Laatst bijgewerkt: 2026-10-05.
Versie 2026-10-05
Verwerkersovereenkomst
Tussen de tandartspraktijk (verwerkingsverantwoordelijke) en Owivo (verwerker)
Opgesteld op grond van artikel 28, lid 3 van Verordening (EU) 2016/679 (AVG).
Inhoud
- Partijen
- Voorwerp en duur
- Rol van de partijen
- Aard en doel van de verwerking
- Betrokkenen en gegevens, ook gezondheidsgegevens
- Instructies van de praktijk
- Vertrouwelijkheid en beroepsgeheim
- Beveiliging
- Subverwerkers
- Doorgifte buiten de EER
- Agendakoppeling met Progenda of Google Agenda
- Bijstand bij rechten van betrokkenen
- Bijstand bij gegevensbeschermingseffectbeoordeling
- Inbreuken in verband met persoonsgegevens
- Teruggave of verwijdering na afloop
- Audit
- Aansprakelijkheid
- Toepasselijk recht en bevoegde rechtbank
- Handtekeningen
- Bijlage 1. De verwerking in detail
- Bijlage 2. Technische en organisatorische maatregelen
- Bijlage 3. Subverwerkers
- Bijlage 4. Tekst voor de privacyverklaring van de praktijk
1. Partijen
De verwerkingsverantwoordelijke (hierna "de praktijk"):
| Veld | In te vullen |
|---|---|
| Naam van de praktijk | |
| Rechtsvorm | |
| Ondernemingsnummer (KBO) | |
| Maatschappelijke zetel | |
| Vestigingen die Owivo gebruiken | |
| Vertegenwoordigd door (naam) | |
| Hoedanigheid van de ondertekenaar | |
| E-mailadres voor deze overeenkomst | |
| RIZIV-nummer van de praktijk (optioneel) |
De verwerker (hierna "Owivo"):
| Veld | Waarde |
|---|---|
| Naam en rechtsvorm | El Jafoufi Mohamed, eenmanszaak, handelend onder de naam Owivo |
| Ondernemingsnummer (KBO) | 0804.140.292 |
| Maatschappelijke zetel | Winterkoningstraat 19/101, 2170 Antwerpen |
| Vertegenwoordigd door | Mohamed El Jafoufi |
| Hoedanigheid van de ondertekenaar | Zaakvoerder |
| Contactpunt voor gegevensbescherming | Mohamed El Jafoufi, info@owivo.com |
| Functionaris voor gegevensbescherming | Niet aangesteld, want niet verplicht (artikel 37 AVG). Vragen gaan naar het contactpunt hierboven |
Samen "de partijen".
2. Voorwerp en duur
2.1 Owivo levert de praktijk een AI-receptionist: een chatvenster op de website van de praktijk dat patiënten te woord staat, vragen over tarieven beantwoordt, afspraken voorstelt en boekt, en gesprekken doorgeeft aan een medewerker van de praktijk. Owivo verwerkt daarbij persoonsgegevens namens de praktijk.
2.2 Deze overeenkomst legt vast onder welke voorwaarden dat gebeurt. Zij vormt één geheel met de algemene voorwaarden tussen de partijen. Bij tegenstrijdigheid over de verwerking van persoonsgegevens gaat deze overeenkomst voor.
2.3 Deze overeenkomst treedt in werking op de datum waarop de praktijk haar elektronisch aanvaardt (artikel 19), of op de datum van de laatste handtekening, en loopt zolang Owivo persoonsgegevens namens de praktijk verwerkt. Zij eindigt wanneer Owivo haar verplichtingen uit artikel 15 heeft uitgevoerd.
2.4 De bepalingen die naar hun aard blijven gelden na afloop, waaronder de artikelen 7, 15 en 17, blijven gelden.
3. Rol van de partijen
3.1 De praktijk is verwerkingsverantwoordelijke. Zij bepaalt het doel en de middelen van de verwerking, beslist welke gegevens in het systeem komen en hoe lang ze bewaard worden, en licht haar patiënten in.
3.2 Owivo is verwerker. Owivo verwerkt de gegevens uitsluitend in opdracht van de praktijk, zoals beschreven in Bijlage 1, en gebruikt ze voor geen enkel ander doel.
3.3 Owivo is zelf verwerkingsverantwoordelijke voor een beperkte set eigen gegevens die los staat van de patiëntgegevens: de accountgegevens van de medewerkers van de praktijk, de facturatiegegevens van het abonnement, de technische logs van het platform en de gegevens van bezoekers van owivo.com. Dat valt niet onder deze overeenkomst maar onder de privacyverklaring van Owivo.
3.4 De gegevens blijven van de praktijk. Owivo verkoopt ze niet, deelt ze niet met andere klanten, gebruikt ze niet voor eigen marketing en gebruikt ze niet om AI-modellen te trainen of bij te sturen.
3.5 Meent Owivo dat een instructie van de praktijk in strijd is met de AVG of met andere regels over gegevensbescherming, dan meldt Owivo dat zonder onnodige vertraging en mag Owivo de uitvoering opschorten tot de praktijk de instructie bevestigt of aanpast.
4. Aard en doel van de verwerking
Owivo verwerkt persoonsgegevens namens de praktijk voor de doelen in Bijlage 1 en voor geen andere: patiëntvragen beantwoorden, informatie over tarieven en diensten van de praktijk geven, afspraken voorstellen, boeken, verplaatsen en annuleren, gesprekken doorgeven aan een medewerker, en de praktijk een overzicht geven van haar gesprekken en contacten.
