Privacybeleid
Concept — wordt nog juridisch nagekeken.
BJJ Grapple Hub is een Nederlandse app voor Brazilian Jiu-Jitsu en grappling, beschikbaar in het Nederlands en het Engels en bedoeld voor gebruikers van 16 jaar en ouder. In dit privacybeleid leggen we je in heldere taal uit welke persoonsgegevens we verwerken, waarom we dat doen, met wie we ze delen en welke rechten je hebt. De verwerkingsverantwoordelijke is "BJJ Grapple Hub". De juridische entiteit achter de app is op dit moment nog niet vastgelegd: [juridische entiteit + KvK + adres — invullen]. Heb je vragen over je privacy, dan kun je ons bereiken via info@bjjgrapplehub.nl. Dit beleid wordt nog juridisch nagekeken.
Welke gegevens we verzamelen
Afhankelijk van hoe je de app gebruikt, verwerken we de volgende categorieën gegevens:
- Account en inloggen: e-mailadres, gebruikersnaam, passkey-credential (publieke sleutel) en magic-link-token.
- Profiel: naam (optioneel), avatar/foto, belt en stripes, gym, geboortedatum, geslacht, taal en lineage/instructeur (optioneel).
- Trainingsdata: trainingslogs, sparring-rondes (rolls) inclusief een optionele spraaknotitie (audio) die naar tekst wordt omgezet, techniek-tags, lesaanwezigheid en gym-affiliaties.
- Gezondheidsdata (zie hieronder): blessures inclusief blessurefoto's, spierpijn/soreness, lichaamsgewicht, mobiliteits-assessments, mentaal dagboek, frustratie-logs en vrije gezondheidsnotities.
- Sociale gegevens: community-posts en foto's, reacties, likes, volgers, directe berichten en sparring-verzoeken.
- Wedstrijdgegevens: wedstrijden en toernooivoorbereiding.
- Technische gegevens: push-notificatie-token (FCM), crash- en foutdata (gepseudonimiseerd, met PII verwijderd) en product-analytics-gebeurtenissen (alleen met jouw toestemming en zonder PII).
Je gezondheidsdata vormen een bijzondere categorie persoonsgegevens onder artikel 9 van de AVG. Hieraan stellen we extra strenge eisen; we verwerken deze gegevens uitsluitend op basis van jouw uitdrukkelijke toestemming.
Grondslagen voor de verwerking
We verwerken je gegevens alleen als we daarvoor een wettelijke grondslag hebben:
- Uitvoering van de overeenkomst (artikel 6 lid 1 sub b AVG): voor het aanmaken en beheren van je account en het leveren van de kernfuncties van de app.
- Uitdrukkelijke toestemming (artikel 9 lid 2 sub a en artikel 6 AVG): voor het verwerken van je gezondheidsdata (bijzondere categorie), voor product-analytics en voor de AI-functies. Je kunt deze toestemming altijd intrekken in de app.
- Gerechtvaardigd belang (artikel 6 lid 1 sub f AVG): voor de beveiliging van de app en voor crash- en foutrapportage, waarbij de PII wordt verwijderd.
- Wettelijke plicht (artikel 6 lid 1 sub c AVG): voor de moderatie van gebruikersinhoud op grond van de Digital Services Act (DSA).
Waarvoor we je gegevens gebruiken
We gebruiken je gegevens om je het volgende te bieden:
- Je account, inloggen en de kernfuncties van de app laten werken.
- Je trainings- en sparring-data, lesaanwezigheid en gym-affiliaties bijhouden, inclusief het omzetten van een optionele spraaknotitie naar tekst.
- Met jouw uitdrukkelijke toestemming je gezondheidsdata vastleggen, zodat je blessures, herstel, gewicht, mobiliteit en mentaal welzijn kunt volgen.
- De sociale en community-functies aanbieden, zoals posts, reacties, berichten en sparring-verzoeken.
- Wedstrijden en toernooivoorbereiding ondersteunen.
- Met jouw toestemming AI-functies aanbieden, waarbij alleen de inhoud die je actief naar een AI-functie stuurt wordt verwerkt (bijvoorbeeld techniek-tags uit je notitie, een roll-samenvatting of geaggregeerde blessurepreventie-input).
- Met jouw toestemming product-analytics verzamelen (zonder PII) om de app te verbeteren.
- De app beveiligen en crashes oplossen via gepseudonimiseerde crash- en foutrapportage.
We verkopen je gegevens niet, gebruiken geen advertentie-trackers en zetten geen Google- of US-analytics-trackers in de app in.
