Verwerkersovereenkomst Praktijk

VERWERKERSOVEREENKOMST

ONDERGETEKENDEN:

<NAAM ONDERNEMING>, met kantoor te (<POSTCODE>) <PLAATSNAAM> aan het adres <STRAATNAAM> nr. <HUISNUMMER>; ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer: <NUMMER>; in dezen vertegenwoordigd door <NAAM VERTEGENWOORDIGER>;
hierna te noemen: “Verwerkingsverantwoordelijke”;

Stichting Chronisch ZorgNet, met kantoor te (5611 VA) Eindhoven aan het adres Kanaaldijk-Zuid nr. 15; ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer 51255030; in dezen vertegenwoordigd door Mart van der Stelt, Directeur;

hierna te noemen: “Verwerker”;

hierna gezamenlijk te noemen “Partijen” en afzonderlijk “Partij”.

OVERWEGENDE DAT:

Verwerkingsverantwoordelijke actief is op het gebied van het verlenen van zorg- en/of behandelingsdiensten aan patiënten binnen de eerstelijnszorg.
Verwerker een landelijk netwerk heeft van gespecialiseerde zorgverleners die (beweeg)therapie en leefstijlbegeleiding bieden aan mensen met chronische aandoeningen;
Verwerkingsverantwoordelijke en Verwerker een overeenkomst zijn aangegaan voor het faciliteren van digitale gegevensuitwisseling tussen de praktijk en Chronisch ZorgNet, onder meer via een API-koppeling tussen het EPD waar Verwerkingsverantwoordelijke gebruik van maakt en het Chronisch ZorgNet-Portfolio, ten behoeve van het aanmelden en beheren van patiënten binnen het netwerk (hierna: “Verwerkersovereenkomst”). De functionaliteit voor toestemming (‘het vinkje’ in het EPD of Chronisch ZorgNet-Portfolio voor het geven van toestemming door de patiënt voor het delen van diens gegevens met Chronisch ZorgNet) maakt hiervan onderdeel uit;
Chronisch ZorgNet gebruikt de gegevens benoemd in deze Verwerkersovereenkomst ook voor wetenschappelijke doeleinden en kwaliteitsdoeleinden. Chronisch ZorgNet ontvangt deze gegevens onder gerechtvaardigd belang en wordt verwerkersverantwoordelijke voor de gegevens wanneer deze worden gebruikt voor wetenschappelijke en kwaliteitsdoeleinden. Deze Verwerkersovereenkomst betreft alleen de verwerking van de (bijzondere) persoonsgegevens voor klinische doeleinden; de verwerking van de gegevens voor wetenschappelijke en kwaliteitsdoeleinden staat dan ook nadrukkelijk niet beschreven in deze Verwerkersovereenkomst. Voor de doeleinden kwaliteit en wetenschap worden gepseudonimiseerde gegevens gebruikt. De patiëntgegevens en verwijzersgegevens worden gepseudonimiseerd door Subverwerker Softmedia B.V. en de pseudonimisatie van de deelnemersgegevens wordt gedaan door Chronisch ZorgNet.
De rol van ‘Verwerkersverantwoordelijke’ wordt in dit document vastgelegd onder naam van de praktijk, ervan uitgaande dat de zorgverlener aangesloten bij Chronisch ZorgNet (“Deelnemer”) zelf praktijkhouder is of handelt in opdracht van praktijkhouder (inclusief het deelnemen aan Chronisch ZorgNet). In alle gevallen blijft Deelnemer verantwoordelijk voor een juiste afhandeling van de (bijzondere) persoonsgegevens conform de Algemene Verordening Gegevensbescherming.
Verwerker in opdracht van Verwerkingsverantwoordelijke Persoonsgegevens conform de Overeenkomst uitvoert;
Partijen in deze Verwerkersovereenkomst de afspraken en voorwaarden hierover willen vastleggen.

VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT:

Artikel 1 Definities


AVG	Algemene Verordening Gegevensbescherming;
Betrokkene(n)	Degene(n) op wie een Persoonsgegeven betrekking heeft/hebben.
Subverwerker(s)	Andere verwerker(s) die door Verwerker wordt/worden ingezet om Verwerkingsactiviteiten te verrichten.
Persoonsgegeven(s)	Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, die Verwerker op grond van de Overeenkomst en/of Verwerkersovereenkomst Verwerkt of dient te Verwerken. Een overzicht van Persoonsgegevens die Verwerkt worden is bijgevoegd als bijlage 1.
Verwerken/Verwerking	Alle handelingen die een organisatie kan uitvoeren met Persoonsgegevens, van verzamelen tot en met vernietigen.
Verwerkersovereenkomst	Deze overeenkomst inclusief bijlagen daarbij.
Deelnamevoorwaarden /Deelnemersvoorwaarden /Overeenkomst	De algemene deelnamevoorwaarden waaronder Deelnemer deelneemt aan Chronisch ZorgNet.

