Privacybeleid

Dit Privacybeleid beschrijft hoe Fitney Tecnologia Ltda. ("Fitney", "wij") persoonsgegevens verzamelt, gebruikt, deelt en beschermt van gebruikers ("Gebruikers", "jij") van ons SaaS-platform voor fitness en voeding.

Dit Beleid is van toepassing op alle diensten die Fitney aanbiedt, waaronder:

• Institutionele website (fitney.com.br);
• Mobiele applicatie voor iOS en Android;
• Administratief paneel voor professionals (backoffice);
• White-label-applicaties die worden gegenereerd voor professionals met het Premium-abonnement;
• API's en backend-services.

Het wordt aangevuld door onze AVG-pagina en ons Cookiebeleid.

We raden aan dit Beleid volledig te lezen. Door het Platform te gebruiken, bevestig je dat je onze gegevensverwerkingspraktijken begrijpt.

Voor de doeleinden van dit Beleid en de toepasselijke wetgeving inzake gegevensbescherming:

• Fitney Tecnologia Ltda. is de verwerkingsverantwoordelijke voor persoonsgegevens van Professionals (personal trainers, diëtisten) die zich abonneren op het Platform;
• De Professional is de verwerkingsverantwoordelijke voor de persoonsgegevens van zijn Klanten, en Fitney treedt op als verwerker van deze gegevens;
• De functionaris voor gegevensbescherming (DPO) is bereikbaar via dpo@fitneyapp.com.

Dit onderscheid is belangrijk voor het uitoefenen van rechten: Klanten dienen verzoeken in eerste instantie te richten aan de Professional die hun gegevens beheert, hoewel ze ook rechtstreeks contact kunnen opnemen met Fitney.

We verzamelen de volgende categorieën persoonsgegevens:

Registratiegegevens

• Volledige naam, e-mailadres, telefoonnummer (met landcode);
• CPF/CNPJ (voor facturatie in Brazilië);
• Beroepsregistratie of certificering, indien vrijwillig verstrekt door de Gebruiker (bv. CREF, CRN in Brazilië; NASM, ACE, NSCA, RD in de VS; REPs, EREPS in Europa). Deze gegevens zijn optioneel en worden niet door Fitney geverifieerd;
• Bedrijfsadres en factuurgegevens.

Gezondheids- en fitnessgegevens (gevoelige gegevens)

• Lichaamsmetingen (gewicht, lengte, omtrekken);
• Gezondheids- en fitnessdoelen;
• Trainings- en oefengeschiedenis;
• Voedingsgegevens en voedingsplannen;
• Voortgangsfoto's (indien vrijwillig verstrekt);
• Voedingsbeperkingen en gedeclareerde gezondheidsaandoeningen;
• Gegevens geïmporteerd uit gezondheidsplatforms (Apple HealthKit op iOS en Health Connect op Android), waaronder stappen, hartslag, verbrande calorieën, afgelegde afstand en oefensessies — alleen met uitdrukkelijke toestemming van de betrokkene, rechtstreeks verleend via het besturingssysteem van het apparaat;
• Gezondheidsvragenlijst (anamnese): medische geschiedenis, levensstijl, niveau van fysieke activiteit, doelen — vrijwillig ingevuld door de Klant of Professional.

Gebruiks- en apparaatgegevens

• IP-adres, browsertype en besturingssysteem;
• Bezochte pagina's, bestede tijd en interacties;
• Geolocatiegegevens (op basis van IP op de website; GPS in de mobiele app, indien geautoriseerd, om de trainingslocatie vast te leggen);
• Apparaatidentificatoren: apparaatmodel, versie van besturingssysteem, app-versie en unieke apparaatidentificator;
• Tokens voor pushmeldingen (Firebase Cloud Messaging) voor het verzenden van herinneringen en communicatie;
• Prestatie- en diagnosegegevens verzameld door Firebase Crashlytics (crashrapporten, zonder persoonlijk identificeerbare gegevens);
• Cookies en vergelijkbare technologieën — zie ons Cookiebeleid.

Lokaal opgeslagen gegevens (mobiele app)

• Cache van API-antwoorden (lokaal opgeslagen voor maximaal 3 dagen voor offline functionaliteit);
• Wachtrij voor offline operaties (oefeningen, check-ins en hardloopsessies uitgevoerd zonder verbinding, automatisch gesynchroniseerd na herverbinding);
• Voorkeuren voor meldingen en gebruikersinstellingen;
• Recente meldingsgeschiedenis (laatste 10 ontvangen).

