![](data:image/svg+xml,<svg display="block" role="presentation" viewBox="0 0 20 20" xmlns="http://www.w3.org/2000/svg"><path d="M 0 7 L 14 7 M 7 0 L 14 7 L 7 14" fill="transparent" height="14px" id="IgiwaydbD" stroke-dasharray="" stroke-linecap="round" stroke-linejoin="round" stroke-width="1.5" stroke="rgb(0, 0, 0)" transform="translate(3 3)" width="14px"/></svg>)
In deze bijlage wordt de verwerking van Persoonsgegevens beschreven die door de Verwerker namens de Verwerkingsverantwoordelijke wordt uitgevoerd in het kader van de DPA.
1. Onderwerp en doeleinden van de verwerking
De Verwerker levert een Software-as-a-Service (SaaS)-oplossing (de „Diensten") die is ontworpen ter ondersteuning van de klinische, administratieve en/of sociale zorgworkflows van de Verwerkingsverantwoordelijke, met inbegrip van op AI gebaseerde documentatie en functionaliteit ter ondersteuning van klinische besluitvorming. De Diensten worden nader omschreven in de Klantovereenkomst. De Diensten kunnen ook het ophalen van Persoonsgegevens uit de klantsystemen van de Verwerkingsverantwoordelijke omvatten.
De Verwerker verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke uitsluitend met het oog op het leveren van de Diensten krachtens de Klantovereenkomst en in overeenstemming met de gedocumenteerde Instructies van de Verwerkingsverantwoordelijke. Deze beschrijving is van toepassing op de Diensten in hun geheel, ongeacht welke modules of functionaliteiten de Verwerkingsverantwoordelijke van tijd tot tijd kiest te activeren of te gebruiken.
Het toegestane doel omvat tevens het configureren, aanpassen en personaliseren van de Diensten voor de Verwerkingsverantwoordelijke, zijn geautoriseerde Gebruikers en de tenant van de Verwerkingsverantwoordelijke, met inbegrip van gebruikersvoorkeuren, workflow-instellingen, sjablonen, taalinstellingen, specialiteits- of rolgebaseerde configuraties en Verwerkingsverantwoordelijke-specifieke uitvoeropmaak, alsmede het uitvoeren van kwaliteitsborging en klinische/veiligheidsevaluaties die noodzakelijk zijn voor de veilige, correcte en betrouwbare levering van de Diensten aan die Verwerkingsverantwoordelijke, uitsluitend als onderdeel van het leveren, onderhouden, ondersteunen en beveiligen van de Diensten.
De Verwerkingsverantwoordelijke bepaalt de doeleinden en middelen van de verwerking en is als enige verantwoordelijk voor de rechtsgrondslag op grond van de artikelen 6 en 9 van de AVG.
2. Categorieën van betrokkenen
De volgende subcategorieën van de „betrokkenen" (zoals gedefinieerd in de DPA) waarvan de Persoonsgegevens worden verwerkt in het kader van deze bijlage, zijn:
(a) Onder „gebruiker" wordt verstaan: de sociale of zorgprofessional van de Verwerkingsverantwoordelijke, en ander personeel dat door de Verwerkingsverantwoordelijke is gemachtigd om toegang te krijgen tot de Diensten en deze te gebruiken.
(b) Onder „deelnemer" wordt verstaan: een persoon die gebruikmaakt van gezondheidszorg, sociale zorg of aanverwante Diensten van de Verwerkingsverantwoordelijke, waarbij dergelijke Diensten via de Diensten worden gedocumenteerd of ondersteund.
(c) Onder „Ondersteunende deelnemer" wordt verstaan: een persoon, anders dan de Deelnemer, die via de Diensten in verband met een Deelnemer wordt geïdentificeerd of genoemd, met inbegrip van maar niet beperkt tot een wettelijke voogd (bijvoorbeeld wanneer de Deelnemer minderjarig is), een persoonlijke assistent, een familielid of naaste verwante, een verzorger, een maatschappelijk werker of andere vertegenwoordiger van de sociale zorg, een tolk of vertaler, een doorverwijzende arts of een andere persoon die via de Diensten in verband met een Deelnemer wordt geïdentificeerd of genoemd.
