Data- en Bewaarbeleid GymFlow
Bewaartermijnen, export en verwijdering van gegevens
Versie: 1.0 · Datum: 23 juni 2026 · Beheerder: Jawkou Trading B.V. (GymFlow)
1. Doel en reikwijdte
Dit beleid beschrijft hoe GymFlow omgaat met het bewaren, exporteren en verwijderen van gegevens binnen de Dienst. Het geldt voor alle gegevens die via het GymFlow-platform worden verwerkt en is bedoeld om transparantie te bieden en te voldoen aan de AVG. Dit beleid vormt een aanvulling op de Algemene Voorwaarden, het Privacybeleid en de Verwerkersovereenkomst; bij strijdigheid over gegevensbescherming prevaleert de Verwerkersovereenkomst.
2. Rollen: verantwoordelijke en verwerker
GymFlow vervult twee rollen onder de AVG:
- Verwerker — voor persoonsgegevens van Leden die de sportschool (Klant) via de Dienst verwerkt. De sportschool bepaalt doel en middelen en is verwerkingsverantwoordelijke; GymFlow handelt op haar instructie.
- Verwerkingsverantwoordelijke — voor de gegevens van haar eigen klanten (de sportscholen en hun contactpersonen), van websitebezoekers en voor administratieve gegevens.
De rolverdeling bepaalt wie een verzoek tot inzage, export of verwijdering mag indienen en afhandelen (zie hoofdstuk 7).
3. Categorieën gegevens
| Categorie | Voorbeelden | Rol GymFlow |
|---|---|---|
| Accountgegevens Klant | naam sportschool, contactpersoon, e-mail, inloggegevens | Verantwoordelijke |
| Administratie/facturatie | abonnement, betaalstatus, facturen | Verantwoordelijke |
| Ledengegevens | NAW, e-mail, lidmaatschap, check-ins, betalingen, eventuele gezondheids-/voortgangsdata | Verwerker (namens Klant) |
| Gebruiks- en logdata | loginlogs, technische logs, apparaatdata | Verwerker/Verantwoordelijke (afh. van context) |
| Websitegegevens | contact-/leadformulier, analytics, cookies | Verantwoordelijke |
4. Bewaartermijnen
GymFlow bewaart gegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld, of zoals wettelijk vereist.
| Gegevens | Bewaartermijn | Grondslag |
|---|---|---|
| Ledengegevens (verwerker) | Gedurende de Overeenkomst met de sportschool; daarna conform hoofdstuk 6 | Instructie Klant / AVG |
| Accountgegevens Klant | Gedurende de Overeenkomst + 1 jaar, uitsluitend voor noodzakelijke doeleinden | Uitvoering overeenkomst |
| Facturen en fiscale administratie | 7 jaar | Wettelijke bewaarplicht (art. 52 AWR) |
| Technische logs / beveiligingslogs | maximaal 12 maanden | Gerechtvaardigd belang / beveiliging |
| Backups | Roterend, maximaal 90 dagen | Continuïteit (zie hoofdstuk 6) |
| Lead-/contactformulier | 12 maanden na laatste contact | Gerechtvaardigd belang / toestemming |
5. Export van gegevens (dataportabiliteit)
5.1 Klant kan op elk moment tijdens de looptijd van de Overeenkomst de via de Dienst opgeslagen Klantgegevens exporteren, via de daarvoor bestemde exportfunctie in de Dienst en/of op verzoek via info@jawkoutrading.com.
5.2 Export wordt aangeboden in een gangbaar, gestructureerd en machineleesbaar formaat (zoals CSV en/of JSON).
5.3 Bij beëindiging van de Overeenkomst kan Klant binnen een termijn van 30 dagen na de einddatum een laatste export opvragen. Na afloop van deze termijn vervalt deze mogelijkheid en worden de gegevens verwijderd conform hoofdstuk 6.
5.4 GymFlow handelt een exportverzoek binnen een redelijke termijn af, in beginsel binnen 30 dagen.
5.5 Verzoeken van individuele Leden om dataportabiliteit lopen via de sportschool (verantwoordelijke); zie hoofdstuk 7.
6. Verwijdering van gegevens
6.1 Verwijdering op verzoek
Klant kan verzoeken om verwijdering van (een deel van) de Klantgegevens. GymFlow voert een dergelijk verzoek uit conform de instructies van Klant en de Verwerkersovereenkomst, tenzij een wettelijke bewaarplicht zich daartegen verzet.
