Verwerkers­overeenkomst
precies en controleerbaar.

1.1 Verwerkingsverantwoordelijke (hierna: "Verantwoordelijke" of "jij"): de natuurlijke of rechtspersoon die het Platform afneemt en als zorgaanbieder (artikel 1 Wkkgz) optreedt, in beginsel een BIG-geregistreerde fysiotherapeut (artikel 3 lid 1 Wet BIG) of zijn fysiotherapiepraktijk. Verantwoordelijke bepaalt doel en middelen voor de verwerking van persoonsgegevens van patiënten.

1.2 Verwerker (hierna: "Hysio" of "wij"): Hysio B.V., De Aak 11, 7908 EL Hoogeveen, KvK 98649744, btw NL868584575B01, vertegenwoordigd door A. Hourmat, bestuurder. Privacy en compliance: privacy@hysio.nl. Juridische correspondentie: legal@hysio.nl.

1.3 Partijen worden gezamenlijk aangeduid als "Partijen" en afzonderlijk als "Partij".

3.1 Begrippen die hieronder niet zijn gedefinieerd hebben de betekenis van art. 4 AVG.

3.2 In deze Verwerkersovereenkomst wordt verstaan onder:

• AVG: Verordening (EU) 2016/679.
• Persoonsgegevens: art. 4 punt 1 AVG, voor zover door Hysio in opdracht van Verantwoordelijke verwerkt.
• Bijzondere categorieën: art. 9 lid 1 AVG, in het bijzonder gegevens over gezondheid (art. 4 punt 15 AVG).
• Verwerking: art. 4 punt 2 AVG.
• Datalek: art. 4 punt 12 AVG.
• Sub-verwerker: elke verwerker die door Hysio wordt ingeschakeld om verwerkingsactiviteiten namens Verantwoordelijke te verrichten (art. 28 lid 2 en 4 AVG).
• Hoofdovereenkomst: de overeenkomst voor het gebruik van het Platform, inclusief de Algemene Voorwaarden Hysio v3.7, de Privacyverklaring Hysio v3.7, het MDR Positiedocument Hysio v3.7, de AI Act Transparantieverklaring Hysio v3.7, de Disclaimer Hysio v3.7 en de Regeling Datatoegang v3.7.
• Platform: het digitale platform van Hysio, bereikbaar via app.hysio.nl en, zodra beschikbaar, via de bijbehorende mobiele applicaties van Hysio, voor zover die onder dezelfde Hoofdovereenkomst en deze Verwerkersovereenkomst worden aangeboden.
• Klantdata: alle persoonsgegevens die Verantwoordelijke via het Platform invoert, uploadt of laat verwerken, waaronder vrije-tekst klinische notities, audio-opnames, workflow-antwoorden, geüploade documenten en gegenereerde concept-output.
• EER: Europese Economische Ruimte (EU-lidstaten plus Noorwegen, IJsland en Liechtenstein).
• SCCs: Standard Contractual Clauses, Uitvoeringsbesluit (EU) 2021/914.
• DPF: EU-VS Data Privacy Framework, Uitvoeringsbesluit (EU) 2023/1795. Het adequaatheidsbesluit is op de publicatiedatum van kracht; Hysio volgt relevante juridische ontwikkelingen.
• TIA: Transfer Impact Assessment conform EDPB Recommendations 01/2020. De geconsolideerde Hysio-TIA voor Google en Groq is vastgelegd in het zelfstandige Transfer Impact Assessment v1.1.
• NEN 7510: NEN 7510-1:2024 en NEN 7510-2:2024.
• Subprocessor Register: het zelfstandige overzicht v1.1 dat de actuele sub-verwerker-set en de bijbehorende doorgifte-instrumenten vermeldt; aanvullend op Bijlage 3 van deze Verwerkersovereenkomst.

5.1 Aard. Hysio biedt geautomatiseerde administratieve ondersteuning aan paramedische zorgverleners: (a) transcriptie van consultaudio via een spraak-naar-tekst-dienst van Groq Inc., (b) structurering van vrije tekst en transcripten tot conceptverslagen, brieven, klinimetrie-templates en samenvattingen via een large language model van Google LLC, (c) opslag, ontsluiting en export van invoer en output en (d) beheer van workflowstappen en conceptopslag. De ingeschakelde sub-verwerkers staan in Bijlage 3.

