Verwerkersovereenkomst

# Overeenkomst gegevensverwerking (DPA) **Tussen:** **Verantwoordelijke:** de praktijk die deze overeenkomst aanvaardt via het Rina-dashboard en die wordt geïdentificeerd door de aanvaardingsregistratie van die aanvaarding (praktijknaam, aanvaardende gebruiker, tijdstip en documenthash), hierna **"Verwerkingsverantwoordelijke"**. **Verwerker:** Dagknight Consulting BV, Markt 30a, 2840 Rumst, België, ondernemingsnummer 1026.743.119, BTW BE 1026.743.119, hierna **"Verwerker"**. Beide partijen samen aangeduid als **"Partijen"**. --- ## 1. Voorwerp Deze overeenkomst regelt de verwerking van persoonsgegevens door Verwerker namens Verwerkingsverantwoordelijke in het kader van de dienst **"Rina - digitale receptionist"** (de "Dienst"). ## 2. Aard, doeleinde en duur | Element | Omschrijving | |---|---| | **Aard van de verwerking** | Telefonisch beantwoorden van patiëntoproepen, identificatie van bestaande patiënten, het inplannen en doorgeven van afspraken, en escalatie naar de tandarts indien nodig. | | **Doeleinden** | Uitvoering van administratieve dienstverlening die de praktijk normaal zelf zou doen. | | **Categorieën persoonsgegevens** | Naam, telefoonnummer, e-mailadres, geboortedatum, reden van consultatie, mutualiteit (indien opgegeven), audio-opname van het gesprek, transcriptie van het gesprek. | | **Categorieën betrokkenen** | Patiënten (huidige en potentiële) van Verwerkingsverantwoordelijke. | | **Duur** | Voor de duur van het contract tussen Partijen. Opnames en transcripties bij ElevenLabs worden na 30 dagen verwijderd; lokale auditverwijzingen worden dan getombstoned, tenzij anders overeengekomen of vereist door een lopend incident. | ## 3. Verplichtingen Verwerker Verwerker zal: a. Persoonsgegevens uitsluitend verwerken op gedocumenteerde instructie van Verwerkingsverantwoordelijke; b. Personen die toegang hebben tot persoonsgegevens onderwerpen aan een geheimhoudingsplicht; c. Passende technische en organisatorische maatregelen treffen (zie Bijlage A); d. Verwerkingsverantwoordelijke onverwijld op de hoogte brengen bij een datalek (binnen 24 uur na ontdekking); e. Bijstand verlenen bij verzoeken van betrokkenen (inzage, rectificatie, verwijdering, beperking, dataportabiliteit, bezwaar); f. Op verzoek van Verwerkingsverantwoordelijke een kopie van de verwerkings- activiteiten beschikbaar stellen ter audit, max. 1x per jaar. ## 4. Subverwerkers Verwerker schakelt de volgende subverwerkers in. De tabel hieronder geeft doel, locatie en waarborg per subverwerker; de datastromen en de bewaartermijnen staan in artikel 7 en in Bijlage A, die deel uitmaakt van deze overeenkomst. | Subverwerker | Doel | Locatie | Waarborg | |---|---|---|---| | ElevenLabs Inc. | Voice-AI processing (spraakherkenning, stem, LLM-orkestratie), opname en transcriptie van gesprekken | VS; EU-residentie alleen op Enterprise-niveau | DPA + Standard Contractual Clauses (SCCs) | | OpenAI / Anthropic | LLM-inferentie (uitsluitend via ElevenLabs) | VS | Via ElevenLabs DPA + SCCs | | Twilio Inc. / Twilio Ireland Ltd. | Telefonienetwerk, nummerprovisioning en SMS | Ierland/VS | DPA + SCCs; Binding Corporate Rules | | Cal.com Inc. | Agendaplanning: vrije sloten en afspraakregistratie | EU-dataregio | DPA-verificatie loopt; tot afronding uitsluitend demodata | | Microsoft Azure | Hosting van het Rina-dashboard en het auditlog (geen opnames of volledige transcripties) | West Europa | Microsoft Online Services DPA | | Cloudflare Inc. | Beveiligde koppelingen (TLS 1.3) tussen telefonie, spraak-AI, agenda en dashboard | VS/EU edge | DPA + SCCs | | AgentMail | Aflevering van demo-formulieraanvragen (alleen het websitecontactformulier, geen patiëntdata) | VS (San Francisco) | Geen patiëntdata verwerkt; DPA/SCC's worden gesloten vóór elk gebruik met cliëntdata | | Apify | Verzameling van publieke praktijkgegevens voor prospectie (geen patiëntdata) | VS/EU | DPA; geen patiëntgegevens | | Telegram (optioneel, uit by default) | Notificaties naar de praktijk, alleen op expliciet verzoek | Buiten EER | Dataminimalisatie; geen volledige gespreksinhoud | Nieuwe subverwerkers worden ten minste **14 dagen** vooraf gemeld. Verwerkings- verantwoordelijke kan bezwaar maken; in dat geval kan de Dienst niet langer geleverd worden in zijn huidige vorm. ## 5. Internationale doorgifte Verwerker stelt geen "EU-hosting" in het vooruitzicht. De feitelijke datastromen zijn: - **Gespreksaudio, opnames en transcripties** worden verwerkt in de **VS** door ElevenLabs Inc. (EU-residentie is bij ElevenLabs alleen beschikbaar op Enterprise-niveau), onder