Laatst bijgewerkt: 4 oktober 2026
Deze verwerkersovereenkomst (hierna "Verwerkersovereenkomst") maakt standaard onderdeel uit van de Algemene Voorwaarden tussen Kinmo en de Gebruiker (zie artikel 7, in het bijzonder 7.3, van die voorwaarden) en is van toepassing zodra de Gebruiker een account aanmaakt en de Software gebruikt. Er is geen aparte ondertekening vereist; op verzoek verstrekt Kinmo een afzonderlijk ondertekend exemplaar. Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden over de verwerking van persoonsgegevens, prevaleert deze Verwerkersovereenkomst. De Nederlandse tekst is bindend; vertalingen worden uitsluitend ter informatie verstrekt.
Termen met een hoofdletter hebben de betekenis uit de Algemene Voorwaarden. Daarnaast geldt:
2.1 Voor de verwerking van patiëntgegevens via de Software treedt Kinmo op als Verwerker en de Gebruiker als Verwerkingsverantwoordelijke. Voor de eigen account- en facturatiegegevens van de Gebruiker is Kinmo zelf Verwerkingsverantwoordelijke; daarop ziet deze Verwerkersovereenkomst niet, maar het Privacy Statement van Kinmo.
2.2 Kinmo is ontworpen volgens het beginsel van gegevensbescherming door ontwerp (AVG art. 25). Een oefenschema is uitsluitend gekoppeld aan een willekeurig, niet-raadbaar Programma-ID. Kinmo verwerkt geen naam, BSN, contactgegevens, geboortedatum of andere directe identificerende gegevens van Betrokkenen, en legt geen diagnoses vast. Kinmo slaat het IP-adres niet op in de eigen database; uitsluitend een gehashte afgeleide daarvan wordt kort verwerkt ten behoeve van misbruikpreventie. In de logs van de hostingpartijen staat het IP-adres gedurende hun korte bewaartermijn. De koppeling tussen het Programma-ID en de Betrokkene bestaat uitsluitend aan de zijde van de Verwerkingsverantwoordelijke, zoals in het eigen Elektronisch Patiëntendossier (EPD) en in de eigen communicatie met de Betrokkene. De omvang van de verwerking door Kinmo is daardoor minimaal; deze Verwerkersovereenkomst regelt niettemin alle verplichtingen uit AVG art. 28.
2.3 Aard en doel, categorieën Betrokkenen en categorieën Persoonsgegevens zijn beschreven in Bijlage 1. De duur van de verwerking is gelijk aan de looptijd van de overeenkomst tussen partijen.
2.4 Kinmo stelt met de Software een hulpmiddel beschikbaar waarmee de Verwerkingsverantwoordelijke persoonsgegevens van Patiënten verwerkt. Kinmo heeft geen toegang tot het kanaal (zoals e-mail of telefoon) waarmee de Verwerkingsverantwoordelijke het programma verspreidt, en kan de koppeling tussen programma en patiënt niet zelfstandig herleiden; alleen de Verwerkingsverantwoordelijke legt die koppeling, in het eigen EPD en in de eigen communicatie met de Patiënt. Pseudonimisering wordt hierbij toegepast als beveiligingsmaatregel in de zin van art. 32 AVG. De verantwoordelijkheid voor de Patiëntgegevens ligt bij de Verwerkingsverantwoordelijke; Kinmo verwerkt uitsluitend in opdracht, behoudens artikel 3.4.
3.1 Kinmo verwerkt de Persoonsgegevens uitsluitend op basis van schriftelijke (waaronder elektronische) instructies van de Verwerkingsverantwoordelijke. Deze Verwerkersovereenkomst en het gebruik van de Software conform de documentatie gelden als de basisinstructie. Aanvullende instructies mogen de Software-functionaliteit niet te boven gaan.
3.2 Kinmo verwerkt de Persoonsgegevens niet voor eigen doeleinden, behoudens de statistiek uit artikel 3.4, en verstrekt ze niet aan derden, behoudens de Sub-verwerkers in Bijlage 2 of een wettelijke verplichting. Bestaat een wettelijke verplichting tot verwerking, dan stelt Kinmo de Verwerkingsverantwoordelijke daarvan vooraf in kennis, tenzij die wet dit verbiedt.