5. Betrokkenen en gegevens, ook gezondheidsgegevens
5.1 Categorieën van betrokkenen: patiënten en andere bezoekers van de website van de praktijk, personen die namens een patiënt contact opnemen, en de medewerkers van de praktijk die Owivo gebruiken of die in een gesprek genoemd worden.
5.2 Categorieën van gegevens: zie Bijlage 1, punt 3.
5.3 Gezondheidsgegevens. De chat is vrije tekst. Een patiënt kan er uit zichzelf gegevens over zijn gezondheid in schrijven: een klacht, pijn, een gebroken tand, een medicatie, een eerdere behandeling. Ook het gegeven dat een genoemde persoon patiënt is van deze praktijk en er op een bepaalde datum verwacht wordt, zegt iets over het ontvangen van zorg. De partijen gaan er daarom van uit dat de verwerking gegevens over gezondheid in de zin van artikel 9 AVG kan bevatten, en behandelen haar als zodanig.
5.4 De praktijk verwerkt die gegevens op grond van artikel 9, lid 2, h) AVG (verstrekking van gezondheidszorg), onder de verantwoordelijkheid van een beroepsbeoefenaar die aan het beroepsgeheim gebonden is. De toestemming die de praktijk aan een patiënt vraagt om hem te mogen contacteren is een communicatievoorkeur, geen rechtsgrond.
5.5 Owivo is geen patiëntendossier. Owivo legt geen diagnoses, behandelplannen, klinische notities of medische beeldvorming aan als afzonderlijk gegeven, en vraagt er ook niet naar. Wat een patiënt zelf in de chat typt, blijft staan in het gespreksverslag van dat gesprek. Als korte titel van een gesprek bewaart Owivo de eerste woorden van de eerste vraag, en een afspraak draagt de naam van het afspraaktype. De wettelijke bewaartermijn voor het patiëntendossier blijft volledig bij de praktijk en wordt door deze overeenkomst niet geraakt.
5.6 Owivo vraagt in geen enkele stap van de chat of van de boeking om een rijksregisternummer en bewaart er geen.
6. Instructies van de praktijk
6.1 Deze overeenkomst, samen met de algemene voorwaarden en met de instellingen die de praktijk in haar Owivo-omgeving kiest, vormt de volledige gedocumenteerde instructie van de praktijk.
6.2 De praktijk stuurt de verwerking zelf bij in haar omgeving: de kennis en de antwoorden van de assistent, de vestigingen, de afspraaktypes, de openingsuren, of er naar een medewerker mag doorgeschakeld worden, of de agenda gekoppeld wordt en of e-mail of WhatsApp gebruikt wordt.
6.3 Bijkomende of afwijkende instructies gebeuren schriftelijk. Brengt een instructie voor Owivo kosten mee die niet in het abonnement zitten, dan spreken de partijen die vooraf af.
6.4 Owivo verwerkt de gegevens alleen buiten de instructies van de praktijk wanneer het Unierecht of het Belgische recht Owivo daartoe verplicht. In dat geval meldt Owivo dat vooraf aan de praktijk, tenzij die wetgeving dat verbiedt.
7. Vertrouwelijkheid en beroepsgeheim
7.1 Owivo zorgt ervoor dat iedereen die namens Owivo toegang heeft tot de gegevens, gebonden is aan een geheimhoudingsplicht die ook na het einde van de samenwerking blijft gelden.
7.2 Tandartsen zijn gebonden door het beroepsgeheim (artikel 458 van het oude Strafwetboek, sinds 1 september 2026 artikel 352 van het nieuwe Strafwetboek). Owivo verbindt zich er contractueel toe de gegevens van de praktijk met dezelfde strengheid geheim te houden, en legt die geheimhouding op aan elke persoon die namens Owivo toegang heeft en aan elke subverwerker uit Bijlage 3. Dat is de geheimhoudingsplicht die artikel 9, lid 3 AVG en artikel 9, 3° van de wet van 30 juli 2018 vragen.
7.3 Toegang tot productiegegevens van een praktijk door Owivo gebeurt alleen wanneer dat nodig is om een storing op te lossen of om een vraag van de praktijk te beantwoorden, en beperkt zich tot wat daarvoor nodig is. Vandaag heeft enkel de zaakvoerder die toegang: tot de hosting en de broncode, beide beschermd met tweestapsverificatie, en tot het beheerdersaccount in de applicatie, waarmee hij de gesprekken van een praktijk kan lezen.
7.4 Owivo houdt een lijst bij van de categorieën van personen die toegang hebben tot de gegevens, met hun hoedanigheid, en houdt die ter beschikking van de Gegevensbeschermingsautoriteit (artikel 9, 1° en 2° van de wet van 30 juli 2018). Die lijst staat in het register van verwerkingen van Owivo.
8. Beveiliging
8.1 Owivo neemt passende technische en organisatorische maatregelen, rekening houdend met de stand van de techniek, de kosten, de aard van de verwerking en de risico's voor de betrokkenen. De maatregelen die vandaag genomen zijn, staan in Bijlage 2.
8.2 Bijlage 2 beschrijft wat er op de datum van deze overeenkomst werkelijk in het product zit. Owivo mag een maatregel vervangen door een gelijkwaardige of betere. Wordt het beschermingsniveau daardoor lager, dan licht Owivo de praktijk vooraf in.
8.3 De praktijk beoordeelt zelf of de maatregelen in Bijlage 2 passend zijn voor haar verwerking, en meldt het Owivo wanneer zij bijkomende maatregelen nodig acht.
9. Subverwerkers
9.1 De praktijk geeft Owivo een algemene toestemming om subverwerkers in te schakelen. De lijst op de datum van ondertekening staat in Bijlage 3, met de onderaannemers van die subverwerkers voor zover die gegevens van de praktijk ontvangen en voor zover Owivo ze kent. Owivo houdt die lijst actueel.
