Verwerkersovereenkomst

BIJLAGE 4 - HCI VERWERKERSOVEREENKOMST

OVERWEGENDE DAT:

(a) Verwerker diensten verricht ten behoeve van Verwerkingsverantwoordelijke, zoals beschreven in de Overeenkomst waarbij deze Verwerkersovereenkomst een bijlage is.

(b) De diensten meebrengen dat Persoonsgegevens worden verwerkt.

(c) Verwerker de betreffende gegevens louter in opdracht van Verwerkingsverantwoordelijke verwerkt en niet voor eigen doeleinden.

(d) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (hierna: “AVG”) op deze verwerking van toepassing is.

(e) Partijen in deze Verwerkersovereenkomst de afspraken met betrekking tot de verwerking van Persoonsgegevens in het kader van de diensten wensen vast te leggen.

(f) Deze Verwerkersovereenkomst, indien van toepassing, alle eerdere Verwerkersovereenkomst(en) van gelijke strekking tussen Partijen vervangt.

(g) Deze Verwerkersovereenkomst nauw aansluit bij de Verwerkersovereenkomst Brancheorganisaties Zorg.

VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT:

Artikel 1. Definities

1.1. Termen met een hoofdletter die in deze Verwerkersovereenkomst worden gebruikt en die hierin niet worden gedefinieerd, hebben de betekenis die is uiteengezet in de AVG (waaronder Persoonsgegevens, Betrokkene, Verwerkingsverantwoordelijke en Verwerker) of, voor zover niet aldaar gedefinieerd, in de Overeenkomst. In geval van tegenstrijdigheid tussen een definitie in deze Verwerkersovereenkomst en een definitie in de Overeenkomst, prevaleert de definitie in deze Verwerkersovereenkomst. De term ‘Medewerker’ heeft in deze Verwerkersovereenkomst uitsluitend de betekenis zoals omschreven in artikel 1.2 sub b) hierna, in afwijking van de betekenis die aan die term toekomt in de Overeenkomst.

1.2. In deze Verwerkersovereenkomst wordt onder de volgende met een hoofdletter aangeduide begrippen het volgende verstaan:

1.3. Waar in deze Verwerkersovereenkomst naar bepaalde normen wordt verwezen (zoals NEN 7510) wordt daarmee steeds gedoeld op de meest actuele versie daarvan. Voor zover de betreffende norm niet meer wordt onderhouden, dient in de plaats daarvan de meest actuele versie van de logische opvolger van de betreffende norm gelezen te worden.

Artikel 2. Onderwerp van deze Verwerkersovereenkomst en beschrijving Bijlagen

2.1. Deze Verwerkersovereenkomst betreft de verwerking van Persoonsgegevens door Verwerker in opdracht van de Verwerkingsverantwoordelijke in het kader van de uitvoering van de Overeenkomst.

2.2. Onderdeel van deze Verwerkersovereenkomst zijn de volgende Bijlagen:

a) Bijlage 1: Omschrijving van de verwerking

b) Bijlage 2: Beveiliging Persoonsgegevens

2.3. Deze Verwerkersovereenkomst maakt onverbrekelijk deel uit van de Overeenkomst. Voor zover het bepaalde in deze Verwerkersovereenkomst strijdig is met het bepaalde in de Overeenkomst, geldt het bepaalde in artikel 1.7 van de Algemene Voorwaarden.

Artikel 3. Uitvoering verwerking

3.1. Verwerker garandeert dat hij ten behoeve van Verwerkingsverantwoordelijke uitsluitend Persoonsgegevens zal verwerken voor zover:

a) dit noodzakelijk is voor de uitvoering van de Overeenkomst (binnen de gespecificeerde omschrijving in Bijlage 1); of

b) Verwerkingsverantwoordelijke daartoe nadere schriftelijke instructies heeft gegeven.

3.2. Verwerker zal alle redelijke instructies van Verwerkingsverantwoordelijke in verband met de verwerking van de Persoonsgegevens opvolgen. Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk op de hoogte indien naar zijn oordeel instructies in strijd zijn met de toepasselijke wetgeving met betrekking tot de verwerking van Persoonsgegevens.

