Juridisch

Privacybeleid

Laatst bijgewerkt: 1 augustus 2026

1. Wie wij zijn

GrabGains, een vennootschap onder firma naar Nederlands recht, is gevestigd in Nederland. Wij bepalen wat er met je persoonsgegevens gebeurt en zijn daarmee verwerkingsverantwoordelijke onder de AVG. Voor privacyvragen bereik je ons op [email protected]. Onze volledige bedrijfsgegevens, met KvK-nummer en btw-identificatienummer, staan in het colofon.

Toezichthouder: Autoriteit Persoonsgegevens (Nederland), Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Woon je in het Verenigd Koninkrijk, dan kun je ook terecht bij de ICO.

2. Welke gegevens wij verzamelen

2.1 Gegevens die je zelf opgeeft

Accountgegevens: naam, e-mailadres, gebruikersnaam, wachtwoord, de leeftijdscategorie die je bij het instellen kiest, en optioneel een profielfoto en geslacht. Wij vragen een categorie en geen geboortedatum: we hoeven te weten dat je zestien of ouder bent en met welk herstel we rekening houden, en een categorie beantwoordt allebei.

Fitness- en gezondheidsgegevens: lengte, gewicht, vetpercentage, trainingsdoelen, ervaringsniveau, beschikbaar materiaal, spiergroepen die je liever niet traint, trainingshistorie, sets, gewichten, herhalingen, persoonlijke records, en hoe zwaar een workout aanvoelde.

Inhoud die je maakt: berichten, foto's, reacties, likes, wie je volgt, workoutnotities, eigen oefeningen en routines.

Communicatiegegevens: supportberichten, gesprekken met de AI-coach, enquêteantwoorden en feedback.

2.2 Gegevens die automatisch worden verzameld

Apparaattoken: een identificatie voor pushnotificaties, zodat we je trainingsherinneringen en sociale meldingen kunnen sturen.

IP-adres: verwerkt door onze hosting- en beveiligingspartners om de dienst beschikbaar te houden en misbruik te voorkomen.

2.3 Gegevens van derden

Log je in met Google of Apple, dan ontvangen we je naam en e-mailadres van hen. Bij Apple kun je je e-mailadres verbergen; dan ontvangen wij alleen een doorstuuradres.

2.4 Gevoelige gegevens

Je gewicht en vetpercentage zijn gezondheidsgegevens, een bijzondere categorie onder artikel 9 van de AVG. Wat je trainingslogboek zegt over wat je lichaam aankan kan ook een gezondheidsgegeven worden, en dat gebeurt precies wanneer het naar de AI-coach gaat: daar loopt het op je aparte coach-toestemming en niet op de overeenkomst. Binnen de app zelf behandelen we een setlog als een prestatieregistratie, trekken we er geen medische conclusie uit en gebruikt de generator hem alleen om je volgende gewicht te kiezen. Wij verwerken die uitsluitend omdat je ze zelf invoert en daar uitdrukkelijke toestemming voor geeft. Je kunt die toestemming altijd intrekken door de gegevens of je account te verwijderen. Intrekken heeft geen gevolgen voor verwerkingen die al hebben plaatsgevonden.

3. Grondslag voor de verwerking

• Uitdrukkelijke toestemming: gezondheids- en lichaamsgegevens, marketingmails.
• Uitvoering van een overeenkomst: je account aanmaken, workouts genereren, je voortgang bewaren, je abonnement laten lopen.
• Gerechtvaardigd belang: beveiliging, misbruikpreventie, geaggregeerde analyses en productontwikkeling.
• Wettelijke verplichting: bewaren en verstrekken waar de wet dat eist.

4. Waarvoor wij je gegevens gebruiken

• Om je account aan te maken en te beheren.
• Om persoonlijke trainingsschema's te genereren en aan te passen aan je voortgang, materiaal en voorkeuren.
• Om je prestaties bij te houden en je statistieken, records en klassementen te tonen.
• Om oefenvideo's, afbeeldingen en instructies te leveren.
• Om je te laten posten, andere gebruikers te laten volgen en met hen te laten communiceren.
• Om de AI-coach te laten werken en je check-ins over je training te sturen.
• Om pushnotificaties en servicemeldingen te versturen.
• Om support te bieden.
• Om de app veilig te houden en fraude en misbruik te voorkomen.
• Om marketing te sturen, alleen met je toestemming en alleen tot je die intrekt.

Wij gebruiken je persoonsgegevens niet om onze eigen AI-modellen te trainen, en wij verkopen je gegevens niet.