9.2 Owivo legt elke subverwerker langs contractuele weg verplichtingen op die niet minder streng zijn dan die in deze overeenkomst, waaronder geheimhouding, beveiliging, bijstand en verwijdering.
9.3 Owivo blijft tegenover de praktijk volledig aansprakelijk voor het handelen van haar subverwerkers.
9.4 Wil Owivo een subverwerker toevoegen of vervangen, dan meldt Owivo dat minstens dertig dagen vooraf per e-mail aan het contactadres van de praktijk.
9.5 De praktijk kan binnen die termijn van dertig dagen gemotiveerd bezwaar maken. Vinden de partijen geen oplossing, dan mag de praktijk de overeenkomst kosteloos opzeggen, met behoud van artikel 15.
10. Doorgifte buiten de EER
10.1 De applicatie en de databank van Owivo draaien bij Railway in de regio EU West (Amsterdam, europe-west4), binnen de EU. Dat is de plaats waar de gesprekken, de contactgegevens en de afspraken van de praktijk opgeslagen worden.
10.2 Enkele subverwerkers uit Bijlage 3 zijn gevestigd buiten de EER, of kunnen een aanvraag buiten de EER verwerken. Bijlage 3 vermeldt dat per subverwerker.
10.3 Het taalmodel. Elk antwoord van de assistent gaat via OpenRouter naar een Claude-model van Anthropic. OpenRouter is de enige aanbieder: er is geen tweede of derde aanbieder als reserve. Owivo verstuurt elke aanvraag met vier instellingen: geen dataverzameling, uitsluitend eindpunten met nulretentie die de inhoud niet bewaren en er geen modellen mee trainen, uitsluitend de Europese eindpunten Amazon Bedrock eu-west-1 en Google Vertex AI europe, en een verbod om naar een ander eindpunt uit te wijken.
10.4 Owivo verbiedt OpenRouter buiten de opgesomde EU-eindpunten te routeren. Het model draait dus op een Europees eindpunt. De aanvraag passeert wel bij OpenRouter, Inc., een vennootschap in de Verenigde Staten die de aanvraag doorstuurt; die doorgifte valt onder de standaardcontractbepalingen van artikel 10.6. Liggen de Europese eindpunten plat, dan valt de aanvraag terug zoals artikel 10.5 beschrijft.
10.5 Antwoordt het model niet, dan wordt de vraag nergens anders heen gestuurd. De patiënt krijgt dan een vaste melding dat er iets misging, met het telefoonnummer van de praktijk, zodat hij de praktijk zelf kan bellen.
10.6 Voor elke doorgifte naar een derde land zonder adequaatheidsbesluit zorgt Owivo voor een passend instrument in de zin van artikel 46 AVG: het EU-VS Data Privacy Framework wanneer de subverwerker daaronder gecertificeerd is (adequaatheidsbesluit (EU) 2023/1795), en anders de standaardcontractbepalingen van de Europese Commissie van 2021 (Besluit (EU) 2021/914) uit de verwerkersovereenkomst van die subverwerker. Waar de subverwerker beide aanbiedt, gelden de standaardcontractbepalingen als terugval wanneer het Data Privacy Framework zou wegvallen. Welk instrument dat per subverwerker is, staat in Bijlage 3. De praktijk kan er een kopie van opvragen.
10.7 Wil de praktijk geen enkele verwerking buiten de EER, dan meldt zij dat schriftelijk. Owivo laat haar dan weten welke functies daardoor niet gebruikt kunnen worden.
11. Agendakoppeling met Progenda of Google Agenda
11.1 Een praktijk kan haar eigen agenda in Progenda (vandaag op de markt als Helena Pro Calendar) koppelen aan Owivo. Progenda is een leverancier van de praktijk, niet van Owivo. De praktijk heeft haar eigen contract en haar eigen verwerkersovereenkomst met de uitbater van Progenda. Progenda staat daarom niet in Bijlage 3 en is geen subverwerker van Owivo.
11.2 De praktijk verklaart dat zij gerechtigd is haar agenda te koppelen en dat haar overeenkomst met Progenda die koppeling toelaat.
11.3 De praktijk maakt de API-token zelf aan, in haar eigen Progenda-account, op naam van een gebruiker die zij zelf aanmaakt, en bepaalt zelf tot welke agenda's die token toegang geeft. De praktijk kan de token op elk moment intrekken in hetzelfde scherm van Progenda, zonder tussenkomst van Owivo.
11.4 Owivo bewaart die token versleuteld (zie Bijlage 2) en gebruikt hem uitsluitend voor deze praktijk en uitsluitend om: vrije momenten op te vragen, een afspraak te schrijven, te verplaatsen of te annuleren, de diensten van de praktijk in te lezen, en wijzigingen op te halen die in Progenda zelf gemaakt zijn. Welke velden daarbij verstuurd worden, staat in Bijlage 1, punt 5.
11.5 Trekt de praktijk de token in, dan stopt elke uitwisseling onmiddellijk en biedt de assistent geen momenten meer aan voor de gekoppelde vestiging. De afspraken die al in Progenda staan blijven van de praktijk en worden door Owivo niet verwijderd.
11.6 Hetzelfde geldt voor een koppeling met de eigen Google Agenda van de praktijk: Google is dan de leverancier van de praktijk (onder haar Google Workspace-overeenkomst) of verwerkt de agenda onder de voorwaarden die de praktijk zelf met Google heeft. Bij een boeking stuurt Owivo naar Google het afspraaktype als titel, het begin- en einduur, en de naam en het e-mailadres van de patiënt als genodigde. Google is daarom geen subverwerker van Owivo. De praktijk kan de toegang van Owivo op elk moment intrekken in haar Google-account.
