Privacyverklaring | JudoLytics

01Wie zijn wij

JudoLytics is een sportanalyseplatform voor judo. Wij helpen judoka's, trainers en clubbeheerders met het analyseren van wedstrijdprestaties, het bijhouden van trainingen en lichaamsmetingen, het monitoren van herstel, het opstellen van ontwikkelplannen en het beheren van judoclubs.

Verwerkingsverantwoordelijke: Bloei.ai

KvK-nummer: 66950376

Adres: Clavisstraat 33, 6515GA, Nijmegen, Nederland

E-mail: info@judolytics.com

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder voor de bescherming van persoonsgegevens. Meer informatie vind je op autoriteitpersoonsgegevens.nl.

02Welke gegevens verzamelen wij

Wij verzamelen alleen gegevens die noodzakelijk zijn voor het leveren van onze dienst of waarvoor wij een andere wettelijke grondslag hebben. Hieronder vind je een overzicht per categorie.

Categorie	Gegevens	Doel	Grondslag
Accountgegevens	E-mailadres, naam, geboortejaar, profielfoto	Accountbeheer en authenticatie	Uitvoering overeenkomst
Sportprestatiedata	Wedstrijduitslagen, scores, technieken, wedstrijdduur, gewichtsklasse	Analyse en prestatie-inzichten	Uitvoering overeenkomst
Strategische notities	Wedstrijdplannen, reflecties, tegenstandernotities	Persoonlijke wedstrijdvoorbereiding	Uitvoering overeenkomst
Tegenstandergegevens	Naam, land, geboortejaar, gewichtsklasse, IJF- en JudoManager-ID	Dossiervorming en analyse	Gerechtvaardigd belang
Betalingsgegevens	Stripe klant-ID, abonnementsstatus, factureringsperiode	Abonnementsbeheer en facturering	Uitvoering overeenkomst
Technische gegevens	IP-adres (bij registratie), browserinformatie (bij feedback), sessietokens	Beveiliging en foutopsporing	Gerechtvaardigd belang
Herstelgegevens	Slaapkwaliteit, fysiek herstel, energieniveau, stress, motivatie, spierpijn (elk op schaal 1-5), belastbaarheidsscore, herstelnotities	Herstelmonitoring en hersteladvies	Uitdrukkelijke toestemming (art. 9 AVG)
Trainingsgegevens	Sessiedatum, duur, type, zwaarte (RPE), trainingsbelasting, oefeningen, technieken, coach-notities, reflecties	Trainingsregistratie en belastingsmonitoring	Uitvoering overeenkomst
Lichaamsmetingen	Gewicht, lengte, vetpercentage, kracht-, uithoudingsvermogen-, power- en flexibiliteitsmetingen	Fysieke voortgang en prestatiemonitoring	Gezondheidsgegevens: uitdrukkelijke toestemming (art. 9 AVG) voor lichaamssamenstelling; uitvoering overeenkomst voor prestatiemetingen
Ontwikkelplannen	Doelen, categorieën (techniek, tactiek, kracht, mentaal, etc.), check-ins, zelfbeoordelingen, coach-feedback, voortgangsindicatoren	Persoonlijke ontwikkeling en doelbeheer	Uitvoering overeenkomst
Notificatievoorkeuren	E-mail- en push-instellingen, rustige uren, notificatietypes, frequentielimieten	Gepersonaliseerde communicatie	Uitvoering overeenkomst
Verwijzingsgegevens	Verwijzingscode, klik- en aanmeldregistratie, beloningsstatus	Verwijzingsprogramma en beloningen	Uitvoering overeenkomst
Herkomst van je aanmelding	Hoe je je aanmeldde (uitnodiging, clublink of verwijzing), campagneparameters (UTM), het domein van de website die naar ons verwees, de eerste pagina van je bezoek en, als je die vraag beantwoordt, hoe je ons vond	Meten welke kanalen nieuwe gebruikers opleveren; alleen geaggregeerd, nooit om jou persoonlijk te benaderen	Gerechtvaardigd belang
Advertentiemeting (Meta)	Of je je aanmeldde, een abonnement nam of betaalde (met bedrag en valuta); een gehashte versie van je e-mailadres en gebruikers-ID, je IP-adres, browserkenmerken en de Meta-cookies _fbp en _fbc; bij je aanmelding ook de ID van je keuze in de cookiebanner, als bewijs van je toestemming (die gaat niet naar Meta); heb je advertentiecookies toegestaan, dan bewaren we _fbp en _fbc van je aanmelding hooguit 7 dagen, om die aanmelding aan de advertentieklik te koppelen	Meten welke Meta-advertenties tot aanmeldingen en abonnementen leiden, en Meta die advertenties daarop laten afstemmen. Alleen als je volgens je geboortejaar zeker 16 jaar of ouder bent; nooit sport- of gezondheidsgegevens	Toestemming (art. 6 lid 1 sub a AVG) via de advertentiecookies in de cookiebanner. Gaf je die toestemming in de browser waarin je je aanmeldde, dan koppelen we haar aan je account; ze geldt dan ook als je daarna in een andere browser verdergaat. Intrekken kan altijd, in elke browser waarin je bent ingelogd
Advertentiemeting (Google Ads)	De klik-ID die Google aan de link van een Google-advertentie toevoegt (gclid, gbraid of wbraid) en het moment waarop we hem vastlegden; later ook of je je aanmeldde of voor het eerst betaalde, met een referentie naar die aanmelding of betaling. Geen e-mailadres, naam of IP-adres	Meten welke Google-advertenties tot aanmeldingen en betalingen leiden. Alleen als je volgens je geboortejaar zeker 18 jaar of ouder bent en geen bezwaar hebt gemaakt; Google gebruikt deze gegevens niet om advertenties op jou persoonlijk af te stemmen; nooit sport- of gezondheidsgegevens	Toestemming (art. 6 lid 1 sub a AVG) via de advertentiecookies in de cookiebanner. Intrekken kan altijd via de cookie-instellingen; we wissen de klik-ID dan direct
Link aangevraagd via een Meta-leadformulier	E-mailadres, platform (Facebook of Instagram), de ID's van het formulier, de campagne en de advertentie, het moment waarop je het formulier verstuurde, en per e-mail of die is aangekomen	De link sturen die je aanvroeg om een JudoLytics-account te maken, plus hoogstens drie herinneringen in de zeven dagen daarna	Toestemming (art. 6 lid 1 sub a AVG) via het formulier; intrekken kan met de link in elke e-mail
Kennismakingsformulier voor clubs	Naam, club en plaats, je rol in de club, het aantal judoka's (als band, zoals 11-25), e-mailadres, je bericht als je er een schrijft, of je wilt weten hoe een clubabonnement werkt, en de taal van de pagina	Contact met je opnemen over JudoLytics in je club en, als je dat aanvinkt, over een clubabonnement. Je aanvraag komt als e-mail binnen bij info@judolytics.com; die mail gaat via onze e-maildienst Resend	Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): je vraag beantwoorden. Vraag je naar een clubabonnement, dan ook op jouw verzoek, vóór een overeenkomst (art. 6 lid 1 sub b AVG)
Gamificatie	Badges, reeksen, prestaties en bijbehorende tijdstempels	Motivatie en betrokkenheid	Uitvoering overeenkomst
Club- en lidmaatschapsgegevens	Je clublidmaatschappen, je rol in de club (beheerder, coach of judoka) en groepsindeling, plus je verzoeken om lid te worden van een club (met je bericht, de gevraagde rol en de uitkomst); voor clubbeheerders ook de clubnaam, het adres, de locatie (coördinaten) en het clublogo	Club- en groepsbeheer en coachfunctionaliteit	Uitvoering overeenkomst
Documenten	Bestanden in je dossier (een PDF, een afbeelding, een Word-, Excel- of PowerPoint-bestand of de OpenDocument-variant daarvan, of een csv- of tekstbestand), met de bestandsnaam, het bestandstype, de grootte, de datum van toevoegen en wie het toevoegde: jij, of een coach of beheerder van je club. Daarnaast links naar video’s op YouTube of Vimeo: daarvan bewaren we alleen de dienst, het video-ID, een eventuele starttijd, bij een niet-openbare Vimeo-video de privacysleutel, de titel die je erbij geeft, de datum van toevoegen en wie hem toevoegde, nooit de link zelf	Je eigen dossier bewaren en, als je dat aanzet, laten inzien door je coaches. Gaf je je club daar toestemming voor, dan kunnen de coaches en beheerders van die club er zelf documenten aan toevoegen, zoals een testuitslag of een voortgangsrapport	Uitdrukkelijke toestemming (art. 9 AVG). Voor documenten van je club een aparte toestemming, per club

