PRIVACYVERKLARING

DIT IS HET INTERNE PRIVACYBELEID VAN THE CHIROPRACTOR NOORD

Dit beleid heeft betrekking op de verwerking, het bewaren en/of het delen van (bijzondere)

persoonsgegevens in het kader van zowel de zorgverlening als de (interne) bedrijfsvoering van The

Chiropractor Noord.

The Chiropractor Noord is als zorgverlener de verwerkingsverantwoordelijke. The Chiropractor Noord

bepaalt het doel en de middelen voor de verwerking van (bijzondere) persoonsgegevens. Dit document

beschrijft hoe The Chiropractor Noord als verwerkingsverantwoordelijke omgaat met (bijzondere)

persoonsgegevens, zodat wordt voldaan aan de vereisten van de Algemene Verordening

Gegevensbescherming (AVG).

De volgende onderwerpen worden in dit document behandeld:

1 - Actualisering en nalevingscontrole van het privacybeleid

2 - Categorieën persoonsgegevens en doeleinden

3 - Organisatorische en technische maatregelen/beveiliging

4 - Informatieplicht

5 - Verwerkingsregister

6 - Informatie verwerkers en ontvangers

7 - Bewaartermijnen

8 - Voorlopig geen Data Protection Impact Assessment (DPIA)

9 - Doorgifte buiten de EU

10 - Geen Functionaris Gegevensbescherming

11 - Beveiligingsincidenten

12 - Rechten van betrokkenen

De verwerking van persoonsgegevens binnen The Chiropractor Noord moet in overeenstemming blijven

met de AVG en met alle regelgeving die de AVG aanvult, wijzigt of vervangt. Om die reden wordt het

privacybeleid periodiek geëvalueerd en waar nodig aangepast. Eveneens wordt periodiek gecontroleerd of

het privacybeleid wordt nageleefd door medewerkers en verwerkers van The Chiropractor Noord.

The Chiropractor Noord verwerkt persoonsgegevens van de volgende categorieën personen:

3.1: (potentiële) cliënten - The Chiropractor Noord verwerkt persoonsgegevens van potentiële cliënten met

als doel het identificeren van de cliënt en het uitvoeren van de zorgovereenkomst. Identificatie omvat

naam-, contact- en adresgegevens, geboortedatum en het burgerservicenummer van de cliënt. Dit wordt

verwerkt voor de uitvoering van de zorgovereenkomst. Ook andere (bijzondere) persoonsgegevens kunnen

hiervoor worden verwerkt, zoals medische gegevens.

3.2: Ouders/verzorgers van minderjarige cliënten - The Chiropractor Noord verwerkt persoonsgegevens van de ouders/verzorgers van cliënten met als doel contact te onderhouden met de cliënt en het uitvoeren van

de behandelovereenkomst. Dit betreft naam- en contactgegevens en eventuele financiële gegevens zoals

een bankrekeningnummer voor het facturatieproces.

3.3: Bezoekers van www.thechiropractornoord.nl - The Chiropractor Noord verwerkt persoonsgegevens die tijdens een bezoek van een betrokkene aan de website van The Chiropractor Noord worden gegenereerd,

zoals het IP adres, het surfgedrag op de website (gegevens over het eerste, vorige en huidige bezoek), de

bekeken pagina’s, de wijze van navigeren op de website en op welke onderdelen de betrokkene klikt. Deze

gebruikersstatistieken kunnen worden verwerkt in generieke rapporten die niet herleidbaar zijn tot

individuele bezoekers. Dit is met name gericht op het verbeteren van de praktijkwebsite

www.thechiropractornoord.nl. Daarnaast worden persoonsgegevens gegenereerd wanneer een bezoeker

het contact- of aanmeldformulier op de website invult. Dit formulier is beveiligd. De gegevens worden

gebruikt voor het doel waarvoor het contact- of webformulier dient.

