Verwerkersovereenkomst
Data Processing Agreement — conform artikel 28 Algemene Verordening Gegevensbescherming
Versie: 1.0 - juni 2026
Incorporatie en aanvaarding
Deze Verwerkersovereenkomst wordt geïncorporeerd via verwijzing in de Dienstverleningsovereenkomst, offerte, order of vergelijkbare overeenkomst tussen Klant en Triagen B.V. (hierna: de "Onderliggende Overeenkomst"). Ondertekening of aanvaarding van de Onderliggende Overeenkomst geldt als aanvaarding van deze Verwerkersovereenkomst. Een aparte ondertekening van deze Verwerkersovereenkomst is niet vereist.
De meest actuele versie van deze Verwerkersovereenkomst is beschikbaar op triagen.ai/dpa. De versie die geldt voor een specifieke klant is de versie die actueel was op het moment van aanvaarding van de Onderliggende Overeenkomst, tenzij Partijen schriftelijk anders overeenkomen.
Partijen
De Verwerkingsverantwoordelijke ("Klant")
De natuurlijke of rechtspersoon die met Triagen B.V. een Onderliggende Overeenkomst heeft gesloten voor het gebruik van het Triagen Platform.
Hierna te noemen: "Klant", "Verwerkingsverantwoordelijke" of "Controller".
De Verwerker
- Naam: Triagen B.V.
- Adres: Getfertsingel 106, 7513GD Enschede
- KvK-nummer: 96706414
Hierna te noemen: "Verwerker" of "Triagen".
Klant en Triagen worden hierna gezamenlijk aangeduid als "Partijen" en afzonderlijk als "Partij".
Overwegingen
A. De Verwerkingsverantwoordelijke maakt gebruik van het Triagen Platform voor het faciliteren van digitale of virtuele intakes, triage-ondersteuning en het beschikbaar stellen van intake-informatie aan daartoe geautoriseerde professionals.
B. Triagen biedt een AI-ondersteund software-as-a-service platform dat virtuele intakes faciliteert, informatie structureert en professionals ondersteunt bij het verkrijgen van relevante intake-informatie.
C. In het kader van de dienstverlening kan Triagen persoonsgegevens verwerken namens de Verwerkingsverantwoordelijke. Afhankelijk van het gebruik van het Platform kan dit ook bijzondere categorieën van persoonsgegevens betreffen, waaronder gezondheidsgegevens.
D. Partijen wensen hun afspraken over de verwerking van persoonsgegevens vast te leggen conform artikel 28 van de Algemene Verordening Gegevensbescherming.
E. Triagen treedt voor klantdata binnen het Triagen Platform op als verwerker. Voor eigen bedrijfsprocessen, zoals websitebezoek, sales, facturatie, contractbeheer, algemene supportadministratie en beveiliging van haar eigen bedrijfsomgeving, kan Triagen optreden als zelfstandig verwerkingsverantwoordelijke. Deze eigen verwerkingen vallen buiten deze Verwerkersovereenkomst.
F. De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, de vaststelling van de doeleinden en middelen, de toepasselijke grondslag, eventuele uitzonderingsgrond voor bijzondere persoonsgegevens, bewaartermijnen, autorisaties en de vraag welke personen of functionarissen toegang mogen hebben tot welke gegevens.
G. Triagen is ten tijde van het sluiten van deze overeenkomst nog niet gecertificeerd conform ISO 27001 en NEN 7510. Triagen werkt toe naar certificering, naar verwachting in augustus 2027. Triagen beschikt over intentieverklaringen of samenwerkingsintenties met Tidal als software provider en Fendix als consultant, maar deze intentieverklaringen kwalificeren niet als certificering en vormen geen garantie dat certificering op een specifieke datum wordt behaald.
Partijen komen het volgende overeen:
Artikel 1. Definities
In deze Verwerkersovereenkomst wordt verstaan onder:
1.1 AVG Verordening (EU) 2016/679, de Algemene Verordening Gegevensbescherming.
1.2 Betrokkene De geïdentificeerde of identificeerbare natuurlijke persoon op wie de persoonsgegevens betrekking hebben.
1.3 Bijzondere categorieën van persoonsgegevens Persoonsgegevens als bedoeld in artikel 9 AVG, waaronder gezondheidsgegevens.
1.4 Datalek of inbreuk in verband met persoonsgegevens Een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging, ongeoorloofde verstrekking van of ongeoorloofde toegang tot verzonden, opgeslagen of anderszins verwerkte persoonsgegevens.
1.5 Gezondheidsgegevens Persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over klachten, symptomen, beperkingen, medische voorgeschiedenis of andere gezondheidsgerelateerde intake-informatie.
1.6 Klantdata Alle persoonsgegevens en andere gegevens die door of namens de Verwerkingsverantwoordelijke, haar gebruikers of betrokkenen in het Triagen Platform worden ingevoerd, gegenereerd, verwerkt of beschikbaar gesteld.
1.7 Platform De software-as-a-service applicatie van Triagen, bestaande uit onder meer het Triagen Provider Dashboard, bereikbaar via dashboard.triagen.ai, het Triagen Intake Dashboard, bereikbaar via app.triagen.ai, en bijbehorende technische functionaliteiten.
1.8 AI-output Door het Triagen Platform gegenereerde of gestructureerde output, samenvattingen, signaleringen, vraag-antwoordinformatie of andere gegenereerde ondersteuning op basis van door of namens de Verwerkingsverantwoordelijke ingevoerde gegevens.