een verwerkersovereenkomst met **Standard Contractual Clauses** (SCCs) van de Europese Commissie en aanvullende waarborgen (TLS-versleutelde verbindingen, minimale bewaartermijn van 30 dagen). Per praktijk wordt een doorgifte-impactanalyse (TIA) vastgelegd. - **Telefonie en SMS** lopen via Twilio Ireland Ltd. (Ierland) met mogelijke toegang vanuit de VS onder Binding Corporate Rules en SCCs. - **Agendagegevens** (naam en telefoonnummer van de beller, gekozen tijdslot) worden verwerkt in de EU-dataregio van Cal.com. - **Configuratie, gespreksresultaten en het auditlog** (metadata, nooit volledige transcripties) blijven in Microsoft Azure-regio **West Europa**. Verwerkingsverantwoordelijke erkent en aanvaardt deze doorgifte. Indien de SCCs ongeldig worden verklaard, zal Verwerker binnen 60 dagen een alternatieve waarborg of subverwerker voorstellen. ## 6. Audit & inspectie Verwerkingsverantwoordelijke heeft het recht om jaarlijks een audit uit te voeren of door een onafhankelijke derde te laten uitvoeren. Aankondiging minimaal 30 dagen vooraf. Verwerker werkt redelijk mee. Het auditlog van de Dienst is hash-geketend en manipulatie-evident; Verwerker stelt de verificatieprocedure daarvan beschikbaar als onderdeel van elke audit. ## 7. Beëindiging Bij beëindiging van de Dienst: - Verwerker verwijdert alle persoonsgegevens binnen **30 dagen** of stelt ze ter beschikking van Verwerkingsverantwoordelijke in een courant formaat; - Een schriftelijke bevestiging van vernietiging wordt verstrekt. ## 8. Aansprakelijkheid Aansprakelijkheid van Verwerker is beperkt tot de aansprakelijkheid voorzien in artikel 82 AVG. ## 9. Toepasselijk recht Belgisch recht. Bevoegde rechtbanken: de rechtbanken van het gerechtelijk arrondissement Antwerpen, zijnde het arrondissement van de zetel van Verwerker. --- ## Bijlage A: Technische en organisatorische maatregelen | Maatregel | Implementatie | |---|---| | **Versleuteling tijdens transport** | TLS op alle verbindingen; telefonie-signaling naar de spraak-AI loopt over SIP met TLS (poort 5061) | | **Versleuteling in rust** | Platformversleuteling van de subverwerkers (Microsoft Azure, Cloudflare, Cal.com, ElevenLabs); geen eigen opslag van opnames of transcripties door Verwerker | | **Toegangscontrole** | Minste-rechten-principe, MFA op beheerderstoegang, API-sleutels per integratie buiten de broncode, aangeleverd via de beveiligde secret-opslag van het deployment-platform | | **Logging** | Elk gesprek en elk gespreksresultaat wordt vastgelegd in een append-only, hash-geketend auditlog per praktijk; het log bevat nooit volledige transcripties. Platformlogs van Cloudflare en Azure volgen de retentie-instelling van die platformen | | **Bewaartermijn opnames** | 30 dagen bij ElevenLabs (per-agent retentie-instelling, met verwijdering van de audio); eerdere verwijdering op verzoek van Verwerkingsverantwoordelijke | | **Data-locatie** | Audio/transcripties: VS (ElevenLabs, onder DPA + SCCs); agenda: Cal.com EU-dataregio; auditlog en configuratie: Azure West Europa; zie Bijlage A | | **Backup** | Azure Database for PostgreSQL wordt automatisch geback-upt door het platform, volgens de retentie-instelling van die dienst. Opnames worden bewust niet geback-upt: zij vervallen na 30 dagen | | **Continuïteit** | Bij uitval van de spraak-AI hoort de beller een tweetalige excuusmelding in plaats van stilte; de praktijk kan de agent per direct stilleggen via een kill-switch die bij elke oproep vers wordt gelezen | | **Veiligheidstests** | Nachtelijke geautomatiseerde evaluatie van de spraakagent (scenario-accuut met onder andere injectiepogingen, taalwissels en misbruikcases); externe pentest vóór opschaling boven 10 praktijken | --- ## Bijlage B: Datalek-procedure Bij ontdekking van een datalek: 1. Verwerker stelt Verwerkingsverantwoordelijke binnen **24 uur** op de hoogte; 2. Eerste bericht bevat: aard, categorie betrokkenen, geschatte aantal records, genomen maatregelen; 3. Volledige melding binnen **72 uur** met root cause + remediatieplan; 4. Verwerkingsverantwoordelijke beslist over melding aan de Gegevens- beschermingsautoriteit en betrokkenen. --- **Aanvaarding** Deze overeenkomst wordt elektronisch aanvaard in het Rina-dashboard. Van elke aanvaarding legt Verwerker vier gegevens vast: de praktijknaam, de gebruiker die aanvaardt, het tijdstip van aanvaarding en de hash van de aanvaarde tekst. Die registratie bepaalt welke versie van deze overeenkomst tussen Partijen geldt. Verwerker is door deze overeenkomst gebonden vanaf het ogenblik dat hij de Dienst voor Verwerkingsverantwoordelijke levert.