Modelverwerkersovereenkomst addendum

Modelverwerkersovereenkomst Aanbieder - Dienstverlener aanbieder

Doel

De Aanbieder is als verwerkingsverantwoordelijke verantwoordelijk om verwerkingsovereenkomsten af te sluiten in het geval persoonsgegevens in opdracht van hem door een derde (lees: verwerker) worden verwerkt. Binnen het MedMij Afsprakenstelsel opereert de Dienstverlener aanbieder onder verantwoordelijkheid van de Aanbieder. Daarmee dient er altijd een verwerkingsovereenkomst tussen Aanbieder en Dienstverlener zorgaanbieder getekend te worden.

Deze verwerkersovereenkomst is een modelovereenkomst die door de Aanbieder kan worden gebruikt voor MedMij specifieke onderdelen, zoals het verwerken van BSN ten behoeven van authenticatie, het verkrijgen van toestemming van de Persoon voor gegevensuitwisseling met zijn Dienstverlener persoon en het verwerken van persoonsgegevens ten behoeve van de gegevensuitwisseling zelf zoals logging en de verwerking van de betreffende persoonsgegevens door de Dienstverlener aanbieder overeenkomstig het bepaalde in het MedMij Afsprakenstelsel.

De ondergetekenden:

1. << naam Aanbieder >> , gevestigd te << plaatsnaam + adres >>, te dezen rechtsgeldig vertegenwoordigd door <<  naam + functie >>

hierna te noemen: ‘Opdrachtgever’,

en

2. << naam Dienstverlener aanbieder >>, (statutair) gevestigd te  << plaatsnaam + adres >>, te dezen rechtsgeldig vertegenwoordigd door << functie + naam >>.

hierna te noemen: ‘Opdrachtnemer’,

hierna gezamenlijk te noemen: ‘Partijen’;

Overwegende dat:

I. Partijen in overeenstemming met de Algemene Verordening gegevensbescherming (AVG) in deze Verwerkersovereenkomst hun afspraken opnemen over het verwerken van persoonsgegevens ten behoeve van de gegevensuitwisseling tussen persoonlijke gezondheidsomgevingen MedMij en de informatiesystemen van de Opdrachtgever. 

II. In het kader van de uitvoering van deze Verwerkersovereenkomst de Persoonsgegevens in de zin van artikel 4 sub 1 AVG worden verwerkt binnen de scope van de afspraken zoals opgesteld in het MedMij Afsprakenstelsel.

III. De Opdrachtgever verantwoordelijk is voor het verlenen van toegang tot de persoonsgegevens aan de Persoon en het vaststellen van de identiteit van de Persoon aan de hand van een BSN. De Opdrachtnemer voert dit proces uit, conform de afspraken in het MedMij Afsprakenstelsel, in opdracht van de Opdrachtgever. De wettelijke basis voor de verwerking van het BSN door Opdrachtgever ten behoeve van authenticatie van de Persoon, met als doel de gegevensuitwisseling tussen Persoon en Opdrachtgever, overeenkomstig het bepaalde in het MedMij Afsprakenstelsel, volgt uit << opnemen wettelijke basis Opdrachtgever   >> .   

IV. Opdrachtnemer een zogenaamde ‘Dienstverlener Zorgaanbieder’ binnen het MedMij Afsprakenstelsel is en daarvoor de Deelnemersovereenkomst Dienstverlener zorgaanbieder met de Stichting MedMij heeft afgesloten.  

V. Krachtens artikel 4 sub 7 AVG de Opdrachtgever “Verwerkingsverantwoordelijke” is voor de Persoonsgegevens en krachtens artikel 4 sub 8 AVG de Opdrachtnemer “Verwerker” is in het kader van de uitvoering van deze Verwerkersovereenkomst.

VI. Deze overeenkomst is aan te merken als een ‘Verwerkersovereenkomst’ in de zin van artikel 28 lid 3 AVG.

Verklaren te zijn overeengekomen als volgt

Artikel 1. Begrippen

De hierna en hiervoor in deze Verwerkersovereenkomst vermelde, met een hoofdletter

geschreven begrippen, hebben de volgende betekenis:

1.1 Deelnemersovereenkomst: 'Deelnemersovereenkomst Dienstverlener zorgaanbieder' die is gesloten tussen Stichting MedMij en Opdrachtnemer en op basis waarvan Opdrachtnemer is toegetreden tot het MedMij Afsprakenstelsel.

1.2 Bijlage: aanhangsels bij deze Verwerkersovereenkomst of onder deze Verwerkersovereenkomst aangegane nadere overeenkomst die onlosmakelijk zijn verbonden met deze Verwerkersovereenkomst. 