1.9 Sub-verwerker Een derde partij die door Triagen wordt ingeschakeld voor het verwerken van persoonsgegevens ten behoeve van de Verwerkingsverantwoordelijke.
1.10 Technische en organisatorische maatregelen De maatregelen als bedoeld in artikel 32 AVG, gericht op passende beveiliging van persoonsgegevens.
1.11 WGBO De Wet op de geneeskundige behandelingsovereenkomst, voor zover van toepassing op de dienstverlening of gegevensverwerking van de Verwerkingsverantwoordelijke.
Artikel 2. Onderwerp en duur
2.1 Onderwerp Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens door Triagen namens de Verwerkingsverantwoordelijke in het kader van de levering, het beheer, het onderhoud, de beveiliging, de ondersteuning en de doorontwikkeling van het Triagen Platform.
2.2 Duur Deze Verwerkersovereenkomst treedt in werking op de datum van ondertekening en blijft van kracht zolang Triagen persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke.
2.3 Voortwerking na beëindiging Na beëindiging van de onderliggende dienstverleningsovereenkomst blijft deze Verwerkersovereenkomst van toepassing zolang Triagen persoonsgegevens van de Verwerkingsverantwoordelijke onder zich heeft, totdat deze persoonsgegevens zijn teruggeleverd, verwijderd of vernietigd overeenkomstig artikel 11.
Artikel 3. Rol van Partijen
3.1 Triagen als verwerker Triagen verwerkt klantdata binnen het Platform uitsluitend als verwerker in opdracht van de Verwerkingsverantwoordelijke.
3.2 Verwerkingsverantwoordelijke als verantwoordelijke De Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking binnen het Platform. De Verwerkingsverantwoordelijke is verantwoordelijk voor:
a. de rechtmatigheid van de verwerking; b. de toepasselijke grondslag onder de AVG; c. indien gezondheidsgegevens of andere bijzondere persoonsgegevens worden verwerkt, de toepasselijke uitzonderingsgrond onder artikel 9 AVG; d. het informeren van betrokkenen; e. het inrichten van rollen, toegangsrechten en autorisaties; f. het bepalen van bewaartermijnen; g. het beoordelen of en wanneer gegevens onderdeel uitmaken van een medisch dossier of ander wettelijk gereguleerd dossier; h. het waarborgen dat werkgevers, leidinggevenden of andere derden geen toegang krijgen tot gezondheidsgegevens indien zij die gegevens niet rechtmatig mogen verwerken.
3.3 Eigen verwerkingen door Triagen Voor eigen bedrijfsprocessen, waaronder websitebezoek, commerciële communicatie, demo-aanvragen, facturatie, contractbeheer, algemene supportadministratie en beveiliging van de eigen bedrijfsomgeving, kan Triagen zelfstandig verwerkingsverantwoordelijke zijn. Deze verwerkingen vallen buiten deze Verwerkersovereenkomst en worden beschreven in de privacyverklaring van Triagen.
Artikel 4. Aard en doel van de verwerking
4.1 Doel van de verwerking Triagen verwerkt persoonsgegevens uitsluitend voor zover noodzakelijk voor de uitvoering van de dienstverlening aan de Verwerkingsverantwoordelijke, waaronder:
a. het technisch faciliteren van digitale of virtuele intakes via het Platform; b. het beschikbaar stellen van intake-informatie aan geautoriseerde gebruikers van de Verwerkingsverantwoordelijke; c. het beheren van gebruikersaccounts, rollen, autorisaties en authenticatie; d. het waarborgen van de werking, beveiliging en continuïteit van het Platform; e. het uitvoeren van support, foutanalyse en incidentmanagement; f. het uitvoeren van logging, monitoring, audittrail-functionaliteit en beveiligingscontrole; g. het uitvoeren van back-up, disaster recovery en technisch beheer; h. het verbeteren van de veiligheid, stabiliteit en functionaliteit van het Platform binnen de grenzen van deze overeenkomst.
4.2 Aard van de verwerking De verwerking kan bestaan uit het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, beschikbaar stellen, afschermen, wissen, vernietigen en beveiligen van persoonsgegevens.
4.3 Geen eigen gebruik voor commerciële doeleinden Triagen gebruikt klantdata niet voor eigen commerciële doeleinden, profiling, verkoop aan derden of marketingactiviteiten.
Artikel 5. Categorieën betrokkenen en persoonsgegevens
5.1 Categorieën van betrokkenen De verwerking kan betrekking hebben op:
a. eindgebruikers, zoals werknemers, cliënten, patiënten of andere natuurlijke personen die een intake doorlopen; b. geautoriseerde medewerkers van de Verwerkingsverantwoordelijke; c. professionals die namens de Verwerkingsverantwoordelijke gebruikmaken van het Platform, zoals arboprofessionals, bedrijfsartsen, casemanagers, triagisten of administratieve gebruikers; d. contactpersonen van de Verwerkingsverantwoordelijke.
5.2 Categorieën persoonsgegevens Triagen kan de volgende categorieën persoonsgegevens verwerken:
a. identificatiegegevens, zoals naam en e-mailadres; b. accountgegevens, zoals user ID, rol, autorisatieprofiel en loginstatus; c. intakegegevens, zoals antwoorden op intakevragen, klachten, symptomen, hulpvragen, contextinformatie en door betrokkene verstrekte toelichtingen; d. gezondheidsgegevens, voor zover deze door of namens de Verwerkingsverantwoordelijke via het Platform worden verwerkt; e. technische gegevens, zoals timestamps, IP-adressen voor beveiligingsdoeleinden, audit logs, systeemlogs en foutmeldingen; f. communicatiegegevens, zoals transactionele e-mails of systeemmeldingen; g. organisatiegegevens, zoals klantorganisatie, project- of dossiercontext en toegangsrechten.
