Privacy policy en Privacy Reglement

De Privacy Policy voor Bezoekers geldt voor iedereen die de website www.fysiopointdruten.nl bezoekt.

1. Beheer
De website www.fysiopointdruten.nl staat onder beheer van FysioPoint Druten. De contactgegevens zijn te vinden op voornoemde website.

2. Gegevens van bezoekers
2a Gegevens die voortkomen uit één of meer bezoeken aan www.fysiopointdruten.nl worden niet bewaard en de gegevens zullen dus nooit te herleiden zijn naar een persoon of organisatie.

3. Cookies
3a FysioPoint Druten maakt geen gebruik van functionele cookies om de functionaliteit van bepaalde pagina's van de website te optimaliseren. Cookies zijn kleine tekstbestanden die door een pagina van de website op de computer van de bezoeker worden geplaatst. In zo'n cookie wordt informatie opgeslagen zoals bepaalde voorkeuren van de bezoeker.

4. Vragen
Bezoekers kunnen met hun vragen over deze Privacy Policy terecht bij FysioPoint Druten. De contactgegevens staan vermeld op de website die genoemd wordt in lid 1 van deze Privacy Policy.

5. Disclaimer

5.1. Aansprakelijkheid
De inhoud op de website/webpagina is van algemene informatieve aard. Aan de informatie kunnen geen rechten worden ontleend.
• U bepaalt zelf de waarde van de informatie voor uw eigen situatie. U blijft zelf verantwoordelijk voor de acties die u onderneemt of laat aangaande uw gezondheid. We raden overigens vrijblijvend aan om een huisarts te raadplegen als u informatie en advies wilt hebben aangaande uw specifieke situatie. De eigenaar van deze website aanvaardt geen aansprakelijkheid voor enige schade die zou kunnen voortkomen uit het gebruik van informatie, links of richtlijnen op deze website.
• De website/webpagina bevat hyperlinks naar websites van derden, waarover de eigenaar van deze website geen zeggenschap heeft en er derhalve niet voor in kan staan dat de inhoud van deze websites juist, volledig en actueel is.
• De eigenaar van deze website is niet aansprakelijk voor welke schade dan ook, direct of indirect, die op enige wijze is ontstaan of voortvloeit uit:
• het gebruik van de website/webpagina en de inhoud, of de wijziging of de niet beschikbaarheid van de website en de inhoud;
• het gebruik van hyperlinks naar websites van derden en de inhoud, of de niet beschikbaarheid van de hyperlinks.

5.2. Intellectuele eigendom
De auteursrechten op de website/webpagina(s) berusten bij de eigenaar van de website, tenzij anders aangegeven. Het is toegestaan de inhoud voor persoonlijk gebruik te downloaden of te printen. Het is uitdrukkelijk niet toegestaan (een gedeelte of gedeeltes van) de inhoud voor andere doeleinden te gebruiken en in het bijzonder niet voor commerciële exploitatie. Ongeautoriseerd of oneigenlijk gebruik van de webpagina of de inhoud daarvan kan een inbreuk opleveren op intellectuele eigendomsrechten en/of in strijd zijn met wet- en regelgeving op onder meer het gebied van privacy.

(versie 2014)

De Privacy Policy voor Klanten is een aanvulling op de Privacy Policy voor Bezoekers en geldt voor iedereen die een bestelling/vraag plaatst bij FysioPoint Druten.

5.3. Gegevens die door de klant verstrekt worden
FysioPoint Druten kan de gegevens die door de klant verstrekt worden voor de volgende doeleinden gebruiken:
3a Het verwerken van het contactformulier om met u in contact te komen.
3b Het sturen van één of meerdere mails die betrekking hebben op het bestelde/gevraagde, zoals, maar niet beperkt tot, een mail waarin gegevens vermeld staan.
3c Het (incidenteel) onder de aandacht brengen van een product, tip, handigheid etcetera, waarvan FysioPoint Druten denkt dat het kan bijdragen tot een meer succesvolle website voor de klant.