12. Bijstand bij rechten van betrokkenen
12.1 De praktijk beantwoordt zelf de verzoeken van haar patiënten over inzage, verbetering, wissing, beperking, overdraagbaarheid en bezwaar. Owivo antwoordt een patiënt niet rechtstreeks, tenzij de praktijk daarom vraagt of de wet Owivo daartoe verplicht.
12.2 Bereikt zo'n verzoek toch Owivo, dan bezorgt Owivo het zonder onnodige vertraging aan de praktijk.
12.3 Owivo helpt de praktijk met passende technische en organisatorische maatregelen om binnen de wettelijke termijn te antwoorden. Concreet kan de praktijk in haar omgeving de contacten en de afspraken van een persoon terugvinden, aanpassen en verwijderen, en de gesprekken terugvinden en exporteren. Een gesprek verwijderen, of een ander verzoek dat de praktijk niet zelf kan uitvoeren, voert Owivo op vraag van de praktijk uit binnen tien werkdagen.
12.4 Deze bijstand zit in het abonnement, behalve bij een onredelijk aantal of een onredelijke omvang van de verzoeken.
13. Bijstand bij gegevensbeschermingseffectbeoordeling
13.1 Owivo bezorgt de praktijk op verzoek de informatie die zij redelijkerwijs nodig heeft voor een gegevensbeschermingseffectbeoordeling (artikel 35 AVG) en voor een eventuele voorafgaande raadpleging van de Gegevensbeschermingsautoriteit (artikel 36 AVG).
13.2 De praktijk maakt zelf de beoordeling; Owivo levert de feiten over het product, de subverwerkers en de maatregelen.
14. Inbreuken in verband met persoonsgegevens
14.1 Owivo meldt een inbreuk in verband met persoonsgegevens die de gegevens van de praktijk raakt, zonder onredelijke vertraging nadat Owivo er kennis van heeft gekregen, aan het contactadres van de praktijk. Owivo verwittigt de praktijk zodra de inbreuk vaststaat, ook als nog niet alles gekend is, zodat de praktijk haar eigen termijn tegenover de Gegevensbeschermingsautoriteit kan halen. Owivo volgt daarbij haar datalekprocedure (legal/DATALEKPROCEDURE.md).
14.2 De melding bevat, voor zover op dat ogenblik gekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt bij Owivo.
14.3 Is niet alles meteen gekend, dan bezorgt Owivo de ontbrekende informatie in fasen, zonder onnodige verdere vertraging.
14.4 De praktijk beslist zelf over de melding aan de Gegevensbeschermingsautoriteit en aan de betrokken patiënten. Owivo verricht die meldingen niet in naam van de praktijk en helpt de praktijk redelijkerwijs bij het opstellen ervan.
14.5 Owivo houdt een intern register bij van de inbreuken die de gegevens van praktijken raken, met de feiten, de gevolgen en de genomen maatregelen, en stelt dat op verzoek ter beschikking.
15. Teruggave of verwijdering na afloop
15.1 Bij het einde van de overeenkomst kiest de praktijk of Owivo de gegevens teruggeeft dan wel verwijdert. De praktijk laat die keuze weten binnen dertig dagen na het einde. Laat zij niets weten, dan verwijdert Owivo de gegevens na die termijn. Een omgeving die nooit een betaald abonnement had, wordt automatisch verwijderd zoals de algemene voorwaarden beschrijven.
15.2 Kiest de praktijk voor teruggave, dan bezorgt Owivo binnen die termijn een export in een gangbaar, machineleesbaar formaat van de gesprekken, de contacten en de afspraken van de praktijk. De praktijk kan de gesprekken en de contacten ook zelf op elk moment als CSV exporteren, in haar omgeving onder Instellingen, Gegevens en privacy. De afspraken en wat niet in die export zit, bezorgt Owivo op vraag binnen dertig dagen als CSV of JSON.
15.3 Daarna, of onmiddellijk wanneer de praktijk voor verwijdering kiest, verwijdert Owivo de gegevens uit de actieve systemen, en laat Owivo haar subverwerkers hetzelfde doen. Owivo bevestigt de verwijdering schriftelijk.
15.4 Owivo laat dagelijks en wekelijks een back-up van de databank maken door Railway. Een dagelijkse back-up wordt zes dagen bewaard, een wekelijkse zevenentwintig dagen; daarna verwijdert Railway ze. Verwijderde gegevens verdwijnen dus uiterlijk zevenentwintig dagen later uit de back-ups. Railway vermeldt niet in welke regio de back-ups staan; zij vallen onder de verwerkersovereenkomst en de doorgiftebasis van Railway in Bijlage 3.
15.5 Owivo bewaart gegevens alleen langer wanneer het Unierecht of het Belgische recht dat oplegt, en dan alleen voor dat doel en voor die termijn.
15.6 Tijdens de looptijd geldt een standaard bewaartermijn van vierentwintig maanden. Owivo verwijdert elke dag en bij elke herstart van de dienst automatisch: gesprekken waarin al vierentwintig maanden geen bericht meer kwam, samen met hun berichten; contacten die al vierentwintig maanden niet gewijzigd werden, tenzij hun gesprek nog loopt; afspraken waarvan het einduur meer dan vierentwintig maanden voorbij is; en feedback die ouder is dan vierentwintig maanden. Bezoekerssessies voor de statistieken worden automatisch na dertig dagen verwijderd. Vraagt de praktijk een kortere bewaartermijn, dan spreken de partijen die schriftelijk af.
