Privacyverklaring

1.1 Verwerkingen waarvoor PSE-Hub zelf verantwoordelijk is

PSE-Hub is verwerkingsverantwoordelijke voor persoonsgegevens die PSE-Hub voor eigen doeleinden verwerkt, bijvoorbeeld voor:

• het beheren van accounts van coaches, beheerders en Organisaties;
• abonnementen, facturatie en klantenadministratie;
• vragen, contactverzoeken en support;
• beveiliging van het platform en het voorkomen van misbruik;
• technische logging en foutanalyse;
• de eigen marketingwebsite, voor zover daarbij persoonsgegevens worden verwerkt.

1.2 Verwerkingen namens Organisaties

Wanneer een coach, sportschool of andere Organisatie PSE-Hub gebruikt voor de begeleiding van eigen cliënten, is die Organisatie in beginsel de verwerkingsverantwoordelijke voor de persoonsgegevens van haar cliënten. PSE-Hub verwerkt die gegevens dan als verwerker, uitsluitend in opdracht van de Organisatie en overeenkomstig de verwerkersovereenkomst.

De Organisatie bepaalt onder meer voor welke doelen cliëntgegevens worden verwerkt, welke gegevens noodzakelijk zijn en op welke AVG-grondslag en, waar van toepassing, uitzondering voor bijzondere persoonsgegevens de verwerking berust.

Een cliënt die vragen heeft over de verwerking binnen de omgeving van zijn of haar coach of sportschool, kan zich daarom in eerste instantie tot die Organisatie wenden.

Welke persoonsgegevens worden verwerkt, hangt af van de manier waarop PSE-Hub wordt gebruikt.

2.1 Coaches, beheerders en Organisaties

PSE-Hub kan onder meer de volgende gegevens verwerken:

• naam;
• e-mailadres;
• telefoonnummer;
• account- en inloggegevens;
• bedrijfs- en organisatiegegevens;
• abonnementsgegevens;
• factuur- en betaalstatus;
• correspondentie en supportverzoeken;
• technische gegevens, zoals IP-adres, apparaatgegevens, inlogmomenten en beveiligingslogs.

2.2 Websitebezoekers, contactpersonen en leads

Wanneer iemand de website bezoekt of contact opneemt, kan PSE-Hub onder meer verwerken:

• naam;
• e-mailadres;
• telefoonnummer;
• organisatie- of bedrijfsnaam;
• inhoud van een bericht of aanvraag;
• technische gegevens die nodig zijn voor beveiliging, werking van de website of, indien van toepassing, analytics.

Voor cookies en vergelijkbare technieken geldt daarnaast de afzonderlijke Cookieverklaring.

2.3 Cliënten van Organisaties

Afhankelijk van de functionaliteiten die een Organisatie gebruikt, kan PSE-Hub namens die Organisatie onder meer de volgende gegevens verwerken:

Identificatie- en contactgegevens

• voor- en achternaam;
• e-mailadres;
• telefoonnummer;
• geboortedatum;
• geslacht, voor zover door de Organisatie gebruikt.

Coaching- en voortgangsgegevens

• trainingsschema's;
• workoutlogs, waaronder oefeningen, sets, herhalingen, gewicht en RPE/RIR;
• voedingsschema's en voedingslogs;
• check-ins en antwoorden op door de Organisatie ingestelde vragen;
• dagelijkse voortgangsregistraties, zoals gewicht, lichaamsomtrekken, slaap, waterinname, stappen en stemming;
• voortgangsfoto's;
• chatberichten tussen cliënt en coach;
• documenten die door de cliënt of Organisatie worden toegevoegd, waaronder eventueel bloeduitslagen of andere gezondheidsdocumenten.

Wearable- en gezondheidsdata

• gegevens die, na technische toestemming van de gebruiker, vanuit Apple HealthKit of Google Health Connect aan het platform beschikbaar worden gesteld;
• uitsluitend de categorieën waarvoor de gebruiker binnen het betreffende besturingssysteem toegang heeft gegeven en die door de Organisatie binnen PSE-Hub worden gebruikt.

