Data processing agreement

VERWERKERSOVEREENKOMST

Phase2 Software B.V.

1. Partijen

Deze verwerkersovereenkomst maakt onderdeel uit van de abonnementsovereenkomst tussen:

Phase2 Software B.V., gevestigd te Hilversum Hierna: Verwerker

en

[Naam klant], gevestigd te __________________ Hierna: Verwerkingsverantwoordelijke

2. Doel van de verwerking

1. Verwerker verwerkt persoonsgegevens uitsluitend in opdracht van Verwerkingsverantwoordelijke.

2. De verwerking vindt plaats in het kader van het aanbieden van het elektronisch patiëntendossier (EPD) als SaaS-dienst.

3. In het kader van de Dienst maakt Verwerker gebruik van geautomatiseerde technologieën, waaronder spraakherkenning, transcriptie en functionaliteiten gebaseerd op kunstmatige intelligentie (AI).

4. AI-functionaliteiten worden uitsluitend gebruikt ter ondersteuning van zorgprofessionals en nemen geen autonome medische beslissingen.

3. Soorten persoonsgegevens

In het kader van de Dienst kunnen onder meer de volgende categorieën persoonsgegevens worden verwerkt:

• NAW-gegevens van patiënten

• Contactgegevens

• Geboortedatum

• Medische gegevens

• Behandelgegevens

• Rapportages en notities

• Administratieve gegevens

Het betreft bijzondere persoonsgegevens (gezondheidsgegevens).

4. Categorieën betrokkenen

• Patiënten van Verwerkingsverantwoordelijke

• Medewerkers (voor zover opgenomen in het systeem)

5. Duur van de verwerking

5.1 De verwerking vindt plaats gedurende de looptijd van de Abonnementsovereenkomst.

5.2 Na beëindiging van de Abonnementsovereenkomst:

• Krijgt verwerkingsverantwoordelijke gedurende dertig (30) dagen de gelegenheid om persoonsgegevens te exporteren;

• Verwijdert verwerker de persoonsgegevens na afloop van deze termijn, tenzij Partijen een Bewaarlicentie-overeenkomst zijn aangegaan.

5.3 Verwerker is niet gehouden persoonsgegevens te bewaren zonder afzonderlijke contractuele grondslag.

6. Verplichtingen van Verwerker

Verwerker:

1. Verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke.

2. Verwerkt persoonsgegevens niet voor eigen doeleinden.

3. Treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking.

4. Zorgt dat medewerkers gebonden zijn aan geheimhouding.

5. Meldt datalekken zonder onredelijke vertraging aan Verwerkingsverantwoordelijke.

6. Verwerker zal de door Verwerkingsverantwoordelijke aangeleverde persoonsgegevens niet gebruiken voor het trainen, verbeteren of ontwikkelen van algemene kunstmatige intelligentie-modellen, tenzij Verwerkingsverantwoordelijke daarvoor voorafgaand schriftelijk toestemming heeft gegeven.

7. Verleent medewerking bij verzoeken van betrokkenen (inzage, correctie, verwijdering).

7. Beveiligingsmaatregelen

7.1 Verwerker treft passende technische en organisatorische maatregelen, rekening houdend met:

• de stand van de techniek;

• de uitvoeringskosten;

• de aard, omvang, context en doeleinden van de verwerking;

• de risico's voor betrokkenen.

7.2 De maatregelen omvatten onder meer:

• Versleutelde verbindingen (SSL/TLS);

• Rol- en rechtenstructuur;

• Authenticatie via gebruikersnaam en wachtwoord;

• Logging van toegang;

• Periodieke software-updates;

• Periodieke back-ups en herstelvoorzieningen.

7.3 De hostinginfrastructuur waarop de Dienst wordt aangeboden, wordt verzorgd door een sub verwerker die beschikt over een geldige NEN 7510-certificering.

7.4 Verwerker beschikt zelf niet over een afzonderlijke NEN 7510-certificering, tenzij schriftelijk anders overeengekomen.

7.5 De inzet van een NEN 7510-gecertificeerde sub verwerker impliceert geen zelfstandige garantie dat Verwerker als organisatie of de Dienst als zodanig NEN 7510-gecertificeerd is.

8. Sub verwerkers

1. Verwerker mag gebruik maken van sub verwerkers (zoals hostingpartijen).

2. Verwerker zorgt dat met sub verwerkers schriftelijke afspraken worden gemaakt conform artikel 28 AVG.

3. Verwerker blijft verantwoordelijk voor naleving door sub verwerkers.

9. Doorgifte buiten de EU

Persoonsgegevens worden niet verwerkt buiten de Europese Economische Ruimte (EER), tenzij passende waarborgen conform de AVG worden getroffen.

**

10. Aansprakelijkheid

De aansprakelijkheid van Verwerker onder deze verwerkersovereenkomst is beperkt conform artikel 9 van de Abonnementsovereenkomst Phase2.

11. Audit

Verwerkingsverantwoordelijke heeft het recht om, maximaal één keer per jaar, redelijke informatie op te vragen over de beveiligingsmaatregelen van Verwerker.

12. Slotbepalingen

1. Deze verwerkersovereenkomst maakt integraal onderdeel uit van de abonnementsovereenkomst.

2. Bij strijdigheid prevaleert deze verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.

3. Op deze overeenkomst is Nederlands recht van toepassing.

**

Ondertekening**

Plaats: _______________________ Datum: _______________________

Namens Phase2 Software B.V. Naam: _______________________ Functie: ______________________ Handtekening: ________________

Namens (Klant) Naam: _______________________ Functie: ______________________ Handtekening: ________________