3.4: Werknemers - The Chiropractor Noord verwerkt persoonsgegevens van haar werknemers, voor zover

dit noodzakelijk is voor de uitvoering van de arbeidsovereenkomst en/of een wettelijke verplichting, of

indien de werknemer daarvoor toestemming heeft gegeven.

Personeelsdossier:

In het personeelsdossier van iedere werknemer worden de volgende gegevens opgeslagen:

• De arbeidsovereenkomst en aanverwante gegevens, ten behoeve van het vaststellen en uitbetalen van

salaris en andere vergoedingen.

• Kopieën van diploma’s, certificaten en andere registraties.

• Gegevens over het functioneren van werknemers ten behoeve van individuele beoordeling en

verbetering, specifiek voor (toekomstige) beoordelings- en functioneringsgesprekken en

begeleidingstrajecten.

• Overige gegevens, zoals gegevens met betrekking tot eventuele klachten, waarschuwingen,

beoordelingen en verzuim.

• Verkregen toestemming voor het verwerken van (bijzondere) persoonsgegevens.

Toegang tot de personeelsdossiers is beveiligd. Alleen Gordon Ryan (eigenaar) heeft toegang tot het

personeelsdossier. Op verzoek kan een werknemer zijn of haar personeelsdossier inzien. Gegevens uit

personeelsdossiers kunnen tevens worden gebruikt als managementinformatie.

Van elke werknemer is een functieomschrijving voor representatiedoeleinden gepubliceerd op de website,

waarvoor de uitdrukkelijke toestemming van elke werknemer is gevraagd en verkregen. Gegevens die

nodig zijn voor betalingen, deelname aan cursussen, trainingen, beroepsverenigingen en externe

bijeenkomsten worden binnen het bedrijf verwerkt en opgeslagen.

Opdrachtnemers (zzp’ers):

The Chiropractor Noord verwerkt en bewaart de persoonsgegevens van haar opdrachtnemers (zzp’ers). In

het kader van de verificatieplicht in de Wkkgz kan een onderzoek worden uitgevoerd naar de geschiktheid

van de opdrachtnemer (zzp’er).

Sollicitanten:

The Chiropractor Noord verwerkt persoonsgegevens van personen die bij The Chiropractor Noord hebben

gesolliciteerd, zoals contactgegevens en informatie die in de sollicitatiebrief en het cv is vermeld. Deze

gegevens worden verwerkt om de geschiktheid van de kandidaat te beoordelen en om contact op te nemen.

De gegevens worden maximaal 6 maanden na de sollicitatieperiode bewaard.

Overige personen:

In het kader van de behandelingen kan The Chiropractor Noord ook gegevens gebruiken die zijn verkregen

van andere zorgverleners of verwijzers.

Uitgangspunt voor The Chiropractor Noord is dat er niet meer persoonsgegevens worden verwerkt dan

noodzakelijk om het doel te bereiken waarvoor ze zijn verzameld, zowel intern als extern bij het

inschakelen van derden. In beide gevallen heeft The Chiropractor Noord passende technische en

organisatorische maatregelen genomen om persoonsgegevens te beschermen tegen verlies of

onrechtmatige verwerking.

The Chiropractor Noord heeft de volgende interne technische en organisatorische maatregelen getroffen:

4.1 Het uitwisselen van vertrouwelijke informatie met andere zorgverleners mag uitsluitend plaatsvinden

via een beveiligde verbinding. E-mailen met andere zorgverleners is alleen toegestaan voor algemene

communicatie. Uitwisseling van privégegevens via niet-versleutelde methoden is niet toegestaan.

4.2 Vertrouwelijke informatie mag uitsluitend worden opgeslagen in het ICT systeem van de praktijk dat

voldoet aan de AVG wet- en regelgeving. Het is evenmin toegestaan vertrouwelijke informatie op

externe gegevensdragers op te slaan, tenzij dit noodzakelijk is en de gegevens zijn versleuteld.

