VERWERKERSOVEREENKOMST (AVG)

op grond van artikel 28 AVG — DR. INFO-platform (DR. INFO Clinical / DR. INFO Workflow)

---

Versie: 1.0
Taalkundige toelichting: Dit is een Engelstalige versie ter informatie. De met de klant gesloten versie wordt in het Duits aangegaan (AVV); de Duitse tekst is bindend. Deze Nederlandse tekst betreft een vertaling ter informatie.

---

Partijen

Deze overeenkomst wordt gesloten tussen:

Verwerkingsverantwoordelijke ("Klant"): de zorgorganisatie of beroepsbeoefenaar in de gezondheidszorg die deze overeenkomst aanvaardt via zijn geregistreerde account. De identiteit van de Klant, diens bevoegde vertegenwoordiger en contactgegevens zijn die welke in het account van de Klant zijn opgenomen en op het tijdstip van aanvaarding zijn vastgelegd in het Klantconfiguratiedossier (Customer Configuration Record).

Verwerker:
Synduct GmbH, Bergmannstr. 58, 80339 München, Deutschland
HRB 298232, Amtsgericht München — USt-IdNr.: DE455696850
Directeur (Geschäftsführer): Valentine Emmanuel
Contactpunt privacy: regulatory@synduct.com

(elk afzonderlijk een "Partij", gezamenlijk de "Partijen")

---

Preambule

(A) De Verwerkingsverantwoordelijke is een zorgorganisatie of beroepsbeoefenaar in de gezondheidszorg wiens personeel gebonden is aan het beroepsgeheim (§ 203 StGB) en die bij de verwerking van patiëntgegevens onderworpen is aan de AVG en het BDSG.

(B) De Verwerker levert het DR. INFO-platform, een AI-ondersteund workflowplatform voor de gezondheidszorg dat via twee productkanalen wordt aangeboden: DR. INFO Clinical (webtoepassing) en DR. INFO Workflow (geïnstalleerde software met integratie in het praktijksysteem). Bij het leveren van het platform verwerkt de Verwerker persoonsgegevens — waaronder gezondheidsgegevens (artikel 9 AVG) — namens de Verwerkingsverantwoordelijke.

(C) Deze overeenkomst geeft uitvoering aan artikel 28, lid 3, AVG voor al deze verwerking, ongeacht het productkanaal, de Workflowmodule of het implementatieprofiel (Deployment Profile). Zij is opgezet als een raamwerk: de hoofdtekst hieronder is stabiel; de operationele details zijn opgenomen in geversioneerde bijlagen die uitsluitend binnen de strikte grenzen van § 16 mogen worden geactualiseerd.

(D) Met een hoofdletter geschreven begrippen worden gebruikt in de betekenis die daaraan wordt gegeven in § 1 en in het Productwoordenboek (Product Dictionary), dat dient als hulpmiddel bij de uitleg van deze overeenkomst.

---

§ 1 Definities

1.1 De in artikel 4 AVG gedefinieerde begrippen ("persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "inbreuk in verband met persoonsgegevens", "pseudonimisering") hebben de daar gegeven betekenis.

1.2 Daarnaast geldt:

• "Klant" — de Verwerkingsverantwoordelijke in zijn hoedanigheid van afnemer van de platformdiensten;
• "Platform" — het DR. INFO-platform, bestaande uit de productkanalen DR. INFO Clinical (webtoepassing) en DR. INFO Workflow (geïnstalleerde software, met inbegrip van de PVS-Agent);
• "Workflowmodule" — een functionele mogelijkheid van het platform zoals opgenomen in Bijlage A;
• "Moduleactivering" — het gelogde inschakelen van een Workflowmodule door de bevoegde beheerder van de Verwerkingsverantwoordelijke binnen het platform, hetgeen een gedocumenteerde instructie vormt (§ 4.2);
• "De-identificatie (Masking)" — het verwijderen of vervangen van directe identificatoren in de brongegevens vóór AI-ondersteunde verwerking; juridisch een vorm van pseudonimisering (artikel 4, punt 5, AVG) — gemaskeerde gegevens blijven persoonsgegevens;
• "Anonimisering" — onomkeerbare transformatie tot de norm van overweging 26 AVG (Opinie 05/2014 van de Groep gegevensbescherming artikel 29), uitsluitend toegepast op het trainingsdataprogramma op grond van Bijlage G en voldoend aan de in Bijlage G gespecificeerde onomkeerbaarheidsnorm. De in het account bewaarde dienstderivaten op grond van Bijlage A (bijv. opgeslagen Scribe-transcripties en gegenereerde rapporten) zijn gede-identificeerde (gemaskeerde), d.w.z. gepseudonimiseerde persoonsgegevens en geen geanonimiseerde gegevens;
• "Zero Data Retention" — een configuratie en contractuele regeling op grond waarvan een aanbieder van een Foundation-Model geen prompts of uitvoer opslaat na de inferentie en geen klantgegevens gebruikt voor het trainen van modellen;
• "Klantconfiguratiedossier" — het dossier overeenkomstig Bijlage B, Aanhangsel B-1, waarin het/de productkanaal/-kanalen, het implementatieprofiel en de geactiveerde Workflowmodules van de Verwerkingsverantwoordelijke worden gedocumenteerd;
• "Bijlagen" — de in § 2.3 opgesomde documenten, zoals van tijd tot tijd gewijzigd overeenkomstig § 16.

