Juridisch

Privacybeleid

Laatst bijgewerkt: 6 september 2026

1. Wie wij zijn

GrabGains, een vennootschap onder firma naar Nederlands recht, is gevestigd in Nederland. Wij bepalen wat er met je persoonsgegevens gebeurt en zijn daarmee verwerkingsverantwoordelijke onder de AVG. Voor privacyvragen bereik je ons op [email protected]. Onze volledige bedrijfsgegevens, met KvK-nummer en btw-identificatienummer, staan in het colofon.

Toezichthouder: Autoriteit Persoonsgegevens (Nederland), Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Woon je in het Verenigd Koninkrijk, dan kun je ook terecht bij de ICO.

2. Welke gegevens wij verzamelen

2.1 Gegevens die je zelf opgeeft

Accountgegevens: naam, e-mailadres, gebruikersnaam, wachtwoord, de leeftijdscategorie die je bij het instellen kiest, en optioneel een profielfoto en geslacht. Wij vragen een categorie en geen geboortedatum: we hoeven te weten dat je zestien of ouder bent en met welk herstel we rekening houden, en een categorie beantwoordt allebei.

Fitness- en gezondheidsgegevens: lengte, gewicht, vetpercentage, trainingsdoelen, ervaringsniveau, beschikbaar materiaal, spiergroepen die je liever niet traint, trainingshistorie, sets, gewichten, herhalingen, persoonlijke records, en hoe zwaar een workout aanvoelde.

Inhoud die je maakt: berichten, foto's, reacties, likes, wie je volgt, workoutnotities, eigen oefeningen en routines.

Communicatiegegevens: supportberichten, gesprekken met de AI-coach, enquêteantwoorden en feedback.

2.2 Gegevens die automatisch worden verzameld

Apparaattoken: een identificatie voor pushnotificaties, zodat we je trainingsherinneringen en sociale meldingen kunnen sturen.

IP-adres: verwerkt door onze hosting- en beveiligingspartners om de dienst beschikbaar te houden en misbruik te voorkomen.

Advertentiemeting, alleen met je toestemming: een anoniem toestel-ID dat de Meta SDK aanmaakt, het advertentie-ID van je toestel (IDFA op iOS, advertising-ID op Android), het leveranciers-ID op iOS, je IP-adres, een Firebase-app-instance-ID en drie gebeurtenissen: de eerste start van de app, onboarding afgerond, en een abonnement afgesloten of verlengd. Zie hoofdstuk 13.

2.3 Gegevens van derden

Log je in met Google of Apple, dan ontvangen we je naam en e-mailadres van hen. Bij Apple kun je je e-mailadres verbergen; dan ontvangen wij alleen een doorstuuradres.

2.4 Gevoelige gegevens

Je gewicht en vetpercentage zijn gezondheidsgegevens, een bijzondere categorie onder artikel 9 van de AVG. Wat je trainingslogboek zegt over wat je lichaam aankan kan ook een gezondheidsgegeven worden, en dat gebeurt precies wanneer het naar de AI-coach gaat: daar loopt het op je aparte coach-toestemming en niet op de overeenkomst. Binnen de app zelf behandelen we een setlog als een prestatieregistratie, trekken we er geen medische conclusie uit en gebruikt de generator hem alleen om je volgende gewicht te kiezen. Wij verwerken die uitsluitend omdat je ze zelf invoert en daar uitdrukkelijke toestemming voor geeft. Je kunt die toestemming altijd intrekken door de gegevens of je account te verwijderen. Intrekken heeft geen gevolgen voor verwerkingen die al hebben plaatsgevonden.

3. Grondslag voor de verwerking

Uitdrukkelijke toestemming: gezondheids- en lichaamsgegevens, marketingmails, advertentiemeting (hoofdstuk 13).
Uitvoering van een overeenkomst: je account aanmaken, workouts genereren, je voortgang bewaren, je abonnement laten lopen.
Gerechtvaardigd belang: beveiliging, misbruikpreventie, geaggregeerde analyses en productontwikkeling.
Wettelijke verplichting: bewaren en verstrekken waar de wet dat eist.