5.2 Doeleinden. De verwerking dient uitsluitend ter ondersteuning van administratieve, organisatorische en informatieve praktijkprocessen: tijdsbesparing op verslaglegging en correspondentie, consistentie van concepten en ondersteuning bij dossiervorming (BW art. 7:454, Wgbo).

5.3 Geen klinische besluitvorming. Hysio levert geen diagnose, behandeladvies, klinische beslissing, triage, risicostratificatie, red-flag-detectie, patiëntmonitoring of klinische beslisondersteuning. Alle output is een bewerkbaar concept. Verantwoordelijke is contractueel verplicht de output professioneel te controleren en waar nodig te bewerken voordat die wordt gebruikt of in een dossier wordt opgenomen. Hysio neemt geen uitsluitend geautomatiseerde beslissing in de zin van AVG art. 22 lid 1. Verantwoordelijke blijft volledig verantwoordelijk voor klinische besluitvorming en voor naleving van de Wgbo, Wet BIG en toepasselijke beroepsrichtlijnen. Voor de MDR-afgrenzing geldt het MDR Positiedocument v3.7 op hysio.nl/mdr-positiedocument.

7.1 De verwerking betreft:

1. patiënten of cliënten van Verantwoordelijke;
2. medewerkers van Verantwoordelijke (mede-fysiotherapeuten, behandelaars, assistenten, administratie), voor zover hun gegevens worden ingevoerd of in tekst voorkomen;
3. betrokken zorgverleners (huisartsen, specialisten, medebehandelaars), voor zover door Verantwoordelijke ingevoerd in verwijzing of correspondentie.

7.2 De relatie met de patiënt valt onder Wgbo (BW art. 7:446 e.v.) en het beroepsgeheim (BW art. 7:457 juncto Wet BIG art. 88). Hysio respecteert deze regimes via artikel 9 en via AVG art. 28 juncto UAVG art. 30 lid 4.

9.1 Hysio behandelt Klantdata, in het bijzonder gegevens over gezondheid, strikt vertrouwelijk en in lijn met de geheimhoudingsplichten die op Verantwoordelijke rusten (BW art. 7:457 en Wet BIG art. 88). De geheimhouding geldt voor personeel en ingeschakelde sub-verwerkers. Overeenkomstig UAVG art. 30 lid 4 worden personen die toegang hebben tot gegevens over gezondheid contractueel of wettelijk aan passende geheimhouding gebonden. Bij een schending trekt Hysio de betreffende toegang direct in en doet zij, waar dat juridisch aangewezen is, aangifte op grond van Sr art. 272.

9.2 De geheimhouding blijft na beëindiging van deze Verwerkersovereenkomst en de Hoofdovereenkomst van kracht.

9.3 Hysio verstrekt geen Klantdata aan derden, behalve voor zover dit noodzakelijk is voor de uitvoering via de in Bijlage 3 genoemde sub-verwerkers of verplicht is op grond van dwingend recht. Hysio informeert Verantwoordelijke vooraf, tenzij een wettelijke geheimhoudingsplicht dat verbiedt.

11.1 Generieke voorafgaande toestemming (AVG art. 28 lid 2; SCC clausule 9, optie 2). Verantwoordelijke verleent met aanvaarding van deze Verwerkersovereenkomst algemene voorafgaande schriftelijke toestemming voor de in Bijlage 3 genoemde sub-verwerkers.

11.2 Kennisgeving van wijzigingen. Hysio kondigt een voorgenomen toevoeging of vervanging van een sub-verwerker ten minste dertig dagen vooraf schriftelijk aan via een actuele Bijlage 3 op hysio.nl/verwerkersovereenkomst, een actualisatie van het Subprocessor Register v1.1 dat op aanvraag beschikbaar is via privacy@hysio.nl, en een directe e-mail aan het bekende contactadres.