Betalingsgegevens

• Transactiegegevens (bedrag, datum, status);
• Laatste 4 cijfers en kaartmerk (voor identificatie);
• In-app aankoopgegevens via de Apple App Store of Google Play, waaronder transactie-identificatoren en abonnementsperiodes;
• Let op: volledige kaartgegevens worden rechtstreeks verwerkt door Stripe of lokale verwerkers (Asaas in Brazilië) en worden nooit op onze servers opgeslagen.

Communicatiegegevens

• Berichten uitgewisseld tussen Professionals en Klanten op het Platform;
• Communicatie met ondersteuning en feedback.

Gezondheidsgegevens (voedings-/gezondheidsprofessionals). Wanneer de professional de functie voor laboratoriumonderzoeken gebruikt, verzamelen wij bijzondere gezondheidsgegevens van de cliënt/patiënt (aangevraagde onderzoeken, waarden en resultaten, klinische indicatie) en, indien verstrekt, het fiscale nummer (CPF) van de patiënt. Deze verwerking wordt nader beschreven in de sectie „Gezondheidsgegevens (Laboratoriumonderzoeken)”.

We verwerken persoonsgegevens op basis van de volgende rechtsgronden:

Voor gevoelige gegevens (gezondheids- en fitnessgegevens) gebruiken we voornamelijk specifieke en duidelijke toestemming van de betrokkene, zoals vereist door art. 11 van de LGPD en art. 9 van de AVG.

We gebruiken je persoonsgegevens voor de volgende doeleinden:

• Levering van diensten: aanmaken en onderhouden van je account, leveren van overeengekomen functies, verwerken van betalingen;
• Personalisatie: aanpassen van de ervaring, trainingsaanbevelingen en functies aan je profiel;
• Communicatie: verzenden van servicemeldingen, updates, beveiligingswaarschuwingen en (met toestemming) marketingcommunicatie;
• Beveiliging: opsporen, voorkomen en onderzoeken van fraude, ongeautoriseerde toegang en kwaadaardige activiteiten;
• Dienstverbetering: analyseren van gebruikspatronen (in geaggregeerde en geanonimiseerde vorm waar mogelijk) om functies te verbeteren;
• Naleving van de wet: voldoen aan fiscale, regelgevende, gerechtelijke en autoriteitsverplichtingen;
• Ondersteuning: reageren op verzoeken, klachten en bieden van technische assistentie.

Afspraakherinneringen. Het Platform kan herinneringen voor vervolg-/consultafspraken genereren die de professional via WhatsApp naar de cliënt kan sturen; het versturen gebeurt door de professional zelf.

We delen persoonsgegevens alleen in onderstaande situaties, altijd met passende waarborgen:

Dienstverleners (verwerkers/sub-verwerkers)

• Infrastructuur en hosting: cloudserviceproviders (servers in de VS en/of EU);
• Betalingen: Stripe en lokale verwerkers;
• Analyse en monitoring: Google Analytics 4 (via Google Tag Manager, met Consent Mode v2), Firebase Analytics en Firebase Crashlytics (stabiliteitsrapporten), Microsoft Clarity (heatmaps);
• Pushmeldingen: Firebase Cloud Messaging (Google);
• Media-opslag: Amazon S3 en Supabase (oefenfoto's, check-ins en assessments);
• Gezondheid: Apple HealthKit en Google Health Connect (alleen lokaal lezen/schrijven op het apparaat, gegevens worden niet overgedragen aan Fitney-servers);
• Betalingen: Stripe (internationaal) en Asaas (Brazilië — PIX en Boleto); Apple App Store en Google Play (in-app aankopen);
• Transactionele e-mail: e-mailbezorgers (SMTP);
• Ondersteuning: klantenservicetools.

Alle dienstverleners worden gecontracteerd met verwerkersovereenkomsten (DPA's).

Delen tussen Professional en Klant

Professionals hebben toegang tot de gegevens van hun Klanten voor zover nodig voor de levering van diensten. Klanten dienen het privacybeleid van hun Professional te raadplegen.

Wettelijke verplichtingen

We kunnen gegevens openbaar maken wanneer dit wettelijk verplicht is, op gerechtelijk bevel, in juridische procedures of op verzoek van een bevoegde overheidsinstantie.

