Regie bij de praktijk,
beveiliging bij ons
Jullie bepalen wat erin staat, hoelang het blijft en wie het ziet. Wij verwerken de gegevens alleen op instructie, beveiligen ze en zijn daarvoor gecertificeerd volgens NEN 7510 en ISO 27001.
In het kort
- De praktijk is verwerkingsverantwoordelijke voor het dossier. MicroWare Automatisering B.V. is verwerker en werkt op instructie van de praktijk.
- Het zorgdashboard van zwangerenportaal.nl is de cliëntomgeving bij Onatal, een product van zwangerenportaal.nl B.V. Het valt onder dezelfde verwerkersovereenkomst en dezelfde certificaten.
- Het managementsysteem is gecertificeerd volgens NEN 7510-1:2024 en ISO/IEC 27001:2022 door TÜV NORD Nederland, geldig tot en met 6 maart 2029.
- De productieomgevingen staan in Londen, gedekt door het EU-adequaatheidsbesluit. Overige hosting en back-ups staan in de EU.
- Het dossier blijft van de praktijk. De praktijk bepaalt de bewaartermijn, met de wettelijke ondergrens van twintig jaar.
- Vragen over de verwerking kunnen rechtstreeks naar de functionaris gegevensbescherming via fg@onatal.nl.
Rollen en verantwoordelijkheid
Onatal verwerkt gevoelige medische en persoonsgegevens in opdracht van de verloskundigenpraktijk. De praktijk is verwerkingsverantwoordelijke voor het dossier. Dat betekent dat de praktijk bepaalt welke gegevens zij vastlegt, met welk doel, hoelang zij ze bewaart en wie erbij mag. Zij informeert haar cliënten daarover en beantwoordt hun verzoeken.
MicroWare Automatisering B.V. is verwerker. Wij verwerken de gegevens alleen op instructie van de praktijk, beveiligen ze, en helpen de praktijk bij haar verplichtingen, zoals een DPIA of een verzoek van een cliënt. Wij nemen zelf geen beslissingen over de inhoud van het dossier en gebruiken de gegevens niet voor eigen doelen.
Certificering
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. Zij beschrijft hoe een organisatie die zorggegevens verwerkt haar informatiebeveiliging inricht, van toegangsbeheer en logging tot leveranciersbeheer en incidentafhandeling. Een onafhankelijke auditor controleert ieder jaar of wij daaraan voldoen. Jullie hoeven dat dus niet zelf te doen.
Het managementsysteem is gecertificeerd door TÜV NORD Nederland. De certificaten gelden voor MicroWare Automatisering B.V., Orfeus B.V. en zwangerenportaal.nl B.V., alle onder M. Link B.V.
Dezelfde organisatie en dezelfde maatregelen zijn ook gecertificeerd volgens ISO/IEC 27001, de internationale norm voor informatiebeveiliging.
NEN 7510-1:2024
Registratienummer CERT-003443-TN. Geldig van 14 september 2026 tot en met 6 maart 2029. Eerste certificatie op 9 juli 2018. Het certificaat sluit aan op de verklaring van toepasselijkheid versie 202606261226 van 26 juni 2026.
Toepassingsgebied: informatiebeveiliging bij softwareontwikkeling en elektronische gegevensuitwisseling voor zorginstellingen, zorgaanbieders en zorgontvangers, waarbij de hosting is uitbesteed.
ISO/IEC 27001:2022/Amd 1:2024
Registratienummer CERT-003444-TN. Geldig van 14 september 2026 tot en met 6 maart 2029. Eerste certificatie op 10 augustus 2026. Dezelfde verklaring van toepasselijkheid.
Toepassingsgebied: informatiebeveiliging bij softwareontwikkeling en elektronische gegevensuitwisseling voor zorginstellingen en zorgaanbieders, waarbij de hosting is uitbesteed.
NEN 7510-certificaat ISO 27001-certificaat
Verwerkersovereenkomst
De verwerkersovereenkomst van MicroWare Automatisering B.V. (versie 5.0, 27 mei 2024) hoort bij het klantcontract. Hebben jullie hem niet meer bij de hand, dan sturen we hem op verzoek opnieuw toe via het supportkanaal of het contactformulier.
De belangrijkste afspraken:
- MicroWare verwerkt persoonsgegevens op instructie van de praktijk.
