Verwerkersovereenkomst

1.Partijen en rolverdeling

Deze verwerkersovereenkomst (de “DPA”) is gesloten tussen:

• de Klant: de zorgaanbieder (kliniek, zelfstandig behandelcentrum of praktijk) die AmoxOS afneemt — verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG; en
• AmoxAI, handelend onder de naam AmoxOS, gevestigd aan Aelbrechtskolk 45, 3025 HB Rotterdam, ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer] (“AmoxOS”) — verwerker in de zin van artikel 4 lid 8 AVG.

Deze DPA is onderdeel van de overeenkomst tussen de Klant en AmoxOS (de “Overeenkomst”) en van onze algemene voorwaarden. Door de Overeenkomst te sluiten, gaat de Klant akkoord met deze DPA. Op verzoek ontvang je een exemplaar om te ondertekenen.

2.Begrippen

Begrippen zoals persoonsgegevens, verwerking, betrokkene, gegevens over gezondheid en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene verordening gegevensbescherming (AVG). Verder geldt:

• Klantgegevens: alle persoonsgegevens die de Klant of zijn gebruikers in AmoxOS invoeren, uploaden of laten verwerken, waaronder patiëntgegevens.
• Subverwerker: een derde die AmoxOS inschakelt en die daarbij Klantgegevens verwerkt.
• Instructies: de Overeenkomst, deze DPA, de manier waarop de Klant AmoxOS configureert en gebruikt, en aanvullende schriftelijke opdrachten van de Klant.

3.Onderwerp en reikwijdte

AmoxOS verwerkt Klantgegevens uitsluitend om de dienst te leveren die in de Overeenkomst is afgesproken: het beschikbaar stellen, hosten, beveiligen, onderhouden en ondersteunen van het ZIS/EPD en de afgenomen modules. Aard, doel, soorten gegevens, categorieën betrokkenen en duur staan in Bijlage 1.

Persoonsgegevens die AmoxOS voor eigen doeleinden verwerkt — zoals contactgegevens van jouw contactpersonen voor facturatie en accountbeheer, of bezoekersgegevens van onze website — vallen niet onder deze DPA. Daarvoor is AmoxOS zelf verwerkingsverantwoordelijke; zie ons privacybeleid.

4.Verantwoordelijkheden van de Klant

Als verwerkingsverantwoordelijke draagt de Klant de primaire verantwoordelijkheid voor de verwerking van Klantgegevens. De Klant staat er in het bijzonder voor in dat:

• er voor elke verwerking een geldige grondslag is (zoals de behandelovereenkomst uit de WGBO) en de verwerking van gezondheidsgegevens is toegestaan onder artikel 9 AVG en artikel 30 UAVG;
• patiënten en andere betrokkenen correct worden geïnformeerd over de verwerking, waaronder het gebruik van AmoxOS als verwerker;
• de ingevoerde gegevens juist, volledig en niet bovenmatig zijn, en de Klant bepaalt hoe lang dossiers worden bewaard (de WGBO-bewaartermijn rust op de zorgaanbieder);
• de Klant zijn eigen gebruikers en autorisaties beheert: wie toegang krijgt tot welke locatie en welke gegevens, en dat accounts van vertrokken medewerkers tijdig worden ingetrokken;
• de Klant zijn eigen omgeving beveiligt, zoals werkplekken, netwerken, mobiele apparaten en de geheimhouding van inloggegevens en MFA-apparaten;
• de Klant zelf zorgt voor een gegevensbeschermingseffectbeoordeling (DPIA) waar die verplicht is, en voor meldingen van datalekken aan de Autoriteit Persoonsgegevens en betrokkenen;
• de Instructies aan AmoxOS rechtmatig zijn. AmoxOS mag erop vertrouwen dat dit zo is.

Deze rolverdeling volgt de systematiek van artikel 24 en 28 AVG: de verwerkingsverantwoordelijke bepaalt doel en middelen en is daarop aanspreekbaar; de verwerker voert uit binnen die kaders.

