Privacybeleid

1. Wie zijn wij?

Vytrix is een fitness- en welzijnsapplicatie ontwikkeld door Vincent Molenkamp (eenmanszaak), gevestigd in Nederland.

• Verwerkingsverantwoordelijke: Vincent Molenkamp / Vytrix
• KvK-nummer: 42078574
• Privacy-contact: privacy@vytrix.app
• Beroep / Appeals (DSA): appeals@vytrix.app
• Functionaris voor Gegevensbescherming (FG / DPO): wordt aangesteld voor v1.0 launch (large-scale Article 9 verwerking — verplicht onder AVG Art. 37(1)(c))

2. Welke gegevens verzamelen wij?

2.1 Accountgegevens

Naam, e-mailadres, gebruikersnaam, profielfoto (avatar), geboortedatum, geslacht.

2.2 Trainings- en activiteitsgegevens

Oefeningen, sets, reps, gewichten, trainingsduur, trainingstemplates, routines, persoonlijke records, aangepaste oefeningen.

2.3 Gezondheidsgegevens (bijzondere categorie — AVG Artikel 9)

Deze gegevens worden alleen verwerkt na jouw uitdrukkelijke toestemming (AVG Art. 9(2)(a)) en de toestemming kan op elk moment worden ingetrokken via Instellingen → Privacy → Toestemming intrekken — even eenvoudig als het geven ervan.

• Slaapdata: bedtijd, wektijd, slaapduur, slaapkwaliteit, slaapfases.
• Voedingsdata: voedsellogboek, calorieën, macronutriënten, micronutriënten, waterinname, supplementen.
• Lichaamsmetingen: gewicht, BMI, vetpercentage, omtrekken, lean body mass, body water mass.
• Hartslagdata: hartslag (BPM), HR-zones, hersteldata, HR-variabiliteit (HRV).
• Voortgangsfoto's: lichaamsfoto's met metadata.
• Maaltijdfoto's (optioneel): kortstondig verwerkt door Google Vertex AI via de EU-multiregio eu (niet gebruikt voor modeltraining). Alleen geëxtraheerde voedingsdata wordt opgeslagen.
• Productfoto's (barcode/label-scan): afhankelijk van de gekozen scanner kortstondig verwerkt door Google Vertex AI in de EU-multiregio of door OpenAI voor het uitlezen van het etiket. Daarbij kunnen ook de barcode en een bestaande productnaam als context worden meegestuurd.
• Menstruatiecyclus (optioneel): zie aparte sectie hieronder.

2.3a Menstruatiecyclus en reproductieve gezondheid

Reproductieve gezondheidsdata verdient bijzondere aandacht. Vytrix volgt hiervoor de Mozilla / Privacy International best-practices voor period-tracking apps in een post-Roe geopolitiek klimaat.

Wat verzamelen wij? Startdatum laatste menstruatie, cycluslengte (21-35 dagen), periode-lengte (3-10 dagen), afgeleide cyclusfase (menstruatie / folliculair / ovulatie / luteaal).

Hoe gebruiken wij deze data? Automatische luteale-fase calorie-aanpassing (+150 kcal, uitschakelbaar), notificaties over verwachte vochtretentie (uitschakelbaar), visuele indicatoren in trainingskalender, fase-specifieke trainingstips.

Garanties:

1. Optioneel — alleen actief als jij de cyclus-tracking aanzet (default uit).
2. Primaire opslagregio Ierland — de Supabase Database, Auth en Storage van het Vytrix-project staan in AWS eu-west-1. Back-ups, ondersteuning en overige verwerking vallen onder de actuele Supabase DPA en sub-verwerkersvoorwaarden; wij doen daarom geen absolute "EU-only"-belofte.
3. Niet zichtbaar voor coaches — ongeacht overige permissies.
4. Niet gedeeld met de AI-provider — cyclus-data wordt niet meegegeven aan AI-functionaliteit.
5. Niet gebruikt voor advertenties of profiling — wij doen geen advertenties.
6. Onafhankelijk verwijderbaar — je kunt cyclusdata verwijderen zonder de rest van je account te verwijderen.
7. Verzoeken van autoriteiten — wij beoordelen verzoeken op geldigheid onder het toepasselijke recht en beperken verstrekking tot wat juridisch verplicht is. Ook de voorwaarden van onze verwerkers kunnen op zulke verzoeken van toepassing zijn.