3.3. Onverminderd het bepaalde in het eerste lid van dit artikel 3, is het Verwerker toegestaan om Persoonsgegevens te verwerken indien een wettelijk voorschrift (waaronder begrepen daarop gebaseerde rechterlijke of bestuurlijke bevelen) hem tot een verwerking verplicht. In dat geval stelt de Verwerker voorafgaand aan de verwerking Verwerkingsverantwoordelijke in kennis van de beoogde verwerking en het wettelijk voorschrift, tenzij die wetgeving deze kennisgeving verbiedt. Verwerker zal Verwerkingsverantwoordelijke, waar mogelijk, in staat stellen zich te verweren tegen deze verplichte verwerking en ook overigens de verplichte verwerking beperken tot het strikt noodzakelijke.

3.4. Verwerkingsverantwoordelijke erkent dat het Verwerker is toegestaan om de Persoonsgegevens te gebruiken voor de verdere ontwikkeling van de Diensten, zoals gedefinieerd in de Overeenkomst, mits die Persoonsgegevens volledig zijn geanonimiseerd, zodanig dat herleiding tot een geïdentificeerde of identificeerbare natuurlijke persoon redelijkerwijs niet mogelijk is.

3.5. Verwerker zal de Persoonsgegevens aantoonbaar op behoorlijke en zorgvuldige wijze verwerken en in overeenstemming met de op hem als Verwerker rustende verplichtingen op grond van de AVG en overige wet- en regelgeving.

3.6. Verwerker zal, tenzij hij hiervoor uitdrukkelijke voorafgaande schriftelijke toestemming heeft verkregen van Verwerkingsverantwoordelijke, geen Persoonsgegevens verwerken of door derden laten verwerken in landen buiten de Europese Economische Ruimte (“EER”). Indien doorgifte buiten de EER noodzakelijk is, vindt deze uitsluitend plaats met inachtneming van de waarborgen van Hoofdstuk V van de AVG.

3.7. Verwerker waarborgt dat alle personen die gemachtigd zijn om Persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht zijn gebonden.

Artikel 4. Beveiliging Persoonsgegevens en controle (versie gezondheidsgegevens)

4.1. Verwerker zal aantoonbaar passende en doeltreffende technische en organisatorische beveiligingsmaatregelen nemen die, gezien de huidige stand der techniek en de daarmee gemoeide kosten, afgestemd zijn op de (in Bijlage 1 gespecificeerde) aard van de te verwerken Persoonsgegevens, ter bescherming van de Persoonsgegevens tegen verlies, onbevoegde kennisname, verminking of enige vorm van onrechtmatige verwerking, alsmede om de (tijdige) beschikbaarheid en integriteit van de gegevens te garanderen. In deze beveiligingsmaatregelen zijn de mogelijk in de Overeenkomst reeds beschreven maatregelen begrepen.

4.2. Verwerker beschikt over ISO 27001-certificering, vergelijkbare certificering of werkt aantoonbaar in overeenstemming met ISO 27001 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens, waarin in ieder geval de in het eerste lid van dit artikel 4 genoemde maatregelen uiteengezet zijn.

4.3. Verwerker beschikt over NEN 7510-certificering of werkt aantoonbaar in overeenstemming met NEN 7510 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens. Verwerker voldoet aantoonbaar (indien van toepassing) aan de veiligheidseisen voor netwerkverbindingen zoals beschreven in NEN 7512 en aan de eisen ten aanzien van logging zoals beschreven in NEN 7513.

4.4. Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke een (kopie van een) door een onafhankelijke en ter zake deskundige derde afgegeven geldig certificaat overleggen alsmede de verklaring van toepasselijkheid, indien deze daarover beschikt, of een Third Party Memorandum (TPM), waaruit volgt dat Verwerker de verplichtingen uit dit artikel naleeft.

4.5. Verwerker stelt op verzoek van Verwerkingsverantwoordelijke recente interne of externe auditresultaten, certificaten of vergelijkbare beoordelingen beschikbaar waaruit blijkt dat Verwerker de verplichtingen uit dit artikel naleeft.

