Verwerkersovereenkomst Perform+
Versie 1.0 · 6 november 2026
Dit is ons model. De praktijk vult bij ondertekening haar eigen gegevens in.
Partijen
- [Naam praktijk], gevestigd aan [adres], KvK [nummer], vertegenwoordigd door [naam en functie], hierna "Verwerkingsverantwoordelijke";
- PassionForHealth B.V., handelend onder de namen Fysiotherapie Passion For Health en Perform+, gevestigd aan Van Zeggelenplein 5, 2032 KA Haarlem, KvK 88144763, vertegenwoordigd door Freek Berkhof, directeur, hierna "Verwerker".
Partijen hebben een overeenkomst gesloten voor het gebruik van Perform+ (de "Hoofdovereenkomst"). Daarbij verwerkt de Verwerker persoonsgegevens namens de Verwerkingsverantwoordelijke. Partijen leggen met deze overeenkomst de afspraken vast die artikel 28 AVG vereist.
Artikel 1. Onderwerp
- De Verwerker verwerkt persoonsgegevens alleen om Perform+ te leveren, zoals Bijlage A beschrijft.
- De Verwerkingsverantwoordelijke bepaalt het doel en de middelen van de verwerking. De Verwerker heeft geen zeggenschap over de persoonsgegevens.
Artikel 2. Instructies
- De Verwerker verwerkt persoonsgegevens alleen op schriftelijke instructie van de Verwerkingsverantwoordelijke. Het gebruik van Perform+ zoals bedoeld en deze overeenkomst gelden als instructie.
- Moet de Verwerker op grond van de wet anders verwerken, dan meldt zij dat vooraf, tenzij de wet die melding verbiedt.
- Vindt de Verwerker een instructie in strijd met de AVG, dan meldt zij dat direct en wacht zij met uitvoeren.
- De Verwerker gebruikt de persoonsgegevens niet voor eigen doelen, zoals productontwikkeling, marketing of het trainen van modellen. Gebruiksstatistieken over Perform+ zelf, zonder persoonsgegevens van Cliënten, mag de Verwerker gebruiken om de dienst te verbeteren.
Artikel 3. Geheimhouding
- Medewerkers en ingeschakelde partijen van de Verwerker met toegang tot persoonsgegevens zijn tot geheimhouding verplicht.
- De Verwerker geeft alleen medewerkers toegang die dat nodig hebben voor beheer, support of het oplossen van storingen. Het systeem legt elke inzage in dossiers vast.
- Medewerkers van de Verwerker openen dossiers van Cliënten alleen op verzoek van de Verwerkingsverantwoordelijke of als een storing dat nodig maakt.
Artikel 4. Beveiliging
- De Verwerker neemt passende technische en organisatorische maatregelen, rekening houdend met de gevoeligheid van gezondheidsgegevens. Bijlage B beschrijft die maatregelen.
- De Verwerker gebruikt NEN 7510 als leidraad voor haar beveiliging en legt toegang tot dossiers vast volgens NEN 7513. De Verwerker is niet gecertificeerd voor NEN 7510. De datacenters van de hostingpartij zijn ISO 27001-gecertificeerd.
- De Verwerker mag maatregelen wijzigen, zolang het beveiligingsniveau niet daalt.
Artikel 5. Subverwerkers
- De Verwerkingsverantwoordelijke geeft algemene toestemming voor de subverwerkers in Bijlage C.
- De Verwerker meldt een nieuwe of andere subverwerker minstens 30 dagen vooraf. De Verwerkingsverantwoordelijke kan binnen die termijn gemotiveerd bezwaar maken. Lossen partijen het bezwaar niet op, dan mag de Verwerkingsverantwoordelijke de Hoofdovereenkomst opzeggen per de ingangsdatum van de wijziging.
- De Verwerker legt elke subverwerker schriftelijk dezelfde verplichtingen op als in deze overeenkomst. De Verwerker blijft aansprakelijk voor haar subverwerkers.
- De Verwerker verwerkt en bewaart persoonsgegevens alleen binnen de Europese Economische Ruimte. Doorgifte daarbuiten vereist vooraf schriftelijke toestemming.
Artikel 6. Rechten van betrokkenen
- Ontvangt de Verwerker een verzoek van een betrokkene, dan stuurt zij dat binnen 2 werkdagen door naar de Verwerkingsverantwoordelijke. De Verwerker reageert zelf niet inhoudelijk.
