Verwerkersovereenkomst tussen jou en diaweb

Diaweb verwerkt in opdracht van jou persoonsgegevens van jou en je cliënten. De Algemene Verordening Gegevensbescherming (AVG) bepaalt dat we hierover afspraken moeten vastleggen in een verwerkersovereenkomst. Deze verwerkersovereenkomst is gebaseerd op het model Verwerkersovereenkomst van de Brancheorganisaties Zorg, maar is aangepast aan de dienstverlening en omvang van diaweb.

Persoonsgegevens zijn gegevens die iets over een persoon zeggen of waarmee je een persoon kunt herkennen, zoals een e-mailadres, geboortedatum of opleiding.

Bijzondere persoonsgegevens zijn persoonsgegevens die volgens de AVG extra bescherming nodig hebben, zoals gegevens over iemands gezondheid. Psychodiagnostische testgegevens kunnen daarom bijzondere persoonsgegevens zijn.

Betrokkenen zijn de mensen van wie persoonsgegevens worden verwerkt. In deze overeenkomst zijn dat jij en je cliënten.

Verwerken betekent eigenlijk alles wat je met persoonsgegevens kunt doen. Denk aan verzamelen, opslaan, gebruiken, delen en verwijderen.

De verwerkingsverantwoordelijke bepaalt welke persoonsgegevens worden verwerkt en waarvoor. In deze overeenkomst ben jij dat. Jij bepaalt dus wat diaweb met de persoonsgegevens mag doen.

De verwerker verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke. In deze overeenkomst is dat diaweb.

Subverwerkers zijn andere partijen die namens diaweb persoonsgegevens verwerken.

Incidenten zijn gebeurtenissen waarbij persoonsgegevens verloren kunnen gaan, bij iemand terecht kunnen komen die er geen toegang toe hoort te hebben of op een andere manier niet goed worden verwerkt.

De verwerkersovereenkomst bevat de afspraken over hoe diaweb namens jou met persoonsgegevens omgaat.

Diaweb verwerkt in opdracht van jou persoonsgegevens om psychodiagnostische tests uit te werken en te rapporteren. Dit omvat onder meer het opslaan, berekenen en analyseren van testgegevens en het beschikbaar stellen van testuitwerkingen.

De belangrijkste kenmerken van deze verwerking zijn:

• Onderwerp: psychodiagnostische testgegevens.
• Duur: tijdens het abonnement en, waar nodig, de afhandeling daarna.
• Doel: het uitwerken en rapporteren van psychodiagnostische tests.
• Betrokkenen: jij als gebruiker van diaweb en je cliënten.
• Persoonsgegevens: contactgegevens, accountgegevens, technische gegevens, demografische gegevens en testgegevens. Testgegevens kunnen ook informatie bevatten over psychisch functioneren en gezondheid en daarmee bijzondere persoonsgegevens zijn.
• Activiteiten: ontvangen, opslaan, berekenen, analyseren, rapporteren en verwijderen.

Diaweb verwerkt persoonsgegevens alleen in jouw opdracht en voor de dienstverlening die in deze overeenkomst is beschreven. We gebruiken de persoonsgegevens niet voor andere doelen.

We delen persoonsgegevens niet met andere partijen, behalve met subverwerkers die nodig zijn om onze dienstverlening uit te voeren. We houden ons daarbij aan de geldende wet- en regelgeving.

Diaweb houdt persoonsgegevens geheim. Alleen medewerkers die de persoonsgegevens nodig hebben voor hun werk krijgen toegang. We beperken de toegang en controleren die regelmatig. Deze geheimhoudingsplicht blijft ook na het einde van de dienstverlening gelden.

Als wij denken dat een opdracht van jou in strijd is met de AVG of andere privacywetgeving, laten we je dat zo snel mogelijk weten.

Heb je vragen over hoe we persoonsgegevens beveiligen, dan geven we daar graag uitleg over. Alleen als er concrete aanwijzingen zijn dat diaweb deze overeenkomst mogelijk niet naleeft, kan een onafhankelijke audit worden afgesproken. We stemmen een audit vooraf met elkaar af, zodat onze dienstverlening zo min mogelijk wordt verstoord. De kosten van de audit zijn voor jouw rekening, tenzij blijkt dat diaweb de overeenkomst aantoonbaar niet heeft nageleefd.

We nemen technische en organisatorische maatregelen om persoonsgegevens goed te beveiligen. Welke maatregelen we nemen, hangt af van de aard van de persoonsgegevens en de omvang van diaweb. We volgen actuele beveiligingsstandaarden en beoordelen onze beveiliging regelmatig. We gebruiken onder andere:

• Monitoring van netwerkactiviteit.
• Versleutelde verbindingen.
• Veilige inlogmethoden.
• Versleutelde back-ups.
• Twee-factor-authenticatie voor kritische systemen.
• Toegangsbeheer, zodat alleen bevoegde personen toegang hebben.
• Logbestanden om toegang waar mogelijk te controleren.

