Verwerkersovereenkomst

1.1Verwerkingsverantwoordelijke: de apotheek of zorgorganisatie die de dienst gebruikt. Verwerker: Pharmail BV, Burg. de Zeeuwstraat 22a, 3281 AJ Numansdorp, KvK 42148522, handelend onder de naam pharmalytic.nl.

1.2Verwerker verwerkt persoonsgegevens uitsluitend in opdracht en volgens de instructies van verwerkingsverantwoordelijke, behoudens een wettelijke verplichting die anders bepaalt.

1.3Deze overeenkomst wordt namens verwerkingsverantwoordelijke aanvaard door de beheerder van het account bij het aanmaken daarvan en bij iedere nieuwe versie. De beheerder verklaart daartoe bevoegd te zijn. Medewerkers die door de beheerder worden uitgenodigd, werken onder deze overeenkomst en hoeven niet afzonderlijk te aanvaarden. Verwerker legt van iedere aanvaarding vast: de versie, het tijdstip en het account dat aanvaardde.

1.4Let op de uitvoeringsdienst. Indien is overeengekomen dat Pharmail BV de medicatiebeoordelingen zelf uitvoert, treedt Pharmail BV voor die werkzaamheden niet op als verwerker maar als onderaannemer in de zorg. Voor die situatie gelden aanvullende afspraken die in de uitvoeringsovereenkomst worden vastgelegd; deze verwerkersovereenkomst blijft van toepassing op het gebruik van de software.

2.1De verwerking betreft het uitvoeren en vastleggen van medicatiebeoordelingen en de communicatie daarover met patiënten en huisartsen.

2.2Deze overeenkomst geldt zolang verwerker persoonsgegevens verwerkt in opdracht van verwerkingsverantwoordelijke, en eindigt gelijktijdig met de onderliggende overeenkomst.

3.1Betrokkenen: patiënten van de apotheek, medewerkers van de apotheek en huisartsen.

3.2Gewone persoonsgegevens: naam, patiëntnummer, geboortedatum, geslacht, e-mailadres, verzekeraar en de naam van de huisarts.

3.3Bijzondere persoonsgegevens (gezondheidsgegevens, AVG artikel 9): medicatiegegevens, labwaarden, diagnoses, antwoorden op de anamnese en de uitkomst van de beoordeling. Verwerking vindt plaats op grond van artikel 9 lid 2 onder h AVG, ten behoeve van gezondheidszorg, onder de geheimhoudingsplicht van artikel 9 lid 3.

3.4Onder de antwoorden op de anamnese valt ook de tussenstand die de patiënt achterlaat wanneer hij de vragenlijst in twee delen invult en na het eerste deel stopt; die tussenstand wordt onder dezelfde waarborgen bewaard en gaat bij het insturen van het tweede deel in de anamnese op. Is de functie van artikel 5b ingeschakeld, dan valt ook het transcript van het anamnesegesprek onder deze categorie.

4.1Verwerker treft passende technische en organisatorische maatregelen, waaronder versleuteling van gegevens onderweg en in rust, toegangsbeperking per organisatie op databaseniveau, tweestapsverificatie bij het inloggen, en een beperkte bewaartermijn voor inhoudelijke gegevens.

4.2Toegang tot gegevens is beperkt tot personen voor wie dat noodzakelijk is. Op hen rust een geheimhoudingsplicht die de duur van de overeenkomst overstijgt.

4.3Patiëntlinks zijn voorzien van een niet-raadbaar token, verlopen na een beperkte periode en zijn aanvullend afgeschermd met een controle op de geboortedatum, met een limiet op het aantal pogingen.

4.4Verwerker legt vast wie welk patiëntdossier heeft geraadpleegd of gewijzigd, met tijdstip en handeling. Deze logging is gericht op de eisen die NEN 7513 aan het vastleggen van toegang tot patiëntgegevens stelt. Verwerkingsverantwoordelijke kan deze logging inzien voor de eigen organisatie.

4.5Loggegevens worden gescheiden van de inhoudelijke gegevens bewaard en blijven na het opschonen van de inhoudelijke gegevens beschikbaar, zodat achteraf te herleiden is wie toegang heeft gehad.

5.1Verwerkingsverantwoordelijke geeft toestemming voor het inschakelen van de volgende subverwerkers:

5.2Verwerker meldt een voorgenomen wijziging in deze lijst ten minste dertig dagen vooraf. Bij bezwaar mag verwerkingsverantwoordelijke de overeenkomst opzeggen tegen de ingangsdatum van de wijziging.

5.3Verwerker legt aan elke subverwerker verplichtingen op die niet lichter zijn dan die in deze overeenkomst.

