Heb je als coach een verwerkersovereenkomst nodig?
Meestal wel, en vrijwel altijd met meer partijen dan je denkt. Het goede nieuws is dat je hem zelden zelf hoeft te schrijven: de partij die jouw gegevens verwerkt, hoort hem klaar te hebben liggen. Het slechte nieuws is dat niemand je erop wijst als hij ontbreekt.
De vraag is niet of je gegevens deelt, maar wie er namens jou mee werkt.
Er is één onderscheid dat alles bepaalt, en het is makkelijker dan het klinkt.
- Jij bent verwerkingsverantwoordelijke
- Jij bepaalt waarom en hoe je cliëntgegevens verwerkt. Het is jouw dossier en jouw cliëntrelatie. Die rol kun je niet wegcontracteren.
- Een verwerker doet het in jouw opdracht
- Een partij die jouw gegevens verwerkt zonder er eigen doelen mee te hebben. Je softwareleverancier, je hostingpartij, een transcriptiedienst. Met zo'n partij hoort een verwerkersovereenkomst te bestaan, en dat is geen keuze maar een verplichting uit de AVG.
- Sommige partijen zijn geen verwerker
- Je accountant en je bank bepalen zelf wat ze met gegevens doen en hebben eigen wettelijke plichten. Daarmee sluit je geen verwerkersovereenkomst; die zijn zelf verantwoordelijk. Twijfel je, dan is de vraag: bepaalt deze partij zelf het doel, of doet hij alleen wat ik zeg?
- Er is geen ondergrens
- Werk je alleen en heb je twaalf cliënten, dan geldt dit net zo goed. De AVG kent geen vrijstelling voor kleine praktijken op dit punt.
De partijen die coaches het vaakst vergeten.
De softwareleverancier denkt iedereen aan. Deze vier komen er in de praktijk niet bij op.
Je mailprovider
Stuur je verslagen of intakeformulieren per mail, dan staan cliëntgegevens bij je mailpartij. Dat is precies waarom mail als dossier een ongelukkige keuze is; zie Mag je cliëntgegevens in Word en e-mail bewaren?.
Je clouddrive
Staan je Word-verslagen in een gedeelde map van een cloudaanbieder, dan verwerkt die aanbieder ze. Ook als er alleen voornamen in staan.
Je boekhoud- of facturatiepakket
Namen en adressen van cliënten zijn persoonsgegevens, ook als er geen inhoud bij zit.
Je virtueel assistent of tekstverwerkerdienst
Laat je verslagen uitwerken door een freelancer of een losse AI-dienst, dan is dat een verwerker. Juist hier ontbreekt zo'n overeenkomst vrijwel altijd.
Waar je op let als je er een krijgt voorgelegd.
Je hoeft hem niet te schrijven, maar wel te lezen. Deze zes punten zijn de kern.
- Onderwerp, duur en soort gegevens
- Wat wordt er verwerkt, voor wie en hoelang. Staat er alleen "diensten", dan is het te vaag om iets aan te hebben.
- Alleen in jouw opdracht
- De verwerker mag de gegevens niet voor eigen doelen gebruiken. Voor AI-diensten is de scherpe versie hiervan: worden mijn gegevens gebruikt om modellen te trainen?
- Beveiliging, en concreet genoeg om te toetsen
- "Passende maatregelen" zegt niets. Wat is er versleuteld, hoe wordt toegang gescheiden, wordt er gelogd wie erbij kan?
- Subverwerkers, met namen
- Vrijwel elke leverancier gebruikt zelf weer partijen. Je hoort te weten welke, waar ze staan, en vooraf bericht te krijgen als er een bij komt.
- Datalekken, met een termijn
- Jij moet binnen 72 uur kunnen melden bij de Autoriteit Persoonsgegevens. Dan heb je een verwerker nodig die jou onverwijld informeert, met een harde termijn en de informatie die je voor je beoordeling nodig hebt.
- Het einde
- Wat gebeurt er met je gegevens als je stopt: hoelang kun je exporteren, wanneer wordt er verwijderd, en krijg je daar bewijs van?
Wat wij hieruit hebben afgeleid.
Hij hoort erbij, niet op aanvraag
Onze verwerkersovereenkomst staat gewoon op de site en hoort bij elk abonnement en bij de proefperiode. Een ondertekend exemplaar krijg je op verzoek.
De subverwerkers staan er met naam en plaats
Vier partijen, allemaal binnen de EER, met dertig dagen aankondiging voordat er iets verandert en het recht om bezwaar te maken.
Beveiliging staat er toetsbaar in
De beveiligingspagina is onderdeel van de overeenkomst, en daar staat per onderdeel wat werkt en wat nog gebouwd wordt.
Bij een datalek: binnen 48 uur
Strakker dan de 72 uur die jij zelf hebt, zodat je tijd overhoudt om je eigen afweging te maken.
Dit is uitleg, geen juridisch advies.
Wij bouwen software, wij zijn geen juristen. Hieronder staat wat wij bij het ontwerpen van dit systeem hebben uitgezocht en hoe wij het hebben toegepast. Voor coaches bestaat geen apart wettelijk dossierregime zoals in de zorg, en dat betekent dat veel afhangt van jouw situatie, je beroepsvereniging en je eigen afspraken met je cliënt. Gaat het ergens echt om, leg het dan voor aan iemand met de juiste bevoegdheid.
Zo ziet dat er in de praktijk uit.
Op de standenpagina staat per onderdeel wat vandaag werkt en wat nog gebouwd wordt.
Wat werkt er nu