4. Waarvoor wij je gegevens gebruiken

Om je account aan te maken en te beheren.
Om persoonlijke trainingsschema's te genereren en aan te passen aan je voortgang, materiaal en voorkeuren.
Om je prestaties bij te houden en je statistieken, records en klassementen te tonen.
Om oefenvideo's, afbeeldingen en instructies te leveren.
Om je te laten posten, andere gebruikers te laten volgen en met hen te laten communiceren.
Om de AI-coach te laten werken en je check-ins over je training te sturen.
Om pushnotificaties en servicemeldingen te versturen.
Om support te bieden.
Om de app veilig te houden en fraude en misbruik te voorkomen.
Om marketing te sturen, alleen met je toestemming en alleen tot je die intrekt.
Om te meten of onze advertenties op Instagram, Facebook en Google tot een installatie of een abonnement leiden, alleen met je toestemming (hoofdstuk 13).

Wij gebruiken je persoonsgegevens niet om onze eigen AI-modellen te trainen, en wij verkopen je gegevens niet.

5. Met wie wij je gegevens delen

Wij verkopen je persoonsgegevens niet. Wij werken met de volgende partijen, de meeste als verwerker onder een verwerkersovereenkomst; waar een partij zelf bepaalt wat zij met de gegevens doet, zeggen we dat erbij:

Supabase (database, authenticatie, opslag): gehost in de Europese Unie, regio Frankfurt. Hier staan je account- en trainingsgegevens.
Cloudflare (R2-opslag en netwerkbeveiliging): bewaart je foto's en beschermt de dienst tegen misbruik.
Google Gemini (AI-coach): zie hoofdstuk 6.
Firebase Cloud Messaging (Google): bezorgt pushnotificaties op je toestel.
Resend: verstuurt transactionele e-mail, zoals bevestigingen, wachtwoordherstel en codes voor accountverwijdering.
RevenueCat: houdt bij of je een abonnement hebt. Zij krijgen je gebruikers-id en de status van dat abonnement, nooit je betaalgegevens. Sta je advertentiemeting toe, dan krijgen zij ook het anonieme Meta-toestel-ID, het advertentie-ID van je toestel en je IP-adres, en sturen zij de abonnementsgebeurtenis namens ons naar Meta.
Meta (advertenties op Instagram en Facebook) en Google Analytics for Firebase (Google Ads): alleen met je toestemming, voor advertentiemeting. Meta is voor deze gegevens niet onze verwerker maar samen met ons verwerkingsverantwoordelijke; Google is onze verwerker voor Google Analytics en zelfstandig verantwoordelijke voor de koppeling met Google Ads. Details in hoofdstuk 13.
Umami: privacyvriendelijke websitestatistieken.
Apple en Google: koop je een abonnement, dan loopt de betaling via de App Store of Google Play. Wij zien je betaalgegevens nooit.

Wij kunnen gegevens ook delen om te voldoen aan de wet of een rechterlijk bevel, om rechten en veiligheid te beschermen, en bij een fusie, overname of verkoop van de onderneming. In dat laatste geval word je vooraf geïnformeerd.

Wat andere gebruikers zien. Je gebruikersnaam, profielfoto, berichten en je positie in klassementen zijn zichtbaar voor andere gebruikers. Je gewicht, je vetpercentage en je coachgesprekken zijn privé en worden nooit aan iemand anders getoond.

6. De AI-coach

Onze AI-coach draait op Google Gemini. Google treedt hierbij op als onze verwerker en gebruikt je gegevens niet om zijn modellen te trainen.

Wat wij naar Google sturen. Als je de coach iets vraagt, sturen we je vraag, het recente gesprek, je voornaam en je trainingsprofiel: je doel, ervaringsniveau, beschikbaar materiaal, voorkeursindeling, dagen per week, aantal voltooide workouts, streak, aandachtsgebieden en je actieve trainingsschema. Je laatste vijf workouts gaan ook mee: de oefeningen, de sets met gewicht en herhalingen, hoe zwaar het aanvoelde, de duur en eventuele records. Zonder die gegevens kan de coach niets zinnigs over je training zeggen.

Wat wij niet sturen. Wij sturen niet je e-mailadres, je achternaam, je leeftijdscategorie, je gewicht of je vetpercentage.

We gebruiken Gemini ook om de periodieke check-inberichten over je training te schrijven. Die zijn gebaseerd op je trainingsstatistieken. Je kunt ze uitzetten in je notificatie-instellingen.

Wat je zelf in de coach typt, gaat wel als onderdeel van je vraag naar Google. Vertel je de coach dus over een blessure of een klacht, dan is die tekst onderdeel van het gesprek.

De coach staat uit tot je hem aanzet. Omdat dit de enige plek is waar je trainingsgegevens onze eigen omgeving verlaten, vragen we je daar apart toestemming voor, vóór je eerste gesprek. Nee zeggen kost je niets behalve de coach: de rest van de app blijft gewoon werken. Je kunt die toestemming altijd intrekken onder Instellingen, en vanaf dat moment gaan er geen nieuwe coachgegevens naar Google.

