Verwerkersovereenkomst (DPA)

1. Partijen

Deze Verwerkersovereenkomst wordt gesloten tussen:

Verwerkingsverantwoordelijke: [naam van de praktijk], gevestigd te [adres van de praktijk], ingeschreven bij de Kamer van Koophandel onder nummer [KvK-nummer], hierna te noemen "Verwerkingsverantwoordelijke".

Verwerker: Evo Dental B.V., gevestigd te Marconistraat 16, 3029 AK Rotterdam, ingeschreven bij de Kamer van Koophandel onder nummer 42107006, hierna te noemen "Evo Dental".

Deze Verwerkersovereenkomst maakt onderdeel uit van de Overeenkomst tussen partijen en is daaraan ondergeschikt, behoudens voor zover het de verwerking van persoonsgegevens betreft (zie sectie 11.1).

2. Definities

3. Onderwerp en duur van de verwerking

3.1 Onderwerp

Evo Dental verwerkt persoonsgegevens ten behoeve van het verlenen van de diensten zoals omschreven in de Overeenkomst, te weten het beschikbaar stellen van software voor tandartspraktijken (EPD, Afsprakensysteem en Declaratiemodule).

3.2 Duur

Deze Verwerkersovereenkomst geldt voor de duur van de Overeenkomst en eindigt automatisch bij beëindiging daarvan, onverminderd de verplichtingen die naar hun aard voortduren (zoals geheimhouding en verwijdering van gegevens).

4. Aard en doel van de verwerking

Evo Dental verwerkt persoonsgegevens uitsluitend:

• Ten behoeve van de dienstverlening zoals overeengekomen
• Op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke
• Niet voor eigen commerciële of analytische doeleinden

5. Categorieën persoonsgegevens en betrokkenen

5.1 Categorieën betrokkenen

• Patiënten van de praktijk
• Medewerkers van de praktijk (voor zover nodig voor toegangsbeheer)

5.2 Categorieën persoonsgegevens

Medische en tandheelkundige gegevens zijn bijzondere persoonsgegevens in de zin van artikel 9 AVG. Verwerking is toegestaan op grond van artikel 9 lid 2 sub h AVG (medische zorg) en de Wet op de geneeskundige behandelingsovereenkomst (WGBO).

6. Verplichtingen van Evo Dental

6.1 Instructies opvolgen

Evo Dental verwerkt persoonsgegevens uitsluitend conform de schriftelijke instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders vereist. In dat geval stelt Evo Dental de Verwerkingsverantwoordelijke hiervan vooraf op de hoogte, tenzij de wet dit verbiedt.

6.2 Vertrouwelijkheid

Evo Dental zorgt ervoor dat medewerkers die toegang hebben tot persoonsgegevens gebonden zijn aan vertrouwelijkheid, hetzij contractueel, hetzij via een wettelijke geheimhoudingsplicht.

6.3 Beveiliging

Evo Dental treft de volgende technische en organisatorische maatregelen:

Technisch:

• Encryptie van persoonsgegevens in rust (AES-256 of gelijkwaardig) en in transit (TLS 1.2 of hoger)
• Toegangscontrole op basis van het least-privilege beginsel
• Multi-factor authenticatie voor toegang tot systemen die persoonsgegevens verwerken
• Logging en monitoring van toegang tot persoonsgegevens (conform NEN 7513 audit-logging)
• Regelmatige penetratietests (gepland; eerste externe pentest januari 2027) en kwetsbaarheidsscans
• Gescheiden opslag van bijzondere persoonsgegevens

Organisatorisch:

• Aanstelling van een Functionaris voor Gegevensbescherming (FG) of aantoonbare beoordeling of dit vereist is
• Interne privacytraining (gepland) voor medewerkers met toegang tot persoonsgegevens
• Procedures voor toegangsbeheer en offboarding van medewerkers
• Inspanning tot certificering conform NEN 7510

6.4 Meldplicht datalekken

Evo Dental meldt een (vermoedelijk) datalek dat persoonsgegevens van de Verwerkingsverantwoordelijke betreft:

• Zo spoedig mogelijk, doch uiterlijk binnen 24 uur na ontdekking
• Via security@evo-dental.nl
• Met vermelding van: de aard van het lek, de betrokken categorieën en aantallen betrokkenen, de waarschijnlijke gevolgen en de getroffen maatregelen

De Verwerkingsverantwoordelijke is zelf verantwoordelijk voor melding aan de Autoriteit Persoonsgegevens (binnen 72 uur) en eventuele melding aan betrokkenen.