5.4. Gegevens verstrekken aan derden
Gegevens die door de klant aan FysioPoint Druten zijn verstrekt zullen nooit aan derden worden doorgegeven. Er zijn echter twee uitzonderingen op deze regel:
2a Wanneer er een gerechtelijk bevel is uitgevaardigd om gegevens te verstrekken.
2b Bij de registratie van een domeinnaam moeten bepaalde gegevens worden doorgegeven aan de betreffende registrerende instantie. Voorbeelden van zo'n registrerende instantie zijn onder meer (maar niet beperkt tot): SIDN (voor .nl-domeinnamen), RealTimeRegistrer ( RTR ), EURid (voor .eu-domeinnamen) en DNS.be (voor .be-domeinnamen).

5.5. Beveiliging
De gegevens die de klant aan FysioPoint Druten verstrekt, worden in een beveiligde omgeving opgeslagen.

5.6. Aanpassing van klantgegevens
De klant heeft te allen tijde de mogelijkheid om de verstrekte gegevens te wijzigen. FysioPoint Druten kan de klant in een dergelijk geval vragen om de wijziging op een door FysioPoint Druten voorgeschreven wijze door te geven en in sommige gevallen kan legitimatie worden verlangd.

Privacy Reglement.

NEDERLANDSE VERENIGING VOOR ACUPUNCTUUR

I. Algemene beginselen bij het verwerken van persoonsgegevens

I.1. Onder De Algemene Verordening Gegevens- bescherming (AVG) hebben alle organisaties die persoonsgegevens verwerken een verantwoordingsplicht, wat inhoudt dat men moet kunnen aantonen dat men handelt in overeenstemming met de AVG. Men toont dit o.a. aan d.m.v. een privacybeleid en een register van verwerkings- activiteiten. Verantwoordelijke binnen Nederland voor toezicht op naleving van de AVG is de Autoriteit Persoonsgegevens (AP).

I.2. De bestaande regels over privacy worden door de AVG bevestigd en op onderdelen versterkt.
De volgende wetten blijven gelden:
1. Wet op de geneeskundige behandelingsovereenkomst (WGBO);
2. Wet kwaliteit, klachten en geschillen zorg (Wkkgz);
3. Wet op de beroepen in de individuele gezondheidszorg (Wet BIG);
4. Zorgverzekeringswet (Zvw);
5. Wet marktordening gezondheidszorg (Wmg);
6. Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg.

De AVG-regels bestaan naast de huidige regels voor het medisch beroepsgeheim.

I.3. Persoonsgegevens zijn gegevens van identificeerbare natuurlijke personen (‘betrokkenen’).
Persoonsgegevens mogen alleen worden verwerkt als dit gebeurt op basis van ten minste één van de volgende grondslagen:
1. er is ondubbelzinnig en actief toestemming van de betrokkene (art. VII.1.);
2. de verwerking is noodzakelijk voor
- de uitvoering van een overeenkomst waar de betrokkene partij bij is;
- voldoen aan ene wettelijke verplichting;
- bescherming van vitale belangen;
- vervulling van een taak van algemeen belang of publiekelijke taak;
- behartiging van een gerechtvaardigd belang (bijvoorbeeld een goede bedrijfsvoering).

I.4. Persoonsgegevens moeten:
1. worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is;
2. voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt (doelbinding, zie art. III);
3. toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt;
4. juist zijn en zo nodig worden geactualiseerd.

I.5. De gegevens moeten niet langer dan noodzakelijk worden bewaard in een vorm die herleidbaar is naar personen.

II. Verwerking van persoonsgegevens

II.1. De AVG brengt verplichtingen met zich mee voor de verantwoordelijke, dat is degene die formeel/ juridisch de bevoegdheid heeft om te bepalen dat er persoonsgegevens worden verwerkt en met welk doel dat gebeurt. In het privacy beleid (art. II.2.), Register van Verwerking activiteiten (art. II.3.) en de privacyverklaring (art. VI) wordt vastgelegd wie de verantwoordelijke is en hoe deze te bereiken.

II.2. In het privacy beleid staat beschreven hoe de technische en organisatorische bescherming van persoonsgegevens is uitgewerkt.