5.3 Dataminimalisatie Triagen past dataminimalisatie toe. Persoonsidentificerende informatie, zoals naam en e-mailadres, wordt zoveel mogelijk beperkt tot de functionaliteit waarvoor deze noodzakelijk is. Waar mogelijk wordt gewerkt met user ID's, pseudonimisering of technische scheiding van identificerende gegevens en inhoudelijke intakegegevens.
5.4 Toegang tot gezondheidsgegevens Voor zover gezondheidsgegevens of andere bijzondere categorieën persoonsgegevens worden verwerkt, worden deze uitsluitend beschikbaar gesteld aan personen of functionarissen die daartoe binnen de omgeving van de Verwerkingsverantwoordelijke zijn geautoriseerd.
5.5 Werkgeverstoegang Indien de Verwerkingsverantwoordelijke een werkgever is of indien werkgevers toegang hebben tot onderdelen van het Platform, waarborgt de Verwerkingsverantwoordelijke dat werkgevers, leidinggevenden of HR-functionarissen uitsluitend toegang krijgen tot gegevens die zij op grond van toepasselijke wet- en regelgeving mogen verwerken. Triagen bepaalt niet zelfstandig welke gezondheidsinhoudelijke gegevens aan werkgevers of derden beschikbaar worden gesteld.
Artikel 6. AI, menselijke beoordeling en modeltraining
6.1 Ondersteunend karakter Het Triagen Platform heeft een ondersteunend karakter. Het Platform ondersteunt het verzamelen, structureren en beschikbaar stellen van intake-informatie.
6.2 Geen medische diagnose of besluitvorming Het Platform stelt geen medische diagnose, neemt geen besluit over arbeidsongeschiktheid, belastbaarheid, behandeling, re-integratie, uitkeringsrechten, arbeidsrechtelijke gevolgen of andere rechtsgevolgen voor betrokkenen.
6.3 Menselijke beoordeling De Verwerkingsverantwoordelijke blijft verantwoordelijk voor de beoordeling, interpretatie en opvolging van de via het Platform verkregen informatie. De Verwerkingsverantwoordelijke waarborgt dat waar nodig menselijke tussenkomst en professionele beoordeling plaatsvinden door bevoegde professionals.
6.4 Geen training met klantdata Triagen gebruikt persoonsgegevens van de Verwerkingsverantwoordelijke niet voor het trainen van generieke AI-modellen of andere modellen die buiten de dienstverlening aan de Verwerkingsverantwoordelijke worden toegepast.
6.5 Geanonimiseerde gegevens Triagen mag volledig geanonimiseerde en geaggregeerde gegevens gebruiken voor statistische analyses, kwaliteitsverbetering, productverbetering en beveiligingsverbetering, mits deze gegevens niet meer herleidbaar zijn tot een betrokkene, organisatie, klantomgeving of individueel dossier.
6.6 Geen doorgifte aan AI-leveranciers zonder grondslag Triagen zal persoonsgegevens niet aan externe AI-leveranciers verstrekken voor modeltraining of generieke modelverbetering, tenzij dit schriftelijk is overeengekomen, rechtmatig is toegestaan en passende waarborgen zijn getroffen.
Artikel 7. Verplichtingen van Triagen
7.1 Verwerking op instructie Triagen verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Verwerkingsverantwoordelijke, waaronder deze overeenkomst, de onderliggende dienstverleningsovereenkomst en instructies die via het Platform of schriftelijk zijn vastgelegd, tenzij Triagen wettelijk verplicht is tot verwerking. In dat geval stelt Triagen de Verwerkingsverantwoordelijke vooraf in kennis van die wettelijke verplichting, tenzij de wet dit verbiedt.
7.2 Onrechtmatige instructies Indien Triagen van mening is dat een instructie van de Verwerkingsverantwoordelijke in strijd is met de AVG of andere toepasselijke privacywetgeving, informeert Triagen de Verwerkingsverantwoordelijke daarover, voor zover wettelijk toegestaan.
7.3 Geheimhouding Triagen waarborgt dat personen die namens Triagen toegang hebben tot persoonsgegevens gebonden zijn aan geheimhouding of een passende wettelijke geheimhoudingsplicht.
7.4 Beveiliging Triagen neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen zijn nader beschreven in Bijlage 2.
7.5 Bijstand bij rechten van betrokkenen Triagen verleent de Verwerkingsverantwoordelijke redelijke bijstand bij het afhandelen van verzoeken van betrokkenen, waaronder verzoeken tot inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar.
7.6 Rechtstreekse verzoeken Indien een betrokkene rechtstreeks contact opneemt met Triagen over klantdata, zal Triagen dit verzoek, voor zover mogelijk en passend, doorsturen naar de Verwerkingsverantwoordelijke. Triagen zal niet zelfstandig inhoudelijk beslissen op verzoeken van betrokkenen die betrekking hebben op klantdata, tenzij wettelijk verplicht.
7.7 Bijstand bij DPIA en voorafgaande raadpleging Triagen verleent redelijke bijstand bij gegevensbeschermingseffectbeoordelingen, DPIA's, en eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover deze betrekking hebben op de verwerking door Triagen en voor zover de gevraagde informatie redelijkerwijs beschikbaar is.