4.6. Verwerkingsverantwoordelijke heeft het recht toe te (laten) zien op de naleving van de hiervoor onder artikel 4.1 tot en met 4.3 genoemde maatregelen naar aanleiding van (vermoeden van) informatiebeveiligings- of privacy-Inbreuken. Verwerker en Verwerkingsverantwoordelijke bepalen in gezamenlijk wanneer en door welke onafhankelijke derde partij de controle wordt uitgevoerd. Verwerker zal eventuele door Verwerkingsverantwoordelijke naar aanleiding van een dergelijk onderzoek in redelijkheid gegeven instructies tot aanpassing van het beveiligingsbeleid binnen een redelijke termijn opvolgen.

4.7. Partijen erkennen dat beveiligingseisen voortdurend veranderen en dat een effectieve beveiliging frequente evaluatie en regelmatige verbetering van verouderde beveiligingsmaatregelen vereist. Verwerker zal daarom de maatregelen zoals geïmplementeerd op basis van dit artikel 4 periodiek evalueren en, waar nodig, de maatregelen verbeteren om te blijven voldoen aan de verplichtingen onder dit artikel 4. Het voorgaande laat de instructiebevoegdheid van Verwerkingsverantwoordelijke om zo nodig aanvullende maatregelen te (doen) treffen onverlet. Verwerker verleent op verzoek van Verwerkingsverantwoordelijke redelijke bijstand bij de nakoming van de op Verwerkingsverantwoordelijke rustende beveiligingsverplichtingen uit artikel 32 AVG. Verwerker mag hiervoor redelijke kosten in rekening brengen.

Artikel 5. Monitoring, informatieplichten en incidentenmanagement

5.1. Verwerker zal actief monitoren op Inbreuken op de beveiliging en over de resultaten van de monitoring in overeenstemming met dit artikel 5 rapporteren aan Verwerkingsverantwoordelijke.

5.2. Wanneer zich een Inbreuk voordoet of heeft voorgedaan, is Verwerker verplicht de contactpersoon van Verwerkingsverantwoordelijke daarvan onmiddellijk, doch uiterlijk binnen 48 uur nadat Verwerker er kennis van heeft genomen, in kennis te stellen en daarbij alle relevante informatie te verstrekken over:

1) de aard van de Inbreuk;

2) de (mogelijk) getroffen Persoonsgegevens;

3) de geconstateerde en de vermoedelijke gevolgen van de Inbreuk; en

4) de maatregelen die getroffen zijn of zullen worden om de Inbreuk op te lossen dan wel de gevolgen/schade zoveel mogelijk te beperken.

5.3. Verwerker is, onverminderd de overige verplichtingen uit dit artikel, verplicht om maatregelen te treffen die redelijkerwijs van hem kunnen worden verwacht om de Inbreuk zo snel mogelijk te herstellen dan wel de verdere gevolgen zoveel mogelijk te beperken. Verwerker treedt zo snel als mogelijk, doch binnen 48 uur, in overleg met Verwerkingsverantwoordelijke teneinde hierover nadere afspraken te maken.

5.4. Verwerker zal Verwerkingsverantwoordelijke te allen tijde zijn medewerking verlenen en zal de instructies van Verwerkingsverantwoordelijke opvolgen en deugdelijk onderzoek naar de Inbreuk verrichten. Verwerker stelt daarover een rapportage op, inclusief een correcte respons en passende vervolgstappen. Deze rapportage deelt Verwerker zo spoedig mogelijk met Verwerkingsverantwoordelijke zodat deze tijdig de Autoriteit Persoonsgegevens (hierna: AP) en/of de Betrokkene kan informeren. Het melden van een Inbreuk aan de AP en/of Betrokkene kan alleen gedaan worden door de Verwerkingsverantwoordelijke.

5.5. Meldingen met betrekking tot Inbreuken en Verzoeken van Betrokkenen worden gedaan aan de contactpersoon van Verwerkingsverantwoordelijke.