5. Met wie wij je gegevens delen

Wij verkopen je persoonsgegevens niet. Wij gebruiken de volgende verwerkers, elk onder een verwerkersovereenkomst:

• Supabase (database, authenticatie, opslag): gehost in de Europese Unie, regio Frankfurt. Hier staan je account- en trainingsgegevens.
• Cloudflare (R2-opslag en netwerkbeveiliging): bewaart je foto's en beschermt de dienst tegen misbruik.
• Google Gemini (AI-coach): zie hoofdstuk 6.
• Firebase Cloud Messaging (Google): bezorgt pushnotificaties op je toestel.
• Resend: verstuurt transactionele e-mail, zoals bevestigingen, wachtwoordherstel en codes voor accountverwijdering.
• RevenueCat: houdt bij of je een abonnement hebt. Zij krijgen je gebruikers-id en de status van dat abonnement, nooit je betaalgegevens.
• Umami: privacyvriendelijke websitestatistieken.
• Apple en Google: koop je een abonnement, dan loopt de betaling via de App Store of Google Play. Wij zien je betaalgegevens nooit.

Wij kunnen gegevens ook delen om te voldoen aan de wet of een rechterlijk bevel, om rechten en veiligheid te beschermen, en bij een fusie, overname of verkoop van de onderneming. In dat laatste geval word je vooraf geïnformeerd.

Wat andere gebruikers zien. Je gebruikersnaam, profielfoto, berichten en je positie in klassementen zijn zichtbaar voor andere gebruikers. Je gewicht, je vetpercentage en je coachgesprekken zijn privé en worden nooit aan iemand anders getoond.

6. De AI-coach

Onze AI-coach draait op Google Gemini. Google treedt hierbij op als onze verwerker en gebruikt je gegevens niet om zijn modellen te trainen.

Wat wij naar Google sturen. Als je de coach iets vraagt, sturen we je vraag, het recente gesprek, je voornaam en je trainingsprofiel: je doel, ervaringsniveau, beschikbaar materiaal, voorkeursindeling, dagen per week, aantal voltooide workouts, streak, aandachtsgebieden en je actieve trainingsschema. Je laatste vijf workouts gaan ook mee: de oefeningen, de sets met gewicht en herhalingen, hoe zwaar het aanvoelde, de duur en eventuele records. Zonder die gegevens kan de coach niets zinnigs over je training zeggen.

Wat wij niet sturen. Wij sturen niet je e-mailadres, je achternaam, je leeftijdscategorie, je gewicht of je vetpercentage.

We gebruiken Gemini ook om de periodieke check-inberichten over je training te schrijven. Die zijn gebaseerd op je trainingsstatistieken. Je kunt ze uitzetten in je notificatie-instellingen.

Wat je zelf in de coach typt, gaat wel als onderdeel van je vraag naar Google. Vertel je de coach dus over een blessure of een klacht, dan is die tekst onderdeel van het gesprek.

De coach staat uit tot je hem aanzet. Omdat dit de enige plek is waar je trainingsgegevens onze eigen omgeving verlaten, vragen we je daar apart toestemming voor, vóór je eerste gesprek. Nee zeggen kost je niets behalve de coach: de rest van de app blijft gewoon werken. Je kunt die toestemming altijd intrekken onder Instellingen, en vanaf dat moment gaan er geen nieuwe coachgegevens naar Google.

Je praat met een taalmodel, niet met een mens. De coach geeft advies, nooit een bindend besluit, en je kunt elke suggestie aanpassen of negeren.

7. Je rechten

Onder de AVG en de Britse AVG heb je het recht om:

• Je gegevens in te zien. Je kunt alles zelf exporteren in de app: Profiel, Instellingen, Gegevens exporteren.
• Je gegevens te corrigeren.
• Je gegevens te laten verwijderen. Zie hoofdstuk 8.
• De verwerking te beperken of daartegen bezwaar te maken.
• Je gegevens over te dragen.
• Je toestemming op elk moment in te trekken.
• Niet onderworpen te worden aan een uitsluitend geautomatiseerd besluit. Onze workoutsuggesties zijn advies, nooit een bindend besluit.
• Een klacht in te dienen bij je toezichthouder.

Wil je een recht uitoefenen, mail dan [email protected]. Wij reageren binnen een maand. Wij brengen hier niets voor in rekening en behandelen je nooit anders omdat je een recht gebruikt.

8. Je account en je gegevens verwijderen

Je kunt je account altijd zelf verwijderen, op twee manieren:

• In de app: Profiel, Instellingen, en onderaan Account verwijderen.
• Op onze website: grabgains.com/nl/delete-account. Daar heb je de app niet voor nodig. Je vult je e-mailadres in en bevestigt met een code die wij je sturen.

Wij vragen om die code omdat we zeker moeten weten dat jij het bent. Zonder de code gebeurt er niets met je account.

Verwijderen is onmiddellijk en definitief. Wij verwijderen je profiel, gebruikersnaam en profielfoto, al je workouts, sets, persoonlijke records en voortgang, je gewichts- en vetpercentagehistorie, je berichten, foto's, reacties, likes en volgrelaties, je coachgesprekken en je notificatie-instellingen. Je actieve sessies worden ingetrokken, dus je bent nergens meer ingelogd.

