Privacybeleid

Privacybeleid S.H.A.P.E. Coaching

Versie: 2.0  |  Ingangsdatum: 27-08-2026

1. Wie zijn wij?

S.H.A.P.E. Coaching (hierna: "wij", "ons" of "S.H.A.P.E. Coaching") is verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) voor de persoonsgegevens die worden verwerkt via het S.H.A.P.E. coachingsprogramma van Shirley Verduin.

• Handelsnaam: S.H.A.P.E. Coaching
• Website: shirleyverduin.nl  |  shapetracker.nl
• E-mail: info@shirleyverduin.nl
• KvK: 97690813

Het digitale platform (shapetracker.nl) is gerealiseerd door Ycore B.V. als technisch ontwikkelaar. Ycore B.V. treedt niet op als verwerker van persoonsgegevens en heeft geen toegang tot deelnemersdata.

2. Welke persoonsgegevens verwerken wij?

Gewone persoonsgegevens:

• Voor- en achternaam, e-mailadres, telefoonnummer, adres en geboortedatum
• Inloggegevens (gebruikersnaam en versleuteld wachtwoord via bcrypt)
• Communicatie via het coachingplatform

Bijzondere persoonsgegevens — gezondheidsgegevens (AVG art. 9):

• Gewicht, lichaamsmetingen (buik-, heupomvang etc.) en lichaamssamenstelling
• Voedings- en bewegingsinformatie (calorieën, macronutriënten, stappen, waterinname)
• Voortgangsfoto's van het lichaam
• Doelstellingen, energieniveau, slaapkwaliteit en welzijnsgegevens
• Intakeformulier inclusief gezondheidsdoelen en eventuele blessures

3. Rechtsgrondslagen

• Uitvoering overeenkomst (art. 6 lid 1 sub b AVG): voor het leveren van de coachingsdienst
• Expliciete toestemming (art. 9 lid 2 sub a AVG): voor gezondheidsgegevens en voortgangsfoto's — vastgelegd bij het intakeformulier met tijdstempel en versieregistratie; te allen tijde intrekbaar
• Wettelijke verplichting (art. 6 lid 1 sub c AVG): fiscale bewaarplicht van 7 jaar

4. Bewaartermijnen

Categorie	Bewaartermijn
NAW-gegevens en e-mailadres	7 jaar (fiscale bewaarplicht)
Gezondheids- en trackingdata	1 jaar na afsluiting traject, daarna verwijderd
Voortgangsfoto's	1 jaar na afsluiting traject, daarna automatisch verwijderd (of eerder, op uw verzoek)
Toestemmingsregistraties (consent log)	Zolang uw account bestaat; bij volledige verwijdering gaan ze mee
Audit log (wie zag welke gegevens)	12 maanden; toelichtingen worden na 90 dagen gewist
Inloggegevens	Bij afsluiting wordt de toegang direct geblokkeerd; het account wordt na 1 jaar verwijderd

5. Met wie delen wij uw gegevens?

Wij delen uw gegevens uitsluitend met:

• Uw coach en hoofdcoach binnen het S.H.A.P.E. programma (toegang beperkt tot eigen coachrelatie)
• TransIP BV — hostingprovider, servers uitsluitend in Nederland. Er is een verwerkersovereenkomst gesloten conform art. 28 AVG. TransIP is ISO 27001 gecertificeerd.
• Anthropic — leverancier van de AI-functie waarmee uw coach een concept-sessieverslag kan laten opstellen. Wordt die functie voor u gebruikt, dan worden uw voortgangsgegevens, uw antwoorden uit het intakeformulier (waaronder blessures, klachten en leefstijlvragen), uw eigen weekreflecties en de notities van uw coach naar die dienst gestuurd om het verslag te maken. Uw naam wordt daarbij bewust niet meegestuurd. Er is een verwerkersovereenkomst gesloten conform art. 28 AVG. De gegevens worden niet gebruikt om modellen te trainen. Deze verwerking vindt plaats buiten de EER; zie hieronder.

Wij verkopen uw gegevens nooit aan derden.

Doorgifte buiten de EER. De AI-functie hierboven verwerkt gegevens buiten de Europese Economische Ruimte. Die doorgifte is gedekt door een verwerkersovereenkomst met de standaardcontractbepalingen van de Europese Commissie (art. 46 AVG). Alle overige verwerkingen blijven binnen Nederland. Wilt u niet dat de AI-functie voor u wordt gebruikt, laat dat dan weten aan uw coach; de functie staat per deelnemer apart aan of uit en is nooit standaard ingeschakeld.

6. Beveiliging

Wij treffen de volgende technische en organisatorische maatregelen:

• Versleutelde verbindingen via HTTPS/TLS op shapetracker.nl
• Wachtwoorden worden opgeslagen als versleutelde hash (bcrypt)
• Rolgebaseerde toegangsbeheersing (deelnemer / coach / hoofdcoach)
• Voortgangsfoto's opgeslagen buiten de publiek toegankelijke map; directe URL-raadpleging vereist authenticatie
• Dagelijkse versleutelde back-ups via TransIP met minimaal 14 dagen retentie
• Inzage van een deelnemersdossier door een coach, en elke export, worden geregistreerd in een audit log
• Het audit log wordt na 12 maanden gewist; toelichtingen daarin al na 90 dagen
• Bij een datalek wordt binnen 72 uur melding gedaan bij de Autoriteit Persoonsgegevens (art. 33 AVG)

7. Uw rechten

Op grond van de AVG heeft u de volgende rechten. Verzoeken worden behandeld binnen 30 dagen via info@shirleyverduin.nl:

• Inzage (art. 15) — overzicht opvragen van uw opgeslagen gegevens
• Rectificatie (art. 16) — onjuiste gegevens laten corrigeren
• Verwijdering (art. 17) — verzoek uw gegevens te wissen (tenzij wettelijke bewaarplicht)
• Beperking (art. 18) — verwerking tijdelijk laten opschorten
• Dataportabiliteit (art. 20) — uw gegevens opvragen in leesbaar formaat (JSON/CSV)
• Bezwaar (art. 21) — bezwaar maken tegen verwerking op basis van gerechtvaardigd belang
• Toestemming intrekken — eerder gegeven toestemming te allen tijde intrekken via uw coach of per e-mail

U heeft het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

8. Wijzigingen

Wij behouden het recht dit privacybeleid te wijzigen. De meest recente versie is altijd beschikbaar op shapetracker.nl/privacybeleid. Bij belangrijke wijzigingen informeren wij u per e-mail.

S.H.A.P.E. Coaching — KvK 97690813 — shirleyverduin.nl — Versie 2.0 — 27-08-2026