Privacybeleid

Dit Privacybeleid beschrijft hoe Fitney Tecnologia Ltda. ("Fitney", "wij") persoonsgegevens verzamelt, gebruikt, deelt en beschermt van gebruikers ("Gebruikers", "jij") van ons SaaS-platform voor fitness en voeding.

Dit Beleid is van toepassing op alle diensten die Fitney aanbiedt, waaronder:

• Institutionele website (fitney.com.br);
• Mobiele applicatie voor iOS en Android;
• Administratief paneel voor professionals (backoffice);
• White-label-applicaties die worden gegenereerd voor professionals met het Premium-abonnement;
• API's en backend-services.

Het wordt aangevuld door onze AVG-pagina en ons Cookiebeleid.

We raden aan dit Beleid volledig te lezen. Door het Platform te gebruiken, bevestig je dat je onze gegevensverwerkingspraktijken begrijpt.

Voor de doeleinden van dit Beleid en de toepasselijke wetgeving inzake gegevensbescherming:

• Fitney Tecnologia Ltda. is de verwerkingsverantwoordelijke voor persoonsgegevens van Professionals (personal trainers, diëtisten) die zich abonneren op het Platform;
• De Professional is de verwerkingsverantwoordelijke voor de persoonsgegevens van zijn Klanten, en Fitney treedt op als verwerker van deze gegevens;
• De functionaris voor gegevensbescherming (DPO) is bereikbaar via dpo@fitneyapp.com.

Dit onderscheid is belangrijk voor het uitoefenen van rechten: Klanten dienen verzoeken in eerste instantie te richten aan de Professional die hun gegevens beheert, hoewel ze ook rechtstreeks contact kunnen opnemen met Fitney.

We verzamelen de volgende categorieën persoonsgegevens:

Registratiegegevens

• Volledige naam, e-mailadres, telefoonnummer (met landcode);
• CPF/CNPJ (voor facturatie in Brazilië);
• Beroepsregistratie of certificering, indien vrijwillig verstrekt door de Gebruiker (bv. CREF, CRN in Brazilië; NASM, ACE, NSCA, RD in de VS; REPs, EREPS in Europa). Deze gegevens zijn optioneel en worden niet door Fitney geverifieerd;
• Bedrijfsadres en factuurgegevens.

Gezondheids- en fitnessgegevens (gevoelige gegevens)

• Lichaamsmetingen (gewicht, lengte, omtrekken);
• Gezondheids- en fitnessdoelen;
• Trainings- en oefengeschiedenis;
• Voedingsgegevens en voedingsplannen;
• Voortgangsfoto's (indien vrijwillig verstrekt);
• Voedingsbeperkingen en gedeclareerde gezondheidsaandoeningen;
• Gegevens geïmporteerd uit gezondheidsplatforms (Apple HealthKit op iOS en Health Connect op Android), waaronder stappen, hartslag, verbrande calorieën, afgelegde afstand en oefensessies — alleen met uitdrukkelijke toestemming van de betrokkene, rechtstreeks verleend via het besturingssysteem van het apparaat;
• Gezondheidsvragenlijst (anamnese): medische geschiedenis, levensstijl, niveau van fysieke activiteit, doelen — vrijwillig ingevuld door de Klant of Professional.

Gebruiks- en apparaatgegevens

• IP-adres, browsertype en besturingssysteem;
• Bezochte pagina's, bestede tijd en interacties;
• Geolocatiegegevens (op basis van IP op de website; GPS in de mobiele app, indien geautoriseerd, om de trainingslocatie vast te leggen);
• Apparaatidentificatoren: apparaatmodel, versie van besturingssysteem, app-versie en unieke apparaatidentificator;
• Tokens voor pushmeldingen (Firebase Cloud Messaging) voor het verzenden van herinneringen en communicatie;
• Prestatie- en diagnosegegevens verzameld door Firebase Crashlytics (crashrapporten, zonder persoonlijk identificeerbare gegevens);
• Cookies en vergelijkbare technologieën — zie ons Cookiebeleid.

Lokaal opgeslagen gegevens (mobiele app)

• Cache van API-antwoorden (lokaal opgeslagen voor maximaal 3 dagen voor offline functionaliteit);
• Wachtrij voor offline operaties (oefeningen, check-ins en hardloopsessies uitgevoerd zonder verbinding, automatisch gesynchroniseerd na herverbinding);
• Voorkeuren voor meldingen en gebruikersinstellingen;
• Recente meldingsgeschiedenis (laatste 10 ontvangen).

