Verwerkersovereenkomst

De praktijk is verwerkingsverantwoordelijke voor de gegevens van haar patiënten. De aanbieder is verwerker, en uitsluitend voor de patiëntgegevens die in de kop van een rapport moeten komen te staan.

Voor het dossier in de browser van de praktijk is de aanbieder geen verwerker: die gegevens bereiken hem niet en hij heeft er geen toegang toe.

De aanbieder verwerkt persoonsgegevens uitsluitend op instructie van de praktijk. Die instructie bestaat concreet uit het opvragen van een rapport; daarbuiten vindt geen verwerking van patiëntgegevens plaats.

De gegevens worden niet gebruikt voor eigen doeleinden, niet voor het trainen van modellen, en niet voor statistiek of onderzoek.

Patiëntgegevens worden niet opgeslagen. Ze bestaan in het werkgeheugen van de server voor de duur van het verzoek waarin een rapport wordt opgebouwd, en zijn daarna weg. Er is geen bewaartermijn omdat er niets bewaard wordt.

Verzoeken worden niet gelogd met hun inhoud. Een foutmelding uit de rekendienst bevat een technische omschrijving en geen gegevens uit het verzoek.

• Verkeer tussen de browser, de website en de rekendienst gaat over TLS.
• De rekendienst is alleen bereikbaar met een sleutel die uitsluitend server-side bestaat en nooit in een browser terechtkomt.
• De tabellen met accountgegevens staan achter row level security zonder policies: ze zijn niet te benaderen met de publieke sleutel, ook niet als die uitlekt.
• De rekendienst draait niet als root en accepteert geen bestandsuploads.
• De verwerking vindt plaats binnen de Europese Economische Ruimte.

De aanbieder maakt gebruik van:

• een hostingpartij voor de website en de rekendienst, binnen de EER;
• een databasedienst voor de accountgegevens, binnen de EER;
• een betaalprovider voor facturatie en abonnementen. Die verwerkt de gegevens van de praktijk als klant, niet die van patiënten.

Een wijziging in deze lijst wordt ten minste dertig dagen van tevoren aangekondigd, zodat er bezwaar tegen gemaakt kan worden.

Omdat er bij de aanbieder geen patiëntgegevens worden bewaard, kan hij een verzoek om inzage, correctie of verwijdering niet zelf uitvoeren: er is niets te tonen en niets te wissen. Die verzoeken handelt de praktijk af in haar eigen dossier, waar de toepassing een verwijderfunctie voor biedt die ook het bijbehorende rapport wist.

De aanbieder verleent desgevraagd medewerking door uit te leggen hoe de gegevensstroom loopt, in de vorm van dit document.

De aanbieder meldt een beveiligingsincident dat betrekking kan hebben op gegevens van de praktijk binnen 48 uur na ontdekking, met wat er bekend is en wat eraan gedaan wordt.

Een lek in het dossier van de praktijk zelf: bijvoorbeeld een gestolen laptop, is een incident van de praktijk, en de aanbieder kan dat niet opmerken. Dat is de keerzijde van lokale opslag en hoort in het eigen beleid te staan.

Bij beëindiging hoeven er geen patiëntgegevens teruggegeven of vernietigd te worden, omdat ze er niet zijn. Het dossier blijft bij de praktijk staan en blijft leesbaar; het is te exporteren naar één bestand.

Accountgegevens worden op verzoek verwijderd, met uitzondering van wat wettelijk bewaard moet blijven voor de administratie.

De praktijk mag eenmaal per jaar om onderbouwing vragen dat het bovenstaande klopt. De aanbieder verstrekt dan de technische documentatie waarin de gegevensstroom is beschreven.