VECOZO Privacy Policy Policy v3.0.pdf · Wet maatschappelijke ondersteuning, Jeugdwet, Wet...

Naam van document0.1

© VECOZO Privacy Policy, versie 3.0 Pagina 1 van 12

VECOZO -

Privacy Policy



Versiebeheer

Nummer Datum Opmerkingen Auteur(s)

1.0 November 2004 Eerste versie VECOZO

2.0 April 2005 Definitief gemaakt VECOZO

2.1 Mei 2006 Wijziging adresgegevens VECOZO

2.2 Oktober 2006 Update versienummer, tekstuele wijzigingen

VECOZO

2.3 Maart 2009 Wijzigingen verwerkte persoonsgegevens (BSN)

VECOZO

2.4 Maart 2011 Algehele update VECOZO

2.5 Maart 2012 Aanpassing definitie exclusiviteit VECOZO

3.0 Augustus 2016 Algehele update VECOZO



Inhoudsopgave

Versiebeheer 2

Inhoudsopgave 3

1. Introductie 4

1.1 Achtergrond 4

1.2 Begrippen 4

1.3 Doel en doelgroep Privacy Policy 5

1.4 Aansprakelijkheid 5

1.5 Contactgegevens 5

2. Verwerking Persoonsgegevens 6

2.1 Algemeen 6

2.2 Diensten en rolverdeling 6

2.3 AGB-gegevens 7

2.4 Relatiebeheer 7

2.5 Certificaatdienstverlening 7

2.6 Cookies 7

2.7 Nieuwsbrief 8

3. Getroffen privacymaatregelen 9

3.1 Algemeen 9

3.2 Doeleinden verwerking Persoonsgegevens 9

3.3 Rechtmatige grondslag 9

3.4 Beveiligingsmaatregelen 9

3.5 Verwerkte persoonsgegevens 9

3.6 Verstrekking gegevens 9

3.7 Bewaartermijnen 10

3.8 Rechten Betrokkenen 10

3.9 Geheimhouding 10

3.10 Verwerking door derden 10

3.11 Meldplicht Datalekken 10

3.12 Doorgifte Persoonsgegevens buiten Nederland 11

4. Onderhoud Privacy Policy 12

4.1 Wijzigingen van de Privacy Policy 12

4.2 Publicatie van de Privacy Policy 12

4.3 Goedkeuringsprocedure voor de Privacy Policy 12



1. Introductie

1.1 Achtergrond

VECOZO is het communicatiepunt voor ketenpartijen in de zorg die hun administratieve processen willen stroomlijnen en optimaliseren. Binnen het administratieve zorgdomein faciliteert VECOZO een digitale omgeving waarin ketenpartijen snel, eenvoudig en veilig gegevens met elkaar kunnen uitwisselen. Onder andere Zorgverzekeraars, Zorgaanbieders en Gemeenten (via het Gemeentelijk Gegevensknooppunt) maken gebruik van VECOZO-diensten, onder meer voor het declaratieverkeer en de berichten van zorgtoewijzing. In de berichten die tussen voorgenoemde partijen worden verstuurd zijn Persoonsgegevens opgenomen. VECOZO heeft de zorgvuldige verwerking hiervan hoog in het vaandel en verwerkt deze Persoonsgegevens dan ook zorgvuldig en beveiligd. Middels deze Privacy Policy verschaft VECOZO inzicht in de wijze waarop VECOZO Persoonsgegevens verwerkt.

1.2 Begrippen

In deze Privacy Policy worden diverse begrippen (o.a. uit de Wbp) gebruikt. Hierna volgt een opsomming van de belangrijkste begrippen.

1. Betrokkene: degene op wie een persoonsgegeven betrekking heeft.

2. Bewerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.

3. Diensten: Betreft software-applicaties inclusief bijbehorende documentatie in de

productieomgeving van VECOZO, ontsloten via webportaal of via webservices.