Let op: herstelgegevens (slaapkwaliteit, fysiek herstel, energie, motivatie, spierpijn) worden beschouwd als gezondheidsgegevens in de zin van artikel 9 AVG. Wij verwerken deze gegevens uitsluitend op basis van jouw uitdrukkelijke toestemming. Die vragen we apart, één keer, wanneer je voor het eerst een herstel-check of lichaamsmeting opslaat. Je kunt je toestemming op elk moment intrekken bij Instellingen, onder Privacy; daarna stopt het delen van je gezondheidsgegevens met je coaches. Bestaande gegevens kun je verwijderen.

Let op: een document kan gezondheidsgegevens bevatten. Een testuitslag bijvoorbeeld, of een brief over een blessure. Wij weten niet wat erin staat: er is geen tekstherkenning en niemand bij ons opent je bestanden. Bij het toevoegen controleert onze server een bestand wel automatisch, zonder dat iemand meeleest en zonder iets te bewaren: hij weigert macro's en andere inhoud die bij het openen iets uitvoert of van buiten ophaalt, en in een csv-bestand een cel die een rekenblad als formule zou uitvoeren. Een foto maakt de app eerst kleiner op je toestel. Daarna haalt onze server er de gegevens uit die een camera of telefoon meeschrijft, zoals de plek en het tijdstip van de opname. Wij bewaren alleen het beeld zelf, met een kleine kopie voor het overzicht. Daarom behandelen wij elk document alsof het gezondheidsgegevens bevat, en verwerken wij het uitsluitend op basis van jouw uitdrukkelijke toestemming (artikel 9 AVG). Jij bepaalt wat je toevoegt en of je het deelt. Trek je die toestemming in, dan stopt het delen met je coaches onmiddellijk, ook voor documenten die er al stonden. De bestanden zelf blijven staan tot je ze verwijdert. Dat kan op elk moment. Dat geldt ook voor een overzichtsrapport dat als PDF in je dossier is opgeslagen: die kopie is een document zoals elk ander en blijft staan tot hij verwijderd wordt. De bewaartermijn van het rapport in de app geldt er niet voor.

Een coach of beheerder van je club kan alleen een document aan je dossier toevoegen als je die club daar apart toestemming voor gaf. Die vraag krijg je per club, los van de toestemming voor je eigen documenten, en de coaches en beheerders van die club zien of je ja of nee zei. Zo'n document zien alleen jij en de coaches en beheerders van die club. Begeleidt een coach alleen bepaalde groepen, dan ziet die coach het alleen als jij in een van die groepen zit. Je clubgenoten zien het nooit. Een document dat je club toevoegt, is van jou. Het staat in jouw dossier en wij bewaren het voor jou, niet namens de club. Je kunt elk document zelf verwijderen. De coaches en beheerders die documenten mogen toevoegen, kunnen een document dat de club toevoegde ook weer verwijderen. Je krijgt daar dan een melding van. Trek je je toestemming in of verlaat je de club, dan ziet de staf van die club de documenten meteen niet meer en kan de club niets nieuws toevoegen.

Heb je tijdens je proefperiode nog niets zelf vastgelegd, zoals een training, wedstrijd of meting, en kom je na minstens een week terug, dan krijg je eenmalig opnieuw 7 dagen Elite, zonder betaalgegevens. Of dat voor je geldt, bepaalt onze server automatisch aan de hand van je proefperiode, of je al iets hebt vastgelegd en wanneer je JudoLytics voor het laatst gebruikte (inloggen of de app openen). Kom je terug zonder dat je al iets vastlegde, dan kunnen we je de dag erna één mail sturen, hooguit twee keer en met minstens 30 dagen ertussen. We doen dit op grond van gerechtvaardigd belang: wie de app nog niet echt kon proberen, krijgt een tweede kans. Het is alleen een voordeel; je verliest er niets door. Deze mails kun je uitzetten bij je e-mailvoorkeuren.