Status- en technische gegevens

• pakket- of planstatus;
• betaalstatus en betaalgegevens die nodig zijn voor betalingen aan de Organisatie, zoals een betaallink via het Mollie-account van de Organisatie, gegevens van een incassomachtiging (zoals IBAN) en een logboek van betalingen;
• IP-adres, apparaatgegevens, inlogmomenten, beveiligingslogs en technische foutgegevens.

Een deel van de cliëntgegevens kan bestaan uit gezondheidsgegevens en daarmee uit bijzondere persoonsgegevens in de zin van artikel 9 AVG.

De Organisatie is ervoor verantwoordelijk dat zij voor deze verwerking beschikt over:

1. een geldige grondslag uit artikel 6 AVG; én
2. waar vereist, een toepasselijke uitzondering op het verbod van artikel 9 AVG.

Dat kan, afhankelijk van de situatie, bijvoorbeeld uitdrukkelijke toestemming zijn. PSE-Hub bepaalt niet zelfstandig welke rechtsgrond of uitzondering de Organisatie voor haar coaching gebruikt en garandeert niet dat één specifieke grondslag in alle situaties passend is.

PSE-Hub verwerkt cliëntgegevens uitsluitend volgens de instructies van de Organisatie en overeenkomstig de verwerkersovereenkomst.

Wanneer persoonsgegevens van minderjarigen worden verwerkt, gelden aanvullende regels.

Als een verwerking op toestemming berust en artikel 8 AVG niet van toepassing is, is in Nederland voor een betrokkene jonger dan 16 jaar in beginsel toestemming van de wettelijke vertegenwoordiger vereist, voor zover geen bijzondere wettelijke regeling geldt.

Sinds 1 september 2026 geldt daarnaast onder de Uitvoeringswet AVG onder meer:

• een betrokkene van 12 jaar of ouder kan toestemming ook zelf intrekken;
• van 12 tot 16 jaar kunnen AVG-rechten zowel door de minderjarige als door de wettelijke vertegenwoordiger worden uitgeoefend;
• onder 12 jaar worden deze rechten in beginsel door de wettelijke vertegenwoordiger uitgeoefend.

De Organisatie blijft verantwoordelijk voor het beoordelen welke regels in de concrete situatie gelden, waaronder regels over vertegenwoordiging, coaching en eventuele bijzondere wettelijke regelingen.

PSE-Hub kan technische hulpmiddelen bieden om leeftijd, toestemming of vertegenwoordiging te registreren. Zulke hulpmiddelen zijn administratieve ondersteuning en vormen geen zelfstandige juridische beoordeling of garantie dat een toestemming rechtsgeldig is.

5.1 Wanneer PSE-Hub zelf verwerkingsverantwoordelijke is

PSE-Hub kan persoonsgegevens verwerken voor de volgende doelen:

Doel	Mogelijke AVG-grondslag
Accountbeheer en uitvoering van het abonnement	Uitvoering van de overeenkomst
Facturatie en administratie	Uitvoering overeenkomst en wettelijke verplichting
Beantwoorden van vragen en support	Uitvoering overeenkomst en/of gerechtvaardigd belang
Beveiliging, fraudepreventie en misbruikdetectie	Gerechtvaardigd belang
Technische logging en crashanalyse	Gerechtvaardigd belang
Voldoen aan wettelijke verplichtingen	Wettelijke verplichting
Marketing waarvoor toestemming nodig is	Toestemming

Wanneer PSE-Hub zich beroept op een gerechtvaardigd belang, wordt daarbij afgewogen of dat belang opweegt tegen de privacybelangen van betrokkenen.

