Verwerkersovereenkomst

1. Partijen

Verwerkingsverantwoordelijke: de behandelaar of de praktijk die houder is van het Nerela-account en die bepaalt welke gegevens van de eigen cliënten worden verwerkt en waarvoor (de “Verwerkingsverantwoordelijke”).

Verwerker: LAGASTROEMIA VENTURES OÜ, een in Estland opgerichte vennootschap met statutaire zetel aan Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estland, btw-identificatienummer EE102418024, die de dienst Nerela levert (“Nerela”). Contact voor gegevensbescherming: admin@nerela.eu.

2. Onderwerp en duur

Nerela verwerkt in opdracht van de Verwerkingsverantwoordelijke de persoonsgegevens die deze via de App invoert of verzamelt — vooral gegevens van de eigen cliënten, waaronder gezondheidsgegevens — uitsluitend om de dienst te leveren die in de algemene voorwaarden is beschreven. De soorten gegevens, de categorieën betrokkenen en de verwerkingen staan in bijlage I.

Deze overeenkomst geldt zolang de Verwerkingsverantwoordelijke een Nerela-account heeft en daarna zolang Nerela nog gegevens bewaart die zij in diens opdracht heeft verwerkt (onderdeel 12).

De gegevens van het eigen account van de behandelaar (naam, e-mailadres, factuurgegevens van het Nerela-abonnement) vallen hier niet onder: voor die gegevens is Nerela zelf verwerkingsverantwoordelijke, zoals de privacyverklaring uitlegt.

3. Aard en doel van de verwerking

Nerela host, ordent, bewaart, toont, verstuurt en wist de gegevens, zodat de Verwerkingsverantwoordelijke de functies van de App kan gebruiken: agenda en afspraken, cliëntendossiers, sessieaantekeningen (met bijgevoegde afbeeldingen), facturering, de boekingspagina voor online afspraken en herinneringen en, als de Verwerkingsverantwoordelijke ze inschakelt, de optionele modules (herinneringen via WhatsApp, Secretaria Virtual en kaartbetalingen).

Nerela verwerkt deze gegevens niet voor eigen doeleinden: zij verkoopt ze niet, verstrekt ze niet aan derden, gebruikt ze niet voor reclame of profilering en gebruikt ze niet om modellen voor kunstmatige intelligentie te trainen.

4. Instructies van de Verwerkingsverantwoordelijke

Nerela verwerkt de gegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, ook wat betreft doorgiften naar landen buiten de Europese Economische Ruimte (artikel 28, lid 3, onder a, AVG). Als schriftelijke instructies gelden deze overeenkomst, de algemene voorwaarden, wat de Verwerkingsverantwoordelijke in de App doet en instelt (bijvoorbeeld gegevens aanmaken, wijzigen, exporteren of wissen, of een module inschakelen) en de verzoeken die de Verwerkingsverantwoordelijke schriftelijk naar admin@nerela.eu stuurt.

Als Nerela van mening is dat een instructie inbreuk maakt op de AVG of op andere regels inzake gegevensbescherming, stelt zij de Verwerkingsverantwoordelijke daarvan onmiddellijk in kennis en mag zij de uitvoering opschorten totdat de instructie is bevestigd of gewijzigd.

Als Nerela op grond van Unierecht of lidstatelijk recht verplicht is de gegevens anders te verwerken, stelt zij de Verwerkingsverantwoordelijke daarvan vóór de verwerking in kennis, tenzij dat recht die kennisgeving om gewichtige redenen van algemeen belang verbiedt.

Medewerkers van Nerela krijgen alleen inzage in de inhoud van het account van de Verwerkingsverantwoordelijke als die daarom vraagt (bijvoorbeeld voor ondersteuning), als dat nodig is om een beveiligings- of storingsincident op te lossen, of als de wet dat vereist.

