Algemene verwerkersvoorwaarden voor persoonsgegevens

Deze algemene verwerkersvoorwaarden (hierna de "Verwerkersvoorwaarden") zijn van toepassing tussen:

de besloten vennootschap Doctor Anytime Belgium, met maatschappelijke zetel te Waversesteenweg 1100/6, 1160 Oudergem, ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0643.899.757 (hierna "Doctoranytime" of "de Verwerker");

en

elke beroepsbeoefenaar in de gezondheidszorg, natuurlijke persoon of rechtspersoon, die bij Doctoranytime een abonnement op de software eBuddy heeft afgesloten (hierna "de Zorgverlener" of "de Verwerkingsverantwoordelijke").

Doctoranytime en de Zorgverlener worden hierna samen "de Partijen" genoemd en afzonderlijk "de Partij".

1. INLEIDING

Doctoranytime stelt eBuddy ter beschikking van kinesitherapeuten, een online software waarmee onder meer de agenda, de patiëntendossiers, de voorschriften en de facturatie kunnen worden beheerd. eBuddy is gebaseerd op de software DoctorManager, uitgegeven door SYLHO GROUP NV, die de infrastructuur voor eBuddy beheert en instaat voor de hosting, het onderhoud en de technische ondersteuning ervan.

De Zorgverlener heeft met Doctoranytime een abonnementsovereenkomst voor eBuddy gesloten, bestaande uit de elektronisch ondertekende bijzondere voorwaarden en de algemene abonnementsvoorwaarden van eBuddy (hierna de "Overeenkomst"). Hij heeft bovendien de gebruiksvoorwaarden van de software DoctorManager aanvaard, die zijn rechtstreekse relatie met DoctorManager regelen.

In het kader van de uitvoering van de Overeenkomst verwerkt Doctoranytime voor rekening van de Zorgverlener Persoonsgegevens die met name betrekking hebben op zijn patiënten, met inbegrip van Gegevens over gezondheid in de zin van artikel 9 van de AVG, bij het opzetten en instellen van de account van de Zorgverlener, de opleiding van zijn Gebruikers en de ondersteuning. De hosting en de werking van de software worden verzekerd door DoctorManager, die de Zorgverlener rechtstreeks als verwerker inschakelt op basis van de gebruiksvoorwaarden van DoctorManager. Die verwerkingen vallen niet onder deze Verwerkersvoorwaarden.

Artikel 28, lid 3, van de AVG bepaalt dat de verwerking door een verwerker wordt geregeld in een overeenkomst die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt en waarin het onderwerp en de duur van de verwerking, de aard en het doel ervan, het soort persoonsgegevens, de categorieën van betrokkenen en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven.

Doctoranytime en DoctorManager verwerken bovendien bepaalde Persoonsgegevens van de Zorgverlener en zijn Gebruikers, met name voor het sluiten en uitvoeren van de Overeenkomst, het beheer van de toegangsaccounts tot eBuddy, de facturatie van het abonnement en het klantenbeheer. Zij treden in dat verband op als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 van de AVG. Die verwerkingen vallen niet onder deze Verwerkersvoorwaarden en worden geregeld door de regeling tussen Doctoranytime en DoctorManager, waarvan de hoofdlijnen zijn opgenomen in het privacybeleid van eBuddy.

Deze Verwerkersvoorwaarden hebben tot doel de voorwaarden te bepalen waaronder Doctoranytime voor rekening van de Zorgverlener de hieronder beschreven Verwerkingen uitvoert, en de respectieve rollen van de Partijen af te bakenen.

Deze Verwerkersvoorwaarden werden opgesteld in het Frans; deze Nederlandstalige versie is een vertaling. In geval van tegenstrijdigheid tussen de taalversies heeft de Franse versie van deze Verwerkersvoorwaarden voorrang.

2. ARTIKEL 1. DEFINITIES

1.1. Voor de toepassing van deze Verwerkersvoorwaarden hebben de begrippen die met een hoofdletter beginnen, de hieronder vermelde betekenis. Niet-gedefinieerde begrippen hebben de betekenis die de Gegevensbeschermingswetgeving eraan geeft; die heeft voorrang in geval van tegenstrijdigheid.

