Verwerkersovereenkomst tussen jou en diaweb

Diaweb verwerkt in opdracht van jou persoonsgegevens van jou en je cliënten. De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat we dan een verwerkersovereenkomst moeten afsluiten. Deze verwerkersovereenkomst is gebaseerd op het model Verwerkersovereenkomst van de Brancheorganisaties Zorg, maar is aangepast aan de dienstverlening en omvang van diaweb.

Persoonsgegevens zijn gegevens die direct over een persoon gaan of naar een persoon te herleiden zijn, zoals een e-mailadres, geboortedatum of genoten opleiding.

Betrokkenen zijn personen van wie persoonsgegevens worden verwerkt; in deze overeenkomst zijn jij en je cliënten dat.

Verwerken is alles wat er met persoonsgegevens gedaan kan worden, zoals verzamelen, vastleggen, wijzigen, raadplegen, opslaan, verstrekken en verwijderen.

De verwerkingsverantwoordelijke bepaalt welke persoonsgegevens de verwerker met welk doel mag verwerken; in deze overeenkomst ben jij dat (hierna: je/jij/jou).

De verwerker verwerkt persoonsgegevens namens de verwerkingsverantwoordelijke; in deze overeenkomst is dat diaweb.

Subverwerkers verwerken persoonsgegevens namens de verwerker.

Incidenten zijn gebeurtenissen die leiden of kunnen leiden tot verlies, ongewenste toegang of ongeautoriseerde verwerking van persoonsgegevens.

De verwerkersovereenkomst bevat de afspraken tussen de verwerker en de verwerkingsverantwoordelijke over het verwerken van persoonsgegevens.

Diaweb verwerkt persoonsgegevens uitsluitend voor het ontvangen, verwerken, analyseren en terugrapporteren van psychodiagnostische testgegevens. Hieronder vallen onder meer het invoeren, berekenen, opslaan, genereren en beschikbaar stellen van testuitwerkingen.

Diaweb verwerkt de volgende persoonsgegevens in opdracht van jou om psychodiagnostische testen uit te werken.

• Het e-mailadres dat verbonden is aan je werk of opleiding.
• De organisatie waar je werkzaam bent en waar je cliënten een behandelrelatie mee hebben.
• De geboortedatum, het geslacht en het opleidingsniveau van je cliënten.
• De ruwe en geschaalde scores van je cliënten.

De gegevens van psychodiagnostische testen die worden verwerkt kunnen betrekking hebben op de gezondheid of het psychisch functioneren van cliënten en kunnen daarmee vallen onder de categorie bijzondere persoonsgegevens zoals bedoeld in de AVG.

Dit zijn de specifieke kenmerken van de verwerking.

• Onderwerp verwerking: verwerking van psychodiagnostische testgegevens.
• Duur verwerking: tijdens het abonnement en de noodzakelijke afhandeling daarna.
• Doel verwerking: uitwerken en rapporteren van psychodiagnostische testen.
• Categorieën betrokkenen: jij als gebruiker van diaweb en je cliënten.
• Categorieën persoonsgegevens: contactgegevens, accountgegevens, technische gegevens, demografische gegevens en testgegevens.
• Bijzondere persoonsgegevens: gegevens over psychisch functioneren en gezondheid.
• Verwerkingsactiviteiten: ontvangen, opslaan, berekenen, analyseren, rapporteren en verwijderen.

Diaweb verwerkt persoonsgegevens uitsluitend in jouw opdracht en alleen voor de uitvoering van de dienstverlening zoals beschreven in deze overeenkomst. We gebruiken persoonsgegevens nooit voor eigen doeleinden.

Persoonsgegevens worden niet aan andere partijen verstrekt, behalve aan de subverwerkers die nodig zijn om onze dienstverlening mogelijk te maken. Diaweb houdt zich daarbij aan de geldende wet- en regelgeving.

Diaweb verplicht zich tot geheimhouding van persoonsgegevens die in het kader van deze overeenkomst worden verwerkt. Deze verplichting geldt ook na beëindiging van de dienstverlening. Alleen medewerkers die noodzakelijkerwijs betrokken zijn bij de dienstverlening krijgen toegang tot persoonsgegevens. Toegang wordt verleend op basis van functie en noodzaak en wordt periodiek gecontroleerd.

Jij blijft verantwoordelijk voor de persoonsgegevens die je via diaweb verwerkt en bepaalt waarvoor en op welke manier deze worden verwerkt.

Als wij denken dat een instructie in strijd is met de AVG of andere privacywetgeving, laten we je dat zo snel mogelijk weten.

Als je redelijke vragen hebt over onze beveiligingsmaatregelen, geven we je daar graag inzicht in. Alleen wanneer er concrete aanwijzingen zijn dat diaweb deze overeenkomst mogelijk niet naleeft, kan een onafhankelijke audit worden afgesproken. Zo'n audit vindt plaats in overleg en zonder onze dienstverlening onnodig te verstoren. De kosten van een audit zijn voor jouw rekening, tenzij blijkt dat diaweb aantoonbaar tekortgeschoten is in de naleving van deze overeenkomst.