5. Vertrouwelijkheid en beroepsgeheim

Nerela waarborgt dat de personen die gemachtigd zijn de gegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke geheimhoudingsplicht gebonden zijn, ook nadat zij niet meer voor Nerela werken, en dat zij de gegevens alleen inzien voor zover dat nodig is om de dienst te leveren of te ondersteunen.

Nerela weet dat de Verwerkingsverantwoordelijke gebonden is aan het beroepsgeheim en gaat even vertrouwelijk om met alle klinische informatie: zij maakt die aan niemand bekend, behalve op instructie van de Verwerkingsverantwoordelijke of op grond van een wettelijke verplichting.

6. Beveiliging van de verwerking

Nerela treft de technische en organisatorische maatregelen uit bijlage II, die passen bij het risico van de verwerking van gezondheidsgegevens (artikel 32 AVG). Zij kan die maatregelen vervangen door gelijkwaardige of betere naarmate de dienst zich ontwikkelt, maar nooit op een manier die het algehele beschermingsniveau verlaagt.

7. Subverwerkers

De Verwerkingsverantwoordelijke geeft Nerela algemene schriftelijke toestemming om de subverwerkers uit bijlage III in te schakelen (artikel 28, lid 2, AVG).

Voordat Nerela een subverwerker toevoegt of vervangt, informeert zij de Verwerkingsverantwoordelijke per e-mail en werkt zij bijlage III bij, ten minste 30 dagen van tevoren. Als een leverancier van Nerela haar met een kortere termijn op de hoogte stelt van een wijziging in de eigen keten, informeert Nerela de Verwerkingsverantwoordelijke zodra zij daarvan weet.

De Verwerkingsverantwoordelijke kan tot de datum waarop de wijziging ingaat schriftelijk bezwaar maken, op redelijke gronden die met gegevensbescherming te maken hebben. Komt er geen aanvaardbare oplossing (bijvoorbeeld de betrokken module niet meer gebruiken), dan kan de Verwerkingsverantwoordelijke het account vóór die datum kosteloos opzeggen.

Nerela legt elke subverwerker bij schriftelijke overeenkomst verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan die in deze overeenkomst (artikel 28, lid 4) en blijft tegenover de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming daarvan.

Diensten die de Verwerkingsverantwoordelijke zelf kiest en afneemt en waarnaar de App op diens verzoek gegevens stuurt, zijn geen subverwerkers van Nerela — bijvoorbeeld de dienst voor videogesprekken waarvan de link wordt ingevuld, het gecertificeerde factuurprogramma of het gekoppelde Stripe-account, de ADSE (Portugal), de agenda-app waarin op de agenda wordt geabonneerd, of de boekhouder die overzichten ontvangt. Voor die diensten geeft Nerela alleen door wat de Verwerkingsverantwoordelijke aangeeft, wanneer die dat aangeeft.

8. Doorgifte buiten de EER

De database, de authenticatie en de bestanden van de App worden gehost in de Europese Unie (Parijs, Frankrijk). Sommige subverwerkers verwerken gegevens buiten de Europese Economische Ruimte (EER), vooral in de Verenigde Staten: bijlage III vermeldt per subverwerker waar de gegevens worden verwerkt en met welke waarborg.

Nerela geeft persoonsgegevens alleen door naar landen buiten de EER, of staat een subverwerker dat alleen toe, met een van de waarborgen van hoofdstuk V AVG: een adequaatheidsbesluit van de Europese Commissie (waaronder het EU-VS-kader inzake gegevensbescherming, voor gecertificeerde bedrijven), de modelcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914 van de Commissie, of een andere passende waarborg in de zin van artikel 46.

De doorgiften die bij WhatsApp horen (herinneringen via WhatsApp en Secretaria Virtual) vinden alleen plaats als de Verwerkingsverantwoordelijke die functies gebruikt.