16. Audit
16.1 Owivo bezorgt de praktijk op schriftelijk verzoek de informatie die nodig is om de naleving van artikel 28 AVG aan te tonen, waaronder een actuele versie van Bijlage 2 en Bijlage 3.
16.2 De praktijk, of een door haar aangestelde onafhankelijke auditor die tot geheimhouding gehouden is, kan één keer per jaar een audit uitvoeren, mits dertig dagen schriftelijke aankondiging, tijdens de kantooruren en zonder de dienstverlening te verstoren. De praktijk draagt de kosten, behalve wanneer de audit een wezenlijke inbreuk op deze overeenkomst aantoont.
16.3 Een bijkomende audit is mogelijk na een inbreuk in verband met persoonsgegevens die de praktijk raakt, of wanneer de Gegevensbeschermingsautoriteit daarom vraagt.
16.4 Owivo beschikt vandaag niet over een certificaat ISO 27001 of een SOC 2-rapport en laat vandaag geen periodieke externe penetratietest uitvoeren. Owivo kan een audit dus niet met zo'n rapport afkopen.
17. Aansprakelijkheid
17.1 De totale aansprakelijkheid van Owivo onder deze overeenkomst en de algemene voorwaarden samen is per kalenderjaar beperkt tot het hoogste van deze twee bedragen: wat de praktijk aan Owivo betaalde in de twaalf maanden vóór de gebeurtenis die de schade veroorzaakte, of EUR 1.000. De redelijke kosten die de praktijk maakt door een inbreuk in verband met persoonsgegevens die aan Owivo te wijten is, zoals meldingen aan patiënten en herstel van gegevens, vallen daaronder en zijn geen uitgesloten gevolgschade. De beperking geldt niet bij opzet, zware fout of bedrog. Artikel 15 van de algemene voorwaarden regelt de rest.
17.2 Die beperkingen gelden niet waar de AVG of dwingend recht een beperking verbiedt, en evenmin voor de aansprakelijkheid van een verwerker uit artikel 82 AVG tegenover een betrokkene.
17.3 Zijn beide partijen aansprakelijk voor dezelfde schade, dan draagt elke partij het deel dat aan haar toe te rekenen is.
18. Toepasselijk recht en bevoegde rechtbank
18.1 Deze overeenkomst wordt beheerst door het Belgische recht, waaronder de AVG en de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.
18.2 Geschillen worden voorgelegd aan de rechtbanken van het gerechtelijk arrondissement Antwerpen, afdeling Antwerpen.
18.3 De bevoegde toezichthoudende autoriteit is de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel.
19. Handtekeningen
De praktijk kan deze overeenkomst elektronisch aanvaarden in haar Owivo-account, bij de registratie of later in de omgeving. Die aanvaarding is een schriftelijke overeenkomst in elektronische vorm in de zin van artikel 28, lid 9 AVG, en een handtekening in de zin van artikel 8.1, 2° van het Burgerlijk Wetboek; tussen ondernemingen geldt zij als bewijs (artikel 8.11 Burgerlijk Wetboek). Owivo bewaart welke versie door wie en wanneer aanvaard werd. De publieke tekst staat op https://app.owivo.com/verwerkersovereenkomst.
Wil de praktijk op papier of in PDF tekenen, dan gebruiken de partijen de blokken hieronder. Opgemaakt in twee exemplaren, elke partij erkent er één te hebben ontvangen.
Voor de praktijk (verwerkingsverantwoordelijke):
| Veld | Invullen |
|---|---|
| Naam | |
| Hoedanigheid | |
| Plaats | |
| Datum | |
| Handtekening |
Voor Owivo (verwerker):
| Veld | Invullen |
|---|---|
| Naam | Mohamed El Jafoufi |
| Hoedanigheid | Zaakvoerder |
| Plaats | |
| Datum | |
| Handtekening |
Bijlage 1. De verwerking in detail
1. Onderwerp
Het leveren van de AI-receptionist van Owivo aan de praktijk.
2. Doeleinden en verwerkingen
| Functie | Wat Owivo doet | Waarvoor |
|---|---|---|
| Chat met de patiënt | Berichten opslaan, tonen en doorsturen naar een taalmodel dat het antwoord schrijft | De patiënt meteen een antwoord geven, ook buiten de openingsuren |
| Tariefantwoorden | De vraag vergelijken met de tarieflijst en de instellingen van de praktijk | De patiënt een indicatie geven van wat een behandeling kost |
| Afspraken | Vrije momenten tonen, een afspraak vastleggen, verplaatsen of annuleren | De patiënt laten boeken zonder te bellen |
| Agendakoppeling | Vrije momenten opvragen bij en afspraken schrijven naar de agenda van de praktijk (zie punt 5) | De echte agenda van de praktijk gebruiken in plaats van een kopie |
| Overdracht aan een mens | Een gesprek doorgeven aan een medewerker en die verwittigen | Een vraag laten overnemen door de praktijk |
| Contacten en opvolging | Naam en contactgegevens uit een gesprek bewaren, met een status en een score | De praktijk laten opvolgen wie contact opnam |
| E-mailberichten | Meldingen en bevestigingen versturen via Resend | De praktijk en de patiënt op de hoogte houden |
| WhatsApp (optioneel) | Berichten ontvangen en versturen via WhatsApp Business, alleen als de praktijk dat inschakelt | De patiënt via WhatsApp bedienen |
| Statistieken | Bezoeken, gesprekken en afspraken tellen, met de pagina waarop het bezoek begon | De praktijk tonen hoeveel vragen en boekingen er binnenkomen |
3. Categorieën van persoonsgegevens
| Categorie | Wat dat concreet is |
|---|---|
| Identificatiegegevens | Naam en voornaam zoals de patiënt ze zelf opgeeft; bij een boeking in een gekoppelde Progenda-agenda ook de geboortedatum |
| Contactgegevens | E-mailadres, telefoonnummer |
| Inhoud van het gesprek | De volledige chat, vrije tekst, mogelijk met gegevens over gezondheid (zie artikel 5.3) |
| Afspraakgegevens | Titel, omschrijving, begin- en einduur, tijdzone, vestiging, afspraaktype, behandelaar, status, notitie |
| Voorkeuren | Taal van het gesprek, toestemming om gecontacteerd te worden en de tekst die daarbij getoond werd |
| Opvolgingsgegevens | Status en score van een contact, interne notities van de praktijk |
| Bezoekgegevens | Een door de browser aangemaakt kenmerk, de pagina waarop het gesprek begon, de titel van die pagina, de duur van het bezoek. Owivo bewaart geen IP-adres van patiënten en leidt er geen locatie uit af |
| Medewerkers | Naam, e-mailadres en rol van de medewerkers van de praktijk in de omgeving van Owivo |
Owivo vraagt niet naar en bewaart geen rijksregisternummer, geen mutualiteitsnummer, geen betaalkaartgegevens en geen klinisch dossier.
