Verwerkersovereenkomst
Versie 2026-10-11
Partijen, onderwerp en duur
Deze overeenkomst krachtens art. 28 AVG geldt tussen de registrerende tandarts of praktijk als verwerkingsverantwoordelijke en Odentix BV, Sportlaan 6, 3940 Hechtel-Eksel, BE1030.789.108, als verwerker. Zij betreft de verwerking voor digitale dentale ontwerpen en geldt gedurende de dienstverlening en zolang Odentix daarvoor persoonsgegevens bewaart. De acceptatie namens de praktijk wordt met documentversies en tijdstip vastgelegd.
Aard, doel en betrokkenen
Odentix ontvangt, slaat op, raadpleegt en gebruikt scan- en casusgegevens om digitale ontwerpen te maken, te controleren en beveiligd terug te leveren. Betrokkenen zijn patiënten van de tandarts en betrokken praktijkmedewerkers. Gegevens omvatten pseudonieme intraorale scans, gezondheidsgegevens, praktijkcodes, tandnummers, materiaal, kleur en noodzakelijke opdrachtinformatie. Geen patiëntnamen of andere direct identificerende gegevens: de tandarts bewaart de identificatiesleutel en geeft alleen noodzakelijke gegevens door. Odentix levert digitaal ontwerp; de tandarts blijft verantwoordelijk voor klinische keuzes, printen en plaatsing.
Gedocumenteerde instructies en geheimhouding
Odentix verwerkt uitsluitend op gedocumenteerde instructies van de tandarts, ook voor doorgiften, tenzij het recht van de EU of een lidstaat verwerking verplicht. In dat geval informeert Odentix vooraf, tenzij de wet dit verbiedt. Odentix meldt onmiddellijk wanneer een instructie volgens haar in strijd is met de AVG of andere gegevensbeschermingsregels. Bevoegde personen zijn gebonden aan geheimhouding; gegevens worden niet voor eigen doeleinden, reclame of modeltraining gebruikt.
Technische en organisatorische maatregelen
Odentix past maatregelen volgens art. 32 AVG toe: versleuteling in transport en bij opslag, EU-hosting in Azure North Europe voor de primaire opslag, individuele accounts en toegangscontrole volgens noodzakelijkheid, afgeschermde downloads, pseudonimisering, logging, back-ups, herstelprocedures en periodieke beoordeling van beveiliging. De tandarts beveiligt de eigen accounts en werkstations en houdt de identificatiesleutel gescheiden. De actuele maatregelen en herstel- en back-upafspraken zijn op aanvraag beschikbaar via info@odentix.be.
Subverwerkers en wijzigingen
De tandarts geeft algemene schriftelijke toestemming voor inzet van Microsoft Azure (EU North Europe, hosting/opslag), Microsoft Entra External ID (identiteit), Billit (facturatie), Hostnet (e-mail) en, uitsluitend wanneer ingezet onder de doorgiftewaarborgen hieronder, Laxmi Dental (India, digitale ontwerpen). Facturatie- en accountdiensten kunnen voor die gegevens onder Odentix haar eigen verantwoordelijkheid vallen; zij ontvangen geen patiëntscans. Odentix legt aan elke subverwerker gelijkwaardige verplichtingen op en blijft verantwoordelijk voor de naleving. Odentix informeert de tandarts ten minste 30 dagen vooraf per e-mail over toevoeging of vervanging, met taak en locatie. De tandarts kan binnen die termijn gemotiveerd bezwaar maken; partijen zoeken een oplossing en kunnen de getroffen dienst beëindigen als geen passende oplossing bestaat.
Internationale doorgiften
Geen toegang of doorgifte buiten de EER zonder gedocumenteerde instructie en geldige waarborgen uit hoofdstuk V AVG. Voor ontwerplabs in India, waaronder Laxmi Dental, gebruikt Odentix waar toepasselijk de EU-standaardcontractbepalingen (SCCs) voor verwerker naar subverwerker, beoordeelt het doorgifterisico en treft noodzakelijke aanvullende maatregelen vóór toegang. Alleen minimale, pseudonieme ontwerpgegevens worden gedeeld. Relevante afspraken en waarborgen zijn op aanvraag beschikbaar; geheimhouding en pseudonimisering maken de AVG niet buiten toepassing.
Bijstand aan de tandarts
Rekening houdend met de aard van de verwerking helpt Odentix bij verzoeken van betrokkenen, beveiligingsverplichtingen, datalekmeldingen, gegevensbeschermingseffectbeoordelingen en voorafgaand overleg met de toezichthouder. Verzoeken van patiënten worden onverwijld doorgestuurd naar de tandarts. Odentix reageert niet zelfstandig namens de tandarts zonder instructie.
Datalekken
Odentix informeert de tandarts zonder onredelijke vertraging en uiterlijk binnen 48 uur na kennisname van een inbreuk in verband met diens persoonsgegevens. De melding bevat, zodra beschikbaar, aard, betrokken categorieën en aantallen, contactpunt, waarschijnlijke gevolgen en genomen of voorgestelde maatregelen. Ontbrekende informatie volgt gefaseerd zonder verdere onredelijke vertraging. Odentix documenteert het incident en ondersteunt de tandarts; de tandarts beoordeelt eigen meldplichten, waaronder de termijn van 72 uur voor de toezichthouder.
Teruggave en verwijdering
Na einde van de dienstverlening geeft Odentix op keuze van de tandarts persoonsgegevens terug of verwijdert deze, inclusief kopieën, tenzij EU- of lidstaatrecht bewaring verplicht. Partijen spreken een veilig exportformaat en verwijdertermijn af; verzoeken verlopen via info@odentix.be. Tot verwijdering blijft deze overeenkomst gelden. Back-ups blijven afgeschermd, worden niet opnieuw voor dienstverlening gebruikt en verdwijnen volgens de overeengekomen back-upcyclus. Cases en bestanden kunnen eerder op instructie worden verwijderd of onder een afzonderlijk overeengekomen bewaartermijn vallen.
Informatie, audits en contact
Odentix verstrekt de informatie die nodig is om naleving aan te tonen en staat audits en inspecties door de tandarts of een door hem gemachtigde onafhankelijke auditor toe, met redelijke voorafgaande afspraken over toegang, vertrouwelijkheid en bescherming van andere klanten. Die afspraken mogen de wettelijke auditrechten niet uitsluiten. Wijzigingen van deze overeenkomst vereisen nieuwe versiegebonden acceptatie vóór verder portaalgebruik. Contact voor instructies, incidenten en rechten: info@odentix.be.