5.6. Het is Verwerker niet toegestaan informatie te verstrekken over Inbreuken aan Betrokkenen of andere derde partijen, behoudens voor zover Verwerker daartoe wettelijk verplicht is of Partijen anderszins zijn overeengekomen.

5.7. Indien en voor zover Partijen zijn overeengekomen dat Verwerker in relatie tot een Inbreuk rechtstreeks contact onderhoudt met autoriteiten anders dan de AP, of andere derde partijen, dan houdt de Verwerker de Verwerkingsverantwoordelijke daarvan voortdurend op te hoogte.

Artikel 6. Medewerkingsverplichtingen

6.1. De AVG en overige wetgeving kent aan de Betrokkene bepaalde rechten toe. Verwerker zal zijn volledige en tijdige medewerking verlenen aan Verwerkingsverantwoordelijke bij de nakoming van de op Verwerkingsverantwoordelijke rustende verplichtingen voortvloeiend uit deze rechten.

6.2. Een door Verwerker ontvangen Verzoek van een Betrokkene met betrekking tot verwerking van Persoonsgegevens wordt door Verwerker zo snel als mogelijk, doch binnen 48 uur, doorgestuurd naar Verwerkingsverantwoordelijke.

6.3. Op het eerste daartoe strekkende verzoek van Verwerkingsverantwoordelijke zal Verwerker aan Verwerkingsverantwoordelijke alle relevante informatie verstrekken betreffende de aspecten van de door hem verrichte verwerking van Persoonsgegevens zodat Verwerkingsverantwoordelijke, mede aan de hand van die informatie, aan kan tonen dat zij de toepasselijke (privacy) wetgeving naleeft.

6.4. Verwerker zal voorts op verzoek van Verwerkingsverantwoordelijke alle noodzakelijke bijstand verlenen bij de nakoming van de op grond van de toepasselijke privacywetgeving op Verwerkingsverantwoordelijke rustende wettelijke verplichtingen, zoals het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA).

Artikel 7. Inschakeling subverwerkers

7.1. Verwerker zal zijn activiteiten die bestaan uit het verwerken van Persoonsgegevens of vereisen dat Persoonsgegevens verwerkt worden, niet uitbesteden aan een subverwerker zonder vier weken van te voren dat mede te delen aan Verwerkingsverantwoordelijke en de Verwerkingsverantwoordelijke de gelegenheid te geven om eventuele bezwaren aan de Verwerker kenbaar te maken. Indien Verwerkingsverantwoordelijke bezwaren heeft, zal Verwerker redelijke inspanningen leveren om de bezwaren van de Verwerkingsverantwoordelijke op te lossen of om de levering van de diensten zoals genoemd in de Overeenkomst - zonder daaraan afbreuk te doen - aan te passen om verwerking van Persoonsgegevens door de voorgestelde (nieuwe) subverwerker te voorkomen.

7.2. Indien de Verwerker de bezwaren van de Verwerkingsverantwoordelijke niet kan oplossen of de levering van de diensten niet kan aanpassen om de verwerking van Persoonsgegevens door de voorgestelde subverwerker te voorkomen, kan de Verwerkingsverantwoordelijke de Overeenkomst opschorten of geheel of gedeeltelijk beëindigen, met inachtneming van een opzegtermijn van zes maanden, gerekend vanaf de einddatum van de bezwaartermijn. De financiële gevolgen van een dergelijke opschorting of beëindiging worden geregeld in de Overeenkomst.

7.3. Artikel 7.1 is niet van toepassing op de in Bijlage 1 vermelde subverwerkers.

7.4. Verwerker zal aan deze subverwerker materieel dezelfde verplichtingen opleggen als voor hemzelf uit deze Verwerkersovereenkomst en de wet voortvloeien. Verwerker zal deze afspraken schriftelijk vastleggen en zal toezien op de naleving daarvan door de subverwerker. Verwerker zal Verwerkingsverantwoordelijke op verzoek afschrift verstrekken van de met de subverwerker gesloten verwerkersovereenkomst.

