Verwerkers-overeenkomst

Wie en wanneer

Deze overeenkomst is tussen jou en Bicapp. Jij bent de coach of het bedrijf dat met Bicapp klanten coacht. In de AVG heet dat de verwerkingsverantwoordelijke. Bicapp is de verwerker. Bicapp is van [nog te bepalen: bedrijfsnaam van de VOF] (KvK [nog te bepalen: KvK-nummer van de VOF], btw [nog te bepalen: btw-nummer van de VOF]), [nog te bepalen: adres van de VOF].

Bij een PT-bedrijf is het bedrijf de verantwoordelijke, want de klanten horen bij het bedrijf. Bij een sportschool horen de klanten bij de PT, dus is de PT de verantwoordelijke. De sportschool ziet alleen aantallen per PT.

De overeenkomst hoort bij de voorwaarden. Ze geldt vanaf het moment dat je een werkruimte maakt of een uitnodiging voor een team aanneemt. Met een sportschool of een groter bedrijf tekenen we haar ook op papier.

Waarvoor we de gegevens verwerken

We verwerken de gegevens van je klanten alleen om Bicapp voor je te laten werken. Dat zijn het dashboard en de app, met programma's, trainingen, check-ins, chat, voeding, voortgang en het voorstel bij een foto van een maaltijd. Daarvoor bewaren we de gegevens, maken we back-ups en sturen we mail namens je, zoals de uitnodiging voor je klant.

We doen dat alleen op jouw opdracht. Wat je in het dashboard instelt en doet, is die opdracht. We gebruiken de gegevens niet voor onszelf. We verkopen ze niet, we gebruiken ze niet voor reclame en we laten er geen AI mee trainen.

Moeten we volgens de wet iets anders met de gegevens doen, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Gaat een opdracht van jou volgens ons tegen de AVG in, dan zeggen we dat meteen.

Hoe lang

De overeenkomst loopt zolang je Bicapp gebruikt voor je klanten. Stop je, dan loopt ze door tot we alle gegevens hebben teruggegeven of gewist. Hoe dat gaat, staat bij Als je stopt.

Welke gegevens en van wie

Van wie

• Je klanten, ook mensen die je hebt uitgenodigd en die nog niet begonnen zijn.
• De PT's in je team, voor wat je als eigenaar van ze ziet. Dat zijn hun naam en hun aantallen.

Welke gegevens

• Naam, mailadres en geboortejaar.
• Doelen, trainingsdagen, niveau, lengte, gewicht en omtrekken.
• Gezondheidsgegevens, zoals blessures, medische informatie, hoe je klant zich voelt bij de start, slaap, energie en stemming. Dat is een bijzondere categorie in de AVG. De app vraagt je klant daar apart toestemming voor.
• Voortgangsfoto's, als je klant daar toestemming voor geeft.
• Trainingen, voeding, foto's van maaltijden, en stappen per dag als je klant die koppeling aanzet.
• Check-ins, chatberichten en de notities die jij over je klant maakt.
• Technische gegevens, zoals IP-adressen in de logboeken.

Wat we beloven

• Alleen wie het voor zijn werk nodig heeft, komt bij de gegevens. Wie erbij kan, moet ze geheimhouden.
• We komen alleen bij de gegevens van je klanten als dat nodig is voor support of beheer, of als jij erom vraagt.
• We helpen je als een klant zijn gegevens wil inzien, aanpassen, exporteren of laten wissen. Exporteren en verwijderen kan je klant ook zelf in de app. Komt zo'n verzoek bij ons binnen, dan geven we het aan je door.
• We helpen je als je een risicoanalyse (DPIA) moet maken, of als de Autoriteit Persoonsgegevens je vragen stelt.
• Je mag ons vragen hoe we ons aan deze afspraken houden. Wil je het laten controleren door een onafhankelijke deskundige, dan spreken we dat vooraf samen af.

Wie ons helpt

Deze partijen werken voor ons met de gegevens van je klanten. Ze houden zich aan afspraken op papier, in een verwerkersovereenkomst of in hun voorwaarden. Op welke grond gegevens naar de VS mogen, staat per partij in de privacyverklaring.

