Verwerkersovereenkomst

De behandelaar is verwerkingsverantwoordelijke in de zin van artikel 4, 7) AVG. Die bepaalt de doeleinden en de middelen van de verwerking van de gegevens van zijn of haar patiënten en blijft als enige verantwoordelijk voor de klinische inhoud, de therapeutische beslissingen en de naleving van de eigen deontologische code.

Playfield SRL (ondernemingsnummer 0833.702.033), met zetel te Chemin de Toune 4, 1325 Chaumont-Gistoux, België, uitgever van Theramate, is verwerker in de zin van artikel 4, 8). Zij verwerkt deze gegevens voor rekening van de behandelaar en volgens diens instructies.

Deze overeenkomst vormt de rechtshandeling die artikel 28, lid 3 AVG vereist. Zij is gevoegd bij de Algemene Gebruiksvoorwaarden en wordt samen met die voorwaarden aanvaard. Een medeondertekend exemplaar wordt op verzoek bezorgd.

Voorwerp: het ter beschikking stellen van Theramate, een hulpmiddel voor praktijkbeheer, het bijhouden van het klinisch dossier en schrijfondersteuning. Duur: die van de hoofdovereenkomst, vervolgens de termijnen van artikel 8.

Playfield SRL verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de behandelaar. Deze voorwaarden, deze overeenkomst en het gebruik van de functionaliteiten vormen die instructies.

Playfield SRL licht de behandelaar zonder onnodige vertraging in indien zij van oordeel is dat een instructie in strijd is met de AVG of met het Belgisch recht, en kan de uitvoering ervan opschorten tot er duidelijkheid is.

Wanneer een wettelijke verplichting een verwerking buiten die instructies oplegt, wordt de behandelaar daarover vooraf ingelicht, tenzij de wet dat verbiedt.

Elke persoon die gemachtigd is om de gegevens te verwerken, is contractueel of wettelijk tot vertrouwelijkheid gehouden; die verplichting blijft gelden na afloop van zijn of haar opdracht.

Verbintenis om niet te lezen: het team van Theramate leest geen klinische inhoud. De technische toegangen die nodig zijn voor de werking, de ondersteuning of de beveiliging zijn beperkt tot een bij naam bepaalde groep, worden gelogd en dienen niet om dossiers te lezen, behalve op uw uitdrukkelijk verzoek, bijvoorbeeld wanneer u ons om hulp vraagt bij een bepaald dossier, of op grond van een geldige wettelijke verplichting.

Playfield SRL past de technische en organisatorische maatregelen toe die in Bijlage II worden beschreven, overeenkomstig artikel 32 AVG.

Bijlage II beschrijft de huidige stand van die maatregelen. Zij evolueren mee met de techniek en de infrastructuur en kunnen worden vervangen door andere maatregelen die een minstens gelijkwaardig beschermingsniveau bieden.

De behandelaar verleent een algemene toestemming voor de subverwerkers die in Bijlage III zijn opgesomd.

Toevoeging of vervanging: Playfield SRL licht de behandelaar minstens 30 dagen vóór de ingebruikname in, per e-mail en door de op deze pagina gepubliceerde lijst bij te werken. Zij verbindt zich er bovendien toe elke nieuwe subverwerker aan te kondigen die klinische inhoud verwerkt, ook wanneer de wijziging gering lijkt.

Dringende vervanging: wordt een subverwerker onbeschikbaar of bestaat er een bevestigd veiligheidsrisico, dan kan Playfield SRL hem zonder voorafgaande kennisgeving vervangen om de dienst in stand te houden of de gegevens te beschermen. De behandelaar wordt onverwijld ingelicht; het recht van bezwaar geldt dan achteraf, onder dezelfde voorwaarden.

Bezwaar: de behandelaar kan binnen 30 dagen gemotiveerd bezwaar maken. De partijen zoeken dan te goeder trouw een oplossing. Bij gebreke daarvan kan de behandelaar opzeggen zonder schadevergoeding, met terugbetaling pro rata van de betaalde en niet-gebruikte periode.