Artikel 2 Verwerking van Persoonsgegevens

Verwerker verwerkt Persoonsgegevens in opdracht van Verwerkingsverantwoordelijke uitsluitend voor het uitvoeren van de Overeenkomst. Het Verwerken gebeurt overeenkomstig deze Verwerkersovereenkomst en de schriftelijke instructies van Verwerkingsverantwoordelijke.
Verwerker zal bij het Verwerken van Persoonsgegevens de AVG in acht nemen.
Verwerkingsverantwoordelijke garandeert dat de opdracht tot verwerking van Persoonsgegevens in overeenstemming is met alle toepasselijke wet- en regelgeving. Verwerkingsverantwoordelijke vrijwaart Verwerker tegen alle aanspraken van derden welke op enigerlei wijze voortvloeien uit het niet naleven hiervan.
De Verwerking voor klinische doeleinden vindt plaats onder de verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker heeft geen zeggenschap over het doel en de middelen voor de Verwerking van Persoonsgegevens en neemt geen beslissingen over het gebruik van de Persoonsgegevens, de verstrekking aan derden en de duur van de opslag van Persoonsgegevens.

Gebruik van gegevens voor wetenschappelijke en kwaliteitsdoeleinden

Partijen erkennen dat Chronisch ZorgNet de in het kader van deze Verwerkersovereenkomst verwerkte Persoonsgegevens tevens wenst te gebruiken voor wetenschappelijke doeleinden en kwaliteitsdoeleinden.
Voor zover Chronisch ZorgNet Persoonsgegevens verwerkt voor wetenschappelijke en kwaliteitsdoeleinden, handelt Chronisch ZorgNet niet als verwerker maar als zelfstandig verwerkingsverantwoordelijke in de zin van artikel 4 AVG.
De grondslag voor deze verwerking is het gerechtvaardigd belang als bedoeld in artikel 6 lid 1 sub f AVG, bestaande uit het belang van Chronisch ZorgNet bij het verrichten van wetenschappelijk onderzoek en het verbeteren van de kwaliteit van zorg, producten en dienstverlening. Voor zover sprake is van bijzondere Persoonsgegevens, vindt verwerking uitsluitend plaats met inachtneming van artikel 9 AVG en de daarop toepasselijke uitzonderingsgrond.
De verwerking voor wetenschappelijke en kwaliteitsdoeleinden valt uitdrukkelijk buiten de reikwijdte van deze Verwerkersovereenkomst, die uitsluitend ziet op de verwerking van (bijzondere) Persoonsgegevens voor klinische doeleinden.
Voor de doeleinden kwaliteit en wetenschap worden uitsluitend gepseudonimiseerde gegevens gebruikt.
1. De patiëntgegevens en verwijzersgegevens worden gepseudonimiseerd door Subverwerker Softmedia B.V.
2. De pseudonimisering van de deelnemersgegevens wordt uitgevoerd door Chronisch ZorgNet.
Chronisch ZorgNet treft passende technische en organisatorische maatregelen om te waarborgen dat de verwerking voor wetenschappelijke en kwaliteitsdoeleinden voldoet aan de toepasselijke wet- en regelgeving, waaronder de AVG.

Artikel 3 Verwerking buiten de Europese Economische Ruimte

Verwerker mag Persoonsgegevens alleen buiten de Europese Economische Ruimte Verwerken met voorafgaande schriftelijke toestemming van Verwerkingsverantwoordelijke en met inachtneming van de daarvoor geldende wettelijke verplichtingen.
Verwerkingsverantwoordelijke mag de toestemming hiertoe, niet op onredelijke gronden weigeren.

