Verwerkersovereenkomst — Bijlage A bij de Scrivio-overeenkomst
Editie 2026-10
Deze Verwerkersovereenkomst is Bijlage A bij de Overeenkomst — Scrivio EPD Softwarelicentie en dienstverlening, editie 2026-10. Zij verwijst naar die Overeenkomst bij editienummer en niet bij datum: welke tekst geldt, volgt uit het editienummer in de Aanvaardingsregistratie.
Deze editie is ook beschikbaar als PDF, met dezelfde tekst.
Partijen
Afnemer, zoals aangeduid in de Overeenkomst — hierna Verwerkingsverantwoordelijke;
en
Scrivio B.V., statutair gevestigd te Utrecht, KvK-nummer 42028021 — hierna Verwerker.
Artikel 1 — Definities en verhouding tot de Overeenkomst
1.1 De begrippen persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, subverwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) daaraan geeft.
1.2 De begrippen die in artikel 1 van de Overeenkomst zijn gedefinieerd — waaronder Editie, Aanvaarding en Aanvaardingsregistratie — hebben in deze Verwerkersovereenkomst dezelfde betekenis.
1.3 Deze Verwerkersovereenkomst maakt integraal deel uit van de Overeenkomst en wordt tegelijk met haar aanvaard. Voor zover het de verwerking van persoonsgegevens betreft, gaat deze Verwerkersovereenkomst voor op de Overeenkomst.
1.4 Waar hierna Persoonsgegevens staat, worden bedoeld de persoonsgegevens die Verwerker ten behoeve van Verwerkingsverantwoordelijke verwerkt: de gegevens van cliënten, van medewerkers van Verwerkingsverantwoordelijke en van personen die in het dossier worden genoemd.
Artikel 2 — Voorwerp, doel en reikwijdte van de verwerking
2.1 Verwerker verwerkt de Persoonsgegevens uitsluitend in opdracht en op instructie van Verwerkingsverantwoordelijke, en uitsluitend voor het leveren van de Programmatuur en de diensten uit de Overeenkomst. Verwerker verwerkt de Persoonsgegevens niet voor eigen doeleinden.
2.2 De verwerking betreft: dossiervoering, agenda- en afsprakenbeheer, correspondentie, declaratie en facturatie, het cliëntportaal, en de AI-functies die Verwerkingsverantwoordelijke gebruikt. Het gaat daarbij om gewone persoonsgegevens, om het burgerservicenummer en om gegevens over gezondheid, als bedoeld in artikel 9 AVG.
2.3 Betrokkenen zijn cliënten van Verwerkingsverantwoordelijke, hun contactpersonen en wettelijk vertegenwoordigers, en de medewerkers van Verwerkingsverantwoordelijke.
2.4 Verwerker slaat de Persoonsgegevens op binnen de Europese Economische Ruimte. De database, de opslag van documenten en opnames, de servers die de Programmatuur draaien en de opslag van sleutels en certificaten bevinden zich in Nederland, in de Google Cloud-regio europe-west4. Artikel 7 beschrijft de gevallen waarin verwerking buiten die regio plaatsvindt en op welke grondslag.
2.5 Verwerkingsverantwoordelijke staat ervoor in dat zij bevoegd is de Persoonsgegevens te (laten) verwerken en dat zij daarvoor een grondslag heeft.
2.6 Verwerker meldt het Verwerkingsverantwoordelijke onverwijld indien een instructie naar het oordeel van Verwerker in strijd is met de AVG of met andere wetgeving over gegevensbescherming.
Artikel 3 — Beveiliging
3.1 Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, afgestemd op de aard van de gegevens — het gaat om gegevens over gezondheid — en op de risico's van de verwerking.
3.2 De Programmatuur is gebouwd tegen de beheersmaatregelen van NEN 7510. Verwerker is op dit moment niet NEN 7510-gecertificeerd en niet ISO 27001-gecertificeerd, en voert geen certificeringslogo. Het platform waarop de Programmatuur draait, is door de hostingpartij zelf gecertificeerd; die certificering dekt het platform en niet de applicatie die Verwerker daarop bouwt.