- Perform+ biedt de volgende middelen om verzoeken af te handelen:
- de praktijkbeheerder kan persoonsgegevens van Cliënten corrigeren en accounts op inactief zetten;
- Cliënten kunnen in de app een verwijderverzoek indienen; het portaal toont het verzoek met een termijn van een maand en stuurt herinneringen.
- Waar het portaal geen middel biedt, zoals een volledige export of het wissen van gegevens buiten het dossier, voert de Verwerker het verzoek binnen 10 werkdagen handmatig uit op instructie.
Artikel 7. Inbreuken in verband met persoonsgegevens
- De Verwerker meldt een inbreuk binnen 24 uur nadat zij die ontdekte bij [contactpersoon en e-mailadres van de Verwerkingsverantwoordelijke].
- De melding bevat voor zover bekend: wat er gebeurde, welke gegevens en hoeveel betrokkenen, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. De Verwerker vult de melding aan zodra er meer bekend is.
- De Verwerkingsverantwoordelijke beslist of ze de inbreuk meldt bij de Autoriteit Persoonsgegevens en de betrokkenen. De Verwerker helpt daarbij.
- De Verwerker houdt een register bij van alle inbreuken.
Artikel 8. Bijstand en audit
- De Verwerker helpt de Verwerkingsverantwoordelijke bij een DPIA en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie die zij over Perform+ heeft.
- De Verwerker stelt alle informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen, zoals certificaten en een beschrijving van de maatregelen.
- De Verwerkingsverantwoordelijke mag eenmaal per jaar een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van 30 dagen. De Verwerkingsverantwoordelijke draagt de kosten, tenzij de audit een wezenlijke tekortkoming aantoont.
Artikel 9. Duur en einde
- Deze overeenkomst loopt zolang de Hoofdovereenkomst loopt.
- Na het einde levert de Verwerker op verzoek binnen 30 dagen een export van de persoonsgegevens. Daarna wist de Verwerker alle persoonsgegevens binnen 60 dagen, en uit back-ups binnen de rotatietermijn in Bijlage B. De Verwerker bevestigt de verwijdering schriftelijk.
- De Verwerker bewaart niets langer, tenzij de wet dat vereist. Het medisch dossier valt onder de bewaarplicht van de Verwerkingsverantwoordelijke; zij zorgt dat ze de gegevens die ze moet bewaren, op tijd exporteert.
- Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, blijven na het einde gelden.
Artikel 10. Aansprakelijkheid
De aansprakelijkheid van partijen volgt de Hoofdovereenkomst. Boetes of schade door een schending van de AVG draagt de partij die de schending veroorzaakte.
Artikel 11. Slotbepalingen
- Nederlands recht is van toepassing. Geschillen gaan naar de rechter uit de Hoofdovereenkomst.
- Bij strijd tussen deze overeenkomst en de Hoofdovereenkomst over persoonsgegevens gaat deze overeenkomst voor.
Ondertekening
| Verwerkingsverantwoordelijke | Verwerker |
|---|---|
| Naam: | Naam: |
| Functie: | Functie: |
| Datum: | Datum: |
| Handtekening: | Handtekening: |
Bijlage A. Beschrijving van de verwerking
Doel: de Verwerkingsverantwoordelijke ondersteunen bij het begeleiden van Cliënten van revalidatie naar prestatie. Concreet: trajecten, fases en programma's beheren, sessies en check-ins van Cliënten ontvangen, meldingen tonen en samengevatte cijfers per praktijk tonen.
Verwerkingen: opslaan, ordenen, tonen, berekenen (herstelscore), versturen van e-mails, back-up maken, loggen en wissen.
Betrokkenen: Cliënten, behandelaars, praktijkbeheerders en andere medewerkers van de Verwerkingsverantwoordelijke.
