Verwerkersovereenkomst Praktijk

VERWERKERSOVEREENKOMST

ONDERGETEKENDEN:

<NAAM ONDERNEMING>, met kantoor te (<POSTCODE>) <PLAATSNAAM> aan het adres <STRAATNAAM> nr.
<HUISNUMMER>; ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer: <NUMMER>; in dezen
vertegenwoordigd door <NAAM VERTEGENWOORDIGER>;
hierna te noemen: “Verwerkingsverantwoordelijke”;

Stichting Chronisch ZorgNet, met kantoor te (5611 VA) Eindhoven aan het adres Kanaaldijk-Zuid nr. 15;
ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer 51255030; in dezen vertegenwoordigd door
Mart van der Stelt, Directeur ;

hierna te noemen: “Verwerker”;

hierna gezamenlijk te noemen “Partijen” en afzonderlijk “Partij”.

OVERWEGENDE DAT:

Verwerkingsverantwoordelijke actief is op het gebied van het verlenen van zorg- en/of behandelingsdiensten aan
patiënten binnen de eerstelijnszorg.
Verwerker een landelijk netwerk heeft van gespecialiseerde zorgverleners die (beweeg)therapie en leefstijlbegeleiding
bieden aan mensen met chronische aandoeningen;
Verwerkingsverantwoordelijke en Verwerker een overeenkomst zijn aangegaan voor het faciliteren van digitale
gegevensuitwisseling tussen de praktijk en Chronisch ZorgNet, onder meer via een API-koppeling tussen Flux en het
Chronisch ZorgNet-Portfolio, ten behoeve van het aanmelden en beheren van patiënten binnen het netwerk (hierna: “*
Verwerkersovereenkomst*”). De functionaliteit voor toestemming (‘het vinkje’ in het EPD of Chronisch
ZorgNet-Portfolio voor het geven van toestemming door de patiënt voor het delen van diens gegevens met Chronisch
ZorgNet) maakt hiervan onderdeel uit;
Chronisch ZorgNet gebruikt de gegevens benoemd in deze Verwerkersovereenkomst ook voor wetenschappelijke doeleinden en
kwaliteitsdoeleinden. Chronisch ZorgNet ontvangt deze gegevens onder gerechtvaardigd belang en wordt
verwerkersverantwoordelijke voor de gegevens wanneer deze worden gebruikt voor wetenschappelijke en
kwaliteitsdoeleinden. Deze Verwerkersovereenkomst betreft alleen de verwerking van de (bijzondere) persoonsgegevens
voor klinische doeleinden; de verwerking van de gegevens voor wetenschappelijke en kwaliteitsdoeleinden staat dan ook
nadrukkelijk niet beschreven in deze Verwerkersovereenkomst. Voor de doeleinden kwaliteit en wetenschap worden
gepseudonimiseerde gegevens gebruikt. De patiëntgegevens en verwijzersgegevens worden gepseudonimiseerd door
subverwerker Softmedia B.V. en de pseudonimisatie van de deelnemersgegevens wordt gedaan door Chronisch ZorgNet.
De rol van ‘Verwerkersverantwoordelijke’ wordt in dit document vastgelegd onder naam van de praktijk, ervan uitgaande
dat de zorgverlener aangesloten bij Chronisch ZorgNet (“Deelnemer”) zelf praktijkhouder is of handelt in opdracht
van praktijkhouder (inclusief het deelnemen aan Chronisch ZorgNet). In alle gevallen blijft Deelnemer verantwoordelijk
voor een juiste afhandeling van de (bijzondere) persoonsgegevens conform de Algemene Verordening Gegevensbescherming.
Verwerker in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens conform de Overeenkomst uitvoert;
Partijen in deze Verwerkersovereenkomst de afspraken en voorwaarden hierover willen vastleggen;
Waar Flux wordt gelezen wordt Flux Medical Systems B.V., KVK 74965743, bedoeld.

VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT:

Artikel 1 Definities


AVG	Algemene Verordening Gegevensbescherming;
Betrokkene(n)	Degene(n) op wie een Persoonsgegeven betrekking heeft/hebben.
Subverwerker(s)	Andere verwerker(s) die door Verwerker wordt/worden ingezet om Verwerkingsactiviteiten te verrichten.
Persoonsgegeven(s)	Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, die Verwerker op grond van de Overeenkomst en/of Verwerkersovereenkomst Verwerkt of dient te Verwerken. Een overzicht van Persoonsgegevens die Verwerkt worden is bijgevoegd als bijlage 1.
Verwerken/Verwerking	Alle handelingen die een organisatie kan uitvoeren met Persoonsgegevens, van verzamelen tot en met vernietigen.
Verwerkersovereenkomst	Deze overeenkomst inclusief bijlagen daarbij.
Deelnamevoorwaarden /Deelnemersvoorwaarden /Overeenkomst	De algemene deelnamevoorwaarden waaronder Deelnemer deelneemt aan Chronisch ZorgNet.

Artikel 2 Verwerking van Persoonsgegevens

Verwerker verwerkt Persoonsgegevens in opdracht van Verwerkingsverantwoordelijke uitsluitend voor het uitvoeren van
de Overeenkomst. Het Verwerken gebeurt overeenkomstig deze Verwerkersovereenkomst en de schriftelijke instructies van
Verwerkingsverantwoordelijke.
Verwerker zal bij het Verwerken van Persoonsgegevens de AVG in acht nemen.
Verwerkingsverantwoordelijke garandeert dat de opdracht tot verwerking van Persoonsgegevens in overeenstemming is met
alle toepasselijke wet- en regelgeving. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle aanspraken van
derden welke op enigerlei wijze voortvloeien uit het niet naleven hiervan.
De Verwerking voor klinische doeleinden vindt plaats onder de verantwoordelijkheid van Verwerkingsverantwoordelijke.
Verwerker heeft geen zeggenschap over het doel en de middelen voor de Verwerking van Persoonsgegevens en neemt geen
beslissingen over het gebruik van de Persoonsgegevens, de verstrekking aan derden en de duur van de opslag van
Persoonsgegevens.

Artikel 3 Verwerking buiten de Europese Economische Ruimte

Verwerker mag Persoonsgegevens alleen buiten de Europese Economische Ruimte Verwerken met voorafgaande schriftelijke
toestemming van Verwerkingsverantwoordelijke en met inachtneming van de daarvoor geldende wettelijke verplichtingen.
Verwerkingsverantwoordelijke mag de toestemming hiertoe, niet op onredelijke gronden weigeren.

Artikel 4 Vertrouwelijkheid

Verwerker zal Persoonsgegevens gekregen van of via Verwerkingsverantwoordelijke geheimhouden, tenzij deze gegevens
van algemene bekendheid zijn of de openbaarmaking daarvan wettelijk vereist is.
Verwerker zal geen Persoonsgegevens aan een derde verstrekken, tenzij er een wettelijke verplichting hiervoor
bestaat, dit noodzakelijk is voor de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst of als zij een
schriftelijke opdracht van Verwerkingsverantwoordelijke hiertoe krijgt.
In het geval dat Verwerker gegevens moet openbaren op grond van een wettelijke verplichting en zij hiertoe een bevel
krijgt van een bevoegde instantie, dan zal Verwerker dit binnen 24 uur na ontvangst en kennisneming van dit bevel aan
Verwerkingsverantwoordelijke laten weten.
Medewerkers van Verwerker hebben toegang tot Persoonsgegevens en Verwerken deze voor zover dit nodig is voor het
uitvoeren van de Overeenkomst en/of Verwerkersovereenkomst.
Verwerker zal zorgen dat alle personen, waaronder medewerkers, die betrokken zijn bij de uitvoering van de
Overeenkomst en/of Verwerkersovereenkomst, gebonden zijn aan geheimhoudingsverplichting, waarin in ieder geval is
opgenomen dat Persoonsgegevens geheim worden houden.

