Verwerkersovereenkomst

1. Partijen en aanvaarding

Deze gegevensverwerkingsovereenkomst (DPA) wordt gesloten tussen SIMILIA LTD, met statutaire zetel te 71–75 Shelton Street, Covent Garden, Londen, Verenigd Koninkrijk, WC2H 9JQ (Similia), en de behandelaar, kliniek of andere organisatie die in het elektronische acceptatieregister wordt vermeld (Klant).

De persoon die de overeenkomst accepteert, bevestigt bevoegd te zijn om de Klant te binden. Wanneer een behandelaar persoonlijk handelt en niet via een afzonderlijke rechtspersoon, is die behandelaar de Klant. Het acceptatieregister vermeldt de Klant, de vertegenwoordiger, het geauthenticeerde account, de geaccepteerde versie van de DPA en de bijlagen, evenals de acceptatiedatum. Similia verstrekt een kopie van dat register en van de overeengekomen documenten.

Wanneer de Klant het aanbod van Similia voor deze DPA accepteert via het activeringsproces voor patiëntgegevens, zijn beide partijen eraan gebonden. Deze DPA wordt onderdeel van de dienstverleningsovereenkomst en heeft betrekking op de hieronder beschreven verwerking. De DPA hoeft niet opnieuw te worden geaccepteerd voor iedere patiënt of casus. De acceptatie geldt voor het gebruik door de genoemde Klant via het account dat in het register is vermeld. Andere accounthouders vallen hier niet automatisch onder. Een andere Klant heeft een eigen overeenkomst nodig.

2. Reikwijdte en rollen

“Patiëntgegevens van de Klant” betekent persoonsgegevens die door of namens de Klant zijn ingediend over patiënten en personen die in hun dossiers worden genoemd, samen met identificeerbare informatie die daaruit is afgeleid. Dit omvat gezondheidsnotities, symptomen, ziektegeschiedenissen, contactgegevens, foto's, opnamen, transcripties en analyseresultaten. Informatie die via een code of andere redelijkerwijs beschikbare informatie aan een patiënt kan worden gekoppeld, blijft hieronder vallen.

De Klant bepaalt de doeleinden van deze verwerking en treedt op als verwerkingsverantwoordelijke. Similia verwerkt de Patiëntgegevens van de Klant namens de Klant als verwerker. De verwerking wordt beschreven in Bijlage A.

Wanneer de Klant zelf optreedt als verwerker voor een andere verwerkingsverantwoordelijke, is deze DPA van toepassing op Similia als diens subverwerker. De Klant moet van die verwerkingsverantwoordelijke de bevoegdheid hebben om Similia aan te stellen en de instructies en toestemmingen in deze DPA te verstrekken; verwijzingen naar verplichtingen van de verwerkingsverantwoordelijke zijn van toepassing op de Klant voor zover deze onder zijn verantwoordelijkheden en bevoegde instructies vallen.

De afzonderlijke verwerking door Similia van account-, facturerings- en bedrijfsadministratieve gegevens voor eigen doeleinden wordt beschreven in het Privacybeleid van Similia. Die rol geeft Similia niet het recht om Patiëntgegevens van de Klant voor onafhankelijke doeleinden te gebruiken. Deze DPA is niet van toepassing op het raadplegen van referentiemateriaal of op volledig fictief of daadwerkelijk geanonimiseerd studiemateriaal, hoewel de gebruikelijke privacyverplichtingen voor accounts van kracht blijven.

“Toepasselijke wetgeving inzake gegevensbescherming” betekent de wetgeving inzake persoonsgegevens die van toepassing is op de betreffende partij en verwerking, waaronder de Britse AVG, de Britse Data Protection Act 2018 en, waar van toepassing, de AVG van de EU. Het internationale gebruik van deze gemeenschappelijke DPA betekent op zichzelf niet dat iedere Klant onder de AVG van de EU of het Verenigd Koninkrijk valt.