4. Gemeente: de gemeente waarmee een Zorgaanbieder inkoopafspraken heeft gemaakt ten behoeve van het leveren van maatwerkvoorzieningen en/of zorg in het kader van de toepasselijke Zorgwetten.

5. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.

6. Verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het

bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

7. Verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met

betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.

8. Wbp: Wet bescherming persoonsgegevens

9. Wlz: Wet langdurige zorg

10. Wmo: Wet maatschappelijke ondersteuning

11. Zorgaanbieder: aanbieders van zorg, producten en/of diensten in het kader van één of meerdere Zorgwetten.



12. Zorgverzekeraar: verzekeraar die zijn bedrijf maakt van het voor eigen rekening sluiten en afwikkelen van zorgverzekeringen en bevoegd is om onder Nederlandse wetgeving zorgverzekeringen aan te bieden. In deze Privacy Policy wordt onder Zorgverzekeraar ook de Wlz-uitvoerder die Wlz taken binnen het kader van het mandaat en de volmacht heeft verkregen, verstaan.

13. Zorgwetten: zorgwettelijke grondslagen zoals de Zorgverzekeringswet, Wet langdurige zorg, Wet maatschappelijke ondersteuning, Jeugdwet, Wet Marktordening Gezondheidszorg en de daaraan gerelateerde besluiten.

14. Zvw: Zorgverzekeringswet

1.3 Doel en doelgroep Privacy Policy

De VECOZO Privacy Policy geeft de partijen die gebruikmaken van VECOZO inzicht in de wijze waarop VECOZO Persoonsgegevens Verwerkt en beschermt bij de uitvoering van Diensten en de certificaatdienstverlening. Dit betreft zowel de organisatorische als technische maatregelen. Alhoewel VECOZO niet als Verantwoordelijke1 bij de uitvoering van de Diensten is aan te merken acht zij het vanuit het oogpunt van transparantie van belang om meer informatie te geven over de verwerking van Persoonsgegevens door VECOZO. Naast de op VECOZO aangesloten partijen verstrekt deze Privacy Policy ook informatie ten behoeve van andere belanghebbenden, zoals Betrokkenen (patiënten, verzekerden, of hun wettelijke vertegenwoordigers).

1.4 Aansprakelijkheid

VECOZO heeft de grootst mogelijke aandacht en zorg besteed aan de gegevens en informatie die zijn opgenomen in deze Privacy Policy. Desalniettemin is het mogelijk dat onjuistheden en onvolkomenheden voorkomen. VECOZO aanvaardt geen enkele aansprakelijkheid voor schade als gevolg van deze onjuistheden of onvolkomenheden, noch voor schade die wordt veroorzaakt door het gebruik of verspreiding van deze Privacy Policy. Tevens geeft VECOZO geen enkele garantie af in deze Privacy Policy. VECOZO heeft ten aanzien van haar dienstverlening overeenkomsten afgesloten met haar opdrachtgevers en gebruikers van VECOZO-Diensten. In die overeenkomsten zijn bepalingen omtrent aansprakelijkheid overeengekomen.

1.5 Contactgegevens

Voor vragen omtrent deze Privacy Policy kunt u een e-mail sturen naar [email protected] of telefonisch contact opnemen via 013 – 46 25 641.

1 M.u.v. de Zorgvraagzwaarteindicator en de certificaatdienstverlening, zie paragraaf 2.2.

mailto:[email protected]



2. Verwerking Persoonsgegevens

2.1 Algemeen

VECOZO is op 1 januari 2002 opgericht met als doel veilige, snelle en uniforme communicatie in de zorg mogelijk te maken. Controle op Verzekeringsrecht was de eerste Dienst die via het portaal van VECOZO werd aangeboden, daarna volgde al snel het Elektronisch Declaratieportaal. Inmiddels is het dienstenpalet van VECOZO flink uitgebreid. VECOZO is bij vrijwel al haar Diensten aan te merken als Bewerker voor haar opdrachtgevers die Verantwoordelijke zijn.

