Verwerkersovereenkomst

Deze Verwerkersovereenkomst (hierna: “VWO”) is van toepassing op iedere Overeenkomst tussen TriageConnect B.V. (KVK 99036932), hierna: “TriageConnect” of “Verwerker”, en de Opdrachtgever, hierna ook: “Verwerkingsverantwoordelijke”. De VWO regelt hoe TriageConnect persoonsgegevens verwerkt in opdracht van de Opdrachtgever. De VWO geeft uitvoering aan artikel 28 van de AVG, is opgesteld met inachtneming van de aanbevelingen van de Landelijke Huisartsenvereniging (LHV) en maakt onlosmakelijk deel uit van de Overeenkomst. Door het aangaan van de Overeenkomst aanvaardt de Opdrachtgever deze VWO.

Artikel 1. Definities

In deze VWO wordt verstaan onder:

a)    TriageConnect (Verwerker): TriageConnect B.V., statutair gevestigd te Spijkenisse, ingeschreven bij de Kamer van Koophandel onder nummer 99036932.

b)    Opdrachtgever (Verwerkingsverantwoordelijke): de huisartsenpraktijk of andere zorgaanbieder die met TriageConnect een Overeenkomst heeft gesloten, de Diensten afneemt en het doel van en de middelen voor de verwerking bepaalt.

c)    Partijen: TriageConnect en de Opdrachtgever samen; afzonderlijk ook “Partij”.

d)    Overeenkomst: de dienstverleningsovereenkomst tussen TriageConnect en de Opdrachtgever, inclusief een eventuele Opdrachtbevestiging en de Algemene Voorwaarden van TriageConnect.

e)    Diensten: triage en praktijkondersteuning zoals omschreven in de Overeenkomst, waaronder telefonische triage, het plannen van afspraken en het afhandelen van e-consulten, e-mails, terugbelverzoeken en herhaalrecepten.

f)    Medewerker: iedere natuurlijke persoon die namens TriageConnect de Diensten uitvoert.

g)    Systemen van de Opdrachtgever: de systemen die de Opdrachtgever voor de Diensten ter beschikking stelt, zoals het Huisarts Informatie Systeem (HIS), het telefoniesysteem en het e-consultsysteem.

h)    Persoonsgegevens, betrokkene en Datalek: zoals gedefinieerd in de Algemene Verordening Gegevensbescherming (AVG), waarbij Datalek staat voor een inbreuk in verband met persoonsgegevens.

i)    AP: de Autoriteit Persoonsgegevens.

Artikel 2. Onderwerp en instructies

2.1    TriageConnect verwerkt Persoonsgegevens uitsluitend in opdracht van de Opdrachtgever, voor de uitvoering van de Diensten en volgens diens gedocumenteerde instructies. De gegevens, betrokkenen en doeleinden staan in Bijlage 1.

2.2    TriageConnect gebruikt de Persoonsgegevens niet voor eigen doeleinden of voor doeleinden van derden, tenzij de wet haar tot verwerking verplicht. In dat geval informeert zij de Opdrachtgever vooraf, tenzij de wet dat verbiedt.

2.3    Acht TriageConnect een instructie in strijd met de AVG of andere wet- en regelgeving, dan meldt zij dit onverwijld schriftelijk. Zij mag de uitvoering van die instructie opschorten totdat de Opdrachtgever de instructie heeft aangepast of na overleg schriftelijk heeft bevestigd.

Artikel 3. Medewerkers, geheimhouding en subverwerkers

3.1    TriageConnect voert de Diensten uitsluitend uit met eigen Medewerkers en schakelt geen subverwerkers in. Een subverwerker kan alleen worden ingeschakeld met voorafgaande specifieke schriftelijke toestemming van de Opdrachtgever en op basis van een schriftelijke overeenkomst met ten minste dezelfde verplichtingen als deze VWO.

3.2    Medewerkers werken onder de verantwoordelijkheid en instructie van TriageConnect en zijn contractueel gebonden aan een individuele geheimhoudingsplicht, die ook na afloop van hun werkzaamheden blijft gelden. Medewerkers die niet in loondienst zijn, zijn bij schriftelijke overeenkomst aan dezelfde verplichtingen gebonden. Voor zover zij als subverwerker kwalificeren, verleent de Opdrachtgever hiervoor bij dezen toestemming.

