Verwerkersovereenkomst

Deze verwerkersovereenkomst is opgesteld conform artikel 28 AVG en beschrijft de verwerking van persoonsgegevens door Interweb (PraktijkBaken) in opdracht van de praktijk.

Partijen

De Verwerkingsverantwoordelijke De praktijk die gebruikmaakt van PraktijkBaken:

• Naam praktijk: ______________________________
• Vestigingsadres: ____________________________
• KvK-nummer: _________________________________
• Vertegenwoordigd door: ______________________
• E-mail: _____________________________________

hierna: "Verantwoordelijke".

De Verwerker Interweb

• Adres: Stan Laurelstrook 57, 2726 VZ Zoetermeer
• KvK-nummer: 27292465
• BTW-nummer: NL002038129B97
• Contact (privacy/datalekken): contact@praktijkbaken.nl
• Product: PraktijkBaken (`[subdomein].praktijkbaken.nl`)

hierna: "Verwerker".

Samen: "Partijen".

Overwegingen

• Verantwoordelijke gebruikt PraktijkBaken, een SaaS-praktijkbeheersysteem, voor het voeren van een

cliëntenadministratie en behandeldossier.

• Bij dit gebruik verwerkt Verwerker persoonsgegevens, waaronder **bijzondere persoonsgegevens over

gezondheid**, in opdracht en onder verantwoordelijkheid van Verantwoordelijke.

• Partijen leggen hun afspraken vast conform artikel 28 lid 3 AVG.

Deze verwerkersovereenkomst maakt onlosmakelijk deel uit van de tussen Partijen gesloten (hoofd)overeenkomst / Algemene Voorwaarden van PraktijkBaken.

Artikel 1: Definities

Begrippen als "persoonsgegevens", "verwerking", "betrokkene", "bijzondere categorieën van persoonsgegevens", "sub-verwerker", "datalek" (inbreuk in verband met persoonsgegevens) en "toezichthoudende autoriteit" hebben de betekenis die de AVG (Verordening (EU) 2016/679) eraan geeft.

Artikel 2: Onderwerp, aard en doel van de verwerking

1. Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren en onderhouden van

PraktijkBaken: cliënt- en afsprakenbeheer, behandeldossier, facturatie, cliëntenportaal, agenda(synchronisatie), berichtgeving en de daarbij behorende ondersteuning.

1. De aard van de verwerking omvat: opslaan, raadplegen, ordenen, wijzigen, verzenden (e-mail),

back-uppen en verwijderen.

1. Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van

Verantwoordelijke, zoals vastgelegd in deze overeenkomst en het normale gebruik van de software, tenzij een wettelijke verplichting anders bepaalt (in welk geval Verwerker Verantwoordelijke vooraf informeert, tenzij die wet dat verbiedt).

Artikel 3: Categorieën betrokkenen en soorten gegevens

Categorieën betrokkenen:

• Cliënten/patiënten van de praktijk;
• Medewerkers/behandelaren van de praktijk (gebruikers van het portaal).

Soorten persoonsgegevens:

• Identificatie- en contactgegevens: naam, adres, postcode, woonplaats, telefoon, e-mail,

geboortedatum, geslacht;

• BSN (versleuteld opgeslagen);
• Gezondheidsgegevens (bijzondere categorie, art. 9 AVG): hulpvraag, behandelnotities,

behandelplannen, verslagen, geüploade documenten, en door AI-functies verwerkte dictaten/ handschrift/schetsen;

• Afspraak- en facturatiegegevens;
• Account-/inloggegevens van behandelaren (incl. 2FA-gegevens).

Artikel 4: Verplichtingen van de Verwerker

1. Verwerker verwerkt de gegevens alleen conform de instructies van Verantwoordelijke.
2. Verwerker waarborgt dat personen die toegang hebben tot de gegevens tot geheimhouding

verplicht zijn.

1. Verwerker treft passende technische en organisatorische maatregelen (art. 32 AVG); zie Bijlage A.
2. Verwerker verleent Verantwoordelijke redelijke medewerking bij:

• verzoeken van betrokkenen (inzage, correctie, verwijdering, dataportabiliteit, bezwaar);
• het voldoen aan de beveiligings-, meld- en DPIA-verplichtingen (art. 32–36 AVG).

1. Verwerker stelt Verantwoordelijke de informatie ter beschikking die nodig is om naleving van

art. 28 AVG aan te tonen en maakt audits mogelijk (zie art. 8).

Artikel 5: Sub-verwerkers

1. Verantwoordelijke geeft Verwerker algemene toestemming om sub-verwerkers in te schakelen. De

actuele lijst staat in Bijlage B.

1. Verwerker legt aan elke sub-verwerker dezelfde gegevensbeschermingsverplichtingen op als in deze

overeenkomst.

1. Bij een voorgenomen wijziging (nieuwe of vervangende sub-verwerker) informeert Verwerker

Verantwoordelijke, zodat deze bezwaar kan maken. Bij gegrond bezwaar treden Partijen in overleg; Verantwoordelijke kan bij het uitblijven van een oplossing de overeenkomst opzeggen.