6.2 Verwijdering na einde Overeenkomst
Na het einde van de Overeenkomst en na afloop van de exporttermijn (hoofdstuk 5.3) verwijdert of anonimiseert GymFlow de Klantgegevens binnen 30 dagen, behoudens gegevens die op grond van een wettelijke plicht langer moeten worden bewaard (zoals facturen).
6.3 Grace period
Gedurende een grace period van 30 dagen na het einde van de Overeenkomst blijven gegevens herstelbaar, zodat per ongeluk beëindigde accounts kunnen worden hersteld. Daarna start de definitieve verwijdering.
6.4 Verwijdering uit backups
Verwijderde gegevens kunnen tijdelijk in versleutelde backups aanwezig blijven. Deze backups roteren en worden na maximaal 90 dagen overschreven, waarna de gegevens ook daaruit definitief verdwijnen. Gedurende die periode worden de gegevens niet meer actief verwerkt en alleen gebruikt voor herstel bij calamiteiten.
6.5 Definitieve verwijdering
Na de in dit hoofdstuk genoemde termijnen zijn de gegevens definitief en onomkeerbaar verwijderd of geanonimiseerd uit de productie-omgeving en backups.
7. Rechten van betrokkenen (Leden)
7.1 Leden hebben onder de AVG rechten ten aanzien van hun persoonsgegevens (inzage, rectificatie, verwijdering, beperking, bezwaar en dataportabiliteit).
7.2 Omdat de sportschool voor ledengegevens verantwoordelijke is, richten Leden hun verzoeken aan de sportschool. Ontvangt GymFlow een verzoek rechtstreeks van een Lid, dan verwijst GymFlow het Lid naar de betreffende sportschool en/of stelt zij de sportschool hiervan op de hoogte.
7.3 GymFlow ondersteunt de sportschool bij het afhandelen van dergelijke verzoeken, conform de Verwerkersovereenkomst, en stelt waar nodig functionaliteit beschikbaar om gegevens in te zien, te corrigeren of te verwijderen.
8. Subverwerkers en locatie van opslag
8.1 GymFlow maakt voor de levering van de Dienst gebruik van subverwerkers (zoals hosting-, opslag-, e-mail-, sms-, analytics- en betaaldienstverleners). Voor hosting en opslag gebruikt GymFlow Google Firebase, geconfigureerd voor opslag binnen de Europese Unie. Een actuele lijst van subverwerkers is opgenomen in de Verwerkersovereenkomst of op aanvraag beschikbaar via info@jawkoutrading.com.
8.2 Gegevens worden opgeslagen binnen de Europese Unie. Omdat de betreffende dienstverlener onderdeel is van een concern met een vestiging buiten de EER (Google LLC, VS), kan toegang van buiten de EER in uitzonderlijke gevallen (zoals beheer of support) niet volledig worden uitgesloten. Voor het verzenden van sms-berichten maakt GymFlow daarnaast gebruik van Twilio (Twilio Inc., Verenigde Staten), waarbij gegevens buiten de EER worden verwerkt. Voor deze doorgiften gelden passende waarborgen, zoals de modelcontractbepalingen (Standard Contractual Clauses) en/of het EU-VS Data Privacy Framework.
9. Beveiliging
GymFlow neemt passende technische en organisatorische maatregelen om gegevens te beschermen tegen verlies of onrechtmatige verwerking, waaronder versleuteling in transit en at rest, toegangsbeheer en autorisatie, logging en monitoring, periodieke backups, en het testen van maatregelen. De maatregelen zijn nader beschreven in Bijlage 3 van de Verwerkersovereenkomst.
10. Datalekken
Bij een inbreuk in verband met persoonsgegevens informeert GymFlow de betrokken sportschool (verantwoordelijke) zonder onredelijke vertraging, conform de Verwerkersovereenkomst en artikel 33 AVG, zodat de sportschool kan beoordelen of melding bij de Autoriteit Persoonsgegevens en/of betrokkenen nodig is. Voor gegevens waarvoor GymFlow zelf verantwoordelijke is, beoordeelt en meldt GymFlow zelf.
11. Wijzigingen en contact
11.1 GymFlow mag dit beleid wijzigen. De actuele versie is beschikbaar op gymflow.nl/data-bewaarbeleid. Wezenlijke wijzigingen worden aangekondigd.
11.2 Vragen of verzoeken over dit beleid: info@jawkoutrading.com · Jawkou Trading B.V. (GymFlow), Bussele 14, 5469 DT Erp.