SaaS-overeenkomst ZorgRondom

1. Dienst en pakket

Van Zoest Service levert één online zorgportaal per zorgvrager, met de functies van het bestelde pakket. De openbare website noemt voor Plus maximaal 25 actieve gebruikers en voor Pro een onbeperkt aantal actieve gebruikers. De orderbevestiging specificeert functies, limieten, prijs, looptijd en startdatum. Hosting, technisch beheer, reguliere updates en automatische back-ups zijn inbegrepen voor Plus en Pro. Extra inrichting en maatwerk vereisen een afzonderlijke afspraak.

1a. ZorgRondom Connect

ZorgRondom Connect is kosteloos voor verzorgers. Een persoonlijk Connect-account kan aan meerdere klantportalen worden gekoppeld voor inzage in het eigen gezamenlijke rooster en registratie van eigen uren. Iedere koppeling vereist afzonderlijke autorisatie voor het betrokken portaal en de betreffende gebruiker. Koppelingen kunnen rechtstreeks door bevoegde beheerders in Management worden gemaakt; managers en admins beheren de portaalzijde onder Gebruikers. Een koppeling verleent geen toegang tot alle gegevens of andere gebruikers van een portaal. Intrekken van een koppeling beëindigt die toegang; gegevens die rechtmatig in het bronportaal moeten blijven, worden daardoor niet automatisch verwijderd. Het gebruik van Connect wijzigt de abonnementsprijs van het klantportaal niet. Accountbeheer, gegevensverwerking en verzoeken van betrokkenen worden nader toegelicht in de privacyverklaring.

2. Levering en websiteadres

Na ontvangst van betaling en noodzakelijke informatie wordt het portaal binnen maximaal 24 uur ingericht, tenzij vóór bestelling een andere termijn is overeengekomen. Een geldig consumentenverzoek om binnen de bedenktijd te starten is nodig voor eerdere activering. Een vertraging wordt direct gemeld met een nieuwe planning en behoud van wettelijke remedies. Een subdomein is een gebruiksadres gedurende de dienstverlening, geen eigendomsoverdracht van mijnzorgrondom.nl. Herkenbare gezondheidsgegevens worden vermeden in het gekozen adres.

3. Rollen en zorgcontinuïteit

De klant benoemt een bevoegde portaalbeheerder en een vervanger, controleert toegang en zorgt voor juiste gegevens. De feitelijke AVG-rollen worden vastgelegd vóór het verwerken van zorggegevens; een particuliere gebruiker is niet zonder meer een wettelijke verwerkingsverantwoordelijke. ZorgRondom ondersteunt samenwerking en registratie. Medische beoordeling blijft bij bevoegde zorgverleners. Het portaal is geen spoedmeldvoorziening. De klant en zorgverleners regelen een passende werkwijze voor zorgverlening bij uitval.

SaaS-overeenkomst

4. Beschikbaarheid en ondersteuning

Support en incidentbereikbaarheid binnen de overeengekomen kantooruren zijn inbegrepen in het abonnement via support@mijnzorgrondom.nl en +31 (0)85 060 6740. Buiten kantooruren is de ICT Ede-storingsdienst bereikbaar via +31 (0)85 060 6741. Extra werkzaamheden volgen de servicebijlage met vooraf kenbare tarieven. Kosten voor wettelijke datalekmelding, noodzakelijke schadebeperking en herstel van een toerekenbaar gebrek worden niet op de klant afgewenteld. Kantooruren en responstijden worden in de orderbevestiging vastgelegd. Onderhoud wordt zo mogelijk vooraf aangekondigd. Geen gegarandeerde beschikbaarheid of hersteltijd geldt zonder een meetbare afspraak; wettelijke kwaliteitseisen blijven gelden.

5. Export en migratie

De klant kan gedurende het abonnement en tot 30 dagen na het einde een volledige standaardexport van eigen portaalinhoud aanvragen. Deze wordt zonder extra kosten veilig geleverd in een gangbaar, machineleesbaar formaat, met bijlagen en noodzakelijke structuurinformatie; alleen een PDF-overzicht volstaat niet als volledige export. Een verzoek wordt binnen 14 dagen uitgevoerd. Kosten voor aanvullende migratiewerkzaamheden vereisen vooraf akkoord en mogen de hieronder vermelde wettelijke overstaprechten niet beperken. Wettelijke rechten op teruggave, dataportabiliteit en eigen inhoud blijven gelden. Een uiterlijk op dag 30 ontvangen exportverzoek wordt ook na het exportvenster uitgevoerd. Verwijdering vindt pas na voltooiing van de overeengekomen teruggave plaats; de uitvoertermijn wordt zo nodig schriftelijk afgestemd zonder onnodige verdere bewaring.

