Privacyverklaring Zilos

Zorgvuldig omgaan met persoonsgegevens vinden wij van groot belang. Persoonsgegevens worden door ons dan ook zorgvuldig verwerkt en beveiligd. Daarbij houden wij ons aan de eisen uit de privacywetgeving, zoals de Algemene Verordening Gegevensbescherming (AVG).

Dat betekent dat wij:

Persoonsgegevens

In de applicatie die wij leveren aan onze klanten (Epos) worden patiënt-/cliëntgegevens in de geestelijke gezondheidszorg opgeslagen. Wij verwerken deze gegevens uitsluitend in opdracht van onze klanten, de zorgaanbieders. Wij kunnen de volgende persoonsgegevens verwerken:

Een groot deel van de gegevens die wij verwerken worden door de wet aangemerkt als “bijzondere persoonsgegevens”, vanwege het zeer privacygevoelige karakter van die gegevens. Dit type persoonsgegeven wordt extra beschermd door de wet.

Doeleinde en rechtsgrond

Het doeleinde waarvoor wij deze persoonsgegevens verwerken is het leveren van een web-based EPD-applicatie aan organisaties in de GGZ. Wij verwerken de persoonsgegevens uitsluitend in opdracht van onze klanten en in overeenstemming met de afgesloten overeenkomst.

Wij hebben nauwkeurige afspraken met onze klanten gemaakt over de verwerking van uw persoonsgegevens door middel van een verwerkersovereenkomst die deel uitmaakt van onze algemene voorwaarden. De klant is daarin verwerkingsverantwoordelijke en Zilos ZGP Services is verwerker.

De wettelijke grondslag op basis waarvan deze bijzondere persoonsgegevens mogen worden verwerkt is de noodzaak voor het kunnen verstrekken van gezondheidszorg.

Ontvangers

Wij delen uw persoonsgegevens niet met derden, tenzij de zorgaanbieder expliciet aan ons opdracht heeft gegeven om de gegevens te delen. Een uitzondering hierop is het verstrekken van persoonsgegevens om te voldoen aan een wettelijke verplichting.

Subverwerkers

Voor de opslag van deze persoonsgegevens maken we gebruik van datacenters in België van het bedrijf Combell. Wij hebben met Combell een verwerkersovereenkomst afgesloten, waarin wij eenzelfde niveau van beveiliging en vertrouwelijkheid van uw gegevens afdwingen. Wij blijven verantwoordelijk voor deze verwerkingen. Combell is evenals Zilos ZGP Services gecertificeerd voor ISO 27001*, een internationale standaard voor informatiebeveiliging. Combell voldoet volledig aan de AVG**.

* https://www.combell.nl/managed-hosting/security

** https://www.combell.com/nl/blog/avg-gdpr-wat-moet-je-weten-als-combell-klant/

Bewaartermijn

Wij zullen uw persoonsgegevens niet langer verwerken dan nodig is voor het doel waarvoor deze zijn verstrekt. De wettelijke bewaartermijn van medische gegevens is 20 jaar na de laatste wijziging in het dossier. Uw zorgaanbieder is verantwoordelijk voor het handhaven van de bewaartermijnen. Zij kunnen zelf gegevens verwijderen.

Zorgaanbieders die de licentieovereenkomst beëindigen, krijgen al hun gegevens mee in een exportbestand uit Epos. Zij moeten vervolgens beslissen om een inkijkaccount in Epos te nemen of om de gegevens permanent door ons te laten verwijderen.

Rechten van betrokkenen

U heeft de volgende rechten:

• Recht op inzage. Dat is het recht van mensen om onder meer een kopie te ontvangen van de persoonsgegevens die u van hen verwerkt.
• Recht op vergetelheid. Mensen hebben het recht om ‘vergeten’ te worden.
• Recht op rectificatie en aanvulling. Het recht om de persoonsgegevens die u verwerkt te laten wijzigen.
• Het recht op dataportabiliteit. Het recht om persoonsgegevens over te laten dragen aan een andere partij.
• Het recht op beperking van de verwerking: Het recht om minder gegevens te laten verwerken.
• Het recht met betrekking tot geautomatiseerde besluitvorming en profilering. Oftewel: het recht op een menselijke blik bij besluiten.
• Het recht om bezwaar te maken tegen de gegevensverwerking.
• Het recht op duidelijke informatie over wat wij met uw persoonsgegevens doen.