Categorieën persoonsgegevens:
| Categorie | Gegevens |
|---|---|
| Identificatie en contact | Voor- en achternaam, e-mailadres, telefoonnummer, WhatsApp-nummer van behandelaars, taal, avatar, rol, praktijk |
| Traject | Blessure of klacht (vrije tekst), sport, doel, status, start- en einddatum, fases, programma's, toegewezen behandelaar |
| Sessies | Afgevinkte oefeningen, belasting, pijn tijdens en na (0 tot 10), RPE (1 tot 10), motivatie (0 tot 10), feedback in vrije tekst |
| Dagelijkse check-in | Slaap, stress, pijn (1 tot 10), spierpijn en intensiteit, training gisteren en intensiteit, notitie, berekende herstelscore, eerdere versies na bewerking |
| Eigen trainingen | Naam, datum, sport, duur, afstand, oefeningen, herhalingen, gewicht, notities, eerdere versies |
| Meldingen | Tekst met pijn-, slaap- en stressscores na een sessie of check-in |
| Technisch | IP-adres en user agent van websessies, apparaatmodel en besturingssysteem bij app-login, tokens, auditlog van inzage en wijzigingen |
Bijzondere persoonsgegevens: gezondheidsgegevens (artikel 9 AVG). Perform+ verwerkt geen BSN, geboortedatum of geslacht.
Duur: zolang de Hoofdovereenkomst loopt, plus de termijnen in artikel 9.
Bijlage B. Beveiligingsmaatregelen
Toegang
- Alleen accounts via uitnodiging; geen open registratie.
- Vier rollen: cliënt, behandelaar, praktijkbeheerder en platformbeheerder van de Verwerker. Elke vraag aan de server controleert rol en praktijk.
- Cliënten hebben geen toegang tot het portaal en zien via de app alleen eigen gegevens.
- Wachtwoorden: minimaal 12 tekens met letters en cijfers, opgeslagen met bcrypt.
- Websessies verlopen na 2 uur inactiviteit; app-tokens na 30 dagen.
- Uitnodigingslinks: 7 dagen geldig, eenmalig, alleen een hash opgeslagen.
- Inactief zetten trekt direct alle sessies, tokens en remember-me-cookies in.
- Inlogpogingen: maximaal 5 per minuut per e-mailadres en IP-adres.
Logging
- Auditlog van onder meer inloggen, mislukte inlogpogingen, inzage van cliënten en programma's, check-ins, sessies, inzage van statistieken en verwijderverzoeken.
- Databasetriggers blokkeren wijzigen en verwijderen van auditregels.
- Het auditlog bevat geen gezondheidswaarden.
- Bewaartermijn auditlog: even lang als het dossier waar de regel over gaat (20 jaar na de laatste wijziging). Technische logs: 90 dagen.
Opslag en verbinding
- Alle verkeer via TLS (https). Databaseverbinding verplicht via TLS.
- Sessiegegevens versleuteld.
- Back-ups zijn versleuteld.
- Alle gegevens in Falkenstein, Duitsland, bij Hetzner Online GmbH. Serverbeheer via Ploi.
- De website, het portaal en de app laden geen scripts, lettertypen of trackers van derden.
- De app bewaart het inlogtoken in de beveiligde opslag van het apparaat (iOS Keychain, Android Keystore), alleen op dat apparaat.
Back-up en herstel
- Dagelijkse back-up, elke back-up maximaal 35 dagen bewaard.
- Herstelproef: minstens eenmaal per jaar en na grote wijzigingen in de infrastructuur. De Verwerker legt de uitkomst vast.
Ontwikkeling en beheer
- Wijzigingen gaan via code review en automatische tests.
- Beheertoegang tot productie alleen voor de eigen developer van de Verwerker, met een persoonlijk account.
Bijlage C. Subverwerkers
| Subverwerker | Dienst | Gegevens | Locatie |
|---|---|---|---|
| Hetzner Online GmbH, Gunzenhausen | Server, database, back-ups | Alle categorieën uit Bijlage A | Duitsland |
| WebBuilds B.V. (Ploi) | Serverbeheer, deploys en updates | Technische toegang tot de server; slaat zelf geen persoonsgegevens op | Nederland |
| Mijndomein Hosting B.V., Lelystad | E-mail voor uitnodigingen, wachtwoordherstel en verwijderverzoeken | Naam, e-mailadres, inhoud van de e-mail (geen gezondheidsgegevens) | Nederland |
Geen subverwerkers voor analytics, crashrapportage, pushmeldingen of AI.
Expo (650 Industries, Verenigde Staten) bouwt de app-bestanden voor de App Store en Google Play. Expo ontvangt geen persoonsgegevens van Cliënten en is daarom geen subverwerker. Voegt de Verwerker pushmeldingen of updates via Expo toe, dan volgt artikel 5.2.
Vercel Inc. host alleen de marketingwebsite van Perform+ en verwerkt geen gegevens uit het portaal of de app. Vercel is daarom geen subverwerker.