3.3    TriageConnect verwerkt geen Persoonsgegevens buiten de Europese Economische Ruimte (EER).

Artikel 4. Beveiliging

4.1    TriageConnect treft passende technische en organisatorische maatregelen conform artikel 32 van de AVG, zoals beschreven in Bijlage 2. Zij mag deze maatregelen aanpassen, mits het beveiligingsniveau niet afneemt.

4.2    Patiëntgegevens worden uitsluitend verwerkt en vastgelegd in de Systemen van de Opdrachtgever, via beveiligde verbindingen en met persoonsgebonden inloggegevens. Medewerkers slaan geen patiëntgegevens op hun apparaten op. TriageConnect slaat geen patiëntgegevens op in eigen systemen, behalve voor zover strikt noodzakelijk voor de afhandeling van een beveiligingsincident.

4.3    TriageConnect is niet gecertificeerd voor NEN 7510 of ISO 27001. De Opdrachtgever is verantwoordelijk voor de keuze, de certificering en de beveiliging van de Systemen van de Opdrachtgever. TriageConnect richt haar eigen werkwijze, werkplekken en werkaccounts in volgens Bijlage 2, met inachtneming van de uitgangspunten van NEN 7510 voor zover die op haar werkzaamheden van toepassing zijn.

4.4    TriageConnect beschikt over een gedocumenteerd Incident Response Plan (IRP). Zij verstrekt op verzoek de informatie die nodig is om naleving van deze VWO aan te tonen, waaronder beveiligingsdocumentatie en de toegangsregistraties waarover zij beschikt.

Artikel 5. Verplichtingen van de Opdrachtgever

5.1    De Opdrachtgever is verantwoordelijk voor de rechtmatigheid van de verwerking. Hij informeert patiënten, bijvoorbeeld in de privacyverklaring van de praktijk, dat de praktijk een externe triagedienst inschakelt.

5.2    De Opdrachtgever verstrekt iedere Medewerker persoonsgebonden inloggegevens, met rechten die beperkt zijn tot wat voor de Diensten nodig is. Gedeelde accounts worden niet verstrekt.

5.3    De Opdrachtgever trekt de toegang van een Medewerker in uiterlijk op de eerstvolgende werkdag nadat TriageConnect het einde van diens inzet heeft gemeld, en onmiddellijk bij een (vermoeden van een) beveiligingsincident.

5.4    De Opdrachtgever zorgt voor de beveiliging van de Systemen van de Opdrachtgever en voor passende afspraken met de leveranciers daarvan. Hij meldt TriageConnect onverwijld een beveiligingsincident dat accounts of werkzaamheden van Medewerkers raakt.

5.5    De Opdrachtgever wijst in de Overeenkomst of per e-mail een contactpersoon aan voor meldingen over Datalekken en houdt diens gegevens actueel.

Artikel 6. Datalekken

6.1    TriageConnect informeert de Opdrachtgever onverwijld, en uiterlijk binnen 36 uur na ontdekking, over een (vermoeden van een) Datalek dat verband houdt met de Diensten. De melding gebeurt telefonisch en per e-mail aan de contactpersoon van de Opdrachtgever. TriageConnect verstrekt daarbij naar beste weten de beschikbare informatie, ten minste over de punten in Bijlage 3, en vult deze zo spoedig mogelijk aan.

6.2    TriageConnect handelt het Datalek af volgens haar IRP: vaststellen, documenteren, inperken (zoals accounts blokkeren en wachtwoorden wijzigen), herstellen, maatregelen treffen tegen herhaling en evalueren.

6.3    De Opdrachtgever beslist of het Datalek wordt gemeld aan de AP en/of de betrokkenen. TriageConnect meldt niet zelf, tenzij de Opdrachtgever daarom verzoekt of de wet dat vereist. Zij verleent alle redelijke medewerking, ook bij het informeren van betrokkenen.

6.4    Iedere Partij draagt haar eigen kosten van een Datalek, tenzij het Datalek het gevolg is van een toerekenbare tekortkoming van een Partij. Dan komen de redelijke kosten voor rekening van die Partij, met inachtneming van artikel 8.