Artikel 4 Vertrouwelijkheid

Verwerker zal Persoonsgegevens gekregen van of via Verwerkingsverantwoordelijke geheimhouden, tenzij deze gegevens van algemene bekendheid zijn of de openbaarmaking daarvan wettelijk vereist is.
Verwerker zal geen Persoonsgegevens aan een derde verstrekken, tenzij er een wettelijke verplichting hiervoor bestaat, dit noodzakelijk is voor de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst of als zij een schriftelijke opdracht van Verwerkingsverantwoordelijke hiertoe krijgt.
In het geval dat Verwerker gegevens moet openbaren op grond van een wettelijke verplichting en zij hiertoe een bevel krijgt van een bevoegde instantie, dan zal Verwerker dit binnen 24 uur na ontvangst en kennisneming van dit bevel aan Verwerkingsverantwoordelijke laten weten.
Medewerkers van Verwerker hebben toegang tot Persoonsgegevens en Verwerken deze voor zover dit nodig is voor het uitvoeren van de Overeenkomst en/of Verwerkersovereenkomst.
Verwerker zal zorgen dat alle personen, waaronder medewerkers, die betrokken zijn bij de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst, gebonden zijn aan geheimhoudingsverplichting, waarin in ieder geval is opgenomen dat Persoonsgegevens geheim worden houden.

Artikel 5 Verplichtingen Verwerker

Verwerker treedt uitsluitend op namens Verwerkingsverantwoordelijke en beslist niet zelfstandig over de doeleinden of middelen van de verwerking.
Verwerker zal aan Verwerkingsverantwoordelijke (zonder verdergaande verplichting daartoe op zich te nemen) medewerking verlenen bij het doen nakomen van de verplichtingen om:

verzoeken van Betrokkene(n) met betrekking tot de uitoefening van rechten van Betrokkene(n) op grond van de toepasselijke privacywetgeving te beantwoorden;
passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te waarborgen;
datalekken te melden aan de toezichthouder en Betrokkene(n);
een gegevensbeschermingseffectbeoordeling uit te voeren;
de toezichthouder te raadplegen voorafgaand aan een Verwerking die een hoog risico met zich meebrengt;
het uitvoeren van controles en audits door Verwerkingsverantwoordelijke of een door Verwerkingsverantwoordelijke aangewezen derde om na te gaan of de Verwerker het bepaalde in deze Verwerkersovereenkomst nakomt. Verwerker kan de naleving van haar verplichtingen aantonen door middel van het overleggen van recente onafhankelijke auditrapportages, certificeringen of verklaringen van naleving, zoals NEN7510 of een gelijkwaardig onafhankelijk keurmerk. Voor zover dergelijke rapportages beschikbaar zijn en de relevante onderdelen van de verwerking dekken, worden deze geacht te voldoen aan de auditverplichting van deze Verwerkersovereenkomst. Als Verwerkingsverantwoordelijke desondanks een aanvullende audit wenst uit te voeren, zullen Partijen in onderling overleg de reikwijdte, kosten, methode, tijdstip en duur van de audit vaststellen, zodat de belasting voor Verwerker redelijk blijft. De audit zal in beginsel niet vaker dan éénmaal per kalenderjaar plaatsvinden, tenzij een zwaarwegende reden anders rechtvaardigt.

Verwerker zal Verwerkingsverantwoordelijke informeren over relevante wijzigingen die invloed hebben op de verwerking van persoonsgegevens, zoals het toevoegen van Subverwerkers, wijzigingen in beveiligingsbeleid of datalocaties.
Het nakomen van de verplichtingen als genoemd in dit artikel blijft te allen tijde de verantwoordelijkheid van Verwerkersverantwoordelijke.
Verwerker zal Verwerkingsverantwoordelijke binnen 5 dagen op de hoogste stellen als er een verzoek met betrekking tot de rechten van Betrokkene(n) binnenkomt of als Verwerker een klacht van Betrokkene(n) ontvangt.
Kosten die Verwerker moet maken voor werkzaamheden genoemd in dit artikel, kunnen bij Verwerkingsverantwoordelijke in rekening worden gebracht.

Artikel 6 Inschakelen Subverwerkers

Het is Verwerker toegestaan om bij de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst gebruik te maken van Subverwerkers, welke zijn opgenomen in bijlage 1. Onder andere het EPD waar Verwerkingsverantwoordelijke gebruik van maakt treedt op als Subverwerker in de zin van artikel 28 lid 4 AVG. Verwerker draagt er zorg voor dat met het EPD waar Verwerkingsverantwoordelijke gebruik van maakt een subverwerkersovereenkomst is gesloten die minimaal gelijkwaardige waarborgen biedt als deze verwerkersovereenkomst. Verwerker informeert Verwerkingsverantwoordelijke over wijzigingen ten aanzien van deze Subverwerker.
Als Verwerker andere Subverwerkers dan genoemd in bijlage 1 inschakelt, dan moet Verwerkingsverantwoordelijke hiervoor schriftelijk toestemming geven. Verwerker zal Verwerkingsverantwoordelijke hierover inlichten en de mogelijkheid bieden om bezwaar te maken. Als Verwerkingsverantwoordelijke bezwaar maakt tegen de inschakeling van een nieuwe subverwerker, zullen Partijen in overleg treden om tot een redelijke oplossing te komen. Als geen oplossing wordt bereikt en de betreffende subverwerker essentieel is voor de dienstverlening, is Verwerkingsverantwoordelijke gerechtigd de Verwerkersovereenkomst te beëindigen.
Verwerker zal aan Subverwerkers dezelfde verplichtingen inzake gegevensbescherming opleggen als zijn geregeld in deze Verwerkersovereenkomst.