4. Gegevens die naar het taalmodel gaan
Per vraag van een patiënt verstuurt Owivo: de instructies en de kennis van de praktijk (openingsuren, diensten, tarieven, antwoorden die de praktijk zelf ingaf), het gesprek tot dan toe en het bericht van de patiënt. Er gaan geen inloggegevens, geen betaalgegevens en geen gegevens van andere praktijken mee.
5. Gegevens die naar de gekoppelde agenda gaan
Bij een boeking in Progenda schrijft Owivo naar de agenda van de praktijk: een eigen kenmerk (een niet-omkeerbare hash van het telefoonnummer en, als de patiënt die gaf, de geboortedatum), voornaam en naam, e-mailadres, telefoonnummer, een taalcode, de geboortedatum als de patiënt die gaf, en voor de afspraak zelf de dienst van de praktijk, het begin- en einduur, een titel met het afspraaktype en de naam van de patiënt, de vaste notitie dat de afspraak via Owivo geboekt werd, een korte notitie of de patiënt als bestaande patiënt herkend werd, en de status. Owivo verstuurt geen adres en geen medische gegevens naar de agenda.
Om een bestaande patiënt niet dubbel aan te maken vraagt Owivo bij een Progenda-boeking naar de geboortedatum en leest het de patiëntenlijst van het centrum in Progenda (naam, telefoonnummer, e-mailadres, taal, geboortedatum). Owivo vergelijkt telefoonnummer en geboortedatum, koppelt de afspraak bij een overeenkomst aan die bestaande patiënt, schrijft bij die patiënt alleen het eigen kenmerk van Owivo bij zonder zijn andere gegevens te overschrijven, en houdt de gelezen lijst alleen in het werkgeheugen zolang de boeking duurt. De geboortedatum zelf wordt in Owivo niet apart bewaard; ze staat wel in het gesprek zoals de patiënt ze typte.
6. Duur
Voor de looptijd van de overeenkomst, daarna zoals bepaald in artikel 15.
7. Plaats van de verwerking
De opslag gebeurt in de EU (Railway, regio EU West, Amsterdam). De verwerking door subverwerkers gebeurt op de plaatsen die Bijlage 3 vermeldt.
Bijlage 2. Technische en organisatorische maatregelen
Deze bijlage beschrijft de maatregelen die op 2026-10-04 in het product aanwezig zijn. Wat hier niet staat, is er niet.
Versleuteling en geheimen
| Maatregel | Wat er werkelijk gebeurt |
|---|---|
| Versleuteling onderweg | Al het verkeer tussen de browser van de patiënt, de servers van Owivo en de subverwerkers loopt over TLS |
| Progenda-token | De token die de praktijk aanmaakt voor haar Progenda-agenda wordt versleuteld bewaard met AES-256-GCM, met een sleutel van 32 bytes die alleen als omgevingsvariabele op de server bestaat |
| Google Agenda-token | De OAuth-tokens voor Google Agenda worden versleuteld bewaard zoals de Progenda-token, met AES-256-GCM en dezelfde sleutel |
| Wachtwoorden | Wachtwoorden van medewerkers worden bewaard als bcrypt-hash met kostenfactor 12, nooit leesbaar |
| Sessies | De aanmeldsessie is een versleuteld token in een cookie die JavaScript niet kan lezen |
| Sleutels en geheimen | API-sleutels en andere geheimen staan als omgevingsvariabelen op de server en staan niet in de broncode |
| Bestanden | Kennisbestanden die de praktijk uploadt (folders, prijslijsten), staan bij Cloudflare op een lange, niet te raden link zonder vervaldatum. Ze zijn bedoeld voor publieke informatie; de praktijk uploadt er geen patiëntgegevens |
| Versleuteling in rust | De hostingpartner Railway versleutelt alle opgeslagen gegevens op het niveau van de opslag (bevestigd door Railway op 2024-06-18). Er is geen bijkomende versleuteling per databank. De agendatokens van Progenda en Google zijn daarnaast in de applicatie zelf versleuteld met AES-256-GCM |
Afscherming tussen praktijken
| Maatregel | Wat er werkelijk gebeurt |
|---|---|
| Scheiding per praktijk | De applicatie filtert haar opvragingen op de praktijk, zodat een medewerker van praktijk A de gegevens van praktijk B niet bereikt. Die scheiding zit in de applicatie, niet in de databank zelf |