5a. Overstappen naar een andere dienst

Voor dataverwerkingsdiensten waarop hoofdstuk VI van de Europese Dataverordening (Data Act) van toepassing is, kan de klant via support@mijnzorgrondom.nl een overstap naar een andere aanbieder, verplaatsing naar eigen ICT-infrastructuur of verwijdering aanvragen. Van Zoest Service bevestigt de gekozen route, noodzakelijke informatie en planning op een bewaarbare wijze. De aankondigingstermijn voor het starten van de overstap is maximaal twee maanden; een kortere contractuele of wettelijke termijn blijft gelden. De overgang duurt vervolgens maximaal 30 kalenderdagen. Van Zoest Service biedt redelijke bijstand, ondersteunt de exitstrategie en beschermt bedrijfscontinuïteit en gegevens tijdens overdracht. Als uitvoering binnen 30 dagen technisch niet haalbaar is, volgt binnen 14 werkdagen na het verzoek een gemotiveerde toelichting en een alternatieve termijn van maximaal zeven maanden. De klant mag de overgangsperiode eenmaal verlengen voor een passende eigen termijn.

Na een geslaagde overstap eindigt de betreffende dienstverlening overeenkomstig de wettelijke overstapregeling en ontvangt de klant hiervan bericht. De klant behoudt na de overgang minstens 30 kalenderdagen om gegevens op te halen. Gegevens worden daarna volgens de overeengekomen verwijderingsafspraken gewist, tenzij een rechtmatige eerdere verwijderingsinstructie of wettelijke bewaarplicht geldt. De termijnen voor reguliere beëindiging mogen deze wettelijke terughaalperiode niet verkorten. Overstapkosten bedragen tot 12 januari 2027 hoogstens de rechtstreeks met het overstappen verband houdende kosten, uitsluitend voor zover vooraf kenbaar en rechtmatig overeengekomen. De standaardexport blijft kosteloos. Vanaf 12 januari 2027 worden geen kosten voor het wettelijke overstapproces of de bijbehorende dataoverdracht berekend. Reguliere abonnementskosten en eventuele vooraf rechtsgeldig overeengekomen gevolgen van voortijdige beëindiging zijn geen vrijbrief om een overstap te blokkeren; consumentenrechten blijven vooropstaan.

5b. Exportgegevens en technische informatie

Een volledige export omvat de door de klant en diens gebruikers ingevoerde gegevens, bijlagen en door het gebruik ontstane uitvoer en metagegevens, voor zover deze tot het portaal behoren en rechtmatig aan de klant mogen worden verstrekt. Hieronder vallen onder meer gebruikers en rollen, roosters, uren, zorgafspraken, zorgplannen, rapportages en relevante relaties tussen deze gegevens. Andere klantomgevingen en geheimen zoals wachtwoorden, privésleutels en toegangstokens worden niet meegeleverd. Een uitsluiting van interne gegevens wegens intellectuele eigendom of bedrijfsgeheimen wordt concreet toegelicht en mag de wettelijke overstap niet verhinderen. Van Zoest Service stelt de toepasselijke beschrijving van exportstructuren, formaten en beschikbare interfaces beschikbaar en houdt deze actueel; wettelijk verplichte open interfaces worden zonder afzonderlijke vergoeding beschikbaar gesteld. Een export of overstap geeft geen recht op softwarecode of een garantie dat een andere aanbieder alle functies identiek uitvoert.