3. Instructies en toegestaan gebruik

Similia verwerkt Patiëntgegevens van de Klant uitsluitend op basis van gedocumenteerde instructies van de Klant, met inbegrip van instructies over doorgiften. De dienstverleningsovereenkomst, deze DPA, de geselecteerde functies en de geautoriseerde handelingen binnen de dienst vormen deze instructies. Aanvullende instructies kunnen schriftelijk worden overeengekomen.

Similia stelt de Klant onmiddellijk op de hoogte als een instructie naar haar oordeel in strijd is met het toepasselijke gegevensbeschermingsrecht van het VK, de EU of een lidstaat, en schort de betreffende instructie op totdat de kwestie is opgelost.

Als verwerking buiten die instructies vereist is op grond van toepasselijk recht van het VK, de EU of een lidstaat, stelt Similia de Klant daarvan vóór de verwerking op de hoogte, tenzij dat recht kennisgeving verbiedt om gewichtige redenen van algemeen belang. Andere verzoeken van overheidsinstanties worden beoordeeld op grond van het toepasselijke recht en de waarborgen voor doorgiften; zij vormen geen algemene uitzondering op deze DPA.

Patiëntgegevens van de Klant worden niet verkocht, gebruikt voor advertenties of gebruikt om AI-modellen te trainen of verder af te stemmen. Similia staat haar subverwerkers niet toe deze gegevens voor die doeleinden te gebruiken. AI-verwerking is beperkt tot de geautoriseerde functie en de aanbieders, doeleinden en bewaartermijnen die in Bijlage C zijn vermeld. Deze bepaling garandeert niet dat elke aanbieder de gegevens helemaal niet bewaart.

4. Verantwoordelijkheden van de Klant

De Klant is verantwoordelijk voor het rechtmatig verzamelen, gebruiken en verstrekken van Patiëntgegevens van de Klant, passende informatieverstrekking aan patiënten, gegevensminimalisatie en geautoriseerde toegang en deling. Waar van toepassing moet de Klant een rechtsgrond uit hoofde van artikel 6 en een voorwaarde uit hoofde van artikel 9 voor gezondheidsgegevens vaststellen en voldoen aan de relevante vereisten inzake vertrouwelijkheid en nationaal recht.

De Klant moet toestemming verkrijgen wanneer toestemming vereist is. Het aanvaarden van deze DPA of het inschakelen van een AI-functie geldt niet als toestemming van de patiënt. Studenten moeten handelen binnen de bevoegdheid van de verantwoordelijke praktijk of instelling wanneer zij patiëntgegevens daarvan gebruiken; een studentenaccount op zichzelf verleent die bevoegdheid niet.

Deze verantwoordelijkheden doen niets af aan de eigen wettelijke of contractuele verplichtingen van Similia.

5. Vertrouwelijkheid en beveiliging

Similia beperkt de toegang tot personeel dat deze nodig heeft voor de overeengekomen verwerking en dat gebonden is aan contractuele of wettelijke geheimhoudingsplichten.

Similia handhaaft technische en organisatorische maatregelen die passend zijn voor de risico's, met inbegrip van de gevoeligheid van gezondheidsgegevens, zoals gespecificeerd in Bijlage B. Deze maatregelen hebben betrekking op toegangscontrole, versleuteling, veerkracht en herstel, incidentafhandeling en regelmatige evaluatie van waarborgen. Wezenlijke wijzigingen zullen het overeengekomen beschermingsniveau niet verlagen.

6. Subverwerkers

De Klant verleent algemene schriftelijke toestemming aan de subverwerkers die in Bijlage C worden beschreven om, met inachtneming van de daarin opgenomen openbaarmakingsvereisten, de vermelde verwerkingen uit te voeren. Similia zal een voorgenomen toevoeging of vervanging ten minste 30 dagen van tevoren schriftelijk aankondigen, met voldoende informatie om de gevolgen ervan te kunnen beoordelen.