3. Categorieën van persoonsgegevens
In de onderstaande tabel worden de categorieën Persoonsgegevens weergegeven die door de Verwerker namens de Verwerkingsverantwoordelijke worden verwerkt, samen met de categorie(ën) van betrokkenen waarop deze van toepassing zijn:
Categorie van Persoonsgegevens | Beschrijving | Toepasselijke categorie van betrokkenen |
|---|---|---|
Identificatie- en contactgegevens | Gegevens waarmee een betrokkene kan worden geïdentificeerd of waarmee contact met hem of haar kan worden opgenomen, zoals naam, contactgegevens en, indien vermeld of ingevoerd, een unieke identificatiecode zoals een nationaal identiteitsnummer of sessie-ID. | Gebruikers en deelnemers, uitsluitend voor zover deze gegevens worden vermeld of ingevoerd in verband met de Diensten of worden opgehaald uit de klantsystemen van de Verwerkingsverantwoordelijke. |
Account- en gebruiksgegevens | Gegevens die worden gegenereerd door toegang tot en gebruik van de Diensten, zoals gebruikers-ID's, inloggegevens, IP-adres en activiteits- of loggegevens. | Alleen gebruikers. Deelnemers en ondersteunende deelnemers hebben geen accounts bij de Diensten. |
Gezondheidsgerelateerde gegevens | Gegevens met betrekking tot gezondheid en daarmee samenhangende gevoelige omstandigheden die tijdens een consult kunnen worden besproken of vastgelegd, of die voorafgaand aan of anderszins buiten een consult worden opgehaald uit de klantsystemen van de Verwerkingsverantwoordelijke, zoals medische geschiedenis, symptomen, diagnoses, behandeling, medicatie, testresultaten en levensstijl of sociale omstandigheden (bijvoorbeeld rook- of alcoholgewoonten, gezinssituatie). | Deelnemers. |
Opname- en documentatiegegevens | Audio-opnames, transcripties, klinische aantekeningen, gegenereerde documenten en voorgestelde codes die binnen de Diensten worden geproduceerd, die de hierboven beschreven categorieën kunnen bevatten, evenals alle andere Persoonsgegevens die worden vastgelegd, gegenereerd of waarnaar wordt verwezen via de levering van de Diensten. | Voornamelijk gebruikers en deelnemers. Ondersteunende deelnemers, uitsluitend voor zover vastgelegd in een opname of daaruit voortvloeiende documentatie. |
Communicatiegegevens | Gegevens met betrekking tot uitnodigingen en meldingen, zoals naam (bijv. van een uitnodigende beheerder of andere afzender/ontvanger), e-mailadres, naam van de kliniek en metadata over verzending of interactie. | Alleen gebruikers, in verband met uitnodigingen voor accounts en meldingen. |
Ondersteuningsgegevens | Gegevens met betrekking tot ondersteuningsverzoeken die in verband met de Diensten zijn ingediend, zoals de naam en contactgegevens van de aanvrager, de inhoud van het ondersteuningsverzoek en metagegevens over de bijbehorende correspondentie en interactie. | Alleen gebruikers, in verband met ondersteuningsverzoeken die bij de Verwerker zijn ingediend met betrekking tot de Diensten. |
Personaliserings- en configuratiegegevens | Gebruikersvoorkeuren, sjablonen, taalinstellingen, workflowinstellingen, op specialisme of rol gebaseerde configuraties, voor de Verwerkingsverantwoordelijke specifieke uitvoeropmaak, door gebruikers aangebrachte bewerkingen, correcties en feedback op gegenereerde documenten of andere uitvoer (voor zover gebruikt om de Diensten te configureren of te personaliseren), personalisatie-artefacten, inbeddingen, vectordatabases en bijbehorende metadata, uitsluitend voor zover gegenereerd of onderhouden voor de tenant van de Verwerkingsverantwoordelijke en geautoriseerde Gebruikers als onderdeel van het leveren van de Diensten. | Gebruikers en, uitsluitend indien het artefact hun informatie bevat of onthult, Deelnemers en Ondersteunende Deelnemers. Dergelijke gegevens blijven Persoonsgegevens en, indien van toepassing, Invoergegevens, tenzij ze onomkeerbaar geanonimiseerd zijn. |
4. Duur van de verwerking
Persoonsgegevens met betrekking tot Gebruikers worden door de Verwerker verwerkt en opgeslagen gedurende de looptijd van de Klantovereenkomst en daarna teruggegeven en/of verwijderd in overeenstemming met de DPA, tenzij de partijen schriftelijk anders overeenkomen.
Persoonsgegevens met betrekking tot Deelnemers en Ondersteunende Deelnemers worden door de Verwerker bewaard gedurende 30 dagen vanaf de datum van aanmaak, waarna deze worden verwerkt met als doel ervoor te zorgen dat direct identificeerbare gegevens, zoals namen, adressen en nationale identiteitsnummers, niet in het bestand achterblijven, tenzij de partijen schriftelijk anders overeenkomen. Deze operationele bewaartermijn geldt gedurende de looptijd van de Klantovereenkomst en laat de DPA onverlet, die afzonderlijk de teruggave en/of verwijdering van Persoonsgegevens bij beëindiging van de DPA regelt. Personalisatie- en configuratiegegevens worden slechts bewaard zolang als nodig is om de Diensten aan de Verwerkingsverantwoordelijke en zijn geautoriseerde Gebruikers te leveren, of gedurende de kortere termijn die is gespecificeerd in de Klantovereenkomst, modulespecifieke instructies of het bewaarschema.