Verwerkersovereenkomst

Laatst bijgewerkt: 11 november 2026

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden tussen de organisatie die compleat gebruikt ("de Organisatie", "je") en MAX Hybrid Sport B.V., Mooie Vrouwenweg 45, 7608 RC Almelo, KvK 68085885 ("compleat", "wij", "ons").

Zij geldt vanaf het moment dat de Organisatie de algemene voorwaarden accepteert. Een aparte handtekening is niet nodig. Heb je voor je eigen administratie een getekend exemplaar nodig, vraag dat dan aan via info@compleatgym.com.

1. Begrippen

Begrippen als persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en inbreuk in verband met persoonsgegevens hebben de betekenis die de Algemene Verordening Gegevensbescherming (AVG) eraan geeft. Een inbreuk in verband met persoonsgegevens noemen wij hierna een datalek.

• Persoonsgegevens van klanten: de persoonsgegevens van leden, klanten, medewerkers en anderen die de Organisatie en haar gebruikers in de dienst zetten, of die in de dienst komen via een koppeling die zij hebben ingesteld.
• Subverwerker: een ander bedrijf dat wij inschakelen om persoonsgegevens van klanten te verwerken.
• Dienst en voorwaarden: zoals omschreven in de algemene voorwaarden.

2. Rollen en reikwijdte

De Organisatie is verwerkingsverantwoordelijke voor de persoonsgegevens van klanten. Wij zijn verwerker en verwerken die gegevens namens de Organisatie.

Deze overeenkomst gaat niet over gegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn, zoals inlogaccounts, onze eigen facturen en beveiligingslogs. Daarvoor geldt onze privacyverklaring.

Bijlage 1 beschrijft de verwerking: waarvoor zij dient, hoe lang zij duurt, om wiens gegevens het gaat en welke soorten gegevens het betreft.

3. Instructies

Wij verwerken persoonsgegevens van klanten alleen op gedocumenteerde instructie van de Organisatie. Die instructies zijn de voorwaarden, deze overeenkomst en de instellingen en handelingen van de Organisatie en haar gebruikers in de dienst.

Wij gebruiken persoonsgegevens van klanten niet voor eigen doeleinden. Wij verkopen ze niet, delen ze niet voor advertenties en gebruiken ze niet om AI-modellen te trainen.

Vinden wij dat een instructie in strijd is met de wet, dan melden wij dat aan de Organisatie en kunnen wij wachten met de uitvoering tot dat is opgehelderd. Verplicht een wet ons om gegevens op een andere manier te verwerken, dan laten wij dat de Organisatie vooraf weten, tenzij die wet dat verbiedt.

4. Geheimhouding

Iedereen die voor ons werkt en bij persoonsgegevens van klanten kan, is gebonden aan geheimhouding. Toegang is beperkt tot mensen die haar voor hun werk nodig hebben. Onze medewerkers openen de gegevens van een organisatie alleen om support te geven of een probleem op te lossen, en elke keer dat dat gebeurt wordt het vastgelegd.

5. Beveiliging

Wij nemen de technische en organisatorische maatregelen uit bijlage 2. Wij kunnen die maatregelen aanpassen als de techniek zich ontwikkelt, zolang het beschermingsniveau niet daalt.

De Organisatie is verantwoordelijk voor de beveiliging aan haar eigen kant: wie een account krijgt, welke rechten diegene heeft, en het gebruik van een sterke manier van inloggen, zoals tweestapsverificatie.

6. Subverwerkers

De Organisatie geeft algemene toestemming voor de subverwerkers uit bijlage 3.

• Wij leggen elke subverwerker in een overeenkomst verplichtingen op die aansluiten bij deze overeenkomst.
• Wij blijven tegenover de Organisatie verantwoordelijk voor wat onze subverwerkers doen.
• Een nieuwe of vervangende subverwerker kondigen wij minstens 30 dagen van tevoren aan, per e-mail of in de app.
• De Organisatie kan binnen die 30 dagen bezwaar maken op redelijke gronden die met gegevensbescherming te maken hebben. Wij zoeken dan samen een oplossing. Is die er niet, dan kan de Organisatie het abonnement opzeggen per de datum waarop de wijziging ingaat, en krijgt zij terug wat zij vooruit heeft betaald voor de periode na die datum.

7. Doorgifte buiten de Europese Economische Ruimte

De database, het inlogsysteem en de bestandsopslag staan in de Europese Unie (Frankfurt, Duitsland).