1.2. Onder de volgende begrippen wordt verstaan:

• "Persoonsgegevens" of "Gegevens": alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, in de zin van artikel 4, 1), van de AVG, die door Doctoranytime voor rekening van de Zorgverlener wordt verwerkt ter uitvoering van de Overeenkomst;
• "Gegevens over gezondheid": de Gegevens over de fysieke of mentale gezondheid van een natuurlijke persoon, met inbegrip van gegevens over verleende gezondheidsdiensten, die informatie geven over de gezondheidstoestand van die persoon, in de zin van artikel 4, 15), van de AVG. De Partijen erkennen dat informatie over een afspraak bij een bepaalde zorgverlener (met name de identiteit of het specialisme van de zorgverlener en de reden van de consultatie) dergelijke gegevens rechtstreeks of onrechtstreeks kan onthullen;
• "DoctorManager": SYLHO GROUP NV, met zetel te Prins de Lignelaan 46, 1180 Ukkel, ingeschreven in de Kruispuntbank van Ondernemingen onder het nummer 0681.618.703, die de software DoctorManager uitgeeft waarop eBuddy is gebaseerd en die de infrastructuur voor eBuddy beheert;
• "eBuddy": de beheersoftware voor kinesitherapeuten die Doctoranytime ter uitvoering van de Overeenkomst ter beschikking stelt van de Zorgverlener, waarmee onder meer de agenda, de patiëntendossiers, de voorschriften en de facturatie kunnen worden beheerd, met inbegrip van al haar modules;
• "Gegevensbeschermingswetgeving": de AVG, de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens en elke andere wettelijke of reglementaire bepaling die van toepassing is op de Verwerkingen bedoeld in deze Verwerkersvoorwaarden, zoals gewijzigd of vervangen;
• "Patiënt": elke natuurlijke persoon die een afspraak maakt, of voor wie een afspraak wordt gemaakt, bij de Zorgverlener of een van zijn Gebruikers, of van wie Gegevens worden geregistreerd in de database van de Zorgverlener in eBuddy;
• "Betrokkene": elke geïdentificeerde of identificeerbare natuurlijke persoon op wie de Gegevens betrekking hebben;
• "AVG": Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens;
• "Subverwerker": elke verwerker die door Doctoranytime wordt ingeschakeld om specifieke Verwerkingsactiviteiten voor rekening van de Zorgverlener uit te voeren. DoctorManager, die de Zorgverlener rechtstreeks inschakelt, en de dienstverleners op wie DoctorManager een beroep doet, zijn geen Subverwerkers in de zin van deze Verwerkersvoorwaarden;
• "Verwerking": een bewerking of een geheel van bewerkingen met betrekking tot Gegevens, al dan niet uitgevoerd via geautomatiseerde procedés, in de zin van artikel 4, 2), van de AVG;
• "Gebruiker": elke natuurlijke persoon die door de Zorgverlener gemachtigd is om voor zijn rekening toegang te krijgen tot eBuddy (zorgverleners, administratief personeel, secretariaat, beheerders enz.);
• "Inbreuk in verband met Persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot Gegevens, in de zin van artikel 4, 12), van de AVG.

3. ARTIKEL 2. VOORWERP EN TOEPASSINGSGEBIED

2.1. Deze Verwerkersvoorwaarden bepalen de voorwaarden waaronder Doctoranytime Gegevens verwerkt voor rekening van de Zorgverlener. Zij vormen de overeenkomst bedoeld in artikel 28, lid 3, van de AVG en de "Verwerkingsbijlage" bedoeld in de Overeenkomst.

2.2. Deze Verwerkersvoorwaarden vullen de Overeenkomst aan en maken er integraal deel van uit. Zij zijn van toepassing op alle Verwerkingen die Doctoranytime en haar Subverwerkers voor rekening van de Zorgverlener uitvoeren ter uitvoering van de Overeenkomst, ongeacht de gekozen formule en de geactiveerde modules.

2.3. In geval van tegenstrijdigheid tussen deze Verwerkersvoorwaarden en de Overeenkomst hebben de bepalingen van deze Verwerkersvoorwaarden voorrang voor alles wat de bescherming van Persoonsgegevens betreft.

2.4. De Zorgverlener aanvaardt deze Verwerkersvoorwaarden elektronisch, door het daartoe voorziene vakje aan te vinken, vóór de activering van zijn eBuddy-account. Die aanvaarding geldt als schriftelijke overeenkomst in de zin van artikel 28, lid 9, van de AVG. Doctoranytime bewaart het bewijs van de aanvaarding en de aanvaarde versie, die zij op eenvoudig verzoek aan de Zorgverlener bezorgt.

4. ARTIKEL 3. RESPECTIEVE ROLLEN VAN DE PARTIJEN

4.1. a) Verwerkingen voor rekening van de Zorgverlener

Voor de Verwerkingen beschreven in Bijlage 1 treedt de Zorgverlener op als verwerkingsverantwoordelijke en Doctoranytime als verwerker in de zin van artikel 4, 8), van de AVG.

Het gaat om de Verwerkingen die Doctoranytime zelf voor rekening van de Zorgverlener uitvoert: het opzetten en instellen van zijn eBuddy-account, de opleiding van zijn Gebruikers en de ondersteuning.