1.3 BSN; het nummer, bedoeld in artikel 1, onder b, van de Wet algemene bepalingen Burgerservicenummer.

1.4 Functionaris voor de gegevensbescherming: de door Opdrachtgever benoemde functionaris als bedoeld in artikel 37 AVG.

1.5 Gegevensdienst: een gestandaardiseerde dienst voor gegevensuitwisseling met waarde voor de gebruiker die door een Dienstverlener persoon of Dienstverlener aanbieder wordt aangeboden over het MedMij-netwerk. De Het MedMij Afsprakenstelsel definieert welke Gegevensdiensten over het MedMij-netwerk aangeboden mogen worden en biedt een faciliteit om het aanbod van de Dienstverlener persoon en Dienstverlener zorgaanbieder inzichtelijk te maken. Opdrachtnemer levert Gegevensdiensten in opdracht van en volgens schriftelijke instructie van de Opdrachtgever via het MedMij-netwerk en heeft voor de verwerking van persoonsgegevens in relatie tot deze Gegevensdiensten de Verwerkersovereenkomst met Opdrachtgever afgesloten.  

1.6 MedMij Afsprakenstelsel: de door de Stichting MedMij vastgestelde laatst geldende release van het MedMij Afsprakenstelsel. 

1.7 Persoon: degene op wie een Persoonsgegeven betrekking heeft.

1.8 Persoonsgegeven: persoonsgegeven in de zin van artikel 4 sub 1 en sub 15 Algemene Verordening Gegevensbescherming.     

1.9 Verwerking: verwerking in de zin van artikel 4 sub 2 Algemene Verordening Gegevensbescherming.

1.10 Verwerkersovereenkomst: deze overeenkomst inclusief Overwegingen en bijbehorende Bijlage(n).

Artikel 2. Totstandkoming, duur van de Verwerkersovereenkomst

2.1 Deze Verwerkersovereenkomst geldt vanaf de datum van ondertekening en wordt aangegaan voor de duur van de Deelnemersovereenkomst.

2.2 De Verwerkersovereenkomst eindigt van rechtswege wanneer de Deelnemersovereenkomst eindigt.

Artikel 3. Voorwerp van de Verwerkersovereenkomst

3.1 Opdrachtnemer verwerkt het BSN ten behoeven van authenticatie en verwerkt Persoonsgegevens voor:

• het verkrijgen van toestemming van de Persoon voor het verstrekken van Persoonsgegevens aan een derde partij namelijk de Dienstverlener persoon; 
• de inhoud van de gegevensuitwisseling; 
• handelingen ten behoeve van de gegevensuitwisseling;

overeenkomstig het bepaalde in het MedMij Afsprakenstelsel voor Opdrachtgever op basis van de Gegevensdiensten van het MedMij Afsprakenstelsel zoals opgenomen in Bijlage I. De verwerking van Persoonsgegevens vindt uitsluitend plaats in opdracht en volgens schriftelijke instructie van de Opdrachtgever en zoals in Bijlage I aangegeven, behoudens afwijkende wettelijke verplichtingen. 

3.2 Opdrachtnemer zal de Persoonsgegevens aantoonbaar op behoorlijke en zorgvuldige wijze en in overeenstemming met de op hem als Verwerker op grond van de privacy- en andere toepasselijke wet- en regelgeving betreffende de verwerking van Persoonsgegevens verwerken.

3.3 Opdrachtnemer verwerkt de Persoonsgegevens niet voor eigen doeleinden. Voor zover niet anders is bepaald in deze Verwerkersovereenkomst, neemt Opdrachtnemer geen beslissingen over het gebruik van de gegevens, de verstrekking aan derden en de duur van de opslag van gegevens. De zeggenschap over het doel en de middelen voor de Verwerking van de Persoonsgegevens berust nimmer bij Opdrachtnemer.

3.4 Opdrachtnemer schakelt geen derden in zonder voorafgaande specifieke of algemene schriftelijke toestemming van Opdrachtgever. Opdrachtgever kan aan de toestemming om derden in te schakelen voorwaarden verbinden.

3.5 Indien Opdrachtnemer op grond van een wettelijke verplichting gegevens dient te verstrekken, verifieert Opdrachtnemer de grondslag van het verzoek en de identiteit van de verzoeker en informeert hij onmiddellijk, zo mogelijk voorafgaand aan de verstrekking, Opdrachtgever ter zake.