5.Verplichtingen van AmoxOS als verwerker

AmoxOS:

• verwerkt Klantgegevens alleen op basis van de Instructies van de Klant, ook bij doorgifte buiten de EER, tenzij een wettelijke verplichting anders voorschrijft. In dat geval informeert AmoxOS de Klant vooraf, tenzij de wet dat verbiedt;
• meldt het onmiddellijk als een Instructie naar haar oordeel in strijd is met de AVG of andere wetgeving, en mag de uitvoering daarvan opschorten;
• gebruikt Klantgegevens niet voor eigen doeleinden: niet voor marketing, niet voor verkoop aan derden en niet voor het trainen van AI-modellen;
• zorgt dat medewerkers en ingeschakelde personen die toegang hebben tot Klantgegevens gebonden zijn aan een geheimhoudingsplicht, en geeft alleen toegang aan wie dat voor de dienstverlening nodig heeft;
• raadpleegt patiëntgegevens alleen als dat nodig is voor support of het oplossen van een storing, op verzoek of met toestemming van de Klant, of in een noodgeval (break-glass). Elke toegang wordt gelogd;
• houdt een register bij van de verwerkingen die zij namens de Klant uitvoert (artikel 30 lid 2 AVG).

6.Beveiliging

AmoxOS neemt passende technische en organisatorische maatregelen om Klantgegevens te beschermen tegen verlies en onrechtmatige verwerking, rekening houdend met de stand van de techniek, de aard van gezondheidsgegevens en de risico’s voor patiënten (artikel 32 AVG). Ons informatiebeveiligingsbeleid is gebaseerd op NEN 7510 en ISO 27001. De maatregelen staan in Bijlage 2.

AmoxOS mag maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat. De Klant blijft verantwoordelijk voor de beveiliging van zijn eigen omgeving (zie artikel 4).

7.Subverwerkers

De Klant geeft AmoxOS algemene toestemming om de subverwerkers uit Bijlage 3 in te schakelen. Voor elke subverwerker geldt:

• AmoxOS legt schriftelijk minstens dezelfde verplichtingen op als in deze DPA, waaronder passende beveiliging;
• AmoxOS kondigt een nieuwe of vervangende subverwerker minstens 30 dagen van tevoren aan via e-mail aan de contactpersoon van de Klant en via deze pagina;
• de Klant kan binnen die 30 dagen op redelijke gronden schriftelijk bezwaar maken. Komen partijen er samen niet uit, dan mag de Klant het betreffende deel van de Overeenkomst kosteloos opzeggen;
• AmoxOS blijft tegenover de Klant aansprakelijk voor de nakoming door haar subverwerkers, zoals artikel 28 lid 4 AVG bepaalt.

8.Doorgifte buiten de EER

Patiëntgegevens in de database van AmoxOS worden opgeslagen in de Europese Unie (Frankfurt). Sommige subverwerkers zijn gevestigd in de Verenigde Staten of kunnen daar gegevens benaderen. AmoxOS geeft Klantgegevens alleen door buiten de EER als daar een geldige waarborg voor is volgens hoofdstuk V AVG, zoals een adequaatheidsbesluit (EU-US Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie (SCC’s), aangevuld met aanvullende maatregelen zoals versleuteling.

9.Rechten van betrokkenen

Patiënten oefenen hun rechten (inzage, rectificatie, verwijdering, beperking, dataportabiliteit, bezwaar) uit bij de Klant. Ontvangt AmoxOS zo’n verzoek rechtstreeks, dan sturen we het zonder onnodige vertraging door naar de Klant en beantwoorden we het niet zelf.

AmoxOS helpt de Klant waar redelijkerwijs mogelijk, bijvoorbeeld met functies om gegevens in te zien, te corrigeren en te exporteren. Ondersteuning die verder gaat dan de standaardfunctionaliteit kan AmoxOS tegen het geldende tarief in rekening brengen.

10.Datalekken

Ontdekt AmoxOS een datalek dat Klantgegevens raakt, dan meldt AmoxOS dat zonder onredelijke vertraging aan de Klant en uiterlijk binnen 24 uur na ontdekking. Zo heeft de Klant genoeg tijd om binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. De melding bevat, voor zover bekend:

• de aard van het lek, de betrokken categorieën en het geschatte aantal betrokkenen;
• de waarschijnlijke gevolgen;
• de maatregelen die AmoxOS heeft genomen of voorstelt;
• een contactpersoon voor verdere informatie.