Artikel 5 Verplichtingen Verwerker

Verwerker treedt uitsluitend op namens Verwerkingsverantwoordelijke en beslist niet zelfstandig over de doeleinden of
middelen van de verwerking.
Verwerker zal aan Verwerkingsverantwoordelijke (zonder verdergaande verplichting daartoe op zich te nemen)
medewerking verlenen bij het doen nakomen van de verplichtingen om:
- verzoeken van Betrokkene(n) met betrekking tot de uitoefening van rechten van Betrokkene(n) op grond van de
  toepasselijke privacywetgeving te beantwoorden;
- passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te
  waarborgen;
- datalekken te melden aan de toezichthouder en Betrokkene(n);
- een gegevensbeschermingseffectbeoordeling uit te voeren;
- de toezichthouder te raadplegen voorafgaand aan een Verwerking die een hoog risico met zich meebrengt;
- het uitvoeren van controles en audits door Verwerkingsverantwoordelijke of een door Verwerkingsverantwoordelijke
  aangewezen derde om na te gaan of de Verwerker het bepaalde in deze Verwerkersovereenkomst nakomt. Verwerker kan de
  naleving van haar verplichtingen aantonen door middel van het overleggen van recente onafhankelijke auditrapportages,
  certificeringen of verklaringen van naleving, zoals NEN7510 of een gelijkwaardig onafhankelijk keurmerk. Voor zover
  dergelijke rapportages beschikbaar zijn en de relevante onderdelen van de verwerking dekken, worden deze geacht te
  voldoen aan de auditverplichting van deze Verwerkersovereenkomst. Als Verwerkingsverantwoordelijke desondanks een
  aanvullende audit wenst uit te voeren, zullen Partijen in onderling overleg de reikwijdte, kosten, methode, tijdstip
  en duur van de audit vaststellen, zodat de belasting voor Verwerker redelijk blijft. De audit zal in beginsel niet
  vaker dan éénmaal per kalenderjaar plaatsvinden, tenzij een zwaarwegende reden anders rechtvaardigt.
Verwerker zal Verwerkingsverantwoordelijke informeren over relevante wijzigingen die invloed hebben op de verwerking
van persoonsgegevens, zoals het toevoegen van subverwerkers, wijzigingen in beveiligingsbeleid of datalocaties.
Het nakomen van de verplichtingen als genoemd in dit artikel blijft te allen tijde de verantwoordelijkheid van
Verwerkersverantwoordelijke.
Verwerker zal Verwerkingsverantwoordelijke binnen 5 dagen op de hoogste stellen als er een verzoek met betrekking tot
de rechten van Betrokkene(n) binnenkomt of als Verwerker een klacht van Betrokkene(n) ontvangt.
Kosten die Verwerker moet maken voor werkzaamheden genoemd in dit artikel, kunnen bij Verwerkingsverantwoordelijke in
rekening worden gebracht.

Artikel 6 Inschakelen Subverwerkers

Het is Verwerker toegestaan om bij de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst gebruik te maken
van Subverwerkers, welke zijn opgenomen in bijlage 1. Onder andere Flux treedt op als subverwerker in de zin van
artikel 28 lid 4 AVG. Verwerker draagt er zorg voor dat met Flux een subverwerkersovereenkomst is gesloten die
minimaal gelijkwaardige waarborgen biedt als deze verwerkersovereenkomst. Verwerker informeert
Verwerkingsverantwoordelijke over wijzigingen ten aanzien van deze subverwerker.
Als Verwerker andere Subverwerkers dan genoemd in bijlage 1 inschakelt, dan moet Verwerkingsverantwoordelijke
hiervoor schriftelijk toestemming geven. Verwerker zal Verwerkingsverantwoordelijke hierover inlichten en de
mogelijkheid bieden om bezwaar te maken. Als Verwerkingsverantwoordelijke bezwaar maakt tegen de inschakeling van een
nieuwe subverwerker, zullen Partijen in overleg treden om tot een redelijke oplossing te komen. Als geen oplossing
wordt bereikt en de betreffende subverwerker essentieel is voor de dienstverlening, is Verwerkingsverantwoordelijke
gerechtigd de Verwerkersovereenkomst te beëindigen.
Verwerker zal aan Subverwerkers dezelfde verplichtingen inzake gegevensbescherming opleggen als zijn geregeld in deze
Verwerkersovereenkomst.