4.2. b) Verwerkingen van de gegevens van de Zorgverlener en zijn Gebruikers (gezamenlijke verantwoordelijkheid)

Doctoranytime en DoctorManager treden op als gezamenlijke verwerkingsverantwoordelijken, in de zin van artikel 26 van de AVG, voor de Verwerkingen van de gegevens van de Zorgverlener en zijn Gebruikers in verband met eBuddy, met name:

• het beheer van de contractuele en commerciële relatie met de Zorgverlener en zijn Gebruikers (beheer van de professionele accounts, facturatie, commerciële ondersteuning, communicatie over de dienst);
• het beheer van de toegangsaccounts tot eBuddy, van de actieve licenties en van de rapportering tussen Doctoranytime en DoctorManager.

Deze Verwerkingen worden geregeld door de regeling inzake gezamenlijke verantwoordelijkheid tussen Doctoranytime en DoctorManager, waarvan de hoofdlijnen worden beschreven in het privacybeleid van eBuddy. De Zorgverlener en zijn Gebruikers kunnen hun rechten ten aanzien van elk van hen uitoefenen (artikel 26, lid 3, van de AVG). Deze Verwerkersvoorwaarden zijn er niet op van toepassing.

Wanneer de Zorgverlener ook een abonnement heeft op het platform doctoranytime.be, worden de Gegevens die een Patiënt meedeelt wanneer hij via dat platform een afspraak maakt, door Doctoranytime verwerkt voor het beheer van de afspraken, overeenkomstig het privacybeleid van doctoranytime.be, en vervolgens doorgestuurd naar de eBuddy-agenda van de Zorgverlener, waar ze voor zijn rekening worden verwerkt.

4.3. c) Verwerkingen door DoctorManager voor rekening van de Zorgverlener

De hosting van eBuddy, het bijhouden van de patiëntendossiers, het agendabeheer, de communicatie met de Patiënten, de uitwisselingen met het eHealth-platform en MyCareNet en, meer in het algemeen, de werking van de software worden verzekerd door DoctorManager, als verwerker van de Zorgverlener. Deze Verwerkingen worden geregeld door de gebruiksvoorwaarden van DoctorManager, die de Zorgverlener aanvaardt bij zijn eerste aanmelding op eBuddy, en vallen niet onder deze Verwerkersvoorwaarden. Doctoranytime is geen partij bij die relatie en staat niet in voor de verplichtingen van DoctorManager inzake gegevensbescherming.

Gelet op de hierboven beschreven verdeling verklaren de Partijen dat zij niet samen het doel van en de middelen voor de Verwerkingen bedoeld in deze Verwerkersvoorwaarden vaststellen en dat zij niet optreden als gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 van de AVG.

5. ARTIKEL 4. BESCHRIJVING VAN DE VERWERKINGEN

4.1. Het onderwerp, de duur, de aard en de doeleinden van de Verwerkingen, de soorten verwerkte Gegevens en de categorieën van Betrokkenen worden beschreven in Bijlage 1.

4.2. De Zorgverlener bepaalt, door de instelling en het gebruik die hij van eBuddy maakt, welke Gegevens effectief worden verwerkt.

4.3. Wanneer niet-persoonsgebonden gegevens zodanig met Gegevens worden gecombineerd dat de Betrokkenen identificeerbaar worden, worden die gegevens behandeld als Persoonsgegevens.

6. ARTIKEL 5. GEDOCUMENTEERDE INSTRUCTIES

5.1. Doctoranytime verwerkt de Gegevens uitsluitend op basis van gedocumenteerde instructies van de Zorgverlener, onder meer met betrekking tot doorgiften van Gegevens naar een derde land of een internationale organisatie, tenzij zij daartoe verplicht is op grond van het recht van de Europese Unie of het Belgisch recht. In dat geval brengt Doctoranytime de Zorgverlener vóór de Verwerking op de hoogte van dat wettelijke voorschrift, tenzij dat recht dergelijke kennisgeving om gewichtige redenen van algemeen belang verbiedt.

5.2. Gelden als gedocumenteerde instructies van de Zorgverlener: (i) de Overeenkomst, (ii) deze Verwerkersvoorwaarden en hun bijlagen, (iii) de instelling en het gebruik van eBuddy door de Zorgverlener en zijn Gebruikers, met inbegrip van de activering van modules of integraties, en (iv) elke bijkomende schriftelijke instructie die tussen de Partijen is overeengekomen. Een bijkomende instructie die een wijziging van de functionaliteiten van eBuddy of een extra kost inhoudt, vereist het voorafgaande akkoord van de Partijen.

5.3. Doctoranytime brengt de Zorgverlener onmiddellijk op de hoogte als een instructie volgens haar een inbreuk vormt op de Gegevensbeschermingswetgeving. Zij kan de uitvoering van de betrokken instructie opschorten tot de Zorgverlener die heeft bevestigd of gewijzigd.

5.4. Onder voorbehoud van artikel 3 van deze Verwerkersvoorwaarden verbindt Doctoranytime zich ertoe de Gegevens niet voor eigen doeleinden te verwerken, ze niet te verkopen of te verhuren, ze niet voor commerciële doeleinden aan derden mee te delen en ze niet voor prospectie te gebruiken.