2.3b Health Connect / HealthKit permissies

Op Android-apparaten kun je Vytrix verbinden met Health Connect. Permissies worden alleen gevraagd wanneer je de bijbehorende functie activeert:

Op iOS gebruiken we de equivalente HealthKit-categorieën. Je kunt elke permissie afzonderlijk intrekken via de Health Connect-instellingen op je apparaat.

2.3c Limited Use Statement (Health Connect)

Het gebruik van informatie ontvangen vanuit Health Connect voldoet aan het Health Connect Permissions-beleid, inclusief de Limited Use-vereisten.

Concreet:

• Wij gebruiken Health Connect-data uitsluitend voor de in §2.3b genoemde functies.
• Wij delen Health Connect-data nooit met advertentienetwerken, dataverwerkers voor marketing, kredietverstrekkers, verzekeraars of werkgevers.
• Wij gebruiken Health Connect-data niet voor het bepalen van werkgelegenheid, verzekerbaarheid of voor ongeautoriseerde sociale deling.
• Wij verkopen Health Connect-data niet door aan derden onder enige omstandigheid.

2.4 Sociale gegevens en berichten

• Feed-content: posts, reacties, likes, vriendschappen, uitdagingen, leaderboard-deelnames.
• Directe berichten en groepschats: tekst en gedeelde inhoud (foto's, links, food-shares, workout-shares). Berichten zijn alleen zichtbaar voor afzender, ontvanger(s) en — bij gerapporteerde inhoud — onze moderatieprocedure. Niet gedeeld met derden.
• UGC-moderatie metadata: rapportages worden opgeslagen in social_reports; rapportages over jou zijn voor jou niet zichtbaar.

2.5 Coach-client gegevens

Trainingsprogramma's, voortgang, berichten met je coach (indien van toepassing). De coach is een onafhankelijke verwerkingsverantwoordelijke. Reproductieve gezondheidsdata (§2.3a) is uitgesloten van coach-toegang.

2.6 Technische gegevens en apparaat-ID's

Apparaattype, besturingssysteem, app-versie. Wij verzamelen géén Android Advertising ID (AD_ID) of Apple Identifier for Advertisers (IDFA). We gebruiken wel een Firebase Installation ID en een push-notificatie-token voor account-koppeling, fraudepreventie en notificaties.

2.6a Achtergrond-functies (Foreground Service)

Tijdens een training kan de app een rust-timer (60-300 seconden) op de vergrendelschermnotificatie tonen. Er wordt geen locatie-tracking, audio-opname of andere achtergrondverwerking uitgevoerd buiten deze door jou gestarte timer.

2.7 Locatiegegevens (optioneel)

Bij gebruik van "sportschool detecteren" verzamelt de app eenmalig je geschatte locatie (stadsniveau, niet precies). Locatie wordt niet continu gevolgd en niet op onze servers opgeslagen, behalve als je een sportschool aan je profiel koppelt (alleen die coördinaten).

2.8 App-prestatie en analytics

• Crashrapporten via Firebase Crashlytics (Google Ireland Limited, EU). Geen persoonlijke trainings-, gezondheids-, of cyclusdata.
• App-interacties via onze eigen Supabase-analytics op EU-servers. Gepseudonimiseerd.
• Diagnostische gegevens zoals app-versie, OS-versie, apparaatmodel.
• Websiteprestaties via Vercel Analytics en Speed Insights. URL-parameters en fragmenten worden vóór verzending verwijderd.
• Optionele website-analytics via PostHog op de Europese endpoint, uitsluitend na je expliciete keuze. DNT en Global Privacy Control worden als weigering behandeld; juridische pagina's gebruiken geen PostHog.