Betalingsgegevens

• Transactiegegevens (bedrag, datum, status);
• Laatste 4 cijfers en kaartmerk (voor identificatie);
• In-app aankoopgegevens via de Apple App Store of Google Play, waaronder transactie-identificatoren en abonnementsperiodes;
• Let op: volledige kaartgegevens worden rechtstreeks verwerkt door Stripe of lokale verwerkers (Asaas in Brazilië) en worden nooit op onze servers opgeslagen.

Communicatiegegevens

• Berichten uitgewisseld tussen Professionals en Klanten op het Platform;
• Communicatie met ondersteuning en feedback.

We verwerken persoonsgegevens op basis van de volgende rechtsgronden:

Rechtsgrond	LGPD (art. 7)	AVG (art. 6)	Voorbeelden
Uitvoering van de overeenkomst	Art. 7, V	Art. 6(1)(b)	Levering van diensten, betalingsverwerking
Toestemming	Art. 7, I / Art. 11, I	Art. 6(1)(a)	Gezondheidsgegevens, marketing, niet-essentiële cookies
Gerechtvaardigd belang	Art. 7, IX	Art. 6(1)(f)	Beveiliging, fraudepreventie, dienstverbetering
Wettelijke verplichting	Art. 7, II	Art. 6(1)(c)	Belastingverplichtingen, regelgevende vereisten, gerechtelijke bevelen
Bescherming van het leven	Art. 7, VII	Art. 6(1)(d)	Noodsituaties met gezondheidsgegevens

Voor gevoelige gegevens (gezondheids- en fitnessgegevens) gebruiken we voornamelijk specifieke en duidelijke toestemming van de betrokkene, zoals vereist door art. 11 van de LGPD en art. 9 van de AVG.

We gebruiken je persoonsgegevens voor de volgende doeleinden:

• Levering van diensten: aanmaken en onderhouden van je account, leveren van overeengekomen functies, verwerken van betalingen;
• Personalisatie: aanpassen van de ervaring, trainingsaanbevelingen en functies aan je profiel;
• Communicatie: verzenden van servicemeldingen, updates, beveiligingswaarschuwingen en (met toestemming) marketingcommunicatie;
• Beveiliging: opsporen, voorkomen en onderzoeken van fraude, ongeautoriseerde toegang en kwaadaardige activiteiten;
• Dienstverbetering: analyseren van gebruikspatronen (in geaggregeerde en geanonimiseerde vorm waar mogelijk) om functies te verbeteren;
• Naleving van de wet: voldoen aan fiscale, regelgevende, gerechtelijke en autoriteitsverplichtingen;
• Ondersteuning: reageren op verzoeken, klachten en bieden van technische assistentie.

We delen persoonsgegevens alleen in onderstaande situaties, altijd met passende waarborgen:

Dienstverleners (verwerkers/sub-verwerkers)

• Infrastructuur en hosting: cloudserviceproviders (servers in de VS en/of EU);
• Betalingen: Stripe en lokale verwerkers;
• Analyse en monitoring: Google Analytics 4 (via Google Tag Manager, met Consent Mode v2), Firebase Analytics en Firebase Crashlytics (stabiliteitsrapporten), Microsoft Clarity (heatmaps);
• Pushmeldingen: Firebase Cloud Messaging (Google);
• Media-opslag: Amazon S3 en Supabase (oefenfoto's, check-ins en assessments);
• Gezondheid: Apple HealthKit en Google Health Connect (alleen lokaal lezen/schrijven op het apparaat, gegevens worden niet overgedragen aan Fitney-servers);
• Betalingen: Stripe (internationaal) en Asaas (Brazilië — PIX en Boleto); Apple App Store en Google Play (in-app aankopen);
• Transactionele e-mail: e-mailbezorgers (SMTP);
• Ondersteuning: klantenservicetools.

Alle dienstverleners worden gecontracteerd met verwerkersovereenkomsten (DPA's).

Delen tussen Professional en Klant

Professionals hebben toegang tot de gegevens van hun Klanten voor zover nodig voor de levering van diensten. Klanten dienen het privacybeleid van hun Professional te raadplegen.

Wettelijke verplichtingen

We kunnen gegevens openbaar maken wanneer dit wettelijk verplicht is, op gerechtelijk bevel, in juridische procedures of op verzoek van een bevoegde overheidsinstantie.

Bedrijfsoverdrachten

In geval van fusie, overname, reorganisatie of verkoop van activa kunnen gegevens worden overgedragen, met voorafgaande kennisgeving en behoud van bescherming.

