VERWERKERSOVEREENKOMST BAKEN – website voor huisartspraktijken
(bijlage bij de Abonnementsovereenkomst tussen Gezondheidscentrum Leven B.V. en de Klant)
Partijen
Gezondheidscentrum Leven B.V., statutair gevestigd te 4208 DC Gorinchem, KvK-nummer 80316697 (hierna: "Aanbieder" of "Verwerker");
[Naam huisartspraktijk], KvK-nummer [KvK-nummer], gevestigd te 4208 DC Gorinchem (hierna: "Klant" of "Verwerkingsverantwoordelijke");
hierna gezamenlijk: "Partijen".
In aanmerking nemende dat:
Klant met Aanbieder een abonnementsovereenkomst heeft gesloten voor het gebruik van een door Aanbieder aangeboden praktijkwebsite (hierna: de "Dienst");
bij de levering van de Dienst persoonsgegevens worden verwerkt van bezoekers van de website van Klant, waaronder mogelijk (aspirant-)patiënten die via een contactformulier gegevens achterlaten;
Klant in dat verband kwalificeert als verwerkingsverantwoordelijke en Aanbieder als verwerker in de zin van art. 4, punt 7 respectievelijk punt 8, AVG;
Partijen deze verwerkersovereenkomst sluiten ter uitvoering van de verplichting van art. 28 lid 3 AVG.
Artikel 1 – Definities
Begrippen als "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "inbreuk op de beveiliging van persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenis die de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, "AVG") daaraan toekent.
Artikel 2 – Onderwerp en duur
2.1 Deze overeenkomst regelt de verwerking van persoonsgegevens door Verwerker ten behoeve van Verwerkingsverantwoordelijke bij de uitvoering van de Dienst.
2.2 Deze overeenkomst is onlosmakelijk verbonden met de abonnementsovereenkomst en geldt voor de duur daarvan, inclusief eventuele verlengingen, en eindigt van rechtswege bij het einde van de abonnementsovereenkomst, onverminderd de verplichtingen die naar hun aard na beëindiging voortduren (waaronder artikel 9).
Artikel 3 – Aard, doel en omvang van de verwerking
3.1 De verwerking betreft uitsluitend de persoonsgegevens die noodzakelijk zijn voor het functioneren van de website van Klant, zoals nader gespecificeerd in Bijlage 1.
3.2 Doel van de verwerking is uitsluitend het hosten, technisch beheren en beschikbaar stellen van de website van Klant en het faciliteren van het contactformulier, niet meer dan noodzakelijk voor de uitvoering van de Dienst.
3.3 Verwerker verwerkt geen bijzondere categorieën van persoonsgegevens in de zin van art. 9 AVG (waaronder gezondheidsgegevens) via de Dienst, tenzij en voor zover Partijen hierover schriftelijk nadere afspraken maken.
Artikel 4 – Instructies
4.1 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke (waaronder elektronische) instructies van Verwerkingsverantwoordelijke, met inbegrip van instructies met betrekking tot doorgifte van persoonsgegevens naar een derde land, tenzij een op Verwerker rustende Unierechtelijke of nationale wettelijke verplichting tot verwerking hem daartoe verplicht.
4.2 Verwerker informeert Verwerkingsverantwoordelijke onverwijld indien naar zijn oordeel een instructie in strijd is met de AVG of andere toepasselijke gegevensbeschermingswetgeving.
Artikel 5 – Geheimhouding
Verwerker waarborgt dat iedere persoon die onder zijn gezag handelt en toegang heeft tot de persoonsgegevens, zich heeft verbonden tot geheimhouding of aan een passende wettelijke geheimhoudingsplicht is gebonden.
Artikel 6 – Beveiliging
6.1 Verwerker treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals nader omschreven in Bijlage 2, met inachtneming van de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en doeleinden van de verwerking, overeenkomstig art. 32 AVG.
6.2 Verwerker beoordeelt periodiek of de getroffen maatregelen nog passend zijn en past deze zo nodig aan.
Artikel 7 – Inschakeling van subverwerkers
7.1 Verwerkingsverantwoordelijke verleent Verwerker hierbij algemene schriftelijke toestemming om subverwerkers in te schakelen, zoals opgenomen in Bijlage 3.