Doorgifte van de verplichtingen: Playfield SRL legt elke subverwerker bij overeenkomst gelijkwaardige verplichtingen op en blijft volledig aansprakelijk voor de nakoming ervan.

Playfield SRL stelt de behandelaar de functionaliteiten ter beschikking waarmee die kan antwoorden op de verzoeken van zijn of haar patiënten inzake inzage, verbetering, wissing, beperking, overdraagbaarheid en bezwaar.

Kan een verzoek niet via die functionaliteiten worden ingewilligd, dan verleent Playfield SRL bijstand aan de behandelaar binnen een redelijke termijn en kosteloos. Overeenkomstig artikel 12, lid 5 AVG kan een bijdrage in de kosten worden gevraagd voor kennelijk ongegronde of buitensporige verzoeken, en voor verzoeken waarvan de omvang een gebruikelijke bijstand kennelijk overstijgt.

Een verzoek van een betrokkene dat rechtstreeks aan Playfield SRL wordt gericht, wordt onverwijld aan de behandelaar doorgestuurd; Playfield SRL beantwoordt het niet zelf.

Playfield SRL stelt de behandelaar binnen 48 uur in kennis nadat zij de zekerheid heeft verkregen dat er een inbreuk is. Die termijn loopt vanaf de bevestiging, niet vanaf de eerste aanwijzing.

De kennisgeving vermeldt, voor zover mogelijk: de aard van de inbreuk, de categorieën en het geraamde aantal betrokken personen en gegevens, de waarschijnlijke gevolgen en de genomen maatregelen. Ontbrekende gegevens worden later aangevuld, zonder te wachten op een volledig beeld.

Playfield SRL staat de behandelaar bij in diens eigen verplichtingen uit de artikelen 32 tot 36, in het bijzonder de melding aan de toezichthoudende autoriteit binnen 72 uur.

Na opzegging behoudt de behandelaar gedurende twaalf (12) maanden kosteloze toegang in lezen en exporteren tot alle gegevens. Vloeit de opzegging voort uit een ernstige tekortkoming van de behandelaar, dan kan die periode worden ingekort, maar nooit tot minder dan de tijd die redelijkerwijs nodig is om de dossiers te exporteren; de behandelaar wordt daarover ingelicht. De toegang omvat uitsluitend lezen en exporteren: aanmaken, audio-opname, kunstmatige intelligentie, online afspraken en facturatie zijn uitgeschakeld.

Vervroegde wissing: de behandelaar kan op elk moment en zonder opgave van redenen de onmiddellijke wissing vragen. Dat verzoek gaat vóór op de termijn van twaalf maanden.

Herinneringen: Playfield SRL licht de behandelaar in 60 dagen en vervolgens 7 dagen vóór de definitieve wissing.

Wat „gewist" precies betekent. In het werkende systeem is de wissing onmiddellijk: de gegevens zijn niet langer toegankelijk en worden niet langer verwerkt. Zij blijven nadien bestaan in de versleutelde back-ups die vóór de wissing werden gemaakt, voor de duur van hun rotatiecyclus, vandaag dertig dagen, waarna zij definitief verdwijnen. Er wordt nooit een back-up hersteld om er gewiste gegevens uit te halen. Een attest van wissing wordt op verzoek afgeleverd.

Boekhoudstukken: facturen, creditnota's en betalingen blijven bewaard om de doorlopende boekhoudkundige nummering in stand te houden die de wet vereist. Zij bevatten geen klinische inhoud en geen persoonsgegevens: de naam van de patiënt wordt er nooit in opgeslagen. Bij de wissing van een dossier wordt aan de behandelaar een archief van die stukken, aangevuld met de naam van de patiënt, overhandigd, dat hij of zij bewaart overeenkomstig de eigen boekhoudkundige en fiscale verplichtingen.

Ter herinnering: in België moet het patiëntendossier minstens 30 jaar worden bewaard vanaf het laatste contact met de patiënt (wet van 22 april 2019 inzake de kwaliteitsvolle praktijkvoering in de gezondheidszorg, artikel 35). Het komt de behandelaar toe zijn of haar dossiers te exporteren vóór de wissing.