7.5. Verwerker blijft volledig aansprakelijk jegens Verwerkingsverantwoordelijke voor de gevolgen van het uitbesteden van werkzaamheden aan een subverwerker. Voor de inzet van subverwerkers buiten de EER is toestemming vereist in overeenstemming met artikel 3.6 van deze Verwerkersovereenkomst.

Artikel 8. Kosten

8.1. De kosten voor de verwerking van Persoonsgegevens die inherent zijn aan de normale uitvoering van de Verwerkersovereenkomst, worden geacht besloten te liggen in de op grond van de Overeenkomst reeds verschuldigde vergoedingen. Voor bijstand bij de uitoefening van rechten van Betrokkenen, audits, gegevensbeschermingseffectbeoordelingen en overige bijstandsverplichtingen op grond van deze Verwerkersovereenkomst mag Verwerker redelijke kosten in rekening brengen.

Artikel 9. Duur en beëindiging

9.1. Deze Verwerkersovereenkomst gaat in op de datum van ondertekening en de duur van deze Verwerkersovereenkomst is gelijk aan de duur van de Overeenkomst inclusief eventuele verlengingen daarvan.

9.2. De Verwerkersovereenkomst maakt na ondertekening ervan door beide Partijen integraal en onverbrekelijk deel uit van de Overeenkomst. Beëindiging van de Overeenkomst, op welke grond dan ook (opzegging/ontbinding), heeft tot gevolg dat de Verwerkersovereenkomst eveneens op dezelfde grond beëindigd wordt, tenzij Partijen in voorkomend geval anders overeenkomen.

9.3. Verplichtingen welke naar hun aard bestemd zijn om ook na beëindiging van deze Verwerkersovereenkomst voort te duren, blijven na beëindiging van deze Verwerkersovereenkomst gelden. Tot deze verplichtingen behoren bijvoorbeeld die welke voortvloeien uit de bepalingen betreffende geheimhouding, aansprakelijkheid, geschillenbeslechting en toepasselijk recht.

9.4. Ieder der Partijen is gerechtigd, onverminderd hetgeen daartoe bepaald is in de Overeenkomst, de uitvoering van deze Verwerkersovereenkomst en de daarmee samenhangende Overeenkomst op te schorten, dan wel deze Verwerkersovereenkomst [en de daarmee samenhangende Overeenkomst] zonder rechterlijke tussenkomst met onmiddellijke ingang te beëindigen indien:

a) de andere Partij wordt ontbonden of anderszins ophoudt te bestaan;

b) de andere Partij aantoonbaar ernstig tekortschiet in de nakoming van de verplichtingen die voortvloeien uit deze Verwerkersovereenkomst en die toerekenbare tekortkoming niet binnen 30 dagen is hersteld na een daartoe strekkende schriftelijke ingebrekestelling;

c) een Partij in staat van faillissement wordt verklaard of surseance van betaling aanvraagt.

9.5. Het is Verwerker niet toegestaan om zonder uitdrukkelijke en schriftelijke toestemming van Verwerkingsverantwoordelijke deze Verwerkersovereenkomst en de rechten en plichten die samenhangen met deze Verwerkersovereenkomst over te dragen aan een derde partij.

9.6. De verplichtingen uit deze Verwerkersovereenkomst duren voort zolang de Verwerker Persoonsgegevens van Verwerkingsverantwoordelijke verwerkt, ook nadat de Verwerker is opgehouden de in de Overeenkomst opgedragen zorg, diensten en/of faciliteiten ten behoeve van Verwerkingsverantwoordelijke te verlenen.

Artikel 10. Bewaartermijnen, teruggave en vernietiging van Persoonsgegevens

10.1. Verwerker bewaart de Persoonsgegevens niet langer dan strikt noodzakelijk, waaronder begrepen de wettelijke bewaartermijnen of een eventueel tussen Partijen gemaakte afspraak over bewaartermijnen zoals vastgelegd in Bijlage 1. In geen geval bewaart Verwerker de Persoonsgegevens langer dan tot het einde van deze Verwerkersovereenkomst. Verwerkingsverantwoordelijke bepaalt of en zo ja hoe lang gegevens bewaard moeten blijven.

