Verwerkersovereenkomst GymFlow

Versie: 1.0 · Datum: 23 juni 2026

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") maakt onlosmakelijk deel uit van de tussen partijen gesloten overeenkomst over het gebruik van de Dienst ("Hoofdovereenkomst").

Partijen:

1. De Klant — de sportschool, fitclub of studio die gebruikmaakt van de Dienst, zoals geïdentificeerd in de Hoofdovereenkomst, hierna: de "Verwerkingsverantwoordelijke"; en

2. Jawkou Trading B.V., handelend onder de naam GymFlow, gevestigd te Bussele 14, 5469 DT Erp, KvK 77117190, hierna: "GymFlow" of de "Verwerker".

Hierna gezamenlijk: "Partijen".

Overwegende dat:

• GymFlow op grond van de Hoofdovereenkomst een SaaS-platform levert waarmee de Verwerkingsverantwoordelijke haar sportschool organiseert en op de markt brengt;
• GymFlow daarbij persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke;
• Partijen met deze Verwerkersovereenkomst uitvoering geven aan artikel 28 lid 3 AVG.

Artikel 1 — Definities

Begrippen uit de AVG (zoals persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens, subverwerker) hebben in deze Verwerkersovereenkomst de betekenis die de AVG daaraan geeft. Verder geldt:

1.1 AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming) en de daarop gebaseerde nationale uitvoeringswetgeving. 1.2 Dienst: het door GymFlow geleverde platform zoals omschreven in de Hoofdovereenkomst. 1.3 Persoonsgegevens: de persoonsgegevens die GymFlow in het kader van de Dienst namens de Verwerkingsverantwoordelijke verwerkt, zoals nader omschreven in Bijlage 1. 1.4 Subverwerker: een door GymFlow ingeschakelde derde die in opdracht van GymFlow Persoonsgegevens verwerkt.

Artikel 2 — Onderwerp, aard en doel van de verwerking

2.1 GymFlow verwerkt de Persoonsgegevens uitsluitend ten behoeve van het leveren van de Dienst aan de Verwerkingsverantwoordelijke en voor de doeleinden die zijn omschreven in Bijlage 1. 2.2 De aard en het doel van de verwerking, de categorieën betrokkenen en de soorten Persoonsgegevens zijn vastgelegd in Bijlage 1. 2.3 GymFlow verwerkt de Persoonsgegevens niet voor eigen doeleinden, behoudens voor zover dit wettelijk is toegestaan of vereist, of voor zover het geanonimiseerde/geaggregeerde gegevens betreft die niet herleidbaar zijn tot een betrokkene.

Artikel 3 — Instructies van de Verwerkingsverantwoordelijke

3.1 GymFlow verwerkt de Persoonsgegevens uitsluitend op basis van schriftelijke, gedocumenteerde instructies van de Verwerkingsverantwoordelijke, waaronder de Hoofdovereenkomst, deze Verwerkersovereenkomst en het gebruik van de functionaliteiten van de Dienst, tenzij een wettelijke verplichting GymFlow tot verwerking noodzaakt. In dat laatste geval stelt GymFlow de Verwerkingsverantwoordelijke vooraf op de hoogte, tenzij de wet dit verbiedt. 3.2 GymFlow stelt de Verwerkingsverantwoordelijke onverwijld in kennis indien een instructie naar haar oordeel in strijd is met de AVG of andere gegevensbeschermingswetgeving. 3.3 De Verwerkingsverantwoordelijke staat ervoor in dat zij gerechtigd is de Persoonsgegevens te (laten) verwerken en dat zij over een geldige verwerkingsgrondslag beschikt. De Verwerkingsverantwoordelijke vrijwaart GymFlow tegen aanspraken van derden die voortvloeien uit het niet-naleven hiervan.

Artikel 4 — Geheimhouding

4.1 GymFlow waarborgt dat de personen die zij machtigt om Persoonsgegevens te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden. 4.2 GymFlow beperkt de toegang tot de Persoonsgegevens tot de medewerkers voor wie toegang noodzakelijk is voor de uitvoering van de Dienst.

Artikel 5 — Beveiliging

5.1 GymFlow neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, een en ander conform artikel 32 AVG. Deze maatregelen zijn beschreven in Bijlage 3. 5.2 GymFlow houdt bij het bepalen van de maatregelen rekening met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en doeleinden van de verwerking, alsmede met de risico's voor de betrokkenen. 5.3 GymFlow mag de maatregelen aanpassen, mits het beveiligingsniveau daarbij niet wezenlijk afneemt.