Het is de verantwoordelijkheid van uw zorgaanbieder om hieraan medewerking te verlenen. Wij zullen onze medewerking verlenen aan alle wettelijke verzoeken.

Persoonsgegevens

Voor het uitvoeren van de licentieovereenkomst en het leveren van ondersteuning aan klanten verwerken wij persoonsgegevens. Daarbij gaat het om persoonsgegevens van medewerkers en relaties van de organisaties van klanten, om relaties van Zilos ZGP Services en om gebruikers van Epos.

Ook verwerken wij persoonsgegevens van iedereen die met ons communiceert via de telefoon, e-mail of het contactformulier op onze website.

Wij verwerken de volgende persoonsgegevens:

We verstrekken uw gegevens nooit zomaar aan derden. Uw gegevens worden uitsluitend verstrekt indien dit nodig is voor de uitvoering van de licentieovereenkomst of om te voldoen aan een wettelijke verplichting

.

Subverwerkers

Wij maken gebruik van de diensten van Dropbox en Google voor de cloudopslag van bovengenoemde persoonsgegevens. Met beide bedrijven hebben wij een verwerkersovereenkomst om zorg te dragen dat de gegevens vertrouwelijk worden behandeld en goed zijn beveiligd. Dropbox en Google voldoen beide aan de AVG* en hebben een uitgebreid beveiligingsbeleid**.

Voor het maken van opdrachten voor automatische incasso maken wij gebruik van De Betaalfabriek. Aan deze dienst worden enkel de gegevens verstrekt die nodig zijn om de incasso opdrachten te maken.

* Dropbox: https://www.dropbox.com/nl_NL/security/GDPR, Google: https://cloud.google.com/security/gdpr/.

** Dropbox: https://www.dropbox.com/security, Google: https://cloud.google.com/security/.

Bewaartermijn

Wij zullen uw persoonsgegevens niet langer verwerken dan nodig is voor het doel waarvoor deze zijn verstrekt. De wettelijke bewaartermijn van financiële gegevens is 7 jaar. Wij kunnen uw persoonsgegevens langer bewaren dan de duur van de overeenkomst, als die gebruikt kunnen worden om toekomstige supportvragen efficiënter te beantwoorden.

Rechten van betrokkenen

U heeft de volgende rechten:

• Recht op inzage. Dat is het recht van mensen om onder meer een kopie te ontvangen van de persoonsgegevens die u van hen verwerkt.
• Recht op vergetelheid. Mensen hebben het recht om ‘vergeten’ te worden.
• Recht op rectificatie en aanvulling. Het recht om de persoonsgegevens die u verwerkt te laten wijzigen.
• Het recht op dataportabiliteit. Het recht om persoonsgegevens over te laten dragen aan een andere partij.
• Het recht op beperking van de verwerking: Het recht om minder gegevens te laten verwerken.
• Het recht met betrekking tot geautomatiseerde besluitvorming en profilering. Oftewel: het recht op een menselijke blik bij besluiten.
• Het recht om bezwaar te maken tegen de gegevensverwerking.
• Het recht op duidelijke informatie over wat wij met uw persoonsgegevens doen.

 Wij verlenen onze medewerking aan alle privacyrechten van de AVG.

Inleiding

Wij nemen de beveiliging van uw persoonsgegevens zeer serieus. De beschikbaarheid, integriteit en vertrouwelijkheid van uw gegevens heeft bij ons de hoogste prioriteit. In dit onderdeel van onze privacyverklaring beschrijven we onze technische en organisatorische maatregelen om uw persoonsgegevens te beschermen.

Certificering

We hebben een managementsysteem voor informatieveiligheid ingericht dat voldoet aan de normeisen van NEN 7510 (Nederlandse norm) en ISO 27001 (internationale norm). Wij worden jaarlijks gecontroleerd door een onafhankelijk bedrijf op naleving van deze normen.

Privacy by design

Bij de ontwikkeling van Epos hebben wij van het begin het principe privacy by design toegepast. Dit betekent dat we al bij het ontwerp hebben voorzien in technische en organisatorische maatregelen om de privacyrisico’s voor mensen zo klein mogelijk te maken. Privacy als kernwaarde is een onderdeel van ons ontwikkelbeleid. Daarnaast hebben we specifieke eisen en doelen voor informatieveiligheid gesteld als onderdeel van het ontwikkelproces, zoals de toetsing van de beveiliging (authenticatie en autorisatie) en de validatie van invoer- en uitvoergegevens.