5.2 Wanneer PSE-Hub verwerker is

Voor cliëntgegevens bepaalt de Organisatie als verwerkingsverantwoordelijke de doelen en rechtsgronden. PSE-Hub verwerkt deze gegevens niet voor eigen coaching-, marketing- of profileringsdoeleinden.

Wanneer een cliënt een koppeling met Apple HealthKit of Google Health Connect activeert, geeft die cliënt via het besturingssysteem technische toestemming voor toegang tot geselecteerde gegevenscategorieën.

Deze systeemtoestemming bepaalt welke gegevens technisch mogen worden uitgelezen. De Organisatie blijft daarnaast verantwoordelijk voor de AVG-rechtmatigheid van het gebruik van die gegevens binnen haar coaching.

PSE-Hub leest alleen gegevens uit waarvoor binnen het apparaat of platform toegang is verleend en die nodig zijn voor de ingeschakelde functionaliteit.

PSE-Hub deelt persoonsgegevens alleen wanneer dat nodig is voor de dienstverlening, om aan wettelijke verplichtingen te voldoen of wanneer daarvoor een andere geldige grond bestaat.

PSE-Hub maakt gebruik van de volgende partijen:

Partij	Functie	Rol/opmerking
Nhost	Database, authenticatie, opslag en backend-infrastructuur	Verwerker/subverwerker; hosting in de EU (Frankfurt)
Moneybird (incl. Moneybird Payments, dat onderwater op Mollie draait)	Boekhouding, facturatie en betalingen richting Organisaties	Verwerker en voor bepaalde financiële diensten mogelijk zelfstandig verwerkingsverantwoordelijke
Firebase Crashlytics / Google	Technische crashrapportage van de mobiele app	Alleen technische fout- en apparaatgegevens; geen inhoudelijke cliënt- of gezondheidsgegevens in crashvelden opnemen
Resend	Versturen van transactionele en service-e-mails, waaronder berichten via het contactformulier van de website	Verwerker
Cloudflare	Hosting van de website en het coachdashboard, beveiliging (waaronder Turnstile-spambescherming), opslag van aanmeldingen voor vroege toegang en van afbeeldingen, en cookievrije bezoekstatistieken (Web Analytics)	Verwerker
Anthropic	AI-supportassistent in het platform (zie artikel 14)	Verwerker; verwerking kan buiten de EER plaatsvinden (zie artikel 8)
Apple / Google	Technische toegang via HealthKit / Health Connect	Platformleveranciers; geen algemene subverwerker voor alle PSE-Hub-data
Firebase Cloud Messaging / Google	Versturen van pushmeldingen naar de app	Verwerker

Daarnaast gebruikt PSE-Hub enkele externe diensten die geen persoonsgegevens namens PSE-Hub bewaren: PDOK (adres opzoeken bij postcode), OpenFoodFacts (productgegevens bij een barcode), Have I Been Pwned (controle of een wachtwoord in een bekend datalek voorkomt; alleen een klein deel van een versleutelde code van het wachtwoord gaat mee) en YouTube (oefenvideo's, via youtube-nocookie.com). In de webversie van de app (app.pse-hub.nl) worden tekens die niet in de meegeleverde lettertypen zitten, zoals emoji, getoond met een Noto-lettertype dat de browser dan bij Google (fonts.gstatic.com) ophaalt; daarbij ziet Google het IP-adres en browsergegevens.

PSE-Hub verkoopt geen persoonsgegevens en verstrekt cliëntgegevens niet aan derden voor hun eigen reclame- of marketingdoeleinden.

PSE-Hub houdt de actuele lijst van partijen die namens PSE-Hub persoonsgegevens verwerken bij in het verwerkingsregister en, voor zover van toepassing, in de verwerkersovereenkomst.

PSE-Hub kiest waar redelijkerwijs mogelijk voor verwerking binnen de Europese Economische Ruimte.