5a.1Het taalmodel ontvangt uitsluitend wat voor de betreffende stap noodzakelijk is en nooit het volledige patiëntbeeld: bij het inlezen een afgedekte afbeelding van een medicatiestatus, laboverzicht of episodelijst; bij vertaling de vraagteksten; bij de terugkoppeling de afgesproken wijzigingen; bij de SOEP-notitie leeftijd, geslacht, medicatie en antwoorden. Naam, geboortedatum, BSN, adres, patiëntnummer en de naam van de huisarts worden niet meegestuurd. De koppeling tussen persoon en gegevens bestaat uitsluitend in de database van verwerker binnen de EER.

5a.2Partijen beschouwen de aan het taalmodel aangeboden gegevens als niet redelijkerwijs herleidbaar tot een persoon, mits verwerkingsverantwoordelijke de werkinstructie volgt en identificerende gegevens buiten beeld houdt of afdekt. Verwerker behandelt deze gegevens niettemin uit voorzorg als gepseudonimiseerde persoonsgegevens, met alle waarborgen van deze overeenkomst. Blijkt in een concreet geval dat herleiding toch mogelijk is, dan gelden de bepalingen van deze overeenkomst over persoonsgegevens onverkort.

5a.3In de standaardconfiguratie draait het taalmodel bij Amazon Web Services in Frankfurt (Bedrock). Amazon slaat invoer en uitvoer niet op, deelt deze niet met de modelleverancier en gebruikt deze niet voor het trainen van modellen. Het loggen van modelaanroepen (model invocation logging) is in het AWS-account van verwerker uitgeschakeld. Verwerker bewaart zelf evenmin de invoer of uitvoer van het taalmodel; alleen het gestructureerde resultaat dat de apotheker bevestigt wordt opgeslagen. De actuele instelling is openbaar in te zien op de pagina Beveiliging van verwerker.

5a.4Uitsluitend indien de EU-leveranciers niet beschikbaar zijn kan de directe API van Anthropic (Verenigde Staten) als terugvaloptie worden gebruikt, op basis van de standaardcontractbepalingen van de Europese Commissie en de commerciële voorwaarden van Anthropic, waaronder: geen gebruik voor het trainen van modellen en verwijdering van invoer en uitvoer binnen dertig dagen, tenzij een nul-bewaartermijn is overeengekomen. Verwerker meldt het inschakelen van deze terugvaloptie aan verwerkingsverantwoordelijke.

5a.5Voor het verzenden van e-mail kan Resend gegevens buiten de EER verwerken, op basis van de standaardcontractbepalingen. De overige subverwerkers verwerken de gegevens binnen de EER.

5b.1De functie "AI luistert mee" is standaard uitgeschakeld en wordt uitsluitend actief wanneer verwerker op verzoek van verwerkingsverantwoordelijke een aanbieder van spraakherkenning instelt. Zonder die instelling verwerkt de dienst geen geluid.

5b.2Per gesprek legt de medewerker van verwerkingsverantwoordelijke vast dat de patiënt is geïnformeerd en instemt met de opname; zonder die vastlegging start de opname niet. Het tijdstip van de toestemming wordt bij de anamnese bewaard.

5b.3De opname wordt in de browser van de medewerker gemaakt, in korte delen uitsluitend ter omzetting naar tekst aan de subverwerker voor spraakherkenning aangeboden via een endpoint binnen de EER, en wordt noch door verwerker noch door de subverwerker bewaard. Naam, geboortedatum en patiëntnummer gaan niet mee.

5b.4Het transcript wordt versleuteld bij de anamnese bewaard (art. 6 en 7 zijn onverkort van toepassing) en is voor de medewerkers van verwerkingsverantwoordelijke terug te lezen. Het taalmodel (art. 5a) zet het transcript om in een voorstel voor de antwoorden en, op verzoek, een zakelijke samenvatting; dit voorstel wordt in het scherm gemarkeerd en wordt pas onderdeel van het dossier nadat de medewerker het heeft gecontroleerd en opgeslagen. De dienst trekt hieruit geen zelfstandige medische conclusies.

5b.5Verwerkingsverantwoordelijke draagt zorg voor de informatie aan de patiënt over de opname en de grondslag daarvoor, en kan de functie te allen tijde laten uitschakelen; eerder opgeslagen transcripten vallen dan onder de gewone bewaartermijn van de anamnese.

5c.1De anamnese bevat vragen over roken, alcohol en bewegen. Op uitdrukkelijk verzoek van de patiënt, vastgelegd in de anamnese, kan een medewerker van verwerkingsverantwoordelijke de patiënt doorsturen naar een begeleider of programma dat verwerkingsverantwoordelijke zelf per thema heeft ingesteld (naam en e-mailadres).