7.8 Verwerkingsregister Triagen houdt, voor zover vereist, een register bij van verwerkingsactiviteiten die zij als verwerker uitvoert.
Artikel 8. Verplichtingen van de Verwerkingsverantwoordelijke
8.1 Rechtmatigheid De Verwerkingsverantwoordelijke staat ervoor in dat de verwerking van persoonsgegevens via het Platform rechtmatig is.
8.2 Bijzondere persoonsgegevens Voor zover gezondheidsgegevens of andere bijzondere categorieën van persoonsgegevens worden verwerkt, staat de Verwerkingsverantwoordelijke ervoor in dat daarvoor een geldige AVG-grondslag en een toepasselijke uitzondering op het verwerkingsverbod bestaat.
8.3 Informatieplicht De Verwerkingsverantwoordelijke is verantwoordelijk voor het informeren van betrokkenen over de verwerking van hun persoonsgegevens, tenzij deze verplichting wettelijk bij een andere partij ligt.
8.4 Autorisaties De Verwerkingsverantwoordelijke is verantwoordelijk voor het juist inrichten, beheren en periodiek controleren van gebruikersrollen, autorisaties en toegangsrechten binnen het Platform.
8.5 Werkgevers en medische informatie De Verwerkingsverantwoordelijke waarborgt dat werkgevers, leidinggevenden, HR-functionarissen of andere derden geen toegang krijgen tot gezondheidsgegevens of medische informatie indien zij deze gegevens niet rechtmatig mogen verwerken.
8.6 Instructies De Verwerkingsverantwoordelijke geeft geen instructies aan Triagen die in strijd zijn met toepasselijke wet- en regelgeving.
Artikel 9. Sub-verwerkers
9.1 Algemene toestemming De Verwerkingsverantwoordelijke verleent algemene schriftelijke toestemming voor het inschakelen van sub-verwerkers zoals opgenomen in Bijlage 1.
9.2 Wijziging sub-verwerkers Triagen informeert de Verwerkingsverantwoordelijke over het toevoegen of vervangen van sub-verwerkers en over wezenlijke wijzigingen die relevant zijn voor de verwerking van persoonsgegevens. Waar redelijkerwijs mogelijk informeert Triagen de Verwerkingsverantwoordelijke ten minste 30 dagen vooraf.
9.3 Spoedwijzigingen Indien een wijziging noodzakelijk is vanwege beveiliging, continuïteit, wettelijke verplichtingen of urgente operationele redenen, kan Triagen de wijziging eerder doorvoeren. Triagen informeert de Verwerkingsverantwoordelijke in dat geval zo spoedig mogelijk.
9.4 Bezwaar De Verwerkingsverantwoordelijke kan bezwaar maken tegen een nieuwe sub-verwerker op gegronde en schriftelijk gemotiveerde redenen die verband houden met gegevensbescherming. Partijen treden in dat geval in overleg om een passende oplossing te vinden.
9.5 Geen oplossing Indien Partijen geen passende oplossing bereiken en het bezwaar redelijkerwijs gerechtvaardigd is, kan de Verwerkingsverantwoordelijke de onderliggende dienstverleningsovereenkomst beëindigen met inachtneming van een opzegtermijn van 30 dagen, voor zover de betreffende sub-verwerker noodzakelijk is voor de dienstverlening.
9.6 Verplichtingen sub-verwerkers Triagen legt aan sub-verwerkers verplichtingen op die in essentie gelijkwaardig zijn aan de verplichtingen uit deze Verwerkersovereenkomst. Triagen blijft richting de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming van deze verplichtingen door haar sub-verwerkers.
9.7 Informatie over subprocessors Triagen verstrekt op verzoek redelijke informatie over relevante subprocessors van haar sub-verwerkers, voor zover deze informatie beschikbaar is en voor zover openbaarmaking niet strijdig is met vertrouwelijkheid, beveiliging of contractuele beperkingen.
Artikel 10. Bewaartermijnen en verwijdering
10.1 Klantgestuurde bewaartermijnen De Verwerkingsverantwoordelijke is verantwoordelijk voor het bepalen van de toepasselijke bewaartermijnen voor persoonsgegevens binnen het Platform.
10.2 Faciliteren van bewaartermijnen Triagen faciliteert bewaartermijnen conform de instructies van de Verwerkingsverantwoordelijke en de technische mogelijkheden van het Platform.
10.3 Geen standaard medische bewaartermijn door Triagen Triagen bepaalt niet zelfstandig of intakegegevens onderdeel uitmaken van een medisch dossier of onder een specifieke wettelijke bewaarplicht vallen. Indien de Verwerkingsverantwoordelijke bepaalt dat gegevens onderdeel uitmaken van een medisch dossier of onder de WGBO of andere wettelijke bewaarplicht vallen, geeft de Verwerkingsverantwoordelijke daarvoor passende instructies.
10.4 Standaardbeleid Bij gebreke van specifieke instructies hanteert Triagen de bewaartermijnen zoals beschreven in Bijlage 3, voor zover deze passen binnen de aard van de dienstverlening en toepasselijke wetgeving.
10.5 Verwijdering Na het verstrijken van de toepasselijke bewaartermijn worden persoonsgegevens verwijderd, gepseudonimiseerd of onomkeerbaar geanonimiseerd, afhankelijk van de instructie van de Verwerkingsverantwoordelijke en de technische mogelijkheden van het Platform.