Informatie die nog niet bekend is, levert AmoxOS zo snel mogelijk na. De Klant beslist of het lek wordt gemeld aan de Autoriteit Persoonsgegevens en betrokkenen en doet die melding zelf. AmoxOS meldt een lek niet zelfstandig aan toezichthouders of patiënten, tenzij de wet dat van AmoxOS verlangt.

11.Bijstand bij DPIA en toezicht

AmoxOS geeft de Klant de informatie die redelijkerwijs nodig is voor een DPIA, een voorafgaande raadpleging van de Autoriteit Persoonsgegevens of vragen van de Inspectie Gezondheidszorg en Jeugd, voor zover het de dienst van AmoxOS betreft.

12.Informatie en audits

AmoxOS stelt de informatie beschikbaar die nodig is om aan te tonen dat zij deze DPA naleeft, zoals beleidsdocumenten, certificaten en auditrapporten van AmoxOS en haar subverwerkers.

Is die informatie aantoonbaar onvoldoende, dan mag de Klant maximaal één keer per jaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor, met een aankondiging van minstens 30 dagen. De audit vindt plaats tijdens kantooruren en verstoort de dienstverlening niet onnodig. De kosten zijn voor de Klant, tenzij de audit aantoont dat AmoxOS deze DPA wezenlijk heeft geschonden. Een onderzoek door een toezichthouder is altijd mogelijk.

13.Verzoeken van overheden

Krijgt AmoxOS een verzoek of bevel van een overheidsinstantie om Klantgegevens te verstrekken, dan verwijst AmoxOS die instantie zo veel mogelijk naar de Klant, informeert zij de Klant direct (tenzij dat wettelijk verboden is) en verstrekt zij niet meer dan wettelijk verplicht is.

14.Aansprakelijkheid

Elke partij is aansprakelijk voor de verplichtingen die de AVG en deze DPA aan haar opleggen. In lijn met artikel 82 lid 2 AVG geldt:

• AmoxOS is alleen aansprakelijk voor schade die ontstaat doordat AmoxOS de verplichtingen niet nakomt die de AVG specifiek tot verwerkers richt, of doordat AmoxOS buiten of in strijd met de rechtmatige Instructies van de Klant handelt;
• de Klant is aansprakelijk voor schade die voortvloeit uit de verwerking zelf, uit zijn eigen beslissingen over doel en middelen, uit onrechtmatige Instructies en uit het niet nakomen van zijn verplichtingen uit artikel 4 van deze DPA.

De Klant vrijwaart AmoxOS voor aanspraken van derden, waaronder boetes van toezichthouders, voor zover die het gevolg zijn van handelen of nalaten waarvoor de Klant op grond van het voorgaande aansprakelijk is. Voor de aansprakelijkheid van AmoxOS gelden de beperkingen uit de algemene voorwaarden, tenzij de wet dat niet toestaat.

15.Duur, einde en teruggave van gegevens

Deze DPA loopt zolang AmoxOS Klantgegevens verwerkt voor de Klant. Na het einde van de Overeenkomst:

• kan de Klant gedurende 30 dagen alle Klantgegevens exporteren in een gangbaar, machineleesbaar formaat. Omdat de wettelijke bewaarplicht van medische dossiers bij de Klant ligt, is het aan de Klant om de gegevens tijdig over te zetten;
• verwijdert AmoxOS daarna de Klantgegevens uit de productieomgeving, en verdwijnen ze binnen 90 dagen ook uit back-ups, tenzij een wettelijke plicht AmoxOS verplicht ze langer te bewaren;
• bevestigt AmoxOS de verwijdering op verzoek schriftelijk.

Artikelen die naar hun aard doorlopen, zoals geheimhouding en aansprakelijkheid, blijven ook na het einde gelden.

16.Rangorde en toepasselijk recht

Bij strijdigheid gaat deze DPA voor op de Overeenkomst en de algemene voorwaarden, voor zover het de bescherming van persoonsgegevens betreft. Op deze DPA is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Rotterdam. AmoxOS kan deze DPA wijzigen om te voldoen aan nieuwe wetgeving of bij gewijzigde subverwerkers; wezenlijke wijzigingen kondigen we minstens 30 dagen van tevoren aan.

Bijlage 1 — Beschrijving van de verwerking

Bijlage 2 — Technische en organisatorische maatregelen

Bijlage 3 — Subverwerkers

AmoxOS schakelt de volgende subverwerkers in. Wijzigingen kondigen we aan volgens artikel 7.