Een aantal subverwerkers is gevestigd buiten de Europese Economische Ruimte. Wij geven persoonsgegevens van klanten alleen aan hen door als die doorgifte valt onder een adequaatheidsbesluit van de Europese Commissie, zoals het EU-VS Data Privacy Framework, of onder de modelcontractbepalingen van de Commissie. Op verzoek laten wij zien welke waarborg voor een bepaalde subverwerker geldt.

8. Verzoeken van betrokkenen

De dienst geeft de Organisatie en haar gebruikers de middelen om de meeste verzoeken zelf af te handelen: gegevens inzien en verbeteren, een kopie exporteren, toestemming intrekken en een account verwijderen.

Stuurt een betrokkene ons een verzoek over gegevens waarvoor de Organisatie verwerkingsverantwoordelijke is, dan sturen wij het zonder vertraging door aan de Organisatie. Wij beantwoorden het niet zelf, tenzij de Organisatie ons dat vraagt of de wet het voorschrijft. Waar de middelen in de dienst niet genoeg zijn, helpen wij binnen redelijke grenzen.

9. Hulp bij je verplichtingen

Rekening houdend met de aard van de verwerking en de informatie die wij hebben, helpen wij de Organisatie bij gegevensbeschermingseffectbeoordelingen, bij overleg met een toezichthouder en bij het aantonen dat zij aan haar verplichtingen uit de AVG voldoet. Voor werk dat verder gaat dan wat een verwerker gewoonlijk levert kunnen wij een redelijke vergoeding vragen.

10. Datalekken

Ontdekken wij een datalek dat persoonsgegevens van klanten raakt, dan melden wij dat zonder onredelijke vertraging aan de Organisatie, en in elk geval binnen 48 uur.

In de melding staat, voor zover op dat moment bekend:

• wat er is gebeurd en wanneer;
• om welke soorten gegevens en ongeveer hoeveel mensen het gaat;
• wat de waarschijnlijke gevolgen zijn;
• welke maatregelen wij hebben genomen of voorstellen;
• bij wie de Organisatie terechtkan voor meer informatie.

Wij houden de Organisatie op de hoogte als er meer bekend wordt en nemen redelijke maatregelen om de schade te beperken. De Organisatie beslist of het lek wordt gemeld bij de toezichthouder en aan de betrokkenen, en doet die meldingen zelf.

11. Gezondheidsgegevens en toestemming

De dienst verwerkt gezondheidsgegevens pas nadat het lid of de klant daarvoor in de app uitdrukkelijk toestemming heeft gegeven. Wij leggen vast welke versie van de toestemmingstekst is geaccepteerd en wanneer, en wij stoppen met het delen van de gegevens met coaches zodra de toestemming is ingetrokken.

De Organisatie blijft ervoor verantwoordelijk dat zij een geldige grondslag heeft voor de gegevens die zij in de dienst zet, en dat zij haar eigen leden en klanten informeert.

12. Controle

Wij geven de Organisatie de informatie die zij nodig heeft om na te gaan of wij ons aan deze overeenkomst houden.

De Organisatie mag één keer per jaar een controle (audit) laten uitvoeren, of vaker na een datalek of als een toezichthouder dat eist. Daarvoor geldt:

• De Organisatie gebruikt eerst de informatie die wij aanleveren, waaronder certificaten en auditrapporten van onze subverwerkers. Een controle op locatie volgt alleen als die informatie niet genoeg is.
• Een controle wordt minstens 30 dagen van tevoren aangekondigd en vindt plaats tijdens werktijd, zonder de dienst onnodig te verstoren.
• De controle wordt uitgevoerd door de Organisatie of door een onafhankelijke deskundige die aan geheimhouding is gebonden.
• De Organisatie draagt de kosten, tenzij uit de controle blijkt dat wij ons op wezenlijke punten niet aan deze overeenkomst hebben gehouden.

13. Teruggeven en verwijderen

Tijdens het abonnement, en tot 30 dagen na het einde ervan, kan de eigenaar de gegevens van de Organisatie exporteren vanuit de app.

Negentig dagen na het einde van het abonnement verwijderen wij de persoonsgegevens van klanten. Back-ups worden binnen 30 dagen daarna overschreven. Wij bewaren alleen wat de wet ons verplicht te bewaren, zoals facturen, zolang de wettelijke termijn loopt. De Organisatie kan ons schriftelijk vragen de gegevens eerder te verwijderen.