Artikel 7 Datalekken

Verwerker zal Verwerkingsverantwoordelijke bij een datalek onmiddellijk na ontdekking hiervan (maar uiterlijk binnen 48 uur) op de hoogte stellen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van Betrokkene(n).
Verwerker zal aan Verwerkingsverantwoordelijke alle informatie geven omtrent de inbreuk op de beveiliging die Verwerkingsverantwoordelijke nodig heeft om een melding te maken bij de toezichthoudende autoriteit.
Verwerkingsverantwoordelijke is zelf verantwoordelijk voor het tijdig melden van een datalek.

Artikel 8 Beveiligingsmaatregelen

Verwerker zal conform artikel 32 AVG alle passende technische en organisatorische maatregelen treffen om Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige Verwerking. Bij het nemen van deze maatregelen zal rekening gehouden worden met de stand der techniek, de kosten van de tenuitvoerlegging en de aard van de Persoonsgegevens die Verwerkt worden.
De door Verwerker (minimaal) genomen beveiligingsmaatregelen zijn beschreven in bijlage 2. Verwerkingsverantwoordelijke is op de hoogte van de genomen maatregelen en is van mening dat deze maatregelen voldoende beveiliging bieden.

Artikel 9 Aansprakelijkheid

De aansprakelijkheid van Verwerker voor schade die voortvloeit uit of verband houdt met deze Verwerkersovereenkomst is beperkt tot het bedrag dat door de aansprakelijkheidsverzekeraar van Verwerker in het desbetreffende geval wordt uitgekeerd, vermeerderd met het eigen risico onder die verzekering. Als geen uitkering krachtens verzekering plaatsvindt, is de aansprakelijkheid van Verwerker beperkt tot het totaalbedrag dat door Verwerkingsverantwoordelijke aan Verwerker is betaald voor de uitvoering van de overeenkomst gedurende het kalenderjaar waarin de aansprakelijkheid plaatsvindt.
Verwerker is uitsluitend aansprakelijk voor schade die het rechtstreekse gevolg is van een toerekenbare tekortkoming in de nakoming van haar verplichtingen uit deze Verwerkersovereenkomst, en niet voor indirecte schade zoals gevolgschade, winstderving of reputatieschade.
Onverminderd het bepaalde in lid 1 van dit artikel is Verwerker slechts aansprakelijk voor de schade die door Verwerking is veroorzaakt wanneer Verwerker op eigen initiatief verplichtingen uit de AVG niet heeft nageleefd of wanneer Verwerker toerekenbaar tekort is geschoten in de nakoming van deze Verwerkersovereenkomst.
De in dit artikel opgenomen beperkingen gelden niet in geval van opzet of bewuste roekeloosheid van Verwerker of haar leidinggevend personeel.

Artikel 10 Duur en beëindiging

Deze Verwerkersovereenkomst is aangegaan voor onbepaalde tijd en eindigt op het moment dat de Overeenkomst eindigt.
De Overeenkomst eindigt als er geen Deelnemers meer werkzaam zijn bij Verwerkingsverantwoordelijke. Dit wordt beoordeeld aan de hand van de praktijkgegevens die Deelnemer registreert bij Chronisch ZorgNet.
Verwerker zal op eerste verzoek van Verwerkingsverantwoordelijke alle benodigde medewerking verlenen aan het overdragen van gegevens van Verwerkingsverantwoordelijke en het verwijderen van gegevens en kopieën, tenzij Verwerker wettelijk verplicht is om bepaalde gegevens te bewaren.

Artikel 11 Overdracht rechten en plichten

Het is Partijen niet toegestaan de rechten en/of verplichtingen uit de Overeenkomst en/of Verwerkersovereenkomst aan een derde over te dragen, zonder voorafgaande schriftelijke toestemming van de andere Partij.
Deze toestemming zal niet worden geweigerd als de overdracht van de rechten en/of verplichtingen uit deze Verwerkersovereenkomst en/of Overeenkomst wordt ingegeven door een rechtsvormwijziging van de onderneming van één der Partijen.