11.3 Bezwaar en tijdelijke opschorting. Verantwoordelijke kan binnen dertig dagen na ontvangst gemotiveerd bezwaar maken wegens zwaarwegende gegevensbeschermingsbelangen. Hysio onderzoekt dan eerst een redelijk alternatief of een beperking van de betrokken verwerking. Als Partijen geen redelijke oplossing bereiken, mag Verantwoordelijke het getroffen deel van de Hoofdovereenkomst kosteloos beëindigen tegen de wijzigingsdatum, met pro-rata terugbetaling van vooruitbetaalde bedragen. Verantwoordelijke kan vooraf gemotiveerd om tijdelijke opschorting vragen. Hysio reageert daarop binnen vijf werkdagen en schort de specifieke verwerking, voor zover technisch en redelijk mogelijk, maximaal dertig dagen op terwijl Partijen een oplossing zoeken.

11.4 Doorlegging (AVG art. 28 lid 4). Hysio legt iedere sub-verwerker contractueel ten minste dezelfde relevante verplichtingen op, waaronder vertrouwelijkheid, beveiliging, bijstand, doorgiftewaarborgen en teruggave of vernietiging. Hysio blijft tegenover Verantwoordelijke verantwoordelijk voor de naleving door de sub-verwerker. Contractuele bewijsstukken zijn op verzoek via legal@hysio.nl onder geheimhouding beschikbaar.

11.4a Sub-sub-verwerkers. Hysio verlangt dat sub-verwerkers wijzigingen in hun relevante sub-sub-verwerkers vooraf aankondigen en passende verplichtingen doorleggen. Een wijziging die Klantdata kan raken, deelt Hysio zonder onredelijke vertraging en, voor zover de ontvangen aankondiging dat toelaat, vóór de ingangsdatum mee via lid 2. Hysio maakt waar nodig bezwaar; Verantwoordelijke behoudt de rechten uit lid 3.

11.5 Mollie B.V. is geen sub-verwerker. Mollie B.V. is voor betaalverwerking zelfstandig verwerkingsverantwoordelijke en verwerkt geen Klantdata van patiënten. Betalingsverwerking valt buiten deze Verwerkersovereenkomst en staat in de Privacyverklaring v3.7. Hysio bewaart geen kaart- of bankgegevens lokaal.

11.6 Bijlage 3. De actuele lijst van sub-verwerkers met locatie, doel, gegevenscategorieën, status en doorgiftewaarborg staat in Bijlage 3 en in het Subprocessor Register v1.1.

11.7 OpenAI als inactieve, admin-configureerbare fallback per workflow. OpenAI Inc. is beschikbaar als admin-configureerbare fallback voor tekstgeneratie per workflow, maar wordt op de publicatiedatum niet gebruikt voor productieverwerking. Tekstgeneratie in productie verloopt uitsluitend via Google LLC. OpenAI mag voor geen enkele live klantworkflow worden geactiveerd tenzij vooraf cumulatief aan alle volgende voorwaarden is voldaan:

1. Hysio kondigt de voorgenomen activering ten minste dertig dagen vooraf aan volgens lid 2;
2. Verantwoordelijke krijgt het bezwaar-, oplossings- en beëindigingsrecht uit lid 3;
3. de status van OpenAI wordt vóór de activeringsdatum in Bijlage 3 en het Subprocessor Register gewijzigd van inactief naar actief;
4. de OpenAI Data Processing Addendum is vóór de eerste verwerking rechtsgeldig overeengekomen;
5. de toepasselijke doorgiftewaarborg is vóór de eerste verwerking vastgesteld en gedocumenteerd;
6. de TIA is vóór de eerste verwerking bijgewerkt en goedgekeurd;
7. contractuele voorwaarden die modeltraining op Klantdata uitsluiten zijn vóór de eerste verwerking vastgelegd;
8. passende retentie- en accountinstellingen zijn vóór de eerste verwerking geactiveerd, getest en gedocumenteerd;
9. een gedocumenteerde interne juridische review is afgerond en goedgekeurd.