§ 2 Voorwerp; opbouw van deze overeenkomst

2.1 De Verwerker verwerkt persoonsgegevens namens de Verwerkingsverantwoordelijke uitsluitend voor het leveren van het platform en de door de Verwerkingsverantwoordelijke geactiveerde Workflowmodules.

2.2 Deze overeenkomst regelt al deze verwerking in beide productkanalen en in alle implementatieprofielen.

2.3 De volgende Bijlagen vormen een integraal onderdeel van deze overeenkomst:

Bijlage D (de Subverwerkerslijst) is gepubliceerd op https://www.drinfo.ai/legal/sub-processors. De actuele versies van de overige Bijlagen worden op verzoek (regulatory@synduct.com) aan de verwerkingsverantwoordelijke verstrekt, ook reeds voordat de verwerkingsverantwoordelijke deze Overeenkomst aanvaardt.

2.4 Rangorde: (1) dwingend recht; (2) de hoofdtekst van deze overeenkomst; (3) de Bijlagen A-G; (4) het Productwoordenboek en de daarin genoemde ondersteunende documenten. In geval van tegenstrijdigheid prevaleert de hoger in rang staande bron. Individueel onderhandelde afspraken hebben voorrang boven deze standaardbepalingen (§ 305b BGB); het is de bedoeling van Partijen dat wijzigingen van de hoofdtekst van deze overeenkomst geschieden in de vorm van § 16.1.

§ 3 Aard en doel van de verwerking; duur; gegevenscategorieën; betrokkenen

3.1 Aard en doel: ontvangst van brongegevens — waaronder, in het kanaal DR. INFO Workflow, de door een agent ondersteunde export van dossiergegevens uit het praktijkinformatiesysteem van de Verwerkingsverantwoordelijke (bijv. CGM M1 Pro, tomedo) binnen de omgeving van de Verwerkingsverantwoordelijke en uitsluitend op instructie van een bevoegde gebruiker —, validatie, De-identificatie (Masking), structurering, extractie, samenvatting, transcriptie (Scribe-module), opstellen en teruggave van workflowuitvoer voor de in Bijlage A beschreven administratieve en documentatieworkflows, en de verwijdering daarvan nadien.

3.2 Duur: de looptijd van deze overeenkomst komt overeen met de looptijd van de hoofddienstverleningsovereenkomst (§ 15).

3.3 Categorieën van betrokkenen: patiënten van de Verwerkingsverantwoordelijke; bevoegde gebruikers; overig personeel van de Verwerkingsverantwoordelijke; voor zover vermeld in brondocumenten: in de dossiers genoemde externe zorgverleners en naasten.

3.4 Categorieën van persoonsgegevens: zoals per Workflowmodule in Bijlage A gespecificeerd, waaronder bijzondere categorieën van persoonsgegevens (gezondheidsgegevens, artikel 9, lid 1, AVG) zoals diagnoses, medicatie, behandelverslagen, verzuimgegevens en — uitsluitend voor de Scribe-module — spraakopnamen van consulten. Gegevenscategorieën die voor een door de Verwerkingsverantwoordelijke geactiveerde module niet in Bijlage A zijn opgenomen, worden niet verwerkt, met uitzondering van de in Bijlage A beschreven categorieën op platformniveau (gebruikersaccountgegevens, van identificatoren ontdane gebruikersquery's, gepseudonimiseerde telemetrie), die voor iedere Klant worden verwerkt.

3.5 Plaats van verwerking: uitsluitend binnen de EU/EER, onder voorbehoud van § 9.

3.6 Rolverdeling: voor het beheer van de overeenkomst, het beheer van gebruikersaccounts, de facturering en de geaggregeerde dienstverbetering op basis van van identificatoren ontdane gebruiksgegevens treedt de Verwerker op als zelfstandig verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG, op de rechtsgronden van artikel 6, lid 1, onder b) en f), AVG; op deze verwerking is de privacyverklaring van de Verwerker van toepassing. Deze overeenkomst regelt alle overige in Bijlage A beschreven verwerking.