Artikel 7 Datalekken

Verwerker zal Verwerkingsverantwoordelijke bij een datalek onmiddellijk na ontdekking hiervan (maar uiterlijk binnen
48 uur) op de hoogte stellen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en
vrijheden van Betrokkene(n).
Verwerker zal aan Verwerkingsverantwoordelijke alle informatie geven omtrent de inbreuk op de beveiliging die
Verwerkingsverantwoordelijke nodig heeft om een melding te maken bij de toezichthoudende autoriteit.
Verwerkingsverantwoordelijke is zelf verantwoordelijk voor het tijdig melden van een datalek.

Artikel 8 Beveiligingsmaatregelen

Verwerker zal conform artikel 32 AVG alle passende technische en organisatorische maatregelen treffen om
Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige Verwerking. Bij het nemen van deze
maatregelen zal rekening gehouden worden met de stand der techniek, de kosten van de tenuitvoerlegging en de aard van
de Persoonsgegevens die Verwerkt worden.
De door Verwerker (minimaal) genomen beveiligingsmaatregelen zijn beschreven in bijlage 2.
Verwerkingsverantwoordelijke is op de hoogte van de genomen maatregelen en is van mening dat deze maatregelen
voldoende beveiliging bieden.

Artikel 9 Aansprakelijkheid

De aansprakelijkheid van Verwerker voor schade die voortvloeit uit of verband houdt met deze Verwerkersovereenkomst
is beperkt tot het bedrag dat door de aansprakelijkheidsverzekeraar van Verwerker in het desbetreffende geval wordt
uitgekeerd, vermeerderd met het eigen risico onder die verzekering. Als geen uitkering krachtens verzekering
plaatsvindt, is de aansprakelijkheid van Verwerker beperkt tot het totaalbedrag dat door Verwerkingsverantwoordelijke
aan Verwerker is betaald voor de uitvoering van de overeenkomst gedurende het kalenderjaar waarin de
aansprakelijkheid plaatsvindt.
Verwerker is uitsluitend aansprakelijk voor schade die het rechtstreekse gevolg is van een toerekenbare tekortkoming
in de nakoming van haar verplichtingen uit deze Verwerkersovereenkomst, en niet voor indirecte schade zoals
gevolgschade, winstderving of reputatieschade.
Onverminderd het bepaalde in lid 1 van dit artikel is Verwerker slechts aansprakelijk voor de schade die door
Verwerking is veroorzaakt wanneer Verwerker op eigen initiatief verplichtingen uit de AVG niet heeft nageleefd of
wanneer Verwerker toerekenbaar tekort is geschoten in de nakoming van deze Verwerkersovereenkomst.
De in dit artikel opgenomen beperkingen gelden niet in geval van opzet of bewuste roekeloosheid van Verwerker of haar
leidinggevend personeel.

Artikel 10 Duur en beëindiging

Deze Verwerkersovereenkomst is aangegaan voor onbepaalde tijd en eindigt op het moment dat de Overeenkomst eindigt.
De Overeenkomst eindigt als er geen Deelnemers meer werkzaam zijn bij Verwerkingsverantwoordelijke. Dit wordt
beoordeeld aan de hand van de praktijkgegevens die Deelnemer registreert bij Chronisch ZorgNet.
Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke alle benodigde medewerking verlenen aan het
overdragen van gegevens van Verwerkingsverantwoordelijke en het verwijderen van gegevens en kopieën, tenzij Verwerker
wettelijk verplicht is om bepaalde gegevens te bewaren.

Artikel 11 Overdracht rechten en plichten

Het is Partijen niet toegestaan de rechten en/of verplichtingen uit de Overeenkomst en/of Verwerkersovereenkomst aan
een derde over te dragen, zonder voorafgaande schriftelijke toestemming van de andere Partij.
Deze toestemming zal niet worden geweigerd als de overdracht van de rechten en/of verplichtingen uit deze
Verwerkersovereenkomst en/of Overeenkomst wordt ingegeven door een rechtsvormwijziging van de onderneming van één der
Partijen.