Als niet volledig aan deze voorwaarden is voldaan, blijft OpenAI inactief voor productieverwerking.

13.1 Onverwijlde melding (AVG art. 33 lid 2). Hysio meldt een inbreuk in verband met persoonsgegevens die Klantdata betreft zonder onredelijke vertraging nadat Hysio daarvan kennis heeft genomen. Hysio streeft ernaar de eerste melding binnen vierentwintig uur na eigen kennisname te doen. Als nog niet alle informatie beschikbaar is, verstrekt Hysio de beschikbare informatie gefaseerd en houdt zij Verantwoordelijke op de hoogte van het onderzoek.

13.1a Ketenmelding. Hysio verlangt contractueel dat iedere relevante sub-verwerker een inbreuk die Klantdata raakt zonder onredelijke vertraging meldt. Hysio streeft in deze keten naar een eerste melding binnen vierentwintig uur na kennisname door de betreffende schakel. De termijn van AVG art. 33 lid 1 voor Verantwoordelijke blijft leidend; beschikbare informatie wordt daarom zo snel mogelijk doorgegeven.

13.2 Inhoud. Voor zover beschikbaar bevat de melding ten minste: (a) de aard van de inbreuk en de categorieën en geschatte aantallen betrokkenen en registraties, (b) een contactpunt bij Hysio, (c) de waarschijnlijke gevolgen en (d) getroffen of voorgestelde maatregelen.

13.3 Melding aan AP en betrokkenen. Verantwoordelijke beoordeelt zelfstandig of melding aan de Autoriteit Persoonsgegevens op grond van AVG art. 33 lid 1 en aan betrokkenen op grond van AVG art. 34 vereist is. Hysio doet deze meldingen niet zelfstandig voor verwerkingen waarvoor zij verwerker is, tenzij Verantwoordelijke dat schriftelijk opdraagt en de wet dit toestaat.

13.4 Documentatie. Hysio documenteert inbreuken overeenkomstig AVG art. 33 lid 5 en stelt relevante informatie op verzoek beschikbaar aan Verantwoordelijke of de Autoriteit Persoonsgegevens.

13.5 Mitigatie en evaluatie. Hysio neemt direct redelijke inperkingsmaatregelen en levert op verzoek na afronding een schriftelijke oorzaakanalyse met corrigerende en preventieve maatregelen.

13.6 Wkkgz. Als een inbreuk tevens als calamiteit onder Wkkgz art. 11 kan kwalificeren, berust de meldplicht aan de IGJ bij Verantwoordelijke. Hysio verleent redelijke informatie en bijstand.

13.7 Verzoeken van autoriteiten. Hysio werkt uitsluitend mee op basis van een geldig en bindend verzoek. Hysio informeert Verantwoordelijke zonder onredelijke vertraging, tenzij dwingend recht dat verbiedt, en beoordeelt ieder verzoek op geldigheid, noodzakelijkheid en proportionaliteit.

13.8 Kosten. Hysio brengt geen kosten in rekening voor redelijke bijstand bij een inbreuk die bij Hysio of haar sub-verwerkers is ontstaan. Voor een inbreuk die aantoonbaar bij Verantwoordelijke is ontstaan, kan Hysio na een voorafgaande raming redelijke uren in rekening brengen tegen het tarief van artikel 18.5.

15.1 Beginsel. Hosting en opslag bij Contabo GmbH in Duitsland en de productie-verwerking voor tekstgeneratie via Vertex AI vinden binnen de EER plaats. Voor diensten waarbij verwerking of toegang vanuit een derde land mogelijk is, past Hysio Hoofdstuk V AVG en de in Bijlage 3 genoemde doorgiftewaarborgen toe.

15.2 Google LLC, tekstgeneratie. Hysio gebruikt voor tekstgeneratie een large language model van Google LLC via de Vertex AI EU-region. De modelinferentie en verwerking van Klantdata zijn aan de EER gebonden. Google LLC is de contracterende Amerikaanse entiteit. Voor zover de contractuele relatie, ondersteuning of andere toegang toch een doorgifte oplevert, gelden het EU-VS Data Privacy Framework en subsidiair SCCs Module 3 uit de Google Cloud Data Processing Addendum, aangevuld met een TIA waar nodig. Hysio staat geen incidentele verwerking buiten de EER toe zonder voorafgaande documentatie van datastroom, ontvanger, noodzaak en doorgiftewaarborg.

