Verwerkersovereenkomst

Waarom dit document bestaat

Zodra je met Nollie werkt, komen er persoonsgegevens van je patiënten op onze systemen terecht. De AVG noemt dat een verwerking in opdracht, en vereist daarvoor een schriftelijke overeenkomst tussen de verantwoordelijke en de verwerker. Dit is die overeenkomst. Ze geldt automatisch vanaf het moment dat je abonnement start, samen met de algemene voorwaarden en het privacybeleid.

De rolverdeling is niet onderhandelbaar, want ze volgt uit de wet en uit je beroep:

Wij zijn Soluxion BV, Steenbruggestraat 11, 8570 Anzegem, België, ondernemingsnummer 0607.888.607. Alles wat met deze overeenkomst te maken heeft, mag naar [email protected].

Wat we precies voor jou verwerken

De wet wil dat hier concreet staat wat er gebeurt, en niet enkel “gegevens verwerken”. Vandaar deze tabel: ze omschrijft de volledige opdracht die je ons geeft.

Verandert er iets wezenlijks aan deze opdracht, bijvoorbeeld omdat er een nieuwe module bijkomt die andere gegevens verwerkt, dan passen we deze tabel aan en verwittigen we je zoals beschreven in hoofdstuk 12.

Wij handelen enkel op jouw instructie

Wij verwerken de gegevens van je patiënten alleen zoals jij het vraagt. Concreet betekent dat drie dingen.

• Je gebruik ís je instructie. Wat je in de software doet, en wat in deze overeenkomst en de voorwaarden staat, vormt samen de opdracht. Heb je daarnaast een specifieke instructie, stuur ze dan schriftelijk door.
• Nooit voor onszelf. We gebruiken je patiëntgegevens niet voor eigen analyses, niet voor reclame, niet om producten te ontwikkelen en niet om modellen te trainen. Statistieken over het gebruik van de software maken we uitsluitend op geanonimiseerde basis, zonder herleidbare gegevens.
• We zeggen het als je instructie niet kan. Vraagt een instructie ons om iets te doen dat volgens ons in strijd is met de AVG of met andere wetgeving, dan voeren we ze niet blind uit: we lichten je in en leggen uit waarom.

Verplicht een wet ons uitzonderlijk toch om gegevens te verwerken buiten jouw instructie om, bijvoorbeeld op bevel van een rechter, dan verwittigen we je daarover vooraf, tenzij diezelfde wet ons dat verbiedt.

Geheimhouding en wie toegang heeft

Toegang tot medische dossiers is bij ons geen gemaksrecht, maar een uitzondering die verantwoord moet worden.

• Iedereen bij ons die met persoonsgegevens in aanraking kan komen, is contractueel tot geheimhouding gebonden, ook nadat de samenwerking of het arbeidscontract stopt.
• Toegang wordt toegekend op basis van noodzaak. Wie een dossier niet nodig heeft voor zijn werk, krijgt er geen toegang toe.
• Bij een technisch probleem kijken we pas in je gegevens nadat jij daarom vraagt of toestemming geeft, enkel zo diep als nodig, en die toegang wordt gelogd.
• Onze mensen zijn opgeleid over hoe ze met gezondheidsgegevens moeten omgaan en wat er van hen verwacht wordt.

Hoe we je dossiers beveiligen

Artikel 32 van de AVG vraagt maatregelen die passen bij het risico. Bij gezondheidsgegevens ligt die lat hoog. Dit is wat we doen:

• ✓Versleuteling onderweg en in rust. Al het verkeer loopt over TLS; de opgeslagen gegevens en de back-ups zijn versleuteld.
• ✓Toegangscontrole per rol. Binnen je praktijk bepaal jij wie wat ziet. Aan onze kant geldt hetzelfde principe, met sterke authenticatie voor beheerderstoegang.
• ✓Logging van gevoelige handelingen. Wie welk dossier opvroeg of wijzigde, blijft traceerbaar en controleerbaar.
• ✓Geteste back-ups. We nemen ze automatisch én zetten ze geregeld terug, zodat we weten dat ze werken wanneer het moet.
• ✓Gescheiden omgevingen. Ontwikkeling en test draaien nooit op echte patiëntgegevens.
• ✓Updates en kwetsbaarheden. Beveiligingsupdates worden opgevolgd en snel uitgerold.

Beveiliging is geen eindpunt. We passen deze maatregelen aan wanneer de techniek of het risico daarom vraagt, en we mogen ze wijzigen zolang het beschermingsniveau er niet op achteruitgaat.

Onderaannemers die we inschakelen

We bouwen niet alles zelf. Voor hosting, back-ups, e-mail en betalingen werken we met gespecialiseerde partijen. Je geeft ons met deze overeenkomst de toestemming om die in te schakelen, onder strikte voorwaarden.

Elke onderaannemer wordt vooraf beoordeeld en krijgt via een schriftelijke overeenkomst dezelfde verplichtingen opgelegd als die welke hier staan. Tegenover jou blijven wij volledig aansprakelijk voor wat zij doen: je hoeft je nooit tot hen te wenden.