2.2 Diensten en rolverdeling

Hierna volgt een overzicht per Dienst en de certificaatdienstverlening hoe de rolverdeling in de zin van de Wbp is vormgegeven:

Dienst Verantwoordelijke Bewerker

Certificaatdienstverlening VECOZO n.v.t.

Controle op Verzekeringsrecht (COV)

Zorgverzekeraars VECOZO

Elektronisch Declaratieportaal (Zvw/Wlz)


Wlz-berichtenverkeer Zorgverzekeraars VECOZO

Inschrijving op Naam (ION) Stichting ION VECOZO

Machtigingenportaal Zorgverzekeraars VECOZO

e-Facturatie UWV UWV VECOZO

Informatieroutering (VSP-Info/OHW)


Berichtenbox

VECOZO voor functionaliteit en adressenboek / Gebruiker voor de inhoud van de verzonden

berichten

VECOZO ten aanzien van de verzonden berichten

Opt-In VZVZ VECOZO

Groepenbeheer MVH Vektis VECOZO

Zorginkoopportaal Zorgverzekeraars VECOZO

Inkijkvoorziening Polis Zorgverzekeraars VECOZO

Groupers Stichting Grouper VECOZO

Wmo-berichtenverkeer Gemeenten VECOZO

Elektronisch Declaratieportaal (Wmo)

Gemeenten VECOZO

Jeugdwet-berichtenverkeer Gemeenten VECOZO



Elektronisch Declaratieportaal (Jeugdwet)

Gemeenten VECOZO

Wijzigen van AGB-gegevens Vektis VECOZO

Zorgvraagzwaarteindicator VECOZO n.v.t.

ABC-RIP Zorgverzekeraars VECOZO

VECOZO wordt als Bewerker ingeschakeld door de Verantwoordelijke om namens de Verantwoordelijke Diensten ter beschikking te stellen en Persoonsgegevens te verwerken. De exacte Verwerking is steeds conform de instructie van de Verantwoordelijke. Voor een aantal Diensten wordt ingevolge de instructie van de Verantwoordelijke gebruik gemaakt van berichtenstandaarden van Vektis en Zorginstituut Nederland. VECOZO is als Bewerker verantwoordelijk voor de beveiligde uitwisseling van berichten tussen betrokken ketenpartijen. Met betrekking tot de inhoud van de Diensten is meer informatie per Dienst beschikbaar via www.vecozo.nl.

2.3 AGB-gegevens

VECOZO ontvangt van Vektis gegevens uit het AGB-register. Het doel hiervan is ondersteuning van het proces om Zorgaanbieders correct aan te sluiten op de systemen van VECOZO en gebruikmaking van Diensten door Zorgaanbieders. (Bedrijfs)processen worden op basis van het gebruik van AGB-gegevens uitgevoerd en verbeterd, zoals het identificeren van de Zorgaanbieder en het gebruik van de Diensten door de Zorgaanbieder. Beoogd wordt om een uniforme, efficiënte en effectieve informatie-uitwisseling tussen Zorgaanbieders en de Verantwoordelijken van de Diensten mogelijk te maken.

2.4 Relatiebeheer

Indien een overeenkomst is afgesloten met VECOZO als opdrachtgever of gebruiker van onze Diensten registreren wij de door voorgenoemde partijen verstrekte bedrijfs- en Persoonsgegevens in ons Relatiebeheersysteem. Tevens worden hierbij contactpersonen genoteerd. Deze (Persoons)gegevens worden uitsluitend aangewend voor de uitvoering van de overeenkomst en het gebruik van de Diensten. Hiervoor kan middels de bij ons bekende contactgegevens contact opgenomen worden waarbij verwerking van Persoonsgegevens kan plaatsvinden. Bij benadering via e-mail of telefonisch, worden de gegevens bewaard zolang als naar de aard van het verzoek noodzakelijk is.