Fitney verkoopt geen persoonsgegevens aan derden, zoals gedefinieerd door LGPD, AVG en CCPA/CPRA.

Fitney kan persoonsgegevens overdragen buiten het land van herkomst van de betrokkene, in overeenstemming met de toepasselijke wetgeving:

Brazilië naar het buitenland (LGPD, art. 33-36)

• Naar landen of organisaties die een passend beschermingsniveau bieden, zoals erkend door de ANPD;
• Via standaard contractuele clausules goedgekeurd door de ANPD;
• Met specifieke en duidelijke toestemming van de betrokkene;
• Wanneer dit nodig is voor de uitvoering van de overeenkomst.

EU/EER naar het buitenland (AVG, art. 44-49)

• Naar landen met een adequaatheidsbesluit van de Europese Commissie;
• Via standaard contractuele clausules van de EU (SCC's);
• Naar de VS, onder het EU-VS Data Privacy Framework, indien van toepassing;
• Een effectbeoordeling van de overdracht (TIA) wordt uitgevoerd waar nodig.

Onze primaire servers bevinden zich in de Verenigde Staten (AWS/Google Cloud) met passende technische en organisatorische beveiligingsmaatregelen.

We bewaren persoonsgegevens alleen voor de periode die nodig is om de in dit Beleid beschreven doeleinden te vervullen:

Gegevenscategorie	Bewaartermijn	Rechtvaardiging
Gegevens van actief account	Zolang het account actief is	Uitvoering van de overeenkomst
Gegevens na opzegging	Tot 6 maanden	Mogelijkheid tot heractivering
Fiscale/financiële gegevens	5 jaar	Wettelijke verplichting (Braziliaanse belastingwetgeving)
Gezondheidsgegevens	Tot verwijderd door betrokkene of 2 jaar na inactiviteit	Regelmatige uitoefening van rechten
Toegangslogs	6 maanden	Wettelijke verplichting (Braziliaanse Marco Civil da Internet, art. 15)
Communicatiegegevens	Zolang het account actief is + 1 jaar	Ondersteuning en geschillenbeslechting
Geanonimiseerde gegevens	Onbeperkt	Geanonimiseerde gegevens zijn geen persoonsgegevens

Aan het einde van de bewaartermijn worden gegevens verwijderd of onomkeerbaar geanonimiseerd.

Afhankelijk van je locatie heb je de volgende rechten met betrekking tot je persoonsgegevens:

Rechten onder de LGPD (Brazilië)

Op grond van art. 17-22 van de LGPD heb je recht op:

• Bevestiging van gegevensverwerking;
• Toegang tot persoonsgegevens;
• Correctie van onvolledige, onjuiste of verouderde gegevens;
• Anonimisering, blokkering of verwijdering van onnodige of overmatige gegevens;
• Gegevensportabiliteit;
• Verwijdering van gegevens die op basis van toestemming zijn verwerkt;
• Informatie over delen met derden;
• Intrekking van toestemming;
• Bezwaar tegen verwerking.

Rechten onder de AVG (EU/EER)

Op grond van art. 15-22 van de AVG heb je recht op:

• Inzage (art. 15);
• Rectificatie (art. 16);
• Wissing / "recht om vergeten te worden" (art. 17);
• Beperking van verwerking (art. 18);
• Overdraagbaarheid (art. 20);
• Bezwaar (art. 21), inclusief bezwaar tegen direct marketing;
• Niet onderworpen te zijn aan geautomatiseerde besluitvorming (art. 22);
• Klacht indienen bij de bevoegde toezichthoudende autoriteit.

Rechten onder CCPA/CPRA (Californië, VS)

• Recht om te weten welke gegevens worden verzameld en hoe ze worden gebruikt;
• Recht om persoonsgegevens te verwijderen;
• Recht om onjuiste gegevens te corrigeren;
• Recht om af te zien van verkoop/delen van gegevens;
• Recht om het gebruik van gevoelige gegevens te beperken;
• Recht om niet te worden gediscrimineerd vanwege het uitoefenen van rechten.

Fitney verkoopt of deelt geen persoonsgegevens voor cross-context behavioral advertising-doeleinden, zoals gedefinieerd door de CPRA.

Om je rechten uit te oefenen, neem contact met ons op via dpo@fitneyapp.com. We reageren binnen 15 dagen (LGPD), 30 dagen (AVG) of 45 dagen (CCPA).