Artikel 7. Rechten van betrokkenen en audit

7.1    Verzoeken van betrokkenen om hun AVG-rechten uit te oefenen, stuurt TriageConnect onverwijld, en uiterlijk binnen 5 werkdagen, door aan de Opdrachtgever. Zij verleent redelijke medewerking bij de afhandeling.

7.2    De Opdrachtgever mag eenmaal per kalenderjaar, en daarnaast bij een gegrond vermoeden van niet-naleving of na een Datalek, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige. De Opdrachtgever kondigt de audit ten minste 30 dagen vooraf aan, of 5 werkdagen vooraf bij een gegrond vermoeden of na een Datalek. De audit vindt plaats tijdens kantooruren en zonder onnodige verstoring van de bedrijfsvoering.

7.3    TriageConnect verleent medewerking en stelt de relevante informatie en betrokken Medewerkers beschikbaar. De kosten komen voor rekening van de Opdrachtgever, tenzij de audit een wezenlijke tekortkoming van TriageConnect aantoont. TriageConnect herstelt geconstateerde tekortkomingen binnen een redelijke termijn.

Artikel 8. Aansprakelijkheid

8.1    Iedere Partij is aansprakelijk voor schade door een aan haar toerekenbare tekortkoming in de nakoming van deze VWO of de AVG. Aansprakelijkheid ontstaat pas na een schriftelijke ingebrekestelling met een redelijke hersteltermijn van ten minste 14 dagen, tenzij nakoming blijvend onmogelijk is of de aard van de tekortkoming (zoals een lopend Datalek) een kortere termijn rechtvaardigt.

8.2    TriageConnect vrijwaart de Opdrachtgever tegen aanspraken van betrokkenen en andere derden, voor zover die rechtstreeks voortvloeien uit een toerekenbare tekortkoming van TriageConnect. Dit geldt alleen als de Opdrachtgever haar onverwijld informeert, de aanspraak niet zonder overleg erkent of schikt en haar in staat stelt zich te verweren.

8.3    Legt de AP de Opdrachtgever een onherroepelijke bestuurlijke boete op die rechtstreeks het gevolg is van een toerekenbare tekortkoming van TriageConnect, dan vergoedt TriageConnect het deel van die boete dat aan haar is toe te rekenen. Dit geldt alleen als zij tijdig is geïnformeerd en kon bijdragen aan de zienswijze en een eventueel bezwaar.

8.4    De totale aansprakelijkheid van TriageConnect onder deze VWO, inclusief artikel 8.2 en 8.3, is per gebeurtenis beperkt tot het bedrag dat haar aansprakelijkheidsverzekering uitkeert, vermeerderd met het eigen risico. Keert de verzekeraar niet uit, dan is de aansprakelijkheid beperkt tot de vergoedingen die de Opdrachtgever in de twaalf maanden voorafgaand aan de gebeurtenis heeft betaald. Samenhangende gebeurtenissen gelden als één gebeurtenis.

8.5    Alleen directe schade komt voor vergoeding in aanmerking: redelijke kosten om schade vast te stellen en te beperken, redelijke kosten van de melding aan de AP en aan betrokkenen, en vergoedingen en boetes als bedoeld in artikel 8.2 en 8.3. Indirecte schade, zoals gevolgschade, gederfde winst en reputatieschade, is uitgesloten.

8.6    De beperkingen in artikel 8.4 en 8.5 gelden niet bij opzet of bewuste roekeloosheid van TriageConnect of haar leidinggevenden.

8.7    De Opdrachtgever is aansprakelijk voor en vrijwaart TriageConnect tegen aanspraken en boetes als gevolg van onrechtmatige instructies, beveiligingsincidenten in de Systemen van de Opdrachtgever (tenzij veroorzaakt door een toerekenbare tekortkoming van TriageConnect) en het niet nakomen van artikel 5.

8.8    Aanspraken op schadevergoeding vervallen als zij niet binnen twaalf maanden na bekendheid met de schade en de oorzaak daarvan schriftelijk zijn ingediend. Voor schade in verband met de verwerking van Persoonsgegevens gaat dit artikel voor op de aansprakelijkheidsbepalingen in de Overeenkomst en de Algemene Voorwaarden.