De Klant kan binnen die periode op redelijke gegevensbeschermingsgronden bezwaar maken. De partijen zullen naar een alternatief of passende waarborgen zoeken. De voorgestelde subverwerker ontvangt geen gegevens van die Klant zolang het tijdig ingediende bezwaar niet is opgelost. Als geen oplossing mogelijk is, kan elke partij de betreffende functie of dienst beëindigen; de Klant kan zijn gegevens ophalen en een evenredige terugbetaling ontvangen van ongebruikte, vooruitbetaalde vergoedingen voor de beëindigde dienst.

Similia zal iedere subverwerker door middel van een bindende overeenkomst gelijkwaardige, relevante gegevensbeschermingsverplichtingen opleggen en blijft tegenover de Klant verantwoordelijk voor de prestaties van zijn subverwerker. AI-routering vormt geen algemene toestemming voor niet-openbaar gemaakte downstreamproviders.

7. Internationale verwerking

Similia zal de relevante landen van verwerking en toegang, evenals de toepasselijke doorgifteregelingen volgens Bijlage C, bekendmaken voordat de betreffende verwerking begint. Voordat een doorgifte plaatsvindt waarvoor waarborgen vereist zijn, zal de verantwoordelijke partij het vereiste mechanisme en eventuele noodzakelijke beoordelingen en aanvullende maatregelen invoeren. Similia blijft verantwoordelijk voor doorgiften die het naar zijn subverwerkers initieert.

Waar van toepassing kunnen de waarborgen bestaan uit een geldig adequaatheidsbesluit, volledig ingevulde standaardcontractbepalingen van de EU voor doorgifte of een toepasselijk Brits instrument voor internationale doorgifte. Deze moeten betrekking hebben op de daadwerkelijke doorgifte en partijen; deze DPA vormt op zichzelf geen vervanging voor ontbrekende doorgiftebepalingen. Toegang op afstand vanuit een ander land moet eveneens in aanmerking worden genomen.

8. Bijstand en incidenten

Rekening houdend met de aard van de verwerking zal Similia passende bijstand verlenen, zodat de Klant kan reageren op verzoeken om inzage, rectificatie, wissing, beperking, overdraagbaarheid en andere toepasselijke rechten van betrokkenen. Similia zal verzoeken van patiënten met betrekking tot Patiëntgegevens van de Klant zonder onredelijke vertraging doorsturen naar de Klant en zal deze niet zelfstandig beoordelen of uitvoeren, behalve op instructie of wanneer dit wettelijk vereist is.

Rekening houdend met de informatie waarover Similia beschikt, zal het ondersteuning bieden bij beveiligingsverplichtingen, de beoordeling en melding van inbreuken, gegevensbeschermingseffectbeoordelingen en vereist voorafgaand overleg met toezichthouders.

Similia zal de Klant zonder onredelijke vertraging nadat het kennis heeft genomen van een inbreuk in verband met persoonsgegevens die gevolgen heeft voor Patiëntgegevens van de Klant, hiervan op de hoogte stellen. De eerste melding wordt niet uitgesteld totdat het onderzoek volledig is afgerond. De beschikbare informatie zal betrekking hebben op de aard van het incident, de getroffen gegevens en personen, de waarschijnlijke gevolgen, de getroffen responsmaatregelen en een contactpunt; aanvullende informatie volgt zodra deze beschikbaar is. De Klant blijft verantwoordelijk voor zijn eigen beslissingen en termijnen met betrekking tot meldingen, zonder afbreuk te doen aan de rechtstreekse verplichtingen van Similia.

Meldingen aan de Klant worden verzonden naar de privacycontactpersoon die in het acceptatieregister staat vermeld, of naar een schriftelijk meegedeelde vervanger. Verzoeken inzake gegevensbescherming, incidentmeldingen en kennisgevingen aan Similia moeten worden verzonden naar info@similia.io. Similia zal dit contactadres bewaken en verzoeken doorsturen naar het verantwoordelijke personeel.

9. Teruggave, verwijdering en duur

De DPA blijft van kracht zolang Similia Patiëntgegevens van de Klant voor de Klant verwerkt, met inbegrip van eventuele beschermde resterende kopieën na beëindiging van de dienstverlening.