Artikel 12 Slotbepaling

Als één of meerdere bepalingen in deze Verwerkersovereenkomst op enig moment ongeldig, in strijd met de wet of niet
afdwingbaar zijn, dan blijven de overige bepalingen in deze Verwerkersovereenkomst en/of Overeenkomst onverminderd
van toepasing. Partijen zullen dan in overleg treden om een nieuwe bepaling overeen te komen, die zoveel mogelijk de
strekking van de ongeldige, strijdige of niet afdwingbare bepaling volgt.
Verplichtingen uit deze Verwerkersovereenkomst die naar hun aard bestemd zijn om na beëindiging voort te duren,
blijven ook na het einde van deze Verwerkersovereenkomst van kracht. Tot deze bepalingen behoren onder meer de
bepalingen over geheimhouding, aansprakelijkheid en toepasselijk recht.

Artikel 13 Toepasselijkheid recht en geschillen

Op deze Verwerkersovereenkomst is uitsluitend het Nederlands recht van toepassing.
De bevoegde rechter van Rechtbank Oost-Brabant is bij uitsluiting bevoegd kennis te nemen van het geschil, tenzij de
wet dwingend anders voorschrijft.
Partijen zullen pas een beroep doen op de rechter nadat zij zich tot het uiterste hebben ingespannen om een geschil
onderling te beslechten.

Aldus in tweevoud opgemaakt en ondertekend op <DATUM> te <PLAATS>.

Verwerkingsverantwoordelijke :

::signature{:index=0}
::

<NAAM VERWERKINGSVERANTWOORDELIJKE>

Verwerker:

::signature{:index=1}
::

Chronisch ZorgNet

Mart van der Stelt

Bijlagen:

Verwerking Persoonsgegevens;
Beveiligingsmaatregelen.

Bijlage 1: Overzicht met Verwerkingen van Persoonsgegevens en Verwerkingsdoelen

Beschrijving Verwerkingsactiviteiten: Verwerker stelt aan Verwerkingsverantwoordelijke digitale diensten beschikbaar
voor het aanmelden, beheren en ondersteunen van patiënten binnen Chronisch ZorgNet. Dit omvat onder meer het faciliteren
van gegevensuitwisseling via een API-koppeling tussen Flux en het Chronisch ZorgNet-Portfolio, inclusief de
functionaliteit voor toestemming (“het vinkje”) waarmee zorgverleners de gegevensuitwisseling kunnen activeren en
patiënten kunnen aanmelden binnen het netwerk.

Verwerkingsdoelen: Het faciliteren van veilige en doelmatige gegevensuitwisseling tussen de praktijk en Chronisch
ZorgNet, onder meer via de API-koppeling met Flux, ten behoeve van het aanmaken en beheren van patiëntprofielen, het
vastleggen en verwerken van toestemmingen van de patiënt voor het delen van gegevens met Chronisch ZorgNet (“het
vinkje”) en het uitvoeren van netwerk- en kwaliteitsdoeleinden binnen Chronisch ZorgNet.

Verwerkingsverantwoordelijke: <NAAM VERWERKINGSVERANTWOORDELIJKE>

Verwerker: Stichting Chronisch ZorgNet

Subverwerker(s): Softmedia Interactive (Softmedia B.V., KVK 89755952)

Flux B.V. (leverancier API(-koppeling) voor gegevensuitwisseling, Flux Medical Systems B.V., KVK 74965743).

Verwerkte Persoonsgegevens: De verwerking betreft gezondheidsgegevens als bedoeld in artikel 9 AVG. Deze gegevens
worden verwerkt op grond van uitdrukkelijke toestemming van de betrokkene of op basis van de behandelrelatie van de
zorgverlener (artikel 9 lid 2 onder a en h AVG). Verwerker verwerkt deze gegevens uitsluitend ten behoeve van de
uitvoering van de Overeenkomst en/of Verwerkersovereenkomst.

Bijzondere Persoonsgegevens: De verwerking betreft gezondheidsgegevens als bedoeld in artikel 9 AVG. Deze gegevens
worden verwerkt op grond van uitdrukkelijke toestemming van de Betrokkene of op basis van de behandelrelatie van de
zorgverlener (artikel 9 lid 2 sub a en h AVG). De verwerker verwerkt deze gegevens uitsluitend ten behoeve van de
uitvoering van de Overeenkomst en/of Verwerkersovereenkomst.

