Verwerkingsverantwoordelijke: de aangesloten therapeut die zich via het platform bij het netwerk van Ikstopmet.nl heeft aangesloten en met deze overeenkomst akkoord is gegaan, hierna: de therapeut.
Verwerker: Ikstopmet.nl, gevestigd te Puntweg 18Q, 3208 LD SPIJKENISSE, ingeschreven bij de Kamer van Koophandel onder nummer 97982520, hierna: Ikstopmet.nl.
Artikel 1.Begrippen
1.1Begrippen uit de Algemene Verordening Gegevensbescherming (AVG), zoals persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens (datalek) en subverwerker, hebben in deze overeenkomst dezelfde betekenis als in de AVG.
1.2Platform: de online omgeving van Ikstopmet.nl met profiel, dossier, agenda, berichten, tasking, facturatie en online betaling.
1.3Algemene voorwaarden: de algemene voorwaarden aangesloten therapeut. Begrippen als netwerkcliënt en eigen cliënt hebben de betekenis uit die voorwaarden.
Artikel 2.Rollen en onderwerp
2.1De therapeut is verwerkingsverantwoordelijke voor de persoonsgegevens van haar cliënten. Zij bepaalt het doel van de verwerking en de middelen die zij daarvoor inzet.
2.2Ikstopmet.nl verwerkt die persoonsgegevens als verwerker, uitsluitend om het platform en de diensten te leveren die de therapeut afneemt, zoals beschreven in Bijlage 1.
2.3Bij de werving en intake van netwerkcliënten is Ikstopmet.nl zelf verwerkingsverantwoordelijke, tot het moment waarop de therapeut de cliënt aanneemt. Vanaf dat moment valt de verwerking onder deze overeenkomst. Weigert de therapeut een aangeboden cliënt, dan vervalt haar toegang tot het dossier van die cliënt.
2.4Gegevens die Ikstopmet.nl voor haar eigen bedrijfsvoering verwerkt, zoals de gegevens van de therapeut zelf voor facturatie, vallen niet onder deze overeenkomst. Daarvoor geldt de privacyverklaring van Ikstopmet.nl.
Artikel 3.Instructies
3.1Ikstopmet.nl verwerkt persoonsgegevens alleen op basis van schriftelijke instructies van de therapeut. Het gebruik van het platform en de instellingen die de therapeut daarin kiest, gelden als zulke instructies.
3.2Ikstopmet.nl gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en deelt ze niet met derden, behalve met subverwerkers volgens artikel 6 of wanneer een wettelijke plicht daartoe dwingt. In dat laatste geval informeert Ikstopmet.nl de therapeut vooraf, tenzij de wet dat verbiedt.
3.3Is een instructie naar het oordeel van Ikstopmet.nl in strijd met de AVG, dan meldt zij dat direct aan de therapeut.
Artikel 4.Geheimhouding
4.1Ikstopmet.nl houdt de persoonsgegevens geheim. Iedereen die namens Ikstopmet.nl toegang heeft, waaronder een praktijkondersteuner, is gebonden aan een schriftelijke geheimhoudingsplicht.
4.2Toegang tot dossiers is beperkt tot wie die toegang nodig heeft voor de dienst die de therapeut afneemt. Ikstopmet.nl kijkt niet inhoudelijk in dossiers, behalve op verzoek van de therapeut of voor het oplossen van een technische storing.
Artikel 5.Beveiliging
5.1Ikstopmet.nl neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking, rekening houdend met de gevoelige aard van gezondheidsgegevens. De belangrijkste maatregelen staan in Bijlage 3.
5.2De therapeut is zelf verantwoordelijk voor een veilig gebruik van het platform aan haar kant, zoals een sterk wachtwoord, een beveiligd apparaat en het niet delen van inloggegevens.
Artikel 6.Subverwerkers
6.1De therapeut geeft algemene toestemming voor de inzet van de subverwerkers uit Bijlage 2.
6.2Ikstopmet.nl meldt een nieuwe of vervangende subverwerker ten minste 30 dagen vooraf via het platform of per e-mail. De therapeut kan binnen die termijn op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan kan de therapeut de aansluiting kosteloos beëindigen.
6.3Ikstopmet.nl legt elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de therapeut verantwoordelijk voor diens nakoming.
Artikel 7.Doorgifte buiten de EER
7.1Persoonsgegevens worden alleen buiten de Europese Economische Ruimte verwerkt als daarvoor een passende waarborg bestaat, zoals een adequaatheidsbesluit van de Europese Commissie of door de Commissie vastgestelde modelcontractbepalingen.
Artikel 8.Rechten van betrokkenen
8.1Ikstopmet.nl helpt de therapeut binnen redelijke grenzen bij verzoeken van cliënten om inzage, correctie, verwijdering, beperking of overdracht van hun gegevens. Het platform biedt daarvoor functies, zoals export en beveiligde dossieroverdracht.
8.2Krijgt Ikstopmet.nl zo'n verzoek rechtstreeks binnen, dan stuurt zij het zonder onnodige vertraging door naar de therapeut en handelt zij het niet zelf af.