7. ARTIKEL 6. VERPLICHTINGEN VAN DE ZORGVERLENER

6.1. In zijn hoedanigheid van verwerkingsverantwoordelijke verbindt de Zorgverlener zich ertoe:

• de rechtmatigheid van de Verwerkingen te waarborgen, met name het bestaan van een rechtsgrond in de zin van artikel 6 van de AVG en, voor Gegevens over gezondheid, van een uitzondering in de zin van artikel 9, lid 2, van de AVG;
• de Patiënten en de andere Betrokkenen te informeren overeenkomstig de artikelen 13 en 14 van de AVG, ook over het inschakelen van een verwerker voor het bijhouden van de patiëntendossiers;
• toe te zien op de juistheid en de actualisering van de Gegevens die hij in eBuddy registreert;
• het beroepsgeheim en de deontologische regels na te leven die op hemzelf en zijn Gebruikers van toepassing zijn;
• de toegang van zijn Gebruikers te beheren (aanmaak, toekenning van rollen, intrekking) en toe te zien op de vertrouwelijkheid van hun inloggegevens;
• wanneer dat vereist is, de gegevensbeschermingseffectbeoordeling bedoeld in artikel 35 van de AVG uit te voeren.

6.2. De Zorgverlener brengt Doctoranytime onverwijld op de hoogte van elk ongeoorloofd gebruik van zijn accounts of inloggegevens en van elk beveiligingsincident waarvan hij kennis heeft in verband met het gebruik van eBuddy.

8. ARTIKEL 7. VERTROUWELIJKHEID

7.1. Doctoranytime waarborgt de vertrouwelijkheid van de Gegevens. Zij beperkt de toegang tot de Gegevens tot de personeelsleden die ze nodig hebben voor het opzetten van de account, de opleiding of de ondersteuning waarom de Zorgverlener verzoekt.

7.2. Doctoranytime zorgt ervoor dat de personen die gemachtigd zijn om de Gegevens te verwerken, (i) zich ertoe hebben verbonden de vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid gebonden zijn en (ii) een passende opleiding inzake gegevensbescherming hebben gekregen.

9. ARTIKEL 8. BEVEILIGING VAN DE VERWERKINGEN

8.1. Rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de Verwerking, alsook met de risico's voor de rechten en vrijheden van de Betrokkenen, neemt Doctoranytime de passende technische en organisatorische maatregelen bedoeld in artikel 32 van de AVG.

8.2. De genomen maatregelen worden beschreven in Bijlage 3. Doctoranytime kan ze aanpassen aan de stand van de techniek, voor zover het algemene beveiligingsniveau niet wordt verlaagd. Zij bezorgt de Zorgverlener op verzoek een bijgewerkte beschrijving van die maatregelen.

10. ARTIKEL 9. SUBVERWERKERS

9.1. De Zorgverlener verleent Doctoranytime een algemene schriftelijke toestemming om een beroep te doen op Subverwerkers, in de zin van artikel 28, lid 2, van de AVG. De Subverwerkers op wie Doctoranytime een beroep doet op de datum van aanvaarding van deze Verwerkersvoorwaarden, worden opgesomd in Bijlage 2 en worden geacht door de Zorgverlener te zijn goedgekeurd.

9.2. Doctoranytime brengt de Zorgverlener ten minste dertig (30) dagen vóór de inwerkingtreding op de hoogte van elke voorgenomen toevoeging of vervanging van een Subverwerker, per e-mail aan de contactpersoon die de Zorgverlener heeft aangewezen of via een melding in eBuddy. Die informatie vermeldt de identiteit van de Subverwerker, de betrokken verwerkingsactiviteit, de plaats van de Verwerking en, in voorkomend geval, de waarborgen die elke doorgifte buiten de Europese Economische Ruimte omkaderen.

9.3. De Zorgverlener kan schriftelijk bezwaar maken tegen die wijziging, binnen vijftien (15) dagen na ontvangst van de informatie, om redelijke en naar behoren gemotiveerde redenen die verband houden met de bescherming van de Gegevens. Bij gebrek aan bezwaar binnen die termijn wordt de wijziging geacht te zijn aanvaard.

9.4. In geval van bezwaar overleggen de Partijen te goeder trouw om binnen zestig (60) dagen een redelijk alternatief te vinden.

9.5. Wanneer een vervanging dringend nodig is om redenen van veiligheid of continuïteit van de dienst, brengt Doctoranytime de Zorgverlener daarvan zo snel mogelijk op de hoogte. Het recht van bezwaar bepaald in artikel 9.3 wordt dan uitgeoefend vanaf die kennisgeving.

9.6. Doctoranytime legt elke Subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als die van deze Verwerkersvoorwaarden, in het bijzonder voldoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen.

9.7. Wanneer een Subverwerker zijn verplichtingen inzake gegevensbescherming niet nakomt, blijft Doctoranytime tegenover de Zorgverlener volledig aansprakelijk voor het nakomen van de verplichtingen van die Subverwerker.