Artikel 9. Duur, beëindiging en teruggave

9.1    Deze VWO geldt zolang de Overeenkomst loopt en zolang TriageConnect daarna nog Persoonsgegevens van de Opdrachtgever verwerkt. Bepalingen die naar hun aard doorlopen, zoals geheimhouding en aansprakelijkheid, blijven na het einde gelden.

9.2    Bij het einde van de Overeenkomst staakt TriageConnect de toegang van alle Medewerkers tot de Systemen van de Opdrachtgever en meldt zij welke accounts de Opdrachtgever moet intrekken.

9.3    Persoonsgegevens die TriageConnect dan nog onder zich heeft, vernietigt zij of draagt zij over naar keuze van de Opdrachtgever, binnen 30 dagen na diens verzoek. Maakt de Opdrachtgever binnen 30 dagen na het einde geen keuze, dan vernietigt TriageConnect de gegevens. Er worden geen kopieën bewaard, tenzij een wettelijke bewaarplicht dat vereist. Op verzoek bevestigt TriageConnect de vernietiging schriftelijk.

Artikel 10. Slotbepalingen

10.1    Op deze VWO is uitsluitend Nederlands recht van toepassing. Partijen proberen geschillen eerst op te lossen in overleg of via mediation zoals beschreven in de Overeenkomst. Lukt dat niet, dan is uitsluitend de Rechtbank Midden-Nederland, locatie Utrecht, bevoegd.

10.2    Bij tegenstrijdigheid gaat deze VWO voor op de Overeenkomst en de Algemene Voorwaarden, voor zover het de verwerking van Persoonsgegevens betreft.

10.3    Wezenlijke wijzigingen van deze VWO vereisen voorafgaande schriftelijke instemming van de Opdrachtgever. Niet-wezenlijke wijzigingen kondigt TriageConnect ten minste 30 dagen vooraf schriftelijk aan; de Opdrachtgever kan binnen die termijn bezwaar maken. Partijen werken mee aan aanpassingen die nodig zijn door wet- of regelgeving.

10.4    Is een bepaling nietig of niet afdwingbaar, dan blijven de overige bepalingen van kracht. Partijen spreken dan een vervangende bepaling af die de strekking van de oorspronkelijke bepaling zo dicht mogelijk benadert.

Bijlage 1: Persoonsgegevens, betrokkenen en doeleinden

Bijlage 2: Beveiligingsmaatregelen

•    Toegang: iedere Medewerker werkt met persoonsgebonden, door de Opdrachtgever verstrekte inloggegevens. Gedeeld gebruik is niet toegestaan. Medewerkers raadplegen uitsluitend dossiers van patiënten die hun in de lopende dienst zijn toevertrouwd.

•    Werkaccounts: Medewerkers werken via door TriageConnect beheerde Microsoft Business-werkaccounts, beveiligd met onder meer meervoudige authenticatie (MFA), Conditional Access en versleuteling. Deze accounts worden niet gebruikt om patiëntgegevens op te slaan of uit te wisselen.

•    Werkplekken: apparaten hebben een actueel besturingssysteem, schijfversleuteling, automatische schermvergrendeling en actuele antivirussoftware. Gesprekken worden gevoerd waar derden niet kunnen meeluisteren of meekijken; onbeveiligde openbare netwerken worden niet gebruikt.

•    Geen opslag buiten het HIS: downloaden, printen, fotograferen of exporteren van patiëntgegevens buiten de Systemen van de Opdrachtgever is niet toegestaan.

•    Einde inzet: TriageConnect blokkeert het werkaccount van een vertrekkende Medewerker uiterlijk de eerstvolgende werkdag en meldt de Opdrachtgever welke toegang moet worden ingetrokken.

•    Geheimhouding en training: Medewerkers tekenen vooraf een geheimhoudingsverklaring en worden voor hun inzet getraind op de AVG, veilig werken op afstand en het herkennen van incidenten, waaronder phishing.

•    Incidenten: Medewerkers melden incidenten onmiddellijk bij de verantwoordelijke voor informatiebeveiliging van TriageConnect. Incidenten worden afgehandeld volgens het IRP, dat periodiek wordt herzien en getest, en worden vastgelegd en geëvalueerd. De registratie is beschikbaar voor de Opdrachtgever en bevoegde toezichthouders.

Bijlage 3: Contactpersonen en inhoud van een melding