Artikel 9.Datalekken
9.1Ikstopmet.nl meldt een datalek dat persoonsgegevens van cliënten van de therapeut raakt zonder onredelijke vertraging aan de therapeut, en in ieder geval binnen 36 uur nadat zij het heeft ontdekt.
9.2De melding bevat, voor zover bekend: de aard van het lek, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Ikstopmet.nl vult de melding aan zodra er meer bekend is.
9.3De therapeut beslist of zij het lek meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen. Ikstopmet.nl doet zelf geen melding namens de therapeut, tenzij de therapeut daarom vraagt.
9.4Ikstopmet.nl houdt een register bij van alle datalekken en de genomen maatregelen.
Artikel 10.Bijstand en controle
10.1Ikstopmet.nl helpt de therapeut desgevraagd bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover dat het platform betreft.
10.2Ikstopmet.nl stelt de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen. De therapeut kan eenmaal per jaar, of na een ernstig datalek, een controle laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De kosten daarvan zijn voor de therapeut, tenzij blijkt dat Ikstopmet.nl deze overeenkomst op wezenlijke punten niet nakomt.
Artikel 11.Aansprakelijkheid
11.1Iedere partij is aansprakelijk voor schade die voortvloeit uit haar eigen tekortkoming in de nakoming van de AVG of van deze overeenkomst, overeenkomstig artikel 82 AVG.
11.2Ikstopmet.nl vrijwaart de therapeut voor boetes en claims die het rechtstreekse gevolg zijn van een verwerking door Ikstopmet.nl in strijd met deze overeenkomst of met de instructies van de therapeut.
Artikel 12.Duur en einde
12.1Deze overeenkomst geldt zolang de therapeut bij het netwerk is aangesloten en Ikstopmet.nl persoonsgegevens voor haar verwerkt.
12.2Na het einde van de aansluiting kan de therapeut binnen 30 dagen haar dossiers exporteren of via de beveiligde dossieroverdracht overdragen. Daarna verwijdert Ikstopmet.nl de persoonsgegevens, inclusief kopieën, binnen 90 dagen, ook uit back-ups zodra die vervallen. Op verzoek bevestigt Ikstopmet.nl de verwijdering schriftelijk.
12.3Wettelijke bewaartermijnen die op de therapeut rusten, zoals voor het cliëntdossier, blijven haar verantwoordelijkheid. Zij zorgt ervoor dat zij de dossiers tijdig exporteert als zij die langer moet bewaren.
Artikel 13.Slotbepalingen
13.1Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.
13.2Ikstopmet.nl kan deze overeenkomst wijzigen. Een nieuwe versie geldt pas nadat de therapeut daarmee in het platform akkoord is gegaan.
13.3Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Ikstopmet.nl is gevestigd.
Bijlage 1. Verwerkingen
Betrokkenen: cliënten van de therapeut, en waar van toepassing hun ouders, voogden of partners die aan een traject deelnemen.
Persoonsgegevens:
- naam, adres, geboortedatum, e-mailadres en telefoonnummer;
- afspraken, agenda-informatie en sessiegegevens;
- dossierinhoud: intake, notities, verslagen, bijlagen, berichten en antwoorden op tasking-opdrachten;
- bijzondere persoonsgegevens over gezondheid, voor zover nodig voor de behandeling;
- facturen en betaalstatus van de cliënt;
- technische gegevens zoals inlogmomenten en IP-adressen in het auditlog.
Doeleinden: het leveren van het platform (dossier, agenda, berichten, tasking, facturatie en online betaling), het inplannen van afspraken als de therapeut daarvoor de praktijkondersteuner afneemt, beveiliging en het oplossen van storingen.
Bewaartermijn: zolang de aansluiting duurt, en daarna volgens artikel 12.
Bijlage 2. Subverwerkers
SubverwerkerDoelLocatieHostingpartij van ikstopmet.nlHosting van het platform, databases en back-upsEuropese UnieMoneybird B.V.Facturatie en administratieNederlandGoogle Ireland Ltd.Agendakoppeling (Google Agenda) en pushmeldingen (Firebase)Ierland; doorgifte naar de VS onder het EU-US Data Privacy FrameworkOpenAI Ireland Ltd.AI-ondersteuning bij de analyse van tasking-antwoorden, alleen als de therapeut die functie gebruiktIerland; doorgifte naar de VS onder passende waarborgenPraktijkondersteuner (zelfstandig)Inplannen van afspraken en contact met cliënten, alleen als de therapeut deze dienst afneemtNederland
Bijlage 3. Beveiligingsmaatregelen
- Alle verbindingen met het platform zijn versleuteld (HTTPS).
- Aanmelden en gevoelige handelingen, zoals dossieroverdracht, worden bevestigd met een eenmalige code.
- Toegang per rol en per dossier: een therapeut ziet alleen haar eigen cliënten.
- Auditlog van belangrijke handelingen, met datum, gebruiker en IP-adres.
- Inbraakdetectie en begrenzing van het aantal verzoeken tegen misbruik.
- Bestanden en bijlagen buiten de openbare webmap, alleen bereikbaar na controle van de rechten.
- Regelmatige back-ups en updates van de software.
- Geheimhoudingsplicht voor iedereen die namens Ikstopmet.nl toegang heeft.