Artikel 12 Slotbepaling

Als één of meerdere bepalingen in deze Verwerkersovereenkomst op enig moment ongeldig, in strijd met de wet of niet afdwingbaar zijn, dan blijven de overige bepalingen in deze Verwerkersovereenkomst en/of Overeenkomst onverminderd van toepasing. Partijen zullen dan in overleg treden om een nieuwe bepaling overeen te komen, die zoveel mogelijk de strekking van de ongeldige, strijdige of niet afdwingbare bepaling volgt.
Verplichtingen uit deze Verwerkersovereenkomst die naar hun aard bestemd zijn om na beëindiging voort te duren, blijven ook na het einde van deze Verwerkersovereenkomst van kracht. Tot deze bepalingen behoren onder meer de bepalingen over geheimhouding, aansprakelijkheid en toepasselijk recht.

Artikel 13 Toepasselijkheid recht en geschillen

Op deze Verwerkersovereenkomst is uitsluitend het Nederlands recht van toepassing.
De bevoegde rechter van Rechtbank Oost-Brabant is bij uitsluiting bevoegd kennis te nemen van het geschil, tenzij de wet dwingend anders voorschrijft.
Partijen zullen pas een beroep doen op de rechter nadat zij zich tot het uiterste hebben ingespannen om een geschil onderling te beslechten.

Aldus in tweevoud opgemaakt en ondertekend op <DATUM> te <PLAATS>.

Verwerkingsverantwoordelijke :

::signature{:index=0}
::

<NAAM VERWERKINGSVERANTWOORDELIJKE>

Verwerker:

::signature{:index=1}
::

Chronisch ZorgNet

Mart van der Stelt

Bijlagen:

Verwerking Persoonsgegevens;
Beveiligingsmaatregelen.

Bijlage 1: Overzicht met Verwerkingen van Persoonsgegevens en Verwerkingsdoelen

Beschrijving Verwerkingsactiviteiten: Verwerker stelt aan Verwerkingsverantwoordelijke digitale diensten beschikbaar voor het aanmelden, beheren en ondersteunen van patiënten binnen Chronisch ZorgNet. Dit omvat onder meer het faciliteren van gegevensuitwisseling via een API-koppeling tussen het EPD waar Verwerkingsverantwoordelijke gebruik van maakt en het Chronisch ZorgNet-Portfolio, inclusief de functionaliteit voor toestemming (“het vinkje”) waarmee zorgverleners de gegevensuitwisseling kunnen activeren en patiënten kunnen aanmelden binnen het netwerk.

Verwerkingsdoelen: Het faciliteren van veilige en doelmatige gegevensuitwisseling tussen de praktijk en Chronisch ZorgNet, onder meer via de API-koppeling met het EPD waar Verwerkingsverantwoordelijke gebruik van maakt, ten behoeve van het aanmaken en beheren van patiëntprofielen, het vastleggen en verwerken van toestemmingen van de patiënt voor het delen van gegevens met Chronisch ZorgNet (“het vinkje”) en het uitvoeren van netwerk- en kwaliteitsdoeleinden binnen Chronisch ZorgNet.

Verwerkingsverantwoordelijke: <NAAM VERWERKINGSVERANTWOORDELIJKE>

Verwerker: Stichting Chronisch ZorgNet

Subverwerker(s): Softmedia Interactive (Softmedia B.V., KVK 89755952), en het EPD waar Verwerkingsverantwoordelijke gebruik van maakt (verschillend per praktijk dus daarom hier niet uitgeschreven met details).

Verwerkte Persoonsgegevens: De verwerking betreft gezondheidsgegevens als bedoeld in artikel 9 AVG. Deze gegevens worden verwerkt op grond van uitdrukkelijke toestemming van de betrokkene of op basis van de behandelrelatie van de zorgverlener (artikel 9 lid 2 onder a en h AVG). Verwerker verwerkt deze gegevens uitsluitend ten behoeve van de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst.

Bijzondere Persoonsgegevens: De verwerking betreft gezondheidsgegevens als bedoeld in artikel 9 AVG. Deze gegevens worden verwerkt op grond van uitdrukkelijke toestemming van de Betrokkene of op basis van de behandelrelatie van de zorgverlener (artikel 9 lid 2 sub a en h AVG). De verwerker verwerkt deze gegevens uitsluitend ten behoeve van de uitvoering van de Overeenkomst en/of Verwerkersovereenkomst.