Toelichting grondslagen: "Uitvoering overeenkomst" betekent dat de verwerking noodzakelijk is om de dienst aan je te leveren. "Gerechtvaardigd belang" betekent dat wij een zakelijk belang hebben bij de verwerking, waarbij wij altijd een afweging maken met jouw privacybelangen.

03Externe databronnen

Wanneer je een tegenstander koppelt aan een extern profiel, halen wij op jouw verzoek aanvullende gegevens op uit publiek toegankelijke sportdatabases:

IJF (International Judo Federation): Publieke wedstrijddata, wereldranglijst, competitiegeschiedenis en gewichtsklasse via de IJF-database (Judobase).
JudoManager: Nationale wedstrijddata, statistieken en clubinformatie via de JudoManager API.

Deze gegevens worden gecached om het platform snel te houden, met een vaste bewaartermijn per soort: een opgehaald judoka-profiel bewaren we maximaal één jaar na de laatste keer ophalen, en de loting en deelnemerslijst van een toernooi maximaal 30 dagen. Op je eigen apparaat blijven loting en deelnemerslijst 7 dagen beschikbaar, zodat de app offline werkt. Heb je het profiel gekoppeld aan een tegenstander in je account, dan verdwijnt de cache zodra je die tegenstander verwijdert; heb je alleen gezocht zonder te koppelen, dan vervalt de cache met de bewaartermijn.

Wil je je eigen wedstrijden ophalen bij JudoManager, de IJF-database of een toernooiwebsite die met JudoShiai gemaakt is, dan bevestig je eerst dat het profiel of de deelnemer van jou is en geef je ons toestemming om je wedstrijden namens jou op te halen. Die toestemming geldt voor ophalen op jouw verzoek, voor later opnieuw ophalen (bijvoorbeeld om videotijden toe te voegen) en voor het klaarzetten van je wedstrijden de dag na een toernooi waar je op staat. Dat laatste kun je apart uitzetten, en elke keer dat we automatisch ophalen, leggen we vast voor wie, bij welke bron en voor welk toernooi. We leggen je toestemming vast met datum en tijd, de versie van de tekst en een vingerafdruk van de tekst die je zag. Ben je jonger dan 16, dan leggen we ook vast dat je bevestigde dat je ouder of verzorger toestemming geeft. Van een toernooiwebsite bewaren we alleen je eigen wedstrijden, met de naam van je tegenstander en de uitslag, nooit de hele deelnemerslijst. Wie de organisator op de website verbergt, halen we niet op. Na je eerste bevestiging onthouden we hoe je naam en club daar geschreven staan, zodat we je bij een volgend toernooi terugvinden. Wedstrijden die je bevestigt, worden gewone wedstrijden in je account, en die kun je daar zelf verwijderen. Je kunt je toestemming op elk moment intrekken via Instellingen > Privacy. Daarna halen we niets meer op, en geïmporteerde wedstrijden die je nog niet had bevestigd, verwijderen we meteen.

04Clubfunctionaliteit en gedeelde gegevens

JudoLytics biedt de mogelijkheid om lid te worden van een judoclub binnen het platform. Binnen een club kunnen coaches, beheerders en, afhankelijk van jouw instelling, clubgenoten bepaalde gegevens van leden inzien, maar uitsluitend voor zover je dit zelf hebt ingesteld. Eén ding zien de coaches en beheerders van je club altijd: bij welke clubtrainingen je bent ingedeeld en of je aanwezig was. Dat hoort bij het organiseren van een training. Je eigen trainingen, de zwaarte, je reflecties en je afmeldreden blijven onder je eigen instelling. Wanneer je lid wordt van een nieuwe club wordt standaard niets gedeeld totdat je zelf een keuze maakt.

Je bepaalt per onderwerp met wie je deelt, via de privacyinstellingen in je dashboard. Je kiest telkens tussen niet delen, alleen je coaches, of je hele club. Voor een aantal onderwerpen is "je hele club" bewust geen keuze: die gaan hooguit naar je coaches. Dit kun je instellen:

Wedstrijduitslagen, scores en statistieken. Ook met je hele club te delen.
Tegenstander-informatie en -notities. Ook met je hele club te delen.
Wedstrijdplannen. Ook met je hele club te delen.
Sportmetingen zoals kracht- en conditietests. Ook met je hele club te delen.
Je gewicht en je wedstrijdreflecties. Deze gaan hooguit naar je coaches, nooit naar clubgenoten.
Trainingen en trainingsreflecties, je herstel-checks, je ontwikkelplan en je toernooigegevens. Ook deze gaan hooguit naar je coaches.

Een deel-instelling geldt voor ál je gegevens in die categorie, ook voor gegevens die je eerder hebt ingevoerd. Zet je een categorie op privé, dan zien coaches en clubgenoten ook je oudere gegevens daarvan niet meer. Je kunt al deze instellingen op elk moment wijzigen via je privacyinstellingen in het dashboard.

05Anonimisering en geaggregeerd gebruik

Wij behouden ons het recht voor om je gegevens te anonimiseren en te aggregeren voor de volgende doeleinden:

Productverbetering

Analyse van gebruikspatronen, prestatiebenchmarks en functiegebruik om het platform te verbeteren en nieuwe functies te ontwikkelen.

Onderzoek en publicatie

Het delen van geaggregeerde inzichten over judoprestaties, trainingspatronen en sportanalyse met derden, waaronder in marketinguitingen, publieke rapportages en onderzoekspublicaties.

Bij anonimisering waarborgen wij dat:

Gegevens worden geaggregeerd op groepsniveau (minimaal 5 gebruikers)
Individuele identificatoren onherroepelijk worden verwijderd
Het onmogelijk is om resultaten te herleiden tot individuele personen
Geanonimiseerde gegevens niet worden gecombineerd met andere bronnen voor heridentificatie

Geanonimiseerde en geaggregeerde gegevens vallen niet langer onder de Algemene Verordening Gegevensbescherming (AVG) en kunnen daarom zonder beperking worden gebruikt, inclusief voor externe publicatie en marketingdoeleinden.