3.3 Verwerker treft in elk geval de volgende maatregelen:
a. Versleuteling onderweg. Verkeer tussen de apparatuur van gebruikers en de Programmatuur, en tussen de onderdelen van de Programmatuur onderling, verloopt versleuteld met minimaal TLS 1.2. Onversleuteld verbinden met de database is op de database zelf uitgezet. b. Versleuteling in rust. De database, de bestandsopslag en de back-ups zijn versleuteld opgeslagen. c. Toegang op basis van noodzaak. Toegang tot een dossier vereist naast een rol met de juiste rechten ook een relatie tot de cliënt (behandelteam of team). Gegevens van de ene organisatie zijn niet zichtbaar vanuit een andere. d. Tweefactorauthenticatie. Tweefactorauthenticatie is voor elke gebruiker beschikbaar en kan door de gebruiker zelf worden ingeschakeld. Verwerkingsverantwoordelijke kan tweefactorauthenticatie voor haar hele organisatie verplicht stellen, met een instelbare overgangsperiode. Het verplicht stellen ervan en het toezicht daarop is de verantwoordelijkheid van Verwerkingsverantwoordelijke. e. Logging van toegang. Het inzien, wijzigen, downloaden en exporteren van dossiergegevens wordt vastgelegd, met de gebruiker, het tijdstip, het IP-adres en de browser, overeenkomstig NEN 7513. Ook een poging die op een rechtencontrole strandt, wordt vastgelegd. Het logboek is op databaseniveau alleen-toevoegen: regels kunnen niet worden gewijzigd of verwijderd, ook niet door Verwerker. f. Bewaren van het logboek. Het logboek wordt bewaard en wordt niet verwijderd wanneer dossiergegevens worden gewist. g. Beoordelen van het logboek. Verwerker beoordeelt het logboek op verzoek van Verwerkingsverantwoordelijke en bij een aanwijzing van onbevoegde toegang. Verwerkingsverantwoordelijke kan het logboek van haar eigen organisatie daarnaast zelf raadplegen in de Programmatuur. h. Back-ups. Van de database worden dagelijks back-ups gemaakt. De laatste dertig back-ups worden bewaard, samen met transactielogboeken waarmee tot zeven dagen terug naar een willekeurig moment kan worden hersteld. Herstelprocedures zijn vastgelegd en worden periodiek getest. i. Scannen van uploads. Elk bestand dat naar de Programmatuur wordt geüpload, wordt vóór opslag op schadelijke software gescand. Komt er geen oordeel terug, dan wordt de upload geweigerd en niet opgeslagen.
3.4 Verwerker verplicht de personen die onder haar gezag toegang hebben tot de Persoonsgegevens tot geheimhouding, en verleent toegang uitsluitend voor zover dat voor hun werk nodig is.
3.5 Verwerker kan de maatregelen van artikel 3.3 wijzigen, mits het beschermingsniveau daardoor niet afneemt. Een wezenlijke wijziging wordt aangekondigd zoals in artikel 4.1 beschreven.
3.6 Bijstand op grond van de Wabvpz. Verwerker ondersteunt Verwerkingsverantwoordelijke bij het nakomen van haar verplichtingen uit de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg:
a. Afschrift van het dossier (artikel 15d Wabvpz). Verwerker stelt op verzoek van Verwerkingsverantwoordelijke kosteloos een elektronisch afschrift van het dossier van een cliënt samen en verstrekt dat aan Verwerkingsverantwoordelijke, die het aan de cliënt verstrekt. b. Overzicht van de logging (artikel 15e Wabvpz). Verwerker stelt op verzoek van Verwerkingsverantwoordelijke kosteloos het overzicht samen van wie wanneer welke gegevens van een cliënt heeft ingezien of daarin wijzigingen heeft aangebracht, en verstrekt dat aan Verwerkingsverantwoordelijke. c. Het cliëntportaal. Via het cliëntportaal heeft de cliënt elektronisch toegang tot de gegevens en documenten die zijn of haar behandelaar met hem of haar deelt. Het portaal biedt op dit moment geen volledige inzage in het dossier en geen inzagegeschiedenis; daarvoor gelden de onderdelen a en b.
