PraktijkOS
Sub-verwerkers
Laatst bijgewerkt:
Dit is de lijst van dienstverleners (sub-verwerkers) die PraktijkOS inschakelt bij het leveren van de dienst. De lijst is de bijlage bij de verwerkersovereenkomst (AVG art. 28 lid 2 en 4). Uitgangspunt: verwerking vindt plaats binnen de Europese Economische Ruimte (EER); er is geen structurele doorgifte van patiëntgegevens buiten de EER.
Conceptversie
Enkele contractuele keuzes staan nog open en zijn in de tekst gemarkeerd als [nog in te vullen]. Deze tekst is nog niet juridisch getoetst en geldt tot die toetsing als concept.
Overzicht
| Sub-verwerker | Doel | Gegevens | Locatie | Actief | Doorgifte-grondslag |
|---|---|---|---|---|---|
| Render Render Inc. (VS) | Hosting van de API, de PostgreSQL-database (primaire opslag) en achtergrondtaken (cron). | Alle gegevens in de dienst: dossier, NAW, financieel, audit-log. Het BSN — voor zover door de praktijk ingevoerd — veld-versleuteld. | Frankfurt, Duitsland (EER); onderliggend AWS eu-central-1. | Ja, altijd. | Verwerking in de EER. Render Inc. is een Amerikaanse entiteit: voor eventuele support-toegang van buiten de EER gelden de standaardcontractbepalingen (SCC’s) uit de Render-DPA (incl. Render → AWS als verdere sub-verwerker). [nog in te vullen: exacte SCC-module en eventuele DPF-status bevestigen bij leverancier] |
| Vercel Vercel Inc. (VS) | Hosting van de webapplicatie (frontend/CDN). | Toont gegevens in de browser van de gebruiker; slaat zelf geen dossier- of patiëntgegevens op. | Regio fra1 (Frankfurt, EER). | Ja, altijd. | Serving in de EER. Vercel Inc. is een Amerikaanse entiteit: Vercel-DPA met SCC’s voor toegang vanuit de VS. [nog in te vullen: DPF-certificering bevestigen bij leverancier] |
| Resend Resend Inc. (VS) | Transactionele e-mail: intake-links, nota’s, patiëntberichten, inloglinks en team-uitnodigingen. | Naam, e-mailadres, link-/uitnodigingstoken en notabedrag. Geen dossier- of SOAP-inhoud. | EU-verzendregio (eu-west-1, Ierland — EER). | Ja (e-mail staat uit zolang er geen API-sleutel is geconfigureerd). | Verwerking in de EU-regio. Resend Inc. is een Amerikaanse entiteit: Resend-DPA met SCC’s. [nog in te vullen: DPF-status bevestigen bij leverancier] |
| Mollie Mollie B.V. (Amsterdam, NL) | Betaaldienstverlener voor online betaallinks (iDEAL e.d.) en aanbetalingen bij online boeken. | Bedrag, omschrijving (kan de patiëntnaam bevatten) en betaalstatus. | Nederland (EER). | Alleen als de praktijk een eigen Mollie-account heeft gekoppeld. | EER-native, geen doorgifte buiten de EER. Voor de betaaltransactie zelf is Mollie als betaaldienstverlener tevens zelfstandig verwerkingsverantwoordelijke (wettelijke KYC-/AML-plichten); voor de overige gegevens verwerker. [nog in te vullen: Mollie-verwerkersovereenkomst: contract-/DPA-referentie vastleggen] |
| Microsoft Azure Microsoft Ireland Operations Ltd. / Microsoft Corp. | Spraak-naar-tekst (Azure Speech) en tekststructurering (Azure OpenAI) voor voice-SOAP, intake-ondersteuning en kolom-mapping bij migratie. | Uitsluitend audio (tijdelijk, direct gewist na transcriptie) en transcript/tekst, geredigeerd op directe identificatoren. Geen NAW, geen BSN. | EU-regio (EU Data Boundary). | Alleen indien de AI-functies zijn geactiveerd; standaard uit (geen externe aanroep). | Verwerking in de EU-regio. Microsoft Products & Services DPA + Azure OpenAI-voorwaarden. Microsoft geldt als deelnemer aan het EU-US Data Privacy Framework, met SCC’s als terugvaloptie. [nog in te vullen: DPF-status op de actuele lijst verifiëren; bij activering bevestigen: geen training op klantdata en geen menselijke review buiten de EU] |
| Sentry Functional Software Inc. (VS) | Foutmonitoring van de API (foutmeldingen en stacktraces). | Geen persoonsgegevens: send_default_pii=False — geen IP-adressen, headers, request-bodies of lokale variabelen. | EU-datacenter (Duitsland). | Alleen indien geconfigureerd (SENTRY_DSN); standaard uit. | Geen patiëntgegevens in scope. Sentry-DPA met SCC’s. [nog in te vullen: EU-regio van het Sentry-project en DPA-referentie bevestigen] |
| Telegram Telegram Messenger Inc. | Operationele alarmen (systeemstoringen, monitoring) aan de beheerder van PraktijkOS. | Geen persoonsgegevens van patiënten of praktijken: alleen titel, ernst en technische regels van een alarm. | Niet EER-gegarandeerd (leverancier bepaalt). | Alleen indien geconfigureerd; standaard uit. | Niet van toepassing zolang er geen persoonsgegevens worden verzonden. [nog in te vullen: staat niet in de DPA-bijlage — status (geen sub-verwerker) en eventuele DPA vastleggen] |
Bewust géén sub-verwerker van patiëntgegevens
- De standaard-AI-provider van de dienst (“stub”) doet geen enkele externe aanroep. Pas als de praktijk de AI-functies activeert, loopt de spraak-/tekstverwerking via Microsoft Azure (EU-regio) — zie de tabel.
- AI-diensten die uitsluitend door interne, van patiëntgegevens gescheiden research-tooling worden gebruikt (o.a. Anthropic Claude) staan niet op de allowlist van de AI-gateway en kunnen dus geen patiëntgegevens ontvangen.
- Een nieuwe AI-provider wordt pas ingeschakeld ná (a) opname in de technische allowlist, (b) een getekende sub-verwerkersovereenkomst en (c) opname in deze lijst.
Wijzigingen in deze lijst
PraktijkOS informeert aangesloten praktijken vooraf bij een voorgenomen toevoeging of vervanging van een sub-verwerker en biedt de gelegenheid bezwaar te maken binnen [nog in te vullen: bezwaartermijn, bv. 30 dagen]. Elke sub-verwerker krijgt dezelfde verplichtingen opgelegd als in de verwerkersovereenkomst (AVG art. 28 lid 4).
De verwerkingslocaties in de tabel zijn geverifieerd in de configuratie van de dienst. De precieze doorgifte-instrumenten (DPF-certificering, SCC-versie, aanvullende maatregelen) zijn een contractueel gegeven van de leverancier; waar die nog niet met zekerheid zijn vastgesteld, staat dat in de tabel expliciet gemarkeerd in plaats van geclaimd.