4.3 De praktijk zorgt ervoor dat wachtwoorden voor het ICT systeem van de praktijk voldoende sterk zijn

en periodiek worden gewijzigd.

4.4 Het is niet toegestaan apparatuur zoals laptops, tablets en mobiele telefoons met bijzondere

patiëntgegevens onbeheerd buiten de praktijk achter te laten. Toegang tot de apparaten moet met

wachtwoorden worden beveiligd.

4.5 Inloggegevens moeten vertrouwelijk worden behandeld en mogen niet met derden worden gedeeld.

Inloggegevens mogen uitsluitend vertrouwelijk met collega’s worden gedeeld in een veilige omgeving

zonder derden, bijvoorbeeld bij het inwerken van een nieuwe collega.

4.6 Bij het verlaten van de praktijk moet iedere medewerker volledig uitloggen op de laptop, deze afsluiten

en eventuele papieren dossiers veilig opbergen.

4.7 Zonder toestemming van de Praktijkmanager of praktijkeigenaar is het niet toegestaan software op

praktijkapparatuur te downloaden of firewalls of virusscanners te wijzigen of te verwijderen.

4.8 Een thuiscomputer die voor de praktijk wordt gebruikt, moet met een wachtwoord zijn beveiligd.

Beveiligingsupdates moeten tijdig worden uitgevoerd. Er mag geen verbinding worden gemaakt via

openbare wifi netwerken. Het is niet toegestaan informatiedragers met vertrouwelijke gegevens

onbeheerd in een auto of elders buiten de praktijk achter te laten.

4.9 Bij het verlaten van de praktijk moet worden gecontroleerd of er nog andere personen in het pand

aanwezig zijn. De laatst aanwezige medewerker controleert of alle ramen en deuren gesloten/afgesloten

zijn.

4.10 Toegang tot het gebouw is uitsluitend mogelijk met sleutels die aan medewerkers zijn verstrekt.

Sleutels mogen niet aan derden worden gegeven.

4.11 Medewerkers zijn contractueel verplicht tot geheimhouding. The Chiropractor Noord ziet toe op

naleving van de bovenstaande maatregelen. Er kunnen steekproefsgewijs (proportionele) controles worden

uitgevoerd. Indien het vermoeden bestaat dat maatregelen door een medewerker niet worden nageleefd,

kan gerichte controle van de betreffende medewerker plaatsvinden. Op basis van de bevindingen kan The

Chiropractor Noord besluiten arbeidsrechtelijke maatregelen te nemen.

5. Wij verwerken uitsluitend persoonsgegevens die strikt noodzakelijk zijn voor het beoogde doel. Bij het

ontwikkelen of aanschaffen van nieuwe systemen en processen wordt privacy vanaf de ontwerpfase

meegenomen (privacy by design). Standaardinstellingen zijn zodanig geconfigureerd dat alleen de

minimaal vereiste gegevens worden verwerkt (privacy by default). Jaarlijks beoordelen wij of de

verwerkte gegevens nog noodzakelijk zijn en passen waar nodig systemen en processen aan.

• U kunt bezwaar maken tegen de manier waarop wij uw persoonsgegevens verwerken.

• U kunt uw gegeven toestemming om uw persoonsgegevens te verwerken intrekken. Wanneer u dit doet,

kunnen wij u mogelijk niet de meest passende zorg bieden. Wij blijven uw gegevens bewaren in een

inactief archief.

6 - Verwerkers van informatie:

Met verwerkers (Practicehub) heeft The Chiropractor Noord een partij gekozen die gegevens voor

verwerking en opslag kan versleutelen op basis van technische en organisatorische maatregelen. De door

The Chiropractor Noord ingeschakelde verwerker is verplicht alle informatie te verstrekken om naleving

van de beveiliging aan te tonen ten behoeve van audits, waaronder inspecties. Dit kan door The

Chiropractor Noord zelf of door een door The Chiropractor Noord gemachtigde auditor wordenuitgevoerd.