Geen subverwerker

• PostHog gebruiken we alleen op de website. Daar komen geen gegevens van je klanten.
• Zoekt je klant een product op of scant hij een barcode, dan vraagt zijn telefoon dat zelf aan Open Food Facts. Dat ziet de barcode of het zoekwoord en het IP-adres van de telefoon, niet wie je klant is.
• Je klanten betalen jou buiten Bicapp. Daar zit geen partij van ons tussen.

Een nieuwe partij

Nemen we een nieuwe subverwerker, dan laten we je dat [nog te bepalen: aantal dagen] van tevoren per mail weten. Ben je het er niet mee eens, dan kun je bezwaar maken. Komen we er samen niet uit, dan mag je stoppen. Komen er videogesprekken of pushmeldingen bij, dan komen LiveKit en Expo op deze lijst, en dan laten we je dat ook zo weten.

Hoe we de gegevens beveiligen

• Gegevens gaan versleuteld over het internet en staan versleuteld opgeslagen.
• Elke coach ziet alleen de eigen klanten. Dat dwingt de database zelf af, niet alleen de app.
• Bij een PT-bedrijf zien de eigenaar en de beheerders de klanten van het bedrijf. Bij een sportschool ziet de eigenaar alleen aantallen per PT.
• Inloggen gaat zonder wachtwoord, met een code in de mail. Coaches loggen daarnaast in met een code uit een authenticator-app. Zonder die tweede stap komt een coach niet bij de gegevens van klanten.
• Voortgangsfoto's staan in een afgeschermde opslag en openen alleen via links die snel verlopen.
• Een foto van een maaltijd gaat zonder locatiegegevens naar AWS en wordt daar niet bewaard. In de logboeken van de server staan dan alleen nummers en tijden. Wat er op de foto herkend is, zoals de voedingsmiddelen, de grammen en de kcal, bewaren we bij de aanvraag. Dat zit ook in de export van je klant.
• Elke nacht maken we een versleutelde back-up. De sleutel staat niet bij GitHub, en we testen of een back-up terug te zetten is.

Bij een datalek

Ontdekken we een datalek met gegevens van je klanten, dan laten we het je zonder onnodige vertraging weten, uiterlijk [nog te bepalen: aantal uur] nadat we het ontdekten. We vertellen je wat er gebeurde, om welke gegevens en hoeveel mensen het gaat, wat de gevolgen kunnen zijn en wat we eraan doen.

Jij beslist of je het meldt bij de Autoriteit Persoonsgegevens en bij je klanten. Een melding bij de Autoriteit Persoonsgegevens moet binnen 72 uur. We helpen je daarbij met alles wat we weten.

Als je stopt

Stop je met Bicapp, dan kun je de gegevens van je klanten eerst terugkrijgen. Je klanten kunnen hun eigen gegevens altijd zelf exporteren in de app. Wil je alles van je klanten in één keer, mail dan naar info@bicapp.nl. In het dashboard zit daar nog geen knop voor.

Daarna wissen we de gegevens binnen [nog te bepalen: termijn na het einde], ook uit de back-ups. Een back-up verdwijnt na 30 dagen vanzelf. Wat de wet ons verplicht te bewaren, zoals facturen, bewaren we zo lang als dat moet.

Verlaat een PT een PT-bedrijf, dan blijven de klanten bij het bedrijf. Werkt een PT via een sportschool, dan blijven de klanten bij de PT, ook als de sportschool stopt en de PT zelf verdergaat met Bicapp.

Ook zonder dat je stopt, wissen we automatisch. De gegevens van een klant gaan 24 maanden na het einde van zijn laatste pakket, zoals in de privacyverklaring staat.

Aansprakelijkheid en recht

Voor schade onder deze overeenkomst geldt wat in de voorwaarden staat over aansprakelijkheid. [nog te bepalen: controle door jurist]. Gaan de voorwaarden en deze overeenkomst over gegevens tegen elkaar in, dan geldt deze overeenkomst. Op deze overeenkomst is Nederlands recht van toepassing.

Wijzigingen

Veranderen we iets belangrijks, dan laten we het je eerst per mail weten.

• 3 november 2026, versie 2026-11-03. Eerste versie.