2.5 Certificaatdienstverlening

Ten behoeve van het gebruik van Diensten via de website of Single Sign On (hierna: ‘SSO’) worden persoonlijke certificaten uitgegeven aan medewerkers van de op VECOZO aangesloten instanties. Voor meer informatie over het gebruik van certificaten binnen de dienstverlening van VECOZO zie de Certificate Policy/Certificate Practice Statement (hierna: ‘CP/CPS’). Aan het persoonlijke certificaat zijn Persoonsgegevens gekoppeld. Wij verstrekken de aan het persoonlijke certificaat gekoppelde Persoonsgegevens niet aan derden, tenzij dat noodzakelijk is voor de verstrekking van het persoonlijke certificaat, in het kader van een overeenkomst die met VECOZO is gesloten (bijvoorbeeld voor het gebruik van SSO), of in het kader van een wettelijke verplichting. In ieder geval worden Persoonsgegevens verstrekt aan KPN voor de uitvoering van de certificaatdienstverlening, zie voor meer informatie de CP/CPS.

2.6 Cookies

VECOZO maakt op haar website gebruik van cookies. Bij een bezoek aan de website van VECOZO, wordt automatisch enige informatie opgeslagen op de computer van de websitebezoeker in de vorm

http://www.vecozo.nl/



van een cookie, zodat diegene bij een volgend bezoek automatisch herkend wordt. Met behulp van cookies kan de inhoud van de VECOZO-website en Diensten beter afgestemd worden op de behoefte van de websitebezoeker. Het gebruik van cookies kan geweigerd worden door in de browser de instellingen aan te passen. Hierdoor kan het echter zijn dat niet optimaal gebruik gemaakt kan worden van de website en Diensten van VECOZO.

2.7 Nieuwsbrief

VECOZO biedt een nieuwsbrief om te informeren over haar Diensten. Het e-mailadres van de VECOZO-contactpersoon wordt automatisch toegevoegd aan de ontvangerslijst. Iedere nieuwsbrief bevat een link waarmee de contactpersoon zich kan afmelden, een zogenaamde opt-out mogelijkheid.



3. Getroffen privacymaatregelen

3.1 Algemeen

VECOZO heeft deze Privacy Policy opgesteld op basis van hoe zij haar dienstverlening heeft ingericht. Zorgaanbieders, Zorgverzekeraars, Gemeenten en andere opdrachtgevers en/of gebruikers van VECOZO-Diensten zijn zelf eindverantwoordelijk voor het (inhoudelijke) gebruik van de Diensten en de daarmee gepaarde Verwerking van persoonsgegevens en naleving van relevante wet- en regelgeving, waaronder de Wbp.

3.2 Doeleinden verwerking Persoonsgegevens

VECOZO verwerkt in haar Bewerkersrol uitsluitend in opdracht van en op instructie van haar opdrachtgevers die Verantwoordelijke zijn de Persoonsgegevens die Verwerkt worden via de Diensten, voor zover deze Verwerking van Persoonsgegevens noodzakelijk is voor het aanbieden van haar Diensten. VECOZO acteert hier steeds in het Verantwoordelijke-domein van haar opdrachtgevers. Persoonsgegevens worden niet Verwerkt op een wijze die onverenigbaar is met de doelstellingen waarvoor ze zijn verkregen. Tevens wordt hierbij de proportionaliteit en subsidiariteit in acht genomen.

3.3 Rechtmatige grondslag

De Verwerking van Persoonsgegevens vindt slechts plaats indien de Verantwoordelijke(n) van de betreffende Dienst een rechtmatige grondslag zoals bedoeld in de Wbp heeft én daar opdracht voor heeft gegeven aan VECOZO. VECOZO sluit (bewerkers)overeenkomsten met haar opdrachtgevers om hierover concrete afspraken te maken. Bij de Diensten waarvoor VECOZO zelf als Verantwoordelijke is aan te merken is tevens een rechtmatige grondslag aanwezig.