3.6 Opdrachtnemer verleent Opdrachtgever volledige medewerking om binnen de wettelijke termijnen te voldoen aan de verplichtingen op grond van de privacy- en andere toepasselijke wet- en regelgeving betreffende de verwerking van Persoonsgegevens, meer in het bijzonder met betrekking tot de rechten van betrokkenen, zoals, maar niet beperkt tot, een verzoek om inzage, verbetering, aanvulling, verwijdering, afscherming of de overdraagbarheid van Persoonsgegevens en het uitvoeren van een gehonoreerd aangetekend verzet. Tevens verleent Opdrachtnemer volledige medewerking aan het adequaat informeren van de betrokkenen in het kader van de meldplicht datalekken. De eventuele kosten die voortvloeien uit het niet of niet tijdig voldoen aan de meldplicht met betrekking tot datalekken komen voor rekening van Opdrachtnemer.

3.7 Indien Opdrachtnemer (pogingen tot) onrechtmatige of anderszins ongeautoriseerde verwerkingen of inbreuken op de beveiligingsmaatregelen van de Persoonsgegevens signaleert, zal hij Opdrachtgever hierover onmiddellijk inlichten en op eigen kosten alle redelijkerwijs benodigde maatregelen treffen om een (dreigende) schending van de privacy- en andere toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens te voorkomen of te beperken; één en ander onverminderd de verplichting van Opdrachtnemer om de eventueel door Opdrachtgever daardoor geleden schade te vergoeden.

3.8 Opdrachtgever en Opdrachtnemer betrekken de Functionaris voor de gegevensbescherming tijdig en naar behoren bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.

3.9 Overeenkomstig het bepaalde in Hoofdstuk V van de Algemene Verordening Gegevensbescherming verwerkt Opdrachtnemer geen Persoonsgegevens buiten een land van de Europese Unie/Europese Economische ruimte zonder een passend beschermingsniveau.     

Artikel 4. Beveiliging

4.1 Opdrachtnemer zal overeenkomstig de voor Opdrachtgever geldende wet- en regelgeving voor beveiliging de benodigde maatregelen implementeren die het vertrouwen en de continuïteit van de Verwerking borgen. De maatregelen, die zijn opgenomen in het Normenkader informatiebeveiliging van het MedMij Afsprakenstelsel, dienen met inachtneming van de stand der techniek een passend beschermingsniveau te verzekeren voor de Verwerking in relatie tot het MedMij Afsprakenstelsel, zulks met inachtneming van de risico’s die de Verwerking met zich meebrengen.

4.2 Opdrachtnemer rapporteert aan Opdrachtgever over de door hem genomen maatregelen aangaande de getroffen technische en organisatorische beveiligingsmaatregelen en eventuele aandachtspunten daarin. De rapportage dient betrekking te hebben op de in het eerste lid bedoelde beveiligingsmaatregelen. Daarnaast toont Opdrachtnemer aan dat hij voldoet aan de voor hem geldende normen op het gebied van informatiebeveiliging. Opdrachtnemer kan aan de hand van geldige certificering of een gelijkwaardig bewijsmiddel aantonen dat hij hieraan voldoet.

Artikel 5. Geheimhouding

5.1 Opdrachtnemer is gehouden tot geheimhouding van alle Persoonsgegevens en informatie die zij als uitvloeisel van deze Verwerkersovereenkomst verwerkt, behoudens in zoverre die gegevens of informatie klaarblijkelijk geen geheim of vertrouwelijk karakter hebben, dan wel reeds algemeen bekend zijn.

5.2 Indien en voor zover Opdrachtgever daarom uitdrukkelijk schriftelijk verzoekt, zal Opdrachtnemer ten aanzien van de daarbij aangeduide gegevens of informatie bijzondere maatregelen treffen met het oog op de geheimhouding daarvan, welke maatregelen onder meer kunnen inhouden de vernietiging van betrokken gegevens of informatie zodra de noodzaak voor Opdrachtnemer om daarvan nog langer kennis te nemen, is komen te vervallen.

5.3 Opdrachtnemer zal in haar overeenkomsten met het personeel van Opdrachtnemer bedingen dat door die personen op overeenkomstige wijze als in artikel 5.1 en 5.2 bepaald geheimhouding zal worden betracht ten aanzien van alle gegevens en informatie die zij in het kader van hun werkzaamheden voor Opdrachtnemer verwerken. Opdrachtnemer staat er jegens Opdrachtgever voor in dat de bedoelde bedingen door de betrokken personen zullen worden nageleefd.