II.3. De zorgaanbieder heeft een Register van Verwerkingsactiviteiten, waarmee de verant- woordelijke kan voldoen aan de verantwoordingsplicht die onder de AVG geldt. Dit register bevat:
1. de verantwoordelijke voor de gegevens- verwerking en diens contactgegevens;
2. doeleinden waarvoor de persoonsgegevens worden verwerkt;
3. de categorieën van persoonsgegevens die verwerkt worden;
4. de categorieën van personen waarvan persoonsgegevens worden verwerkt;
5. met welke andere partijen de gegevens worden gedeeld;
6. informatie over eventuele doorgifte van gegevens naar landen buiten de EU;
7. de bewaartermijn van de gegevens;
8. de manieren waarop gegevens technisch en organisatorisch zijn beveiligd.

II.4. Bij vrijgevestigde acupuncturisten zal de verantwoordelijke in de solopraktijk en de praktijk met één werkgever en een of meerdere medewerkers altijd de vrijgevestigde acupuncturist zelf zijn. In een maatschap of instelling is dit afhankelijk van de wijze waarop de taken en bevoegdheden geregeld zijn.

II.5. Organisaties kunnen onder de AVG verplicht zijn een functionaris voor gegevensbescherming aan te stellen.

II.6. Organisaties kunnen onder de AVG verplicht zijn een Data Protection Impact Assessment (DPIA) uit te voeren, een instrument om vooraf de privacy risico’s van gegevensverwerking in kaart te brengen, indien er sprake is van een hoog privacy risico. (zie Autoriteit Persoonsgegevens).

II.7. Begrippen Privacy by default & Privacy by design:
a. Privacy by default: bij het ontwerpen van producten en diensten wordt rekening gehouden met bescherming van persoonsgegevens, beperking van de hoeveelheid en bewaar- termijn van de persoonsgegevens;
b. Privacy by design: technische en organisatorische maatregelen die ervoor zorgen dat alleen persoonsgegevens worden verwerkt voor het specifiek omschreven doel.

III. Doelbinding en verwerking

III.1. De verwerking van patiëntgegevens geschiedt slechts voor:
a. de beroepsuitoefening als acupuncturist.
b. het berekenen, vastleggen en innen van de vergoeding voor de behandeling, waaronder begrepen het in handen stellen van derden van vorderingen.
c. het behandelen van geschillen en het doen uitoefenen van accountantscontrole.
d. het verrichten van wetenschappelijk of statis- tisch onderzoek.
e. intercollegiaal (studie)overleg, waarbij de gegevens niet herleidbaar zijn tot de betreffende persoon.

III.2. De verwerking van persoonsgegevens bevat geen andere gegevens dan:
1. naam, titulatuur, geslacht, geboortedatum, adres, telefoonnummer of andere communicatiegegevens, bankrekening van de betrokken patiënten.
2. een administratienummer.
3. bij minderjarige patiënten: gegevens van ouders, verzorgers, etc.
4. eventueel gegevens van familieleden of anderen, die worden ingelicht over de gezondheidstoestand van de patiënt (dit kan overigens alleen met toestemming van de patiënt).
5. gegevens betreffende de gezondheidstoestand van de patiënt, en in geval van erfelijke aandoeningen, diens familieleden.
6. gegevens betreffende de gevolgde en te volgen behandeling, alsmede de verstrekte medicamenten of voorzieningen.
7. gegevens betreffende het berekenen, vastleggen en innen van vergoedingen.
8. gegevens betreffende de verzekering.
9. andere gegevens noodzakelijk met het oog op de beroepsuitoefening.

III.3. De persoonsgegevens worden slechts verstrekt aan:
1. degene die rechtstreeks betrokken is bij de uitvoering van de behandeling van de patiënt (voor zover noodzakelijk);
2. degene die optreedt als vervanger van de verantwoordelijke (voor zover noodzakelijk);
3. zorgverzekeraars, voor zover noodzakelijk met het oog op verplichtingen uit de verzekerings- overeenkomst;
4. onderzoekers als bedoeld in artikel 7.458 BW (WGBO = Wet Geneeskundige Behandelings- overeenkomst);
5. derden die belast zijn met het innen van vorderingen, voor zover de verstrekking daarvoor noodzakelijk is en geen medische gegevens bevat.