10.2. Bij beëindiging van de Verwerkersovereenkomst, of indien van toepassing aan het einde van de overeengekomen bewaartermijnen, of op schriftelijk verzoek van Verwerkingsverantwoordelijke zal Verwerker, tegen redelijke kosten, naar keuze van Verwerkingsverantwoordelijke, alle Persoonsgegevens definitief (doen) vernietigen of teruggeven aan Verwerkingsverantwoordelijke, en bestaande kopieën verwijderen, tenzij opslag verplicht is op grond van Unierecht of lidstaatrecht. Op verzoek van Verwerkingsverantwoordelijke verstrekt Verwerker bewijs van het feit dat de gegevens onherroepelijk zijn vernietigd of verwijderd. Eventuele teruggave van de gegevens zal plaatsvinden in een onderling overeen te komen formaat langs elektronische weg. Indien teruggave, definitieve vernietiging of verwijdering niet mogelijk is, stelt Verwerker Verwerkingsverantwoordelijke daarvan onmiddellijk op de hoogte. In dat geval garandeert Verwerker dat hij de Persoonsgegevens vertrouwelijk zal behandelen en niet langer zal verwerken.

Artikel 11. Slotbepalingen

11.1. In geval van nietigheid c.q. vernietigbaarheid van een of meer bepalingen uit deze Verwerkersovereenkomst, blijven de overige bepalingen onverkort van kracht.

11.2. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

11.3. Geschillen over of in verband met deze Verwerkersovereenkomst worden uitsluitend voorgelegd aan de daartoe in de Overeenkomst aangewezen rechtbank of arbiter(s).

Bijlage 1: Omschrijving van de verwerking

Omschrijving van activiteiten en/of diensten, omvang en algemeen doel van de verwerking (benoem het aantal Persoonsgegevens/Betrokkenen):

Subverwerkers

Binnen HCI One maakt Verwerker, waar nodig, gebruik van zorgvuldig geselecteerde externe dienstverleners voor de ondersteuning en levering van de Diensten. Verwerker hecht grote waarde aan transparantie over de organisaties die namens Verwerker Persoonsgegevens verwerken.

Hieronder vindt Verwerkingsverantwoordelijke een actueel overzicht van de subverwerkers die door Verwerker zijn ingeschakeld. Deze lijst wordt periodiek bijgewerkt, zodat deze altijd aansluit bij eventuele wijzigingen in de dienstverlening, processen en leveranciers.

De genoemde subverwerkers kunnen, voor zover noodzakelijk voor de uitvoering van hun werkzaamheden, toegang hebben tot Persoonsgegevens. Zij zijn uitsluitend bevoegd deze gegevens te verwerken in opdracht van en ten behoeve van Verwerker voor de overeengekomen dienstverlening. Het gebruik van de Persoonsgegevens voor andere doeleinden is niet toegestaan.

Met alle subverwerkers sluit Verwerker passende verwerkersovereenkomsten af, conform artikel 7.4 van deze Verwerkersovereenkomst. Onderstaand overzicht omvat uitsluitend de subverwerkers die Verwerker inzet in haar hoedanigheid van Verwerker, ten behoeve van de in Bijlage 1 omschreven verwerking(en) namens de Verwerkingsverantwoordelijke. Partijen die Verwerker voor eigen doeleinden inschakelt (zoals eigen facturatie of marketing) vallen buiten de reikwijdte van deze Verwerkersovereenkomst en zijn daarom niet in dit overzicht opgenomen. De kolom "Dienst" geeft aan voor welke dienst (EPD, Milo of Zorgverleners App) de betreffende subverwerker relevant is. Milo en de Zorgverleners App zijn optionele, separaat afneembare modules en geen standaard onderdeel van de Diensten; de daaraan gekoppelde subverwerkers zijn dan ook uitsluitend relevant voor Verwerkingsverantwoordelijken die de betreffende module daadwerkelijk hebben afgenomen.

Bijlage 2: Beveiliging Persoonsgegevens

De door Verwerker geïmplementeerde maatregelen zijn te vinden op: https://hci-software.com/informatiebeveiliging/