Verwerker biedt geen systeem voor elektronische uitwisseling van dossiergegevens met andere zorgaanbieders waarvoor een cliënt op grond van artikel 15a Wabvpz toestemming zou moeten geven. Het registreren van zulke toestemming is daarom in deze Verwerkersovereenkomst niet geregeld.
Artikel 4 — Subverwerkers
4.1 Verwerkingsverantwoordelijke geeft Verwerker algemene toestemming om subverwerkers in te schakelen. Verwerker informeert Verwerkingsverantwoordelijke over een voorgenomen wijziging in de lijst van subverwerkers — een toevoeging of een vervanging — ten minste dertig dagen voor de wijziging ingaat. Verwerkingsverantwoordelijke kan daartegen binnen die termijn gemotiveerd bezwaar maken. Komen Partijen er niet uit, dan kan Verwerkingsverantwoordelijke de Overeenkomst opzeggen tegen de ingangsdatum van de wijziging.
4.2 Verwerker legt elke subverwerker bij overeenkomst dezelfde verplichtingen op als die welke in deze Verwerkersovereenkomst voor Verwerker gelden, voor zover die op de betreffende dienst van toepassing zijn.
4.3 Verwerker blijft jegens Verwerkingsverantwoordelijke aansprakelijk voor het nakomen van die verplichtingen door haar subverwerkers.
4.4 De actuele lijst. De lijst van subverwerkers die op enig moment geldt, is de lijst op https://docs.scrivio.nl/vertrouwen/leveranciersdossier.html. Die pagina is de actuele opgave; een wijziging daarvan wordt aangekondigd zoals in artikel 4.1 beschreven. De lijst bevat op de datum van deze editie:
| Subverwerker | Wat die partij verwerkt | Wanneer |
|---|---|---|
| Google Cloud | Hosting: database, bestandsopslag, applicatieservers, sleutelbeheer | Altijd |
| Google Cloud Vertex AI | Gesprekstekst en formuliervragen, voor AI-samenvatting en het voorinvullen van formulieren | Alleen bij gebruik van de AI-functies |
| Firebase Authentication (Google) | E-mailadres, accountnummer, status tweefactorauthenticatie | Altijd |
| Twilio SendGrid | Verzending van e-mail: afspraakbevestigingen en -herinneringen, uitnodigingen, inloglinks voor het cliëntportaal, wachtwoordherstel. Geen dossierinhoud | Altijd |
| Sentry (EU-regio, Duitsland) | Technische foutmeldingen; het meesturen van persoonsgegevens staat uit | Altijd |
| Zivver | Beveiligde verzending van een brief aan een externe ontvanger | Alleen als Verwerkingsverantwoordelijke Zivver inricht en een behandelaar daarvoor kiest |
| VECOZO | Declaratieberichten en de controle op verzekeringsrecht | Alleen bij declareren via de zorgverzekeraar |
| ZorgDomein | Ontvangst van verwijzingen die aan de praktijk worden gestuurd | Alleen als de koppeling voor de praktijk is aangezet |
4.5 AI-verwerking. De AI-functies verlopen via Google Cloud Vertex AI binnen het cloudproject van Verwerker, vastgezet op de EU-multiregio. Prompts en antwoorden worden niet gebruikt om modellen van Google te trainen of bij te stellen. Google mag prompts en antwoorden wel tot dertig dagen bewaren voor misbruikdetectie, los van training; zie ook artikel 10.3.
Artikel 5 — Bewaren en vernietigen
5.1 Verwerker bewaart de Persoonsgegevens zolang de Overeenkomst duurt en zo lang als Verwerkingsverantwoordelijke dat opdraagt. De wettelijke bewaartermijnen voor het dossier zijn een verplichting van Verwerkingsverantwoordelijke; Verwerker hanteert daarop geen eigen automatische verwijdertermijn.