Verwijdert een individuele gebruiker zijn account, dan worden diens gegevens binnen 30 dagen verwijderd of anoniem gemaakt.

14. Aansprakelijkheid

De beperkingen van aansprakelijkheid uit artikel 15 van de algemene voorwaarden gelden ook voor deze overeenkomst.

15. Looptijd en wijzigingen

Deze overeenkomst loopt zolang wij persoonsgegevens van klanten voor de Organisatie verwerken. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding, blijven daarna gelden.

Wij kunnen deze overeenkomst wijzigen op dezelfde manier als de algemene voorwaarden: een wijziging kondigen wij minstens 30 dagen van tevoren aan. Het beschermingsniveau verlagen wij niet zonder wettelijke reden.

16. Rangorde, taal en recht

Waar deze overeenkomst en de algemene voorwaarden van elkaar afwijken over de bescherming van persoonsgegevens, gaat deze overeenkomst voor.

Deze overeenkomst is er in het Nederlands en het Engels. Bij verschillen gaat de Nederlandse versie voor.

Nederlands recht is van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Overijssel.

Bijlage 1: Beschrijving van de verwerking

Doel. De dienst leveren aan de Organisatie: trainingen, voeding, check-ins en tests plannen en vastleggen, berichten tussen coach en klant, lesroosters en boekingen, lidmaatschappen en betalingen, koppelingen met apparaten, en AI-functies die de Organisatie of een gebruiker start.

Duur. De looptijd van het abonnement, plus de termijnen uit artikel 13.

Aard van de verwerking. Opslaan, ordenen, tonen, versturen naar gekoppelde diensten die de gebruiker zelf kiest, analyseren op instructie, en verwijderen.

Betrokkenen.

• Leden en klanten van de Organisatie
• Eigenaren, coaches en medewerkers van de Organisatie
• Mensen die zich aanmelden voor een proefles of hun gegevens achterlaten op de openbare pagina van de Organisatie
• Contactpersonen die een lid opgeeft, zoals een contactpersoon voor noodgevallen

Soorten persoonsgegevens.

Bijzondere persoonsgegevens. Gegevens over gezondheid: gewicht en metingen, slaap, rusthartslag, hartslagvariabiliteit, stemming, antwoorden op check-ins, notities over blessures, voortgangsfoto's, maaltijdfoto's en gezondheidsgegevens van gekoppelde apparaten. Deze gegevens worden alleen verwerkt met uitdrukkelijke toestemming van de betrokkene.

Contact. info@compleatgym.com

Bijlage 2: Beveiligingsmaatregelen

Toegang

• Toegangsregels worden in de database zelf afgedwongen. Elk gegeven hoort bij één organisatie; een klant ziet alleen zijn eigen gegevens; een coach ziet alleen toegewezen klanten, tenzij de eigenaar meer toegang geeft.
• Tweestapsverificatie is beschikbaar voor eigenaren en coaches, en een organisatie kan haar verplicht stellen. Voor onze eigen beheerdersaccounts is zij verplicht.
• Onze medewerkers komen alleen bij klantgegevens voor support, en elke toegang wordt vastgelegd.

Versleuteling

• Al het verkeer is versleuteld onderweg (TLS).
• De database en de bestandsopslag zijn versleuteld opgeslagen.
• Tokens van gekoppelde apparaten en betaalproviders worden versleuteld bewaard en zijn via de app niet uit te lezen.

Bestanden

• Foto's en bijlagen staan in een afgeschermde opslag en worden geopend via links die kort geldig zijn.

Beheer

• Wijzigingen in de software worden beoordeeld en getest voordat ze live gaan, en wijzigingen in de database worden vastgelegd.
• Fouten worden bewaakt. Inlog- en beveiligingsgebeurtenissen worden vastgelegd en 12 maanden bewaard.
• Dagelijkse back-ups worden maximaal 30 dagen bewaard.
• Afhankelijkheden en infrastructuur worden bijgehouden.

Organisatie

• Medewerkers en ingehuurde krachten zijn gebonden aan geheimhouding.
• Subverwerkers worden gekozen op hun beveiliging en gebonden aan een verwerkersovereenkomst.
• Wij hebben een procedure voor het afhandelen en melden van datalekken.

Bijlage 3: Subverwerkers

Diensten die een gebruiker zelf koppelt, zoals Garmin en andere wearables of Google Calendar, zijn geen subverwerkers. Zij ontvangen of versturen gegevens op instructie van de gebruiker zelf en onder hun eigen voorwaarden.