III.4. Verwerkersovereenkomsten:
1. De zorgaanbieder sluit schriftelijke verwerkers- overeenkomsten met derden die persoons- gegevens verwerken;
2. De verwerkersovereenkomst dient te voldoen aan de eisen van de AVG;
3. Tevens dient de zorgaanbieder te loggen wie toegang heeft gehad tot de persoonsgegevens;
4. De patiënt heeft recht van inzage in deze gegevens. (zie VII.2.)

III.5. Persoonsgegevens ten behoeve van wetenschappelijk onderzoek kunnen alleen dan zonder toestemming van de geregistreerde worden verstrekt, indien aan alle van de volgende voorwaarden is voldaan:
1. het vragen van de gerichte toestemming in redelijkheid is niet mogelijk;
2. het onderzoek dient een algemeen belang;
3. het onderzoek kan niet worden uitgevoerd zonder de desbetreffende gegevens;
4. de persoonlijke levenssfeer van de patiënt wordt daardoor niet onevenredig geschaad en het staat vast dat het onderzoek niet in de vorm van tot de patiënt herleidbare gegevens zal worden gepresenteerd;
5. het onderzoek wordt verricht conform een op de onderzoeker betrekking hebbende gedrags- code en nadat een onafhankelijke commissie hierover positief heeft geadviseerd. Indien aan deze voorwaarden is voldaan, dienen er voorts tussen de houder en onderzoeker schrif- telijk afspraken te zijn gemaakt over de i.v.m. de bescherming van de persoonlijke levenssfeer van geregistreerden te treffen maatregelen en dient de houder zich in deze zin in voldoende mate jegens de geregistreerde tegen aansprakelijkheid te hebben gevrijwaard.

IV. Toegang tot persoonsgegevens/geheimhouding

IV.1. Onverminderd eventuele wettelijke voorschriften ter zake hebben slechts toegang tot de persoonsgegevens de behandelaar, degene die voor hem waarneemt, alsmede t.b.v. in de praktijk werkzame personen voor zover deze in het kader van hun werk daartoe zijn gemachtigd door de houder.

IV.2. De gegevens dienen beveiligd te worden tegen inzage door derden.

IV.3. De behandelaar moet passende technische en organisatorische maatregelen nemen om het verlies van gegevens of onrechtmatige verwerkingen tegen te gaan. Bijvoorbeeld door wacht- woordbeveiliging op de computer, toegangsbevei- liging of het gebruik van firewalls bij koppeling van het systeem met het Internet.

IV.4. De acupuncturist dient te voldoen aan de Wet Meldplicht Datalekken door een registratie bij te houden van datalekken en melding te doen bij de Autoriteit Persoonsgegevens, indien en zodra sprake zou zijn van een ernstig datalek. Er is sprake van een datalek als er een inbreuk is op de beveiliging van persoonsgegevens. In bepaalde gevallen moet het datalek ook gemeld worden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt).

IV.5. De behandelaar dient alles wat hij met de patiënt bespreekt vertrouwelijk te behandelen (beroepsgeheim). Alleen eventuele andere behandelaars mogen op de hoogte zijn van de gegevens. Voor informatieverstrekking aan derden dient de patiënt toestemming te geven.

IV.6. Uitzonderingen op het beroepsgeheim zijn: als er toestemming is van de patiënt, als een andere wet het expliciet voorschrijft, als er sprake is van een noodsituatie. Deze noodsituatie kan bestaan uit het ontstaan van een levensbedreigende situatie voor de patiënt of van risico op ernstige schade aan de omgeving van de patiënt. Zie art. IX.2. Meldplicht IGZ, Meldcode Huiselijke geweld en kindermishandeling.

