Verwerkersovereenkomst

1. Partijen en totstandkoming

De overeenkomst wordt gesloten tussen de praktijk die in Odonto Flow is geregistreerd („de praktijk”, verwerkingsverantwoordelijke) en Tymofii Shevchenko, trabalhador independente, NIF 309697107, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal („wij”, verwerker).

Gaat de overeenkomst met de praktijk over op een nieuwe aanbieder (gebruiksvoorwaarden, artikel 16), dan gaat deze overeenkomst mee: de nieuwe aanbieder wordt verwerker onder dezelfde voorwaarden, en de praktijk hoort dat vooraf.

De overeenkomst maakt deel uit van de gebruiksvoorwaarden. De praktijk aanvaardt haar bij de registratie; zij geldt zolang wij gegevens van de praktijk verwerken. Een ondertekend exemplaar kunt u opvragen via privacy@odontoflow.io.

2. Onderwerp

Wij verwerken de persoonsgegevens die de praktijk in de dienst invoert alleen om haar de dienst te leveren: opslaan, tonen aan haar medewerkers, op haar aanwijzing berichten aan patiënten versturen, back-ups maken en helpen bij support. Details in bijlage 1.

3. Instructies van de praktijk

Wij verwerken gegevens alleen op gedocumenteerde instructies van de praktijk. De instructies zijn de gebruiksvoorwaarden, deze overeenkomst en de handelingen van de medewerkers van de praktijk in de dienst (invoeren, wijzigen, versturen, verwijderen).
Verplicht de wet ons gegevens anders te verwerken, dan laten wij dat de praktijk vooraf weten, tenzij de wet dat verbiedt.
Is een instructie naar ons oordeel in strijd met de AVG, dan melden wij dat aan de praktijk.

4. Verplichtingen van de praktijk

De praktijk is verantwoordelijk voor de rechtmatigheid van de verwerking: de grondslag (ook voor gezondheidsgegevens — art. 9 AVG), de informatie aan patiënten, toestemming voor WhatsApp-berichten, de juistheid van de gegevens, de bewaartermijnen van medische dossiers en de toegang van haar medewerkers.

5. Vertrouwelijkheid

Alleen medewerkers die het nodig hebben voor de werking van de dienst, hebben toegang tot de gegevens van de praktijk. Zij zijn allen tot geheimhouding verplicht.

Toegang voor support — alleen met toestemming van de praktijk. Zonder toestemming komt support niet in het account van de praktijk. De eigenaar van de praktijk kan „Toegang voor support” in de instellingen voor 7 dagen inschakelen en eerder uitschakelen. Zolang de toegang aan staat, kan een supportmedewerker namens een gebruiker van de praktijk in het account komen — via een eenmalige link, voor beperkte tijd; elke toegang wordt vastgelegd (wie, als wie, wanneer), en de praktijk ziet dit logboek. Na 7 dagen sluit de toegang vanzelf. In het beheerpaneel van de dienst is het logboek van verzonden berichten zichtbaar (nummer, tekst, status) — voor ondersteuning bij de aflevering. Patiëntkaarten worden in het beheerpaneel niet getoond.

6. Beveiliging

Wij nemen de technische en organisatorische maatregelen van art. 32 AVG — opgesomd in bijlage 2 — en ontwikkelen ze samen met de dienst, zonder het algemene beschermingsniveau te verlagen.

7. Subverwerkers

De praktijk geeft algemene toestemming om de subverwerkers uit bijlage 3 in te schakelen.
Over een nieuwe of vervangen subverwerker informeren wij de eigenaar van de praktijk per e-mail ten minste 30 dagen van tevoren. De praktijk kan met redenen bezwaar maken; komen wij niet tot overeenstemming, dan kan zij de overeenkomst beëindigen en een terugbetaling krijgen voor de ongebruikte betaalde periode.
Met elke subverwerker hebben wij een overeenkomst met verplichtingen voor gegevensbescherming die niet lager zijn dan deze. Wij zijn tegenover de praktijk aansprakelijk voor zijn werk.

8. Doorgifte buiten de EER

De gegevens van de praktijk worden in de EU opgeslagen (Duitsland en Finland). Geeft een subverwerker gegevens door buiten de EER, dan mag dat alleen op basis van een adequaatheidsbesluit van de Europese Commissie of van EU-standaardcontractbepalingen met aanvullende maatregelen.

9. Bijstand aan de praktijk

Verzoeken van patiënten (inzage, rectificatie, wissing, beperking, overdraagbaarheid): komt een verzoek bij ons binnen, dan sturen wij het door naar de praktijk en beantwoorden wij het niet zelf aan de patiënt. Hulpmiddelen in de dienst: de patiëntkaart wordt volledig afgedrukt of als PDF opgeslagen (export), en de patiënt kan definitief worden verwijderd („Definitief verwijderen”: kaart, afspraken, berichten, bestanden).
Wij helpen de praktijk met beveiligingsmaatregelen, de gegevensbeschermingseffectbeoordeling (DPIA) en raadpleging van de toezichthoudende autoriteit — voor zover het de dienst betreft.

10. Incidenten

Over een datalek of ander beveiligingsincident dat de gegevens van de praktijk raakt, informeren wij de eigenaar van de praktijk zonder onredelijke vertraging — uiterlijk 72 uur nadat wij ervan op de hoogte zijn: wat er is gebeurd, welke gegevens en hoeveel records zijn getroffen, wat wij hebben gedaan en wat wij aanraden. De melding aan de toezichthoudende autoriteit en aan patiënten, indien nodig, is de plicht van de praktijk; wij helpen.