5c.2Verwerker verzendt daartoe in opdracht van verwerkingsverantwoordelijke één e-mail met uitsluitend naam, geboortedatum, telefoonnummer en het antwoord van de patiënt op de betreffende vraag. Medicatie, labwaarden, overige antwoorden en het rapport gaan niet mee. De ontvanger is geen subverwerker van verwerker; verwerkingsverantwoordelijke is verantwoordelijk voor de keuze van de ontvanger, de grondslag voor de verstrekking en de afspraken met die ontvanger.

5c.3Zonder vastgelegde wens van de patiënt tot hulp blokkeert de dienst het doorsturen. Het tijdstip van iedere verzending wordt bij de anamnese en in de auditlog (art. 4.4) vastgelegd.

6.1De inhoudelijke gegevens van een afgeronde beoordeling worden na de door verwerkingsverantwoordelijke ingestelde bewaartermijn verwijderd. Vóór verwijdering wordt een volledige kopie van het rapport verstuurd naar het opgegeven ZorgMail-adres.

6.2Er worden geen gegevens verwijderd zolang die archiefkopie niet aantoonbaar is verstuurd. De wettelijke bewaarplicht op het patiëntdossier rust op verwerkingsverantwoordelijke.

6.3Na afloop van de overeenkomst verwijdert verwerker alle persoonsgegevens, na een exporttermijn van dertig dagen, tenzij een wettelijke bewaarplicht anders bepaalt.

6.4De vastlegging van de aanvaarding van deze overeenkomst (art. 1.3) en de auditlog van toegang tot patiëntgegevens (art. 4.4) worden na afloop van de overeenkomst nog zeven jaar bewaard, zonder inhoudelijke gegevens, zodat achteraf aantoonbaar blijft wie wanneer waarmee heeft ingestemd en wie toegang had.

7.1Verwerker meldt een inbreuk in verband met persoonsgegevens onverwijld en uiterlijk binnen 36 uur na ontdekking aan verwerkingsverantwoordelijke, zodat deze de wettelijke termijn van 72 uur kan halen.

7.2De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën gegevens en het aantal betrokkenen voor zover bekend, de vermoedelijke gevolgen, de getroffen en voorgenomen maatregelen, en een contactpersoon bij verwerker. Ontbrekende informatie wordt zo spoedig mogelijk nagezonden.

7.3Verwerker houdt een register bij van inbreuken en stelt dat op verzoek beschikbaar aan verwerkingsverantwoordelijke.

7.4De melding aan de Autoriteit Persoonsgegevens en, waar nodig, aan betrokkenen is de verantwoordelijkheid van verwerkingsverantwoordelijke. Verwerker verleent daarbij de medewerking die redelijkerwijs nodig is, waaronder het aanleveren van loggegevens.

7.5Verwerker doet zelf geen melding aan de toezichthouder of aan betrokkenen namens verwerkingsverantwoordelijke, tenzij daar schriftelijk om is verzocht.

8.1Verzoeken van betrokkenen om inzage, correctie, verwijdering of overdracht worden door verwerkingsverantwoordelijke afgehandeld. Verwerker verleent daarbij de redelijkerwijs benodigde medewerking.

8.2Verwerker ondersteunt verwerkingsverantwoordelijke bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij overleg met de toezichthouder, voor zover dat redelijkerwijs van verwerker kan worden verlangd.

8a.1Verwerker verplicht iedere persoon die onder zijn gezag toegang heeft tot de persoonsgegevens tot geheimhouding, tenzij een wettelijk voorschrift hem tot mededeling verplicht. Deze verplichting blijft na afloop van de overeenkomst van kracht.

8a.2Voor de apotheker die de uitvoeringsdienst verricht geldt daarnaast het beroepsgeheim op grond van de wet.

8b.1Bij beëindiging van de overeenkomst stelt verwerker de persoonsgegevens gedurende dertig dagen beschikbaar in een gangbaar, machineleesbaar formaat.

8b.2Na die termijn verwijdert verwerker de persoonsgegevens uit de productieomgeving en uit de back-ups, met inachtneming van de reguliere back-upcyclus van maximaal dertig dagen, tenzij een wettelijke bewaarplicht zich daartegen verzet.

8b.3Verwerker bevestigt de verwijdering op verzoek schriftelijk.

9.1Verwerkingsverantwoordelijke mag eenmaal per jaar de naleving van deze overeenkomst laten controleren door een onafhankelijke deskundige die tot geheimhouding is gehouden, na een aankondiging van dertig dagen.

9.2De kosten van de audit komen voor rekening van verwerkingsverantwoordelijke, tenzij daaruit een wezenlijke tekortkoming van verwerker blijkt.

10.1Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden (https://pharmalytic.nl/voorwaarden) gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

10.2Op deze overeenkomst is Nederlands recht van toepassing. Vragen kunnen worden gesteld via info@pharmail.nl.