Locatie Verwerkingen: Binnen de Europese Economische Ruimte. Gegevens over gebruik van de Website en App (Google
Analytics) zouden naar buiten de EER kunnen worden gestuurd, maar worden geanonimiseerd opgeslagen. Herleidbare gegevens
omvatten IP-adressen en gebruikersnamen.

Bewaartermijn: Persoonsgegevens worden bewaard zolang dit noodzakelijk is voor de uitvoering van de Overeenkomst of
conform de wettelijke bewaartermijnen voor zorgdossiers.

Teruggave Persoonsgegevens: Bij beëindiging van de verwerkersovereenkomst zal Verwerker, op schriftelijk verzoek van
Verwerkingsverantwoordelijke, alle persoonsgegevens retourneren of aantoonbaar verwijderen, tenzij wettelijke
bewaarplichten anders vereisen.


Verwerking	Soort Persoonsgegevens	Categorieën van Betrokkenen	Doeleinden van de verwerking	Grondslag van de verwerking	Doorgifte buiten de EER	Afspraken bewaartermijnen	Afspraken verwijderprocedure
Noem de verwerking (bijvoorbeeld hosting, transfer, onderhoud, of naam van de applicatie).	Benoem de Persoonsgegevens (b.v. NAW, BSN, gegevens over gezondheid, etc.)	Benoem Betrokkenen (patiënten, Medewerkers, studenten, etc.)	Benoem het doel van de verwerking.	Benoem de grondslag waarop de verwerking plaatsvindt.	Indien ja, benoem opslag/ verwerking buiten de EER en vermeld land, instrument waaronder doorgifte kan plaatsvinden (hoofdstuk V AVG) en aanvullende maatregelen.	Benoem afspraken bewaartermijnen.	Benoem de verwijderprocedure.
API-koppeling EPD à Chronisch ZorgNet, noodzakelijke patiënt-, zorgverlener- en behandeltrajectgegevens t.b.v. TKB, KomPas en specialisatiegebonden zorgpaden binnen Chronisch ZorgNet.	De volgende categorieën persoonsgegevens worden verwerkt: * Identificerende gegevens zorgverlener (naam, beroepsgroep, praktijkgegevens, mailadres) * Verwijsgegevens * Identificerende gegevens van de verwijzer (naam, beroepsgroep) * Identificerende gegevens (patiënt-ID, behandeltraject-ID) * NAW-gegevens patiënt (naam, geboortedatum, geslacht) * Diagnosecodes per specialisatie (sPAV, hartrevalidatie, osteoporose, vallen & breken, longaandoeningen) * Behandel- en interventiegegevens * Meetuitkomsten / statusinformatie * Gezondheidsgegevens (artikel 9 AVG – bijzondere categorieën)	Patiënten van aangesloten zorgaanbieders die deelnemen aan Chronisch ZorgNet. Zorgverleners die deelnemen aan Chronisch ZorgNet. Verwijzers die patiënten hebben verwezen naar een Chronisch ZorgNet deelnemer t.b.v. een behandeling binnen (één van) de Chronisch ZorgNet specialisatie(s).	* Gebruik van digitale kwaliteitsinstrumenten van Chronisch ZorgNet (TKB, KomPas) vanuit Flux zonder overtikken. * Ondersteunen van kwaliteitsregistraties en rapportages binnen de specialisaties. * Administratieve lastenverlichting. * Zorginhoudelijke terugkoppeling binnen het zorgpad per specialisatie * Gegevensoverdracht middels de API-koppeling.	Artikel 6 AVG * 6(1)(b) – uitvoering behandelovereenkomst (verstrekking noodzakelijke gegevens door zorgverlener) * 6(1)(c) – wettelijke verplichtingen (kwaliteitsregistratie waar toepasselijk) Artikel 9 AVG * 9(2)(h) – gezondheidszorg en kwaliteit van zorg * 9(2)(a) indien zorgverlener werkt met expliciete toestemming voor deelname aan Chronisch ZorgNet-programma’s (afhankelijk van specialisatie)	Chronisch ZorgNet: * Softmedia gebruikt Google Firebase (Google Cloud Platform). * Softmedia verwerkt de data op Google Firebase in de EER. Alleen gegevens van Google Analytics worden anoniem verstuurd naar de Verenigde Staten.	Chronisch ZorgNet bewaart gegevens conform wettelijke bewaartermijnen in de zorg en interne CZN-policy m.b.t. klinische, wetenschappelijke, en kwaliteitsdoeleinden.	Chronisch ZorgNet verwijdert of anonimiseert data conform eigen bewaartermijnen en zorgspecifieke regelgeving.
API-koppeling Chronisch ZorgNet à EPD, ophalen van de gegenereerde PDF’s door middel van de tools in Chronisch ZorgNet (KomPas, TKB’s)	* Identificerende gegevens zorgverlener (naam, beroepsgroep, praktijkgegevens, mailadres) * NAW gegevens patiënt (Naam, geboortedatum, geslacht) * Verwijsgegevens * Identificerende gegevens van de verwijzer (naam, beroepsgroep) * Diagnosecode per specialisatie * Behandel- en interventiegegevens * Meetuitkomsten, statusinformatie, behandeldoelen * Gezondheidsgegevens (artikel 9 AVG – bijzondere categorieën)	Patiënten van aangesloten zorgaanbieders die deelnemen aan Chronisch ZorgNet. Zorgverleners die deelnemen aan Chronisch ZorgNet. Verwijzers die patiënten hebben verwezen naar een Chronisch ZorgNet deelnemer t.b.v. een behandeling binnen (één van) de Chronisch ZorgNet specialisatie(s).	Het ophalen van de gegenereerde PDF’s door de tools werkzaam in Chronisch ZorgNet, zodat deelnemers de PDF’s niet afzonderlijk hoeven te downloaden en op te voeren in Flux. Zo blijft een compleet zorgdossier geborgd.	Artikel 6 AVG 6(1)(b) – uitvoering behandelovereenkomst (verstrekking noodzakelijke gegevens door zorgverlener) Artikel 30 UAVG 30.3.a “Gelet op artikel 9, tweede lid, onderdeel h, van de verordening, is het verbod om gegevens over gezondheid te verwerken niet van toepassing indien de verwerking geschiedt door a. hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk;…”	Chronisch ZorgNet en Flux verwerken geen gegevens buiten de EER in deze koppeling, afgezien van IP-adressen in Google Analytics, die niet opgeslagen mogen worden.	Chronisch ZorgNet: bewaart gegevens conform wettelijke bewaartermijnen in de zorg en interne CZN-policy (wetenschappelijk onderzoek en kwaliteitsonderzoek).	Chronisch ZorgNet verwijdert of anonimiseert data conform eigen bewaartermijnen en zorgspecifieke regelgeving.