10.6 Back-ups Verwijdering uit back-ups vindt plaats conform rolling retentie, met een maximale doorlooptijd zoals beschreven in Bijlage 3, tenzij langere bewaring technisch noodzakelijk is voor beveiliging, integriteit of disaster recovery.
10.7 Verantwoordelijkheid voor wettelijke bewaring De Verwerkingsverantwoordelijke is verantwoordelijk voor het waarborgen dat gegevens elders bewaard blijven indien data bij Triagen wordt verwijderd vóór het verstrijken van een wettelijke bewaartermijn.
Artikel 11. Datalekken
11.1 Melding Triagen stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging op de hoogte nadat Triagen redelijkerwijs kennis heeft genomen van een inbreuk in verband met persoonsgegevens. Triagen streeft ernaar een eerste melding te doen binnen 24 uur na ontdekking.
11.2 Gefaseerde informatie Indien nog niet alle informatie beschikbaar is, verstrekt Triagen de beschikbare informatie gefaseerd, zodra deze redelijkerwijs beschikbaar komt.
11.3 Inhoud melding De melding bevat, voor zover bekend:
a. een beschrijving van de aard van de inbreuk; b. de categorieën betrokkenen; c. de categorieën persoonsgegevens; d. het vermoedelijke aantal betrokkenen en gegevensrecords, indien bekend; e. de waarschijnlijke gevolgen; f. de genomen of voorgestelde maatregelen; g. een contactpunt voor opvolging.
11.4 Bijstand Triagen verleent redelijke bijstand aan de Verwerkingsverantwoordelijke bij het beoordelen van de inbreuk, het beperken van gevolgen en het voldoen aan meldplichten bij toezichthouders en betrokkenen.
11.5 Geen erkenning van aansprakelijkheid Een melding door Triagen kwalificeert niet automatisch als erkenning van aansprakelijkheid.
Artikel 12. Locatie van verwerking en doorgifte
12.1 Verwerking binnen de EER Triagen verwerkt en bewaart persoonsgegevens in beginsel binnen de Europese Economische Ruimte.
12.2 Sub-verwerkers De verwerkingslocaties van sub-verwerkers zijn opgenomen in Bijlage 1.
12.3 Doorgifte buiten de EER Indien persoonsgegevens worden doorgegeven aan landen buiten de EER, zorgt Triagen ervoor dat deze doorgifte plaatsvindt in overeenstemming met hoofdstuk V AVG, bijvoorbeeld door gebruik van standaardcontractbepalingen, adequaatheidsbesluiten of andere toegestane mechanismen.
12.4 Vooraf informeren Triagen informeert de Verwerkingsverantwoordelijke vooraf over structurele doorgifte buiten de EER, tenzij dit redelijkerwijs niet mogelijk is of wettelijk niet is toegestaan.
Artikel 13. Audit en controle
13.1 Informatieplicht Triagen stelt alle informatie ter beschikking die redelijkerwijs nodig is om de naleving van artikel 28 AVG en deze Verwerkersovereenkomst aan te tonen.
13.2 Documentatie eerst De Verwerkingsverantwoordelijke maakt in eerste instantie gebruik van door Triagen beschikbaar gestelde documentatie, rapportages, beleidsdocumenten, beveiligingsverklaringen, self-assessments, certificeringen van sub-verwerkers of andere relevante stukken.
13.3 Auditrecht Indien de beschikbare documentatie onvoldoende uitsluitsel geeft, kan de Verwerkingsverantwoordelijke een audit laten uitvoeren door een onafhankelijke auditor die gebonden is aan geheimhouding.
13.4 Frequentie Een audit vindt niet vaker plaats dan éénmaal per twaalf maanden, tenzij sprake is van een concreet en onderbouwd vermoeden van een ernstige schending van deze Verwerkersovereenkomst of de AVG.
13.5 Voorafgaande kennisgeving De Verwerkingsverantwoordelijke geeft ten minste 60 dagen voorafgaand aan een audit schriftelijk kennis van de audit.
13.6 Uitvoering Audits vinden plaats tijdens reguliere kantooruren, op een wijze die de bedrijfsvoering, beveiliging en vertrouwelijkheid van Triagen en andere klanten niet onredelijk verstoort.
13.7 Kosten De kosten van een audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij uit de audit blijkt van een aantoonbare en wezenlijke tekortkoming die aan Triagen is toe te rekenen.
13.8 Certificeringsstatus Triagen is ten tijde van het sluiten van deze overeenkomst nog niet gecertificeerd conform ISO 27001 en NEN 7510. Triagen werkt toe naar certificering, naar verwachting in augustus 2027. Intentieverklaringen, samenwerkingen of voorbereidende trajecten met derden, waaronder Tidal en Fendix, kwalificeren niet als certificering en vormen geen garantie dat certificering op een specifieke datum wordt behaald.
Artikel 14. Beëindiging, teruggave en vernietiging
14.1 Keuze bij beëindiging Bij beëindiging van de onderliggende dienstverleningsovereenkomst heeft de Verwerkingsverantwoordelijke de keuze uit:
a. teruggave van persoonsgegevens in een gangbaar, gestructureerd en machineleesbaar formaat; of b. vernietiging van persoonsgegevens.
14.2 Termijn keuze De Verwerkingsverantwoordelijke maakt haar keuze binnen 30 dagen na beëindiging van de onderliggende dienstverleningsovereenkomst kenbaar.
14.3 Geen keuze Indien de Verwerkingsverantwoordelijke niet binnen 30 dagen een keuze maakt, is Triagen gerechtigd de persoonsgegevens na verloop van 90 dagen te verwijderen of te vernietigen, tenzij een wettelijke bewaarplicht of schriftelijke instructie zich daartegen verzet.
14.4 Bevestiging Triagen bevestigt schriftelijk of elektronisch dat persoonsgegevens zijn teruggegeven, verwijderd of vernietigd, met uitzondering van gegevens die Triagen op grond van wetgeving, beveiliging, geschilbeslechting of administratieve verplichtingen langer moet bewaren.
14.5 Back-ups Gegevens in back-ups worden verwijderd conform de rolling retentie en technische back-upprocessen van Triagen.
Artikel 15. Aansprakelijkheid
15.1 Algemene beperking De aansprakelijkheid van Triagen uit hoofde van deze Verwerkersovereenkomst is beperkt tot directe schade en is per kalenderjaar gemaximeerd tot het bedrag dat de Verwerkingsverantwoordelijke in de twaalf maanden voorafgaand aan de schadeveroorzakende gebeurtenis aan Triagen heeft betaald, tenzij in de onderliggende dienstverleningsovereenkomst een hogere aansprakelijkheidslimiet is overeengekomen.
15.2 Privacy- en beveiligingsincidenten Voor schade die rechtstreeks voortvloeit uit een aantoonbare toerekenbare tekortkoming van Triagen in de naleving van deze Verwerkersovereenkomst of passende beveiligingsmaatregelen, kan in de onderliggende dienstverleningsovereenkomst een afzonderlijke aansprakelijkheidslimiet worden overeengekomen.
15.3 Uitsluiting indirecte schade Triagen is niet aansprakelijk voor indirecte schade, waaronder gevolgschade, gederfde winst, gemiste besparingen, verminderde goodwill, reputatieschade of schade door bedrijfsstagnatie, tenzij dwingend recht anders bepaalt.
15.4 Uitzonderingen De aansprakelijkheidsbeperkingen gelden niet voor schade veroorzaakt door opzet of bewuste roekeloosheid van Triagen of voor zover dwingend recht zich tegen beperking verzet.
15.5 Artikel 82 AVG Deze aansprakelijkheidsbeperkingen laten dwingendrechtelijke rechten van betrokkenen onder artikel 82 AVG onverlet.
15.6 Vrijwaring De Verwerkingsverantwoordelijke vrijwaart Triagen tegen aanspraken van derden, waaronder betrokkenen, voor zover deze voortvloeien uit:
a. onrechtmatige instructies van de Verwerkingsverantwoordelijke; b. het ontbreken van een geldige grondslag of uitzonderingsgrond; c. onrechtmatige autorisaties of toegang door werkgevers, leidinggevenden of derden; d. het niet naleven van informatieplichten richting betrokkenen; e. het niet naleven van bewaarplichten of verwijderinstructies door de Verwerkingsverantwoordelijke;
tenzij de aanspraak het gevolg is van een toerekenbare tekortkoming van Triagen.
Artikel 16. Vertrouwelijkheid
16.1 Vertrouwelijke informatie Alle informatie die Partijen in het kader van deze overeenkomst ontvangen en waarvan zij weten of redelijkerwijs behoren te begrijpen dat deze vertrouwelijk is, wordt vertrouwelijk behandeld.
16.2 Beveiligingsinformatie Informatie over beveiligingsmaatregelen, incidenten, kwetsbaarheden, infrastructuur, audits en technische inrichting van het Platform geldt als vertrouwelijke informatie.
16.3 Uitzonderingen De verplichting tot vertrouwelijkheid geldt niet voor informatie die openbaar is, rechtmatig van een derde is verkregen, zelfstandig is ontwikkeld zonder gebruik van vertrouwelijke informatie, of op grond van wetgeving of een bindend bevel moet worden verstrekt.
Artikel 17. Rangorde
17.1 Rangorde privacybepalingen In geval van strijdigheid tussen deze Verwerkersovereenkomst en de onderliggende dienstverleningsovereenkomst, prevaleert deze Verwerkersovereenkomst voor zover het de verwerking van persoonsgegevens betreft.
17.2 Overige bepalingen Voor commerciële, financiële en operationele afspraken blijft de onderliggende dienstverleningsovereenkomst van toepassing, tenzij deze Verwerkersovereenkomst uitdrukkelijk anders bepaalt.
Artikel 18. Wijzigingen
18.1 Schriftelijke wijziging Wijzigingen van deze Verwerkersovereenkomst zijn slechts geldig indien schriftelijk of elektronisch overeengekomen door Partijen.
18.2 Wijziging wetgeving Indien gewijzigde wetgeving, richtlijnen van toezichthouders of gewijzigde dienstverlening aanpassing van deze overeenkomst noodzakelijk maken, treden Partijen in overleg om de overeenkomst passend aan te passen.
Artikel 19. Overdracht
19.1 Geen overdracht zonder toestemming Geen van de Partijen is gerechtigd rechten en verplichtingen uit deze overeenkomst over te dragen aan een derde zonder voorafgaande schriftelijke toestemming van de andere Partij.
19.2 Uitzondering Triagen Triagen mag deze overeenkomst overdragen aan een groepsmaatschappij of rechtsopvolger in het kader van fusie, overname, herstructurering of verkoop van onderneming, mits de rechten en verplichtingen uit deze overeenkomst ongewijzigd blijven en de bescherming van persoonsgegevens niet wezenlijk wordt verminderd.