Delen met derden (verwerkers)
We schakelen een aantal verwerkers (sub-verwerkers) in die namens ons gegevens verwerken. We verkopen je gegevens nooit. De volgende partijen zetten we in:
- Supabase — database, authenticatie en opslag — servers in de EU.
- PowerSync — offline-synchronisatie tussen de app en de database.
- PostHog Cloud EU — product-analytics — alleen met jouw toestemming, in de EU-regio en zonder PII.
- Sentry — crash- en foutrapportage — op grondslag gerechtvaardigd belang, met een gepseudonimiseerd id en met PII verwijderd.
- Firebase Cloud Messaging (Google) — push-notificaties — in de Verenigde Staten.
- Anthropic (Claude) — AI-functies — in de Verenigde Staten — krijgt alleen de inhoud die je actief naar een AI-functie stuurt (bijvoorbeeld techniek-tags uit je notitie, een roll-samenvatting of geaggregeerde blessurepreventie-input).
- OpenAI (Whisper) — transcriptie van je roll-spraaknotitie — in de Verenigde Staten.
- Resend — bezorging van e-mails, zoals magic-links en meldingen.
We delen alleen de gegevens die voor deze diensten strikt noodzakelijk zijn.
Doorgifte buiten de EU
Een aantal van onze verwerkers is gevestigd in de Verenigde Staten, namelijk Anthropic, OpenAI en Google (Firebase Cloud Messaging). Wanneer we gegevens naar deze partijen doorgeven, gebeurt dat onder passende waarborgen, zoals de EU-modelcontractbepalingen (Standard Contractual Clauses / SCC's). We geven daarbij alleen de minimaal benodigde gegevens door. Je overige gegevens, waaronder je database en opslag bij Supabase en je analytics bij PostHog, blijven in de EU.
Opslag en beveiliging
We nemen de beveiliging van je gegevens serieus en hebben hiervoor onder meer de volgende maatregelen getroffen:
- In plaats van wachtwoorden gebruiken we passkeys (WebAuthn) en magic-links om in te loggen.
- Je gegevens worden versleuteld onderweg en in rust.
- We passen row-level security toe, zodat je uitsluitend je eigen gegevens kunt zien.
- Je gegevens worden in de EU opgeslagen (bij Supabase).
Bewaartermijnen
We bewaren je gegevens zolang je account actief is. Dien je een verwijderverzoek in, dan geldt een respijtperiode van 14 dagen, waarna we je gegevens permanent verwijderen, inclusief de bestanden die je hebt opgeslagen. Back-ups verlopen kort daarna. Crash- en analytics-data bewaren we beperkt en/of in geaggregeerde vorm.
Jouw rechten
Op grond van de AVG heb je de volgende rechten:
- Inzage in de persoonsgegevens die we van je verwerken.
- Rectificatie (correctie) van onjuiste gegevens.
- Verwijdering ("recht op vergetelheid").
- Beperking van de verwerking.
- Overdraagbaarheid van je gegevens: in de app exporteer je je data als JSON.
- Bezwaar tegen de verwerking.
- Het intrekken van je toestemming, wat je rechtstreeks in de app kunt doen.
We reageren binnen uiterlijk 1 maand op je verzoek. Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
Lokale opslag, analytics en crashrapportage
De app gebruikt geen advertentie-trackers en geen Google- of US-analytics-trackers. We werken met de volgende technieken:
- Lokale opslag op je apparaat, om de app offline te laten werken en je gegevens te synchroniseren (via PowerSync).
- Product-analytics via PostHog Cloud EU, alleen met jouw toestemming, in de EU-regio en zonder PII. Je kunt deze toestemming in de app intrekken.
- Crash- en foutrapportage via Sentry, op grondslag gerechtvaardigd belang, met een gepseudonimiseerd id en met PII verwijderd.
Kinderen
BJJ Grapple Hub is bedoeld voor gebruikers van 16 jaar en ouder. De app is niet gericht op kinderen onder de 16 jaar en we verwerken niet bewust gegevens van personen jonger dan 16 jaar.
Wijzigingen in dit beleid
We kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij significante wijzigingen krijg je een melding in de app voordat deze wijzigingen ingaan, zodat je op de hoogte bent. De datum van de laatste wijziging vind je bovenaan dit beleid.
Contact
Heb je vragen over dit privacybeleid of wil je een van je rechten uitoefenen, neem dan contact met ons op via info@bjjgrapplehub.nl. De verwerkingsverantwoordelijke is "BJJ Grapple Hub"; de juridische entiteit met bijbehorende gegevens is nog niet vastgelegd: [juridische entiteit + KvK + adres — invullen]. Je hebt daarnaast altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).