Grondslag: Gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Wij hebben een belangenafweging gemaakt waarbij het belang van productverbetering en kennisontwikkeling in de judosport is afgewogen tegen jouw privacybelangen. Aangezien de gegevens volledig geanonimiseerd zijn, achten wij het risico voor je privacy minimaal.

06Bewaartermijnen

Wij bewaren je gegevens niet langer dan noodzakelijk voor het doel waarvoor ze zijn verzameld, tenzij een wettelijke bewaarplicht van toepassing is.

Gegevens	Bewaartermijn	Toelichting
Accountgegevens	Tot verwijdering account + 30 dagen	Verwijdering op verzoek
Sportprestatiedata	Tot verwijdering account	Na verwijdering wordt de data geanonimiseerd bewaard
Betalingsgegevens	7 jaar na laatste transactie	Wettelijke bewaarplicht (fiscale wetgeving)
E-maillogs	1 jaar	Foutopsporing en auditing
Meldingen in de app	90 dagen	Daarna wissen we elke melding, ook een die je niet gelezen hebt
Gecachte externe data	Tot tegenstander verwijderd of 1 jaar	Prestatie-optimalisatie
Technische logs	90 dagen	Beveiliging en foutopsporing
Bekende toestellen (browser en besturingssysteem, geen IP-adres)	180 dagen na de laatste login op dat toestel	Een beveiligingsmail gaat alleen uit bij een login op een toestel dat we niet kennen
Herstelgegevens	Tot verwijdering account	Na verwijdering geanonimiseerd bewaard
Trainingsgegevens	Tot verwijdering account	Na verwijdering geanonimiseerd bewaard
Lichaamsmetingen	Tot verwijdering account	Na verwijdering geanonimiseerd bewaard
Overzichtsrapporten en de toelichtingen van je coach	5 jaar na de laatste bewerking	Je hoort het vooraf. Een rapport dat in je dossier is bewaard, blijft staan tot het daar wordt verwijderd
Analysegegevens (PostHog)	1 jaar	Geanonimiseerde productanalyse
Herkomst van je aanmelding	Tot verwijdering account	Wordt met je account verwijderd; rapportages zijn alleen geaggregeerd
Verzendlog advertentiemeting (welk event, wanneer, gelukt of niet)	90 dagen	Voorkomt dat een aanmelding of betaling twee keer aan Meta wordt gemeld. Hoe lang Meta zelf gegevens bewaart, bepaalt Meta
Meta-cookies _fbp en _fbc van je aanmelding	Hooguit 7 dagen na je aanmelding	Alleen als je in de cookiebanner advertentiecookies toestond. Zo koppelen we je aanmelding aan de advertentieklik, ook als je na de bevestigingsmail in een andere browser verdergaat. We wissen ze zodra je aanmelding aan Meta is gemeld of je je toestemming intrekt
Klik-ID van een Google-advertentie (gclid, gbraid of wbraid)	Hooguit 90 dagen na het vastleggen	Alleen als je in de cookiebanner advertentiecookies toestond en volgens je geboortejaar zeker 18 jaar of ouder bent. Google koppelt een conversie tot 90 dagen na de klik aan een advertentie; daarna heeft de klik-ID geen doel meer. We wissen hem eerder als je je toestemming intrekt of bezwaar maakt. Hoe lang Google zelf gegevens bewaart, bepaalt Google
E-mailadres uit een Meta-leadformulier	37 dagen na het formulier, of tot je een account maakt	Daarna bewaren we alleen een gehashte (onleesbare) versie van het adres en het bewijs van toestemming, zodat een intrekking blijft gelden
Aanvragen via het kennismakingsformulier voor clubs	12 maanden na het laatste contact	Daarna wissen we de aanvraag. De e-mail die er bij info@judolytics.com van binnenkwam, wissen we als je daarom vraagt

07Beveiliging

Wij weten dat je herstel-, prestatie- en gezondheidsgegevens persoonlijk zijn. Daarom is beveiliging geen extraatje, maar de basis waarop JudoLytics is gebouwd. Je gegevens worden op meerdere lagen beschermd: van de verbinding met je browser tot de manier waarop ze in de database staan. Wij nemen passende technische en organisatorische maatregelen om je persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies of wijziging. Hieronder leggen we in gewone taal uit hoe.