- Bij een voorgenomen wijziging van subverwerkers informeren we de praktijk. De praktijk kan binnen dertig dagen schriftelijk bezwaar maken.
- Een datalek melden we zo snel mogelijk, en in ieder geval binnen 48 uur nadat we er kennis van nemen.
- Na afloop van de verwerking wissen we de persoonsgegevens of geven we ze terug, voor zover de wet dat toelaat.
- Op de overeenkomst is Nederlands recht van toepassing.
- Het NEN 7510-certificaat dient als bewijs van de beveiligingsmaatregelen.
- Het cliëntportaal, via zwangerenportaal.nl B.V., wordt alleen aangeboden als de cliënt daar toestemming voor geeft. Zij kan die toestemming intrekken.
Het zorgdashboard en jullie dossier
Het zorgdashboard van zwangerenportaal.nl is de cliëntomgeving bij Onatal. Jullie cliënt ziet daarin het dossier, de echo's, de afspraken, de bestanden en de chat die jullie met haar delen. Het dashboard is een product van zwangerenportaal.nl B.V., een zustervennootschap van MicroWare Automatisering B.V. onder M. Link B.V. Het valt onder hetzelfde managementsysteem en dezelfde NEN 7510- en ISO 27001-certificaten.
Wie doet wat
| Partij | Rol | Wat dat betekent |
|---|---|---|
| De praktijk | Verwerkingsverantwoordelijke voor het dossier | Bepaalt wat zij met de cliënt deelt, hoelang zij het dossier bewaart en wie erbij mag. |
| MicroWare Automatisering B.V. | Verwerker van het EPD | Verwerkt het dossier op instructie van de praktijk en beveiligt het. |
| zwangerenportaal.nl B.V. | Verwerker van de cliëntomgeving | Toont het dossier aan de cliënt op instructie van de praktijk. Is zelf verantwoordelijk voor het account op zwangerenportaal.nl en voor de eigen diensten, zoals de website, de weekmail en de cursussen. |
Geen aparte verwerkersovereenkomst
Het zorgdashboard heeft geen eigen verwerkersovereenkomst. De afspraak over het cliëntportaal staat in de verwerkersovereenkomst van MicroWare Automatisering B.V. (versie 5.0, 27 mei 2024). Daarin staat de instructie dat het portaal alleen wordt aangeboden als de cliënt daar toestemming voor geeft, en dat zij die toestemming kan intrekken. Het zorgdashboard is de cliëntomgeving van datzelfde portaal en valt onder diezelfde instructie.
Het dossier blijft in Onatal
Het dashboard toont wat jullie delen. Jullie bepalen per onderdeel wat de cliënt ziet. De cliënt bekijkt het dossier en wijzigt het niet. Een gedeeld dossier accepteert zij zelf. Stopt het delen of ontkoppelt de praktijk, dan vervalt de inzage. Het dossier blijft bij jullie in Onatal.
Het account op zwangerenportaal.nl is van de cliënt, niet van de praktijk, en blijft bestaan. Stapt een cliënt over naar een andere praktijk, dan verhuist het dossier niet mee. De nieuwe praktijk nodigt uit, koppelt en deelt haar eigen dossier.
Dossier en marketing
Onder Zorg staan het dossier, de afspraken, de echo's, de bestanden en de chat. Het magazine, de weekmail en het cursusportaal zijn eigen diensten van zwangerenportaal.nl op dezelfde site.
De inhoud van het dossier wordt niet gebruikt voor marketing, profilering of advertenties, en wordt niet verkocht.
Contact over het zorgdashboard
Vragen over de verwerking in de cliëntomgeving kunnen naar de functionaris gegevensbescherming van zwangerenportaal.nl B.V., via fg@zwangerenportaal.nl. Zij is bij de Autoriteit Persoonsgegevens aangemeld onder nummer FG0015899. Vragen van cliënten over hun account, zoals het opzeggen, lopen via zwangerenportaal.nl.