Artikel 6 — Subverwerkers

6.1 De Verwerkingsverantwoordelijke verleent GymFlow hierbij een algemene toestemming om Subverwerkers in te schakelen. De op het moment van ondertekening bekende Subverwerkers zijn opgenomen in Bijlage 2. 6.2 GymFlow legt aan elke Subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze Verwerkersovereenkomst, met name passende beveiligingsmaatregelen. GymFlow blijft jegens de Verwerkingsverantwoordelijke aansprakelijk voor het nakomen van de verplichtingen door de Subverwerker. 6.3 GymFlow informeert de Verwerkingsverantwoordelijke over voorgenomen wijzigingen inzake toevoeging of vervanging van Subverwerkers, en biedt de Verwerkingsverantwoordelijke de gelegenheid om binnen 14 dagen op redelijke gronden bezwaar te maken. Bij een gegrond bezwaar treden Partijen in overleg; komen zij niet tot een oplossing, dan mag de Verwerkingsverantwoordelijke het betreffende onderdeel van de Dienst opzeggen.

Artikel 7 — Bijstand bij rechten van betrokkenen

7.1 GymFlow verleent de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, redelijke bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van haar plicht om te reageren op verzoeken van betrokkenen ter uitoefening van hun rechten (inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar). 7.2 Ontvangt GymFlow rechtstreeks een verzoek van een betrokkene, dan stuurt zij dit verzoek door aan de Verwerkingsverantwoordelijke en/of verwijst zij de betrokkene naar de Verwerkingsverantwoordelijke. GymFlow geeft zelf geen inhoudelijk gevolg aan het verzoek, tenzij in opdracht van de Verwerkingsverantwoordelijke.

Artikel 8 — Bijstand bij beveiliging, datalekken en beoordelingen

GymFlow verleent de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de haar ter beschikking staande informatie, redelijke bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, waaronder de beveiliging van de verwerking, de melding van datalekken en het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) en eventuele voorafgaande raadpleging.

Artikel 9 — Inbreuken in verband met persoonsgegevens (datalekken)

9.1 GymFlow informeert de Verwerkingsverantwoordelijke zonder onredelijke vertraging nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de door haar verwerkte Persoonsgegevens betreft. 9.2 De melding bevat ten minste de informatie die de Verwerkingsverantwoordelijke nodig heeft om te voldoen aan een eventuele meldplicht, waaronder, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen. 9.3 De beoordeling of de inbreuk moet worden gemeld bij de Autoriteit Persoonsgegevens en/of de betrokkenen, en de eventuele melding zelf, is de verantwoordelijkheid van de Verwerkingsverantwoordelijke. GymFlow verricht zelf geen melding bij de toezichthouder namens de Verwerkingsverantwoordelijke, tenzij anders overeengekomen.

Artikel 10 — Doorgifte buiten de EER

10.1 GymFlow verwerkt en slaat de Persoonsgegevens op binnen de Europese Unie / Europese Economische Ruimte. 10.2 Voor zover bij de verwerking toch sprake is van doorgifte naar of toegang vanuit een land buiten de EER (bijvoorbeeld doordat een Subverwerker onderdeel is van een concern met een vestiging buiten de EER), zorgt GymFlow voor een geldig transfermechanisme onder hoofdstuk V AVG, zoals een adequaatheidsbesluit, de modelcontractbepalingen (Standard Contractual Clauses) en/of het EU-VS Data Privacy Framework. De relevante waarborgen per Subverwerker zijn vermeld in Bijlage 2.

Artikel 11 — Audits en controle

11.1 GymFlow stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG en deze Verwerkersovereenkomst aan te tonen. 11.2 GymFlow maakt audits, waaronder inspecties, door de Verwerkingsverantwoordelijke of een door haar gemachtigde auditor mogelijk en draagt daaraan bij, met inachtneming van het volgende:

• (a) een audit vindt plaats na schriftelijke aankondiging van ten minste 30 dagen, maximaal eenmaal per jaar, tenzij een concreet vermoeden van een tekortkoming of een aanwijzing van de toezichthouder een extra audit rechtvaardigt;
• (b) GymFlow mag in eerste instantie voldoen aan een auditverzoek door het overleggen van een actueel onafhankelijk auditrapport of certificering (zoals ISO 27001 of SOC 2, indien aanwezig);
• (c) de audit verstoort de bedrijfsvoering van GymFlow zo min mogelijk; de auditor neemt geheimhouding in acht;
• (d) de kosten van een door de Verwerkingsverantwoordelijke geïnitieerde audit komen voor haar rekening, tenzij uit de audit een wezenlijke tekortkoming van GymFlow blijkt.