Sommige dienstverleners of hun subverwerkers kunnen persoonsgegevens buiten de EER verwerken. In dat geval wordt beoordeeld of een geldige doorgiftegrondslag aanwezig is, bijvoorbeeld:

• een adequaatheidsbesluit van de Europese Commissie;
• het EU-US Data Privacy Framework voor zover de betreffende ontvanger daar geldig onder is gecertificeerd;
• of Standard Contractual Clauses, eventueel aangevuld met passende aanvullende maatregelen.

Per dienstverlener legt PSE-Hub vast welke doorgiftegrondslag van toepassing is.

Wanneer een Organisatie ondersteuning nodig heeft, kan tijdelijk toegang tot haar omgeving noodzakelijk zijn.

PSE-Hub richt supporttoegang zo in dat deze zoveel mogelijk wordt beperkt:

• toegang wordt alleen gebruikt voor een concreet supportdoel;
• toegang is tijdelijk en waar mogelijk technisch begrensd;
• toegang tot gevoelige inhoud en persoonsgegevens wordt zoveel mogelijk beperkt;
• toegang en relevante beheerhandelingen worden waar passend gelogd.

Voor zover PSE-Hub bij support cliëntgegevens bekijkt, gebeurt dit uitsluitend in het kader van de dienstverlening en volgens de afspraken met de Organisatie.

PSE-Hub bewaart persoonsgegevens niet langer dan nodig voor het doel waarvoor zij zijn verzameld, tenzij een langere bewaartermijn wettelijk verplicht of noodzakelijk is.

Uitgangspunten:

Gegevens	Uitgangspunt
Accountgegevens van Organisaties	Zolang het account of de overeenkomst actief is, gevolgd door een beperkte administratieve bewaartermijn waar nodig
Facturen en fiscale administratie	In beginsel 7 jaar voor zover de fiscale bewaarplicht van toepassing is
Contact- en supportcorrespondentie	Zolang nodig voor behandeling en een redelijke periode daarna
Technische en beveiligingslogs	Zo kort mogelijk en passend bij beveiligings- en onderzoeksdoeleinden
Crashrapporten	Volgens de ingestelde bewaartermijn en configuratie van de gebruikte crashdienst
Cliëntgegevens	Volgens de instructies en bewaartermijnen van de Organisatie en de verwerkersovereenkomst
Back-ups	Volgens het vastgestelde back-up- en uitfaseringsbeleid
Aanmeldingen voor vroege toegang (e-mailadres)	3 maanden na de aanmelding; daarna wordt het e-mailadres automatisch verwijderd. Meld je je opnieuw aan, dan gaan de 3 maanden opnieuw in. Het e-mailadres wordt alleen in de aanmeldlijst bij Cloudflare bewaard; PSE-Hub krijgt bij een nieuwe aanmelding een melding per e-mail zonder het e-mailadres
Gesprekken met de AI-supportassistent	90 dagen

Waar hierboven geen vaste termijn staat, legt PSE-Hub de termijn vast in het verwerkingsregister en, voor zover van toepassing, de verwerkersovereenkomst.

Een cliënt kan een verzoek tot verwijdering richten aan zijn of haar Organisatie. PSE-Hub ondersteunt de Organisatie bij de uitvoering van geldige verzoeken.

Wanneer PSE-Hub een rechtstreekse technische verwijderfunctie voor cliënten aanbiedt, gebeurt dit als onderdeel van de instructies die met de Organisatie zijn overeengekomen.

Bij een bevestigd verwijderverzoek wordt het account zo spoedig mogelijk buiten gebruik gesteld en worden de persoonsgegevens zonder onnodige vertraging verwijderd, behoudens gegevens die nog rechtmatig moeten worden bewaard of gedurende een beperkte technische periode in beveiligde back-ups aanwezig blijven.

De exacte werking, termijn en eventuele herstelperiode van de zelf-verwijderfunctie moeten overeenkomen met de daadwerkelijk gebouwde functionaliteit en de verwerkersovereenkomst.