Artikel 6. Gebruik onderaannemers (subverwerkers)

6.1 Opdrachtnemer zal aan de door hem ingeschakelde derde dezelfde of strengere verplichtingen opleggen als voor hemzelf gelden op basis van deze Verwerkersovereenkomst en uit de wet- en regelgeving voortvloeien en ziet toe op de naleving daarvan door de derde. De betreffende afspraken met de derde worden schriftelijk vastgelegd. Opdrachtnemer zal Opdrachtgever op eerste verzoek een afschrift verstrekken van deze overeenkomsten(en). 

6.2 Niettegenstaande de toestemming van de Opdrachtgever voor het inschakelen van een derde partij blijft Opdrachtnemer volledig aansprakelijk jegens Opdrachtgever voor de gevolgen van het uitbesteden van werkzaamheden aan een derde. De toestemming van Opdrachtgever voor het uitbesteden van werkzaamheden aan een derde partij laat onverlet dat voor de inzet van subverwerkers artikel 3.10 van overeenkomstige toepassing is.  

Artikel 7. Controle

7.1 Opdrachtgever kan de Verwerking en de naleving van de overeengekomen technische en organisatorische beveiligingsmaatregelen van Opdrachtnemer, dan wel die van door Opdrachtnemer ingeschakelde derden, op elk door hem gewenst moment controleren of doen controleren. In verband daarmee verstrekt Opdrachtnemer op eerste verzoek van Opdrachtgever een (zelf)verklaring waarin een oordeel wordt gegeven over de genoemde naleving.

7.2 Opdrachtnemer zal alle redelijkerwijs benodigde medewerking verlenen aan de controle en er voor zorg dragen ook de door hem ingeschakelde derden hiertoe de redelijkerwijs benodigde medewerking zullen verlenen.

7.3 Het uitvoeren van een controle zal niet tot een vertraging van de door Opdrachtnemer in het kader van deze Verwerkersovereenkomst te verrichten werkzaamheden mogen leiden. Indien niettemin vertraging optreedt, zullen Partijen in overleg treden teneinde daarvoor zo snel mogelijk een oplossing te vinden.

7.4 De met de controle gemoeide kosten zijn voor rekening van Opdrachtgever, tenzij uit de controle blijkt dat Opdrachtnemer is tekortgeschoten in de nakoming van zijn verplichting(en) uit deze Verwerkersovereenkomst.

7.5 Opdrachtnemer voert de door Opdrachtgever aangegeven aanbevelingen ter verbetering uit binnen de daartoe door Opdrachtgever te bepalen termijn.

Artikel 8. Opschorting en beëindiging

8.1 Partijen kunnen deze Verwerkersovereenkomst tussentijds opzeggen met inachtneming van een opzegtermijn van één kalendermaand.

8.2 Deze Verwerkersovereenkomst kan door Opdrachtgever met onmiddellijke ingang worden beëindigd indien Opdrachtgever heeft vastgesteld dat Opdrachtnemer niet of onvoldoende voldoet aan de in artikel 4 van deze Verwerkersovereenkomst voorgeschreven technische en organisatorische beveiligingseisen dan wel anderszins de in deze Verwerkersovereenkomst opgenomen voorschriften, verplichtingen of procedures niet nakomt of volgt.

8.3 Verplichtingen welke naar hun aard bestemd zijn ook na beëindiging van deze Verwerkersovereenkomst voort te duren, blijven na beëindiging van de Verwerkersovereenkomst gelden. Tot deze bepalingen behorend onder meer de bepalingen betreffende geheimhouding, aansprakelijkheid en toepasselijk recht.

8.4 Partijen zijn gerechtigd, onverminderd hetgeen daartoe bepaalde in de Deelnemersovereenkomst Dienstverlener zorgaanbieder, de uitvoering van de Verwerkersovereenkomst en de daarmee samenhangende Deelenemersovereenkomst op te schorten, dan wel zonder rechterlijke tussenkomst met onmiddellijke ingang te ontbinden, indien:

a) de ander partij wordt ontbonden of anderszins ophoudt te bestaan;

b) de andere partij aantoonbaar tekortschiet in de nakoming van de verplichtingen die voortvloeien uit deze Verwerkersovereenkomst en die ernstige toerekenbare tekortkoming niet binnen 30 dagen is hersteld na een daartoe strekkende schriftelijke ingebrekestelling;

c) een partij in staat van faillissement wordt verklaard of surseance van betaling.

8.5 Opdrachtgever is gerechtigd deze Verwerkersovereenkomst per direct te ontbinden indien de Opdrachtnemer te kennen geeft niet (langer) te kunnen voldoen aan de betrouwbaarheidseisen die op grond van ontwikkelingen in de wet en/of rechtspraak aan de verwerking van persoonsgegevens worden gesteld.   