Subverwerkers
Actueel overzicht van 7 oktober 2026. Dit is de publieke lijst voor Onatal. Een wijziging melden we volgens de verwerkersovereenkomst.
| Subverwerker | Dienst | Locatie |
|---|---|---|
| Linode (Akamai) | Hosting van productieomgevingen | Londen, Verenigd Koninkrijk (EU-adequaatheidsbesluit) |
| Tilaa | Hosting | EU |
| Scaleway | Hosting | EU |
| DigitalOcean | Hosting | EU |
| NorthC | Datacenter | EU |
| AWS (Amazon) | Versleutelde back-up | EU-regio |
| Backblaze | Back-upopslag | EU |
| Eigen mailserver | EU | |
| SendGrid (Twilio) | Transactionele e-mail | EU |
| MessageBird (Bird) | Sms en tweestapsverificatie | Nederland |
| HINQ | Gegevensuitwisseling geboortezorg (Babyconnect) | EU |
| Topicus Healthcare | VIPLive-declaraties | EU |
| Mollie | Betalingen voor cursussen op zwangerenportaal.nl | EU, Mollie is zelf verwerkingsverantwoordelijke |
Linode (Akamai) host de productieomgevingen in Londen. Het Verenigd Koninkrijk valt onder een EU-adequaatheidsbesluit. De overige hosting en de back-ups staan in de EU.
Mollie is zelf verwerkingsverantwoordelijke voor de betaalgegevens: Mollie bepaalt zelf hoe zij die verwerkt, zoals bij iedere betaaldienst. Dat raakt het dossier niet.
Beveiliging in de praktijk
- Inloggen gebeurt met tweestapsverificatie via sms.
- Back-ups zijn versleuteld en staan in de EU.
- Toegang tot cliëntgegevens loggen we conform NEN 7513. Jullie kunnen via het supportkanaal een overzicht van die logging opvragen.
- TÜV NORD Nederland controleert het managementsysteem ieder jaar.
- Beveiligingsonderzoekers melden een kwetsbaarheid via het responsible-disclosurebeleid.
Melden en contact
Een datalek melden we aan de praktijk zo snel mogelijk, en in ieder geval binnen 48 uur nadat we er kennis van nemen. We melden wat er is gebeurd, welke gegevens het raakt en welke maatregelen we nemen. De praktijk beoordeelt vervolgens als verwerkingsverantwoordelijke of een melding bij de Autoriteit Persoonsgegevens nodig is. Daarvoor geldt een termijn van 72 uur.
Vermoeden jullie zelf een incident, bijvoorbeeld een verloren apparaat of een verdachte inlogpoging, meld dat dan via het supportkanaal of rechtstreeks aan de functionaris gegevensbescherming. Een kwetsbaarheid in de software gaat via het responsible-disclosurebeleid.
Functionaris gegevensbescherming
Joanne van Eenennaam LL.M., via WiseMen Advocaten. fg@onatal.nl. Aangemeld bij de Autoriteit Persoonsgegevens voor MicroWare Automatisering B.V. onder nummer FG0015900 (17 maart 2024).
MicroWare Automatisering B.V.
Leeuwenhoekstraat 1, 2652 XL Berkel en Rodenrijs. Kamer van Koophandel 24437393.
Veelgestelde vragen over privacy en veiligheid
Antwoorden op de vragen die praktijken en hun functionaris gegevensbescherming ons het vaakst stellen. Elke vraag heeft een eigen link, zodat je er direct naar kunt verwijzen.
Rollen en afspraken
Wie is verwerkingsverantwoordelijke en wie is verwerker?
De praktijk is verwerkingsverantwoordelijke voor het dossier. MicroWare Automatisering B.V. is verwerker.
Als verantwoordelijke bepalen jullie het doel en de grondslag van de verwerking, informeren jullie cliënten en stellen jullie de bewaartermijn vast. Als verwerker verwerken wij de gegevens alleen op jullie instructie, beveiligen we ze en helpen we jullie bij verplichtingen zoals een DPIA of een verzoek van een cliënt.
Die rolverdeling staat vast in de verwerkersovereenkomst.
Is er een verwerkersovereenkomst en hoe krijgen wij die?
Ja. De verwerkersovereenkomst van MicroWare Automatisering B.V., versie 5.0, 27 mei 2024, hoort bij het klantcontract en is bij het aangaan van het contract getekend.
De belangrijkste afspraken zijn de instructiebasis, de meldtermijn van 48 uur bij een datalek, de dertig dagen bezwaartermijn bij een nieuwe subverwerker en het wissen of teruggeven van gegevens na afloop.
Hebben jullie het document niet meer bij de hand, vraag het dan op via het supportkanaal of het contactformulier. We sturen het opnieuw toe.
Wie maakt de DPIA en helpen jullie daarbij?
