat we deze overeenkomst nakomen. De praktijk kan, hoogstens eenmaal per jaar en na een kennisgeving van 30 dagen, een audit laten uitvoeren door een onafhankelijke auditor die tot geheimhouding verplicht is, op haar kosten en zonder de dienst voor andere praktijken te verstoren. Na een inbreuk of op vraag van een toezichthouder kan dat ook vaker.

13. Aansprakelijkheid

Elke partij is aansprakelijk volgens artikel 82 AVG. Voor het overige geldt de regeling van de algemene voorwaarden.

14. Toepasselijk recht

Op deze overeenkomst zijn de AVG, de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens en het Belgisch recht van toepassing. Geschillen gaan naar de rechtbanken van het arrondissement [ARRONDISSEMENT, bv. Gent]. De toezichthouder is de Gegevensbeschermingsautoriteit (GBA), Drukpersstraat 35, 1000 Brussel (www.gegevensbeschermingsautoriteit.be). Vragen over deze overeenkomst stuur je naar [E-MAILADRES VOOR PRIVACYVRAGEN].