Versleuteling: Al je gegevens worden versleuteld verstuurd (de hele app draait uitsluitend over een beveiligde HTTPS-verbinding, afgedwongen via HSTS) en versleuteld opgeslagen (encryption at rest via Supabase).
Wachtwoorden blijven geheim, ook voor ons: Je wachtwoord wordt nooit als leesbare tekst opgeslagen. We bewaren alleen een versleutelde, niet-omkeerbare versie (bcrypt-hashing met salt). Niemand bij JudoLytics kan je wachtwoord inzien of achterhalen.
Veilig inloggen: Inloggen gaat via e-mail en wachtwoord of via Google (OAuth 2.0), met een PKCE-beveiligde inlogstroom en optionele tweestapsverificatie (MFA/2FA) via authenticator-apps.
MFA-afdwinging: Tweestapsverificatie is verplicht voor beheerders- en ondersteuningsrollen. Gewone gebruikers kunnen MFA vrijwillig activeren, met herstelcodes. Wie MFA aanzet, krijgt zijn eigen wedstrijd-, trainings- en meetgegevens alleen te zien op een sessie die de tweede stap heeft doorlopen; dat wordt in de database afgedwongen, niet in de app.
Toegangscontrole (Row-Level Security): Op databaseniveau is vastgelegd dat je alléén bij je eigen gegevens kunt. Geen andere judoka of coach kan je gegevens inzien, tenzij jij daarvoor kiest. Deze regel wordt afgedwongen in de database zelf, niet alleen in de app, en wordt automatisch getest.
Documenten staan in afgeschermde opslag: bestanden bij je dossier komen in een afgesloten opslagruimte zonder publieke links. Je browser kan er niet rechtstreeks naartoe schrijven; toevoegen loopt altijd via onze server. Het pad van elk bestand begint bij de judoka over wie het gaat, zodat een verwijderverzoek precies de juiste bestanden raakt en nooit die van iemand anders. Verwijder je je account, dan worden de bestanden zelf gewist en niet alleen de verwijzing ernaartoe. Een document opent altijd als download, nooit in de app zelf.
Meldingen over documenten en video-links noemen nooit de bestandsnaam of titel. Voegt je club een document of video-link aan je dossier toe, dan krijg je een melding in de app, een pushbericht en een e-mail. De e-mail krijg je altijd, het pushbericht kun je uitzetten. Geen van de drie noemt de naam of titel: een pushbericht staat op je vergrendelscherm, en een bestandsnaam of titel kan zelf al iets over je gezondheid zeggen.
Toegang op need-to-know-basis: Ook binnen ons eigen team is de toegang tot persoonsgegevens beperkt tot wat strikt noodzakelijk is. Interne sleutels en wachtwoorden worden versleuteld bewaard en regelmatig vernieuwd.
CAPTCHA-bescherming: Cloudflare Turnstile beschermt het registratieproces tegen geautomatiseerde aanvallen.
Rate limiting: Bescherming tegen brute-force inlogpogingen en misbruik van API's.
Beveiligingsheaders: Een streng Content-Security-Policy en aanvullende beveiligingsheaders gaan veelvoorkomende webaanvallen tegen, zoals clickjacking en code-injectie.
Invoercontrole: Alles wat je invoert wordt zowel in je browser als op de server gecontroleerd voordat het wordt opgeslagen.
Continue bewaking: We monitoren het platform doorlopend op fouten en verdachte activiteit, zodat we problemen snel opmerken en verhelpen.
Auditlogging: Administratieve handelingen worden gelogd voor verantwoording en foutopsporing.
Automatische back-ups: Er worden regelmatig automatische back-ups gemaakt, zodat je gegevens herstelbaar zijn na een technische storing en niet verloren gaan bij een onverwacht probleem.
Betaalgegevens komen niet in ons systeem: Je creditcard- of bankgegevens worden uitsluitend verwerkt door onze betaalpartner Stripe, die voldoet aan de strengste norm voor betaalbeveiliging (PCI-DSS). JudoLytics bewaart zelf geen kaartgegevens.
Opslag in de Europese Unie: Je gegevens staan in een database binnen de Europese Unie (Frankfurt, Duitsland) en vallen daarmee onder de Europese privacywetgeving.
Jij houdt de controle: Je kunt op elk moment al je gegevens downloaden of je account en gegevens definitief laten verwijderen, rechtstreeks vanuit je instellingen.

Kort gezegd: je gegevens zijn versleuteld en technisch afgeschermd. Geen andere gebruiker, ook geen coach in je club, kan je gegevens inzien tenzij jij daarvoor kiest. Onze database staat in de Europese Unie; waar wij dienstverleners buiten de EU inschakelen, gelden passende waarborgen (zie sectie 11). Je blijft eigenaar van je gegevens en houdt altijd de controle.

Geen enkele online dienst kan absolute veiligheid garanderen. Daarom houden we onze beveiliging voortdurend up-to-date en hebben we een vaste procedure voor als er toch iets misgaat: bij een datalek met risico voor jou melden we dit binnen 72 uur bij de Autoriteit Persoonsgegevens en, waar nodig, rechtstreeks aan jou.

Denk je dat je een beveiligingsprobleem hebt gevonden? Laat het ons weten via info@judolytics.com. We nemen elke melding serieus.

08Jouw rechten

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heb je de volgende rechten met betrekking tot je persoonsgegevens:

Recht op inzage (artikel 15 AVG)

Je kunt opvragen welke persoonsgegevens wij van je verwerken en een kopie daarvan ontvangen.

Recht op rectificatie (artikel 16 AVG)

Je kunt verzoeken om onjuiste of onvolledige gegevens te laten corrigeren. Veel gegevens kun je zelf aanpassen via je instellingenpagina op judolytics.com/dashboard/settings.

Recht op verwijdering (artikel 17 AVG)

Je kunt je account en persoonsgegevens laten verwijderen. Dit kun je zelf doen via Instellingen > Mijn data op judolytics.com/dashboard/settings. Na het verzoek wordt je account na 30 dagen definitief verwijderd. Geanonimiseerde geaggregeerde gegevens en gegevens die wij wettelijk verplicht zijn te bewaren (zoals betalingsgegevens voor fiscale doeleinden) vallen buiten dit recht.

Recht op beperking van de verwerking (artikel 18 AVG)

Je kunt verzoeken om de verwerking van je gegevens tijdelijk stop te zetten, bijvoorbeeld wanneer je de juistheid van je gegevens betwist.

Recht op dataportabiliteit (artikel 20 AVG)

Je kunt je gegevens downloaden in een gestructureerd, gangbaar en machineleesbaar formaat (JSON) via Instellingen > Mijn data op judolytics.com/dashboard/settings. Dit stelt je in staat om je gegevens over te dragen naar een andere dienstverlener.

Recht van bezwaar (artikel 21 AVG)

Je kunt bezwaar maken tegen de verwerking van je gegevens op basis van ons gerechtvaardigd belang. Wij zullen de verwerking staken, tenzij wij dwingende gerechtvaardigde gronden voor de verwerking aanvoeren.

Recht met betrekking tot geautomatiseerde besluitvorming (artikel 22 AVG)

JudoLytics neemt geen geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare significante gevolgen voor jou. Alle analyses en inzichten zijn informatief van aard.

Verzoek indienen: Stuur je verzoek per e-mail naar info@judolytics.com. Wij reageren binnen 30 dagen. Om je identiteit te verifiëren kunnen wij je om aanvullende informatie vragen.

Zelf regelen

Veel rechten kun je direct uitoefenen zonder e-mailverzoek:

Profiel aanpassen: Instellingen > Profiel
Gegevens downloaden (JSON): Instellingen > Mijn data
Account verwijderen: Instellingen > Mijn data
Clubprivacy beheren: Instellingen > Privacy & delen
Notificatievoorkeuren: Instellingen > Meldingen
E-mailvoorkeuren: Instellingen > Meldingen

09Cookies en lokale opslag

JudoLytics maakt gebruik van cookies en lokale opslag in je browser voor het functioneren van de applicatie. Hieronder vind je een volledig overzicht van alle cookies en opslagmechanismen die wij gebruiken, onderverdeeld in strikt noodzakelijk en optioneel (toestemming vereist).