11. ARTIKEL 10. LOCATIE VAN DE GEGEVENS EN DOORGIFTEN BUITEN DE EER

10.1. Doctoranytime geeft geen Gegevens door naar een land buiten de Europese Economische Ruimte ("EER"), ook niet via toegang op afstand, tenzij die doorgifte (i) is opgenomen in Bijlage 2 of het voorwerp heeft uitgemaakt van de informatie bedoeld in artikel 9.2 en (ii) is omkaderd overeenkomstig hoofdstuk V van de AVG, namelijk door een adequaatheidsbesluit in de zin van artikel 45 van de AVG (met inbegrip van, in voorkomend geval, de certificering van de ontvanger onder het EU-U.S. Data Privacy Framework) of door passende waarborgen in de zin van artikel 46 van de AVG, zoals de door de Europese Commissie vastgestelde modelcontractbepalingen.

10.2. Wanneer de doorgifte berust op passende waarborgen in de zin van artikel 46 van de AVG, beoordeelt Doctoranytime samen met de ontvanger of de wetgeving en de praktijken van het derde land de effectieve naleving van die waarborgen mogelijk maken, en neemt zij in voorkomend geval aanvullende maatregelen.

10.3. Door deze Verwerkersvoorwaarden te aanvaarden, staat de Zorgverlener de doorgiften toe die in Bijlage 2 zijn opgenomen.

12. ARTIKEL 11. RECHTEN VAN DE BETROKKENEN

11.1. De Zorgverlener is verantwoordelijk voor de behandeling van verzoeken tot uitoefening van de rechten bepaald in de artikelen 15 tot 22 van de AVG met betrekking tot de Gegevens.

11.2. Rekening houdend met de aard van de Verwerking helpt Doctoranytime de Zorgverlener door middel van passende technische en organisatorische maatregelen om die verplichting na te komen.

11.3. Als een Betrokkene zich rechtstreeks tot Doctoranytime wendt met een verzoek over Gegevens die voor rekening van de Zorgverlener worden verwerkt, bezorgt Doctoranytime dat verzoek binnen vijf (5) werkdagen aan de Zorgverlener en beantwoordt zij het niet zelf, behalve om de Betrokkene naar de Zorgverlener te verwijzen of op diens instructie.

11.4. Verzoeken over de Verwerkingen bedoeld in artikel 3 b) worden behandeld overeenkomstig de regeling inzake gezamenlijke verantwoordelijkheid tussen Doctoranytime en DoctorManager; de Betrokkene kan zijn rechten ten aanzien van elk van hen uitoefenen. Wanneer een verzoek zowel betrekking heeft op die Verwerkingen als op Gegevens die voor rekening van de Zorgverlener worden verwerkt, beantwoordt elke Partij het voor wat haar betreft en werken de Partijen te goeder trouw samen.

13. ARTIKEL 12. INBREUKEN IN VERBAND MET PERSOONSGEGEVENS

12.1. Doctoranytime meldt elke Inbreuk in verband met Persoonsgegevens zo snel mogelijk aan de Zorgverlener nadat zij er kennis van heeft genomen, en uiterlijk binnen achtenveertig (48) uur.

12.2. De melding bevat, voor zover die informatie beschikbaar is:

• de aard van de Inbreuk, waar mogelijk met vermelding van de categorieën van Betrokkenen en van Gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en registers;
• de naam en de contactgegevens van de functionaris voor gegevensbescherming van Doctoranytime of van een ander contactpunt;
• de waarschijnlijke gevolgen van de Inbreuk;
• de maatregelen die zijn genomen of voorgesteld om de Inbreuk aan te pakken, met inbegrip van, in voorkomend geval, maatregelen ter beperking van de eventuele nadelige gevolgen ervan.

Wanneer het niet mogelijk is om alle informatie tegelijk te verstrekken, kan die zonder onredelijke vertraging in stappen worden verstrekt.

12.3. Doctoranytime neemt onverwijld de redelijke maatregelen om de Inbreuk in te dammen en de gevolgen ervan te beperken, documenteert de Inbreuk en werkt samen met de Zorgverlener om hem in staat te stellen zijn verplichtingen uit hoofde van de artikelen 33 en 34 van de AVG na te komen.

12.4. Het is aan de Zorgverlener, als verwerkingsverantwoordelijke, om te beslissen over de melding van de Inbreuk aan de Gegevensbeschermingsautoriteit en de mededeling ervan aan de Betrokkenen. Doctoranytime doet geen melding of mededeling voor rekening van de Zorgverlener zonder diens instructie, behoudens wettelijke verplichting.

12.5. De melding of de behandeling van een Inbreuk door een Partij houdt geen erkenning van fout of aansprakelijkheid van die Partij in.