The Chiropractor Noord informeert alle betrokkenen over de manier waarop met persoonsgegevens wordt

omgegaan. Om die reden is voor personen die niet aan The Chiropractor Noord zijn verbonden een externe

privacyverklaring opgesteld. Deze privacyverklaring is gepubliceerd op de website van The Chiropractor

Noord.

Bij indiensttreding worden nieuwe medewerkers geïnformeerd over de verwerking van hun

persoonsgegevens binnen The Chiropractor Noord. Voor medewerkers geldt het interne privacyprotocol.

Dit interne protocol is eveneens opgenomen in het ICT systeem van de praktijk.

The Chiropractor Noord maakt gebruik van externe dienstverleners bij de verwerking van

persoonsgegevens. Deze dienstverleners verwerken persoonsgegevens uitsluitend in opdracht van The

Chiropractor Noord. Met deze partijen heeft The Chiropractor Noord een overeenkomst gesloten waarin

een geheimhoudingsplicht is opgenomen.

The Chiropractor Noord maakt gebruik van de volgende gegevensverwerkers:

• Practicehub (ten behoeve van een elektronisch patiëntendossier)

• Google (voor email, agenda en Google Drive documenten)

• Right eye (voor testen)

• Pumble (interne versleutelde communicatie)

7. Wij bewaren uw persoonsgegevens alleen zolang dat nodig is om u de meest passende zorg te kunnen

bieden. Dit doen wij conform de wettelijke bewaartermijn zoals gesteld in de Wet op de geneeskundige

behandelingsovereenkomst (WGBO).

• Medische dossiers: 20 jaar

• Financiële administratie: 7 jaar

Verwijdering wordt jaarlijks gecontroleerd.

8. The Chiropractor Noord verstrekt persoonsgegevens aan verwerkers wanneer dit noodzakelijk is in het

kader van de uitvoering van de behandelovereenkomst of in het geval van een wettelijke verplichting.

Daarbuiten worden geen persoonsgegevens aan derden verstrekt zonder de voorafgaande uitdrukkelijke

toestemming van de betrokkene.

In uitzonderlijke gevallen kan door The Chiropractor Noord een gegevensbeschermingseffectbeoordeling

(DPIA) worden uitgevoerd. De kans op noodzaak is gering, aangezien gebruik wordt gemaakt van

gecontracteerde gegevensverwerkers.

9. In beginsel draagt The Chiropractor Noord geen (bijzondere) persoonsgegevens over aan landen buiten

de EER. Indien dit noodzakelijk is, gebeurt dit binnen de regels van de AVG en de Europese Commissie.

10. Een verwerkingsverantwoordelijke is verplicht een functionaris voor gegevensbescherming (FG) aan

te wijzen in het geval van grootschalige gegevensverwerking. Dit geldt met name voor organisaties die

primair en in aanzienlijke mate betrokken zijn bij de verwerking van bijzondere persoonsgegevens (zoals

medische gegevens).

‘Primair betrokken’ ziet op de kernactiviteiten van de verwerkingsverantwoordelijke. De Artikel

29 werkgroep definieert kernactiviteiten als processen die essentieel zijn om de doelstellingen van de

organisatie te bereiken of die deel uitmaken van de hoofdtaken van de organisatie. The Chiropractor Noord

heeft geen FG aangesteld, omdat er geen sprake is van grootschalige verwerking van bijzondere

persoonsgegevens.

