GDPR en patiëntgegevens

1. Wie is verantwoordelijk?

Wanneer een patiënt via Pharmassist een vraag stelt aan een apotheek, zijn er twee rollen:

• De apotheek is de verwerkingsverantwoordelijke. Zij bepaalt waarom en hoe de gegevens van haar patiënten worden verwerkt, net zoals bij een gesprek aan de toog of een telefoontje.
• Pharmassist is de verwerker. Wij verwerken patiëntgegevens alleen in opdracht van de apotheek en volgens haar instructies, zoals vastgelegd in een verwerkersovereenkomst volgens artikel 28 van de AVG.

Voor de gegevens van bezoekers van onze website en van onze eigen klanten zijn wij wel zelf verantwoordelijk. Dat staat beschreven in ons privacybeleid.

2. Welke gegevens verwerkt het platform?

Afhankelijk van het kanaal en van wat de patiënt zelf deelt:

• de inhoud van de berichten en eventuele bijlagen;
• de identificatie die het kanaal meestuurt, zoals een telefoonnummer bij WhatsApp, een e-mailadres of de naam van een sociale-media-account;
• de naam en contactgegevens die de patiënt opgeeft;
• gegevens over een bestelling of reservatie die via het gesprek wordt geplaatst;
• technische gegevens, zoals het tijdstip en het kanaal van een bericht.

Omdat berichten informatie over de gezondheid kunnen bevatten, behandelen we alle gesprekken als gezondheidsgegevens, een bijzondere categorie van persoonsgegevens onder artikel 9 van de AVG. Die gegevens krijgen het hoogste niveau van bescherming.

3. Waarvoor gebruiken we ze, en waarvoor niet?

Patiëntgegevens gebruiken we uitsluitend om de dienst te leveren die de apotheek bij ons afneemt:

• vragen beantwoorden namens de apotheek, of ze doorsturen naar de apotheker;
• bestellingen, reservaties en opvolgberichten afhandelen die de apotheek aanbiedt;
• de apotheek inzicht geven in het aantal en het soort vragen dat ze ontvangt;
• het platform beveiligen en storingen oplossen.

We gebruiken patiëntgegevens niet voor eigen commerciële doeleinden, verkopen ze niet en delen ze niet met adverteerders.

4. Waar staan de gegevens?

Patiëntgegevens worden uitsluitend opgeslagen op servers binnen de Europese Unie. Doen we voor een onderdeel van de dienst een beroep op een andere dienstverlener (een subverwerker), dan gebeurt dat alleen met een overeenkomst die minstens dezelfde bescherming biedt als de onze, en vooraf gemeld aan de apotheek. De actuele lijst van subverwerkers maakt deel uit van de verwerkersovereenkomst en is op aanvraag beschikbaar.

5. Hoe beveiligen we ze?

• Versleuteling van alle gegevens, zowel tijdens het versturen als in opslag.
• Strikte toegangscontrole. Elke apotheek ziet alleen haar eigen gesprekken. Binnen Pharmassist hebben enkel medewerkers toegang die dat nodig hebben voor support of onderhoud, en die toegang wordt gelogd.
• Vertrouwelijkheid. Iedereen die bij ons met patiëntgegevens werkt, is gebonden door een geheimhoudingsplicht.
• Back-ups en continuïteit, zodat gegevens niet verloren gaan bij een storing.
• Externe controle. Onze beveiliging wordt periodiek extern geaudit.

6. Hoe lang bewaren we ze?

De apotheek bepaalt hoe lang gesprekken bewaard blijven, binnen de grenzen van wat noodzakelijk is. Eindigt de samenwerking, dan kan de apotheek gedurende dertig dagen een export van haar gegevens opvragen. Daarna verwijderen we ze, tenzij de wet ons verplicht ze langer te bewaren.

7. Wat als er toch iets misloopt?

Stellen we een inbreuk op de beveiliging vast die patiëntgegevens treft, dan brengen we de betrokken apotheek onmiddellijk en zonder onredelijke vertraging op de hoogte, met alle informatie die ze nodig heeft om haar eigen verplichtingen na te komen, zoals een melding aan de Gegevensbeschermingsautoriteit binnen 72 uur.

8. Voor patiënten: uw rechten

U heeft het recht om uw gegevens in te zien, te laten verbeteren of te laten wissen, de verwerking te laten beperken, bezwaar te maken en uw gegevens over te dragen.

Omdat uw apotheek verantwoordelijk is voor uw gegevens, richt u uw verzoek best rechtstreeks aan uw apotheek. Wij helpen de apotheek om uw verzoek snel af te handelen. Komt uw vraag toch bij ons terecht, dan sturen we ze door naar uw apotheek.

Bent u niet tevreden over de manier waarop uw gegevens behandeld worden, dan kunt u een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, www.gegevensbeschermingsautoriteit.be.

9. Voor apothekers: wat u van ons krijgt

• een verwerkersovereenkomst bij elke samenwerking, met de afspraken die de AVG vereist;
• de lijst van subverwerkers en een melding vooraf bij elke wijziging;
• een voorbeeldtekst voor uw eigen privacyverklaring, waarin u uw patiënten informeert over het gebruik van Pharmassist;
• ondersteuning bij een gegevensbeschermingseffectbeoordeling (DPIA), als u die voor uw apotheek uitvoert;
• hulp bij verzoeken van patiënten die hun rechten uitoefenen.

Wilt u een van deze documenten ontvangen, of heeft u een vraag over gegevensbescherming? Mail ons op info@pharmassist.tech.