12.6. Wanneer Doctoranytime kennis krijgt van een inbreuk in verband met persoonsgegevens die betrekking heeft op de gegevens van de Zorgverlener die door DoctorManager worden verwerkt, brengt zij de Zorgverlener daarvan onverwijld op de hoogte, zodat hij de nodige maatregelen kan nemen.

14. ARTIKEL 13. BIJSTAND EN SAMENWERKING

13.1. Rekening houdend met de aard van de Verwerking en de informatie waarover zij beschikt, helpt Doctoranytime de Zorgverlener bij het nakomen van de verplichtingen bepaald in de artikelen 32 tot 36 van de AVG.

13.2. Doctoranytime stelt de Zorgverlener daartoe de nodige documentatie ter beschikking, met name de beschrijving van eBuddy, van de technische en organisatorische maatregelen en van de Subverwerkers. Bijstand die verder gaat dan die documentatie en de wettelijke verplichtingen van Doctoranytime, kan worden gefactureerd, op basis van een offerte die de Zorgverlener vooraf heeft aanvaard, tenzij die bijstand nodig is door een tekortkoming van Doctoranytime.

13.3. Doctoranytime werkt samen met de Gegevensbeschermingsautoriteit, op verzoek van die autoriteit of van de Zorgverlener. Behoudens wettelijk verbod brengt zij de Zorgverlener onverwijld op de hoogte van elk verzoek van een overheidsinstantie met betrekking tot de Gegevens.

15. ARTIKEL 14. FUNCTIONARIS VOOR GEGEVENSBESCHERMING EN CONTACTPERSONEN

14.1. De Partijen wijzen de volgende contactpersonen aan voor de uitvoering van deze Verwerkersvoorwaarden:

• functionaris voor gegevensbescherming van Doctoranytime (extern): het advocatenkantoor Lex4u (Frédéric Dechamps SRL), legal@doctoranytime.be;
• contactpersoon van de Zorgverlener: de persoon en het e-mailadres die de Zorgverlener bij de inschrijving of later heeft aangewezen, en bij gebrek daaraan het e-mailadres vermeld in de bijzondere voorwaarden;
• functionaris voor gegevensbescherming van de Zorgverlener, in voorkomend geval: de persoon van wie de Zorgverlener de contactgegevens aan Doctoranytime meedeelt.

14.2. De meldingen bepaald in deze Verwerkersvoorwaarden worden per e-mail aan die contactpersonen gericht. Elke Partij brengt de andere onverwijld op de hoogte van elke wijziging van haar contactpersonen.

16. ARTIKEL 15. AUDITS

15.1. Doctoranytime stelt de Zorgverlener alle informatie ter beschikking die nodig is om de naleving van de verplichtingen bepaald in artikel 28 van de AVG en in deze Verwerkersvoorwaarden aan te tonen.

15.2. Daartoe bezorgt Doctoranytime in eerste instantie, op schriftelijk verzoek, de relevante documentatie, met name de bijgewerkte beschrijving van de technische en organisatorische maatregelen en de certificeringen of auditrapporten waarover zij beschikt, en beantwoordt zij een redelijke beveiligingsvragenlijst, maximaal één keer per jaar.

15.3. Als de informatie die Doctoranytime in eerste instantie bezorgt, redelijkerwijs niet volstaat om de naleving van deze Verwerkersvoorwaarden te controleren, kan de Zorgverlener een audit laten uitvoeren onder de volgende voorwaarden:

• de audit wordt maximaal één keer per periode van twaalf (12) maanden uitgevoerd, behalve in geval van een Inbreuk in verband met Persoonsgegevens, een verzoek van de Gegevensbeschermingsautoriteit of ernstige aanwijzingen van een tekortkoming;
• de audit wordt schriftelijk aangekondigd met een opzegtermijn van dertig (30) dagen, waarbij de reikwijdte, de datum en de duur ervan vooraf tussen de Partijen worden overeengekomen;
• de audit wordt op kosten van de Zorgverlener uitgevoerd, door hemzelf of door een onafhankelijke auditor die gebonden is door een geheimhoudingsplicht en geen concurrent van Doctoranytime is;
• de audit vindt plaats tijdens de kantooruren, zonder de activiteiten van Doctoranytime op onredelijke wijze te verstoren, met inachtneming van haar beveiligingsregels en zonder toegang tot de gegevens van andere klanten van Doctoranytime.

15.4. Een kopie van het auditrapport wordt kosteloos aan Doctoranytime bezorgd. Als de audit een tekortkoming aan het licht brengt, neemt Doctoranytime op haar kosten de nodige corrigerende maatregelen binnen een termijn die tussen de Partijen wordt overeengekomen.

15.5. Voor Subverwerkers die gestandaardiseerde infrastructuurdiensten leveren, met name cloudhosting, wordt het auditrecht uitgeoefend aan de hand van de certificeringen en onafhankelijke auditrapporten die die Subverwerkers ter beschikking stellen.