Locatie Verwerkingen: Binnen de Europese Economische Ruimte. Gegevens over gebruik van de Website en App (Google Analytics) zouden naar buiten de EER kunnen worden gestuurd, maar worden geanonimiseerd opgeslagen. Herleidbare gegevens omvatten IP-adressen en gebruikersnamen.

Bewaartermijn: Persoonsgegevens worden bewaard zolang dit noodzakelijk is voor de uitvoering van de Overeenkomst of conform de wettelijke bewaartermijnen voor zorgdossiers.

Teruggave Persoonsgegevens: Bij beëindiging van de verwerkersovereenkomst zal Verwerker, op schriftelijk verzoek van Verwerkingsverantwoordelijke, alle persoonsgegevens retourneren of aantoonbaar verwijderen, tenzij wettelijke bewaarplichten anders vereisen.


Verwerking	Soort Persoonsgegevens	Categorieën van Betrokkenen	Doeleinden van de verwerking	Grondslag van de verwerking	Doorgifte buiten de EER	Afspraken bewaartermijnen	Afspraken verwijderprocedure
Noem de verwerking (bijvoorbeeld hosting, transfer, onderhoud, of naam van de applicatie).	Benoem de Persoonsgegevens (b.v. NAW, BSN, gegevens over gezondheid, etc.)	Benoem Betrokkenen (patiënten, Medewerkers, studenten, etc.)	Benoem het doel van de verwerking.	Benoem de grondslag waarop de verwerking plaatsvindt.	Indien ja, benoem opslag/ verwerking buiten de EER en vermeld land, instrument waaronder doorgifte kan plaatsvinden (hoofdstuk V AVG) en aanvullende maatregelen.	Benoem afspraken bewaartermijnen.	Benoem de verwijderprocedure.
API-koppeling EPD 🡪 Chronisch ZorgNet, noodzakelijke patiënt-, zorgverlener- en behandeltrajectgegevens t.b.v. TKB, KomPas en specialisatiegebonden zorgpaden binnen Chronisch ZorgNet.	De volgende categorieën persoonsgegevens worden verwerkt: * Identificerende gegevens zorgverlener (naam, beroepsgroep, praktijkgegevens, mailadres) * Verwijsgegevens * Identificerende gegevens van de verwijzer (naam, beroepsgroep) * Identificerende gegevens (patiënt-ID, behandeltraject-ID) * NAW-gegevens patiënt (naam, geboortedatum, geslacht) * Diagnosecodes per specialisatie (sPAV, hartrevalidatie, osteoporose, vallen & breken, longaandoeningen) * Behandel- en interventiegegevens * Meetuitkomsten/ statusinformatie * Gezondheidsgegevens (artikel 9 AVG – bijzondere categorieën)	Patiënten van aangesloten zorgaanbieders die deelnemen aan Chronisch ZorgNet. Zorgverleners die deelnemen aan Chronisch ZorgNet. Verwijzers die patiënten hebben verwezen naar een Chronisch ZorgNet deelnemer t.b.v. een behandeling binnen (één van) de Chronisch ZorgNet specialisatie(s).	* Gebruik van digitale kwaliteitsinstrumenten van Chronisch ZorgNet (TKB, KomPas) vanuit het EPD waar Verwerkingsverantwoordelijke gebruik van maakt zonder overtikken. * Ondersteunen van kwaliteitsregistraties en rapportages binnen de specialisaties. * Administratieve lastenverlichting. * Zorginhoudelijke terugkoppeling binnen het zorgpad per specialisatie * Gegevensoverdracht middels de API-koppeling.	Artikel 6 AVG * 6(1)(b) – uitvoering behandelovereenkomst (verstrekking noodzakelijke gegevens door zorgverlener) * 6(1)(c) – wettelijke verplichtingen (kwaliteitsregistratie waar toepasselijk) Artikel 9 AVG * 9(2)(h) – gezondheidszorg en kwaliteit van zorg * 9(2)(a) indien zorgverlener werkt met expliciete toestemming voor deelname aan Chronisch ZorgNet-programma’s (afhankelijk van specialisatie) * 9(2)(j) Chronisch ZorgNet gebruikt de ontvangen gegevens ook voor wetenschappelijke en kwaliteitsdoeleinden.	Chronisch ZorgNet: * Softmedia gebruikt Google Firebase (Google Cloud Platform). * Softmedia verwerkt de data op Google Firebase in de EER. Alleen gegevens van Google Analytics worden anoniem verstuurd naar de Verenigde Staten.	Chronisch ZorgNet bewaart gegevens conform wettelijke bewaartermijnen in de zorg en interne CZN-policy m.b.t. klinische, wetenschappelijke, en kwaliteitsdoeleinden.	Chronisch ZorgNet verwijdert of anonimiseert data conform eigen bewaartermijnen en zorgspecifieke regelgeving.
API-koppeling Chronisch ZorgNet 🡪 EPD, ophalen van de gegenereerde PDF’s door middel van de tools in Chronisch ZorgNet (KomPas, TKB’s)	* Identificerende gegevens zorgverlener (naam, beroepsgroep, praktijkgegevens, mailadres) * NAW-gegevens patiënt (Naam, geboortedatum, geslacht) * Verwijsgegevens * Identificerende gegevens van de verwijzer (naam, beroepsgroep) * Diagnosecode per specialisatie * Behandel- en interventiegegevens * Meetuitkomsten, statusinformatie, behandeldoelen * Gezondheidsgegevens (artikel 9 AVG – bijzondere categorieën)	Patiënten van aangesloten zorgaanbieders die deelnemen aan Chronisch ZorgNet. Zorgverleners die deelnemen aan Chronisch ZorgNet. Verwijzers die patiënten hebben verwezen naar een Chronisch ZorgNet deelnemer t.b.v. een behandeling binnen (één van) de Chronisch ZorgNet specialisatie(s).	Het ophalen van de gegenereerde PDF’s door de tools werkzaam in Chronisch ZorgNet, zodat deelnemers de PDF’s niet afzonderlijk hoeven te downloaden en op te voeren in het EPD waar Verwerkingsverantwoordelijke gebruik van maakt. Zo blijft een compleet zorgdossier geborgd.	Artikel 6 AVG 6(1)(b) – uitvoering behandelovereenkomst (verstrekking noodzakelijke gegevens door zorgverlener) Artikel 30 UAVG 30.3.a “Gelet op artikel 9, tweede lid, onderdeel h, van de verordening, is het verbod om gegevens over gezondheid te verwerken niet van toepassing indien de verwerking geschiedt door a. hulpverleners, instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene dan wel het beheer van de betreffende instelling of beroepspraktijk;…” Artikel 9 AVG * 9(2)(h) – gezondheidszorg en kwaliteit van zorg * 9(2)(a) indien zorgverlener werkt met expliciete toestemming voor deelname aan Chronisch ZorgNet-programma’s (afhankelijk van specialisatie) * 9(2)(j) Chronisch ZorgNet gebruikt de ontvangen gegevens ook voor wetenschappelijke en kwaliteitsdoeleinden.	Chronisch ZorgNet en het EPD waar Verwerkingsverantwoordelijke gebruik van maakt verwerken geen gegevens buiten de EER in deze koppeling, afgezien van IP-adressen in Google Analytics, die niet opgeslagen mogen worden.	Chronisch ZorgNet: bewaart gegevens conform wettelijke bewaartermijnen in de zorg en interne CZN-policy (wetenschappelijk onderzoek en kwaliteitsonderzoek).	Chronisch ZorgNet verwijdert of anonimiseert data conform eigen bewaartermijnen en zorgspecifieke regelgeving.