9. Rechten van betrokkenen

Verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid) worden door de Verwerkingsverantwoordelijke afgehandeld. In de App kan de Verwerkingsverantwoordelijke de gegevens van cliënten rechtstreeks inzien, corrigeren en wissen: wie een cliënt wist, wist ook diens afspraken, sessieaantekeningen en klinische afbeeldingen; al uitgereikte facturen blijven bewaard vanwege fiscale verplichtingen, en zowel die facturen als eventuele WhatsApp-gesprekken worden losgekoppeld van het dossier. Voor overdraagbaarheid kan de Verwerkingsverantwoordelijke de gegevens verkrijgen zoals bepaald in onderdeel 12.

Als een betrokkene zich rechtstreeks tot Nerela wendt, stuurt Nerela het verzoek zonder onredelijke vertraging en uiterlijk binnen 5 werkdagen door naar de Verwerkingsverantwoordelijke, en beantwoordt zij het niet zelf, behalve om te bevestigen dat het is doorgestuurd.

Rekening houdend met de aard van de verwerking helpt Nerela de Verwerkingsverantwoordelijke door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bij het beantwoorden van die verzoeken (artikel 28, lid 3, onder e).

10. Inbreuken in verband met persoonsgegevens (datalekken)

Nerela meldt de Verwerkingsverantwoordelijke elke inbreuk in verband met persoonsgegevens die gegevens raakt die zij in diens opdracht verwerkt, zonder onredelijke vertraging nadat zij er kennis van heeft genomen, per e-mail aan het adres van het account. [OPENSTAAND: maximale termijn vast te stellen met de jurist; voorstel: 48 uur.]

De melding bevat, voor zover Nerela die kent, de informatie uit artikel 33, lid 3, AVG — de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt — en wordt in stappen aangevuld naarmate het onderzoek vordert.

Nerela neemt onmiddellijk redelijke maatregelen om de inbreuk in te dammen en de gevolgen te beperken, en helpt de Verwerkingsverantwoordelijke de eigen verplichtingen na te komen: de inbreuk binnen de 72 uur van artikel 33 melden bij de bevoegde toezichthoudende autoriteit (in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit) en, bij een hoog risico, de betrokkenen informeren (artikel 34). Nerela doet zonder diens instructie geen melding bij autoriteiten of betrokkenen namens de Verwerkingsverantwoordelijke, tenzij de wet haar daartoe verplicht.

11. Bijstand aan de Verwerkingsverantwoordelijke

Rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, helpt Nerela de Verwerkingsverantwoordelijke bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG: beveiliging van de verwerking, inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordeling (DPIA) en voorafgaande raadpleging van de toezichthoudende autoriteit. Daartoe stelt zij deze overeenkomst en de bijlagen ter beschikking, beantwoordt zij redelijke vragen over de werking van de App en informeert zij de Verwerkingsverantwoordelijke over relevante wijzigingen in de dienst.

12. Einde van de dienst: teruggave en wissing

Op schriftelijk verzoek van de Verwerkingsverantwoordelijke via admin@nerela.eu levert Nerela binnen 30 dagen een kopie van de persoonsgegevens die Nerela namens de Verwerkingsverantwoordelijke verwerkt, inclusief bijgevoegde bestanden, in een gestructureerde, gangbare en machineleesbare vorm. Als de App het exporteren van de gegevens mogelijk maakt (onder Instellingen, in het onderdeel over privacy en gegevens), kan de Verwerkingsverantwoordelijke ze ook zelf downloaden; die export is een middel om de gegevens te verkrijgen en vervangt deze verplichting niet.

Vóór de opzegging zorgt de Verwerkingsverantwoordelijke voor een kopie van wat bewaard moet blijven — bijvoorbeeld de dossiers en facturen die volgens de wet of de beroepsregels moeten worden bewaard.

Na het einde van de dienst wist Nerela de persoonsgegevens die zij in opdracht van de Verwerkingsverantwoordelijke heeft verwerkt, inclusief bestaande kopieën, tenzij Unierecht of lidstatelijk recht opslag ervan verplicht. Vraagt de Verwerkingsverantwoordelijke vóór dat moment om een kopie, dan levert Nerela die voordat zij wist. Gegevens die nog in back-ups staan, worden tot hun verwijdering voor geen enkel doel gebruikt. [OPENSTAAND: termijn vast te stellen; voorstel: 30 dagen, plus de bewaarcyclus van de back-ups.]

