Verwerkersovereenkomst

1. Partijen

Deze Verwerkersovereenkomst (“VOW”) wordt gesloten tussen:

• Verwerker: ClinicNow B.V., KvK 99822792, gevestigd in Nederland (“ClinicNow” of “Verwerker”)
• Verwerkingsverantwoordelijke: De klant die een account heeft aangemaakt en akkoord is gegaan met de Algemene Voorwaarden (“Klant” of “Verwerkingsverantwoordelijke”)

Door gebruik te maken van de diensten van ClinicNow gaat de Klant akkoord met deze VOW. De VOW vormt een onderdeel van de Algemene Voorwaarden en is van toepassing vanaf het moment van registratie.

2. Doeleinden van de verwerking

ClinicNow verwerkt persoonsgegevens uitsluitend ten behoeve van de levering van de AI-receptionist dienst aan de Klant, bestaande uit:

• Het beantwoorden en routeren van inkomende telefoongesprekken
• Het vastleggen en samenvatten van gespreksinformatie
• Het verzenden van WhatsApp- en SMS-notificaties aan bellers en teamleden
• Het bijhouden van contactgegevens ten behoeve van opvolging
• Het genereren van dagelijkse samenvattingen voor de Klant

Verwerking buiten deze doeleinden vindt niet plaats zonder voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke.

3. Categorieën van persoonsgegevens

De volgende categorieën persoonsgegevens worden verwerkt:

• Telefoonnummers (gemaskeerd opgeslagen als ***-***-XXXX)
• Namen van bellers (indien door de beller verstrekt)
• Gespreksinhoud en samenvattingen
• Tijdstippen en duur van gesprekken
• WhatsApp- en SMS-berichten
• Urgentieclassificaties

Bij gebruik door zorgverleners (tandartsen, fysiotherapeuten, huisartsen e.d.) kunnen gesprekssamenvattingen bijzondere persoonsgegevens in de zin van AVG Art. 9 bevatten. De Klant draagt de verantwoordelijkheid voor de rechtmatige grondslag voor deze verwerking (AVG Art. 9(2)(h)).

4. Verplichtingen van de Verwerker

ClinicNow verplicht zich tot het volgende:

• Persoonsgegevens uitsluitend verwerken op gedocumenteerde instructie van de Klant
• Strikte vertrouwelijkheid waarborgen voor alle bij de verwerking betrokken personen
• Passende technische en organisatorische beveiligingsmaatregelen treffen conform AVG Art. 32
• De Klant onverwijld (uiterlijk binnen 48 uur) informeren bij een vermoeden van een datalek
• Alle persoonsgegevens verwijderen of retourneren na beëindiging van de dienstverlening
• De Klant ondersteunen bij het voldoen aan verzoeken van betrokkenen (inzage, rectificatie, verwijdering)

5. Sub-verwerkers

ClinicNow maakt gebruik van onderstaande sub-verwerkers. Doorgifte buiten de EER vindt uitsluitend plaats op basis van door de Europese Commissie goedgekeurde Standaard Contractbepalingen (SCC's).

Bij wijziging van sub-verwerkers wordt de Klant minimaal 14 dagen vooraf geïnformeerd via e-mail.

6. Beveiliging

ClinicNow hanteert de volgende technische en organisatorische beveiligingsmaatregelen:

• Versleuteling van data in transit (TLS 1.2+) en data at rest (AES-256)
• Telefoonnummers worden gemaskeerd opgeslagen — ruwe nummers worden niet persistent bewaard
• Row-level security (RLS) op alle databasetabellen
• HTTPS-only met strikte beveiligingsheaders (CSP, HSTS, X-Frame-Options)
• Toegang tot productiesystemen via multi-factor authenticatie
• Automatische pseudonimisering van persoonsgegevens na verstrijken van de bewaartermijn

7. Bewaartermijnen

Persoonsgegevens worden bewaard conform de volgende termijnen:

• Gespreksgegevens (standaard): 7 jaar na aanmaak
• Gespreksgegevens (zorgverleners): minimaal 15 jaar conform WGBO Art. 454
• Contactgegevens: 7 jaar na laatste activiteit
• Berichten en notificaties: 7 jaar na aanmaak

Na verstrijken van de bewaartermijn worden persoonsgegevens automatisch gepseudonimiseerd. Op verzoek van de Klant kunnen gegevens eerder worden verwijderd, tenzij wettelijke verplichtingen (zoals WGBO) dit verhinderen.

8. Rechten van betrokkenen

Bij verzoeken van betrokkenen (inzage, correctie, verwijdering, bezwaar) ondersteunt ClinicNow de Klant bij het naleven van deze verplichtingen. Verzoeken kunnen worden ingediend via privacy@clinicnow.nl.ClinicNow reageert binnen 5 werkdagen.

9. Datalekken

Bij een (vermoeden van een) datalek informeert ClinicNow de Klant onverwijld en uiterlijk binnen 48 uur. De melding bevat minimaal: de aard van het lek, de betrokken gegevens, de genomen maatregelen en aanbevelingen voor verdere stappen. De Klant is als Verwerkingsverantwoordelijke verantwoordelijk voor eventuele melding bij de Autoriteit Persoonsgegevens (AP) binnen 72 uur.

10. Looptijd en beëindiging

Deze VOW is van kracht zolang de Klant gebruik maakt van de diensten van ClinicNow. Bij beëindiging van de dienstverlening worden alle persoonsgegevens van de Klant op verzoek geretourneerd of verwijderd, uiterlijk binnen 30 dagen na beëindging, tenzij wettelijke bewaarverplichtingen van toepassing zijn.

11. Contact en toepasselijk recht

Voor vragen over deze VOW: privacy@clinicnow.nl

Op deze VOW is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Amsterdam.