Wat als er iemand bijkomt of wegvalt

Willen we een onderaannemer vervangen of toevoegen, dan verwittigen we je minstens 30 dagen vooraf. Heb je daar een gegronde reden toe, dan kan je binnen die termijn bezwaar maken. Raken we er samen niet uit, dan mag je je abonnement kosteloos stopzetten tegen de datum waarop de wijziging ingaat, met behoud van je exportrecht uit hoofdstuk 11.

Als er toch iets misgaat

Een datalek is geen theoretisch scenario, dus spreken we op voorhand af hoe we reageren. Stellen we een inbreuk vast op de beveiliging van je gegevens, dan verwittigen we je zonder onnodige vertraging en in principe binnen 48 uur na kennisname, per e-mail en indien nodig telefonisch.

Die melding bevat alles wat jij nodig hebt om je eigen beoordeling te maken:

• Wat er gebeurd is, wanneer, en hoe we het ontdekten.
• Welke categorieën gegevens en ongeveer hoeveel betrokkenen getroffen zijn.
• De waarschijnlijke gevolgen en of de gegevens versleuteld waren.
• Welke maatregelen we genomen hebben om het in te dammen en te herstellen.

Weten we nog niet alles, dan wachten we niet: we melden wat we hebben en vullen aan naarmate het onderzoek vordert. We houden van elk incident een register bij.

Hulp bij vragen van patiënten

Vraagt een patiënt inzage in zijn dossier, verbetering van een fout of verwijdering van gegevens? Dan is jij de juiste bestemmeling: het is jouw dossier en jouw beslissing. Wij helpen je technisch om die vraag te beantwoorden.

Het meeste kan je zelf in de software: dossiers raadplegen, exporteren, corrigeren en verwijderen. Lukt het daarmee niet, dan reageren we op je vraag om bijstand binnen vijf werkdagen. Krijgen wij rechtstreeks een verzoek van een van je patiënten, dan behandelen we het niet zelf maar sturen we het door naar jou.

Daarnaast helpen we je, in verhouding tot wat wij als verwerker kunnen weten, ook bij je andere verplichtingen: bij een gegevensbeschermingseffectbeoordeling (DPIA), bij een voorafgaande raadpleging van de toezichthouder, en bij het aantonen dat de beveiliging in orde is.

Je recht om ons te controleren

Je moet ons niet op ons woord geloven. Op eenvoudig verzoek bezorgen we je de informatie waarmee je kan nagaan of we onze verplichtingen nakomen: een beschrijving van de maatregelen, de actuele lijst van onderaannemers, en eventuele auditverslagen of certificaten waarover we beschikken.

Volstaat dat niet, dan mag je een audit laten uitvoeren, zelf of door een onafhankelijke deskundige die niet met ons concurreert. De spelregels houden het werkbaar voor allebei: je kondigt de audit minstens 30 dagen op voorhand aan, ze vindt plaats tijdens de kantooruren, verstoort onze dienstverlening niet, en de auditor is tot geheimhouding gehouden. Behoudens ernstige aanwijzingen van een tekortkoming gebeurt dit hoogstens één keer per jaar, op jouw kosten.

Brengt de audit een tekortkoming aan het licht, dan pakken we die aan op onze kosten, en zonder dralen.

Waar je gegevens fysiek staan

Je patiëntendossiers worden opgeslagen en verwerkt op servers binnen de Europese Economische Ruimte. Dat geldt ook voor de back-ups.

We dragen geen persoonsgegevens over naar landen buiten de EER, tenzij dat onvermijdelijk zou worden en er een geldige juridische basis voor bestaat: een adequaatheidsbesluit van de Europese Commissie of de standaardcontractbepalingen, met de nodige aanvullende waarborgen. Zou zo'n situatie zich ooit aandienen, dan verwittigen we je vooraf, zoals bij een wijziging van onderaannemers.

Wat er op het einde gebeurt

Deze overeenkomst loopt zolang wij gegevens voor jou verwerken, en dus zolang je abonnement duurt. Stopt het, dan verloopt het als volgt:

Let op je eigen kant van de afspraak: als verantwoordelijke blijf jij onderworpen aan de wettelijke bewaartermijnen voor patiëntendossiers van kinesitherapeuten. Zorg er dus voor dat je export tijdig en volledig veiliggesteld is vóór het einde van die 60 dagen.

Verhouding tot de andere afspraken

Deze overeenkomst staat niet op zichzelf. Ze vult de algemene voorwaarden aan, en bij tegenstrijdigheid over de verwerking van persoonsgegevens heeft dit document voorrang. Voor alles wat hier niet geregeld is, gelden de voorwaarden: dat geldt ook voor de aansprakelijkheidsregeling.

Wijzigt de wetgeving of de manier waarop we werken, dan mogen we deze overeenkomst aanpassen. Gaat het om een wezenlijke wijziging, dan verwittigen we je minstens één maand vooraf, en kan je opzeggen zoals in de voorwaarden beschreven. Op deze overeenkomst is het Belgische recht van toepassing; geschillen volgen dezelfde weg als in de voorwaarden.

Deze versie dateert van augustus 2026 en vervangt alle eerdere versies.