Verwerkersovereenkomst (DPA)
Voor zorg- en zakelijke klanten sluit VeraDossier een verwerkersovereenkomst (DPA) conform artikel 28 AVG. Deze pagina vat de kernafspraken samen; de bindende overeenkomst wordt afzonderlijk ondertekend.
1. Rollen
De klant is verwerkingsverantwoordelijke; CodeSpark Tech B.V. (VeraDossier), KvK 42053556, is verwerker en verwerkt persoonsgegevens uitsluitend volgens gedocumenteerde instructies van de klant.
2. Beveiliging & residentie
- Verwerking op EU-servers; medische verwerking on-premise.
- Audio wordt in de browser versleuteld voordat het wordt verstuurd en versleuteld opgeslagen; post-quantum cryptografie (ML-KEM) voor sleutels. Bij on-premise inzet vindt bij ons geen ontsleuteling plaats; bij de gehoste variant uitsluitend voor de transcriptiestap. Zie Beveiliging.
- Ingericht volgens NEN 7510 en de AVG/GDPR. Wij houden daarvoor geen certificaat. Audit trail beschikbaar.
3. Subverwerkers
Een actuele subverwerkerslijst wordt vóór ondertekening van de verwerkersovereenkomst verstrekt en bij wijzigingen vooraf aangekondigd.
4. Rechten van betrokkenen & datalekken
VeraDossier ondersteunt de klant bij verzoeken van betrokkenen (art. 28 lid 3 sub e AVG) en bij een DPIA en voorafgaande raadpleging (art. 28 lid 3 sub f, art. 35–36 AVG).
Een inbreuk in verband met persoonsgegevens melden wij onverwijld aan de klant, met de informatie die de klant nodig heeft om zelf te beoordelen en te melden (art. 33 lid 2 AVG). De meldplicht aan de Autoriteit Persoonsgegevens binnen 72 uur en de eventuele mededeling aan betrokkenen liggen bij de klant als verwerkingsverantwoordelijke (art. 33 lid 1 en art. 34 AVG).
5. Geheimhouding, audit en teruggave
- Geheimhouding. Personen die onder ons gezag toegang hebben tot persoonsgegevens zijn contractueel tot geheimhouding verplicht (art. 28 lid 3 sub b AVG).
- Controle. De klant kan de naleving van deze afspraken controleren via audits of inspecties, dan wel via een auditrapport van een onafhankelijke derde (art. 28 lid 3 sub h AVG). Wij stellen de informatie beschikbaar die nodig is om die naleving aan te tonen.
- Einde van de overeenkomst. Na afloop van de dienstverlening worden de persoonsgegevens naar keuze van de klant teruggegeven of verwijderd, tenzij een wettelijke bewaarplicht geldt (art. 28 lid 3 sub g AVG).
- Bezwaar tegen subverwerkers. Wijzigingen in de subverwerkerslijst worden vooraf aangekondigd; de klant kan daartegen gemotiveerd bezwaar maken (art. 28 lid 2 AVG).