Artikel 9. Bewaartermijn, teruggave en vernietiging van Persoongegevens

9.1 Opdrachtnemer bewaart de Persoonsgegevens niet langer dan strikt noodzakelijk voor het doel zoals opgenomen in Bijlage I en conform de bepalingen in het MedMij Afsprakenstelsel.

9.2 Bij beëindiging van de Verwerkersovereenkomst of indien van toepassing aan het einde van de overeengekomen bewaartermijnen, of op schriftelijke verzoek van Opdrachtgever zal Opdrachtnemer, kosteloos, naar keuze van Opdrachtgever, de Persoonsgegevens vernietigen of teruggeven aan Opdrachtgever. Op eerste verzoek van Opdrachtgever verstrekt Opdrachtnemer bewijs van het feit dat de Persoonsgegevens vernietigd of verwijderd zijn.

Artikel 10. Aansprakelijkheid

10.1 Partijen zijn ieder verantwoordelijk en aansprakelijk voor hun eigen handelen. Gebruikers kunnen zich jegens Partijen onmiddellijk en direct op deze aansprakelijkheid beroepen.

10.2 Partijen zijn jegens elkaar aansprakelijk indien zij de verplichtingen uit de Verwerkersovereenkomst en/of de privacy- en andere toepasselijke wet- en regelgeving betreffende de Verwerking van Persoonsgegevens schenden door deze niet of niet naar behoren na te komen. Indien en voor zover deze schending toerekenbaar is, heeft deze schadeplichtigheid tot gevolg.

10.3 Opdrachtnemer vrijwaart Opdrachtgever en stelt Opdrachtgever schadeloos voor alle claims, acties, aanspraken van derden voor verliezen, schade of kosten, waaronder boetes van de Autoriteit Persoonsgegevens die Opdrachtgever maakt of lijdt en die rechtstreeks of indirect voortvloeien uit of tot stand komen in verband met een tekortkoming door de Opdrachtnemer en/of diens onderaannemers in de nakoming van zijn verplichtingen onder deze Verwerkersovereenkomst.    

Artikel 11. Slotbepalingen

11.1 Afwijkingen van deze Verwerkersovereenkomst zijn slechts bindend voor zover zij uitdrukkelijk tussen Partijen schriftelijk zijn overeengekomen.

11.2 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing

11.3 Geschillen over en die voortvloeien uit deze overeenkomst worden voorgelegd aan de bevoegde rechter in Den Haag.

Aldus op de laatste van de twee hierna genoemde data overeengekomen en in tweevoud ondertekend,

 << naam Aanbieder >>

namens deze,

Naam:

Functie:

Datum

Plaats

 <<  Naam Dienstverlener aanbieder  >>

namens deze,

Naam:

Functie:

Datum:

Plaats:

Bijlage 1. Overzicht Persoonsgegevens en Procedure

Het doel van de Verwerking voor MedMij specifieke onderdelen, overeenkomstig het bepaalde in het MedMij Afsprakenstelsel is op verzoek van de Persoon door de Opdrachtnemer het verwerken van het BSN ten behoeven van authenticatie, het verkrijgen van toestemming van de Persoon voor gegevensuitwisseling, het verwerken van persoonsgegevens ten behoeve van de gegevensuitwisseling, zoals logging, de verwerking van de betreffende persoonsgegevens zelf namens de Opdrachtgever van deze Persoon.       

Hiervoor worden uitsluitend de volgende Persoonsgegevens door Opdrachtnemer verwerkt:   

• BSN;
• Toestemmingsverklaring van de Persoon voor het verstrekken van gegevens aan een derde partij namelijk de Dienstverlener persoon;

• Bevestigingsverklaring van de Persoon voor het delen van gegevens met de Opdrachtgever;

• De Persoonsgegevens uit de gegevensdiensten die door de Opdrachtgever conform de afspraken uit het MedMij Afsprakenstelsel via het MedMij-netwerk worden verstrekt of verkregen;
• De persoonsgegevens ten behoeve van de gegevensuitwisseling (zoals logging).

De categorie betrokkenen van wie bovenstaande persoonsgegevens worden verwerkt zijn: Personen die willen beschikken over hun gezondheidsinformatie in de PGO.   

Overeenkomstig artikel 3.1 van deze Verwerkersovereenkomst worden de Persoonsgegevens overeenkomstig de beschreven Processen & Informatie met de bijbehorende use cases door 'Dienstverlener zorgaanbieder’ zoals opgenomen in het MedMij Afsprakenstelsel door Opdrachtnemer verwerkt.