3.4 Beveiligingsmaatregelen

VECOZO legt passende technische en organisatorische maatregelen ten uitvoer om Persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. VECOZO hanteert een informatiebeveiligingsbeleid en heeft beveiligingsmaatregelen getroffen. VECOZO wordt jaarlijks geaudit door een onafhankelijke, erkende auditor op PKI-, beveiligings- en privacymaatregelen. Hierbij wordt minimaal geaudit op de beveiligingsnormen WebTrust en NEN 7510.

3.5 Verwerkte persoonsgegevens

VECOZO verwerkt Persoonsgegevens die noodzakelijk zijn voor het kunnen aanbieden van de certificaatdienstverlening, Diensten en de uitvoering van de overeenkomsten met onder meer Zorgverzekeraars, Gemeenten, overige opdrachtgevers en Zorgaanbieders. Voor meer informatie over de Persoonsgegevens die in een specifieke Dienst worden Verwerkt, wordt verwezen naar de omschrijving van de betreffende Dienst op de website van VECOZO (www.vecozo.nl).

3.6 Verstrekking gegevens

Concreet worden met de huidige Diensten en certificaatdienstverlening Persoonsgegevens Verwerkt en verstrekt aan: - Zorgaanbieders en/of hun administratiekantoren; - Zorgverzekeraars en hun Zorgkantoren; - Gemeenten; - Stichting ION; - UWV; - Vektis;




- KPN (ten behoeve van de certificaatdienstverlening) De inhoud en precieze verstrekking van Persoonsgegevens hangt steeds af van de betreffende Dienst. Aan derden (dat wil zeggen personen en instanties buiten VECOZO en de aangesloten Zorgaanbieders, Zorgverzekeraars, Gemeenten en overige opdrachtgevers) worden slechts persoonsgegevens verstrekt door VECOZO indien:

- dit noodzakelijk is voor het doel van de Verwerking, of, - dit geschiedt op een gerechtelijk bevel, of, - dit is vereist ingevolge een wettelijk voorschrift, of, - dit geschiedt met toestemming van de Betrokkene.

Er worden geen persoonsgegevens aan derden verstrekt voor ‘direct marketing’ doeleinden.

3.7 Bewaartermijnen

De door VECOZO afgehandelde berichten met Persoonsgegevens in de Diensten worden bewaard conform de afgesproken bewaartermijnen met de Verantwoordelijke opdrachtgever. Bij het vaststellen van deze bewaartermijnen is het noodzakelijkheidscriterium van de Wbp in acht genomen. Na het verstrijken van de bewaartermijn vindt zorgvuldige vernietiging plaats. De gegevens met betrekking tot financieel-administratieve doeleinden worden minimaal volgens de termijnen van de fiscale bewaarplicht bewaard.

3.8 Rechten Betrokkenen

VECOZO ondersteunt de Verantwoordelijke(n) bij het kunnen naleven van de wettelijke bepalingen inzake de rechten van Betrokkene(n). Hierbij kan gedacht worden aan het inzagerecht van de Betrokkene. Indien u als Betrokkene van een voorgenoemd recht gebruik wilt maken kunt u zich hiervoor richten tot de Verantwoordelijke van de Dienst (zie paragraaf 2.2). In het geval van Zorgverzekeraars kunt u zich richten tot uw eigen Zorgverzekeraar en in het geval van Gemeenten tot uw eigen Gemeente.