6. Gegevens en einde

Van Zoest Service gebruikt zorginhoud niet voor eigen analyses, marketing of het trainen van modellen. Bij einde wordt de klant tijdig geïnformeerd over export en verwijdering. Actieve portaalgegevens worden na de exportperiode, uiterlijk binnen 60 dagen na einde, verwijderd; resterende back-upkopieën uiterlijk binnen 90 dagen. Eerdere verwijdering of teruggave op geldige instructie wordt uitgevoerd. Uitsluitend een concrete wettelijke verplichting kan verwijdering als verwerker verhinderen. De beveiligingsbijlage en verwerkersovereenkomst gelden gedurende de gehele verwerking. Hosting is ondergebracht bij OVH op de server in Frankfurt, Duitsland. Afzonderlijke versleutelde externe back-ups worden opgeslagen in een Hetzner Storage Box in Falkenstein, Duitsland. Aanvullende lokale herstelkopieën kunnen op de beheerhost aanwezig zijn. Leveranciersrollen en eventuele toegang vanuit andere landen worden in de leveranciersbijlage vastgelegd. Een back-up is geen vervanging van een wettelijk te bewaren medisch dossier.

Beveiligingsbijlage

1. Reikwijdte en normverplichting

Van Zoest Service richt het informatiebeveiligingsmanagementsysteem (ISMS) voor de ontwikkeling, levering, hosting, het beheer en de ondersteuning van ZorgRondom in volgens NEN 7510-1:2024 en ISO/IEC 27001:2022 inclusief Amd 1:2024. De toepasselijke beheersmaatregelen uit NEN 7510-2:2024+A1:2026 en ISO/IEC 27001 Annex A worden op basis van risico en wettelijke eisen vastgesteld en onderhouden. Uitsluitingen worden gemotiveerd in de Verklaring van Toepasselijkheid en mogen verplichte zorg- en privacywaarborgen niet uithollen. Een certificering wordt uitsluitend geclaimd met een geldig certificaat dat deze scope dekt.

2. Bestuur en risicobeheer

De directie wijst een verantwoordelijke voor informatiebeveiliging aan, stelt beleid, doelen, middelen en verantwoordelijkheden vast en onderhoudt een register van informatie, systemen, afhankelijkheden en risico-eigenaren. Minimaal jaarlijks en bij wezenlijke wijzigingen worden risicoanalyse en behandelplan bijgewerkt, inclusief risico voor vertrouwelijkheid, integriteit, beschikbaarheid en gevolgen voor zorgcontinuïteit. Resterende risico’s worden aantoonbaar door de bevoegde risico-eigenaar beoordeeld. Organisatiecontext, belanghebbenden en de relevantie van klimaatverandering worden meegenomen.

3. Personen en toegang

Toegang volgt het beginsel van minimaal noodzakelijke bevoegdheden, persoonlijke accounts en passende functiescheiding. Beheeraccounts worden gescheiden van dagelijks gebruik. MFA is verplicht voor gebruikers en beheerders. Indiensttreding, rolwijziging en uitdiensttreding kennen een aantoonbaar autorisatieproces; vervallen toegang wordt onverwijld ingetrokken. Bevoegdheden worden periodiek gecontroleerd. Medewerkers en leveranciers zijn gebonden aan geheimhouding, krijgen passende bewustwordingstraining en worden risicogebaseerd beoordeeld. Tijdelijke supporttoegang wordt goedgekeurd, begrensd en gelogd. Ook directie en management krijgen periodieke informatiebeveiligingstraining en oefenen hun verantwoordelijkheden bij incidenten.

4. Gegevens en techniek

Gezondheidsgegevens worden als zeer vertrouwelijk geclassificeerd. Van Zoest Service beschermt overdracht met actuele TLS en opslag, exports en back-ups met passende versleuteling op basis van risico. Sleutels en geheimen worden gescheiden beheerd en alleen toegankelijk voor bevoegden, met procedures voor vervanging en herstel. Klantomgevingen worden logisch gescheiden. Apparaten, beheerverbindingen, netwerken en hostinglocaties krijgen passende toegangs- en fysieke beveiliging. Gegevens worden beperkt tot wat nodig is; productiegegevens worden niet zonder geldige instructie en passende bescherming gebruikt in testomgevingen.

5. Veilige ontwikkeling en wijzigingen

Ontwikkeling, testen en productie worden gescheiden. Wijzigingen krijgen risicobeoordeling, toetsing, bevoegde goedkeuring en een herstelmogelijkheid. Afhankelijkheden en kwetsbaarheden worden geïnventariseerd; kritieke bevindingen worden met spoed beoordeeld en gemitigeerd binnen een risicogebaseerd vastgestelde termijn. Beveiligingscontroles worden periodiek en bij belangrijke wijzigingen uitgevoerd. Bevindingen, afwijkingen en corrigerende maatregelen worden geregistreerd en gevolgd.