Artikel 12 — Teruggave en verwijdering na afloop

12.1 Na het einde van de Hoofdovereenkomst, en naar keuze van de Verwerkingsverantwoordelijke, verwijdert GymFlow de Persoonsgegevens of bezorgt zij deze terug, en verwijdert zij bestaande kopieën, tenzij Unie- of lidstaatrecht opslag van de Persoonsgegevens voorschrijft. 12.2 De wijze en termijnen van export en verwijdering, waaronder de grace period en de doorwerking in backups, zijn nader uitgewerkt in het Data- en Bewaarbeleid van GymFlow. 12.3 Op verzoek bevestigt GymFlow schriftelijk dat zij aan haar verwijderingsverplichtingen heeft voldaan.

Artikel 13 — Aansprakelijkheid

13.1 De aansprakelijkheid van Partijen onder deze Verwerkersovereenkomst wordt beheerst door de aansprakelijkheidsregeling in de Hoofdovereenkomst, voor zover dwingend recht (waaronder artikel 82 AVG inzake aanspraken van betrokkenen) zich daartegen niet verzet. 13.2 Niets in deze Verwerkersovereenkomst beperkt de rechten van betrokkenen onder de AVG.

Artikel 14 — Duur, wijziging en slotbepalingen

14.1 Deze Verwerkersovereenkomst treedt in werking gelijktijdig met de Hoofdovereenkomst en eindigt van rechtswege bij het einde daarvan. Verplichtingen die naar hun aard voortduren (zoals geheimhouding en verwijdering) blijven nadien van kracht. 14.2 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Hoofdovereenkomst prevaleert, uitsluitend op het punt van de verwerking van persoonsgegevens, deze Verwerkersovereenkomst. 14.3 Wijzigingen die noodzakelijk zijn vanwege gewijzigde wet- of regelgeving of aanwijzingen van een toezichthouder kunnen door GymFlow worden doorgevoerd na aankondiging aan de Verwerkingsverantwoordelijke. 14.4 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Oost-Brabant.

Deze Verwerkersovereenkomst wordt elektronisch aanvaard bij het aangaan van de Hoofdovereenkomst en treedt daarmee gelijktijdig in werking.

Bijlage 1 — Beschrijving van de verwerking

Onderwerp van de verwerking: het leveren van het GymFlow-platform aan de Verwerkingsverantwoordelijke ten behoeve van de organisatie, administratie en marketing van haar sportschool.

Duur: voor de duur van de Hoofdovereenkomst, plus de in het Data- en Bewaarbeleid genoemde termijnen voor export en verwijdering.

Aard en doel: het opslaan, raadplegen, bewerken, ordenen en anderszins verwerken van persoonsgegevens die nodig zijn voor leden-, abonnements-, betaal-, communicatie- en marketingfunctionaliteiten van de Dienst.

Categorieën betrokkenen:

• leden / klanten van de Verwerkingsverantwoordelijke;
• prospects / leads van de Verwerkingsverantwoordelijke;
• medewerkers en trainers van de Verwerkingsverantwoordelijke (gebruikers).

Soorten persoonsgegevens:

• identificatie- en contactgegevens (naam, e-mail, telefoon, adres, geboortedatum);
• lidmaatschaps- en bezoekgegevens (abonnement, check-ins, reserveringen);
• betaal- en transactiegegevens (voor zover via de Dienst verwerkt);
• communicatiegegevens;
• optioneel: voortgangs-/coachinggegevens.

Bijlage 2 — Subverwerkers

Een actuele lijst van Subverwerkers is op aanvraag beschikbaar via info@jawkoutrading.com.

Bijlage 3 — Technische en organisatorische beveiligingsmaatregelen

GymFlow treft ten minste de volgende maatregelen (art. 32 AVG):

Toegangsbeveiliging

• rollen- en rechtenbeheer met toegang op need-to-know-basis;
• sterk wachtwoordbeleid en, waar passend, meervoudige authenticatie (MFA) voor beheerderstoegang;
• logging en monitoring van toegang tot Persoonsgegevens.

Versleuteling

• versleuteling van gegevens tijdens transport (TLS);
• versleuteling van gegevens in rust (at rest).

Continuïteit en herstel

• periodieke, versleutelde backups;
• procedures voor herstel van beschikbaarheid en toegang na een incident.

Organisatie

• geheimhoudingsverplichtingen voor medewerkers;
• beleid voor het melden en afhandelen van beveiligingsincidenten en datalekken;
• afspraken met Subverwerkers conform deze Verwerkersovereenkomst;
• periodieke evaluatie en, waar nodig, bijstelling van de maatregelen.

Contact Jawkou Trading B.V. (GymFlow) · Bussele 14, 5469 DT Erp · info@jawkoutrading.com · KvK 77117190