11. Einde van de overeenkomst

Na het einde van het abonnement worden de gegevens van de praktijk 12 maanden bewaard (zodat de praktijk kan terugkeren) en daarna volledig verwijderd, inclusief bestanden. Op verzoek van de praktijk — eerder.
Vóór de verwijdering kan de praktijk haar gegevens terugkrijgen (art. 28, lid 3, onder g, AVG): de eigenaar exporteert alle gegevens van de praktijk — CSV en een archief met bestanden — in het account, ook na het einde van het abonnement, of op verzoek bij support binnen 30 dagen (gebruiksvoorwaarden, artikel 7). De kaart van één patiënt kan worden afgedrukt of als PDF worden opgeslagen.
Uit de back-ups verdwijnen de gegevens naarmate die worden vernieuwd — binnen 30 dagen.
Langer bewaren wij alleen wat de wet vereist — bijvoorbeeld betaalbewijzen (die ook Paddle bewaart).

12. Audits

Op verzoek van de praktijk verstrekken wij de informatie die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd — beschrijving van de maatregelen, antwoorden op beveiligingsvragenlijsten. Een audit ter plaatse kunnen de praktijk of haar auditor hoogstens eenmaal per jaar uitvoeren, met 30 dagen aankondiging, op eigen kosten en met geheimhoudingsplicht.

13. Aansprakelijkheid en voorrang

De aansprakelijkheid van partijen volgt de gebruiksvoorwaarden en de AVG (art. 82). Is deze overeenkomst in strijd met de gebruiksvoorwaarden op het gebied van gegevensbescherming, dan gaat deze overeenkomst voor.

Bijlage 1. Beschrijving van de verwerking


Betrokkenen	patiënten van de praktijk; medewerkers van de praktijk (gebruikers van de dienst)
Categorieën gegevens	patiënten: voornaam, achternaam, geboortedatum, geslacht, telefoon, adres, notities, afspraken, behandelingen, bedragen, bestanden (röntgenfoto’s, foto’s, documenten), toestemming voor WhatsApp-berichten en de datum daarvan, teksten en statussen van berichten; medewerkers: naam, e-mail, rol, handelingen in de dienst
Bijzondere categorieën	gezondheidsgegevens: medische waarschuwingen (allergieën, contra-indicaties, chronische aandoeningen, medicatie), tandenschema, behandelgeschiedenis, röntgenfoto’s
Verwerkingen	opslag, weergave aan de medewerkers van de praktijk, zoeken en sorteren, versturen van berichten aan patiënten via WhatsApp op aanwijzing van de praktijk, back-up, verwijdering
Doel	levering van de dienst aan de praktijk
Duur	zolang het abonnement actief is, daarna 12 maanden bewaring en verwijdering

Bijlage 2. Beveiligingsmaatregelen

versleutelde verbindingen (HTTPS); wachtwoorden alleen als hash; sleutels van het betaalsysteem versleuteld opgeslagen;
de gegevens van elke praktijk zijn gescheiden van andere, en de scheiding wordt gecontroleerd met geautomatiseerde tests;
toegang binnen de praktijk op basis van rollen (eigenaar, beheerder, tandarts; een tandarts ziet zijn eigen afspraken en afspraken zonder tandarts);
patiëntbestanden zijn niet openbaar toegankelijk: ze worden verstrekt via tijdelijke ondertekende links;
servers in de EU; de database en interne diensten zijn niet bereikbaar vanaf internet; de firewall laat alleen HTTPS en SSH door;
back-ups: dagelijks, naar aparte opslag in de EU (niet op dezelfde server); de back-ups worden al op de server versleuteld en in een ander datacenter bewaard, en het herstellen ervan wordt eenmaal per maand automatisch getest;
automatische installatie van beveiligingsupdates op de servers;
doorlopende bewaking van de beschikbaarheid van de dienst en van het verzenden van de back-ups — met een waarschuwing bij storing;
actielogboek van de gebruikers, logboek van de toegang door support en logboek van handelingen in het beheerpaneel;
toegang tot de servers alleen voor verantwoordelijke medewerkers, met SSH-sleutels, zonder inloggen met wachtwoord; inlogpogingen op het beheerpaneel zijn beperkt;
tweestapsverificatie op de accounts voor hosting, domein, e-mail en betaalsysteem.

Bijlage 3. Subverwerkers

Wie	Waarvoor	Waar
Hetzner Online GmbH	servers, database, bestandsopslag, back-ups	Duitsland en Finland
mailbox.org (Heinlein Hosting GmbH)	service-e-mails aan de medewerkers van de praktijk (geen patiëntgegevens in e-mails)	Duitsland

WhatsApp is geen subverwerker, maar een dienst van de praktijk zelf. De praktijk koppelt haar WhatsApp-account en aanvaardt zelf de voorwaarden van Meta; wij hebben geen overeenkomst met Meta. Op aanwijzing van de praktijk geven wij het nummer van de patiënt en de tekst van het bericht door aan haar account, waarna Meta (WhatsApp Ireland Ltd) ze verwerkt volgens zijn eigen voorwaarden, als leverancier van de praktijk. De koppeling verloopt als gekoppeld apparaat, niet via het officiële WhatsApp Business Platform (gebruiksvoorwaarden, artikel 9).

Paddle is geen subverwerker: Paddle ontvangt geen patiëntgegevens en verwerkt de betaalgegevens van de praktijk als zelfstandig verwerkingsverantwoordelijke.

Firebase Cloud Messaging (Google, pushmeldingen in de apps) komt in deze lijst zodra pushmeldingen worden ingeschakeld — met aankondiging volgens artikel 7.