Bijlage 2: Beveiligingsmaatregelen

Verwerker dient rekening te houden met de eisen van “privacy by design” en “privacy by default”.

Privacy by design heeft als doel om de privacyrechten van Betrokkene(n) zo goed mogelijk te beschermen. Bij de
ontwikkeling van een product, proces of systeem dient in de eerste fase al rekening te worden gehouden met alle
relevante privacyaspecten. Van belang is welke Persoonsgegevens worden verzameld voor welke doelen, of deze
Persoonsgegevens daadwerkelijk nodig zijn voor het beoogde doel, welke Verwerkingen plaatsvinden, wie welke leesrechten,
schrijfrechten en beheerrechten heeft en hoe gegevens worden bewaard en/of verwijderd. Om die reden dient Verwerker
technische maatregelen te nemen die gericht zijn op het beschermen van de privacy door het elimineren of minimaliseren
van Persoonsgegevens. Deze technische maatregelen bestaat uit het kernprincipe van dataminimalisatie en het invoeren van
een toegangsbeveiliging.

Privacy by default gaat over de standaardinstellingen van de systemen, processen, diensten en producten van Verwerker.
Verwerker dient deze zodanig in te stellen dat de privacy van Betrokkene(n) zo goed mogelijk wordt beschermd, zonder dat
dit ten koste gaat van de algehele gebruiksvriendelijkheid.