Je praat met een taalmodel, niet met een mens. De coach geeft advies, nooit een bindend besluit, en je kunt elke suggestie aanpassen of negeren.

7. Je rechten

Onder de AVG en de Britse AVG heb je het recht om:

Je gegevens in te zien. Je kunt alles zelf exporteren in de app: Profiel, Instellingen, Gegevens exporteren.
Je gegevens te corrigeren.
Je gegevens te laten verwijderen. Zie hoofdstuk 8.
De verwerking te beperken of daartegen bezwaar te maken.
Je gegevens over te dragen.
Je toestemming op elk moment in te trekken.
Niet onderworpen te worden aan een uitsluitend geautomatiseerd besluit. Onze workoutsuggesties zijn advies, nooit een bindend besluit.
Een klacht in te dienen bij je toezichthouder.

Wil je een recht uitoefenen, mail dan [email protected]. Wij reageren binnen een maand. Wij brengen hier niets voor in rekening en behandelen je nooit anders omdat je een recht gebruikt.

8. Je account en je gegevens verwijderen

Je kunt je account altijd zelf verwijderen, op twee manieren:

In de app: Profiel, Instellingen, en onderaan Account verwijderen.
Op onze website: grabgains.com/nl/delete-account. Daar heb je de app niet voor nodig. Je vult je e-mailadres in en bevestigt met een code die wij je sturen.

Wij vragen om die code omdat we zeker moeten weten dat jij het bent. Zonder de code gebeurt er niets met je account.

Verwijderen is onmiddellijk en definitief. Wij verwijderen je profiel, gebruikersnaam en profielfoto, al je workouts, sets, persoonlijke records en voortgang, je gewichts- en vetpercentagehistorie, je berichten, foto's, reacties, likes en volgrelaties, je coachgesprekken en je notificatie-instellingen. Je actieve sessies worden ingetrokken, dus je bent nergens meer ingelogd.

Twee dingen blijven nog even bestaan. Onze versleutelde databaseback-ups kunnen je gegevens nog maximaal zeven dagen bevatten, daarna verlopen ze automatisch. Je foto's zitten daar niet in: die staan buiten de database en zijn meteen weg. Meldingen die andere gebruikers van je ontvingen worden samen met je account verwijderd, inclusief de naam die erin stond.

Je nieuwsbriefinschrijving staat hier los van. Gebruik de afmeldlink in een van onze e-mails om je uit te schrijven.

Heb je geen toegang meer tot het e-mailadres van je account? Mail [email protected] en wij helpen je.

9. Beveiliging

Versleuteling tijdens transport en in rust.
Row level security op elke tabel, zodat je gegevens alleen voor jou toegankelijk zijn.
Videobestanden van oefeningen worden versleuteld opgeslagen.
Toegangscontrole en authenticatie voor onze eigen medewerkers.
Periodieke beveiligingsreviews.

Geen enkel systeem is volledig veilig, maar wij nemen alle redelijke maatregelen om je gegevens te beschermen. Doet zich een inbreuk voor die waarschijnlijk gevolgen heeft voor je rechten, dan informeren wij jou en de toezichthouder zoals de wet voorschrijft.

10. Doorgifte naar het buitenland

Je account- en trainingsgegevens worden opgeslagen in de Europese Unie (Frankfurt). Een deel van onze verwerkers is gevestigd in de Verenigde Staten, waaronder Google, Resend en RevenueCat. Ook Supabase en Cloudflare zijn Amerikaanse bedrijven: je gegevens staan in de Europese Unie, maar hun support en beheer kunnen er vanuit de Verenigde Staten bij. Die doorgiftes vinden plaats onder de modelcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-US Data Privacy Framework.

11. Bewaartermijnen

Account- en trainingsgegevens: verwijderd op het moment dat je je account verwijdert.
Back-ups: onze versleutelde databaseback-ups kunnen je gegevens na verwijdering nog maximaal zeven dagen bevatten, daarna verlopen ze automatisch. Foto's en andere opgeslagen bestanden zitten er niet in.
Meldingen die andere gebruikers van je ontvingen: worden verwijderd wanneer je je account verwijdert.
Supportcommunicatie: 3 jaar.
Websitestatistiek: cookieloos verzameld door Umami, geaggregeerd en niet tot jou herleidbaar. Over je gebruik van de app zelf meten we alleen, en alleen met je toestemming, de drie gebeurtenissen uit hoofdstuk 13; Google Analytics bewaart die 14 maanden.