3.7 Rechtsgrond voor gezondheidsgegevens: Als Verwerkingsverantwoordelijke draagt de Klant de uitsluitende verantwoordelijkheid voor het vaststellen van een geldige rechtsgrond voor de verwerking van bijzondere categorieën van persoonsgegevens (gezondheidsgegevens) op grond van artikel 9, lid 2, AVG. De Verwerkingsverantwoordelijke garandeert dat uitdrukkelijke toestemming van de patiënt of een andere geldige uitzondering op grond van artikel 9 AVG rechtsgeldig is verkregen voordat gezondheidsgegevens aan het platform worden doorgegeven. De Verwerker verwerkt de gegevens uitsluitend op basis van deze garantie en is niet wettelijk verplicht om het bestaan of de geldigheid van de rechtsgrond van de Verwerkingsverantwoordelijke te controleren.

§ 4 Verwerking op gedocumenteerde instructies

4.1 De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Verwerkingsverantwoordelijke (artikel 28, lid 3, onder a), AVG), ook wat betreft doorgiften aan derde landen, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht; in dat geval stelt de Verwerker de Verwerkingsverantwoordelijke vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

4.2 Gedocumenteerde instructies worden gevormd door: (a) deze overeenkomst met haar Bijlagen; (b) het Klantconfiguratiedossier; (c) de gelogde Moduleactiveringen die door de bevoegde beheerder van de Verwerkingsverantwoordelijke binnen het platform worden verricht (elektronische vorm, artikel 28, lid 9, AVG); en (d) individuele instructies in tekstvorm (e-mail) van de door de Verwerkingsverantwoordelijke als instructiebevoegd aangewezen personen.

4.3 De Verwerker houdt een instructielogboek bij (met inbegrip van alle Moduleactiveringen met gebruiker, tijdstempel, module en versie van Bijlage A) en stelt dit op verzoek ter beschikking van de Verwerkingsverantwoordelijke.

4.4 Indien de Verwerker van mening is dat een instructie inbreuk maakt op de AVG of andere gegevensbeschermingsbepalingen, stelt hij de Verwerkingsverantwoordelijke onmiddellijk daarvan in kennis (artikel 28, lid 3, laatste zin, AVG) en kan hij de uitvoering van die instructie opschorten totdat deze door de Verwerkingsverantwoordelijke wordt bevestigd of gewijzigd. De Verwerker mag instructies die kennelijk onrechtmatig zijn, weigeren.

4.5 Instructies die de contractueel overeengekomen dienstomvang te buiten gaan, worden behandeld als wijzigingsverzoeken; eventuele meerkosten worden vóór de uitvoering overeengekomen (§ 14.2).

§ 5 De-identificatie, AI-verwerking, verbod op gebruik voor training

5.1 Directe identificatoren in brongegevens worden verwijderd of vervangen (De-identificatie/Masking) vóór de doorgifte aan de aanbieder van het Foundation-Model. In implementatieprofiel B (geïnstalleerde software) vindt de Masking volledig binnen de omgeving van de Verwerkingsverantwoordelijke plaats; in implementatieprofiel A (webtoepassing) vindt de Masking plaats binnen de EU-omgeving van de Verwerker voorafgaand aan de AI-dienstaanroep. Deze § 5.1 is niet van toepassing op Scribe-audio, die technisch niet vóór transcriptie kan worden gemaskeerd en wordt verwerkt op basis van uitdrukkelijke toestemming van de patiënt (Bijlage A-4).

5.2 De verwerking door het Foundation-Model geschiedt via Google Cloud Vertex AI (Gemini), EU-regio, onder Zero Data Retention: geen opslag van prompts of uitvoer na de inferentie, geen prompt-logging voor misbruikmonitoring, geen gebruik voor het trainen van modellen. Voor de Scribe-module wordt de spraak-naar-tekst-transcriptie daarnaast uitgevoerd door Speechmatics Ltd. (Bijlage D) onder gelijkwaardige voorwaarden: uitsluitend voorbijgaande verwerking, verwijdering conform de verwijderingsklokken van Scribe (Bijlage A-4), en geen gebruik van gegevens van de Verwerkingsverantwoordelijke voor het trainen van modellen. Deze toezeggingen weerspiegelen de voorwaarden en configuraties van de aanbieders zoals die gelden op het moment van sluiting; wijzigingen aan de zijde van de aanbieder worden behandeld overeenkomstig §§ 8.2 en 16.