Bijlage 2: Beveiligingsmaatregelen

Verwerker dient rekening te houden met de eisen van “privacy by design” en “privacy by default”.

Privacy by design heeft als doel om de privacyrechten van Betrokkene(n) zo goed mogelijk te beschermen. Bij de ontwikkeling van een product, proces of systeem dient in de eerste fase al rekening te worden gehouden met alle relevante privacyaspecten. Van belang is welke Persoonsgegevens worden verzameld voor welke doelen, of deze Persoonsgegevens daadwerkelijk nodig zijn voor het beoogde doel, welke Verwerkingen plaatsvinden, wie welke leesrechten, schrijfrechten en beheerrechten heeft en hoe gegevens worden bewaard en/of verwijderd. Om die reden dient Verwerker technische maatregelen te nemen die gericht zijn op het beschermen van de privacy door het elimineren of minimaliseren van Persoonsgegevens. Deze technische maatregelen bestaat uit het kernprincipe van dataminimalisatie en het invoeren van een toegangsbeveiliging.

Privacy by default gaat over de standaardinstellingen van de systemen, processen, diensten en producten van Verwerker. Verwerker dient deze zodanig in te stellen dat de privacy van Betrokkene(n) zo goed mogelijk wordt beschermd, zonder dat dit ten koste gaat van de algehele gebruiksvriendelijkheid.