3.9 Geheimhouding

Iedereen die werkzaam is bij VECOZO en betrokken is bij de Verwerking van Persoonsgegevens is verplicht tot geheimhouding van de Persoonsgegevens waarvan kennis is genomen alsmede tot een uiterst vertrouwelijke behandeling binnen het bereik van haar/zijn taakuitoefening. Dit is vastgelegd als onderdeel van de arbeids- en eventuele inhuurovereenkomsten met VECOZO-medewerkers. Daarnaast hanteert VECOZO een intern autorisatiemodel waarbij eventueel inzicht in bijzondere Persoonsgegevens zo veel als mogelijk wordt beperkt.

3.10 Verwerking door derden

Indien VECOZO gebruik maakt van een onderaannemer (‘’sub-Bewerker’’) draagt VECOZO er zorg voor dat deze sub-Bewerker tevens conform deze Privacy Policy handelt. VECOZO heeft een gedeelte van de certificaatdienstverlening uitbesteed aan KPN. De KPN-omgeving voldoet aan strenge fysieke, personele en procedurele beveiliging. Voor nadere informatie omtrent de getroffen privacy- en beveiligingsmaatregelen wordt verwezen naar de CP/CPS.

3.11 Meldplicht Datalekken

Eventuele datalekken dienen door de Verantwoordelijke(n) van de Persoonsgegevens gemeld te worden bij de Autoriteit Persoonsgegevens. VECOZO heeft (interne) processen ingericht ten behoeve van de meldplicht datalekken zodat bij een eventueel datalek de Verantwoordelijke hierover tijdig wordt geïnformeerd en deze aan haar wettelijke verplichting kan voldoen.



3.12 Doorgifte Persoonsgegevens buiten Nederland

De Wbp stelt dat Persoonsgegevens slechts binnen de Europese Unie mogen worden doorgegeven. Aan landen buiten de Europese Unie mogen alleen Persoonsgegevens doorgegeven als dit land op de lijst van veilige landen van de Europese Commissie is genoteerd. VECOZO stelt haar Diensten beschikbaar binnen de volgende landen:

Andorra Luxemburg

Argentinië Malta

Australië

Nederland (exclusief Aruba, Bonaire, Sint Eustatius en Saba,

Curaçao en Sint Maarten)

België Nederlandse Antillen

Bulgarije Noorwegen

Canada Oostenrijk

Cyprus Polen

Denemarken (inclusief Faroer Eilanden)

Portugal

Duitsland Roemenië

Estland Slovenië

Finland Slowakije

Frankrijk Spanje

Griekenland Tsjechië

Hongarije Turkije

Ierland Uruguay

Israël

Verenigd Koninkrijk (inclusief Jersey,

Guernsey, Isle of Man en Gibraltar)

Italië Verenigde Staten

Kroatië IJsland

Letland Zweden

Liechtenstein Zwitserland

Litouwen

De beschikbaarheid betreft de VECOZO website, webservices en het e-mailverkeer van en naar VECOZO.



4. Onderhoud Privacy Policy

4.1 Wijzigingen van de Privacy Policy

VECOZO draagt steeds zorg voor publicatie van de meest recente versie van haar Privacy Policy. Indien haar dienstverlening verandert waardoor de Privacy Policy aanpassing behoeft, verwerkt VECOZO deze aanpassingen in de Privacy Policy. VECOZO is gerechtigd de Privacy Policy te wijzigen zonder dat de bezoeker daarvan op de hoogte wordt gesteld.

4.2 Publicatie van de Privacy Policy

De laatste versie van de Privacy Policy is steeds op de website van VECOZO te vinden (www.vecozo.nl).

4.3 Goedkeuringsprocedure voor de Privacy Policy

Wijzigingen in de Privacy Policy, moeten door het management van VECOZO worden goedgekeurd alvorens deze worden gepubliceerd.


VECOZO Privacy Policy Policy v3.0.pdf · Wet maatschappelijke ondersteuning, Jeugdwet, Wet...

Documents

Transcript of VECOZO Privacy Policy Policy v3.0.pdf · Wet maatschappelijke ondersteuning, Jeugdwet, Wet...