11. The Chiropractor Noord neemt beveiligingsincidenten serieus. De organisatie heeft passende

technische en organisatorische maatregelen genomen die erop zijn gericht de kans op verlies of

onrechtmatige verwerking van persoonsgegevens zoveel mogelijk te minimaliseren. Ondanks deze

maatregelen bestaat de kans dat zich een incident met persoonsgegevens voordoet. Om ervoor te zorgen

dat zo snel mogelijk kan worden gehandeld om het incident te beëindigen en de schade zoveel mogelijk te

beperken, moet de volgende procedure worden gevolgd.Bij elk incident waarbij persoonsgegevens zijn betrokken, beoordeelt The Chiropractor Noord:

• Of er sprake is van een incident met (bijzondere) persoonsgegevens

• Welke maatregelen moeten worden genomen om het incident te beëindigen en de gevolgen te beperken

• Of de inschakeling van een externe partij nodig is om te helpen bij het oplossen van het incident

• Of het incident moet worden gemeld bij de Autoriteit Persoonsgegevens (AP)

• Of de personen op wie de persoonsgegevens betrekking hebben, over het incident moeten worden

geïnformeerd

• Welke maatregelen moeten worden genomen om herhaling van het incident te voorkomen

The Chiropractor Noord legt inbreuken waarbij persoonsgegevens zijn betrokken vast in het

datalekregister van de AP.

Indien een gegevensverwerker eerder op de hoogte is geraakt van een (potentieel) incident, is in de

samenwerkingsovereenkomst bepaald dat de verwerker ons van het (mogelijke) datalek in kennis stelt.

Ook is overeengekomen dat beide partijen zich inspannen om het incident te voorkomen/op te lossen.

12. De rechten die een betrokkene in het algemeen heeft op grond van de AVG zijn het recht op inzage, het

recht op rectificatie, het recht op gegevenswissing, het recht op beperking van de verwerking, het recht op

overdraagbaarheid van gegevens, het recht van bezwaar en het recht niet te worden onderworpen aan

geautomatiseerde individuele besluitvorming. Via haar verwerkers heeft The Chiropractor Noord

technische maatregelen genomen om een gerechtvaardigde uitoefening van deze rechten mogelijk te

maken. Verzoeken van betrokkenen met betrekking tot persoonsgegevens worden behandeld door de

Eigenaar of de Praktijkmanager.

Verzoeken en de afhandeling daarvan worden opgeslagen in het ICT systeem.

Na ontvangst van een verzoek zal The Chiropractor Noord zich inspannen om de identiteit van de

verzoeker vast te stellen op basis van de naam- en contact en adresgegevens van de verzoeker.

Zodra de identiteit van de verzoeker is vastgesteld, bevestigt The Chiropractor Noord aan de verzoeker dat

binnen een maand op het verzoek wordt gereageerd. Indien blijkt dat het verzoek complex is, kan deze

termijn met maximaal twee maanden worden verlengd. The Chiropractor Noord informeert binnen de

eerste termijn over de verlenging.

The Chiropractor Noord bepaalt op welk recht de verzoeker zich beroept en verzamelt de daarvoor

benodigde gegevens. The Chiropractor Noord beoordeelt of aan het verzoek van de verzoeker kan worden

voldaan, waarbij tevens rekening wordt gehouden met het beroepsgeheim en wettelijke bewaarplichten.

De behandelaar legt zijn bevindingen vast in een verslag. Het verslag wordt opgeslagen in het

ICT systeem.

In beginsel worden voor de behandeling van het verzoek geen kosten in rekening gebracht. Niettemin kan

aan de verzoeker een redelijke vergoeding op basis van administratieve kosten worden gevraagd,

bijvoorbeeld in het geval van herhaalde (ongegronde) verzoeken of wanneer meer dan één kopie van het

dossier wordt verlangd.

Indien het verzoek wordt ingewilligd en het verzoek betrekking heeft op rectificatie, wissing of beperking

van de verwerking, moeten ook de externe partijen die de persoonsgegevens hebben ontvangen over het

verzoek worden geïnformeerd. The Chiropractor Noord bepaalt of dit het geval is en noteert de derde partij

in het verslag. Dergelijke kennisgevingen aan externe partijen worden door The Chiropractor Noord

achterwege gelaten indien dit onmogelijk blijkt of een onevenredige inspanning vergt.

Klik hier voor een downloadbare versie van de privacyverklaring.