Artikel 20. Toepasselijk recht en geschillen
20.1 Toepasselijk recht Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
20.2 Geschillen Geschillen die voortvloeien uit of verband houden met deze Verwerkersovereenkomst worden voorgelegd aan de bevoegde rechter te Amsterdam, tenzij dwingend recht een andere rechter aanwijst of Partijen schriftelijk anders overeenkomen.
Artikel 21. Slotbepalingen
21.1 Scheidbaarheid Indien een bepaling van deze overeenkomst nietig, vernietigbaar of niet afdwingbaar blijkt, blijven de overige bepalingen onverminderd van kracht. Partijen zullen in dat geval een vervangende bepaling overeenkomen die het doel en de strekking van de oorspronkelijke bepaling zo dicht mogelijk benadert.
21.2 Volledige afspraken Deze Verwerkersovereenkomst bevat de volledige afspraken tussen Partijen over de verwerking van persoonsgegevens door Triagen als verwerker namens de Verwerkingsverantwoordelijke.
Aanvaarding
Deze Verwerkersovereenkomst wordt aanvaard door ondertekening of aanvaarding van de Onderliggende Overeenkomst tussen Klant en Triagen B.V. Er is geen aparte ondertekening van deze Verwerkersovereenkomst vereist. De ingangsdatum van deze Verwerkersovereenkomst is gelijk aan de ingangsdatum van de Onderliggende Overeenkomst.
Bijlage 1: Sub-verwerkerslijst
Triagen maakt gebruik van de volgende sub-verwerkers:
Google Cloud Platform
- Juridische entiteit: Google Ireland Limited
- Dienst: Cloud hosting, databaseopslag en technische verwerkingsinfrastructuur
- Verwerkingslocatie: Nederland, europe-west4, Eemshaven, voor zover geconfigureerd
- Type gegevens: intakegegevens, organisatiegegevens, projectgegevens, user ID's, technische gegevens
- Doel: hosting, opslag, beschikbaarheid, beveiliging en technische continuïteit
Auth0
- Juridische entiteit: Okta, Inc.
- Dienst: gebruikersauthenticatie en user management
- Verwerkingslocatie: EU, eu-2, Frankfurt, Duitsland, voor zover geconfigureerd
- Type gegevens: authenticatiegegevens, e-mailadres, user ID, gehashte authenticatie-credentials, logininformatie
- Doel: authenticatie, autorisatie en toegangsbeheer
Brevo
- Juridische entiteit: Sendinblue SAS
- Dienst: transactionele e-maildienst
- Verwerkingslocatie: EU, Parijs, Frankrijk, voor zover geconfigureerd
- Type gegevens: naam, e-mailadres, transactionele e-mailinformatie
- Doel: verzenden van systeemmails, uitnodigingen, notificaties en andere transactionele communicatie
Certificeringen sub-verwerkers
De hierboven genoemde sub-verwerkers beschikken volgens openbare informatie over diverse certificeringen of assurance-rapportages, waaronder mogelijk ISO 27001, SOC 2, ISO 27017 of ISO 27018. Deze informatie is afkomstig van de betreffende sub-verwerkers en vormt geen zelfstandige garantie van Triagen over de actuele reikwijdte, geldigheid of continuïteit van deze certificeringen.
Actuele lijst
Triagen houdt een actuele sub-verwerkerslijst beschikbaar op verzoek of via een door Triagen aangewezen online locatie. Wijzigingen worden behandeld conform artikel 9 van deze Verwerkersovereenkomst.
Bijlage 2: Technische en organisatorische maatregelen
Triagen hanteert passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Onderstaand overzicht beschrijft de maatregelen die Triagen op het moment van sluiten van deze overeenkomst hanteert of nastreeft, zonder dat hiermee een uitputtende of blijvende garantie wordt gegeven.
Technische maatregelen
1.1 Versleuteling Gegevens worden versleuteld tijdens transport en waar passend in rust, gebruikmakend van gangbare industriestandaarden zoals TLS en versleuteling van opslag.
1.2 Toegangscontrole Triagen past toegangscontrole toe op basis van rollen en rechten. Interne toegang wordt beperkt volgens het least privilege-principe.
1.3 MFA en authenticatie Voor geautoriseerde medewerkers en beheerders wordt waar passend multi-factor authentication toegepast. Voor eindgebruikers kan passwordless authenticatie of een vergelijkbare veilige methode worden gebruikt.
1.4 Autorisaties Het Platform ondersteunt rolgebaseerde toegang en autorisatiebeheer. De Verwerkingsverantwoordelijke blijft verantwoordelijk voor het correct toekennen van rollen aan eigen gebruikers.
1.5 Logging en audit trails Triagen past logging en audittrail-functionaliteit toe voor relevante systeemactiviteiten, toegang en beveiligingsgebeurtenissen.
1.6 Scheiding van klantomgevingen Klantdata wordt logisch gescheiden per organisatie of klantomgeving. Voor gezondheidsgegevens worden aanvullende technische scheidingsmaatregelen toegepast, zoals Row Level Security waar passend.
1.7 Back-ups Triagen maakt versleutelde back-ups conform interne procedures voor continuïteit en disaster recovery.
1.8 Vulnerability management Triagen voert geautomatiseerde of periodieke controles uit op kwetsbaarheden en neemt passende maatregelen om bekende kwetsbaarheden te beheersen.
1.9 Productie en test Triagen streeft naar scheiding tussen productie- en testomgevingen. Echte klantdata wordt niet gebruikt in testomgevingen, tenzij dit noodzakelijk is, passend beveiligd is en schriftelijk of elektronisch is toegestaan.
