Verwerkersovereenkomst

1. Partijen en toepassingsgebied

Deze verwerkersovereenkomst ("VWO") maakt deel uit van de algemene voorwaarden tussen RungGym (de "verwerker") en jou, de trainer, coach of zaak die het abonnement heeft (de "verwerkingsverantwoordelijke"). Ze geldt automatisch vanaf het moment dat je de dienst gebruikt. Een handtekening is niet nodig. Ze geeft uitvoering aan artikel 28, lid 3 van de AVG voor alle persoonsgegevens over je klanten die je in RungGym invoert.

2. Voorwerp, duur, aard en doel

We verwerken de persoonsgegevens van je klanten voor één doel: de RungGym-software laten werken voor jouw account: klantprofielen bewaren, trainingsblokken genereren en pdf-exports maken, en het klantenportaal laten draaien waarin je klanten training, voeding, gewoontes, dagelijkse herstelchecks, check-ins en voortgangsfoto's loggen, je berichten sturen en sessies bij je boeken. De verwerking duurt zolang je abonnement loopt plus de exportperiode van 30 dagen uit de voorwaarden. We gebruiken deze gegevens nooit voor eigen doeleinden, verkopen ze niet en gebruiken ze niet voor reclame of profilering.

3. Categorieën van gegevens en betrokkenen

Betrokkenen zijn jouw klanten en de toekomstige klanten die je via je openbare pagina een aanvraag sturen (naam, e-mailadres, optioneel telefoonnummer en bericht). De gegevens die jij of zij kunnen invoeren, omvatten: naam, trainingsdoel, ervaringsniveau, beschikbaar materiaal, trainingsnotities, gelogde gewichten, voedingslogs en voedingsdoelen, gewoontes, dagelijkse herstelchecks (slaapkwaliteit, vermoeidheid, stress, spierpijn, slaapuren, notities), check-ins (lichaamsgewicht, lichaamsmetingen, energie, slaap, notities), voortgangsfoto's, berichten, geboekte sessies en blessure-informatie. Blessure-informatie, lichaamsmetingen, voedingslogs, herstelchecks en voortgangsfoto's zijn gezondheidsgegevens in de zin van artikel 9 AVG. Als verwerkingsverantwoordelijke ben jij ervoor verantwoordelijk dat je een rechtsgrond hebt om ze vast te leggen, in de praktijk de uitdrukkelijke toestemming van je klant, en dat je je klant informeert voordat je zijn of haar portaallink deelt. Verzamel enkel wat je nodig hebt om hem of haar te coachen.

4. Onze verplichtingen

Als verwerker:

• verwerken we de gegevens enkel op jouw gedocumenteerde instructies, in de praktijk de handelingen die je in de software uitvoert, tenzij het recht van de Unie of van een lidstaat anders vereist, in welk geval we je vooraf informeren voor zover dat is toegestaan;
• zorgen we ervoor dat iedereen die de gegevens mag verwerken tot vertrouwelijkheid gehouden is;
• nemen we de technische en organisatorische maatregelen van artikel 32 AVG, waaronder versleuteling tijdens transport, toegangscontrole op rijniveau zodat een trainer nooit de klantgegevens van een andere trainer kan lezen, en opslag in de EU (zie punt 5);
• helpen we je, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid): de gegevens van je klanten zijn zichtbaar en bewerkbaar in je dashboard en op elk moment als pdf te exporteren;
• helpen we je bij je verplichtingen uit de artikelen 32 tot 36 AVG, waaronder je onverwijld verwittigen nadat we een inbreuk in verband met persoonsgegevens met gevolgen voor de gegevens van je klanten hebben vastgesteld;
• wissen we alle persoonsgegevens van klanten bij het einde van de dienst, zoals beschreven in de voorwaarden (30 dagen na opzegging, of eerder op verzoek), tenzij het recht van de Unie of van een lidstaat bewaring vereist;
• stellen we de informatie ter beschikking die nodig is om de naleving van deze VWO aan te tonen, en laten we audits, inclusief inspecties, toe en dragen eraan bij, uitgevoerd door jou of een auditor die je machtigt. In eerste instantie doen we dit door documentatie te verstrekken; een audit ter plaatse vereist een opzegtermijn van 30 dagen, vindt hoogstens één keer per jaar plaats en is op jouw kosten.

5. Subverwerkers

Je geeft algemene schriftelijke toestemming voor de volgende subverwerkers, die we nodig hebben om de dienst te laten werken:

• Supabase (database, authenticatie en bestandsopslag, inclusief voortgangsfoto's in een privé-bucket): gegevens opgeslagen in de EU (AWS-regio eu-west-1, Ierland);
• Vercel (hosting van de applicatie);
• Stripe (betalingen): Stripe verwerkt je eigen factureringsgegevens als zelfstandig verwerkingsverantwoordelijke; het ontvangt nooit de gegevens van je klanten.

We leggen elke subverwerker gegevensbeschermingsverplichtingen op die gelijkwaardig zijn aan die van deze VWO en blijven jou volledig aansprakelijk voor hun uitvoering. We kondigen elke voorgenomen wijziging van subverwerker minstens 30 dagen vooraf aan per e-mail; als je bezwaar maakt, kun je opzeggen voordat de wijziging ingaat.

6. Internationale doorgiften

Klantgegevens worden in de Europese Unie opgeslagen. Wanneer de support of infrastructuur van een subverwerker toegang van buiten de EER met zich meebrengt, wordt die doorgifte gedekt door de modelcontractbepalingen van de Europese Commissie of een adequaatheidsbesluit (voor Amerikaanse aanbieders: het EU-VS-gegevensprivacykader).

7. Voorrang en contact

Als deze VWO op een punt van gegevensbescherming strijdig is met de algemene voorwaarden, heeft deze VWO voorrang. Vragen: info@runggym.com.