Niveau 1, op schriftelijk verzoek, kosteloos, binnen 30 dagen: Playfield SRL bezorgt de documenten die nodig zijn om de naleving van artikel 28 aan te tonen, namelijk Bijlage II, de certificaten en attesten van de hostingpartijen, de actuele lijst van subverwerkers en schriftelijke antwoorden op een veiligheidsvragenlijst.

Niveau 2, audit: volstaat niveau 1 niet, dan kan de behandelaar een audit laten uitvoeren, met 30 dagen voorafgaande kennisgeving, ten hoogste eenmaal per jaar, door een onafhankelijke auditor die geen concurrent is en tot vertrouwelijkheid gehouden is, zonder toegang tot de gegevens van andere behandelaars of tot technische bedrijfsgeheimen.

De kosten zijn ten laste van de behandelaar, tenzij de audit een ernstige tekortkoming van Playfield SRL aan het licht brengt; in dat geval draagt Playfield SRL ze. Playfield SRL kan aan een auditverzoek ook voldoen door een recent onafhankelijk auditverslag over hetzelfde onderzoeksgebied voor te leggen, of door één gezamenlijke audit te organiseren voor meerdere verzoekende behandelaars. De beperking tot één audit per jaar geldt niet na een bevestigde inbreuk die de behandelaar treft.

De gegevens worden gehost en verwerkt in de Europese Unie. De locaties staan in Bijlage III. Houdt een verwerking een doorgifte naar een derde land in, dan wordt die gedekt door een adequaatheidsbesluit of door de modelcontractbepalingen van de Europese Commissie.

Dit punt gaat niet over de AVG maar over het strafrecht, en het is de vraag die een psycholoog zich als eerste stelt.

Een dossier aan Theramate toevertrouwen is geen bekendmaking. Playfield SRL treedt op als technisch verwerker, uitsluitend volgens uw instructies, zonder eigen doeleinde, en haar personeel is tot vertrouwelijkheid gehouden. Naar Belgisch recht wordt een dienstverlener die noodzakelijk is voor de beroepsuitoefening beschouwd als een noodzakelijke vertrouwenspersoon: hem gegevens bezorgen opdat hij u zou laten werken, is geen schending van artikel 458 van het Strafwetboek. Het geheim blijft het uwe, en u blijft er de bewaarder van.

Wat wij ons bovenop de AVG ontzeggen. Wij nemen nooit uit eigen beweging contact op met uw patiënten. Wij beantwoorden geen enkel verzoek van een derde over klinische inhoud, of het nu van een verzekeraar, een werkgever, een familielid of een overheid komt, en verwijzen die door naar u, die als enige beslist. Wij leveren aan niemand anders dan u een attest, een uittreksel of een bevestiging af dat een dossier bestaat.

Wanneer de wet ons dwingt. Een geldig gerechtelijk bevel bindt ons zoals het u zou binden. In dat geval lichten wij u in vóór elk antwoord, telkens wanneer de wet dat toelaat, zodat u uw eigen beroepsgeheim kunt inroepen, dat verder gaat dan het onze. Wij geven enkel door wat strikt gevraagd wordt.

Uw klinische inhoud dient één enkel doel: u de dienst leveren.

Wij gebruiken die niet om modellen van kunstmatige intelligentie te trainen of te verbeteren, noch de onze, noch die van onze leveranciers, die daar contractueel toe gehouden zijn. Wij gebruiken die niet om statistieken, studies, onderzoek of promotiemateriaal te maken, ook niet in geaggregeerde of geanonimiseerde vorm. Wij verkopen die niet en delen die niet met derden voor hun eigen doeleinden.

Zonder uitzondering. Uw inhoud dient voor geen enkele test, evaluatie of meetreeks: dat werk gebeurt op synthetische dossiers, die daar speciaal voor worden aangemaakt.