| Rollen | Rechten worden per rol toegekend binnen de praktijk (eigenaar, beheerder, lid, medewerker) en op platformniveau, en worden aan de serverzijde gecontroleerd |
| Vestigingen | Een medewerker kan voor de afspraken beperkt worden tot bepaalde vestigingen van de praktijk; gesprekken en contacten ziet hij voor de hele praktijk |
| Achtergrondtaken | De geplande taken zijn afgeschermd met een geheim; zonder dat geheim weigeren ze te draaien |
Weerbaarheid van de dienst
| Maatregel | Wat er werkelijk gebeurt |
|---|---|
| Snelheidsbeperking | De publieke eindpunten van het chatvenster en van het boekingsvenster zijn begrensd in het aantal aanvragen |
| Terugval bij uitval | Antwoordt het model niet, dan krijgt de patiënt een vaste melding in plaats van een verzonnen antwoord, met het telefoonnummer van de praktijk |
| Gescheiden kanalen | Het chatvenster en het dashboard draaien op gescheiden realtimekanalen |
| Begrensde automatiseringen | Geautomatiseerde regels stoppen na tien schakels, zodat een lus zichzelf niet kan blijven herhalen |
| Foutopvolging | Er is vandaag geen externe dienst voor foutopvolging aangesloten. Fouten blijven in de logs van de server |
| Back-ups en herstel | Dagelijkse back-up van de databank, zes dagen bewaard, en wekelijkse back-up, zevenentwintig dagen bewaard, bij Railway (zie artikel 15.4) |
| Beschikbaarheid | Owivo streeft naar een hoge beschikbaarheid zonder contractuele garantie. De dienst wordt na elke uitrol automatisch getest. Bij uitval van de AI krijgt de patiënt het vaste bericht met het telefoonnummer van de praktijk |
Ontwikkeling
| Maatregel | Wat er werkelijk gebeurt |
|---|---|
| Geautomatiseerde tests | De volledige testreeks draait vóór elke commit op de computer van de ontwikkelaar; faalt er één, dan gaat de wijziging niet door. Er is nog geen aparte testserver |
| Typecontrole | De codebasis is volledig in TypeScript en wordt getypecheckt. De strikte modus van TypeScript staat vandaag uit |
| Toegang tot productie | Vandaag heeft enkel de zaakvoerder toegang (zie artikel 7.3). De hosting en de broncode zijn beschermd met tweestapsverificatie. De applicatie zelf biedt tweestapsverificatie met een authenticator-app aan; elke gebruiker met een wachtwoord kan die inschakelen, ze is niet verplicht |
| Opvolging van kwetsbaarheden in afhankelijkheden | Kwetsbaarheden in gebruikte pakketten worden automatisch gemeld en automatisch voorgesteld voor een update. Kritieke kwetsbaarheden worden binnen veertien dagen opgelost |
| Externe beveiligingstest | Wordt vandaag niet uitgevoerd (zie artikel 16.4) |
Organisatie
| Maatregel | Wat er werkelijk gebeurt |
|---|---|
| Gegevensminimalisatie | Owivo bewaart geen IP-adres van patiënten, leidt er geen locatie uit af en vraagt geen rijksregisternummer |
| Privacy by design | De scheiding per praktijk en de rollen zitten in het gegevensmodel zelf, niet in de schermen |
| Register van verwerkingen | Owivo houdt een register bij als verwerker en als verwerkingsverantwoordelijke (legal/REGISTER_VAN_VERWERKINGEN.md) |
| Procedure bij een inbreuk | Een vaste procedure met stappen, meldingsteksten voor de praktijk en een register van inbreuken (legal/DATALEKPROCEDURE.md) |
| Opleiding over gegevensbescherming | De zaakvoerder volgt jaarlijks een opleiding over gegevensbescherming; dat wordt bijgehouden in het register van verwerkingen |
| Onderzoek van subverwerkers | Een subverwerker wordt pas gebruikt nadat zijn verwerkersovereenkomst aanvaard is en zijn doorgiftebasis (Data Privacy Framework of standaardcontractbepalingen) nagekeken is. De lijst wordt jaarlijks herbekeken |
Bijlage 3. Subverwerkers
Stand op 2026-10-05. De juridische entiteiten en de doorgiftebasis zijn op 2026-10-04 nagekeken tegen de eigen verwerkersovereenkomsten van die partijen en tegen de officiële lijst van het EU-VS Data Privacy Framework.