13. Aantonen van naleving en audits

Nerela stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van deze overeenkomst en van artikel 28 AVG aan te tonen — deze overeenkomst, de lijst van subverwerkers en de beschrijving van de maatregelen in bijlage II — en beantwoordt redelijke vragen schriftelijk.

Nerela maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of door een door de Verwerkingsverantwoordelijke gemachtigde controleur met een geheimhoudingsplicht mogelijk en draagt daaraan bij. Behalve na een inbreuk in verband met persoonsgegevens of op verzoek van een toezichthoudende autoriteit wordt een audit ten minste 30 dagen van tevoren schriftelijk aangevraagd, vindt die hooguit eenmaal per jaar plaats, komt die voor rekening van de Verwerkingsverantwoordelijke en mag die geen toegang geven tot gegevens van andere klanten of de beveiliging van de dienst in gevaar brengen.

14. Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke staat ervoor in dat er een geldige rechtsgrond is om de gegevens van de eigen cliënten te verwerken, waaronder voor gezondheidsgegevens een van de uitzonderingen van artikel 9, lid 2, AVG, en dat cliënten worden geïnformeerd overeenkomstig de artikelen 13 en 14, ook over de categorieën ontvangers.

De Verwerkingsverantwoordelijke geeft rechtmatige instructies, bepaalt hoe lang elk gegeven wordt bewaard in overeenstemming met de wet en de beroepsregels, en voert in de App geen gegevens in van personen met wie geen legitieme professionele relatie bestaat.

De Verwerkingsverantwoordelijke beveiligt de toegang aan de eigen kant: bewaart de inloggegevens zorgvuldig, beheert wie in het team toegang heeft en op welk niveau, en beveiligt de apparaten en de e-mail- of WhatsApp-accounts waarop informatie uit de App binnenkomt. De Verwerkingsverantwoordelijke beslist zelf of de optionele modules worden ingeschakeld, in de wetenschap dat die de doorgiften uit bijlage III met zich meebrengen.

15. Aansprakelijkheid

Elke partij is tegenover betrokkenen aansprakelijk overeenkomstig artikel 82 AVG. Verwerkt Nerela de gegevens voor eigen doeleinden of in strijd met de rechtmatige instructies van de Verwerkingsverantwoordelijke, dan wordt zij voor die verwerking als verwerkingsverantwoordelijke beschouwd (artikel 28, lid 10). [OPENSTAAND: afstemming met de beperking van aansprakelijkheid in onderdeel 10 van de algemene voorwaarden, na te kijken met de jurist.]

16. Wijzigingen, voorrang en toepasselijk recht

Nerela kan deze overeenkomst aanpassen aan wijzigingen in de dienst, in de subverwerkers (onderdeel 7) of in de wet. Wezenlijke wijzigingen worden de Verwerkingsverantwoordelijke per e-mail of in de App meegedeeld, met een redelijke termijn vooraf.

Bij tegenstrijdigheid tussen deze overeenkomst en de algemene voorwaarden over de bescherming van persoonsgegevens gaat deze overeenkomst voor.

Op deze overeenkomst zijn de AVG en het recht van de toepasselijke lidstaat van toepassing. [OPENSTAAND: keuze van het toepasselijke recht en de bevoegde rechter, te beslissen met de jurist; de algemene voorwaarden maken die keuze vandaag niet.]

17. Contact

Voor vragen over deze overeenkomst, om een kopie van de gegevens aan te vragen of om een beveiligingsincident te melden, kan de Verwerkingsverantwoordelijke mailen naar admin@nerela.eu. [OPENSTAAND: beslissen of Nerela een functionaris voor gegevensbescherming aanwijst (artikel 37 AVG) en een apart adres voor incidenten instelt.]