17. ARTIKEL 16. LOT VAN DE GEGEVENS BIJ HET EINDE VAN DE OVEREENKOMST

16.1. Bij het einde van de Overeenkomst, om welke reden ook, wist Doctoranytime de Gegevens die zij zelf voor rekening van de Zorgverlener bijhoudt, met name die welke zij heeft ontvangen bij het opzetten van de account, de import of de ondersteuning, tenzij de Zorgverlener binnen negentig (90) dagen om de teruggave ervan verzoekt.

16.2. De teruggave en de wissing van de Gegevens die in eBuddy worden gehost, worden uitgevoerd door DoctorManager, overeenkomstig de gebruiksvoorwaarden van DoctorManager: op verzoek wordt binnen zes (6) maanden na het einde van de overeenkomst een volledige export aan de Zorgverlener bezorgd, waarna de Gegevens worden vernietigd; ze verdwijnen uiterlijk zes (6) maanden na hun wissing uit de back-ups.

16.3. De wisplicht is niet van toepassing wanneer het recht van de Europese Unie of het Belgisch recht de bewaring van de Gegevens vereist. In dat geval brengt Doctoranytime de Zorgverlener daarvan op de hoogte, waarborgt zij de vertrouwelijkheid van de Gegevens en verwerkt zij ze alleen met het oog op die bewaring.

16.4. Doctoranytime bevestigt de wissing van de Gegevens schriftelijk op verzoek van de Zorgverlener.

16.5. Het is aan de Zorgverlener om, vóór hun wissing, de teruggave te verkrijgen van de Gegevens die hij op grond van zijn eigen wettelijke verplichtingen moet bewaren, met name de verplichting om het patiëntendossier minstens 30 jaar en maximaal 50 jaar na het laatste contact te bewaren (artikel 35 van de wet van 22 april 2019 inzake de kwaliteitsvolle praktijkvoering in de gezondheidszorg). Dit artikel heeft geen gevolgen voor de Gegevens die Doctoranytime en DoctorManager als gezamenlijke verwerkingsverantwoordelijken verwerken overeenkomstig artikel 3 b).

18. ARTIKEL 17. AANSPRAKELIJKHEID

17.1. In hun onderlinge verhouding en onverminderd artikel 82 van de AVG is elke Partij aansprakelijk voor de schade die voortvloeit uit de schending, door haarzelf, van haar verplichtingen uit hoofde van deze Verwerkersvoorwaarden of van de Gegevensbeschermingswetgeving.

17.2. Deze Verwerkersvoorwaarden beperken de rechten van de Betrokkenen op grond van artikel 82 van de AVG niet. Wanneer een Partij de volledige schade van een Betrokkene heeft vergoed, heeft zij het recht om van de andere Partij, voor zover die bij dezelfde verwerking betrokken was, het deel van de schadevergoeding terug te vorderen dat overeenstemt met haar deel van de aansprakelijkheid voor de schade, overeenkomstig artikel 82, lid 5, van de AVG.

17.3. In elk geval en voor zover haar aansprakelijkheid vaststaat, is de totale aansprakelijkheid van Doctoranytime uit hoofde van de Overeenkomst beperkt tot het bedrag exclusief btw dat de Zorgverlener uit hoofde van de Overeenkomst heeft betaald gedurende de 12 maanden die voorafgaan aan het schadeverwekkende feit. Deze beperking geldt niet in geval van opzettelijke fout, zware fout, fraude, aantasting van het leven of de lichamelijke integriteit, noch in geval van tekortkoming aan een wezenlijke verplichting van deze Verwerkersvoorwaarden, met name de verplichtingen inzake vertrouwelijkheid en beveiliging.

19. ARTIKEL 18. DUUR EN BEËINDIGING

18.1. Deze Verwerkersvoorwaarden zijn van toepassing vanaf hun aanvaarding door de Zorgverlener overeenkomstig artikel 2.4. Zij blijven van toepassing gedurende de volledige looptijd van de Overeenkomst en daarna zolang Doctoranytime Gegevens verwerkt voor rekening van de Zorgverlener.

18.2. Het einde van de Overeenkomst, om welke reden ook, brengt van rechtswege het einde van deze Verwerkersvoorwaarden met zich mee, onverminderd de artikelen 7, 16 en 17, die blijven gelden zolang als nodig is voor hun uitvoering.

18.3. In geval van een ernstige tekortkoming van een Partij aan haar verplichtingen uit hoofde van deze Verwerkersvoorwaarden, die niet is verholpen binnen dertig (30) dagen na een schriftelijke ingebrekestelling, kan de andere Partij de Overeenkomst beëindigen, onverminderd elk ander recht of rechtsmiddel.