Strikt noodzakelijke cookies en opslag

Deze cookies en opslagitems zijn noodzakelijk voor het functioneren van de website. Ze kunnen niet worden uitgeschakeld.

Type	Doel	Strikt noodzakelijk	Toestemming vereist
Sessietoken (Supabase Auth)	Authenticatie en sessiebeheer (localStorage). Bevat je inlog-token, vervaltijd en PKCE-verificatiecode.	Ja	Nee
Rolcache	Platform-rol caching voor prestatie-optimalisatie (localStorage, 60 minuten geldig)	Ja	Nee
Toestemmingscookie (CookieYes)	Opslag van jouw cookietoestemmingsvoorkeuren (cookie)	Ja	Nee
Sidebar-status	Onthoudt of het zijmenu is in- of uitgeklapt (cookie, 7 dagen geldig)	Ja	Nee
Taalvoorkeur	Je gekozen taalinstelling en of je de taalbanner hebt gesloten (localStorage en cookie, 1 jaar geldig)	Ja	Nee
UI-voorkeuren en applicatiestatus	Onboarding-status, module-instellingen, verwijzingscodes, gidsen, MFA-herinneringen en overige interface-voorkeuren (localStorage)	Ja	Nee
Inlogoverdracht naar de app op je beginscherm	Eenmalige sleutel waarmee de JudoLytics-app op het beginscherm van een iPhone of iPad je ingelogd opent. Alleen gezet terwijl je de app installeert, vervalt na 24 uur en wordt na gebruik gewist (cookie).	Ja	Nee

Analytische cookies (toestemming vereist)

Deze cookies worden alleen geplaatst na jouw uitdrukkelijke toestemming via de cookiebanner. Je kunt je toestemming op elk moment intrekken of aanpassen.

Type	Doel	Strikt noodzakelijk	Toestemming vereist
PostHog	Productanalyse, gebruiksstatistieken en sessie-opnames (alle tekst en invoer gemaskeerd). Zonder toestemming draait PostHog in geheugenstand zonder enige opslag. Heb je ook advertentiecookies toegestaan, dan leest PostHog de Meta-cookies _fbp en _fbc uit. De Meta-browser-ID (_fbp) wordt aan je gebruiksprofiel gekoppeld en het moment waarop je op een Meta-advertentie klikte (_fbc) aan het bezoek, zodat we kunnen meten welke advertentie tot een aanmelding leidde.	Nee	Ja (via cookiebanner)
Google Tag Manager	Beheert het laden van analytische scripts. Wordt geactiveerd op basis van je CookieYes-toestemmingskeuze.	Nee	Ja (via cookiebanner)
Google Analytics 4 (via GTM)	Website-analyse, paginaweergaven, Core Web Vitals, bezoekersstatistieken en het aantal aanmeldingen en gestarte abonnementen (zonder naam of e-mailadres). Zet cookies zoals _ga en _ga_* (geldig tot 2 jaar).	Nee	Ja (via cookiebanner)

Advertentiecookies (toestemming vereist)

Deze cookies worden gebruikt om de effectiviteit van advertentiecampagnes te meten. Ze worden alleen geplaatst na jouw uitdrukkelijke toestemming.

Type	Doel	Strikt noodzakelijk	Toestemming vereist
Meta/Facebook Pixel (via GTM)	Meet conversies en paginaweergaven voor advertentiecampagnes. Zet de cookie _fbp (3 maanden) en, als je via een Meta-advertentie binnenkomt, _fbc (3 maanden). PostHog leest beide uit (zie PostHog hierboven). Met dezelfde toestemming meldt onze server een aanmelding, het gebruik van de app in de eerste week, een abonnement of een betaling ook rechtstreeks aan Meta (Conversions API); zie het overzicht van verwerkers. Je keuze in de banner koppelen we bij het aanmelden aan je account; een latere keuze in een browser waarin je bent ingelogd, vervangt haar.	Nee	Ja (via cookiebanner)

Ingesloten content van derden

Sommige pagina's sluiten content van derden in. Een video speelt pas af wanneer je erop klikt, en die partij kan dan cookies plaatsen. Bij YouTube haalt je browser het voorbeeldbeeld van de video wel direct op. YouTube ziet dan je IP-adres en welke video het is. Cookies plaatsen wij niet vooraf.

Type	Doel	Strikt noodzakelijk	Toestemming vereist
YouTube (ingesloten video)	Toont video's die in de app gekoppeld zijn, zoals wedstrijdvideo's, en speelt ze af. Het voorbeeldbeeld laadt direct: YouTube ziet dan je IP-adres en welke video het is. De speler laadt pas wanneer je op afspelen klikt, en YouTube kan dan cookies zoals VISITOR_INFO1_LIVE en YSC plaatsen.	Nee	Voorbeeldbeeld direct, speler alleen bij afspelen
Vimeo (ingesloten video)	Speelt video’s af die vanaf Vimeo zijn gedeeld. Laadt alleen wanneer je op afspelen klikt. Vimeo kan dan eigen cookies plaatsen.	Nee	Laadt alleen bij afspelen video
Google Maps (kaart en adres-autocomplete)	Toont clublocaties op een kaart en helpt bij het invoeren van een adres. Laadt alleen wanneer je de kaart- of adresfunctie gebruikt. Google kan dan cookies plaatsen.	Nee	Laadt alleen bij gebruik kaart of adres-zoeken

Je kunt je cookievoorkeuren op elk moment bekijken en aanpassen door de cookiebanner opnieuw te openen. Klik hiervoor op de knop onderaan de pagina of gebruik de link:

De strikt noodzakelijke cookies en opslag zijn vereist voor het functioneren van de dienst. Op grond van de Telecommunicatiewet (artikel 11.7a) is hiervoor geen voorafgaande toestemming nodig. Analytische en advertentiecookies worden uitsluitend geplaatst na jouw uitdrukkelijke toestemming via de CookieYes-cookiebanner. Lettertypen worden lokaal gehost; er worden geen externe verzoeken naar Google Fonts of andere CDN-diensten verzonden.

10Verwerkers en ontvangers

Wij delen je persoonsgegevens met de volgende dienstverleners (verwerkers) die gegevens namens ons verwerken. Met elke verwerker hebben wij een verwerkersovereenkomst afgesloten conform artikel 28 AVG.

Verwerker	Dienst	Gegevens	Land	Waarborg
Supabase	Database, hosting en authenticatie	Alle opgeslagen gegevens	EU/VS	Verwerkersovereenkomst + SCCs
Stripe	Betalingsverwerking	Klant-ID, abonnementsgegevens	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
Resend	E-mailverzending	E-mailadres, naam, e-mailinhoud	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
Cloudflare	CAPTCHA-verificatie (Turnstile)	IP-adres, browserkenmerken	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
PostHog	Productanalyse en sessie-opnames	Geanonimiseerde gebruiksgebeurtenissen, sessie-opnames (alle tekst en invoer gemaskeerd); bij toestemming voor advertentiecookies ook de Meta-browser-ID (_fbp) en het klikmoment van een Meta-advertentie (_fbc)	EU	Verwerkersovereenkomst
Sentry	Foutmonitoring	Foutmeldingen, stacktraces, prestatiemetingen, een pseudonieme gebruikers-ID en sessie-opnames (alle tekst, invoer en media gemaskeerd)	EU / VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
Google	OAuth-authenticatie (inloggen via Google)	E-mailadres, naam (alleen bij Google-login)	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
CookieYes	Toestemmingsbeheer (cookiebanner)	Toestemmingsvoorkeuren	EU	Verwerkersovereenkomst
Google	Website-analyse (Google Analytics 4 via Google Tag Manager)	Paginaweergaven, bezoekersstatistieken, Core Web Vitals (geanonimiseerd); of je je aanmeldde (en hoe: e-mail of Google) en of je een persoonlijk abonnement startte (pakket, termijn, bedrag en de Stripe-referentie van de betaalsessie), zonder naam of e-mailadres	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
Meta	Advertentiemeting (Meta Pixel via Google Tag Manager en Meta Conversions API)	Paginaweergaven en conversiegebeurtenissen (aanmelding, gebruik van de app in de eerste week, abonnement, betaling). Via de Conversions API ook een gehashte (onleesbaar gemaakte) versie van je e-mailadres en gebruikers-ID, je IP-adres, browserkenmerken en de Meta-cookies _fbp en _fbc. Alleen met toestemming voor advertentiecookies en alleen als je volgens je geboortejaar zeker 16 jaar of ouder bent; nooit sport- of gezondheidsgegevens	Ierland / VS	Gezamenlijke verwerkingsverantwoordelijkheid (art. 26 AVG, zie hieronder) + EU-VS Data Privacy Framework + SCCs
Google	Advertentiemeting (Google Ads, conversies via de Data Manager API)	De klik-ID van een Google-advertentie (gclid, gbraid of wbraid), welke conversie (aanmelding of eerste betaling), wanneer, en een referentie die dubbel melden voorkomt. Geen e-mailadres. Alleen met toestemming voor advertentiecookies en alleen als je volgens je geboortejaar zeker 18 jaar of ouder bent	Ierland / VS	Zelfstandig verwerkingsverantwoordelijke (zie hieronder) + EU-VS Data Privacy Framework + SCCs
Vercel	Hosting, CDN en levering van de applicatie	IP-adres, browserkenmerken en technische verzoekgegevens	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
Google	Adres-autocomplete en kaartweergave voor clublocaties (Google Maps Platform)	Ingevoerde adres-zoekopdrachten, clublocatie (coördinaten), IP-adres	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
YouTube	Insluiten van video's (het voorbeeldbeeld laadt direct, de video zelf pas wanneer je hem afspeelt)	IP-adres, welke video het is, video- en afspeelgegevens	VS	Verwerkersovereenkomst + EU-VS Data Privacy Framework + SCCs
Vimeo	Insluiten van video's van Vimeo (laadt alleen wanneer je een video afspeelt)	IP-adres, video- en afspeelgegevens	VS	EU-VS Data Privacy Framework + standaardcontractbepalingen (SCCs)

SCCs = Standard Contractual Clauses (Standaard Contractbepalingen): door de Europese Commissie goedgekeurde contractuele waarborgen voor internationale gegevensdoorgifte (Uitvoeringsbesluit (EU) 2021/914). Het EU-VS Data Privacy Framework is een aanvullende waarborg: in de VS gevestigde organisaties die onder dit kader gecertificeerd zijn, bieden een passend beschermingsniveau voor persoonsgegevens die vanuit de EU worden doorgegeven (adequaatheidsbesluit van de Europese Commissie van 10 juli 2023).

Voor het tonen van landenvlaggen laden wij statische afbeeldingen van een publieke vlaggen-CDN (flagcdn.com). Hierbij wordt alleen het IP-adres zichtbaar dat voor elk internetverzoek nodig is; er worden geen accountgegevens gedeeld.

Zet je pushmeldingen aan, dan bezorgt de pushdienst van je eigen browser of besturingssysteem ze (Google, Apple, Mozilla of Microsoft). Die dienst ontvangt alléén het adres waarop jouw apparaat bereikbaar is en een versleuteld bericht: de inhoud van de melding is voor die partij niet leesbaar, en er gaan geen accountgegevens mee. Zet je pushmeldingen uit, dan gaat er niets naar deze partijen. Om meldingen betrouwbaar te bezorgen, bewaren we per toestel wanneer een melding is verstuurd, ontvangen en aangetikt, zolang de melding zelf bewaard blijft. Daarnaast krijgt elk toestel met pushmeldingen een eigen sleutel, waarmee het een weggevallen abonnement zelf herstelt; die sleutel verdwijnt zodra je pushmeldingen uitzet of uitlogt.

Meta is voor de advertentiemeting geen verwerker. Voor het verzamelen en doorsturen van deze gegevens zijn wij en Meta Platforms Ireland Ltd. samen verwerkingsverantwoordelijke (artikel 26 AVG); wat Meta daarna met de gegevens doet, zoals advertenties afstemmen en meten, valt onder Meta's eigen verantwoordelijkheid. De afspraken daarover staan in het Controller Addendum van Meta (facebook.com/legal/controller_addendum). Kort gezegd: wij vragen je toestemming en geven je deze informatie, Meta is verantwoordelijk voor zijn eigen verwerking. Je kunt je rechten zowel bij ons als bij Meta uitoefenen; een verzoek over Meta's verwerking geven wij aan Meta door. Hoe Meta gegevens verwerkt en hoe lang Meta ze bewaart, lees je in het privacybeleid van Meta (facebook.com/privacy/policy).

Google is voor de advertentiemeting geen verwerker maar een zelfstandig verwerkingsverantwoordelijke: Google Ireland Ltd. (met Google LLC in de VS) bepaalt zelf wat het met de gegevens doet die we het sturen. De afspraken daarover staan in de Google Ads Controller-Controller Data Protection Terms (business.safety.google/adscontrollerterms). We zetten personalisatie van advertenties voor deze gegevens uit. Hoe Google gegevens verwerkt en hoe lang Google ze bewaart, lees je in het privacybeleid van Google (policies.google.com/privacy).

11Internationale doorgifte

Een aantal van onze dienstverleners is gevestigd in de Verenigde Staten. Dit betekent dat je persoonsgegevens buiten de Europese Economische Ruimte (EER) kunnen worden verwerkt.

Om een passend beschermingsniveau te waarborgen, maken wij gebruik van:

Standard Contractual Clauses (SCCs): Door de Europese Commissie goedgekeurde standaardcontractbepalingen conform Uitvoeringsbesluit (EU) 2021/914.
EU-VS Data Privacy Framework: Een deel van onze in de VS gevestigde verwerkers is gecertificeerd onder het EU-VS Data Privacy Framework, dat op grond van het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 een passend beschermingsniveau biedt.
Verwerkersovereenkomsten: Met alle verwerkers zijn schriftelijke overeenkomsten afgesloten die voldoen aan artikel 28 AVG.
Aanvullende technische maatregelen: Versleuteling van gegevens in transit en in opslag.

12Kinderen

JudoLytics is bedoeld voor judoka's en trainers van alle leeftijden. Judo is een sport die vanaf jonge leeftijd wordt beoefend, en wij begrijpen dat ook minderjarigen ons platform kunnen gebruiken.

Conform artikel 8 AVG en artikel 5 van de Uitvoeringswet AVG (UAVG) is voor gebruikers jonger dan 16 jaar toestemming van een ouder of wettelijk vertegenwoordiger vereist voor het aanmaken van een account.

Het platform biedt de mogelijkheid om herstel- en gezondheidsgegevens in te voeren (zoals slaapkwaliteit en fysiek herstel). Voor minderjarige gebruikers geldt dat de ouder of wettelijk vertegenwoordiger toestemming moet geven voor het verwerken van deze bijzondere categorie persoonsgegevens.

Advertentiemeting: wij sturen alleen gegevens naar Meta over gebruikers die volgens hun opgegeven geboortejaar zeker 16 jaar of ouder zijn, en alleen met toestemming voor advertentiecookies. Zonder geboortejaar of met een jonger geboortejaar gaat er niets naar Meta. Onze advertenties richten zich op volwassenen (18+).

Google Ads: de klik-ID van een Google-advertentie bewaren we alleen bij gebruikers die volgens hun geboortejaar zeker 18 jaar of ouder zijn, en alleen met toestemming voor advertentiecookies. Zonder geboortejaar of met een jonger geboortejaar bewaren we niets en gaat er niets naar Google.

Wij verifiëren leeftijd niet actief bij registratie. Indien wij er kennis van nemen dat een minderjarige zonder toestemming van een ouder of voogd gebruikmaakt van ons platform, zullen wij het betreffende account en de bijbehorende gegevens verwijderen. Ouders of voogden kunnen hiervoor contact met ons opnemen via info@judolytics.com.

13Wijzigingen

Wij kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld naar aanleiding van nieuwe functies, wettelijke verplichtingen of wijzigingen in onze dienstverlening.

Bij substantiële wijzigingen informeren wij je via:

Een e-mailnotificatie aan het bij ons bekende e-mailadres
Een melding binnen de applicatie

De datum "Laatst bijgewerkt" bovenaan deze pagina wordt bij elke wijziging aangepast. Wij raden je aan deze privacyverklaring regelmatig te raadplegen.

14Contact en klachten

Heb je vragen over deze privacyverklaring of over de verwerking van je persoonsgegevens? Neem dan contact met ons op:

Bloei.ai

E-mail: info@judolytics.com

Adres: Clavisstraat 33, 6515GA, Nijmegen, Nederland

KvK: 66950376

Indien je van mening bent dat wij je persoonsgegevens niet op de juiste wijze verwerken, heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens:

Autoriteit Persoonsgegevens

Postbus 93374, 2509 AJ Den Haag

Telefoon: 088 - 1805 250

Website: autoriteitpersoonsgegevens.nl

Deze privacyverklaring is opgesteld in samenhang met de Algemene Voorwaarden van JudoLytics. Bij tegenstrijdigheid tussen deze privacyverklaring en de Algemene Voorwaarden prevaleert deze privacyverklaring voor zover het de verwerking van persoonsgegevens betreft. Algemene Voorwaarden

Privacyverklaring.

Inhoudsopgave

01Wie zijn wij

02Welke gegevens verzamelen wij

03Externe databronnen

04Clubfunctionaliteit en gedeelde gegevens

05Anonimisering en geaggregeerd gebruik

Productverbetering

Onderzoek en publicatie

06Bewaartermijnen

07Beveiliging

08Jouw rechten

Recht op inzage (artikel 15 AVG)

Recht op rectificatie (artikel 16 AVG)

Recht op verwijdering (artikel 17 AVG)

Recht op beperking van de verwerking (artikel 18 AVG)

Recht op dataportabiliteit (artikel 20 AVG)

Recht van bezwaar (artikel 21 AVG)

Recht met betrekking tot geautomatiseerde besluitvorming (artikel 22 AVG)

09Cookies en lokale opslag

Strikt noodzakelijke cookies en opslag

Analytische cookies (toestemming vereist)

Advertentiecookies (toestemming vereist)

Ingesloten content van derden

10Verwerkers en ontvangers

11Internationale doorgifte

12Kinderen

13Wijzigingen

14Contact en klachten