Afhankelijk van de situatie kunnen betrokkenen onder meer recht hebben op:

• inzage;
• rectificatie;
• verwijdering;
• beperking van verwerking;
• overdraagbaarheid van gegevens;
• bezwaar tegen bepaalde verwerkingen;
• intrekking van toestemming, wanneer de verwerking daarop berust.

Voor cliëntgegevens die PSE-Hub namens een Organisatie verwerkt, is de Organisatie het eerste aanspreekpunt. PSE-Hub ondersteunt de Organisatie bij de behandeling van verzoeken voor zover dat op grond van de verwerkersovereenkomst nodig is.

Voor persoonsgegevens waarvoor PSE-Hub zelf verwerkingsverantwoordelijke is, kan een verzoek worden gestuurd aan info@pse-hub.nl.

Op een verzoek wordt in beginsel binnen één maand gereageerd. Deze termijn kan in de gevallen die de AVG toestaat worden verlengd. Als dat gebeurt, wordt de betrokkene daarover geïnformeerd.

Een klacht kan worden ingediend bij de Autoriteit Persoonsgegevens.

PSE-Hub treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen onder meer verlies, onbevoegde toegang, wijziging en ongeoorloofde verstrekking.

Die maatregelen omvatten onder meer:

• versleuteling van gegevens tijdens transport en waar passend bij opslag;
• rolgebaseerde toegangscontrole;
• scheiding tussen Organisaties;
• logging van relevante beheer- en beveiligingshandelingen;
• beperkte en tijdelijke supporttoegang;
• back-up- en herstelmaatregelen;
• update- en patchbeleid;
• afspraken met verwerkers en subverwerkers;
• procedures voor beveiligingsincidenten en datalekken.

Concrete technische maatregelen worden vastgelegd en onderhouden in de beveiligingsdocumentatie en de verwerkersovereenkomst.

PSE-Hub neemt op basis van persoonsgegevens geen uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen voor cliënten, tenzij dit later uitdrukkelijk wordt ingevoerd en vooraf juridisch en transparant wordt ingericht.

PSE-Hub gebruikt door Organisaties of cliënten aangeleverde inhoud en cliëntgegevens niet om eigen AI-modellen te trainen.

14.1 AI-supportassistent

In het platform zit een supportassistent die vragen over het gebruik van PSE-Hub beantwoordt. Deze assistent werkt met een taalmodel van Anthropic. Wat een gebruiker in de assistent typt, wordt daarvoor naar Anthropic gestuurd, samen met algemene uitleg over het platform en de naam en het adres van het scherm waarop de gebruiker op dat moment staat. Interne codes (ID's) in dat adres worden eerst vervangen door "[id]"; naam en andere gegevens van cliënten gaan niet mee. De assistent neemt geen besluiten over personen en heeft geen toegang tot trainings-, voedings- of gezondheidsgegevens van cliënten. Deel in de assistent daarom geen gezondheids- of andere gevoelige gegevens.

Gesprekken met de assistent worden 90 dagen bewaard om de kwaliteit te bewaken en misbruik te voorkomen, en daarna verwijderd.

Sommige persoonsgegevens zijn noodzakelijk om een account aan te maken, een abonnement uit te voeren, een functie te gebruiken of aan wettelijke verplichtingen te voldoen.

Wanneer noodzakelijke gegevens niet worden verstrekt, kan het zijn dat een account, specifieke functionaliteit of de dienstverlening niet beschikbaar kan worden gesteld.

PSE-Hub kan deze privacyverklaring wijzigen wanneer de dienstverlening, wetgeving of gebruikte dienstverleners veranderen.

Bij materiële wijzigingen die relevant zijn voor bestaande gebruikers wordt daarover op passende wijze geïnformeerd. De actuele versie en datum worden op de website beschikbaar gesteld.

PSE-Hub Hoevenhoek 23 8131 WP Wijhe KvK: 99894688 BTW: NL004066111B70 E-mail: info@pse-hub.nl