Verwerkersovereenkomst
Versie 1.0, geldig vanaf 1 oktober 2026
Deze overeenkomst is opgesteld voor ApoTrace en nog niet juridisch getoetst. Laat hem nakijken door een jurist met kennis van de AVG in de zorg voordat u hem ondertekent, en vul de ontbrekende bedrijfsgegevens aan.
Partijen
Verwerkingsverantwoordelijke: de apotheek die ApoTrace afneemt, hierna "u". U bepaalt waarom en hoe de persoonsgegevens worden verwerkt.
Verwerker: Pharmail BV, gevestigd te Numansdorp, KvK [KvK-nummer], hierna "wij". Wij verwerken de gegevens uitsluitend in uw opdracht.
Deze overeenkomst hoort bij de overeenkomst over het gebruik van ApoTrace en geldt zolang wij persoonsgegevens voor u verwerken.
1. Waarvoor wij gegevens verwerken
Wij verwerken persoonsgegevens alleen om de dienst te leveren, en wel voor:
- het volgen van recepten binnen de apotheek en het vastleggen van de locatie
- het informeren van patiënten over het klaarliggen en het bezorgen van medicatie
- het plannen en uitvoeren van bezorgritten
- het ondersteunen van de begeleiding bij een eerste uitgifte
- het bijhouden van wie welke handeling heeft verricht, voor controle en verantwoording
Wij gebruiken de gegevens nergens anders voor. Niet voor eigen doeleinden, niet voor marketing, en niet om modellen mee te trainen.
2. Welke gegevens en van wie
| Betrokkenen | Gegevens |
|---|---|
| Patiënten van de apotheek | Naam, geboortedatum, adres, telefoonnummer, e-mailadres, receptnummer, naam en dosering van het geneesmiddel, locatie in de apotheek, verzonden berichten en de voorkeur voor het ontvangen ervan, bezorginstructies, en bij een eerste uitgifte de uitkomst van een gesprek |
| Medewerkers van de apotheek | Naam, initialen, e-mailadres, rol, en de handelingen die zij in het systeem verrichten |
| Bezorgers | Naam, en tijdens een actieve rit de locatiegegevens van het voertuig |
Hieronder vallen bijzondere persoonsgegevens over gezondheid. Wij behandelen die met de extra zorgvuldigheid die daarbij hoort.
3. Wij volgen uw instructies
Wij verwerken de gegevens alleen op uw schriftelijke instructie, waaronder deze overeenkomst. Verplicht de wet ons tot een verwerking die daarbuiten valt, dan melden wij dat vooraf, tenzij die wet dat verbiedt.
Vinden wij dat een instructie in strijd is met de AVG, dan laten wij u dat direct weten.
4. Geheimhouding
Iedereen die bij ons toegang heeft tot de gegevens is tot geheimhouding verplicht. Toegang krijgt alleen wie die nodig heeft voor het leveren of onderhouden van de dienst, en niet langer dan nodig.
5. Beveiliging
Wij treffen passende technische en organisatorische maatregelen, waaronder:
- gegevens versleuteld onderweg (TLS) en versleuteld opgeslagen
- scheiding per apotheek in de database, afgedwongen op rijniveau, zodat een apotheek nooit de gegevens van een andere apotheek kan zien
- een eigen account per medewerker, met rollen, en tweefactorauthenticatie voor beheerders
- vastlegging van handelingen, inclusief wie wat wanneer deed
- beperkte bewaartermijnen die automatisch worden afgedwongen, zie artikel 10
- minimalisering in berichten: in onbeveiligde sms of e-mail staat nooit welk middel het betreft
- locatiegegevens van bezorgers alleen tijdens een actieve rit, technisch afgedwongen
- dagelijkse back-ups en herstelmogelijkheid naar een eerder tijdstip
- scheiding van ontwikkel-, test- en productieomgeving
Wij zijn niet NEN 7510 gecertificeerd. De hierboven genoemde maatregelen zijn getroffen, maar er is geen certificering die dat door een derde laat toetsen. Wij melden het u als dat verandert.