Epos heeft een fijnmazig in te stellen systeem van toegangsrechten, waardoor persoonsgegevens optimaal kunnen worden afgeschermd voor onbevoegden. Daarnaast zijn de gegevens in Epos beveiligd door meerdere lagen van technische en logische beveiliging en is er sprake van uitgebreide logging.

Privacy by default

Ook het principe privacy by default is onderdeel van ons beleid. Hierdoor hebben bijvoorbeeld nieuw aangemaakte gebruikers in Epos standaard geen enkel recht. Alle rechten moeten met de hand worden toegekend door een beheerder. In onze eigen bedrijfsvoering geldt dit principe ook: we vragen niet meer gegevens van klanten dan nodig zijn voor de levering van onze diensten.

Geheimhouding

Bij Zilos ZGP Services hebben medewerkers alleen toegang tot bepaalde persoonsgegevens als dat noodzakelijk is voor de uitoefening van hun taken. Wij houden bij wie toegang heeft tot welke gegevens middels een autorisatiematrix. Alle medewerkers en opdrachtnemers van Zilos hebben een geheimhoudingsovereenkomst ondertekend met een hoge boeteclausule.

Verwerkersovereenkomsten

Met organisaties die uw gegevens verwerken in onze opdracht sluiten wij een verwerkersovereenkomst om te zorgen voor eenzelfde niveau van beveiliging en vertrouwelijkheid van de gegevens. Bij de selectie van subverwerkers hebben wij een streng selectieproces, zodat we zeker weten dat ze voldoen aan de eisen die wij stellen aan informatieveiligheid.

Als subverwerker voor onze klanten, hebben wij zelf ook met hen een verwerkersovereenkomst afgesloten. Deze maakt deel uit van onze algemene voorwaarden. De klant is hierbij de verwerkingsverantwoordelijke en Zilos ZGP Services de verwerker. Deze overeenkomst volgt het Model Verwerkersovereenkomst Brancheorganisaties Zorg, zodat de afspraken voldoen aan de AVG én aan de eisen en wensen van de zorgaanbieders.

Beveiliging datacenter

Voor de levering van onze webapplicatie maken we gebruik van cloud-servers van combell. Wij hebben met hen een overeenkomst en SLA afgesloten waarmee we aan onze verplichtingen voor informatieveiligheid kunnen voldoen. Daarnaast hebben zij een certificering voor de internationale normen ISO 27001 (informatieveiligheid) en ISO 9001 (kwaliteit).

Elke server is aangesloten op twee stroomcircuits. Hierdoor wordt een redundantie gecreëerd voor de stroomvoorziening naar de servers. Indien namelijk één circuit uitvalt, blijft de server gevoed door het ander stroomcircuit. Bovendien is elk circuit aangesloten op een apart elektriciteitsnet. Elk circuit is bovendien voorzien van UPS’s (uninterruptible power supplies) en backup-batterijen.

Naast de redundante stroomcircuits met hun backup-voorzieningen, zijn er ook generatoren aanwezig, zodat bij langdurige stroomonderbrekingen een permanente stroomvoorziening aanwezig is. Alle noodstroomvoorzieningen worden op regelmatige basis getest door een gespecialiseerd onderhoudsteam.

Combell’s netwerkinfrastructuur is ook redundant uitgevoerd wat concreet betekent dat alle systemen dubbel zijn geïnstalleerd. Gaat er toch een systeem uit, dan neemt het andere systeem over. Het netwerk van Combell heeft een capaciteit van 100 gigabit/s, waardoor DDOS-aanvallen worden bemoeilijkt.

Netwerkbeveiliging

In onze netwerkbeveiliging hanteren we vijf principes:
1. Redundantie Het redundant uitvoeren van (kritieke) netwerkcomponenten.

2. Diversiteit Het toepassen van meervoudige beveiligingsmechanismen, zoals firewalls, isolatie, encryptie (TLS), HSTS, VPN-verbindingen, IP-whitelisting, authenticatie in twee stappen, etc.

3. Isolatie Het netwerk zo inrichten dat delen ervan kunnen worden geïsoleerd.

4. Veilige defaults Al het onbekende verkeer is geblokkeerd en alle netwerkcomponenten, zoals routers en firewalls, zijn op de juiste manier geconfigureerd.

5. Beperkingen Het toevoegen van privilege beperkingen en encryptie op informatie op het netwerk.

Technische beveiliging

Voor de technische beveiliging van uw gegevens gebruiken we, zonder in details te treden, o.a. de volgende technieken: