Verwerkersovereenkomst

1. Wie wat is

Jij, de coach of praktijk met een account, bent de verwerkingsverantwoordelijke: jij bepaalt waarom en hoe de gegevens van je klanten verwerkt worden. Elv8 is de verwerker: we verwerken die gegevens alleen voor jou, om de app te laten werken.

2. Onderwerp en duur

Elv8 bewaart en verwerkt de gegevens die jij, je team en je klanten in de app zetten, zolang je overeenkomst met Elv8 loopt, en daarna tot ze teruggegeven of verwijderd zijn zoals beschreven onder punt 11.

3. Aard en doel

Elv8 bewaart de gegevens, toont ze aan jou, je team en de klant zelf, verstuurt berichten en e-mails die jij of de app voor je praktijk verstuurt, verwerkt betalingen, en rekent schema's, mealplans, statistieken en herinneringen uit. Elv8 gebruikt de gegevens nergens anders voor: niet voor reclame, niet om ze te verkopen, en niet om er iets voor zichzelf uit te leren.

4. Over wie het gaat

• je klanten en de mensen die je in de app uitnodigt;
• mensen die een intakeformulier invullen zonder account;
• leden van je community en deelnemers aan je challenges;
• je teamleden.

5. Welke gegevens

• naam, e-mailadres, telefoonnummer, geboortedatum en adres, voor zover je ze bijhoudt;
• trainingen, voeding, gewoontes, doelen en notities;
• antwoorden op check-ins en formulieren, ook op een gezondheidsvragenlijst;
• metingen zoals gewicht en omtrek, voortgangsfoto's en gegevens van een gekoppeld toestel;
• berichten, sessies en boekingen;
• bestellingen, facturen en betalingen.

Een deel daarvan zijn gezondheidsgegevens (artikel 9 AVG). Die worden alleen verwerkt met de uitdrukkelijke toestemming van de klant. De app vraagt die toestemming voor jou, apart voor antwoorden en voor foto's, en bewaart wanneer ze gegeven werd. Jij zorgt dat je de gegevens alleen gebruikt voor de begeleiding waarvoor je klant ze gaf.

6. Jouw instructies

Elv8 verwerkt de gegevens alleen volgens jouw instructies. Wat je in de app instelt en doet, geldt als die instructie. Vinden we dat een instructie tegen de wet ingaat, dan zeggen we het je. Moet Elv8 van de wet gegevens afgeven, dan laten we het je weten, tenzij de wet dat verbiedt.

7. Vertrouwelijkheid

Alleen wie bij Elv8 de app beheert, kan bij de gegevens, en alleen als dat nodig is: om een fout op te lossen, om je te helpen als je het vraagt, of om de app te beveiligen. Iedereen met toegang is tot geheimhouding verplicht.

8. Beveiliging

Dit is wat vandaag in plaats is:

• Alle verkeer tussen een browser en de app is versleuteld (TLS).
• Wachtwoorden worden alleen versleuteld opgeslagen, met scrypt. Klanten melden zich aan met een code, zonder wachtwoord.
• Aanmeldingen zitten in een cookie die scripts niet kunnen lezen. Een coach blijft 30 dagen aangemeld, een klant 180 dagen. Verlopen aanmeldingen worden automatisch gewist.
• Elke praktijk ziet alleen de eigen gegevens. In een team bepaalt de eigenaar wie wat mag.
• Belangrijke handelingen, zoals een factuur uitschrijven of gegevens wissen, komen in een logboek.
• De server is alleen voor beheer bereikbaar via een privénetwerk. Wachtwoorden en sleutels voor andere diensten staan niet in de code.
• Elke nacht wordt een back-up gemaakt. Back-ups worden 30 dagen bewaard.
• De inhoud van e-mails wordt na 90 dagen gewist. Antwoorden van iemand die via een intakelink invult en geen klant wordt, worden na 90 dagen verwijderd.
• Een e-mail bevat geen antwoorden, metingen of foto's. Receptvoorstellen krijgen nooit iets over een klant mee.

Je kan zelf de gegevens van een klant exporteren of wissen. Een klant kan alles wat die bijhoudt zelf exporteren in de app.

9. Subverwerkers

Je geeft Elv8 toestemming om de diensten op de lijst van subverwerkers in te schakelen. Elv8 legt hen dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover jou verantwoordelijk voor wat ze doen. Komt er een dienst bij of verandert er een, dan hoor je dat minstens 30 dagen op voorhand. Heb je daar een gegronde reden tegen, dan zoeken we samen een oplossing. Lukt dat niet, dan kan je opzeggen voor de verandering ingaat.

10. Hulp bij rechten en bij een lek

• Vraagt een klant om gegevens in te zien, te verbeteren, mee te nemen of te wissen, dan kan je dat meestal zelf in de app. Lukt het niet, dan helpt Elv8 je.
• Merkt Elv8 een lek dat de gegevens van je klanten raakt, dan laten we het je zonder onnodige vertraging weten, en uiterlijk binnen 48 uur nadat we het ontdekten. We zeggen wat er gebeurde, welke gegevens en hoeveel mensen het raakt, en wat we eraan doen. Zo kan jij binnen 72 uur melden bij de Gegevensbeschermingsautoriteit als dat nodig is.
• Moet je een effectbeoordeling maken of de toezichthouder raadplegen, dan geeft Elv8 je de informatie die daarvoor nodig is.

11. Aan het einde

Eindigt je overeenkomst, dan kies jij: we bezorgen je een kopie van de gegevens in een gangbaar formaat, we verwijderen ze, of allebei. Verwijderen gebeurt binnen 30 dagen na je vraag. Back-ups verlopen 30 dagen later vanzelf. Wat de wet ons verplicht te bewaren, zoals facturen, blijft zo lang als die wet vraagt.

Sluit je je praktijk zelf in de app, dan geldt dat als je vraag om te verwijderen. Je kan eerst alles downloaden. Je klanten en leden krijgen bericht, en na 28 dagen verwijderen we alles behalve wat de wet ons verplicht te bewaren.

12. Controle

Elv8 geeft je de informatie die je nodig hebt om te tonen dat deze overeenkomst nageleefd wordt. Wil je een audit, dan kan dat één keer per jaar, 30 dagen op voorhand aangekondigd en op jouw kosten. We beginnen met een schriftelijke vragenlijst. Een controle ter plaatse gebeurt alleen als de antwoorden niet volstaan, en met respect voor de gegevens van andere praktijken.

13. Aansprakelijkheid en recht

Voor aansprakelijkheid gelden de voorwaarden. Op deze overeenkomst is het Belgische recht van toepassing.

14. Contact

Als coach kan je een vraag stellen via Support in de app. Iedereen anders gebruikt het formulier op de contactpagina. Een persoon leest elk bericht en antwoordt binnen een werkdag.