Bedrijfsoverdrachten

In geval van fusie, overname, reorganisatie of verkoop van activa kunnen gegevens worden overgedragen, met voorafgaande kennisgeving en behoud van bescherming.

Fitney verkoopt geen persoonsgegevens aan derden, zoals gedefinieerd door LGPD, AVG en CCPA/CPRA.

Openbare pagina van de professional. Als de professional de openbare presentatiepagina inschakelt, worden de gegevens die hij kiest om weer te geven (naam, beroepsregistratie, specialisaties, behandellocaties en contact) openbaar toegankelijk zolang de pagina actief is.

Fitney kan persoonsgegevens overdragen buiten het land van herkomst van de betrokkene, in overeenstemming met de toepasselijke wetgeving:

Brazilië naar het buitenland (LGPD, art. 33-36)

• Naar landen of organisaties die een passend beschermingsniveau bieden, zoals erkend door de ANPD;
• Via standaard contractuele clausules goedgekeurd door de ANPD;
• Met specifieke en duidelijke toestemming van de betrokkene;
• Wanneer dit nodig is voor de uitvoering van de overeenkomst.

EU/EER naar het buitenland (AVG, art. 44-49)

• Naar landen met een adequaatheidsbesluit van de Europese Commissie;
• Via standaard contractuele clausules van de EU (SCC's);
• Naar de VS, onder het EU-VS Data Privacy Framework, indien van toepassing;
• Een effectbeoordeling van de overdracht (TIA) wordt uitgevoerd waar nodig.

Onze primaire servers bevinden zich in de Verenigde Staten (AWS/Google Cloud) met passende technische en organisatorische beveiligingsmaatregelen.

We bewaren persoonsgegevens alleen voor de periode die nodig is om de in dit Beleid beschreven doeleinden te vervullen:

Aan het einde van de bewaartermijn worden gegevens verwijderd of onomkeerbaar geanonimiseerd.

Afhankelijk van je locatie heb je de volgende rechten met betrekking tot je persoonsgegevens:

Rechten onder de LGPD (Brazilië)

Op grond van art. 17-22 van de LGPD heb je recht op:

• Bevestiging van gegevensverwerking;
• Toegang tot persoonsgegevens;
• Correctie van onvolledige, onjuiste of verouderde gegevens;
• Anonimisering, blokkering of verwijdering van onnodige of overmatige gegevens;
• Gegevensportabiliteit;
• Verwijdering van gegevens die op basis van toestemming zijn verwerkt;
• Informatie over delen met derden;
• Intrekking van toestemming;
• Bezwaar tegen verwerking.

Rechten onder de AVG (EU/EER)

Op grond van art. 15-22 van de AVG heb je recht op:

• Inzage (art. 15);
• Rectificatie (art. 16);
• Wissing / "recht om vergeten te worden" (art. 17);
• Beperking van verwerking (art. 18);
• Overdraagbaarheid (art. 20);
• Bezwaar (art. 21), inclusief bezwaar tegen direct marketing;
• Niet onderworpen te zijn aan geautomatiseerde besluitvorming (art. 22);
• Klacht indienen bij de bevoegde toezichthoudende autoriteit.

Rechten onder CCPA/CPRA (Californië, VS)

• Recht om te weten welke gegevens worden verzameld en hoe ze worden gebruikt;
• Recht om persoonsgegevens te verwijderen;
• Recht om onjuiste gegevens te corrigeren;
• Recht om af te zien van verkoop/delen van gegevens;
• Recht om het gebruik van gevoelige gegevens te beperken;
• Recht om niet te worden gediscrimineerd vanwege het uitoefenen van rechten.

Fitney verkoopt of deelt geen persoonsgegevens voor cross-context behavioral advertising-doeleinden, zoals gedefinieerd door de CPRA.

Om je rechten uit te oefenen, neem contact met ons op via dpo@fitneyapp.com. We reageren binnen 15 dagen (LGPD), 30 dagen (AVG) of 45 dagen (CCPA).