6.5 Ondersteuning bij rechten van betrokkenen

Evo Dental verleent de Verwerkingsverantwoordelijke medewerking bij het uitoefenen van rechten van betrokkenen (inzage, rectificatie, verwijdering, bezwaar, overdraagbaarheid), voor zover technisch mogelijk en redelijkerwijs van Evo Dental verlangd kan worden.

6.6 DPIA

Indien de Verwerkingsverantwoordelijke een gegevensbeschermingseffectbeoordeling (DPIA) uitvoert, verleent Evo Dental de benodigde medewerking en verstrekt relevante informatie over de verwerkingen.

7. Subverwerkers

7.1 Goedgekeurde subverwerkers

De Verwerkingsverantwoordelijke verleent Evo Dental toestemming voor het inschakelen van de volgende subverwerkers:

Op dit moment wordt geen betaalverwerker ingeschakeld; facturatie verloopt op factuurbasis. Bij introductie van online betalingen wordt naar verwachting Mollie B.V. (Nederland, EU) als subverwerker toegevoegd conform de procedure in §7.2.

De actuele en volledige lijst van subverwerkers, inclusief verwerkersovereenkomsten, wordt onderhouden in het Verwerkingsregister in het ISMS. Deze lijst is niet openbaar en wordt op verzoek aan de Verwerkingsverantwoordelijke ter beschikking gesteld.

7.2 Wijziging subverwerkers

Evo Dental stelt de Verwerkingsverantwoordelijke minimaal 30 dagen vooraf schriftelijk op de hoogte van voorgenomen wijzigingen in subverwerkers. De Verwerkingsverantwoordelijke heeft het recht binnen 14 dagen bezwaar te maken. Bij gegrond bezwaar treden partijen in overleg; indien geen overeenstemming wordt bereikt, heeft de Verwerkingsverantwoordelijke het recht de overeenkomst te beëindigen.

7.3 Doorgifte buiten de EER

Persoonsgegevens worden niet doorgegeven aan landen buiten de Europese Economische Ruimte, tenzij dit geschiedt op basis van een adequaatheidsbesluit van de Europese Commissie of passende waarborgen conform artikel 46 AVG (zoals standaardcontractbepalingen).

7.4 Verplichtingen subverwerkers

Evo Dental legt aan elke subverwerker bij overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze Verwerkersovereenkomst zijn opgenomen, in het bijzonder voldoende garanties met betrekking tot passende technische en organisatorische maatregelen, conform AVG artikel 28 lid 4. Evo Dental blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor de nakoming van de verplichtingen door de subverwerker, conform AVG artikel 28 lid 4. De omvang van deze aansprakelijkheid blijft onderworpen aan de aansprakelijkheidsbeperking zoals opgenomen in de Algemene voorwaarden (Artikel 12).

8. Audit & verantwoording

8.1 Auditrecht

De Verwerkingsverantwoordelijke heeft het recht maximaal eenmaal per jaar te controleren of Evo Dental de verplichtingen uit deze Verwerkersovereenkomst nakomt. Evo Dental verleent hiertoe medewerking en verstrekt relevante documentatie. De redelijke kosten van een dergelijke audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit een toerekenbare tekortkoming van Evo Dental blijkt.

8.2 Aankondiging

Een audit wordt minimaal 30 dagen van tevoren schriftelijk aangekondigd. Kosten voor de audit zijn voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit een aantoonbare overtreding aan het licht brengt.

8.3 Alternatief

In plaats van een volledige audit kan Evo Dental een recent auditrapport van een onafhankelijke derde partij (bijv. ISO 27001- of NEN 7510-certificaat) overleggen als bewijs van naleving.