We implementeren technische en organisatorische maatregelen om je persoonsgegevens te beschermen, waaronder:

• Encryptie: gegevens in transit beschermd door TLS 1.3; gevoelige gegevens versleuteld in rust (AES-256);
• Toegangscontrole: multi-factor authenticatie, principe van minste rechten, toegangslogs;
• Infrastructuur: servers in gecertificeerde datacentra (SOC 2 Type II, ISO 27001);
• Monitoring: intrusion detection, 24/7 monitoring en automatische waarschuwingen;
• Back-up: versleutelde back-ups met regelmatige bewaring en hersteltests;
• Personeel: regelmatige beveiligings- en privacytrainingen voor alle medewerkers;
• Testen: periodieke kwetsbaarheidsbeoordelingen en beveiligingsreviews.

Geen enkel systeem is 100% veilig. In geval van een beveiligingsincident zullen we de bevoegde autoriteiten (ANPD, Europese gegevensbeschermingsautoriteiten) en betrokken personen binnen de wettelijke termijnen op de hoogte stellen.

Het Platform is niet gericht op minderjarigen onder de 18 jaar. Minderjarigen onder de 18 mogen het Platform alleen gebruiken met verifieerbare toestemming van een wettelijke voogd.

• Brazilië (LGPD, art. 14): gegevens van kinderen (tot 12 jaar) alleen met specifieke en duidelijke toestemming van ten minste één ouder of wettelijke voogd. Adolescenten (12-17): toestemming van wettelijke voogd;
• EU (AVG, art. 8): toestemming van minderjarigen onder de 16 (of lagere leeftijd vastgesteld door de lidstaat, minimaal 13) vereist autorisatie van de houder van het ouderlijk gezag;
• VS (COPPA): we verzamelen niet bewust gegevens van minderjarigen onder de 13. Als we ervan op de hoogte raken, verwijderen we de gegevens onmiddellijk.

Als je vermoedt dat gegevens van een minderjarige zonder toestemming zijn verzameld, neem dan contact op met dpo@fitneyapp.com.

We gebruiken cookies en vergelijkbare technologieën om het Platform te laten werken, het gebruik te analyseren en de ervaring te personaliseren. Voor gedetailleerde informatie verwijzen we naar ons Cookiebeleid.

Samenvatting:

• Essentiële cookies: noodzakelijk voor het functioneren van de website (geen toestemming vereist);
• Analytische cookies: om te begrijpen hoe het Platform wordt gebruikt (vereisen toestemming);
• Marketingcookies: om advertenties te personaliseren (vereisen toestemming).

Je kunt je cookievoorkeuren op elk moment beheren via de cookiebanner of de instellingen van je browser.

Fitney kan geautomatiseerde verwerking gebruiken om:

• Trainingen en voedingsplannen aan te bevelen op basis van het profiel van de Klant;
• Afwijkende gebruikspatronen te detecteren voor beveiliging;
• De ervaring op het Platform te personaliseren.

Deze aanbevelingen zijn aanvullend en altijd onderworpen aan beoordeling door de Professional. We nemen geen besluiten die juridische gevolgen hebben of de betrokkene aanzienlijk beïnvloeden uitsluitend op basis van geautomatiseerde verwerking.

Op grond van art. 20 van de LGPD en art. 22 van de AVG heb je het recht om herziening van geautomatiseerde besluiten aan te vragen en informatie te verkrijgen over de gebruikte criteria en procedures.

We kunnen dit Beleid periodiek bijwerken. Substantiële wijzigingen worden 30 dagen van tevoren gecommuniceerd via:

• E-mail aan geregistreerde Gebruikers;
• Melding op het Platform;
• Bijwerken van de "Laatst bijgewerkt"-datum op deze pagina.

Voor wijzigingen die nieuwe toestemming vereisen (bv. nieuwe doeleinden voor de verwerking van gevoelige gegevens) zullen we vóór de implementatie specifieke toestemming vragen.

We raden aan dit Beleid periodiek te raadplegen.

Voor vragen, verzoeken of klachten over dit Beleid of de verwerking van je persoonsgegevens:

• Functionaris voor gegevensbescherming (DPO): dpo@fitneyapp.com
• Algemeen: legal@fitneyapp.com
• Adres: Fitney Tecnologia Ltda., CNPJ 44.638.274/0001-86, R. Cascavel, 2760 — Curitiba, PR, Brazilië

Als je niet tevreden bent met onze reactie, kun je een klacht indienen bij de bevoegde gegevensbeschermingsautoriteit:

• Brazilië: Nationale Autoriteit voor Gegevensbescherming (ANPD) — gov.br/anpd
• EU: Gegevensbeschermingsautoriteit van je land van verblijf
• VS (Californië): Office of the Attorney General of California