15.3 Groq Inc., spraak-naar-tekst. Groq Inc. verwerkt consultaudio voor transcriptie in de Verenigde Staten. De Groq Customer Data Processing Addendum en SCCs 2021/914 Module 3 zijn overeengekomen. Hysio onderhoudt een TIA conform EDPB Recommendations 01/2020. Op het Hysio-account is Global Zero Data Retention geactiveerd en Hysio controleert deze instelling periodiek. De lokale audiobewaring door Hysio blijft maximaal negentig dagen volgens artikel 6.1 onder b.

15.4 Resend Inc., e-mailtransport. Resend Inc. wordt gebruikt voor transactionele e-mail met primaire verwerking binnen de EER in Ierland. Hysio verzendt via Resend geen Klantdata van patiënten. Voor account- en transactionele communicatiegegevens waarvoor Hysio zelfstandig verwerkingsverantwoordelijke is, valt Resend buiten deze Verwerkersovereenkomst en geldt waar nodig SCC Module 2. Als Resend in de toekomst Klantdata namens Verantwoordelijke zou verwerken, mag dat pas na documentatie van de rolverdeling, toepassing van SCC Module 3 waar vereist en actualisatie van Bijlage 3 volgens artikel 11.

15.5 OpenAI Inc. en aanvullende waarborgen. OpenAI Inc. is inactief en verwerkt geen productiegegevens. Bij een eventuele activering moeten vóór de eerste verwerking alle voorwaarden van artikel 11.7 zijn vervuld, waaronder een actuele TIA, een passende SCC-module waar vereist, voorwaarden die modeltraining op Klantdata uitsluiten, passende retentie-instellingen en opname in Bijlage 3 en het Subprocessor Register. Hysio past voor doorgiften daarnaast dataminimalisatie, versleuteld transport, periodieke herbeoordeling en passende procedures voor overheidsverzoeken en incidenten toe.

15.6 Geen andere doorgiften. Hysio verricht geen andere doorgiften van Klantdata naar derde landen. Voor een toekomstige sub-verwerker buiten de EER voert Hysio vooraf de vereiste beoordeling uit en actualiseert zij Bijlage 3 volgens artikel 11.

17.1 Rechtmatigheid. Verantwoordelijke staat in voor een rechtmatige grondslag voor de verwerking, in beginsel AVG art. 6 lid 1 sub b of c (Wgbo) juncto art. 9 lid 2 sub h en art. 9 lid 3 juncto UAVG art. 30 lid 4.

17.2 Eigen privacyverklaring richting patiënten. Verantwoordelijke beschikt over een eigen privacyverklaring richting patiënten waarin het gebruik van het Platform en de AI-ondersteuning zijn opgenomen, conform art. 13 AVG en KNMG-richtlijn 2024. Hysio levert op verzoek een tekstvoorstel via privacy@hysio.nl en het Patiënt-informatieblad v1.1 als hulpmiddel.

17.3 Instructies en gebruik. Verantwoordelijke geeft uitsluitend instructies in lijn met deze Verwerkersovereenkomst en de AVG, gebruikt het Platform binnen het toegestane gebruik (AV v3.7 art. 8) en draagt zorg voor authenticatie en account-hygiëne (geen gedeelde accounts, sterke wachtwoorden, tijdige logout, MFA waar beschikbaar). Verantwoordelijke gebruikt het Platform niet voor diagnose, triage, red-flag-detectie, risicostratificatie, prognose, monitoring of klinische beslisondersteuning (zie AV v3.7 art. 8.4 en 12).

17.4 Eigen DPIA. Verantwoordelijke voert zelfstandig de DPIA uit als beschreven in artikel 16, eventueel met behulp van de DPIA-template voor klanten v3.7.