7.2 Verwerker informeert Verwerkingsverantwoordelijke over elke voorgenomen toevoeging of vervanging van een subverwerker, zodat Verwerkingsverantwoordelijke de mogelijkheid heeft hiertegen binnen 14 dagen bezwaar te maken op redelijke gronden.
7.3 Verwerker legt aan iedere subverwerker dezelfde gegevensbeschermingsverplichtingen op als in deze overeenkomst zijn opgenomen en blijft volledig aansprakelijk jegens Verwerkingsverantwoordelijke voor de nakoming van die verplichtingen door de subverwerker.
Artikel 8 – Bijstand bij rechten van betrokkenen en overige verplichtingen
8.1 Verwerker verleent, rekening houdend met de aard van de verwerking, bijstand aan Verwerkingsverantwoordelijke bij het vervullen van diens plicht om verzoeken tot uitoefening van de rechten van betrokkenen (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar) te beantwoorden.
8.2 Verwerker verleent bijstand bij de naleving van de verplichtingen van art. 32 tot en met 36 AVG, waaronder het melden van een inbreuk op de beveiliging van persoonsgegevens.
8.3 Verwerker meldt een (vermoedelijke) inbreuk op de beveiliging van persoonsgegevens zonder onredelijke vertraging en in ieder geval binnen 24 uur na het ontdekken daarvan aan Verwerkingsverantwoordelijke, met de informatie die Verwerkingsverantwoordelijke nodig heeft om zelf te voldoen aan zijn meldplicht op grond van art. 33 en 34 AVG.
Artikel 9 – Teruggave en verwijdering na beëindiging
Na het einde van de Dienst zal Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle persoonsgegevens wissen of aan Verwerkingsverantwoordelijke terugbezorgen, en bestaande kopieën verwijderen, tenzij een wettelijke bewaarplicht anders vereist.
Artikel 10 – Audit
Verwerker stelt op eerste schriftelijk verzoek alle informatie ter beschikking die redelijkerwijs noodzakelijk is om aan te tonen dat aan de verplichtingen uit dit artikel is voldaan, en werkt mee aan audits, waaronder inspecties, uitgevoerd door Verwerkingsverantwoordelijke of een door hem gemachtigde auditor, met inachtneming van een redelijke aankondigingstermijn en de bedrijfsvoering van Verwerker.
Artikel 11 – Doorgifte buiten de EER
Verwerker draagt geen persoonsgegevens over naar een land buiten de Europese Economische Ruimte, behalve naar de in Bijlage 3 genoemde subverwerkers en uitsluitend met inachtneming van een passend doorgiftemechanisme (zoals een adequaatheidsbesluit of modelcontractbepalingen).
Artikel 12 – Aansprakelijkheid
De aansprakelijkheid van Verwerker voor schade als gevolg van een toerekenbare schending van deze overeenkomst is geregeld in de abonnementsvoorwaarden, met dien verstande dat deze beperking niet geldt voor bestuursrechtelijke boetes die aan Verwerker zelf worden opgelegd wegens diens eigen schending van de AVG.
Artikel 13 – Slotbepalingen
13.1 Op deze overeenkomst is Nederlands recht van toepassing.
13.2 Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van Aanbieder.
Bijlage 1 – Categorieën betrokkenen en gegevens: bezoekers van de website (naam, e-mailadres, telefoonnummer, IP-adres, berichtinhoud contactformulier).
Bijlage 2 – Beveiligingsmaatregelen:
- Versleutelde verbindingen (TLS/HTTPS) voor alle onderdelen van de Dienst.
- Beheerders loggen in met een persoonlijk wachtwoord (opgeslagen als hash) en verplichte tweestapsverificatie (2FA) met een authenticator-app.
- Uitnodigings- en herstellinks zijn eenmalig en beperkt geldig; het aanvragen van herstel is begrensd (rate limiting).
- Rolgebaseerd toegangsbeheer binnen een praktijk; de gegevens van elke praktijk zijn server-side van elkaar gescheiden (tenant-isolatie).
- Databasewijzigingen verlopen via beheerde migraties; geheimen (sleutels) staan niet in de broncode maar in de serveromgeving.
- Back-ups: [in te vullen zodra ingericht].
Bijlage 3 – Subverwerkers: [naam hostingpartij, land van vestiging, doel].