5.3 Verbod op gebruik voor training: de Verwerker gebruikt geen identificeerbare of gepseudonimiseerde persoonsgegevens van de Verwerkingsverantwoordelijke voor het trainen, verfijnen (fine-tuning) of evalueren van AI-modellen. Het gebruik van onomkeerbaar geanonimiseerde gegevens voor dergelijke doeleinden vindt uitsluitend plaats indien dit afzonderlijk met de Verwerkingsverantwoordelijke is overeengekomen en uitsluitend overeenkomstig Bijlage G; deelname is vrijwillig, wordt vastgelegd in het Klantconfiguratiedossier en kan door de Verwerkingsverantwoordelijke te allen tijde met werking voor de toekomst worden beëindigd. Gegevens afkomstig uit de Scribe-module — opnamen, transcripties en daarvan afgeleide dossierinvoeringen — zijn van elke dergelijke regeling uitgesloten.

5.4 Elke workflowuitvoer is een concept dat door een bevoegde gebruiker moet worden gecontroleerd; het platform beschikt niet over de mogelijkheid om documenten zelfstandig aan derden te verzenden.

§ 6 Vertrouwelijkheid; personeel; § 203 StGB

6.1 De Verwerker waarborgt dat alle tot het verwerken van persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen, tenzij zij op grond van de wet reeds tot een passende geheimhouding zijn gehouden (artikel 28, lid 3, onder b), AVG), en dat zij persoonsgegevens uitsluitend op instructie verwerken (artikel 29 en artikel 32, lid 4, AVG).

6.2 Al deze personen — met inbegrip van freelancers en opdrachtnemers, en uitdrukkelijk met inbegrip van personeel op afstand dat deelneemt aan sessies waarin het scherm met de Verwerkingsverantwoordelijke wordt gedeeld — worden daarnaast schriftelijk gebonden als mitwirkende Personen in de zin van § 203 Abs. 3, 4 StGB en geïnstrueerd over de strafrechtelijke gevolgen van onbevoegde openbaarmaking. Deze verplichtingen blijven na afloop van hun opdracht van kracht. Deze regeling voldoet tevens aan artikel 9, lid 3, AVG: gezondheidsgegevens worden verwerkt onder de verantwoordelijkheid van personen die aan het beroepsgeheim zijn gebonden.

6.3 Toegang tot persoonsgegevens wordt verleend op basis van het need-to-know-beginsel binnen een rolgebaseerd toegangsmodel (Bijlage E); toegangsrechten worden regelmatig getoetst en zonder onnodige vertraging ingetrokken bij functiewijziging of uitdiensttreding.

6.4 Het personeel van de Verwerker ontvangt vóór de eerste toegang tot gegevens van de Verwerkingsverantwoordelijke een opleiding inzake gegevensbescherming, alsook opfriscursussen met passende tussenpozen; hiervan worden opleidingsregisters bijgehouden.

§ 7 Beveiliging van de verwerking (artikel 32 AVG)

7.1 De Verwerker treft en handhaaft de in Bijlage E (TOM) uiteengezette technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de omvang, de context en de doeleinden van de verwerking alsook met de risico's voor de betrokkenen — waaronder, naargelang van toepassing: versleuteling van persoonsgegevens tijdens de doorgifte (TLS 1.2+) en in rust; pseudonimisering; maatregelen om de blijvende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht te waarborgen; het vermogen om de beschikbaarheid na een incident te herstellen; en een procedure voor het op gezette tijden testen, beoordelen en evalueren van de doeltreffendheid.

7.2 De TOM mogen in overeenstemming met de technische vooruitgang verder worden ontwikkeld; het beschermingsniveau mag nimmer worden verlaagd (§ 16.2). Wezenlijke wijzigingen worden gemeld overeenkomstig § 16.

7.3 Op verzoek toont de Verwerker de naleving van Bijlage E aan door het overleggen van passend bewijs (configuratie-uittreksels, auditrapporten, certificeringen indien beschikbaar, testverslagen).

§ 8 Subverwerkers

8.1 De Verwerkingsverantwoordelijke verleent algemene toestemming voor de inschakeling van de in Bijlage D genoemde subverwerkers voor de daarin beschreven diensten.

8.2 De Verwerker stelt de Verwerkingsverantwoordelijke ten minste 30 dagen vóór de voorgenomen toevoeging of vervanging van een subverwerker daarvan in tekstvorm in kennis. De Verwerkingsverantwoordelijke kan binnen deze termijn bezwaar maken op redelijke, aan de gegevensbescherming ontleende gronden. Partijen streven naar een minnelijke oplossing (bijv. alternatieve maatregelen of aanbieders); bij gebreke daarvan kan de Verwerkingsverantwoordelijke de betrokken diensten opzeggen — of, indien gedeeltelijke opzegging onredelijk is, deze overeenkomst tezamen met de hoofddienstverleningsovereenkomst — zonder boete met ingang van de datum waarop de wijziging van kracht wordt; vooruitbetaalde vergoeding voor periodes na de datum van beëindiging wordt naar rato terugbetaald.