Bijlage I — Beschrijving van de verwerking

• Betrokkenen: cliënten van de Verwerkingsverantwoordelijke, ook minderjarigen die in behandeling zijn; personen die een afspraak maken via de openbare boekingspagina van de Verwerkingsverantwoordelijke; personen van wie de Verwerkingsverantwoordelijke gegevens vastlegt in het dossier of in de facturering (bijvoorbeeld wie de factuur ontvangt); personen die schrijven naar het WhatsApp-nummer dat door de Secretaria Virtual wordt beantwoord, als die module actief is; de behandelaars en andere teamleden van de Verwerkingsverantwoordelijke; en de boekhouder naar wie de Verwerkingsverantwoordelijke overzichten stuurt.
• Identificatie- en contactgegevens: naam, initialen, e-mailadres, telefoonnummer, adres en fiscale gegevens (fiscaal identificatienummer en naam en adres voor de factuur).
• Administratieve gegevens: afspraken (datum, tijd, duur, dienst, op locatie of online, ruimte, behandelaar en status), aanwezigheid en no-shows, betalingen en facturen, zorgverzekeraar of ziekenfonds voor de vergoeding, toegewezen behandelaar en herkomst van de cliënt.
• Gezondheidsgegevens (bijzondere categorie, artikel 9 AVG): sessieaantekeningen en bijgevoegde afbeeldingen, klinische voorgeschiedenis, aandachtspunten en volgende stappen in het dossier, en alle andere klinische informatie die de Verwerkingsverantwoordelijke invoert. Alleen al het feit dat iemand cliënt is van een psycholoog, kan gezondheidsinformatie prijsgeven.
• Communicatie: herinneringen, uitnodigingen en facturen die per e-mail naar cliënten worden gestuurd en, als de Verwerkingsverantwoordelijke WhatsApp gebruikt, WhatsApp-berichten (herinneringen en gesprekken met de Secretaria Virtual).
• Technische gegevens: toegangs- en foutlogs van de server.
• Verwerkingen: verzamelen (door de Verwerkingsverantwoordelijke of via de boekingspagina), vastleggen, ordenen, bewaren, raadplegen, tonen, documenten opmaken (facturen en overzichten), e-mails en berichten versturen, exporteren en wissen.
• Doel: de Verwerkingsverantwoordelijke de praktijksoftware leveren die in de algemene voorwaarden is beschreven.
• Duur en bewaring: zolang het account bestaat en daarna volgens onderdeel 12. Zolang het account loopt, bepaalt de Verwerkingsverantwoordelijke hoe lang elk gegeven wordt bewaard en kan hij of zij het in de App wissen.
• Locatie: database, authenticatie en bestanden in de Europese Unie (Parijs, Frankrijk); de serverfuncties van de App draaien ook in Parijs. Statische bestanden en de routering van verzoeken lopen via het wereldwijde netwerk van Vercel, en verwerkingen buiten de EER staan in bijlage III.
• Frequentie: doorlopend, zolang de Verwerkingsverantwoordelijke de App gebruikt.

Bijlage II — Technische en organisatorische maatregelen

Maatregelen die vandaag in de App bestaan. Nerela herziet ze telkens wanneer de dienst verandert.