Deze gegevens worden niet gedeeld met derden voor marketing of advertenties.

2.8a Geen advertentie-ID

Vytrix vraagt geen toegang tot AD_ID of IDFA. Wij tonen geen advertenties en delen je gegevens niet met advertentienetwerken.

2.9 Productinteresse en early-accessmail

Als je via Connect Devices in de app of via de shop/wachtlijst op deze website interesse aangeeft in de Vytrix Food Scale of Body Scale, verwerken wij het opgegeven e-mailadres, het afzonderlijke product, je keuze (kopen, testen of alleen updates), de bron (app of website), taal, optioneel land/regio, consentversie, verzend-/provideracceptatiemetadata en het moment waarop je de bevestiging voltooit. Een alternatief e-mailadres vanuit de app blijft los van je account; alleen een exact gelijk, al bevestigd accountadres kan technisch aan je account worden gekoppeld.

De checkbox staat standaard uit. Resend verstuurt één bevestigingsmail. De link opent eerst een bevestigingspagina; pas nadat je daar zelf op de bevestigingsknop drukt is double opt-in voltooid en mag het adres updates over dat specifieke product ontvangen. Food- en Body-interesse blijven aparte segmenten en wij gebruiken geen gezondheids-, trainings- of voedingsgegevens voor deze mails. Elke productupdate bevat een persoonlijke uitschrijflink. Uitschrijven trekt de toestemming voor dat record direct in; opnieuw aanmelden vereist een nieuwe double opt-in.

3. Waarom verwerken wij je gegevens en op welke grondslag?

4. Met wie delen wij je gegevens?

4.1 Je coach (indien van toepassing)

Alleen de datacategorieën waarvoor je toestemming hebt gegeven. Reproductieve gezondheidsdata is uitgesloten van coach-toegang.

4.2 Dienstverleners (verwerkers)

Volledige sub-processor lijst: vytrix.app/subverwerkers.

Wijzigingen in sub-processors worden minimaal 30 dagen vóór ingangsdatum aangekondigd. Bezwaar op gegevensbeschermingsgronden? privacy@vytrix.app.

4.3 Andere gebruikers

Alleen informatie die je zelf deelt via sociale functies, beperkt door je privacy-instellingen.

4.4 Wij delen NIET

• Met advertentienetwerken
• Met data brokers
• Met werkgevers, verzekeraars of kredietverstrekkers
• Vrijwillig met autoriteiten buiten een geldig juridisch verzoek; elk verzoek wordt beoordeeld en beperkt tot wat verplicht is
• Met enige derde partij voor diens eigen marketing; Resend verwerkt uitsluitend door Vytrix aangevraagde e-mail namens ons

5. Internationale doorgifte

Je gegevens worden primair verwerkt op servers in de EU (de primaire Supabase-regio voor Database, Auth en Storage is Ierland). Aanvullende verwerkers, waaronder Firebase, RevenueCat, Resend, OpenAI, Vercel, PostHog en Stripe, kunnen gegevens buiten de EER verwerken. Waar van toepassing gebruiken zij het EU-US Data Privacy Framework (DPF) en/of contractuele waarborgen zoals Standard Contractual Clauses (SCCs), overeenkomstig AVG Art. 46. De actuele combinatie verschilt per verwerker en staat in de verwerkersovereenkomst of de gekoppelde privacyvoorwaarden.

Resend vermeldt dat primaire verwerking en opslag in de VS plaatsvinden. Een Europese verzendregio bepaalt alleen de route van de e-mail en verplaatst opgeslagen account-, bericht- of aflevergegevens niet naar de EU.

Reproductieve gezondheidsdata (§2.3a) wordt door Vytrix niet naar AI-, marketing- of betaalproviders gestuurd. De primaire opslag staat in de Supabase-regio Ierland; eventuele ondersteunende verwerking of internationale doorgifte door de infrastructuurpartij valt onder de Supabase DPA, sub-verwerkerslijst en passende doorgiftewaarborgen.