We implementeren technische en organisatorische maatregelen om je persoonsgegevens te beschermen, waaronder:

• Encryptie: gegevens in transit beschermd door TLS 1.3; gevoelige gegevens versleuteld in rust (AES-256);
• Toegangscontrole: multi-factor authenticatie, principe van minste rechten, toegangslogs;
• Infrastructuur: servers in gecertificeerde datacentra (SOC 2 Type II, ISO 27001);
• Monitoring: intrusion detection, 24/7 monitoring en automatische waarschuwingen;
• Back-up: versleutelde back-ups met regelmatige bewaring en hersteltests;
• Personeel: regelmatige beveiligings- en privacytrainingen voor alle medewerkers;
• Testen: periodieke kwetsbaarheidsbeoordelingen en beveiligingsreviews.

Geen enkel systeem is 100% veilig. In geval van een beveiligingsincident zullen we de bevoegde autoriteiten (ANPD, Europese gegevensbeschermingsautoriteiten) en betrokken personen binnen de wettelijke termijnen op de hoogte stellen.

Het Platform is niet gericht op minderjarigen onder de 18 jaar. Minderjarigen onder de 18 mogen het Platform alleen gebruiken met verifieerbare toestemming van een wettelijke voogd.

• Brazilië (LGPD, art. 14): gegevens van kinderen (tot 12 jaar) alleen met specifieke en duidelijke toestemming van ten minste één ouder of wettelijke voogd. Adolescenten (12-17): toestemming van wettelijke voogd;
• EU (AVG, art. 8): toestemming van minderjarigen onder de 16 (of lagere leeftijd vastgesteld door de lidstaat, minimaal 13) vereist autorisatie van de houder van het ouderlijk gezag;
• VS (COPPA): we verzamelen niet bewust gegevens van minderjarigen onder de 13. Als we ervan op de hoogte raken, verwijderen we de gegevens onmiddellijk.

Als je vermoedt dat gegevens van een minderjarige zonder toestemming zijn verzameld, neem dan contact op met dpo@fitneyapp.com.

We gebruiken cookies en vergelijkbare technologieën om het Platform te laten werken, het gebruik te analyseren en de ervaring te personaliseren. Voor gedetailleerde informatie verwijzen we naar ons Cookiebeleid.

Samenvatting:

• Essentiële cookies: noodzakelijk voor het functioneren van de website (geen toestemming vereist);
• Analytische cookies: om te begrijpen hoe het Platform wordt gebruikt (vereisen toestemming);
• Marketingcookies: om advertenties te personaliseren (vereisen toestemming).

Je kunt je cookievoorkeuren op elk moment beheren via de cookiebanner of de instellingen van je browser.

Fitney kan geautomatiseerde verwerking gebruiken om:

• Trainingen en voedingsplannen aan te bevelen op basis van het profiel van de Klant;
• Afwijkende gebruikspatronen te detecteren voor beveiliging;
• De ervaring op het Platform te personaliseren.

Deze aanbevelingen zijn aanvullend en altijd onderworpen aan beoordeling door de Professional. We nemen geen besluiten die juridische gevolgen hebben of de betrokkene aanzienlijk beïnvloeden uitsluitend op basis van geautomatiseerde verwerking.

Op grond van art. 20 van de LGPD en art. 22 van de AVG heb je het recht om herziening van geautomatiseerde besluiten aan te vragen en informatie te verkrijgen over de gebruikte criteria en procedures.

We kunnen dit Beleid periodiek bijwerken. Substantiële wijzigingen worden 30 dagen van tevoren gecommuniceerd via:

• E-mail aan geregistreerde Gebruikers;
• Melding op het Platform;
• Bijwerken van de "Laatst bijgewerkt"-datum op deze pagina.

Voor wijzigingen die nieuwe toestemming vereisen (bv. nieuwe doeleinden voor de verwerking van gevoelige gegevens) zullen we vóór de implementatie specifieke toestemming vragen.

We raden aan dit Beleid periodiek te raadplegen.

Bij het gebruik van de functie voor laboratoriumonderzoeken verwerkt het Platform bijzondere persoonsgegevens over de gezondheid van de cliënt/patiënt, in overeenstemming met de toepasselijke wetgeving inzake gegevensbescherming (waaronder de EU-AVG en de Braziliaanse LGPD – Wet nr. 13.709/2018). Dergelijke gegevens kunnen omvatten: aangevraagde onderzoeken, onderzoekswaarden en -resultaten, klinische indicatie/notities en, indien verstrekt, het fiscale nummer (CPF) van de patiënt.

Doel en rechtsgrondslag. Deze gegevens worden uitsluitend verwerkt voor het verlenen van voedings-/klinische begeleidingsdiensten door de aan de cliënt gekoppelde professional, op basis van de toestemming van de betrokkene en/of de bescherming van de gezondheid.