• Versleuteling tijdens transport: alle communicatie met de App verloopt via HTTPS (TLS), met HSTS ingeschakeld zodat de browser onversleutelde verbindingen weigert.
• Scheiding tussen accounts in de database zelf: de tabellen met klantgegevens hebben Row Level Security-beleid (RLS) van PostgreSQL, dat alleen lezen en schrijven toestaat van de rijen van de accounts waartoe de gebruiker behoort. De scheiding hangt dus niet alleen af van de code van de App.
• Toegangsniveaus binnen het account (eigenaar, beheerder en teamlid): dossiers, afspraken en sessieaantekeningen volgen één regel die in de database wordt afgedwongen — eigenaar en beheerders zien alles; een teamlid ziet de cliënten die aan hem of haar zijn toegewezen en, als het account dat toestaat, de cliënten die met het team worden gedeeld. Facturering, uitgaven en WhatsApp-gesprekken zijn voorbehouden aan eigenaar en beheerders, en de inloggegevens van externe diensten aan de eigenaar.
• Klinische afbeeldingen staan in een afgeschermde opslagcontainer, per account ingedeeld en beschermd met RLS; ze worden alleen getoond via ondertekende links die na 12 uur verlopen.
• De inloggegevens van externe diensten die de Verwerkingsverantwoordelijke koppelt (gecertificeerd factuurprogramma, ADSE) worden versleuteld in de database opgeslagen (pgcrypto), met de sleutel buiten de database.
• Limieten op het aantal verzoeken en verzendingen per tijdseenheid op de openbare toegangspunten (boekingspagina, met de boekhouder gedeelde links, de openbare demo en verzendingen via WhatsApp en e-mail), met tellers in de database.
• Webhooks van de betaal- en WhatsApp-leveranciers worden alleen aanvaard met een geldige handtekening, en geplande taken vereisen een geheime sleutel.
• Beveiligingsheaders: de App kan niet in andere websites worden ingesloten, en de browser krijgt HSTS, nosniff, een referrerbeleid en een machtigingenbeleid dat camera, microfoon en locatie blokkeert.
• Minimalisering van wat de App verlaat: de geabonneerde agenda toont alleen een algemene titel, nooit de naam van de cliënt; de link naar een videogesprek is een willekeurige, intrekbare code die alleen rond het tijdstip van de afspraak werkt en de naam van de cliënt en de aantekeningen niet prijsgeeft.
• De servicesleutel van de database, die RLS omzeilt, bestaat alleen op de server en komt nooit in de browser terecht. Sleutels en geheimen staan in de omgevingsvariabelen van de hosting, nooit in de code.
• Foutmonitoring (indien ingeschakeld) met filtering vóór verzending: geen inhoud van verzoeken, parameters, cookies, gebruikersidentiteit of sessieopname, en een automatische poging om e-mailadressen, telefoonnummers en fiscale nummers uit de foutteksten te halen.
• De App bevat geen advertenties en geen analysetools van derden.
• Secretaria Virtual (indien ingeschakeld): de tekst van wie een bericht stuurt, wordt gescheiden gehouden van de systeeminstructies, en acties in de agenda kunnen alleen de afspraken van de afzender zelf raken, herkend aan het volledige internationale telefoonnummer.
• Daadwerkelijke wissing: wie een cliënt wist, wist ook diens afspraken, sessieaantekeningen en klinische afbeeldingen, inclusief de bestanden in de opslag.
• Toegang door medewerkers van Nerela: in de App hebben alleen platformbeheerders interne functies. Het account van een klant openen om ondersteuning te bieden kan alleen met die bevoegdheid, en elke keer dat dat gebeurt, wordt vastgelegd in een logboek dat vanuit de App niet kan worden gewijzigd of gewist.
• Geheimhouding door de personen die de gegevens verwerken (onderdeel 5) en toegang tot de inhoud van accounts alleen in de gevallen van onderdeel 4.
• Een schriftelijke interne procedure voor de afhandeling van incidenten, waaronder inbreuken in verband met persoonsgegevens.
• Back-ups: die welke de databaseleverancier maakt binnen het abonnement dat Nerela afneemt. [OPENSTAAND: het Supabase-abonnement en de frequentie en bewaartermijn van de back-ups bevestigen.]

Bijlage III-A — Subverwerkers die cliëntgegevens verwerken

Lijst per 9 oktober 2026. Locaties en waarborgen zoals vermeld in de openbare documentatie van elke leverancier.

Bijlage III-B — Leveranciers die geen cliëntgegevens verwerken

Vermeld zodat de Verwerkingsverantwoordelijke weet wie nog meer bij de dienst betrokken is. Zij verwerken gegevens van de behandelaar zelf, waarvoor Nerela de verwerkingsverantwoordelijke is.