20. ARTIKEL 19. WIJZIGINGEN

19.1. Doctoranytime kan voorstellen om deze Verwerkersvoorwaarden te wijzigen. Zij bezorgt de Zorgverlener per e-mail, aan de contactpersoon bedoeld in artikel 14, de nieuwe versie met vermelding van de aangebrachte wijzigingen, ten minste dertig (30) dagen vóór de voorgestelde datum van inwerkingtreding. De nieuwe versie is van toepassing op de Zorgverlener vanaf zijn aanvaarding ervan, volgens de regels van artikel 2.4. Bij gebrek aan aanvaarding blijft de vorige versie van toepassing op de Zorgverlener.

19.2. In afwijking van artikel 19.1 wordt Bijlage 2 bijgewerkt overeenkomstig artikel 9 en Bijlage 3 overeenkomstig artikel 8.2.

19.3. Als een wijziging van de Gegevensbeschermingswetgeving, een beslissing van een toezichthoudende autoriteit of een besluit van de Europese Commissie de aanpassing van deze Verwerkersvoorwaarden vereist, onderhandelen de Partijen te goeder trouw over de nodige wijzigingen binnen een redelijke termijn.

21. ARTIKEL 20. GEDEELTELIJKE NIETIGHEID

De eventuele nietigheid van een bepaling van deze Verwerkersvoorwaarden doet geen afbreuk aan de geldigheid van hun andere bepalingen, noch aan die van de Overeenkomst. De Partijen streven ernaar de betrokken bepaling te vervangen door een geldige bepaling met een effect dat zo dicht mogelijk aansluit bij het oorspronkelijk beoogde effect.

22. ARTIKEL 21. TOEPASSELIJK RECHT EN BEVOEGDE RECHTBANKEN

21.1. Deze Verwerkersvoorwaarden worden beheerst door het Belgisch recht.

21.2. Elk geschil over de geldigheid, de interpretatie of de uitvoering van deze Verwerkersvoorwaarden valt onder de exclusieve bevoegdheid van de Franstalige rechtbanken van het gerechtelijk arrondissement Brussel.

23. BIJLAGE 1. BESCHRIJVING VAN DE VERWERKINGEN VOOR REKENING VAN DE ZORGVERLENER

24. BIJLAGE 2. TOEGESTANE SUBVERWERKERS

Op de datum van aanvaarding van deze Verwerkersvoorwaarden doet Doctoranytime een beroep op de volgende Subverwerkers:

25. BIJLAGE 3. TECHNISCHE EN ORGANISATORISCHE MAATREGELEN

25.1. A. Maatregelen genomen door Doctoranytime

1. Beheer van de gegevensbescherming

Doctoranytime heeft een beleid inzake de bescherming van persoonsgegevens aangenomen, dat wordt gepubliceerd en regelmatig wordt bijgewerkt.

Er is een functionaris voor gegevensbescherming aangesteld. Hij is het aanspreekpunt voor alle vragen over gegevensbescherming en voor het melden van incidenten: het advocatenkantoor Lex4u (Frédéric Dechamps SRL), bereikbaar op het adres legal@doctoranytime.be.

Doctoranytime neemt de technische en organisatorische maatregelen die bedoeld zijn om de Gegevens te beschermen tegen onopzettelijke of opzettelijke vernietiging, verlies, ongeoorloofde wijziging, openbaarmaking en ongeoorloofde toegang. Die maatregelen worden regelmatig gecontroleerd.

Het personeel dat toegang heeft tot de Gegevens, is gebonden door een geheimhoudingsplicht. Alle informatie die de gebruikers meedelen, wordt als vertrouwelijk behandeld. Intern wordt een opleiding inzake gegevensbescherming en beveiliging gegeven.

2. Toegangscontrole

Beheer van de toegang van het personeel van Doctoranytime tot de gegevens van de Zorgverlener, op basis van het principe van de minste rechten, en beheer van de gemachtigde profielen.

Periodieke herziening van de toegangsrechten.

Procedure voor de intrekking van de toegang bij het vertrek van een medewerker.

3. Beheer van incidenten en inbreuken in verband met gegevens

Er bestaat een interne procedure voor het opsporen, kwalificeren en behandelen van inbreuken in verband met Gegevens.

Interne documentatie van inbreuken in verband met gegevens in het register dat de DPO van Doctoranytime bijhoudt.

25.2. B. Beveiliging van de software eBuddy

De beveiligingsmaatregelen die DoctorManager neemt voor de hosting en de werking van eBuddy, vallen onder de gebruiksvoorwaarden van DoctorManager en zijn beveiligingsfiche, die DoctorManager aan de Zorgverlener bezorgt.

25.3. C. Doorgiften buiten de Europese Economische Ruimte

Eventuele doorgiften naar ontvangers die buiten de Europese Economische Ruimte zijn gevestigd, worden omkaderd met passende waarborgen in de zin van hoofdstuk V van de AVG, in voorkomend geval aangevuld met bijkomende technische beveiligingsmaatregelen.

De betrokken ontvangers en de toepasselijke waarborgen worden vermeld in Bijlage 2.