Wat wij wel meten. Het gedrag van de software: fouten, responstijden, gebruikte functionaliteiten, verwerkte volumes. Die metingen gaan over het hulpmiddel, nooit over wat u erin schrijft.

U vertrouwt ons dossiers toe die u wettelijk dertig jaar moet bewaren. U hebt het recht te weten wat er gebeurt als ons iets overkomt.

Mochten wij beslissen de activiteit stop te zetten, dan zou u minstens 90 dagen vóór het einde van de dienst worden ingelicht, en zou de volledige export van uw dossiers gedurende die hele periode beschikbaar blijven. Wij zouden niets wissen vóór het verstrijken ervan.

Bij een insolventieprocedure, faillissement of gerechtelijke reorganisatie, verandert er één ding niet: de export van uw dossiers blijft gewaarborgd. Dat is een verbintenis, geen inspanning. De dossiers zijn de uwe, zij worden met één handeling vanuit de toepassing geëxporteerd, en wij brengen die verplichting ter kennis van eenieder die de controle over de activiteit overneemt, of het nu een curator, een gerechtsmandataris of een overnemer is. Het exportvenster bedraagt in geen geval minder dan dertig dagen, en u wordt verwittigd zodra wij kennis krijgen van de situatie.

Wat in dat geval kan wijken, is de duur van de twaalf maanden leestoegang uit artikel 8: die veronderstelt een draaiende dienst, en daarover beslissen wij dan niet meer. De export wijkt niet.

Bij overdracht of controlewijziging gaan deze overeenkomst en al haar verbintenissen over op de overnemer, die ze niet mag afzwakken. U wordt daarvan ingelicht en kunt, indien u dat niet wenst, opzeggen zonder schadevergoeding en met terugbetaling pro rata.

Uw gegevens zijn nooit op zichzelf een overdraagbaar activum. Zij kunnen enkel worden overgedragen in het kader van de overname van de dienst, onder dezelfde voorwaarden, en nooit afzonderlijk worden verkocht.

Ieder staat in voor wat hij beheerst. U beslist over de doeleinden, de inhoud en de bewaartermijnen; wij voeren uw instructies uit en beveiligen het hulpmiddel. De aansprakelijkheid volgt die verdeling.

Wat de verordening zegt, en daar houden wij ons aan: krachtens artikel 82, lid 2 AVG is een verwerker enkel aansprakelijk voor de schade die door een verwerking is veroorzaakt indien hij de verplichtingen die specifiek op verwerkers rusten niet is nagekomen, of indien hij buiten of tegen uw rechtmatige instructies heeft gehandeld. In die gevallen nemen wij ons deel op ons, zonder het op u te willen afwentelen.

Wat wij niet in uw plaats kunnen dragen: de juistheid en de relevantie van de klinische inhoud, de therapeutische beslissingen, de naleving van uw deontologische code, de informatieverstrekking aan uw patiënten en het inwinnen van de vereiste toestemmingen bij hen. Dat zijn handelingen van een verwerkingsverantwoordelijke, en van een gezondheidszorgbeoefenaar.

Beperking: de beperkingen en uitsluitingen van aansprakelijkheid uit de Algemene Gebruiksvoorwaarden gelden voor deze overeenkomst. Zij beperken noch de aansprakelijkheden die de wet onbeperkbaar verklaart, noch de aansprakelijkheid bij opzet of zware fout.

Betrokkenen: de patiënten van de behandelaar, de begeleidende personen wanneer zij aan een sessie deelnemen, en de behandelaar zelf.

Categorieën van gegevens: identiteit (naam, voornaam, geboortedatum, taal)
• contactgegevens (e-mail, telefoon, indien opgegeven)
• afspraken (data, uren, korte redenen, aanwezigheid)
• gezondheidsgegevens in de zin van artikel 9 (sessienota's, transcripties, samenvattingen, klinische synthese, vragenlijsten en scores, aan het dossier toegevoegde documenten, handgeschreven nota's)
• sessieaudio wanneer die bestaat, gewist na integratie
• videoconsultatie, live, nooit opgenomen
• facturatie (erelonen, betalingen, boekhoudkundige gegevens)
• technische gegevens (verbindingslogs, beperkt tot ondersteuning en beveiliging).