8.3 De Verwerker legt elke subverwerker bij overeenkomst gegevensbeschermingsverplichtingen op die materieel gelijkwaardig zijn aan die in deze overeenkomst — in het bijzonder toereikende garanties op grond van artikel 28, leden 1 en 4, AVG, vertrouwelijkheid, beveiliging conform artikel 32, transparantie en auditondersteuning, alsook verwijdering/teruggave. Voor zover een subverwerker optreedt als mitwirkende Person in de zin van § 203 Abs. 3 StGB, waarborgt de Verwerker overeenkomstige geheimhoudingsverplichtingen; voor aanbieders van infrastructuur- en AI-diensten die niet zijn bedoeld om toegang te krijgen tot patiëntgeheimen in identificeerbare vorm, volstaan de vertrouwelijkheidstoezeggingen op grond van artikel 28, lid 3, onder b), AVG.

8.4 De Verwerker blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van elke subverwerker (artikel 28, lid 4, tweede zin, AVG).

8.5 Voor de inschakeling van een subverwerker buiten de EU/EER is daarnaast naleving van § 9 vereist.

§ 9 Doorgiften aan derde landen

9.1 De verwerking vindt plaats in de EU/EER. Een doorgifte van persoonsgegevens aan een derde land vindt uitsluitend plaats (a) op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, of (b) voor zover dit voor de dienst noodzakelijk is en met waarborgen omkleed overeenkomstig hoofdstuk V AVG.

9.2 Voor zover een subverwerker onder de jurisdictie van een derde land valt, wordt het toepasselijke doorgiftemechanisme per subverwerker gedocumenteerd in Bijlage D — thans: het EU-VS-gegevensprivacykader (EU-U.S. Data Privacy Framework) (adequaatheidsbesluit op grond van artikel 45 AVG) voor gecertificeerde Amerikaanse entiteiten zoals Google LLC, en het adequaatheidsbesluit EU-VK (artikel 45 AVG, van kracht tot en met 27 december 2026) voor in het VK gevestigde subverwerkers zoals Speechmatics Ltd.; in elk geval met de EU-modelcontractbepalingen (Standard Contractual Clauses, 2021) op grond van artikel 46, lid 2, onder c), AVG als contractuele terugvaloptie.

9.3 Voor zover een doorgifte is gebaseerd op een adequaatheidsbesluit op grond van artikel 45 AVG (zoals het EU-VS-DPF), is geen doorgifte-effectbeoordeling (Transfer Impact Assessment, TIA) of nadere toestemming vereist. De Verwerker houdt uitsluitend een doorgifte-effectbeoordeling bij voor doorgiften die berusten op passende waarborgen op grond van artikel 46 AVG (bijv. SCC's als terugvalmechanisme). Voor zover van toepassing op grond van artikel 46 AVG documenteert deze beoordeling aanvullende maatregelen (De-identificatie vóór doorgifte, Zero Data Retention, verankering in de EU-regio, versleuteling) en is zij op verzoek ter beschikking van de Verwerkingsverantwoordelijke.

§ 10 Bijstand aan de Verwerkingsverantwoordelijke

10.1 Rechten van betrokkenen (artikel 28, lid 3, onder e)): rekening houdend met de aard van de verwerking verleent de Verwerker de Verwerkingsverantwoordelijke bijstand met passende technische en organisatorische maatregelen bij het vervullen van diens verplichtingen uit hoofde van de artikelen 12 tot en met 23 AVG. Elk rechtstreeks bij de Verwerker binnengekomen verzoek van een betrokkene wordt zonder onnodige vertraging aan de Verwerkingsverantwoordelijke doorgestuurd; de Verwerker geeft geen inhoudelijk antwoord aan de betrokkenen van de Verwerkingsverantwoordelijke. Voor de Scribe-module worden door de Verwerkingsverantwoordelijke doorgestuurde intrekkingen van toestemming binnen 24 uur uitgevoerd (Bijlage A-4).

10.2 Artikelen 32 tot en met 36 (artikel 28, lid 3, onder f)): de Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het waarborgen van de naleving van de verplichtingen inzake beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging, in het bijzonder door zijn DPIA, de gegevensbeschermingsarchitectuur (Data Protection Architecture) en de op grond van artikel 33, lid 3, AVG vereiste informatie ter beschikking te stellen in geval van een inbreuk in verband met persoonsgegevens.

10.3 De bijstand op grond van §§ 10.1-10.2 wordt kosteloos verleend voor zover zij wettelijk vereist is en zich in het normale verloop voordoet; voor verzoeken die dit te buiten gaan, is § 14.2 van toepassing.

