Verwerkersovereenkomst

1.1Verwerkingsverantwoordelijke: de apotheek of zorgorganisatie die de dienst gebruikt. Verwerker: Pharmail BV, Burg. de Zeeuwstraat 22a, 3281 AJ Numansdorp, KvK 42148522, handelend onder de naam pharmalytic.nl.

1.2Verwerker verwerkt persoonsgegevens uitsluitend in opdracht en volgens de instructies van verwerkingsverantwoordelijke, behoudens een wettelijke verplichting die anders bepaalt.

1.3Let op de uitvoeringsdienst. Indien is overeengekomen dat Pharmail BV de medicatiebeoordelingen zelf uitvoert, treedt Pharmail BV voor die werkzaamheden niet op als verwerker maar als onderaannemer in de zorg. Voor die situatie gelden aanvullende afspraken die in de uitvoeringsovereenkomst worden vastgelegd; deze verwerkersovereenkomst blijft van toepassing op het gebruik van de software.

2.1De verwerking betreft het uitvoeren en vastleggen van medicatiebeoordelingen en de communicatie daarover met patiënten en huisartsen.

2.2Deze overeenkomst geldt zolang verwerker persoonsgegevens verwerkt in opdracht van verwerkingsverantwoordelijke, en eindigt gelijktijdig met de onderliggende overeenkomst.

3.1Betrokkenen: patiënten van de apotheek, medewerkers van de apotheek en huisartsen.

3.2Gewone persoonsgegevens: naam, patiëntnummer, geboortedatum, geslacht, e-mailadres, verzekeraar en de naam van de huisarts.

3.3Bijzondere persoonsgegevens (gezondheidsgegevens, AVG artikel 9): medicatiegegevens, labwaarden, diagnoses, antwoorden op de anamnese en de uitkomst van de beoordeling. Verwerking vindt plaats op grond van artikel 9 lid 2 onder h AVG, ten behoeve van gezondheidszorg, onder de geheimhoudingsplicht van artikel 9 lid 3.

4.1Verwerker treft passende technische en organisatorische maatregelen, waaronder versleuteling van gegevens onderweg en in rust, toegangsbeperking per organisatie op databaseniveau, tweestapsverificatie bij het inloggen, en een beperkte bewaartermijn voor inhoudelijke gegevens.

4.2Toegang tot gegevens is beperkt tot personen voor wie dat noodzakelijk is. Op hen rust een geheimhoudingsplicht die de duur van de overeenkomst overstijgt.

4.3Patiëntlinks zijn voorzien van een niet-raadbaar token, verlopen na een beperkte periode en zijn aanvullend afgeschermd met een controle op de geboortedatum, met een limiet op het aantal pogingen.

4.4Verwerker legt vast wie welk patiëntdossier heeft geraadpleegd of gewijzigd, met tijdstip en handeling. Deze logging is gericht op de eisen die NEN 7513 aan het vastleggen van toegang tot patiëntgegevens stelt. Verwerkingsverantwoordelijke kan deze logging inzien voor de eigen organisatie.

4.5Loggegevens worden gescheiden van de inhoudelijke gegevens bewaard en blijven na het opschonen van de inhoudelijke gegevens beschikbaar, zodat achteraf te herleiden is wie toegang heeft gehad.

5.1Verwerkingsverantwoordelijke geeft toestemming voor het inschakelen van de volgende subverwerkers:

5.2Verwerker meldt een voorgenomen wijziging in deze lijst ten minste dertig dagen vooraf. Bij bezwaar mag verwerkingsverantwoordelijke de overeenkomst opzeggen tegen de ingangsdatum van de wijziging.

5.3Verwerker legt aan elke subverwerker verplichtingen op die niet lichter zijn dan die in deze overeenkomst.

5a.1Het taalmodel ontvangt uitsluitend wat voor de betreffende stap noodzakelijk is en nooit het volledige patiëntbeeld: bij het inlezen een afgedekte afbeelding van een medicatiestatus, laboverzicht of episodelijst; bij vertaling de vraagteksten; bij de terugkoppeling de afgesproken wijzigingen; bij de SOEP-notitie leeftijd, geslacht, medicatie en antwoorden. Naam, geboortedatum, BSN, adres, patiëntnummer en de naam van de huisarts worden niet meegestuurd. De koppeling tussen persoon en gegevens bestaat uitsluitend in de database van verwerker binnen de EER.

5a.2Partijen beschouwen de aan het taalmodel aangeboden gegevens als niet redelijkerwijs herleidbaar tot een persoon, mits verwerkingsverantwoordelijke de werkinstructie volgt en identificerende gegevens buiten beeld houdt of afdekt. Verwerker behandelt deze gegevens niettemin uit voorzorg als gepseudonimiseerde persoonsgegevens, met alle waarborgen van deze overeenkomst. Blijkt in een concreet geval dat herleiding toch mogelijk is, dan gelden de bepalingen van deze overeenkomst over persoonsgegevens onverkort.