Doeleinden: het bijhouden van het klinisch dossier, het beheer van de afspraken, ondersteunde transcriptie en samenvatting, het afnemen van vragenlijsten, videoconsultatie, facturatie en communicatie met de patiënt op initiatief van de behandelaar.

Geautomatiseerde besluitvorming: geen. De inhoud die door kunstmatige intelligentie wordt gegenereerd, bestaat uit voorstellen die de behandelaar nakijkt en valideert.

Versleuteling: de klinische en persoonsgegevens worden vóór de opslag versleuteld met AES-256-GCM, met een sleutel die eigen is aan elke behandelaar, bovenop de versleuteling van het hostingplatform. De sleutels worden aan serverzijde beheerd, met beperkte toegang. De transmissies zijn versleuteld (TLS).

Toegangscontrole: authenticatie van de behandelaar, eigendomscontrole bij elke toegang tot patiëntgegevens, integriteitsbewijs van de clienttoepassing, beperking bij naam van de technische toegangen.

Logging: de gebeurtenissen van toegang en wijziging worden gelogd. De technische logs bevatten geen klinische inhoud.

Back-ups: automatische versleutelde back-ups van de database, dagelijks en wekelijks, 30 dagen bewaard, binnen de Europese Unie.

Audio: het bestand dat de behandelaar aanlevert, wordt door de server omgezet in een object dat met zijn of haar sleutel is versleuteld, en de oorspronkelijke afgifte wordt meteen vernietigd. De transcriptie die daaruit voortkomt, wordt met diezelfde sleutel versleuteld vooraleer zij in het dossier wordt weggeschreven. De werkbestanden die nodig zijn voor de transcriptie en de samenvoeging staan op private locaties die niet opvraagbaar zijn en niet worden gecachet, en worden automatisch gewist binnen 24 uur, ten hoogste 3 dagen voor de oorspronkelijke afgifte, ook wanneer de verwerking is mislukt. De audio wordt gewist na integratie in het dossier.

Videoconsultatie: de server wordt door Playfield SRL beheerd op een eigen machine in Parijs. Beeld en geluid van de sessies lopen er live over en worden nooit opgenomen. De identificatoren van kamers en deelnemers zijn cryptografische afdrukken. De weergavenaam is de naam die de behandelaar aan zijn of haar gesprekspartner wil tonen. Het beheer, de patches en de logs van die machine berusten bij Playfield SRL.

Kunstmatige intelligentie: de leveranciers zijn contractueel gehouden de doorgegeven inhoud niet te bewaren en er niet op te trainen.

Continuïteit: redundantie van de hosting en bewaking van de geautomatiseerde verwerkingen.

Google Cloud / Firebase: hosting, database, serverfuncties, authenticatie, opslag. Europese Unie: database gerepliceerd in België (Saint-Ghislain) en Nederland, verwerkingen in Frankfurt, bestanden in de EU-multiregio. Infrastructuur gecertificeerd HDS v2.0 (certificaat nr. 2022-013, activiteiten 1 tot 5).

Scaleway: verzending van de transactionele e-mails en hosting van de server voor videoconsultatie. Parijs, Frankrijk.

OpenAI: schrijfondersteuning, samenvattingen, contextuele antwoorden. Niet-bewaring en niet-training contractueel toegezegd.

Google (Gemini): schrijfondersteuning, samenvattingen, klinische analyses. Niet-bewaring en niet-training contractueel toegezegd.

Soniox: audiotranscriptie, Europees eindpunt. Niet-bewaring en niet-training contractueel toegezegd.

Stripe: betalingsverwerking wanneer de behandelaar via Theramate factureert. Ierland.

Elk van hen is met Playfield SRL verbonden door een verwerkersovereenkomst die voldoet aan de AVG. De actuele lijst wordt op deze pagina gepubliceerd; elke wijziging is onderworpen aan de voorafgaande informatie waarin artikel 5 voorziet.