§ 11 Inbreuken in verband met persoonsgegevens

11.1 De Verwerker stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging in kennis nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die betrekking heeft op ten behoeve van de Verwerkingsverantwoordelijke verwerkte persoonsgegevens — als niet-bindende operationele richtlijn: binnen 24 uur na kennisname — en in elk geval tijdig genoeg om de Verwerkingsverantwoordelijke in staat te stellen zijn eigen verplichting van 72 uur op grond van artikel 33, lid 1, AVG na te komen.

11.2 De kennisgeving bevat ten minste de informatie op grond van artikel 33, lid 3, AVG (aard van de inbreuk; categorieën en bij benadering het aantal betrokkenen en gegevensrecords; waarschijnlijke gevolgen; genomen of voorgestelde maatregelen; contactpunt). De informatie mag in fasen worden verstrekt voor zover en zodra zij niet gelijktijdig beschikbaar is.

11.3 De Verwerker documenteert alle inbreuken, ook de niet-meldingsplichtige, in een incidentenregister (artikel 33, lid 5, AVG) en behandelt incidenten overeenkomstig zijn incidentresponsplan (Incident Response Plan). De Verwerker ondersteunt de meldingen van de Verwerkingsverantwoordelijke aan toezichthoudende autoriteiten en betrokkenen.

11.4 Een kennisgeving op grond van deze § 11 vormt geen erkenning van schuld of aansprakelijkheid.

§ 12 Documentatie-, informatie- en auditrechten (artikel 28, lid 3, onder h))

12.1 De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de in artikel 28 AVG neergelegde verplichtingen aan te tonen.

12.2 De Verwerkingsverantwoordelijke (of een door hem gemachtigde auditor, die geen directe concurrent van de Verwerker mag zijn en tot vertrouwelijkheid gehouden moet zijn) kan audits, met inbegrip van inspecties, uitvoeren van de onder deze overeenkomst vallende verwerkingsactiviteiten.

12.3 Modaliteiten: audits vergen een redelijke voorafgaande aankondiging (in de regel 14 dagen; geen bij een gemotiveerd ernstig incident), vinden plaats tijdens kantooruren, ten hoogste eenmaal per kalenderjaar tenzij er een specifieke aanleiding is, mogen de vertrouwelijkheid van gegevens van andere klanten niet in gevaar brengen en worden uitgevoerd op kosten van de Verwerkingsverantwoordelijke; voor zover uit een audit een wezenlijke niet-naleving van deze overeenkomst door de Verwerker blijkt, draagt de Verwerker de redelijke kosten van die audit. De Verwerker mag aan een auditverzoek eerst voldoen door zinvol, actueel bewijs te verstrekken (auditrapporten, certificeringen, TOM-bewijs, het documentatiepakket); voor zover dit het verzoek in redelijkheid afdoet, is een inspectie ter plaatse niet vereist.

12.4 Bevindingen worden gedocumenteerd; de Verwerker verhelpt gegronde tekortkomingen binnen een redelijke termijn en rapporteert de afronding.

12.5 De Verwerker gedoogt onderzoeken door bevoegde toezichthoudende autoriteiten met betrekking tot de verwerking onder deze overeenkomst en werkt daaraan in redelijkheid mee (artikel 31 AVG), en stelt de Verwerkingsverantwoordelijke zonder onnodige vertraging in kennis van elke toezichtmaatregel die op die verwerking betrekking heeft, tenzij deze kennisgeving wettelijk verboden is.

§ 13 Verwijdering en teruggave van persoonsgegevens (artikel 28, lid 3, onder g))

13.1 Bij beëindiging van deze overeenkomst — of eerder op instructie van de Verwerkingsverantwoordelijke — zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle namens de Verwerkingsverantwoordelijke verwerkte persoonsgegevens in een gangbaar, machineleesbaar formaat teruggeven en/of deze verwijderen met inbegrip van alle kopieën, en de verwijdering aan de Verwerkingsverantwoordelijke in tekstvorm (§ 126b BGB) binnen 30 dagen bevestigen (verwijderingscertificaat).

13.2 Uitzonderingen: (a) gegevens die de Verwerker op grond van Unierechtelijke of lidstaatrechtelijke bepalingen moet bewaren, worden voor elk ander gebruik geblokkeerd en verwijderd na afloop van de bewaarplicht; (b) back-upkopieën worden verwijderd door het verstrijken van de back-uprotatie (max. 90 dagen, Bijlage F) en worden niet hersteld anders dan voor rampenherstel (disaster recovery), in welk geval de hernieuwde verwijdering wordt gewaarborgd; (c) onomkeerbaar geanonimiseerde gegevens (Bijlage G) zijn geen persoonsgegevens; reeds verstrekte geanonimiseerde gegevens doorlopen hun overeengekomen bewaarcyclus, tenzij anders overeengekomen.