De DPIA is de verantwoordelijkheid van de praktijk, omdat jullie verwerkingsverantwoordelijke zijn. De verwerkersovereenkomst verplicht ons om daarbij te helpen.
Wij leveren de informatie die jullie nodig hebben over de verwerking, de subverwerkers, de opslaglocaties en de beveiligingsmaatregelen. Veel daarvan staat al op deze pagina.
Voor aanvullende vragen van jullie functionaris gegevensbescherming kunnen jullie terecht bij fg@onatal.nl.
Van wie is het dossier en hoelang bewaren jullie het?
Het medische dossier is en blijft van de praktijk. Jullie bepalen de bewaartermijn. De wettelijke ondergrens uit de WGBO is twintig jaar na de laatste wijziging.
MicroWare wist of wijzigt niets op eigen initiatief. Eindigt de dienstverlening, dan geven we de gegevens terug of wissen we ze, zoals de verwerkersovereenkomst voorschrijft en voor zover de wet dat toelaat.
Gegevens, opslag en beveiliging
Waar staan de gegevens?
De productieomgevingen draaien bij Linode (Akamai) in Londen. Het Verenigd Koninkrijk valt onder een adequaatheidsbesluit van de Europese Commissie.
Dat betekent dat de Europese Unie het beschermingsniveau daar gelijkwaardig acht aan dat in de EU, zodat gegevens er onder de AVG mogen staan zonder aanvullende afspraken. De overige hosting, het datacenter en de versleutelde back-ups staan in de EU.
Het volledige overzicht staat in de tabel met subverwerkers.
Welke subverwerkers gebruiken jullie en hoe horen wij van wijzigingen?
Het actuele overzicht staat op deze pagina, met de datum erbij.
Willen we een subverwerker toevoegen of vervangen, dan informeren we jullie vooraf. Jullie hebben dertig dagen om schriftelijk bezwaar te maken. Maken jullie bezwaar, dan zoeken we samen naar een oplossing voordat de wijziging ingaat.
De lijst op deze pagina is leidend en recenter dan de bijlage bij de getekende verwerkersovereenkomst.
Welke certificaten hebben jullie en wat zeggen die?
NEN 7510-1:2024, CERT-003443-TN, en ISO/IEC 27001:2022/Amd 1:2024, CERT-003444-TN. Beide zijn afgegeven door TÜV NORD Nederland en gelden tot en met 6 maart 2029.
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg; ISO 27001 is de internationale norm waarop zij voortbouwt. Een onafhankelijke auditor controleert ieder jaar of wij eraan voldoen.
Jullie kunnen de certificaten downloaden en opnemen in jullie eigen verantwoording, bijvoorbeeld bij een DPIA of een vraag van jullie functionaris gegevensbescherming.
Hoe loggen jullie toegang tot cliëntgegevens?
Iedere toegang tot cliëntgegevens wordt gelogd conform NEN 7513, de norm voor logging in de zorg. De logging legt vast wie wanneer welk dossier heeft geraadpleegd.
Hebben jullie een vraag over de toegang tot een specifiek dossier, bijvoorbeeld bij een klacht van een cliënt, dan kunnen jullie via het supportkanaal een overzicht opvragen.
Wat gebeurt er bij een datalek?
Wij melden een datalek aan de praktijk zo snel mogelijk, en in ieder geval binnen 48 uur nadat we er kennis van nemen. In die melding staat wat er is gebeurd, welke gegevens en cliënten het raakt en welke maatregelen we hebben genomen.
Als verwerkingsverantwoordelijke beoordelen jullie vervolgens of een melding bij de Autoriteit Persoonsgegevens nodig is. Daarvoor geldt een termijn van 72 uur na het moment waarop jullie van het lek weten.
Wij leveren de informatie die jullie voor die beoordeling en melding nodig hebben.
Het zorgdashboard
Wat is de rol van het zorgdashboard bij ons dossier?
Het zorgdashboard van zwangerenportaal.nl is de cliëntomgeving bij Onatal. Jullie cliënt ziet daarin het dossier, de echo's, de afspraken, de bestanden en de chat die jullie delen.
Het dashboard is een product van zwangerenportaal.nl B.V., een zustervennootschap van MicroWare Automatisering B.V. onder M. Link B.V. zwangerenportaal.nl B.V. is verwerker van die cliëntomgeving en toont het dossier op jullie instructie.