Persoonsgegevens worden binnen de Europese Economische Ruimte (EER) verwerkt. Als persoonsgegevens buiten de EER worden verwerkt, maken we daar vooraf afspraken over en zorgen we ervoor dat dit volgens de AVG is toegestaan.

Als er een datalek of ander beveiligingsincident is dat gevolgen kan hebben voor persoonsgegevens, laten we je dit zo snel mogelijk weten en uiterlijk binnen 48 uur nadat we ervan op de hoogte zijn. We vertellen je wat er is gebeurd, welke persoonsgegevens mogelijk zijn getroffen, wat de mogelijke gevolgen zijn en welke maatregelen we nemen.

Jij bent verantwoordelijk voor een eventuele melding aan de Autoriteit Persoonsgegevens en aan de betrokkenen, tenzij de wet bepaalt dat diaweb hiervoor verantwoordelijk is.

Diaweb neemt passende maatregelen om de gevolgen van het incident te beperken en te voorkomen dat het opnieuw gebeurt.

Krijgen wij een vraag of verzoek van een cliënt over diens persoonsgegevens, dan sturen we dit zo snel mogelijk aan jou door.

Jij bepaalt vervolgens hoe op het verzoek wordt gereageerd. Wij helpen je daarbij als dat redelijkerwijs nodig is.

Diaweb kan subverwerkers inschakelen die nodig zijn om de dienstverlening te leveren, te beveiligen en te onderhouden. We informeren je vooraf als we een nieuwe subverwerker inschakelen of een bestaande subverwerker wijzigen. Je kunt daar binnen een redelijke termijn gemotiveerd bezwaar tegen maken. Als we er samen niet uitkomen, bespreken we een passende oplossing. Lukt dat niet, dan kun je de dienstverlening beëindigen.

Diaweb maakt met iedere subverwerker afspraken die minimaal dezelfde bescherming bieden als deze verwerkersovereenkomst. Subverwerkers moeten beveiligingsincidenten zo snel mogelijk aan diaweb melden.

Diaweb maakt gebruik van Qweb als subverwerker voor hosting.

Diaweb gebruikt geen generatieve AI-systemen of externe AI-diensten voor het verwerken van persoonsgegevens van cliënten. Persoonsgegevens van cliënten worden ook niet gebruikt om AI-modellen te trainen of te verbeteren.

Diaweb is alleen aansprakelijk voor schade die rechtstreeks ontstaat doordat diaweb deze verwerkersovereenkomst niet nakomt.

De aansprakelijkheid van diaweb is beperkt tot directe schade, met een maximum van de abonnementsprijs over één jaar. Dit geldt niet bij opzet of bewuste roekeloosheid.

Diaweb is niet aansprakelijk voor schade die ontstaat doordat persoonsgegevens onjuist of onrechtmatig aan diaweb zijn verstrekt, of doordat accounts onvoldoende zijn beveiligd, bijvoorbeeld door een zwak wachtwoord of het ontbreken van twee-factor-authenticatie.

De verwerkersovereenkomst eindigt op het moment dat diaweb geen persoonsgegevens meer van jou en je cliënten bewaart. Dit kan op twee manieren: je kunt de persoonsgegevens zelf uit diaweb verwijderen, of diaweb verwijdert ze automatisch na afloop van de afgesproken bewaartermijn.

Diaweb bewaart persoonsgegevens niet langer dan nodig is. Als je je persoonsgegevens zelf verwijdert, worden deze geanonimiseerd, zodat ze niet meer naar jou of je cliënten te herleiden zijn. Deze geanonimiseerde gegevens worden bewaard en na afloop van de afgesproken bewaartermijn automatisch verwijderd.

Jij bent verantwoordelijk voor de persoonsgegevens die je via diaweb verwerkt. Je zorgt ervoor dat je deze persoonsgegevens mag verwerken en dat daarvoor een geldige grondslag bestaat volgens de AVG. Je bent onder andere verantwoordelijk voor:

• de rechtmatigheid van de verwerking;
• het informeren van betrokkenen;
• het afhandelen van verzoeken van betrokkenen;
• het naleven van de AVG en andere toepasselijke wetgeving.

We proberen een geschil eerst samen op te lossen. Lukt dat niet, dan is Nederlands recht van toepassing en wordt het geschil voorgelegd aan de bevoegde Nederlandse rechter.

Privacywetgeving en onze dienstverlening kunnen veranderen. Daarom kunnen we deze verwerkersovereenkomst van tijd tot tijd aanpassen. Als een wijziging belangrijk is voor jouw rechten of plichten, informeren we je vooraf.