V. Bewaartermijn, overdracht van registratie en vernietiging van opgenomen gegevens

V.1. De algemene bewaartermijn van een medisch dossier is 15 jaar, te rekenen vanaf het tijdstip waarop het dossier is vervaardigd, of zoveel langer als redelijkerwijs uit de zorg van een goede hulpverlener voortvloeit. Vernietiging van dossiers geschiedt op gedegen wijze.

V.2. De geregistreerde wordt tijdig in kennis gesteld van het voornemen tot overdracht van de registratie(s) aan een andere belanghebbende, bijvoorbeeld bij beëindiging of overname praktijk, opdat tegen overdracht van op zijn persoon betrekking hebbende gegevens bezwaar kan worden gemaakt.

V.3. Bij ontstentenis van de praktijkhouder gaan de verplichtingen met betrekking tot de persoons- gegevens over op een eventuele opvolger of degene die wettelijk verantwoordelijk is voor de eigendommen van de praktijkhouder, bijvoorbeeld bewindvoerder, erfgenaam of executeur testa- mentair.

V.4. Indien de betreffende gegevens zodanig zijn bewerkt dat herleiding tot individuele personen redelijkerwijs onmogelijk is, kunnen zij in geanonimiseerde vormen bewaard blijven (WGBO).

VI. Informatieplicht en privacyverklaring

VI.1. De behandelaar dient de patiënt te informeren over de verwerking van zijn persoonsgegevens, hem te wijzen op zijn rechten met betrekking tot deze verwerking, en hoe wordt omgegaan met datalekken.

VI.2. Deze gegevens worden bij voorkeur opgenomen in een privacyverklaring, die de volgende onderwerpen bevat:
1. de verantwoordelijke voor de gegevens- verwerking en diens contactgegevens;
2. welke persoonsgegevens worden verwerkt;
3. doel en grondslag van de gegevensverwerking;
4. de bewaartermijn van de gegevens;
5. met welke andere partijen de gegevens worden gedeeld;
6. welke rechten patiënten hebben omtrent hun gegevensverwerking;
7. hoe patiënten deze rechten kunnen uitoefenen.

VI.3. Privacyverklaring, behandelovereenkomst en algemene voorwaarden:
Het strekt tot aanbeveling naast de privacy- verklaring in de praktijk gebruik te maken van een schriftelijke behandelovereenkomst en algemene voorwaarden, bijvoorbeeld te publiceren op de eigen website. De inhoud van deze drie documenten dient op elkaar aan te sluiten.

VII. Rechten van betrokkenen
De patiënt wordt voorafgaand aan de eerste behandeling attent gemaakt op de privacyverklaring, vermeld op de praktijkwebsite en/of in de praktijkfolder. Hierin worden de rechten van betrokkenen vastgelegd:
VII.1. Toestemming (art. I.3.a.):
a. De patiënt dient voorafgaand aan de behandeling expliciet en aantoonbaar toestemming te geven om de persoonsgegevens te verwerken;
b. De patiënt wordt geïnformeerd op welke wijze hij de toestemming kan intrekken.

VII.2. Recht van inzage.
1. De patiënt heeft het recht te weten of en welke persoonsgegevens worden verzameld en voor welk doel;
2. Hij heeft recht op een kopie van de verwerkte gegevens (op papier of digitaal).
3. De gevraagde inzage dient binnen een maand te geschieden. Indien dit niet mogelijk is moet binnen een maand de reden daarvan worden gegeven.
4. Voor het tegemoetkomen aan het recht van inzage en het recht op dataportabiliteit (zie VII.5.) mogen geen kosten in rekening worden gebracht, tenzij het verzoek duidelijk ongegrond is of excessief.

VII.3. Recht van rectificatie:
1. De patiënt heeft het recht te verlangen dat onjuiste of achterhaalde persoonsgegevens worden gecorrigeerd en/of aangevuld;
2. Als de behandelaar daar niet op wil ingaan moet hij dit motiveren. De patiënt kan ook zijn eigen visie opschrijven: de behandelaar dient dit aan het dossier toe te voegen (WGBO);
3. Als de patiënt de juistheid van gegevens betwist, moet de verwerking daarvan (tijdelijk) worden beperkt;
4. Indien een deel van de gegevens uit het medisch dossier wordt verwijderd, kan daarvan een aantekening in het dossier worden gemaakt;
5. Aanvulling en rectificaties dient de zorgaanbieder ook door te geven aan andere ontvangers/ verwerkers van de betreffende persoonsgegevens.