13.3 Gedurende de looptijd volgt de verwijdering de bewaartermijnen en -methoden van Bijlage F, met inbegrip van de verwijderingsklokken van Scribe (Bijlage A-4) en de geautomatiseerde verwijdering van voorbijgaande verwerkingskopieën (max. 24 uur na voltooiing van de taak).

§ 14 Vergoeding; kosten

14.1 De vergoeding voor het platform wordt geregeld door de hoofddienstverleningsovereenkomst. De nakoming van de verplichtingen uit deze overeenkomst is daarin begrepen, onder voorbehoud van § 14.2.

14.2 Ondersteuning die verder gaat dan wat artikel 28 AVG in het normale verloop vereist — in het bijzonder audits die de frequentie van § 12.3 te buiten gaan, uitgebreide maatwerkanalyses of instructiewijzigingen op grond van § 4.5 — mag tegen redelijke, gedocumenteerde kosten in rekening worden gebracht, vooraf overeengekomen.

§ 15 Looptijd; beëindiging; voortbestaan

15.1 Deze overeenkomst treedt in werking bij ondertekening (of bij gedocumenteerde elektronische aanvaarding, § 17.2) en loopt gedurende de looptijd van de hoofddienstverleningsovereenkomst. Zij kan niet afzonderlijk worden opgezegd zolang de hoofddienstverleningsovereenkomst de verwerking van persoonsgegevens vergt.

15.2 Elke Partij kan om gewichtige redenen opzeggen; voor de Verwerkingsverantwoordelijke omvat een gewichtige reden een ernstige of aanhoudende schending van deze overeenkomst door de Verwerker die niet binnen een redelijke hersteltermijn wordt verholpen.

15.3 §§ 6 (vertrouwelijkheid/§ 203), 11.3 (documentatie), 12 (voor zover nodig om de naleving van § 13 te verifiëren), 13 (verwijdering/teruggave) en 18 blijven na beëindiging van kracht.

§ 16 Wijzigingsmechanisme (actualisering van Bijlagen zonder herondertekening)

16.1 Reikwijdte. Uitsluitend de in § 2.3 genoemde Bijlagen mogen op grond van deze § 16 worden geactualiseerd. Wijzigingen van de hoofdtekst van deze overeenkomst vergen de schriftelijke vorm, ondertekend door beide Partijen (Schriftform, § 126 BGB; een gekwalificeerde elektronische handtekening overeenkomstig § 126a BGB volstaat).

16.2 Grenzen. Een actualisering van een Bijlage mag nimmer: (a) het beschermingsniveau voor betrokkenen verlagen; (b) de categorieën van persoonsgegevens of de doeleinden uitbreiden buiten de voor de Verwerkingsverantwoordelijke geactiveerde omvang, behoudens via § 16.4; of (c) de wettelijke of contractuele rechten van de Verwerkingsverantwoordelijke beperken.

16.3 Actualiseringen bij kennisgeving. Actualiseringen binnen de grenzen van § 16.2 — met inbegrip van TOM-verbeteringen, redactionele wijzigingen en nieuwe Workflowmodules die uitsluitend reeds voor de Verwerkingsverantwoordelijke geactiveerde gegevenscategorieën en doeleinden verwerken — worden de Verwerkingsverantwoordelijke ten minste 14 dagen vóór de inwerkingtreding in tekstvorm meegedeeld. Wijzigingen van subverwerkers volgen § 8.2 (30 dagen + recht van bezwaar). Indien de Verwerkingsverantwoordelijke tegen een actualisering op grond van § 16.3 bezwaar maakt op redelijke, aan de gegevensbescherming ontleende gronden en er vóór de datum van inwerkingtreding geen oplossing wordt bereikt, treedt de actualisering voor de Verwerkingsverantwoordelijke niet in werking; voor zover klantspecifieke voortzetting niet mogelijk is omdat de actualisering over het multitenant-platform technisch ondeelbaar is, kan de Verwerkingsverantwoordelijke in plaats daarvan de betrokken diensten zonder boete opzeggen.

16.4 Nieuwe gegevenscategorieën of doeleinden — Moduleactivering. Een Workflowmodule waarvan de verwerking gegevenscategorieën of doeleinden omvat die nog niet zijn geactiveerd voor de Verwerkingsverantwoordelijke, wordt slechts onderdeel van de instructieomvang bij Moduleactivering: een uitdrukkelijke, gelogde inschakeling door de bevoegde beheerder van de Verwerkingsverantwoordelijke, voorafgegaan door een beschrijving binnen het platform van de gegevenscategorieën, doeleinden, bewaring, subverwerkers en — voor zover van toepassing — toestemmingsvereisten van de module (bijv. toestemming van de patiënt voor Scribe). Het activeringslogboek wordt als de gedocumenteerde instructie bewaard (artikel 28, lid 9, AVG) en ter beschikking gesteld van de Verwerkingsverantwoordelijke.