Artikel 6: Doorgifte buiten de EU en de EER

1. Opslag en primaire verwerking vinden plaats binnen de EER (hosting in Duitsland/EU).
2. Tot 7 september 2026 liepen de AI-functies via OpenAI (Verenigde Staten) onder de EU-modelcontractbepalingen. Sinds die datum draaien zij bij Franse leveranciers en is die doorgifte beëindigd (zie art. 12 en Bijlage B), zodat er geen doorgifte buiten de EU en de EER meer plaatsvindt. Eén optionele functie (beeldbellen) loopt via een verwerker in Noorwegen: dat land hoort bij de EER maar niet bij de EU.

waarborgt Verwerker een passend beschermingsniveau via de EU-modelcontractbepalingen (SCC's) en aanvullende maatregelen. AI-functies zijn per praktijk in- of uitschakelbaar (zie art. 12).

Artikel 7: Datalekken

1. Verwerker meldt een datalek zonder onredelijke vertraging na ontdekking aan Verantwoordelijke,

via het opgegeven contactadres, met alle informatie die Verantwoordelijke nodig heeft om zo nodig binnen 72 uur aan de Autoriteit Persoonsgegevens en betrokkenen te melden.

1. De melding bevat ten minste: aard van het lek, betrokken categorieën/aantallen, waarschijnlijke

gevolgen en de getroffen/voorgestelde maatregelen.

1. Verwerker documenteert alle datalekken.

Artikel 8: Audit

1. Verwerker stelt Verantwoordelijke in staat de naleving te controleren, maximaal eens per jaar (of

na een datalek), na redelijke aankondiging en zonder de bedrijfsvoering onevenredig te verstoren.

1. Kosten van een door Verantwoordelijke gewenste externe audit komen voor diens rekening, tenzij uit

de audit een materiële tekortkoming van Verwerker blijkt.

Artikel 9: Teruggave en verwijdering

1. Bij beëindiging verwijdert Verwerker, naar keuze van Verantwoordelijke, alle persoonsgegevens of

geeft deze in een gangbaar formaat terug (export), en verwijdert bestaande kopieën, tenzij een wettelijke bewaarplicht (bv. de medische dossierplicht) anders vereist.

1. Verantwoordelijke is en blijft verantwoordelijk voor het naleven van wettelijke bewaartermijnen

van het medisch dossier.

Artikel 10: Aansprakelijkheid

De aansprakelijkheid van Partijen wordt beheerst door de (hoofd)overeenkomst / Algemene Voorwaarden. Boetes van de toezichthouder en schade voortvloeiend uit een aan Verwerker toe te rekenen tekortkoming komen voor rekening van Verwerker, met inachtneming van de overeengekomen beperkingen.

Artikel 11: Duur en beëindiging

Deze overeenkomst geldt zolang Verwerker voor Verantwoordelijke persoonsgegevens verwerkt en eindigt van rechtswege bij het einde van de (hoofd)overeenkomst. Bepalingen die naar hun aard voortduren (o.a. geheimhouding, art. 9) blijven van kracht.

Artikel 12: AI-functies (optioneel)

PraktijkBaken bevat optionele AI-functies (spraak-naar-tekst, notitieverbetering, dossierassistent, handschrift-/schetsherkenning). Deze staan standaard uit en zijn per praktijk in- en uitschakelbaar. Sinds 7 september 2026 draaien zij alle vier bij leveranciers binnen de EU: spraak naar tekst bij OVHcloud (Frankrijk), de overige drie bij Mistral AI (Frankrijk). Verwerker heeft bij beide vastgelegd dat invoer en uitvoer niet worden gebruikt om modellen te trainen. Verantwoordelijke kiest hieronder:

• [ ] AI-functies ingeschakeld (verwerking binnen de EU, zie art. 6)
• [ ] AI-functies uitgeschakeld

Artikel 13: Toepasselijk recht

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van Verwerker.

Ondertekening

Bijlage A: Technische en organisatorische beveiligingsmaatregelen (art. 32 AVG)

• Hosting binnen de EER: dedicated VPS bij Hetzner (Duitsland), Ubuntu 24.04.
• Isolatie per praktijk: elke praktijk draait in een eigen besturingssysteem-account met een

eigen database en een eigen applicatie-proces (per-tenant OS-isolatie), zodat praktijken niet bij elkaars gegevens kunnen.

• Versleuteling: transport via TLS/HTTPS (Let's Encrypt); BSN versleuteld opgeslagen;

wachtwoorden gehasht.

• Toegangsbeveiliging: rolgebaseerde toegang; tweefactorauthenticatie (2FA/TOTP) voor

behandelaren; cliënt-isolatie (elke behandelaar ziet uitsluitend eigen cliënten).

• Netwerk-/misbruikbescherming: firewall, fail2ban, rate-limiting op inlog- en aanmeldpogingen,

e-mailbevestiging (double opt-in) op publieke formulieren.

• Back-ups: dagelijkse, geautomatiseerde back-ups (database + bestanden + configuratie) met

14 dagen bewaartermijn en volledigheidscontrole/alarm; periodieke herstel-tests.

• Logging & monitoring: audit-logging van gevoelige handelingen; healthchecks met alerting;

resourcemonitoring met drempel-alarmen.

• Beveiligingsonderhoud: security-audits en tijdige updates.

Bijlage B: Sub-verwerkers

*Versie 1.0, 2026-08-08. Bijlage B (sub-verwerkers) bijgewerkt 2026-08-19: Whereby AS toegevoegd voor het optionele video-consult (Noorwegen/EER, geen opname). Bijgewerkt 2026-09-26: pCloud AG toegevoegd als externe, extra Europese clouddienst voor vooraf versleutelde reservekopieën (Luxemburg).*