Sommige gegevens bewaren wij langer als de wet dat vereist, bijvoorbeeld voor de belasting.

12. Privacy van kinderen

Onze diensten zijn bedoeld voor gebruikers van 16 jaar en ouder. Wij verzamelen niet bewust persoonsgegevens van kinderen onder de 16. Ontdekken wij dat wij dat toch hebben gedaan, dan verwijderen wij die direct. Ouders en verzorgers kunnen contact met ons opnemen om de gegevens van een minderjarige te laten verwijderen.

13. Cookies en tracking

Onze website gebruikt noodzakelijke cookies, nodig om de site te laten werken en voor de beveiliging van formulieren, en voorkeurscookies zoals je taalkeuze.

Onze statistieken zijn cookieloos. Wij gebruiken Umami, dat geen cookies gebruikt, geen volledige IP-adressen opslaat en je niet over websites heen volgt. Umami registreert paginaweergaven, apparaattype en een globale locatie op land- of regioniveau, afgeleid uit de beveiligingsheaders van Cloudflare. Er worden geen profielen opgebouwd en geen advertentiegegevens verzameld.

Eén uitzondering: speel je op de pagina van een oefening een YouTube-video af, dan zet YouTube opslag op je apparaat. Zolang je niet op afspelen klikt gebeurt dat niet. Je leest er meer over onder Diensten van derden hieronder.

De app zelf gebruikt geen cookies. Je login wordt veilig op je eigen toestel bewaard, in de iOS Keychain of de versleutelde opslag van Android.

Advertentiemeting in de app, alleen met je toestemming. We adverteren voor GrabGains op Instagram, Facebook en Google. Om te zien of een advertentie tot een installatie of een abonnement leidde, kan de app een anoniem toestel-ID en het advertentie-ID van je toestel delen met Meta en Google, samen met drie gebeurtenissen: dat de app voor het eerst is gestart, dat je de onboarding hebt afgerond, en dat je een abonnement hebt afgesloten of verlengd. De abonnementsgebeurtenis bereikt Meta via RevenueCat. Nooit je trainingen, je lichaamsgegevens, wat je typt, of je antwoorden in de onboarding.

Niets hiervan gebeurt voordat je ja zegt. De vraag is een aparte stap aan het eind van de onboarding, met een "Niet nu" dat je niets kost; op iOS volgt daarna de trackingvraag van Apple zelf, en alleen "Sta toe" daar telt. Tot dat moment staan de Meta SDK en Google Analytics uit in de app. Je kunt je toestemming altijd intrekken onder Instellingen, Privacy & gegevens; vanaf dat moment worden de identifiers bij RevenueCat gewist en gaat er niets meer. Op iOS kun je het ook intrekken in de instellingen van je toestel onder Privacy, Tracking.

Meta en Google kunnen dit combineren met wat zij al over je weten in hun advertentiediensten, en daarom vragen we het eerst. Meta verwerkt de gegevens samen met ons als verwerkingsverantwoordelijke onder zijn Business Tools-voorwaarden; Google Analytics verwerkt ze namens ons en geeft conversies door aan Google Ads. Wij sturen geen e-mailadressen of andere contactgegevens mee om te matchen. Eén technische rest: de Meta SDK haalt bij het starten van de app zijn configuratie op bij Meta, ook voordat je hebt geantwoord; daarbij bereiken je IP-adres en ons app-ID Meta, maar geen identifier van je toestel.

14. Diensten van derden

Wij gebruiken Google reCAPTCHA v3 op de formulieren van onze website om spam en bots buiten te houden. Het analyseert technische gegevens over je interactie, zoals IP-adres, browsergegevens en gebruikspatronen, om mensen van bots te onderscheiden.

Google is hierbij niet onze verwerker. Voor reCAPTCHA bepaalt Google zelf wat het met die gegevens doet en is het zelfstandig verwerkingsverantwoordelijke: het privacybeleid en de voorwaarden van Google gelden, en een doorgifte naar servers buiten de Europese Economische Ruimte gebeurt onder hun regelingen. Onze eigen grondslag om het te plaatsen is het gerechtvaardigd belang van formulieren die niet misbruikt worden.

reCAPTCHA draait alleen op de website en alleen op pagina's met een formulier, nooit in de app. Omdat het een beveiligingsmaatregel is kun je het niet uitzetten, maar je bent er nooit aan gebonden: mail [email protected] en je bereikt ons net zo goed.