16.5 Versiebeheer. Elke Bijlage draagt een versie, ingangsdatum en wijzigingslogboek; de Verwerker bewaart alle historische versies en verstrekt deze op verzoek. De op enig moment op de Verwerkingsverantwoordelijke toepasselijke versies van de Bijlagen zijn die welke in het Klantconfiguratiedossier zijn vastgelegd, zoals geactualiseerd op grond van deze § 16; de Verwerker verstrekt de Verwerkingsverantwoordelijke na elke wijziging een geactualiseerd afschrift van het Klantconfiguratiedossier.

§ 17 Aansprakelijkheid; totstandkoming van deze overeenkomst

17.1 De aansprakelijkheid van Partijen op grond van artikel 82 AVG (met inbegrip van de onderlinge verdeling op grond van artikel 82, lid 5) blijft onverlet. Aan een Partij op grond van artikel 83 AVG opgelegde geldboeten worden door die Partij gedragen.

17.2 Totstandkoming in elektronische vorm: deze overeenkomst kan tot stand komen door de gedocumenteerde elektronische aanvaarding van de Verwerkingsverantwoordelijke binnen het platform (afzonderlijke aanvaardingshandeling, bevestiging van de vertegenwoordigingsbevoegdheid, logging van identiteit, tijdstempel en aanvaarde versie, verstrekking van een afschrift in duurzame vorm), die voldoet aan artikel 28, lid 9, AVG. Ziekenhuizen en andere instellingen kunnen in plaats daarvan een medeondertekende uitvoering verlangen.

17.3 De contractuele aansprakelijkheid (anders dan op grond van § 17.1) wordt geregeld door de hoofddienstverleningsovereenkomst.

§ 18 Slotbepalingen

18.1 Deze overeenkomst wordt beheerst door Duits recht. De exclusieve bevoegde rechtbank is, voor zover toegestaan, München.

18.2 In de met de klant gesloten versie prevaleert de Duitse tekst boven enige vertaling ter informatie.

18.3 Mochten afzonderlijke bepalingen van deze overeenkomst ongeldig zijn of worden, dan blijft de geldigheid van de overige bepalingen onverlet; Partijen zullen de ongeldige bepaling vervangen door een geldige bepaling die haar economische en gegevensbeschermingsrechtelijke doel zo dicht mogelijk benadert.

18.4 § 16 regelt de actualisering van Bijlagen; §§ 15 en 16.1 regelen wijzigingen van de hoofdtekst van deze overeenkomst. Individueel onderhandelde afspraken hebben voorrang (§ 305b BGB).

18.5 Kennisgevingen: kennisgevingen op grond van deze overeenkomst geschieden in tekstvorm (e-mail) aan de in het Klantconfiguratiedossier (Bijlage B, Aanhangsel B-1) vastgelegde contactadressen; elke Partij houdt haar adressen actueel. Kennisgevingen aan de Verwerker: regulatory@synduct.com.

---

Aanvaarding

Deze overeenkomst komt tot stand door de gedocumenteerde elektronische aanvaarding van de Klant (artikel 28, lid 9, AVG); een handgeschreven handtekening is niet vereist.

• Tijdens de onboarding, of bij het eerste gebruik van een module die patiëntgegevens verwerkt (bijv. de Scribe- of Reports-/ontslagbriefmodule), aanvaardt de bevoegde vertegenwoordiger van de Klant deze overeenkomst door een uitdrukkelijke aanvaardingshandeling (bijv. het klikken op "Accepteren").
• De aanvaarding wordt gelogd met de identiteit van de aanvaardende gebruiker, het tijdstempel en de aanvaarde versie. Het inschakelen van een dergelijke module vormt tevens een Moduleactivering en gedocumenteerde instructie op grond van §§ 4.2 en 16.4, met inbegrip van de bevestiging van eventueel toepasselijke toestemmingsvereisten (bijv. toestemming van de patiënt voor Scribe).
• De Klant bevestigt dat de aanvaardende persoon bevoegd is om deze overeenkomst namens de Klant aan te gaan.
• Een afschrift van de aanvaarde overeenkomst wordt in duurzame vorm ter beschikking gesteld van de Klant.

Ziekenhuizen en andere instellingen die een medeondertekende papieren versie of een versie met gekwalificeerde elektronische handtekening verlangen, kunnen deze aanvragen via regulatory@synduct.com.