Aan het einde van de betreffende verwerkingsdiensten kan de Klant kiezen voor teruggave gevolgd door verwijdering, of voor verwijdering, van de Patiëntgegevens van de Klant. Similia verwijdert bestaande kopieën, tenzij het toepasselijke recht van het VK, de EU of een lidstaat bewaring vereist. Export, verwijdering en de verwerking van resterende kopieën vinden plaats overeenkomstig Bijlage B.

Resterende kopieën blijven beschermd, zijn niet beschikbaar voor regulier gebruik van de dienst en worden tijdens de eerstvolgende toepasselijke geplande verwijderingscyclus gewist. Als een back-up voor herstel wordt teruggezet, worden reeds uitgevoerde verwijderingsinstructies opnieuw toegepast voordat de herstelde gegevens weer voor regulier gebruik beschikbaar worden. Similia verstrekt op verzoek een bevestiging van de voltooiing.

Informatie over patiënten wordt niet bewaard op grond van een algemene uitzondering voor verbetering van de dienstverlening, gedeelde inhoud of de-identificatie. Voor ieder ander verwerkingsdoel is een eigen geldige wettelijke en contractuele grondslag vereist.

10. Verantwoordingsplicht, audits en wijzigingen

Similia zal de informatie verstrekken die nodig is om naleving van zijn verplichtingen als verwerker aan te tonen en zal audits door de Klant, waaronder inspecties door een bevoegde onafhankelijke auditor, toestaan en daaraan bijdragen. Relevante rapporten en bewijs op afstand kunnen eerst worden gebruikt wanneer deze toereikend zijn; zij nemen het recht op een inspectie wanneer die noodzakelijk is niet weg. Redelijke regelingen moeten de gegevens van andere klanten en de beveiliging van de dienst beschermen zonder effectief toezicht of toezichthouders te belemmeren.

Als deze DPA met betrekking tot Patiëntgegevens van de Klant strijdig is met de algemene voorwaarden, heeft deze DPA voorrang. Toepasselijke verplichte doorgiftebepalingen hebben voorrang op daarmee strijdige bepalingen. Niets beperkt wettelijke verantwoordelijkheden of de rechten van betrokkenen.

Wijzigingen in deze DPA vereisen een rechtstreekse kennisgeving en een geldig overeenstemmingsmechanisme voordat zij van kracht worden. Het enkel vervangen van de gepubliceerde pagina is onvoldoende. Wijzigingen van subverwerkers vallen onder artikel 6. Op deze DPA is het recht van Engeland en Wales van toepassing en de rechtbanken daarvan zijn bevoegd, met inachtneming van dwingend gegevensbeschermingsrecht, de wettelijke rechten van betrokkenen en de vereisten van doorgiftebepalingen. De geaccepteerde taalversie en de bijbehorende bijlagen worden in het acceptatieregister bewaard.

Bijlage A — beschrijving van de verwerking

Bijlage B — beveiliging en bewaring

Similia zal de volgende maatregelen voor Patiëntgegevens van de Klant invoeren en in stand houden. Deze verplichtingen gelden voor de eigen systemen van Similia en, via passende contractuele en technische controles, voor de diensten die het inschakelt.

Actieve dossiers en teruggave. Dossiers blijven beschikbaar zolang de Klant de dienst gebruikt, totdat de Klant opdracht geeft tot verwijdering of de betreffende verwerking eindigt. De Klant kan accountgegevens exporteren in het beschikbare machineleesbare formaat en bewaarde bijlagen ophalen. Similia zal helpen bij een verzoek tot teruggave waaraan de exporthulpmiddelen niet kunnen voldoen. Bij beëindiging zal Similia een redelijke mogelijkheid bieden om de gegevens te ontvangen voordat deze worden verwijderd, tenzij de Klant onmiddellijke verwijdering heeft opgedragen of de wet teruggave verhindert.

