Verwerkersovereenkomst

Opmerking vooraf: dit is een modelverwerkersovereenkomst die de standaard afspraken tussen REVA en een fysiotherapiepraktijk beschrijft conform de AVG. Deze tekst is nog niet juridisch getoetst en dient voor gebruik als bindend contract te worden gecontroleerd en waar nodig aangepast door een jurist. Een praktijk accepteert deze verwerkersovereenkomst bij het afsluiten van een abonnement op REVA.

1. Partijen

Deze verwerkersovereenkomst wordt gesloten tussen de fysiotherapiepraktijk die een abonnement op REVA afsluit (hierna: de verwerkingsverantwoordelijke) en REVA B.V. (hierna: de verwerker), en vormt een onlosmakelijk onderdeel van de algemene voorwaarden en de overeenkomst tussen partijen.

2. Onderwerp en duur

Deze overeenkomst regelt de verwerking van persoonsgegevens die de verwerker namens de verwerkingsverantwoordelijke uitvoert bij het leveren van de REVA-dienst. De overeenkomst geldt voor de duur van de hoofdovereenkomst (het abonnement op REVA) en eindigt automatisch op het moment dat die hoofdovereenkomst eindigt, onverminderd de bepalingen die naar hun aard ook na beëindiging van kracht blijven, zoals geheimhouding en de verplichtingen rondom teruggave en vernietiging van gegevens.

3. Aard en doel van de verwerking

De verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren van het REVA-patiëntenportaal: het faciliteren van check-ins, afspraken, herstelplannen, medicatie- en pijnregistratie, het digitale patiëntdossier, voortgangsanalyse en behandeldoelen, zoals beschreven op reva-app.nl/functies en in de privacyverklaring. De verwerker verwerkt geen gegevens voor eigen doeleinden en gebruikt gegevens nooit voor profilering, marketing of verkoop aan derden.

4. Categorieën van betrokkenen en persoonsgegevens

Deze overeenkomst ziet op de verwerking van persoonsgegevens van de volgende betrokkenen:

• Patiënten die door de verwerkingsverantwoordelijke worden uitgenodigd voor REVA;
• Medewerkers van de verwerkingsverantwoordelijke met een REVA-account.

Het gaat daarbij onder meer om de volgende categorieën gegevens:

• Contactgegevens (naam, e-mailadres);
• Gezondheidsgegevens in de zin van artikel 9 AVG: pijnscores, energieniveau, stemming, oefenvoortgang, medicatiegebruik, dossierdocumenten, behandeldoelen en herstelcontext;
• Afspraakgegevens en behandelnotities;
• Zorgverzekerings- en contactgegevens van zorgverleners;
• Technische gebruiksgegevens (IP-adres, inlogmomenten, apparaatinformatie).

Een volledig overzicht van de verwerkte gegevens staat in hoofdstuk 2 van de privacyverklaring.

5. Verplichtingen van de verwerker

De verwerker:

• verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist;
• zorgt ervoor dat personen die geautoriseerd zijn om persoonsgegevens te verwerken zich hebben verbonden tot geheimhouding;
• treft passende technische en organisatorische beveiligingsmaatregelen conform artikel 32 AVG, waaronder versleuteling van gegevens in rust en tijdens transport, toegangscontrole op productiesystemen en regelmatige beveiligingsevaluaties;
• schakelt geen andere verwerker (subverwerker) in zonder voorafgaande toestemming van de verwerkingsverantwoordelijke, met dien verstande dat toestemming voor de subverwerkers genoemd in artikel 6 hierbij algemeen wordt verleend;
• verleent, rekening houdend met de aard van de verwerking, bijstand aan de verwerkingsverantwoordelijke bij het beantwoorden van verzoeken van betrokkenen tot uitoefening van hun rechten onder de AVG;
• meldt een datalek zonder onnodige vertraging, en in ieder geval binnen 48 uur nadat de verwerker daarvan kennis heeft genomen, aan de verwerkingsverantwoordelijke, zodat deze aan haar eigen wettelijke meldplichten kan voldoen;
• verleent, na voorafgaande schriftelijke aankondiging met een redelijke termijn, medewerking aan audits die redelijkerwijs noodzakelijk zijn om de naleving van deze overeenkomst te controleren;
• wist of retourneert, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens na afloop van de dienstverlening, tenzij verdere opslag wettelijk verplicht is, conform de termijnen in hoofdstuk 5 van de privacyverklaring.

6. Subverwerkers

De verwerker maakt gebruik van een beperkt aantal subverwerkers voor het leveren van de dienst: een hostingprovider voor de opslag van gegevens, een betalingsdienstverlener voor het verwerken van betalingen (zonder toegang tot patiëntgegevens), en een e-maildienst voor transactionele e-mails. Met elke subverwerker is een verwerkersovereenkomst gesloten die ten minste dezelfde verplichtingen oplegt als deze overeenkomst. De verwerker informeert de verwerkingsverantwoordelijke over voorgenomen wijzigingen in subverwerkers, zodat bezwaar kan worden gemaakt voordat de wijziging ingaat.

7. Doorgifte buiten de EER

Persoonsgegevens worden opgeslagen op servers binnen de Europese Economische Ruimte (EER). Doorgifte van persoonsgegevens naar landen buiten de EER vindt niet plaats, tenzij passende waarborgen zijn getroffen conform hoofdstuk V van de AVG.

8. Aansprakelijkheid

De aansprakelijkheid van partijen onder deze verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbepaling in de algemene voorwaarden van REVA. Iedere partij is verantwoordelijk voor het naleven van de op haar rustende verplichtingen onder de AVG in haar respectievelijke rol als verwerkingsverantwoordelijke of verwerker.

9. Duur en beëindiging

Deze verwerkersovereenkomst treedt in werking op het moment van acceptatie bij het afsluiten van het abonnement, en eindigt van rechtswege bij beëindiging van de hoofdovereenkomst. Verplichtingen die naar hun aard bestemd zijn om ook na beëindiging voort te duren, zoals geheimhouding en de teruggave of vernietiging van gegevens, blijven onverminderd van kracht.

10. Toepasselijk recht

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in Nederland, tenzij partijen anders overeenkomen.

11. Contact

Vragen over deze verwerkersovereenkomst kunnen worden gestuurd naar info@reva-app.nl.