Wij kiezen technische en organisatorische beveiligingsmaatregelen die passen bij de aard van de persoonsgegevens en bij de omvang van diaweb. Daarbij volgen we actuele beveiligingsstandaarden en evalueren we onze beveiliging regelmatig. Daarbij gebruiken we onder andere:

• Monitoring van netwerkactiviteit.
• SSL/TLS voor versleutelde netwerkverbindingen.
• Passende authenticatiemaatregelen.
• Regelmatige versleutelde back-ups.
• Twee-factor-authenticatie voor toegang tot kritische systemen.
• Adequaat toegangsbeheer zodat alleen bevoegde personen toegang hebben tot persoonsgegevens.
• Toegang tot persoonsgegevens wordt waar mogelijk geregistreerd en gecontroleerd via logbestanden.

Persoonsgegevens worden uitsluitend verwerkt binnen de Europese Economische Ruimte (EER), tenzij we vooraf met jou andere afspraken maken die voldoen aan de eisen van de AVG.

Als zich een datalek of ander beveiligingsincident voordoet dat gevolgen kan hebben voor persoonsgegevens, informeren wij je zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij daarvan kennis hebben genomen. We informeren je daarbij over de aard, omvang, mogelijke gevolgen en genomen of geplande maatregelen.

Jij blijft verantwoordelijk voor een eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen, tenzij de wet anders bepaalt.

Diaweb neemt passende maatregelen om de gevolgen van een incident te beperken en herhaling zoveel mogelijk te voorkomen.

Ontvangen wij een vraag of verzoek van een cliënt over zijn of haar persoonsgegevens, dan sturen wij die zo snel mogelijk aan je door.

Jij beoordeelt vervolgens hoe op dat verzoek moet worden gereageerd. Uiteraard helpen wij je daarbij voor zover dat redelijkerwijs nodig is.

Diaweb mag gebruikmaken van subverwerkers die noodzakelijk zijn voor het leveren, beveiligen en onderhouden van de dienstverlening. Diaweb informeert je vooraf over nieuwe subverwerkers of wijzigingen in bestaande subverwerkers. Je kunt binnen een redelijke termijn gemotiveerd bezwaar maken tegen een voorgenomen wijziging. Indien het bezwaar niet kan worden opgelost, bespreken we een passende oplossing. Indien geen oplossing wordt bereikt, kan je de dienstverlening beëindigen.

Diaweb zorgt ervoor dat met iedere subverwerker afspraken worden gemaakt die minimaal hetzelfde beschermingsniveau bieden als deze verwerkersovereenkomst. Diaweb zorgt ervoor dat subverwerkers verplicht zijn beveiligingsincidenten zonder onredelijke vertraging aan diaweb te melden.

Diaweb maakt gebruik van Qweb als subverwerker voor de hosting. Alle opslag en gegevensverwerking vindt plaats in Nederland op goed beveiligde servers.

Diaweb gebruikt geen generatieve AI-systemen of externe AI-diensten voor het verwerken van persoonsgegevens van cliënten. Persoonsgegevens van cliënten worden niet gebruikt voor het trainen of verbeteren van AI-modellen.

Diaweb is alleen aansprakelijk voor schade die rechtstreeks voortvloeit uit een toerekenbare tekortkoming van diaweb bij het naleven van deze verwerkersovereenkomst.

De aansprakelijkheid van diaweb is beperkt tot vergoeding van directe schade, met een maximum van de abonnementsprijs over één jaar, tenzij sprake is van opzet of bewuste roekeloosheid.

Diaweb is niet aansprakelijk voor schade die ontstaat doordat persoonsgegevens onjuist of onrechtmatig aan diaweb zijn verstrekt of doordat accounts onvoldoende zijn beveiligd, bijvoorbeeld door een zwak wachtwoord of het ontbreken van twee-factor-authenticatie.

Je kunt tijdens de dienstverlening altijd kiezen voor export van persoonsgegevens in een gangbaar digitaal formaat. Na beëindiging van de dienstverlening verwijdert diaweb persoonsgegevens uit actieve systemen uiterlijk binnen 1 dag, tenzij technische processen een langere termijn noodzakelijk maken.

Diaweb bewaart zo min mogelijk persoonsgegevens en niet langer dan noodzakelijk. De specifieke bewaartermijn wordt duidelijk vermeld bij het betreffende abonnement.

De verwerking vindt plaats gedurende de looptijd van de dienstverlening, gedurende de overeengekomen bewaartermijn en gedurende eventuele noodzakelijke afhandeling na beëindiging daarvan, zoals het exporteren of verwijderen van persoonsgegevens.

Jij verklaart dat je bevoegd bent om de persoonsgegevens via diaweb te verwerken en dat daarvoor een geldige grondslag bestaat volgens de AVG. Je blijft verantwoordelijk voor:

• de rechtmatigheid van de verwerking;
• het informeren van betrokkenen;
• het afhandelen van verzoeken van betrokkenen;
• het naleven van de AVG en andere toepasselijke wetgeving.

We proberen eventuele geschillen eerst samen op te lossen. Lukt dat niet, dan is Nederlands recht van toepassing en leggen we het geschil voor aan de bevoegde Nederlandse rechter.

Privacywetgeving en onze dienstverlening kunnen veranderen. Daarom kunnen we deze verwerkersovereenkomst van tijd tot tijd aanpassen. Als een wijziging belangrijk is voor jouw rechten of plichten, informeren we je vooraf.