Beveiligingsbijlage

6. Logging en monitoring

Beveiligingsrelevante toegang en wijzigingen worden controleerbaar vastgelegd met gebruiker, gebeurtenis, object en betrouwbaar tijdstip, zonder onnodige zorginhoud of geheimen in logs. Logs worden tegen ongeoorloofde toegang en wijziging beschermd en risicogebaseerd gecontroleerd. Een vastgelegde bewaartermijn voorkomt onbegrensde opslag. Als de toepasselijke zorgcontext NEN 7512 of NEN 7513 vereist, worden de aanvullende eisen voor gegevensuitwisseling en logging afzonderlijk vastgesteld en uitgevoerd; naleving daarvan wordt niet uit deze bijlage afgeleid. Technische infrastructuurlogs worden onderscheiden van wettelijke zorgtoegangslogs. Een bewaartermijn voor eigen technische logs wordt niet toegepast op zorglogging waarvoor een andere toepasselijke bewaartermijn geldt.

7. Incidenten en datalekken

Van Zoest Service onderhoudt een incidentproces met contactpersonen, beoordeling, escalatie, bewaring van bewijs, herstel en evaluatie. Een inbreuk in verband met portaalpersoonsgegevens wordt zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat zij bekend is geworden aan de aangewezen klantcontactpersoon gemeld. Deze contractuele uiterste termijn vervangt de AVG-eis tot onverwijlde voortgang niet. Onvolledige informatie vertraagt de eerste melding niet. De melding bevat bekende feiten, aard, betrokken gegevens en personen, gevolgen, maatregelen en contactpunt; aanvullingen volgen zodra beschikbaar. De verantwoordelijke beoordeelt meldingen aan AP en betrokkenen; Van Zoest Service levert tijdig ondersteuning. De AVG-termijn van 72 uur voor de verantwoordelijke is geen uitsteltermijn voor de verwerker. Ook een ernstig beveiligingsincident dat integriteit, beschikbaarheid of zorgcontinuïteit raakt wordt zonder onredelijke vertraging gemeld, ook als nog geen datalek is vastgesteld. De wettelijke en overeengekomen meldplichten gelden ongeacht kantooruren. Bij uitval van e-mail of portaal wordt telefonisch gemeld via het afgesproken uitwijkkanaal. Dit kanaal wordt periodiek getest.

8. Continuïteit en herstel

Van Zoest Service onderhoudt een continuïteits- en herstelplan op basis van een impactanalyse. Back-ups worden automatisch gemaakt, beveiligd en voldoende van productie gescheiden. Herstel wordt minimaal jaarlijks en na belangrijke wijzigingen getest. Voor ingebruikname worden maximale acceptabele uitval, hersteldoel (RTO), maximaal gegevensverlies (RPO), back-upfrequentie en bewaartermijnen schriftelijk vastgelegd en afgestemd op de zorgcontext. Er wordt geen niet-gevalideerde 24/7- of nulverliesgarantie gegeven. Uitval wordt tijdig gecommuniceerd met gevolgen en voortgang; de klant onderhoudt zijn zorgnoodprocedure.

9. Leveranciers en keten

Leveranciers worden vóór inzet beoordeeld op beveiliging, privacy, continuïteit, locatie en toegang. Relevante verplichtingen worden contractueel doorgelegd en periodiek gecontroleerd. Ook beheer op afstand en toegang vanuit andere landen worden in kaart gebracht. Subverwerkers en doorgiften volgen de verwerkersovereenkomst. Beëindiging van een leverancier omvat veilige teruggave, intrekking van toegang en verwijdering.

10. Controle, verbetering en bewijs

Minimaal jaarlijks vinden een interne audit en directiebeoordeling plaats met opvolging van afwijkingen. De klant krijgt op redelijk verzoek passende informatie over scope, beleid, risicoaanpak, toepasselijke maatregelen, test- en audituitkomsten en openstaande herstelacties. Vertrouwelijkheid kan de wijze van inzage bepalen, maar blokkeert wettelijke auditrechten niet. Certificaatnummer, normeditie, scope, geldigheid en certificerende instelling worden uitsluitend verstrekt als deze aantoonbaar juist zijn. Nieuwe normedities worden op impact beoordeeld; noodzakelijke overgangsmaatregelen worden afgesproken en mogen wettelijke eisen niet uitstellen.