5.2 Vernietiging per cliënt. Verwerker vernietigt op verzoek van Verwerkingsverantwoordelijke het dossier van een cliënt, of aangewezen delen daarvan, blijvend, en legt vast dat en wanneer zij dat heeft gedaan. Verwerker voert zo'n verzoek uit binnen dertig dagen. Verwerker biedt hiervoor op dit moment geen zelfbedieningsfunctie in de Programmatuur: het verzoek wordt door Verwerker uitgevoerd.
5.3 Enkele gegevenssoorten kennen een eigen, kortere termijn, die onafhankelijk van een verzoek verloopt: het geluidsbestand van een opgenomen consult wordt binnen vierentwintig uur verwijderd, een verwijderde of overschreven versie van een document na negentig dagen, en een geüpload exportarchief uit een ander systeem na zeven dagen.
5.4 Het logboek bedoeld in artikel 3.3 onder e blijft bestaan wanneer dossiergegevens worden vernietigd. Zonder die uitzondering zou het bewijs verdwijnen samen met datgene waarover het bewijs gaat.
Artikel 6 — Beveiligingsincidenten en datalekken
6.1 Verwerker informeert Verwerkingsverantwoordelijke onverwijld, en in elk geval binnen vierentwintig uur nadat zij daarvan kennis heeft genomen, over een inbreuk in verband met persoonsgegevens die de gegevens van Verwerkingsverantwoordelijke raakt.
6.2 Die melding bevat in elk geval de aard van de inbreuk, de categorieën en het aantal betrokkenen en gegevens voor zover bekend, de waarschijnlijke gevolgen, en de maatregelen die zijn of worden getroffen. Is nog niet alles bekend, dan meldt Verwerker wat bekend is en vult zij aan zodra er meer bekend is.
6.3 Het melden aan de Autoriteit Persoonsgegevens en, waar nodig, aan de betrokkenen is de verantwoordelijkheid van Verwerkingsverantwoordelijke. Verwerker verleent daarbij de bijstand die redelijkerwijs van haar kan worden verlangd.
Artikel 7 — Doorgifte buiten de Europese Economische Ruimte
7.1 Verwerker geeft Persoonsgegevens niet door aan een land buiten de Europese Economische Ruimte, tenzij dat gebeurt op grond van een adequaatheidsbesluit van de Europese Commissie of op grond van standaardcontractsbepalingen met aanvullende maatregelen.
7.2 De hostingpartij van Verwerker heeft een Amerikaans moederbedrijf. De regiokeuze van artikel 2.4 legt vast dat de opslag en de verwerking in Nederland respectievelijk in de EU plaatsvinden. Het gegeven dat de moederonderneming buiten de EU is gevestigd, is contractueel geadresseerd via de verwerkersovereenkomst van de hostingpartij en de daarbij behorende standaardcontractsbepalingen, en is daarmee niet structureel weggenomen. Verwerker presenteert de Programmatuur daarom niet als soevereine of Europees-eigendom hosting.
7.3 Voor Firebase Authentication, dat uitsluitend inloggegevens verwerkt — het e-mailadres, een intern accountnummer en de status van tweefactorauthenticatie — biedt de leverancier niet dezelfde regiokeuze als voor de diensten in artikel 2.4. Verwerker vermeldt dit apart omdat het de enige plek is waar de regel "de gegevens staan in Nederland" een toelichting nodig heeft. Er staan daar geen dossiergegevens.
7.4 De actuele stand van de opslaglocaties per onderdeel staat op https://docs.scrivio.nl/vertrouwen/leveranciersdossier.html.
Artikel 8 — Rechten van betrokkenen, bijstand en controle
8.1 Verwerker verleent Verwerkingsverantwoordelijke de bijstand die zij redelijkerwijs nodig heeft om te voldoen aan verzoeken van betrokkenen op grond van hoofdstuk III AVG — inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar.
8.2 Richt een betrokkene zich rechtstreeks tot Verwerker, dan verwijst Verwerker die betrokkene naar Verwerkingsverantwoordelijke en informeert zij Verwerkingsverantwoordelijke daarover. Verwerker beantwoordt zo'n verzoek niet zelf.
8.3 Verwerker verleent Verwerkingsverantwoordelijke de bijstand die zij redelijkerwijs nodig heeft bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.