Toegang. De gezondheidsgegevens van de cliënt zijn alleen toegankelijk voor de op het Platform aan hem gekoppelde professional(s) en voor bevoegd Fitney-personeel, uitsluitend voor exploitatie en ondersteuning.

Delen. Fitney verkoopt of deelt geen gezondheidsgegevens met derden voor marketingdoeleinden. Eventueel bijgevoegde bestanden worden op beperkte wijze opgeslagen.

Bewaring en rechten. De gegevens worden bewaard zolang de relatie professional-cliënt duurt of zoals wettelijk vereist. De betrokkene kan de in de toepasselijke wetgeving voorziene rechten uitoefenen (inzage, rectificatie, wissing, overdraagbaarheid, intrekking van toestemming) zoals beschreven in de sectie Contact/DPO.

Voor vragen, verzoeken of klachten over dit Beleid of de verwerking van je persoonsgegevens:

• Functionaris voor gegevensbescherming (DPO): dpo@fitneyapp.com
• Algemeen: legal@fitneyapp.com
• Adres: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brazilië

Als je niet tevreden bent met onze reactie, kun je een klacht indienen bij de bevoegde gegevensbeschermingsautoriteit:

• Brazilië: Nationale Autoriteit voor Gegevensbescherming (ANPD) — gov.br/anpd
• EU: Gegevensbeschermingsautoriteit van je land van verblijf
• VS (Californië): Office of the Attorney General of California

Bij gebruik van de labonderzoeksfuncties kan het Platform bijzondere persoonsgegevens over gezondheid van de leerling/patiënt (aanvragen, resultaten en waarden) opslaan en verwerken, op grond van art. 11 LGPD en art. 9 AVG waar van toepassing.

• Deze gegevens worden namens de professional (verwerkingsverantwoordelijke) verwerkt, waarbij Fitney als verwerker optreedt, met als doel de opvolging van de leerling/patiënt.
• De verwerking vereist een passende rechtsgrond, indien vereist inclusief de specifieke, uitdrukkelijke toestemming van de betrokkene.
• Er gelden technische en organisatorische maatregelen en gegevens worden slechts zolang als nodig of wettelijk vereist bewaard.

Als de professional zijn openbare pagina inschakelt, wordt de informatie die hij kiest te publiceren (naam, foto, bio, specialisaties, registraties, certificeringen, werklocaties en sociale media) openbaar en toegankelijk voor iedereen, ook zoekmachines. Het kantooradres wordt alleen getoond als de professional die optie inschakelt.

Voor sommige functies kunnen gegevens worden gedeeld met diensten van derden, uitsluitend voor het aangegeven doel:

• OpenStreetMap / Nominatim — kaartweergave en geocodering van adressen (kan het adres en het IP van de bezoeker betreffen).
• ViaCEP en Zippopotam.us — automatisch invullen van het adres op postcode.
• Google Maps / Waze — wanneer de bezoeker een route naar een werklocatie opvraagt.
• WhatsApp (Meta) — bij het starten van contact/afspraak via WhatsApp.

Deze diensten hebben hun eigen privacybeleid, buiten de controle van Fitney na de doorverwijzing/het delen.

Het Platform biedt de functie voor afspraakherinneringen, die het geregistreerde telefoonnummer van de Klant gebruikt om de Professional te helpen hem te herinneren aan zijn afspraken en zijn begeleiding.

Handmatig verzenden. Standaard genereert Fitney een bericht en een link (WhatsApp) waarmee de Professional contact kan opnemen met de Klant; het verzenden gebeurt door de Professional zelf, vanuit zijn eigen account.

Automatisch verzenden. Wanneer de Professional automatisch verzenden inschakelt en zijn WhatsApp Business-account koppelt, kunnen herinneringsberichten namens de Professional naar de Klant worden verzonden, verwerkt door het Platform. In dat geval is voorafgaande toestemming van de Klant verplicht en wordt deze vastgelegd, en kan op elk moment worden ingetrokken in de accountinstellingen.

Je kunt je voorkeur voor het ontvangen van deze herinneringen op elk moment beheren in de instellingen van je account. De verwerking van het telefoonnummer voor dit doel volgt de rechtsgronden die zijn beschreven in de sectie over rechtsgronden.