6. Subverwerkers
U geeft ons toestemming om de volgende subverwerkers in te schakelen. Met elk van hen is een verwerkersovereenkomst gesloten.
| Partij | Waarvoor | Locatie |
|---|---|---|
| Supabase | database en hosting van gegevens | Europese Unie |
| Vercel | hosting van de applicatie | Europese Unie |
| Resend | verzenden van e-mail | Europese Unie |
| CM.com | verzenden van sms | Nederland |
| Enovation | ZorgMail, veilige e-mail, alleen als u die module gebruikt | Nederland |
| [spraakplatform] | telefonische begeleiding, alleen als u die module gebruikt | Europese Unie |
Willen wij een subverwerker toevoegen of vervangen, dan laten wij dat minimaal een maand van tevoren weten. Maakt u binnen die maand gemotiveerd bezwaar en komen wij er samen niet uit, dan mag u de overeenkomst opzeggen tegen de datum van de wijziging.
7. Doorgifte buiten de Europese Economische Ruimte
Wij verwerken en bewaren de gegevens binnen de Europese Economische Ruimte. Is doorgifte daarbuiten onvermijdelijk, dan gebeurt dat alleen met een geldige grondslag, zoals een adequaatheidsbesluit of standaardcontractbepalingen, en melden wij dat vooraf.
8. Datalekken
Ontdekken wij een inbreuk in verband met persoonsgegevens, dan melden wij dat aan u zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat wij ervan op de hoogte zijn. Wij geven daarbij in elk geval:
- wat er is gebeurd en wanneer
- welke categorieën gegevens en hoeveel betrokkenen het ongeveer betreft
- de waarschijnlijke gevolgen
- welke maatregelen wij hebben genomen of voorstellen
De melding aan de Autoriteit Persoonsgegevens en aan betrokkenen doet u, als verwerkingsverantwoordelijke. Wij helpen u daarbij met alle informatie die wij hebben. Wij melden zelf niet namens u, tenzij wij dat schriftelijk hebben afgesproken.
9. Rechten van betrokkenen
Krijgt een patiënt of medewerker inzage, correctie, verwijdering of bezwaar in gedachten, dan handelt u dat af. Wij helpen u daarbij en leveren binnen vijf werkdagen de gegevens of voeren de gevraagde handeling uit.
Komt een verzoek per ongeluk bij ons binnen, dan sturen wij het direct naar u door en beantwoorden wij het niet zelf.
10. Bewaartermijnen
ApoTrace is een werkvoorraad, geen dossier. Uw apotheekinformatiesysteem blijft de bronregistratie. Daarom zijn de bewaartermijnen kort en worden ze automatisch afgedwongen:
| Gegevens | Bewaartermijn |
|---|---|
| Recepten en patiëntgegevens | 90 dagen na afhalen, instelbaar |
| Scanhandelingen en wie wat deed | 1 jaar |
| Locatiegegevens van bezorgers | 7 dagen |
| Verzonden berichten | met het recept mee |
| Transcripten van telefoongesprekken | zoals u instelt, standaard met de taak mee |
Van gesprekken bewaren wij het transcript en niet de audio.
11. Controle
U mag een keer per jaar laten controleren of wij ons aan deze overeenkomst houden, door een onafhankelijke deskundige met een geheimhoudingsplicht. U kondigt dat minimaal een maand van tevoren aan. De kosten zijn voor u, tenzij uit de controle blijkt dat wij ons niet aan de afspraken houden.
Wij verlenen medewerking en leveren de informatie die nodig is om aan te tonen dat wij aan onze verplichtingen voldoen.
12. Aan het einde
Eindigt de overeenkomst, dan leveren wij de gegevens op uw verzoek in een leesbaar bestandsformaat aan u terug. Daarna verwijderen wij alle persoonsgegevens uit onze systemen, uiterlijk dertig dagen na het einde, inclusief die bij subverwerkers.
Back-ups worden volgens het gebruikelijke schema overschreven en zijn uiterlijk na dertig dagen verdwenen. Zolang ze bestaan blijven deze afspraken erop van toepassing.
13. Aansprakelijkheid
De beperkingen uit de algemene voorwaarden gelden ook hier, voor zover de wet dat toelaat. Boetes die de Autoriteit Persoonsgegevens aan een van ons oplegt, worden gedragen door de partij aan wie de overtreding is toe te rekenen.
14. Contact
Vragen over deze overeenkomst of over de verwerking van gegevens: info@apotrace.nl.