Maatregelen die Verwerker neemt om de privacy van Betrokkene(n) zoveel mogelijk te waarborgen:

Dataminimalisatie. Dataminimalisatie betekent dat slechts die Persoonsgegevens verzameld zullen worden die nodig
zijn voor het doel van de Verwerking. Er mag geen sprake zijn van bovenmatige gegevensverzameling.
Verwerkersovereenkomsten. Als Verwerker, na voorafgaande schriftelijke toestemming van Verwerkersverantwoordelijke
een Subverwerker inschakelt voor de Verwerking van Persoonsgegevens, dan dient Verwerker een Verwerkersovereenkomsten
af te sluiten met die Subverwerker, welke Verwerkersovereenkomst minimaal eenzelfde mate van beveiliging biedt als is
bepaald in deze Verwerkersovereenkomst.
Toegangsbeveiliging. Er is een toegangsbeveiligingssysteem geïnstalleerd. Deze dient “up to date” te worden
gehouden. Persoonsgegevens worden zodoende beveiligd door middel van authenticatie, bestaande uit minimaal een
wachtwoord en een tweede factor authenticatie (2FA). Ook wordt de toegang tot de systemen gelogd en gecontroleerd.
Verwerker verstrekt uitsluitend toegang tot Persoonsgegevens aan die personen die de betreffende gegevens nodig hebben
voor de uitvoering van de werkzaamheden of Verwerking. Deze autorisaties worden door Verwerker gedocumenteerd.
Verwerker draagt ervoor zorg dat haar medewerkers de “best practice” behorende bij het authenticatiemiddel naleven,
waaronder in ieder geval het vertrouwelijk behandelen van wachtwoorden.
Systeembeveiliging. Verwerker neemt ten aanzien van het systeem waarmee Persoonsgegevens worden Verwerkt
preventieve, detectieve en correctieve maatregelen, waaronder maar niet uitsluitend een tijdige implementatie van
actuele beveiligingspatches en viruscontrole. Ook neemt Verwerker maatregelen ter bescherming van informatiesysteem en
technologie tegen malware, waaronder maar niet uitsluitend virussen, spyware en spam. De Chronisch ZorgNet Portfolio’s
zijn beveiligd voor brute force aanvallen en hebben een automatische uitlogfunctie. Bij uitval van nutsvoorzieningen
kan het Chronisch ZorgNet Portfolio ook zonder de API-koppeling gebruikt worden.
Beveiliging fysieke ruimte. De ruimten waarin de apparatuur met Persoonsgegevens zich bevindt, wordt adequaat en
fysiek beschermd, door middel van toegangsbeveiliging, temperatuurregeling en maatregelen ter voorkoming van brand- en
waterschade.
Pseudonimiseren en/of encrypten. Voor zover dit noodzakelijk is gelet op de risico’s van Verwerking en de aard van
de te beschermen Persoonsgegevens, zal Verwerker zorgdragen voor pseudonimiseren en/of encrypten van Persoonsgegevens.
Informatiebeveiligingsbeleid. Alle beveiligingsmaatregelen worden door Verwerker uitgewerkt in een
informatiebeveiligingsbeleid, welke periodiek wordt geëvalueerd door Verwerker.
Interne audits. Chronisch ZorgNet wordt 1x per jaar intern geauditeerd door een extern bedrijf op navolging van
NEN7510.

Aanvullende maatregelen voor de API-omgeving:

Logging en monitoring van API-verkeer om ongeoorloofde toegang of misbruik tijdig te detecteren.
Encryptie van gegevens tijdens transport met minimaal TLS 1.2 of hoger.
Toepassing van twee-factorauthenticatie (2FA) voor toegang tot beheerders- en ontwikkelomgevingen.
Periodieke beveiligingsaudits en penetratietesten van de API-infrastructuur.
Conditional access tot de API(-koppeling) (IP-adres is beperkt tot het IP-adres van Flux).
De tokens voor het instellen van de API(-koppeling) worden afgeschermd weergegeven in het Portfolio van de deelnemer.
Ook kunnen tokens maar 1x gebruikt worden.
Bij het aanmaken van de patiënt, alsook het toevoegen van (meet- en behandel)gegevens, wordt om bevestiging van de
deelnemende zorgverlener gevraagd zodat de integriteit van de gegevens geborgd is.
Met de API(-koppeling) kunnen alleen cijfers/letters/datums meegestuurd worden, waardoor het (on)bewust toesturen van
malware wordt beperkt.