Service- en bewaartermijnafspraken

1. Inbegrepen dienstverlening en bereikbaarheid

Reguliere support en incidentbereikbaarheid tijdens de overeengekomen kantooruren zijn inbegrepen in het abonnement. Algemene contactgegevens: support@mijnzorgrondom.nl en +31 (0)85 060 6740; aanvragen: sales@mijnzorgrondom.nl. De precieze kantoordagen, tijden en feestdagenregeling worden in de orderbevestiging vastgelegd. Er wordt geen automatisch 24/7-supportabonnement aangenomen.

2. Buiten kantooruren

De ICT Ede-storingsdienst is bereikbaar via +31 (0)85 060 6741. De op https://www.ictede.com/247.html vermelde tarieven, gecontroleerd op 9 oktober 2026, zijn: hulp op afstand EUR 65 per uur plus EUR 30 starttarief, exclusief btw; hulp op locatie EUR 125 per uur plus EUR 60 voorrijkosten, exclusief btw. Bij 21% btw zijn consumentenprijzen respectievelijk EUR 78,65 en EUR 36,30, en EUR 151,25 en EUR 72,60. Vóór betaald werk worden toepasselijke prijs, berekeningswijze en eventuele extra kosten bevestigd. De websiteverwijzing geeft geen onbeperkt recht op tariefwijziging van een reeds aanvaarde opdracht.

3. Incidentmeldingen en kosten

Meldingen via de afgesproken incidentkanalen kunnen ook buiten kantooruren worden gedaan. De overeengekomen en wettelijke meld- en beveiligingsplichten worden niet uitgesteld tot kantooruren. Noodzakelijke melding en herstel van een toerekenbaar gebrek vallen onder de eigen verplichtingen van Van Zoest Service. Kosten voor aanvullende hulp aan klantapparaten of andere niet-inbegrepen werkzaamheden vereisen voorafgaande instemming. Persoonsgegevens worden niet gedeeld via ongeschikte of onnodig brede communicatiekanalen.

4. Bewaarbeleid en wettelijke termijnen

Voor persoonsgegevens bestaat geen algemeen wettelijk maximum. Iedere categorie krijgt een doel, grondslag en noodzakelijke termijn. Fiscale basisadministratie: in beginsel zeven jaar vanaf het moment waarop de gegevens hun actualiteitswaarde verliezen; bijzondere wettelijke regelingen kunnen tien jaar vereisen. WGBO-medische dossiers: in beginsel minimaal twintig jaar vanaf de laatste wijziging, soms langer. Deze categorieën worden afzonderlijk gehouden van herstelkopieën, gewone supportberichten en technische logs. Zorglogging volgt de toepasselijke wetgeving en NEN 7513; de precieze termijn wordt voor de zorgcontext vastgesteld.

5. Contractuele verwijderingsgrenzen

Na einde: export aanvragen tot 30 dagen; tijdige export uitvoeren binnen 14 dagen na verzoek; actieve portaalgegevens uiterlijk binnen 60 dagen verwijderen na veilige teruggave; resterende herstelkopieën uiterlijk binnen 90 dagen verwijderen. Van Zoest Service zorgt voor uitvoering en aantoonbaarheid van deze afspraken. De verantwoordelijke kan eerdere rechtmatige verwijdering instrueren. Een noodzakelijke wettelijke bewaarplicht wordt met rechtsgrond, categorie en duur vastgelegd. Operationele back-uprotatie tijdens de dienst wordt afzonderlijk op risico en herstelbehoefte bepaald.

Leveranciers- en servicebijlage

Invulling vóór ingebruikname

Klant / verantwoordelijke: ........................................
Bevoegde klantcontactpersoon en incidentkanaal: ........................................
Bevoegde leveranciercontactpersoon: ........................................
Kantoordagen / tijden / feestdagen: ........................................
Uitwijkkanaal bij uitval: telefoon +31 (0)85 060 6741; klantnummer: ........................................