17.5 Pseudonimisering. Verantwoordelijke spant zich in om patiënten pseudoniem te identificeren en vrije-tekstinvoer te beperken tot het noodzakelijke (art. 5 lid 1 sub c AVG).

17.6 Wgbo-bewaarplicht. Verantwoordelijke is verantwoordelijk voor zijn Wgbo-bewaarplicht (twintig jaar, BW art. 7:454 lid 3) door tijdige export naar het eigen patiëntdossier. Het Platform is niet bedoeld als het primaire patiëntdossier van Verantwoordelijke en is geen elektronisch patiëntendossier (EPD) in de gangbare betekenis van dat begrip; Verantwoordelijke blijft verantwoordelijk voor opname en bewaring van de relevante gegevens in het eigen patiëntdossier. De toepasselijkheid van verplichtingen voor zorginformatiesystemen in de zin van artikel 1 onderdeel m Wabvpz wordt beoordeeld aan de hand van het concrete gebruik en de technische inrichting van het Platform.

17.7 Toestemming voor opname en patiënt-informatie. Verantwoordelijke verkrijgt waar van toepassing voorafgaande toestemming van de patiënt voor opname en transcriptie van het consult, rekening houdend met de behandelrelatie onder de Wgbo, het medisch beroepsgeheim en de AVG-informatieplichten, en conform KNGF-richtlijn fysiotherapeutische dossiervoering 2019. Hysio levert via privacy@hysio.nl en via het Patiënt-informatieblad v1.1 een template-tekst voor patiëntinformatie (wachtkamer-flyer, brochure, website-paragraaf), een korte mondelinge toestemmingsverklaring en een tekstvoorstel voor verwijzer-informatie ten behoeve van de AVG art. 14-informatieplicht van Verantwoordelijke jegens derden waarvan gegevens in vrije-tekst worden ingevoerd. Deze templates ontslaan Verantwoordelijke niet van de eigen toestemmings-, informatie- en dossierplicht.

19.1 Looptijd. Loopt parallel aan de Hoofdovereenkomst.

19.2 Keuze van Verantwoordelijke (art. 28 lid 3 sub g AVG). Bij beëindiging kiest Verantwoordelijke uiterlijk binnen dertig dagen schriftelijk voor: (a) teruggave van de Klantdata gevolgd door vernietiging, of (b) onmiddellijke definitieve vernietiging. Een keuze voor onmiddellijke vernietiging voert Hysio zonder onnodige vertraging en uiterlijk binnen dertig dagen na ontvangst van die keuze kosteloos uit, behoudens persoonsgegevens die Hysio op grond van Unierecht of Nederlands recht moet bewaren.

19.3 Teruggave en datacontinuïteit. Alleen indien Verantwoordelijke kiest voor teruggave, blijft gedurende drie (3) maanden na beëindiging de eenmalige integrale download kosteloos beschikbaar conform artikel 7.7 van de Algemene Voorwaarden v3.7 en de Regeling Datatoegang v3.7. Gedurende diezelfde drie maanden blijft ook de per-sessie-export via de beschikbare functies kosteloos beschikbaar (artikel 21.2 van de Algemene Voorwaarden v3.7), zolang de Klantdata niet op keuze van Verantwoordelijke is vernietigd. Na afloop van die drie maanden, of zoveel eerder als Verantwoordelijke daarom alsnog schriftelijk verzoekt, vernietigt Hysio de Klantdata conform lid 4. Teruggave, export en vernietiging zijn niet afhankelijk van enige betaling door Verantwoordelijke.