3.3 Kinmo informeert de Verwerkingsverantwoordelijke onverwijld indien een instructie naar het oordeel van Kinmo in strijd is met de AVG of andere gegevensbeschermingswetgeving.
3.4 Opgetelde statistiek. Kinmo mag uit de oefeninhoud en uit wat Gebruikers in de Software zoeken opgetelde statistiek afleiden, uitsluitend om de Software en de oefenbibliotheek te verbeteren: bijvoorbeeld welke oefeningen het vaakst worden voorgeschreven, welke daarvan nog geen video hebben, welke oefennamen Gebruikers zelf typen en welke zoektermen niets opleveren. Die statistiek kan namen van oefeningen en zoektermen bevatten, ook als de Gebruiker die zelf typte, maar geen Programma-ID, geen programmatitel, geen oefeninstructie en niets wat tot een Betrokkene te herleiden is. Kinmo verstrekt haar niet aan derden. De Verwerkingsverantwoordelijke kan dit schriftelijk uitsluiten (support@kinmo.app); Kinmo houdt van diens gebruik dan alleen aantallen en tijdstippen bij.
4.1 Kinmo verplicht eenieder die onder haar gezag toegang heeft tot de Persoonsgegevens tot geheimhouding, hetzij langs contractuele weg, hetzij op grond van een wettelijke geheimhoudingsplicht. Deze plicht blijft na beëindiging van de overeenkomst van kracht.
5.1 Kinmo treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze omvatten ten minste:
5.2 Een actuele beschrijving van de beveiligingsmaatregelen is op verzoek beschikbaar. Kinmo mag maatregelen aanpassen mits het beveiligingsniveau gelijkwaardig blijft.
5.3 De Verwerkingsverantwoordelijke beslist zelf of hij de maatregelen gebruikt die hij in de Software aan- of uitzet, zoals de toegangscode en verplichte tweestapsverificatie. Die keuze maakt deel uit van zijn eigen afweging op grond van artikel 32 AVG.
6.1 De Verwerkingsverantwoordelijke verleent Kinmo algemene toestemming voor het inschakelen van de Sub-verwerkers genoemd in Bijlage 2.
6.2 Kinmo legt iedere Sub-verwerker via een overeenkomst dezelfde gegevensbeschermingsverplichtingen op als in deze Verwerkersovereenkomst, en blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor het handelen van de Sub-verwerker.
6.3 Bij voorgenomen toevoeging of vervanging van een Sub-verwerker informeert Kinmo de Verwerkingsverantwoordelijke ten minste dertig (30) dagen vooraf (via e-mail of in de Software). De Verwerkingsverantwoordelijke kan binnen die termijn op redelijke, gegevensbeschermingsgerelateerde gronden gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de Verwerkingsverantwoordelijke de betreffende dienst opzeggen.
7.1 De primaire opslag van Persoonsgegevens vindt plaats binnen de Europese Economische Ruimte (EER). Voor zover een Sub-verwerker gegevens buiten de EER verwerkt, geschiedt dit uitsluitend met passende waarborgen in de zin van AVG hoofdstuk V, in de regel de modelcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie of een gelijkwaardig mechanisme. Bijlage 2 vermeldt per Sub-verwerker de locatie en het toegepaste waarborgmechanisme.
8.1 Rechten van Betrokkenen. Kinmo verleent, rekening houdend met de aard van de verwerking en voor zover mogelijk, redelijke medewerking aan het vervullen van verzoeken van Betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar). Omdat Kinmo geen identificeerbare patiëntgegevens opslaat, verlopen dergelijke verzoeken in beginsel via de Verwerkingsverantwoordelijke, die het Programma-ID aan de Betrokkene kan koppelen, het oefenschema in de Software kan wijzigen of leegmaken en de gedeelde link kan intrekken. Een volledig oefenprogramma verwijdert Kinmo op verzoek van de Verwerkingsverantwoordelijke (support@kinmo.app).