Maatregelen die Verwerker neemt om de privacy van Betrokkene(n) zoveel mogelijk te waarborgen:

Dataminimalisatie. Dataminimalisatie betekent dat slechts die Persoonsgegevens verzameld zullen worden die nodig zijn voor het doel van de Verwerking. Er mag geen sprake zijn van bovenmatige gegevensverzameling.
Verwerkersovereenkomsten. Als Verwerker, na voorafgaande schriftelijke toestemming van Verwerkersverantwoordelijke een Subverwerker inschakelt voor de Verwerking van Persoonsgegevens, dan dient Verwerker een Verwerkersovereenkomsten af te sluiten met die Subverwerker, welke Verwerkersovereenkomst minimaal eenzelfde mate van beveiliging biedt als is bepaald in deze Verwerkersovereenkomst.
Toegangsbeveiliging. Er is een toegangsbeveiligingssysteem geïnstalleerd. Deze dient “up to date” te worden gehouden. Persoonsgegevens worden zodoende beveiligd door middel van authenticatie, bestaande uit minimaal een wachtwoord en een tweede factor authenticatie (2FA). Ook wordt de toegang tot de systemen gelogd en gecontroleerd. Verwerker verstrekt uitsluitend toegang tot Persoonsgegevens aan die personen die de betreffende gegevens nodig hebben voor de uitvoering van de werkzaamheden of Verwerking. Deze autorisaties worden door Verwerker gedocumenteerd. Verwerker draagt ervoor zorg dat haar medewerkers de “best practice” behorende bij het authenticatiemiddel naleven, waaronder in ieder geval het vertrouwelijk behandelen van wachtwoorden.
Systeembeveiliging. Verwerker neemt ten aanzien van het systeem waarmee Persoonsgegevens worden Verwerkt preventieve, detectieve en correctieve maatregelen, waaronder maar niet uitsluitend een tijdige implementatie van actuele beveiligingspatches en viruscontrole. Ook neemt Verwerker maatregelen ter bescherming van informatiesysteem en technologie tegen malware, waaronder maar niet uitsluitend virussen, spyware en spam. De Chronisch ZorgNet Portfolio’s zijn beveiligd voor brute force aanvallen en hebben een automatische uitlogfunctie. Bij uitval van nutsvoorzieningen kan het Chronisch ZorgNet Portfolio ook zonder de API-koppeling gebruikt worden.
Beveiliging fysieke ruimte. De ruimten waarin de apparatuur met Persoonsgegevens zich bevindt, wordt adequaat en fysiek beschermd, door middel van toegangsbeveiliging, temperatuurregeling en maatregelen ter voorkoming van brand- en waterschade.
Pseudonimiseren en/of encrypten. Voor zover dit noodzakelijk is gelet op de risico’s van Verwerking en de aard van de te beschermen Persoonsgegevens, zal Verwerker zorgdragen voor pseudonimiseren en/of encrypten van Persoonsgegevens.
Informatiebeveiligingsbeleid. Alle beveiligingsmaatregelen worden door Verwerker uitgewerkt in een informatiebeveiligingsbeleid, welke periodiek wordt geëvalueerd door Verwerker.
Interne audits. Chronisch ZorgNet wordt 1x per jaar intern geauditeerd door een extern bedrijf op navolging van NEN7510.

Aanvullende maatregelen voor de API-omgeving:

Logging en monitoring van API-verkeer om ongeoorloofde toegang of misbruik tijdig te detecteren.
Encryptie van gegevens tijdens transport met minimaal TLS 1.2 of hoger.
Toepassing van twee-factorauthenticatie (2FA) voor toegang tot beheerders- en ontwikkelomgevingen.
Periodieke beveiligingsaudits en penetratietesten van de API-infrastructuur.
Conditional access tot de API(-koppeling) (IP-adres is beperkt tot het IP-adres van het EPD waar Verwerkingsverantwoordelijke gebruik van maakt).
De tokens voor het instellen van de API(-koppeling) worden afgeschermd weergegeven in het Portfolio van de deelnemer. Ook kunnen tokens maar 1x gebruikt worden.
Bij het aanmaken van de patiënt, alsook het toevoegen van (meet- en behandel)gegevens, wordt om bevestiging van de deelnemende zorgverlener gevraagd zodat de integriteit van de gegevens geborgd is.
Met de API(-koppeling) kunnen alleen cijfers/letters/datums meegestuurd worden, waardoor het (on)bewust toesturen van malware wordt beperkt.