6. Bewaartermijnen

7. Jouw rechten

Je hebt de volgende rechten onder de AVG:

• Inzage (Art. 15) — bekijk je gegevens via Instellingen → Privacy
• Rectificatie (Art. 16) — wijzig je gegevens in de app
• Wissing (Art. 17) — verwijder je account via Instellingen → Account; of via vytrix.app/account-verwijderen
• Beperking (Art. 18) — trek toestemming per categorie in
• Overdraagbaarheid (Art. 20) — JSON-export via Instellingen → Privacy → "Mijn data exporteren"
• Bezwaar (Art. 21) — trek toestemming in
• Toestemming intrekken (Art. 7(3)) — via de uitschrijflink in elke productupdate of via privacy@vytrix.app. Andere categorieën beheer je in de app. Intrekken heeft geen invloed op de rechtmatigheid van eerdere verwerking.
• Geautomatiseerde besluitvorming (Art. 22) — Vytrix neemt geen besluiten met juridische of vergelijkbaar significante effecten.

Heb je een klacht? Dan kun je terecht bij:

• Autoriteit Persoonsgegevens (AP) — Nederland: autoriteitpersoonsgegevens.nl
• Gegevensbeschermingsautoriteit (GBA) — België
• BfDI — Duitsland
• CNIL — Frankrijk

8. Toestemmingbeheer

Je kunt toestemming per categorie geven, bekijken en intrekken via Instellingen → Privacy → Toestemming.

Het intrekken is even eenvoudig als het geven (een tik). Geen gevolgen voor de rechtmatigheid van eerdere verwerking.

9. Doelgroep en leeftijd

Vytrix is bedoeld voor volwassenen van 18 jaar en ouder. Wij verwerken bewust geen persoonsgegevens van minderjarigen.

Bij registratie wordt de geboortedatum gecontroleerd via een neutrale leeftijds-picker. Gebruikers jonger dan 18 kunnen geen account aanmaken. Indien wij ontdekken dat een minderjarige toch een account heeft aangemaakt, verwijderen wij dat account en alle bijbehorende gegevens.

10. Beveiliging

• AES-256 versleuteling at-rest
• TLS 1.3 encryptie in-transit; geen cleartext-traffic
• Primaire Supabase-regio voor Database, Auth en Storage: Ierland (eu-west-1)
• Row Level Security (RLS) op alle tabellen met persoonsgegevens
• JWT-authenticatie via Supabase Auth
• Privé opslagbuckets; toegang via tijdelijke signed URLs (24h)
• Coach-client data isolatie via RLS + consent checks
• Geautomatiseerde retentie-cleanup (pg_cron)
• BDSG §22(2) "passende en specifieke maatregelen" voor Duitse gebruikers

11. Cookies (Coach Portal en website)

Het coach-portaal en deze website gebruiken noodzakelijke opslag/cookies voor bijvoorbeeld authenticatie. PostHog wordt pas na expliciete toestemming geladen en niet op juridische pagina's; DNT en Global Privacy Control gelden als weigering. Vercel Analytics en Speed Insights worden cookieloos gebruikt. Zie het cookiebeleid voor details.

12. Wijzigingen

Bij wezenlijke wijzigingen in dit privacybeleid informeren wij je proactief via:

1. Een in-app banner bij eerstvolgend gebruik
2. Een blokkerende modal die hernieuwde toestemming vraagt voor de gewijzigde verwerkingen
3. Een e-mail naar het bij ons bekende adres

Niet-wezenlijke wijzigingen (taalkundige aanscherping, typo's) worden alleen via versie-update op deze pagina gepubliceerd.

13. Contact

• Privacy-vragen: privacy@vytrix.app
• Beroep tegen moderatie-acties (DSA Art. 20): appeals@vytrix.app

Bedrijfsregistratie en actuele contactgegevens staan op vytrix.app/contact.