Verwijdering. Een geauthenticeerde opdracht tot verwijdering van een dossier of account geeft Similia de instructie om de betreffende gegevens uit het actieve gebruik van de dienst te verwijderen. Similia zal de gegevens zonder onredelijke vertraging uit actieve systemen verwijderen en de instructie doorgeven aan relevante subverwerkers. Verwijderde objecten in Google Cloud Storage kunnen maximaal zeven dagen in afgeschermde opslag voor voorlopig verwijderde gegevens blijven staan. Deze periode heeft betrekking op die objecten en beschrijft niet de bewaartermijn van ieder systeem.

Resterende kopieën. Back-ups, noodherstelkopieën en beveiligingsregistraties van providers die niet onmiddellijk selectief kunnen worden gewist, moeten buiten regulier gebruik worden geplaatst, beschermd blijven en zo spoedig mogelijk tijdens de eerstvolgende toepasselijke verwijderingscyclus worden gewist. Similia zal iedere toepasselijke bewaartermijn documenteren, deze gegevens beschikbaar stellen aan de Klant en ervoor zorgen dat iedere vertraging noodzakelijk en evenredig is. Similia zal de verwijdering op verzoek bevestigen. Iedere wettelijk verplichte bewaring wordt beperkt tot de gegevens en de periode die de wet vereist, waarbij de reden wordt meegedeeld tenzij dit wettelijk verboden is.

Audio, afbeeldingen en AI. Alleen de inhoud die nodig is voor de geselecteerde functie mag worden doorgestuurd. Vooraf opgenomen proving-audio is tijdelijk en wordt na transcriptie uit de actieve opslag verwijderd; het verwijderde opslagobject wordt behandeld volgens de hierboven beschreven regeling voor voorlopige verwijdering. Opgeslagen transcripties, afbeeldingen en analyseresultaten volgen de instructies van de Klant voor dossiers. Bewaring door providers voor beveiligings- of operationele doeleinden moet beperkt en bekendgemaakt zijn en onder de verplichtingen voor subverwerkers vallen; deze DPA geeft geen toestemming voor training of niet-gerelateerd hergebruik en garandeert geen universele bewaringstermijn van nul.

Bijlage C — dienstverleners en verwerking

De Klant verleent Similia algemene schriftelijke toestemming om binnen de onderstaande reikwijdte diensten in te schakelen overeenkomstig artikel 6. Dit vormt geen toestemming voor een niet-openbaar gemaakte verwerkingsketen. Voordat een dienst Patiëntgegevens van de Klant ontvangt, verstrekt Similia aan de Klant de juridische identiteit en contactgegevens van de contracterende partij, het doel, de landen van verwerking en toegang, de toepasselijke bewaartermijnen en eventuele vereiste waarborgen voor doorgifte. Similia houdt deze informatie bij voor de verwerkingsketen, met inbegrip van verdere dienstverleners, en maakt deze gemakkelijk toegankelijk. Wijzigingen worden uitgevoerd overeenkomstig artikel 6.

Het gebruik van een optionele functie geldt als een instructie voor de verwerking die nodig is om die functie te leveren. Het verleent geen bevoegdheid voor aanvullende doeleinden. Similia stuurt geen Patiëntgegevens van de Klant naar een optionele AI- of transcriptiedienst uitsluitend omdat de Klant deze DPA heeft aanvaard.

Hosting, modelverwerking en geautoriseerde toegang voor ondersteuning kunnen internationale doorgiften met zich meebrengen. Het merk van een aanbieder of de locatie van een database bepaalt niet waar elke verwerkingsactiviteit plaatsvindt. Similia moet de daadwerkelijke locaties en verdere verwerking voorafgaand aan de doorgifte bekendmaken en deze rechtmatig regelen, zoals vereist op grond van artikel 7.

Het contactadres van Similia voor gegevensbescherming is info@similia.io. De juridische identiteit, het adres, het land, de bevoegde vertegenwoordiger en de privacycontactpersoon van de Klant worden bij aanvaarding vastgelegd. Patiëntgegevens mogen niet in die registratie worden opgenomen.