Verwerkersovereenkomst
Let op. Dit is het model. Rechtsgeldig is alleen de versie die het kantoor en LetselLoket allebei hebben getekend. De datum van ondertekening staat bij het kantoor in Instellingen, onder AI-assistent.
1. Partijen en rollen
Het advocatenkantoor dat LetselLoket gebruikt is verwerkingsverantwoordelijke. LetselLoket is verwerker en verwerkt persoonsgegevens alleen voor het kantoor en volgens zijn instructies.
2. Onderwerp en duur
Deze overeenkomst geldt zolang het kantoor LetselLoket gebruikt, en daarna tot alle gegevens zijn teruggegeven of verwijderd (artikel 11).
3. Aard en doel van de verwerking
Dossierbeheer voor letselschadezaken: termijnbewaking, correspondentie, documenten, schadeberekening, uren, declaraties, derdengelden, het intakeformulier voor nieuwe cliënten en, als het kantoor dat aanzet, ondersteuning met AI.
4. Soorten gegevens en betrokkenen
- Betrokkenen: cliënten en aanvragers, wederpartijen en hun verzekeraars, zorgverleners en deskundigen, en medewerkers van het kantoor.
- Gegevens: naam- en contactgegevens, geboortedatum, gegevens over het ongeval, de schade en de financiële afwikkeling, correspondentie, inloggegevens en het auditlog.
- Bijzondere gegevens: gezondheidsgegevens, alleen binnen een geldige medische machtiging. Er wordt geen burgerservicenummer verwerkt.
5. Instructies
LetselLoket verwerkt alleen op schriftelijke instructie van het kantoor. Vindt LetselLoket een instructie in strijd met de wet, dan meldt hij dat direct aan het kantoor.
6. Geheimhouding
Iedereen die bij LetselLoket toegang heeft tot gegevens van het kantoor is tot geheimhouding verplicht.
7. Beveiliging (artikel 32 AVG)
- Gegevens per kantoor afgeschermd in de database (row level security op elke tabel).
- Tweestapsverificatie, rechten per rol, en sessies die direct vervallen als toegang wordt ingetrokken.
- Medische stukken alleen binnen een geldige machtiging en alleen voor medische rollen.
- Een auditlog dat niet kan worden aangepast of gewist, ook niet door een beheerder.
- Derdengelden alleen met twee verschillende akkoorden en een gecontroleerd IBAN.
- Versleutelde verbindingen en back-ups bij de opslagpartij.
8. Subverwerkers
- Supabase: database, opslag van stukken en inloggen, in Frankfurt (Duitsland).
- Hostingpartij van de website: binnen de Europese Unie.
- Anthropic: AI-ondersteuning, alleen als het kantoor die aanzet. Gegevens worden niet gebruikt om modellen te trainen.
- Microsoft: alleen als het kantoor inloggen met Microsoft 365 of de koppeling met mail en agenda aanzet.
Een nieuwe subverwerker meldt LetselLoket vooraf aan het kantoor. Het kantoor kan daartegen bezwaar maken.
9. Datalekken
LetselLoket meldt een datalek zonder onredelijke vertraging aan het kantoor, met de informatie die het kantoor nodig heeft om binnen 72 uur te melden bij de Autoriteit Persoonsgegevens en zo nodig de betrokkenen te informeren.
10. Hulp bij rechten van betrokkenen
LetselLoket helpt het kantoor bij verzoeken om inzage, verbetering, verwijdering en overdracht. Het kantoor kan gegevens zelf exporteren in Instellingen, onder Export en back-up.
11. Einde
Na het einde van de overeenkomst kan het kantoor alle gegevens exporteren. Daarna verwijdert LetselLoket de gegevens, tenzij een wettelijke bewaarplicht iets anders vraagt.
12. Controle
Het kantoor mag laten controleren of LetselLoket zich aan deze overeenkomst houdt. LetselLoket geeft daarvoor de informatie die nodig is.