1.10 Dataretentie Triagen ondersteunt verwijdering, pseudonimisering of anonimisering van gegevens conform instructies en technische mogelijkheden.
1.11 Data locatie Gegevens worden in beginsel verwerkt binnen de EER.
Organisatorische maatregelen
2.1 Geheimhouding Medewerkers, opdrachtnemers en andere personen die namens Triagen toegang hebben tot persoonsgegevens zijn gebonden aan geheimhouding.
2.2 Beperkte toegang Toegang tot klantdata wordt beperkt tot personen voor wie toegang noodzakelijk is voor dienstverlening, support, beveiliging of beheer.
2.3 Periodieke review Triagen voert periodiek of risicogebaseerd controles uit op interne toegangsrechten.
2.4 Incident response Triagen hanteert een incident response-procedure voor het identificeren, onderzoeken, beheersen en afhandelen van beveiligingsincidenten en datalekken.
2.5 Verwerkingsregister Triagen houdt een verwerkingsregister bij voor verwerkingen waarvoor zij daartoe verplicht is.
2.6 Security awareness Triagen bevordert bewustzijn rondom informatiebeveiliging en vertrouwelijkheid bij betrokken medewerkers en opdrachtnemers.
2.7 Leveranciersbeheer Triagen beoordeelt relevante sub-verwerkers op passende beveiligingswaarborgen en legt contractuele verplichtingen op.
2.8 Data-isolatie en AI Persoonsgegevens van de Verwerkingsverantwoordelijke worden niet gebruikt voor training van generieke AI-modellen. Verbetering van modellen of functionaliteit op basis van klantdata vindt uitsluitend plaats indien gegevens vooraf volledig en onomkeerbaar zijn geanonimiseerd, of indien Partijen daarover afzonderlijk en rechtsgeldig afspraken maken.
2.9 ISO 27001 en NEN 7510 Triagen werkt toe naar verdere professionalisering van haar informatiebeveiliging en naar certificering conform ISO 27001 en NEN 7510, naar verwachting in augustus 2027. Tot het moment van certificering geldt dat Triagen zich inspant om passende technische en organisatorische maatregelen te treffen, maar geen certificering claimt.
Bijlage 3: Bewaartermijnen
Algemeen uitgangspunt
Triagen faciliteert bewaartermijnen conform instructies van de Verwerkingsverantwoordelijke. De Verwerkingsverantwoordelijke blijft verantwoordelijk voor het bepalen van de toepasselijke bewaartermijn op basis van de aard van de gegevens, het doel van de verwerking en toepasselijke wet- en regelgeving.
Ondersteunde of standaard gehanteerde termijnen
2.1 Intakegegevens Bewaartermijn: conform instructie van de Verwerkingsverantwoordelijke. Toelichting: indien intakegegevens onderdeel uitmaken van een medisch dossier waarop de WGBO van toepassing is, kan een langere wettelijke bewaartermijn gelden. Triagen bepaalt dit niet zelfstandig.
2.2 Gezondheidsgegevens Bewaartermijn: conform instructie van de Verwerkingsverantwoordelijke. Toelichting: gezondheidsgegevens worden niet langer bewaard dan noodzakelijk voor het doel waarvoor zij worden verwerkt, tenzij een wettelijke bewaarplicht of instructie van de Verwerkingsverantwoordelijke anders bepaalt.
2.3 Organisatie- en projectgegevens Bewaartermijn: zolang noodzakelijk voor de dienstverlening of conform instructie. Toelichting: gegevens die nodig zijn voor beheer, rapportage, autorisatie of projectinrichting.
2.4 Accounts eindgebruikers Bewaartermijn: zolang het account actief is of zolang noodzakelijk conform instructie. Toelichting: na beëindiging kunnen accounts worden gedeactiveerd, gepseudonimiseerd of verwijderd.
2.5 Accounts geautoriseerde medewerkers Bewaartermijn: zolang het account actief is of zolang noodzakelijk voor audit, beveiliging en toegangsbeheer. Toelichting: accounts worden gedeactiveerd na uitdiensttreding, rolwijziging of instructie van de Verwerkingsverantwoordelijke.
2.6 Database back-ups Bewaartermijn: maximaal 90 dagen rolling retentie, tenzij technisch of wettelijk anders vereist. Toelichting: disaster recovery en continuïteit.
2.7 Audit logs Bewaartermijn: maximaal 7 jaar indien noodzakelijk voor beveiliging, audit, compliance of geschilbeslechting, passend op basis van instructie of wettelijke verplichting. Toelichting: logs kunnen noodzakelijk zijn voor beveiligingsonderzoek, accountability en reconstructie van toegang.
Verwijdering en anonimisering
Na afloop van de toepasselijke bewaartermijn worden persoonsgegevens verwijderd, gepseudonimiseerd of onomkeerbaar geanonimiseerd, afhankelijk van de instructie van de Verwerkingsverantwoordelijke, de aard van de gegevens en de technische mogelijkheden van het Platform.
Geanonimiseerde gegevens
Gegevens die volledig en onomkeerbaar zijn geanonimiseerd en niet meer herleidbaar zijn tot een betrokkene, organisatie of klantomgeving vallen buiten de AVG en buiten deze Verwerkersovereenkomst.
Verantwoordelijkheid
De Verwerkingsverantwoordelijke blijft verantwoordelijk voor het tijdig geven van juiste instructies over bewaartermijnen en voor het waarborgen dat wettelijke bewaarplichten worden nageleefd.