| Subverwerker | Juridische entiteit | Waarvoor | Welke gegevens | Waar verwerkt | Instrument voor doorgifte |
|---|---|---|---|---|---|
| Railway | Railway Corporation (Verenigde Staten) | Hosting van de applicatie en de PostgreSQL-databank, met de back-up | Alle gegevens van de praktijk | Regio EU West (Amsterdam). De plaats van de back-ups vermeldt Railway niet | Data Privacy Framework (gecertificeerd tot 2027-08-17); standaardcontractbepalingen 2021, module 3, als terugval |
| OpenRouter | OpenRouter, Inc. (Verenigde Staten) | Stuurt de modelaanvraag door naar het Europese modeleindpunt | Instructies en kennis van de praktijk, gespreksinhoud, bericht van de patiënt | Doorgestuurd via de Verenigde Staten, verwerkt op de eindpunten in de rij hieronder | Standaardcontractbepalingen 2021, module 2. OpenRouter is niet gecertificeerd onder het Data Privacy Framework |
| Anthropic (Claude), via Amazon Web Services en Google Cloud | Onderaannemers van OpenRouter | Het taalmodel dat het antwoord schrijft: Claude Sonnet 5 voor patiënten, Claude Haiku 4.5 voor interne taken | Instructies en kennis van de praktijk, gespreksinhoud, bericht van de patiënt | Uitsluitend Amazon Bedrock eu-west-1 (Ierland) of Google Vertex AI europe, met nulretentie | Verwerking op een EU-eindpunt; de keten valt onder de overeenkomst tussen Owivo en OpenRouter |
| Resend | Plus Five Five, Inc. (Verenigde Staten) | Verzenden van meldingen en bevestigingen per e-mail | E-mailadres, naam, inhoud van het bericht | Verenigde Staten | Data Privacy Framework (hercertificering loopt); standaardcontractbepalingen 2021, module 3 |
| Cloudflare (R2) | Cloudflare, Inc. (Verenigde Staten) | Opslag van de kennisbestanden die de praktijk zelf uploadt | De inhoud van die bestanden, bedoeld als publieke informatie zonder patiëntgegevens | Netwerk van Cloudflare | Data Privacy Framework (hercertificering loopt); standaardcontractbepalingen 2021, module 3 |
| WhatsApp Ireland Limited | Alleen wanneer de praktijk WhatsApp inschakelt | Telefoonnummer en inhoud van de berichten | Ierland, met doorgifte aan WhatsApp LLC | Data Privacy Framework voor de doorgifte aan WhatsApp LLC |
Partijen die geen subverwerker zijn
| Partij | Waarom niet |
|---|---|
| Progenda | Leverancier en verwerker van de praktijk zelf, zie artikel 11 |
| Google Agenda | Leverancier van de praktijk zelf (Google Workspace) of afzonderlijke verantwoordelijke (persoonlijk Google-account), zie artikel 11.6 |
| Aanmelden met Google of GitHub | Betreft de accountgegevens van medewerkers, waarvoor Owivo zelf verantwoordelijke is (artikel 3.3). Geen patiëntgegevens |
| Pushmeldingen (Expo) | Medewerkers die de mobiele app gebruiken krijgen een melding via Expo (650 Industries, Inc.). Die melding bevat alleen "Nieuw bericht" of de naam van de assistent, nooit tekst of gegevens van een patiënt |
| Stripe | Stripe Payments Europe, Limited (Ierland) verwerkt het abonnement en de facturatie van de praktijk, waarvoor Owivo zelf verantwoordelijke is (artikel 3.3). Geen patiëntgegevens |
Diensten die vandaag niet in gebruik zijn
Deze diensten zitten in de broncode maar zijn op 2026-10-05 niet aangesloten voor tandartspraktijken. Zij ontvangen dus geen gegevens en zijn geen subverwerker. Worden zij later wel aangezet, dan gebeurt dat volgens artikel 9.4.
| Dienst | Stand vandaag |
|---|---|
| Sentry (foutopvolging) | De koppeling zit in de code, maar er is geen sleutel ingesteld, dus er vertrekt geen enkele foutmelding naar Sentry |
| OpenAI (embeddings) | De code voor een zoekfunctie met embeddings van OpenAI bestaat nog, maar staat voor tandartspraktijken uit aan de serverzijde |
| Synchronisatie met een webwinkel | Die functie bestaat nog in het product voor klanten uit een andere sector, maar wordt voor tandartspraktijken niet ingeschakeld |
Wijzigingen aan deze lijst worden gemeld volgens artikel 9.4.
Bijlage 4. Tekst voor de privacyverklaring van de praktijk
De praktijk moet haar patiënten inlichten over de verwerking (artikelen 13 en 14 AVG). Deze tekst kan zij overnemen in haar eigen privacyverklaring, aangevuld met haar eigen gegevens tussen haakjes. Owivo levert de tekst als hulp; de praktijk blijft verantwoordelijk voor haar verklaring.
Chat en online afspraken op onze website
Op onze website kunt u chatten met een digitale assistent die vragen beantwoordt, tarieven toelicht en afspraken boekt. De assistent is een AI-assistent; dat staat bij elk antwoord. Hij stelt geen diagnose en geeft geen medisch advies.
Wat we verwerken: wat u in de chat schrijft, uw naam en contactgegevens als u die geeft, uw geboortedatum als u een afspraak boekt, en uw afspraak. Schrijft u iets over uw gezondheid, dan verwerken we dat ook.
Waarom: om uw vraag te beantwoorden, uw afspraak te boeken en u terug te bellen als u daarom vraagt. Rechtsgrond: het verlenen van zorg en de voorbereiding daarvan (artikel 6, lid 1, b) en artikel 9, lid 2, h) AVG), onder het beroepsgeheim van de tandarts.
Wie helpt ons: de assistent wordt geleverd door Owivo (El Jafoufi Mohamed, Antwerpen), die de gegevens in onze opdracht verwerkt. Owivo bewaart ze in de Europese Unie. Om een antwoord te schrijven gaat het gesprek naar een taalmodel van Anthropic via OpenRouter. Owivo laat het gesprek niet gebruiken om AI-modellen te trainen. Meer: app.owivo.com/ai-disclosure.
Hoe lang: gesprekken worden automatisch verwijderd wanneer er vierentwintig maanden geen nieuw bericht in kwam. Uw afspraak komt ook in [naam van de agenda] en volgt daar de bewaartermijn van uw dossier.
In uw browser: het chatvenster bewaart het lopende gesprek tot vierentwintig uur in uw browser, zodat het verdergaat op een andere pagina. Gebruikt u een gedeelde computer, sluit dan het gesprek of wis de browsergegevens.
Uw rechten: u kunt uw gegevens inzien, laten verbeteren of verwijderen via [e-mailadres van de praktijk]. U kunt een klacht indienen bij de Gegevensbeschermingsautoriteit (www.gegevensbeschermingsautoriteit.be).