9. Teruggave en verwijdering van gegevens

Na beëindiging van de Overeenkomst:

• Biedt Evo Dental de Verwerkingsverantwoordelijke gedurende 30 dagen de mogelijkheid alle persoonsgegevens te exporteren in een gangbaar formaat
• Verwijdert Evo Dental alle persoonsgegevens uit de productieomgeving uiterlijk 60 dagen na afloop van de exportperiode, tenzij een wettelijke bewaarplicht anders vereist
• Verlopen de persoonsgegevens daarna uit de back-ups via de reguliere retentiecyclus. De back-ups zijn bewust onveranderbaar (append-only) en versleuteld als maatregel tegen ransomware; afzonderlijke records kunnen daardoor niet actief uit bestaande back-ups worden verwijderd, maar verlopen volgens het retentieschema (30 dagelijkse en 6 maandelijkse snapshots). De persoonsgegevens zijn hierdoor uiterlijk 6 maanden na verwijdering uit de productieomgeving niet langer uit de back-ups herstelbaar. Gedurende deze periode worden de gegevens uitsluitend bewaard ten behoeve van herstel (back-up/recovery) en niet anderszins verwerkt
• Bevestigt Evo Dental de verwijdering schriftelijk (per e-mail) aan de Verwerkingsverantwoordelijke, met een overzicht van de verwijderde gegevens en de datum van verwijdering uit de productieomgeving

Deze termijnen sluiten aan op de exit-procedure in Algemene voorwaarden Artikel 8.4 en op de back-up-architectuur zoals beschreven in het Continuïteitsplan §3.2 en §3.8 en het Back-up Runbook (docs/runbooks/db-backup.md).

10. Aansprakelijkheid

De aansprakelijkheid van Evo Dental voor schade als gevolg van niet-nakoming van deze Verwerkersovereenkomst is beperkt conform de aansprakelijkheidsbepaling in de Overeenkomst, in het bijzonder Artikel 12 (Aansprakelijkheid) van de Algemene voorwaarden. Boetes opgelegd door toezichthouders als gevolg van aantoonbare nalatigheid van Evo Dental komen voor rekening van Evo Dental.

11. Slotbepalingen

11.1 Rangorde

Bij tegenstrijdigheid tussen deze Verwerkersovereenkomst en de overige documenten prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft. Dit is in lijn met de rangorde zoals bepaald in de Overeenkomst van Dienstverlening, Artikel 3.2.

11.2 Toepasselijk recht

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

11.3 Wijziging

Wijzigingen in wet- of regelgeving die aanpassing van deze Verwerkersovereenkomst vereisen, worden door Evo Dental tijdig doorgevoerd. Overige wijzigingen vereisen schriftelijke instemming van beide partijen.

12. Ondertekening

Ondertekening vindt digitaal plaats in de Evo-applicatie. Deze Verwerkersovereenkomst wordt afzonderlijk ondertekend, vóór en los van de overige documenten: de praktijkeigenaar leest deze overeenkomst, gaat ermee akkoord en bevestigt de acceptatie met een eigen verificatiecode die per e-mail wordt verstuurd (tweestapsverificatie).

Die volgorde is niet vrijblijvend. Zonder deze overeenkomst mogen wij geen persoonsgegevens namens de praktijk verwerken (artikel 28 AVG), en daarom kan acceptatie ervan niet worden uitgesteld. De Overeenkomst van Dienstverlening, de Algemene voorwaarden en de Service Level Agreement (SLA) worden daarna in een aparte stap ondertekend, met een eigen verificatiecode.

Deze digitale bevestiging geldt als rechtsgeldige ondertekening van deze Verwerkersovereenkomst. Bij de acceptatie leggen wij de naam en bevoegdheid van de ondertekenaar, het moment van ondertekening en de exact geaccepteerde versie van dit document vast.

Een wijziging van de commerciële afspraken laat een reeds getekende Verwerkersovereenkomst ongemoeid; alleen een nieuwe versie van dit document vraagt om een nieuwe ondertekening.