5a.3In de standaardconfiguratie draait het taalmodel bij Amazon Web Services in Frankfurt (Bedrock). Amazon slaat invoer en uitvoer niet op, deelt deze niet met de modelleverancier en gebruikt deze niet voor het trainen van modellen. De actuele instelling is openbaar in te zien op de pagina Beveiliging van verwerker.

5a.4Uitsluitend indien de EU-leveranciers niet beschikbaar zijn kan de directe API van Anthropic (Verenigde Staten) als terugvaloptie worden gebruikt, op basis van de standaardcontractbepalingen van de Europese Commissie en de commerciële voorwaarden van Anthropic, waaronder: geen gebruik voor het trainen van modellen en verwijdering van invoer en uitvoer binnen dertig dagen, tenzij een nul-bewaartermijn is overeengekomen. Verwerker meldt het inschakelen van deze terugvaloptie aan verwerkingsverantwoordelijke.

5a.5Voor het verzenden van e-mail kan Resend gegevens buiten de EER verwerken, op basis van de standaardcontractbepalingen. De overige subverwerkers verwerken de gegevens binnen de EER.

6.1De inhoudelijke gegevens van een afgeronde beoordeling worden na de door verwerkingsverantwoordelijke ingestelde bewaartermijn verwijderd. Vóór verwijdering wordt een volledige kopie van het rapport verstuurd naar het opgegeven ZorgMail-adres.

6.2Er worden geen gegevens verwijderd zolang die archiefkopie niet aantoonbaar is verstuurd. De wettelijke bewaarplicht op het patiëntdossier rust op verwerkingsverantwoordelijke.

6.3Na afloop van de overeenkomst verwijdert verwerker alle persoonsgegevens, na een exporttermijn van dertig dagen, tenzij een wettelijke bewaarplicht anders bepaalt.

7.1Verwerker meldt een inbreuk in verband met persoonsgegevens onverwijld en uiterlijk binnen 36 uur na ontdekking aan verwerkingsverantwoordelijke, zodat deze de wettelijke termijn van 72 uur kan halen.

7.2De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën gegevens en het aantal betrokkenen voor zover bekend, de vermoedelijke gevolgen, de getroffen en voorgenomen maatregelen, en een contactpersoon bij verwerker. Ontbrekende informatie wordt zo spoedig mogelijk nagezonden.

7.3Verwerker houdt een register bij van inbreuken en stelt dat op verzoek beschikbaar aan verwerkingsverantwoordelijke.

7.4De melding aan de Autoriteit Persoonsgegevens en, waar nodig, aan betrokkenen is de verantwoordelijkheid van verwerkingsverantwoordelijke. Verwerker verleent daarbij de medewerking die redelijkerwijs nodig is, waaronder het aanleveren van loggegevens.

7.5Verwerker doet zelf geen melding aan de toezichthouder of aan betrokkenen namens verwerkingsverantwoordelijke, tenzij daar schriftelijk om is verzocht.

8.1Verzoeken van betrokkenen om inzage, correctie, verwijdering of overdracht worden door verwerkingsverantwoordelijke afgehandeld. Verwerker verleent daarbij de redelijkerwijs benodigde medewerking.

8.2Verwerker ondersteunt verwerkingsverantwoordelijke bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij overleg met de toezichthouder, voor zover dat redelijkerwijs van verwerker kan worden verlangd.

8a.1Verwerker verplicht iedere persoon die onder zijn gezag toegang heeft tot de persoonsgegevens tot geheimhouding, tenzij een wettelijk voorschrift hem tot mededeling verplicht. Deze verplichting blijft na afloop van de overeenkomst van kracht.

8a.2Voor de apotheker die de uitvoeringsdienst verricht geldt daarnaast het beroepsgeheim op grond van de wet.

8b.1Bij beëindiging van de overeenkomst stelt verwerker de persoonsgegevens gedurende dertig dagen beschikbaar in een gangbaar, machineleesbaar formaat.

8b.2Na die termijn verwijdert verwerker de persoonsgegevens uit de productieomgeving en uit de back-ups, met inachtneming van de reguliere back-upcyclus van maximaal dertig dagen, tenzij een wettelijke bewaarplicht zich daartegen verzet.

8b.3Verwerker bevestigt de verwijdering op verzoek schriftelijk.

9.1Verwerkingsverantwoordelijke mag eenmaal per jaar de naleving van deze overeenkomst laten controleren door een onafhankelijke deskundige die tot geheimhouding is gehouden, na een aankondiging van dertig dagen.

9.2De kosten van de audit komen voor rekening van verwerkingsverantwoordelijke, tenzij daaruit een wezenlijke tekortkoming van verwerker blijkt.

10.1Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden gaat deze verwerkersovereenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

10.2Op deze overeenkomst is Nederlands recht van toepassing. Vragen kunnen worden gesteld via info@pharmail.nl.