8.4 Verwerker stelt Verwerkingsverantwoordelijke op verzoek de informatie ter beschikking die nodig is om aan te tonen dat de verplichtingen uit deze Verwerkersovereenkomst worden nagekomen, waaronder de vastgelegde herstelprocedures, het testschema en de onderbouwing van de bewaartermijnen.
8.5 Verwerkingsverantwoordelijke kan ten hoogste eenmaal per jaar, en daarnaast na een inbreuk als bedoeld in artikel 6, een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige. Partijen stemmen tijdstip en reikwijdte vooraf af, zodat de dienstverlening aan andere klanten van Verwerker niet wordt geraakt. De kosten van de audit komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit blijkt dat Verwerker haar verplichtingen niet nakomt.
Artikel 9 — Duur en beëindiging
9.1 Export. Op verzoek van Verwerkingsverantwoordelijke stelt Verwerker een export samen van alle Persoonsgegevens die zij voor haar verwerkt, in een open en machineleesbaar formaat (JSON, CSV of PDF, afhankelijk van het soort gegeven), en verstrekt zij die kosteloos. Na beëindiging van de Overeenkomst geldt daarvoor een exporttermijn van dertig dagen. De export wordt door Verwerker samengesteld en geleverd; een zelfbedieningsfunctie of export-API wordt daarvoor op dit moment niet aangeboden.
9.2 Na afloop van de exporttermijn verwijdert Verwerker op verzoek van Verwerkingsverantwoordelijke alle Persoonsgegevens die zij voor haar verwerkt, en laat zij die door haar subverwerkers verwijderen, tenzij een wettelijke plicht tot bewaren zich daartegen verzet.
9.3 Het logboek bedoeld in artikel 3.3 onder e blijft daarbij bestaan, om de reden genoemd in artikel 5.4.
9.4 Deze Verwerkersovereenkomst duurt zolang de Overeenkomst duurt, en daarna zolang Verwerker nog Persoonsgegevens van Verwerkingsverantwoordelijke onder zich heeft.
Artikel 10 — Geheimhouding, aansprakelijkheid en slotbepalingen
10.1 Verwerker houdt de Persoonsgegevens geheim, behalve voor zover deze Verwerkersovereenkomst of een wettelijke plicht anders bepaalt. Wordt Verwerker op grond van een wettelijke plicht tot verstrekking gedwongen, dan informeert zij Verwerkingsverantwoordelijke daarover vooraf, tenzij de wet dat verbiedt.
10.2 Ieder van Partijen is aansprakelijk voor haar eigen handelen en nalaten bij de verwerking. De beperking van aansprakelijkheid in artikel 8 van de Overeenkomst geldt niet voor boetes die de Autoriteit Persoonsgegevens aan een partij oplegt wegens een tekortkoming die aan die partij is toe te rekenen.
10.3 Geen gebruik voor training van AI-modellen. Verwerker gebruikt de Persoonsgegevens niet om modellen voor kunstmatige intelligentie te trainen of bij te stellen, en staat dat haar subverwerkers evenmin toe. Prompts en antwoorden van de AI-functies worden door de leverancier van het taalmodel niet voor training gebruikt. Die leverancier mag ze wel tot dertig dagen bewaren voor misbruikdetectie, buiten de verwijdermechanismen van Verwerker om; Verwerker heeft de projectbrede uitzondering daarop niet aangevraagd. Verwerker vermeldt dit omdat het hoort te worden geweten, niet omdat het verborgen was.
10.4 Wijzigingen van deze Verwerkersovereenkomst komen tot stand zoals artikel 11.3 van de Overeenkomst bepaalt. Zolang Verwerkingsverantwoordelijke een nieuwe editie niet heeft aanvaard, blijft de editie die zij heeft aanvaard onverkort gelden.
10.5 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Artikel 11.4 en 11.5 van de Overeenkomst zijn van overeenkomstige toepassing.
Deze Verwerkersovereenkomst is Bijlage A bij de Overeenkomst, editie 2026-10, en wordt tegelijk met haar aanvaard.