Verwerkersovereenkomst
Een afsprakensysteem voor een zorgpraktijk verwerkt gezondheidsgegevens. Daarom hoort bij MedPlan een verwerkersovereenkomst volgens artikel 28 van de AVG. Dit is de tekst die we met elke praktijk afsluiten; je krijgt ze bij de start ook als ondertekend document.
Versie van 2026-11-05.
1. Partijen en rollen
De praktijk is verwerkingsverantwoordelijke: zij bepaalt waarom en hoe de gegevens van haar patiënten verwerkt worden. ROKR Services BV (Meidoornlaan 49, 9230 Wetteren, BE 0788.717.490) is verwerker en verwerkt die gegevens uitsluitend in opdracht van de praktijk.
2. Voorwerp en duur
De verwerking gebeurt om het afsprakensysteem te kunnen leveren: het online boeken van afspraken, het bijhouden van patiëntenfiches en het versturen van bevestigingen en herinneringen. Deze overeenkomst loopt zolang de praktijk MedPlan gebruikt.
3. Over wie en welke gegevens het gaat
Betrokkenen: de patiënten van de praktijk en de medewerkers die met het systeem werken.
Gegevens:
- Identificatie en contact: naam, adres, e-mailadres, telefoonnummer, geboortedatum.
- Administratief: ziekenfonds, recht op verhoogde tegemoetkoming, een foto van het kleefbriefje, kadaster- en factuurnummer, betaalde en openstaande bedragen.
- Afspraakgegevens: datum, uur, locatie, type consult, annuleringen.
- Gezondheidsgegevens (artikel 9 AVG): het feit dat iemand begeleiding volgt, de notities die de zorgverstrekker bij een consult maakt en de documenten die zij aan een fiche hangt.
Wij verwerken die gegevens niet voor eigen doeleinden, gebruiken ze niet voor reclame en verkopen ze niet.
4. Alleen op instructie
Wij verwerken de gegevens enkel volgens de schriftelijke instructies van de praktijk, behalve wanneer een wettelijke verplichting ons iets anders oplegt. In dat laatste geval brengen we de praktijk vooraf op de hoogte, tenzij de wet dat verbiedt. Vinden we dat een instructie in strijd is met de privacywetgeving, dan zeggen we dat.
5. Vertrouwelijkheid
Iedereen bij ons die toegang heeft tot de gegevens, is tot geheimhouding gehouden. Toegang krijgt alleen wie ze nodig heeft voor onderhoud of ondersteuning, en alleen zolang dat nodig is.
6. Beveiliging
We nemen onder meer de volgende maatregelen:
- Alle verkeer verloopt over een versleutelde verbinding (TLS) met een geldig certificaat.
- Elke praktijk heeft een eigen database; gegevens van verschillende praktijken staan niet door elkaar.
- Wachtwoorden worden niet bewaard, enkel versleuteld opgeslagen met een eenrichtingsfunctie.
- Documenten en kleefbriefjes zijn niet rechtstreeks via een webadres op te vragen, alleen na aanmelden.
- Elke nacht een back-up, met een bewaartermijn van veertien dagen.
- Toegang tot de servers verloopt via sleutels, niet via wachtwoorden, en enkel vanaf bekende adressen.
- Software en servers worden actueel gehouden met beveiligingsupdates.
7. Andere partijen die we inschakelen
Voor een deel van de dienst doen we een beroep op anderen. De praktijk geeft daarvoor haar algemene toestemming. Nemen we een nieuwe partij erbij, dan melden we dat minstens dertig dagen vooraf, zodat de praktijk bezwaar kan maken.
| Partij | Waarvoor | Waar |
|---|---|---|
| ROKR Services BV (eigen servers) | Hosting van toepassing en database | België en Frankrijk (EU) |
| OVH SAS | Datacenter voor een deel van de servers | Gravelines, Frankrijk (EU) |
| Smsbox | Versturen van sms-berichten | België (EU) |
Alle verwerking gebeurt binnen de Europese Economische Ruimte. Er worden geen gegevens doorgegeven naar landen buiten de EER.
8. Hulp bij vragen van patiënten
Vraagt een patiënt inzage, verbetering of verwijdering, dan behandelt de praktijk die vraag. Wij helpen daarbij met de technische middelen die nodig zijn — een export, een correctie of een verwijdering — en rekenen daar niets extra voor aan.
9. Gegevenslekken
Stellen we een inbreuk in verband met persoonsgegevens vast, dan verwittigen we de praktijk zonder onredelijke vertraging en in elk geval binnen achtenveertig uur, met wat we weten over de aard van de inbreuk, de betrokken gegevens, de vermoedelijke gevolgen en de maatregelen die we genomen hebben. De melding aan de Gegevensbeschermingsautoriteit doet de praktijk; wij leveren de informatie die ze daarvoor nodig heeft.
10. Op het einde
Stopt de samenwerking, dan bezorgen we binnen dertig dagen een export van de patiënten en de afspraken in een leesbaar formaat (Excel en pdf). Daarna verwijderen we de gegevens uit de actieve omgeving; back-ups verdwijnen mee met hun gewone bewaartermijn van veertien dagen. Op vraag bevestigen we de verwijdering schriftelijk.
11. Controle
De praktijk mag nagaan of we ons aan deze afspraken houden: ze kan ons vragen om de nodige informatie, of na afspraak een controle laten uitvoeren. We werken daaraan mee en stellen de informatie ter beschikking die nodig is om de naleving aan te tonen.
12. Verhouding tot de andere afspraken
Bij tegenstrijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden, geldt wat hier staat voor alles wat met de verwerking van persoonsgegevens te maken heeft. Het Belgische recht is van toepassing.