19.4 Geen tijdige keuze; vernietiging en back-up-uitzondering. Indien Verantwoordelijke niet tijdig een keuze maakt, stelt Hysio gedurende drie (3) maanden na beëindiging de eenmalige integrale download en de per-sessie-export kosteloos beschikbaar en vernietigt Hysio de Klantdata na afloop van die termijn. Vernietiging op grond van dit artikel omvat verwijdering uit de operationele productieomgeving. Na verwijdering kan Klantdata tijdelijk in reeds bestaande operationele back-ups resteren totdat de toepasselijke back-upcyclus afloopt. Hysio gebruikt of herstelt die data niet actief, behoudens noodzaak voor continuïteit, beveiliging, een dwingende juridische verplichting of herstel op instructie van Verantwoordelijke. Na zo'n herstel verwijdert Hysio de eerder verwijderde Klantdata opnieuw zonder onnodige vertraging. Hysio legt de concrete retentie- en verwijderingscyclus van de daadwerkelijk gebruikte back-upvoorziening vast in het verwerkersdossier en verstrekt daarover op verzoek actuele informatie via legal@hysio.nl. Via dat adres verstrekt Hysio op verzoek ook een schriftelijke verklaring van vernietiging.

19.5 Wettelijke bewaarplichten. De leden 2-4 laten dwingende wettelijke bewaarplichten op Verantwoordelijke onverlet (Wgbo-bewaarplicht 20 jaar onder BW art. 7:454 lid 3; fiscale bewaarplicht 7 jaar onder art. 52 AWR juncto BW art. 2:10). Verantwoordelijke is zelf verantwoordelijk voor tijdig veiligstellen via de exportfunctie.

19.6 Voortduren clausules. Bepalingen die naar hun aard voortduren (geheimhouding artikel 9, aansprakelijkheid artikel 20, forumkeuze en toepasselijk recht artikel 21) blijven na beëindiging van kracht.

19.7 Overdracht bij overname of fusie. Bij voorgenomen overdracht van Hysio's onderneming, fusie, juridische splitsing, verkoop van activa die deze Verwerkersovereenkomst raken, of overgang van zeggenschap die de positie van Verantwoordelijke materieel kan raken, informeert Hysio Verantwoordelijke ten minste dertig (30) dagen vooraf schriftelijk via legal@hysio.nl. De kennisgeving bevat de naam van de overnemende partij, de overdrachtsdatum en een korte toelichting op de gevolgen voor verwerking en doorgifte. Verantwoordelijke kan binnen dertig dagen de Hoofdovereenkomst en deze Verwerkersovereenkomst beëindigen tegen de overdrachtsdatum, zonder schadevergoeding aan Hysio en met pro-rata teruggave van vooruitbetaalde bedragen voor de periode na overdracht. Het bezwaar- en suspensierecht van artikel 11 lid 3 is van overeenkomstige toepassing.

21.1 Toepasselijk recht. Uitsluitend Nederlands recht.

21.2 Bevoegde rechter. Geschillen worden uitsluitend voorgelegd aan de Rechtbank Noord-Nederland, locatie Assen, behoudens dwingend recht.

21.3 Wijzigingen. Slechts geldig indien schriftelijk overeengekomen. Een aankondiging conform de notificatieprocedure in Bijlage 2 of 3 kwalificeert als schriftelijke wijziging voor zover die wijziging enkel die bijlagen betreft.

21.4 Deelbaarheid. Bij nietigheid blijven de overige bepalingen van kracht. Partijen vervangen de getroffen bepaling door een nieuwe die het oorspronkelijke doel zo veel mogelijk benadert.

21.5 Bindende taalversie. Nederlands; bij vertaling prevaleert de Nederlandse tekst.

21.6 Volledige overeenkomst. Deze Verwerkersovereenkomst plus Hoofdovereenkomst en bijlagen vormt de volledige overeenkomst voor de verwerking van persoonsgegevens door Hysio als verwerker.

21.7 Tegenstrijdigheid. Bij tegenstrijdigheid prevaleert deze Verwerkersovereenkomst voor alle verwerking door Hysio als verwerker boven de Algemene Voorwaarden v3.7, de Privacyverklaring v3.7, de Disclaimer v3.7 en de Regeling Datatoegang v3.7. Voor onderwerpen buiten die verwerking geldt de rangorde van artikel 2.5 van de Algemene Voorwaarden v3.7.