VII.4. Recht van gegevensverwijdering:
1. De patiënt heeft het recht om zijn persoons- gegevens te laten wissen, indien de gegevens feitelijk onjuist, onvolledig of niet ter zake dienend zijn voor het doel of de doeleinden van verwerking;
2. Het wissen van gegevens moet zonder onredelijke vertraging en binnen vier weken worden uitgevoerd, tenzij de gegevens nog nodig zijn voor het leveren van zorg of anderszins uitvoeren van de behandelovereenkomst (bijvoorbeeld declareren);
3. De zorgaanbieder die een verzoek om gegevensverwijdering afwijst, meldt dit gemotiveerd, bij voorkeur schriftelijk, aan de patiënt;
4. Andere ontvangers van de persoonsgegevens moeten op de hoogte worden gebracht van de gegevenswissing. Er geldt echter geen verplichting om dit bij hen af te dwingen.

VII.5. Recht op overdraagbaarheid van gegevens (dataportabiliteit):
Gewijzigde versie n.a.v. LV 2018.

a. Op verzoek moeten de persoonsgegevens van een patiënt aan hem of een derde worden verstrekt in een vorm die gebruik door of doorgeven aan een andere organisatie mogelijk maakt;
b. Dit recht is van toepassing op de persoons- gegevens die de patiënt zelf actief en bewust heeft verstrekt en de gegevens die de patiënt indirect heeft verstrekt door gebruik van een meetinstrument, vragenlijst of die voorkomen uit observatie;
c. Dit recht is niet van toepassing op bijvoorbeeld Vorige wijziging n.a.v. LV 2017. Conclusies, diagnoses, vermoedens of behandel- plannen, door de zorgverlener vastgesteld op basis van door de patiënt verstrekte gegevens.
d. De inwilliging van dit verzoek kan slechts worden geweigerd op grond van een wettelijk voorschrift dan wel worden opgeschort voor zover de behandelaar jegens de financier van de verleende zorg tot bewaring gehouden is of indien ter zake van die zorg een geschil aanhangig is gemaakt of dreigt te worden gemaakt.

VIII. Klachten

Indien de geregistreerde van mening is dat de bepalingen van dit reglement niet worden nage- leefd of andere reden heeft tot klagen, dient hij zich te wenden tot de NVA. De klacht wordt ver- volgens doorgegeven aan de Klachtenfunctionaris of het College van Toezicht NVA. De geregistreerde heeft tevens het recht een klacht in te dienen bij de Autoriteit Persoons- gegevens, indien hij van mening is dat de verwerking van zijn gegevens niet in overeen- stemming is met de AVG.

IX. Slotbepaling

IX.1. Onverminderd eventuele wettelijke bepalingen is dit reglement van kracht gedurende de gehele looptijd van de registratie(s).

IX.2. Verder wordt verwezen naar:
- De Statuten en overige reglementen van de NVA;
- Vigerende wetgeving: o.a. Wet Bescherming Persoonsgegevens (tot 25-05-2018), Algemene Verordening Gegevensbescherming (na 25-05- 2018), Wet Meldplicht Datalekken, Wet kwaliteit, klachten en geschillen zorg (Wkkgz), Meldplicht IGZ, Meldcode Huiselijk Geweld en Kindermishandeling.

IX.3. Voorstellen tot wijziging van dit reglement dienen te worden bekrachtigd door de leden- vergadering van de NVA. De wijzigingen in het reglement zijn van kracht per de datum van de ledenvergadering, met uitzondering van de wijzigingen goedgekeurd per de LV 2018, die ingaan per 25-05-2018 met het inwerking treden van de Algemene Verordening Gegevensbescherming (AVG).

IX.4. Het Privacyreglement kan worden ingezien op de NVA-website. Gewijzigde versie n.a.v. LV 2018. Vorige wijziging n.a.v. LV 2017.