Verwerkersovereenkomst

Tussen de praktijk (verwerkingsverantwoordelijke) en Ignace Mella (eenmanszaak), ondernemingsnummer 1003.713.438, Stoopkensstraat 2, 3320 Hoegaarden, handelend onder de naam Elvara (verwerker). De praktijk aanvaardt deze overeenkomst samen met de voorwaarden.

1. Voorwerp

De verwerker verwerkt persoonsgegevens, waaronder gezondheidsgegevens, uitsluitend om het platform te leveren: dossier, agenda, administratie en de bijbehorende mails en documenten.

2. Instructies

De verwerker handelt alleen op schriftelijke instructie van de praktijk. Het gebruik van het platform geldt als instructie.

3. Vertrouwelijkheid

Medewerkers van de verwerker hebben geen toegang tot de inhoud van dossiers, behalve op uitdrukkelijk verzoek van de praktijk voor support, en dan gelogd.

4. Beveiliging

Versleutelde verbindingen; rijksregisternummers, klinische tekst, notities en bestanden versleuteld met een sleutel buiten de database; scheiding tussen praktijken op databaseniveau; toegang per dossier en per rol; een audit-log; tweestapsverificatie en passkeys; dagelijkse, versleutelde back-ups op een tweede locatie in de EU, met een maandelijkse hersteltest. De verwerker houdt de maatregelen minstens op dat niveau.

5. Subverwerkers

De praktijk geeft algemene toestemming voor subverwerkers van de soorten in de privacyverklaring. De lijst met namen en locaties krijgt de praktijk op aanvraag. Een nieuwe subverwerker meldt de verwerker 30 dagen vooraf; de praktijk kan bezwaar maken en opzeggen. Gegevens gaan alleen buiten de EER met passende waarborgen (AVG art. 46), zoals standaardcontractbepalingen.

6. Rechten van betrokkenen

Het platform laat de praktijk zelf inzage, afschrift en verbetering afhandelen (dossierexport, bewerken). De verwerker helpt waar nodig.

7. Datalekken

De verwerker meldt een lek zonder onredelijke vertraging, en binnen 24 uur na ontdekking, aan de praktijk. Daarbij horen: aard, betrokken gegevens, gevolgen en genomen maatregelen.

8. Bewaring en einde

Bij opzegging kan de praktijk alle gegevens exporteren. Daarna bewaart de verwerker de dossiers, versleuteld en ontoegankelijk, niet langer dan nodig voor de wettelijke bewaarplicht van de praktijk, tenzij de praktijk ze zelf overneemt. Daarna worden ze gewist, back-ups inbegrepen.

9. Audit

De praktijk kan eenmaal per jaar bewijs van de maatregelen vragen (rapport van een pentest of audit).

10. Aansprakelijkheid en recht

De aansprakelijkheid tussen de partijen volgt de voorwaarden, met dezelfde beperkingen. Ze laten de rechten van betrokkenen onder de AVG (art. 82) onverlet. Belgisch recht is van toepassing.