Op de pagina van sommige oefeningen staat een instructievideo van YouTube, een dienst van Google. Die video laadt niet vanzelf. Je ziet eerst een stilstaand beeld met een afspeelknop, en pas als je daarop klikt wordt de video bij YouTube opgehaald. Klik je niet, dan speelt er niets af en zet YouTube niets op je apparaat.

Twee dingen die je moet weten. Het stilstaande beeld komt van de servers van Google, waardoor je IP-adres daar bekend wordt zodra je de pagina opent; er worden daarbij geen cookies geplaatst. En zodra je op afspelen klikt gebruiken wij de variant van YouTube zonder trackingcookies, maar Google verwerkt vanaf dat moment wel gegevens over het kijken, is daarvoor zelfstandig verwerkingsverantwoordelijke en kan die gegevens buiten de Europese Economische Ruimte verwerken. Je klik op afspelen is je toestemming daarvoor.

In de app zit geen speler. Bij een oefening met een instructievideo zie je een kaart met datzelfde stilstaande beeld, dat ook daar van de servers van Google komt zodra de oefening in beeld komt. Tik je erop, dan opent je eigen YouTube-app of browser en neemt die het over.

Wij raden je aan de privacyverklaringen van deze partijen te lezen.

15. Privacyrechten in de Verenigde Staten

Dit hoofdstuk geldt als je in Californië woont of in een andere Amerikaanse staat met een eigen privacywet, zoals Virginia, Colorado, Connecticut, Utah of Texas.

Woon je in Washington of Nevada, dan hebben die staten een aparte wet voor gezondheidsgegevens. Hoe wij daarmee omgaan staat in onze verklaring gezondheidsgegevens.

Categorieën die wij verzamelen. Identificatoren (naam, e-mail, gebruikersnaam, apparaat-identificatoren), gezondheids- en fitnessgegevens, commerciële gegevens (je abonnement), internet- en appactiviteit, globale locatie op land- of regioniveau, en inhoud die je zelf maakt.

Wij verkopen je persoonsgegevens niet. Sta je advertentiemeting toe (hoofdstuk 13), dan geven wij een toestel-identifier en je abonnementsgebeurtenis door aan Meta en Google om onze eigen advertenties te meten; onder sommige Amerikaanse staatswetten telt dat als "delen", en je kunt het altijd stopzetten onder Instellingen, Privacy & gegevens, of door de vraag in de onboarding te weigeren. Wij gebruiken of verstrekken gevoelige persoonsgegevens voor geen ander doel dan het leveren van de dienst waar je om vroeg.

Je rechten. Je hebt het recht te weten wat wij verzamelen en waarom, een kopie van je gegevens te ontvangen, ze te corrigeren, ze te laten verwijderen, en niet te worden benadeeld omdat je die rechten gebruikt. Inwoners van Californië hebben daarnaast het recht het gebruik van gevoelige persoonsgegevens te beperken; omdat wij die alleen gebruiken om de dienst te leveren, geldt er geen verdere beperking.

Hoe je ze gebruikt. Exporteer je gegevens in de app onder Profiel, Instellingen, Gegevens exporteren. Verwijder je account in de app of op grabgains.com/nl/delete-account. Voor al het andere: mail [email protected]. Wij antwoorden binnen 45 dagen en kunnen die termijn eenmaal verlengen waar de wet dat toestaat. Je mag een gemachtigde inschakelen; wij vragen dan om bewijs van die machtiging. Wijzen wij een verzoek af, dan kun je bezwaar maken door op ons antwoord te reageren; op een bezwaar reageren wij binnen 45 dagen met de redenen erbij, en wijzen wij het af, dan vertellen we hoe je kunt klagen bij de procureur-generaal van jouw staat.

Kinderen. Wij verkopen of delen niet bewust de persoonsgegevens van iemand onder de 16. De app is voor mensen van 16 jaar en ouder, en de vraag over advertentiemeting wordt pas na de leeftijdscontrole gesteld.

16. Wijzigingen in dit beleid

Wij kunnen dit beleid aanpassen aan veranderingen in de wet of in onze diensten. Zijn de wijzigingen ingrijpend, dan laten wij het je weten per e-mail, plaatsen wij een melding in de app en werken wij de datum boven aan deze pagina bij.

17. Contact

GrabGains
Nederland
[email protected]
www.grabgains.com

Toezichthouder: Autoriteit Persoonsgegevens (Nederland), Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl

Algemene voorwaarden