Verwerkingsverantwoordelijke: zoals omschreven in artikel 1.1.
Verwerker: Hysio B.V., De Aak 11, 7908 EL Hoogeveen, KvK 98649744.
Contactpunt: privacy@hysio.nl.
FG-beoordeling: Hysio heeft geen formele functionaris voor gegevensbescherming aangesteld. De compliancefunctie documenteert ten minste jaarlijks de beoordeling onder AVG art. 37 lid 1 onder c en betrekt daarbij schaal, aard, duur en geografische reikwijdte. Vijfduizend dossiers is uitsluitend een intern herbeoordelingssignaal en geen wettelijke drempel.

Algemeen. Verantwoordelijke verleent algemene voorafgaande toestemming voor de onderstaande sub-verwerkers. Een wijziging wordt ten minste dertig dagen vooraf aangekondigd volgens artikel 11. Bezwaar en een verzoek om tijdelijke opschorting kunnen naar privacy@hysio.nl.

OpenAI Inc., inactieve fallback. OpenAI Inc. is admin-configureerbaar als fallback voor tekstgeneratie per workflow, maar is niet actief in productie en ontvangt geen Klantdata. Activering vereist vooraf alle voorwaarden van artikel 11.7, waaronder dertig dagen kennisgeving, bezwaar- en oplossingsrecht, DPA, actuele TIA, een passende doorgiftewaarborg, voorwaarden die modeltraining op Klantdata uitsluiten, passende retentie-instellingen, opname in dit register en een interne juridische review.

Geen sub-verwerkers binnen deze Verwerkersovereenkomst. Resend Inc. verwerkt voor Hysio uitsluitend account- en transactionele communicatiegegevens waarvoor Hysio zelfstandig verwerkingsverantwoordelijke is en ontvangt geen Klantdata van patiënten. Als Resend in de toekomst wel Klantdata namens Verantwoordelijke zou verwerken, wordt Resend vóór die verwerking volgens artikel 11 als sub-verwerker toegevoegd. Mollie B.V. is zelfstandig verwerkingsverantwoordelijke voor betaalverwerking en ontvangt geen Klantdata van patiënten.

Aanvullende informatie. DPA's, TIA-documentatie, sub-sub-verwerkersinformatie en het zelfstandige Subprocessor Register v1.1 zijn op verzoek via legal@hysio.nl onder geheimhouding beschikbaar.

Geraadpleegd en laatst geverifieerd op 15 juli 2026.

EU-wetgeving: AVG (Verordening (EU) 2016/679); SCCs (Uitvoeringsbesluit (EU) 2021/914); EU-VS Data Privacy Framework (Uitvoeringsbesluit (EU) 2023/1795); MDR (Verordening (EU) 2017/745); AI Act (Verordening (EU) 2024/1689); Data Act (Verordening (EU) 2023/2854); Richtlijn (EU) 2024/2853 en het corrigendum van 7 mei 2026.

Nederlandse wetgeving: UAVG; Wgbo (BW Boek 7); Wet BIG; Wkkgz; Wabb; Wabvpz; Wegiz; AP-besluit inzake DPIA-plichtige verwerkingen (BWBR0042812); AWR art. 52; BW art. 2:10, 6:227a, 6:227c en 6:234; Wet medische hulpmiddelen.

Richtsnoeren: EDPB Guidelines 07/2020, 9/2022, 04/2019, 1/2018 en 05/2021; EDPB Recommendations 01/2020; informatie van de Autoriteit Persoonsgegevens over verwerkersovereenkomsten en datalekken.

Contractuele bronnen: Google Cloud Data Processing Addendum; Groq Customer Data Processing Addendum; Resend Data Processing Addendum; Contabo Data Processing Addendum; OpenAI Data Processing Addendum; het zelfstandige Subprocessor Register v1.1 en de Transfer Impact Assessment v1.1.

Officiële links: eur-lex.europa.eu/eli/reg/2016/679/oj; eur-lex.europa.eu/eli/dec_impl/2021/914/oj; eur-lex.europa.eu/eli/dir/2024/2853/oj; eur-lex.europa.eu/eli/dir/2024/2853/corrigendum/2026-05-07/oj; wetten.overheid.nl/BWBR0006251; wetten.overheid.nl/BWBR0023864; autoriteitpersoonsgegevens.nl.