8.2 Beveiliging, melding en DPIA. Kinmo verleent de Verwerkingsverantwoordelijke redelijke bijstand bij het nakomen van diens verplichtingen uit AVG art. 32 tot en met 36, waaronder beveiliging, melding van inbreuken en gegevensbeschermingseffectbeoordelingen, rekening houdend met de aard van de verwerking en de aan Kinmo beschikbare informatie.
8.3 Ontvangt Kinmo rechtstreeks een verzoek van een Betrokkene dat de verwerking namens de Verwerkingsverantwoordelijke betreft, dan handelt Kinmo dit niet zelfstandig af, maar verwijst het door naar de Verwerkingsverantwoordelijke. Een verzoek of onderzoek van een toezichthouder meldt Kinmo onverwijld aan de Verwerkingsverantwoordelijke, voor zover de wet dat toestaat; Kinmo werkt daarnaast zelf met de toezichthouder samen, zoals AVG art. 31 voorschrijft.
9.1 Kinmo informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in beginsel binnen achtenveertig (48) uur na ontdekking, over een inbreuk in verband met persoonsgegevens die de namens de Verwerkingsverantwoordelijke verwerkte Persoonsgegevens betreft.
9.2 De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen. De wettelijke meldplicht aan de toezichthouder en, in voorkomend geval, aan de Betrokkenen, berust bij de Verwerkingsverantwoordelijke; Kinmo verleent daarbij redelijke bijstand.
10.1 Na beëindiging van de overeenkomst verwijdert Kinmo, naar keuze van de Verwerkingsverantwoordelijke, de Persoonsgegevens of geeft deze terug, en verwijdert bestaande kopieën, tenzij een wettelijke bewaarplicht anders bepaalt. Een dergelijke bewaarplicht (zoals de fiscale 7-jaarstermijn) geldt voor de account- en facturatiegegevens waarvoor Kinmo zelf verwerkingsverantwoordelijke is, niet voor de hier bedoelde patiëntgegevens. De Verwerkingsverantwoordelijke kan het account en de bijbehorende gegevens ook zelf verwijderen via Account-instellingen → Account → Verwijder mijn account.
10.2 Verwijdering vindt plaats binnen een redelijke termijn na beëindiging. Back-ups worden volgens het reguliere rotatieschema overschreven.
11.1 Kinmo stelt de Verwerkingsverantwoordelijke op verzoek de informatie ter beschikking die nodig is om de naleving van AVG art. 28 aan te tonen, en maakt audits (waaronder inspecties) door de Verwerkingsverantwoordelijke of een door deze gemachtigde auditor mogelijk en draagt daaraan bij.
11.2 Een audit vindt plaats na redelijke aankondiging (ten minste dertig dagen), maximaal eenmaal per jaar (tenzij een toezichthouder of een concreet incident anders vereist), tijdens kantooruren, zonder de bedrijfsvoering onnodig te verstoren en met inachtneming van geheimhouding. Kinmo mag eerst voldoen door beschikbare rapportages of verklaringen te verstrekken. Redelijke kosten van een audit komen voor rekening van de Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming van Kinmo aantoont.
12.1 Op de aansprakelijkheid onder deze Verwerkersovereenkomst is de aansprakelijkheidsregeling uit de Algemene Voorwaarden van overeenkomstige toepassing, onverminderd het dwingend recht van de AVG.
12.2 Deze Verwerkersovereenkomst geldt zolang Kinmo namens de Verwerkingsverantwoordelijke Persoonsgegevens verwerkt en eindigt van rechtswege bij het einde van de overeenkomst tussen partijen, met uitzondering van bepalingen die naar hun aard blijven gelden (zoals geheimhouding).
12.3 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar Kinmo is gevestigd.
Op het moment van laatste bijwerking schakelt Kinmo de volgende Sub-verwerkers in:
Productanalytics draait first-party en cookieloos in de eigen database van Kinmo; hiervoor wordt geen Sub-verwerker ingeschakeld en worden geen persoonsgegevens verwerkt.
Vragen over deze Verwerkersovereenkomst of een verzoek om een afzonderlijk ondertekend exemplaar: support@kinmo.app. Kinmo, eenmanszaak, gevestigd te Amsterdam, KvK 99692260.