Hosting en back-ups

Primaire hosting: OVH, Frankfurt, Duitsland (locatie bevestigd door eigenaar). Dienst: hosting van de beheerde ZorgRondom-applicaties en bijbehorende gegevens; lokale herstelkopieën kunnen op de beheerhost aanwezig zijn.
Externe back-ups: Hetzner Storage Box, Falkenstein, Duitsland (locatie bevestigd door eigenaar). Dienst: opslag van versleutelde herstelkopieën van de beheerde omgeving, inclusief databases en noodzakelijke configuratie.
Juridische contractentiteit per leverancier: door leverancier en klant vast te leggen aan de hand van de geldende contracten.
Beheer- en supporttoegang / landen: te verifiëren aan leveranciersafspraken.
Doorgiftemechanisme indien van toepassing: vast te leggen na beoordeling van de feitelijke verwerking.
Gegevenscategorieën: noodzakelijke portaalgegevens en beveiligde herstelkopieën, begrensd volgens de opdracht.
Schriftelijke goedkeuring klant en datum: ........................................

Overige subverwerkers

Microsoft 365 / Microsoft Graph wordt gebruikt voor centrale supportmail en supporttickets. Moneybird wordt gebruikt voor klantadministratie, abonnementen, facturatie en synchronisatie van noodzakelijke naam-, adres- en contactgegevens. Per verwerking wordt bepaald of de leverancier voor eigen verwerkingen van Van Zoest Service optreedt of als subverwerker voor gegevens in opdracht van de klant. Voor zover sprake is van een subverwerker, gelden artikel 5 van de verwerkersovereenkomst en de voorafgaande schriftelijke toestemming. Leg vóór inzet de juridische contractentiteit, dienst, gegevenscategorieën, opslaglanden, toegangslanden en toepasselijke waarborgen vast. Een vermelding in dit document of een leeg invulveld geldt niet als toestemming. Van Zoest Service sluit passende verwerkers- en beveiligingsafspraken met de betreffende partijen. Connect is een eigen ZorgRondom-dienst; de expliciete portaalautorisatie, toegestane gegevens en intrekking worden afzonderlijk beheerd en gelogd.

Meetbare serviceafspraken

Beschikbaarheidsdoel en meetwijze: ........................................
Responstijd per incidentcategorie: ........................................
Hersteldoel (RTO) / maximaal gegevensverlies (RPO): ........................................
Huidige externe back-upinrichting: dagelijks vanaf 03:40 Europe/Amsterdam, met spreiding; versleutelde opslag en een geautomatiseerde download-, checksum- en geïsoleerde databaseherstelcontrole. Herstelpunten ouder dan 30 dagen worden na een geslaagde opname en herstelcontrole opgeruimd. Een gemiste of mislukte uitvoering wordt gemonitord; deze beschrijving is geen gevalideerde garantie voor RTO of RPO.
Aanvullende lokale kopieën / eventuele leverancierssnapshots, bewaartermijnen en controle van verwijdering: afzonderlijk vast te leggen; zij vallen ook onder de overeengekomen verwijdergrenzen.
Technische logs: categorieën, criteria en termijn: ........................................
Zorgtoegangslogs: toepasselijke regels en termijn: ........................................
Beveiligingscontact, escalatie en bereikbaarheidsregeling: ........................................

Acceptatie

Deze bijlage wordt ingevuld en samen met het pakket overeengekomen vóór verwerking van zorggegevens. Onbekende landen of toegangsrechten worden niet verondersteld. Het feit dat hosting in Duitsland staat bewijst niet dat alle verwerking of leverancierssupport uitsluitend binnen de EER plaatsvindt. Ondertekening of aantoonbare elektronische acceptatie: ........................................

Juridische bronnen bij deze versie

Deze afspraken sluiten aan bij Burgerlijk Wetboek Boek 6 (onder meer consumentenovereenkomsten op afstand en algemene voorwaarden), Burgerlijk Wetboek Boek 7 (digitale diensten), de invoering van de online herroepingsfunctie en de Europese Dataverordening, hoofdstuk VI. Praktische uitleg: ACM over bedenktijd en ACM over clouddiensten. Controle van deze versie: 17 oktober 2026. Deze bronverwijzingen vervangen de toepasselijke wet niet.