Het dossier zelf blijft in Onatal, bij jullie. Lees meer in Het zorgdashboard en jullie dossier.
Heeft het zorgdashboard een eigen verwerkersovereenkomst?
Nee. De afspraak over het cliëntportaal staat in de verwerkersovereenkomst van MicroWare Automatisering B.V. (versie 5.0, 27 mei 2024).
Daarin staat dat het portaal, via zwangerenportaal.nl B.V., alleen wordt aangeboden als de cliënt daar toestemming voor geeft, en dat zij die kan intrekken. Het zorgdashboard is de cliëntomgeving van datzelfde portaal en valt onder diezelfde instructie.
Een aparte overeenkomst is daarom niet nodig.
Worden dossiergegevens uit het zorgdashboard gebruikt voor marketing of advertenties?
Nee. De inhoud van het dossier wordt niet gebruikt voor marketing, profilering of advertenties, en wordt niet verkocht.
Onder Zorg staan het dossier, de afspraken, de echo's, de bestanden en de chat. Het magazine, de weekmail en het cursusportaal zijn eigen diensten van zwangerenportaal.nl op dezelfde site.
Wat ziet onze cliënt in het dashboard en wie bepaalt dat?
De cliënt ziet wat jullie delen. Jullie bepalen per onderdeel welke informatie zichtbaar is, zoals het dossier, de afspraken, de echo's en de bestanden.
De cliënt bekijkt die gegevens en wijzigt het medische dossier niet. Een gedeeld dossier accepteert zij zelf. Gegevens die de cliënt zelf invult, zoals een inschrijving of een intakeformulier, komen bij jullie terecht in opdracht van jullie praktijk.
Wat gebeurt er met het dossier als een cliënt de koppeling stopt of overstapt?
Het dossier blijft bij jullie in Onatal. Stopt het delen of ontkoppelt de praktijk, dan vervalt alleen de inzage in het dashboard.
Het account op zwangerenportaal.nl is van de cliënt, niet van de praktijk, en blijft bestaan. Stapt een cliënt over naar een andere praktijk, dan verhuist het dossier niet mee. De nieuwe praktijk nodigt uit, koppelt en deelt haar eigen dossier.
Bij wie kunnen cliënten terecht met vragen over hun account?
Het account wordt beheerd door zwangerenportaal.nl B.V. Vragen over het account, zoals het wijzigen van gegevens of het opzeggen, lopen via zwangerenportaal.nl.
Vragen over de verwerking in de cliëntomgeving kunnen naar de functionaris gegevensbescherming van zwangerenportaal.nl B.V., via fg@zwangerenportaal.nl, aangemeld onder nummer FG0015899.
Vragen over het dossier zelf blijven bij jullie praktijk.
Cliënten, melden en contact
Welke rechten heeft een cliënt en hoe handelen jullie een verzoek af?
Een cliënt heeft onder de AVG recht op inzage, correctie, verwijdering, beperking en overdracht van haar gegevens.
Een verzoek over het dossier loopt via de praktijk, omdat jullie verwerkingsverantwoordelijke zijn. Komt een verzoek bij ons binnen, dan sturen we het door naar jullie en helpen we bij de uitvoering. Voor het account op zwangerenportaal.nl geldt zwangerenportaal.nl.
De privacyverklaring beschrijft de verwerking op deze website.
Hoe bereiken wij de functionaris gegevensbescherming?
Joanne van Eenennaam LL.M. is functionaris gegevensbescherming, via WiseMen Advocaten. Zij is bij de Autoriteit Persoonsgegevens aangemeld voor MicroWare Automatisering B.V. onder nummer FG0015900 (17 maart 2024). Mail fg@onatal.nl.
Jullie kunnen bij haar terecht met vragen over de verwerking, voor overleg met jullie eigen functionaris gegevensbescherming en voor het melden van een incident.
Hoe melden wij een kwetsbaarheid of incident?
Vermoeden jullie een incident, zoals een verloren apparaat, een verdachte inlogpoging of een vermoedelijk datalek, meld dat dan via het supportkanaal of rechtstreeks aan fg@onatal.nl. Hoe eerder we het weten, hoe sneller we kunnen beoordelen en handelen.
Een kwetsbaarheid in de software melden beveiligingsonderzoekers via het responsible-disclosurebeleid.