Twee dingen blijven nog even bestaan. Onze versleutelde databaseback-ups kunnen je gegevens nog maximaal zeven dagen bevatten, daarna verlopen ze automatisch. Je foto's zitten daar niet in: die staan buiten de database en zijn meteen weg. Meldingen die andere gebruikers van je ontvingen worden samen met je account verwijderd, inclusief de naam die erin stond.

Je nieuwsbriefinschrijving staat hier los van. Gebruik de afmeldlink in een van onze e-mails om je uit te schrijven.

Heb je geen toegang meer tot het e-mailadres van je account? Mail [email protected] en wij helpen je.

9. Beveiliging

• Versleuteling tijdens transport en in rust.
• Row level security op elke tabel, zodat je gegevens alleen voor jou toegankelijk zijn.
• Videobestanden van oefeningen worden versleuteld opgeslagen.
• Toegangscontrole en authenticatie voor onze eigen medewerkers.
• Periodieke beveiligingsreviews.

Geen enkel systeem is volledig veilig, maar wij nemen alle redelijke maatregelen om je gegevens te beschermen. Doet zich een inbreuk voor die waarschijnlijk gevolgen heeft voor je rechten, dan informeren wij jou en de toezichthouder zoals de wet voorschrijft.

10. Doorgifte naar het buitenland

Je account- en trainingsgegevens worden opgeslagen in de Europese Unie (Frankfurt). Een deel van onze verwerkers is gevestigd in de Verenigde Staten, waaronder Google, Resend en RevenueCat. Ook Supabase en Cloudflare zijn Amerikaanse bedrijven: je gegevens staan in de Europese Unie, maar hun support en beheer kunnen er vanuit de Verenigde Staten bij. Die doorgiftes vinden plaats onder de modelcontractbepalingen van de Europese Commissie en, waar van toepassing, het EU-US Data Privacy Framework.

11. Bewaartermijnen

• Account- en trainingsgegevens: verwijderd op het moment dat je je account verwijdert.
• Back-ups: onze versleutelde databaseback-ups kunnen je gegevens na verwijdering nog maximaal zeven dagen bevatten, daarna verlopen ze automatisch. Foto's en andere opgeslagen bestanden zitten er niet in.
• Meldingen die andere gebruikers van je ontvingen: worden verwijderd wanneer je je account verwijdert.
• Supportcommunicatie: 3 jaar.
• Websitestatistiek: cookieloos verzameld door Umami, geaggregeerd en niet tot jou herleidbaar. Over je gebruik van de app zelf bewaren we niets, want we meten dat niet.

Sommige gegevens bewaren wij langer als de wet dat vereist, bijvoorbeeld voor de belasting.

12. Privacy van kinderen

Onze diensten zijn bedoeld voor gebruikers van 16 jaar en ouder. Wij verzamelen niet bewust persoonsgegevens van kinderen onder de 16. Ontdekken wij dat wij dat toch hebben gedaan, dan verwijderen wij die direct. Ouders en verzorgers kunnen contact met ons opnemen om de gegevens van een minderjarige te laten verwijderen.

13. Cookies en tracking

Onze website gebruikt noodzakelijke cookies, nodig om de site te laten werken en voor de beveiliging van formulieren, en voorkeurscookies zoals je taalkeuze.

Onze statistieken zijn cookieloos. Wij gebruiken Umami, dat geen cookies gebruikt, geen volledige IP-adressen opslaat en je niet over websites heen volgt. Umami registreert paginaweergaven, apparaattype en een globale locatie op land- of regioniveau, afgeleid uit de beveiligingsheaders van Cloudflare. Er worden geen profielen opgebouwd en geen advertentiegegevens verzameld.

Eén uitzondering: speel je op de pagina van een oefening een YouTube-video af, dan zet YouTube opslag op je apparaat. Zolang je niet op afspelen klikt gebeurt dat niet. Je leest er meer over onder Diensten van derden hieronder.

De app zelf gebruikt geen cookies. Je login wordt veilig op je eigen toestel bewaard, in de iOS Keychain of de versleutelde opslag van Android. Wij volgen je niet over andere apps of websites en gebruiken geen advertentie-identificatoren.

14. Diensten van derden

Wij gebruiken Google reCAPTCHA v3 op de formulieren van onze website om spam en bots buiten te houden. Het analyseert technische gegevens over je interactie, zoals IP-adres, browsergegevens en gebruikspatronen, om mensen van bots te onderscheiden.

Google is hierbij niet onze verwerker. Voor reCAPTCHA bepaalt Google zelf wat het met die gegevens doet en is het zelfstandig verwerkingsverantwoordelijke: het privacybeleid en de voorwaarden van Google gelden, en een doorgifte naar servers buiten de Europese Economische Ruimte gebeurt onder hun regelingen. Onze eigen grondslag om het te plaatsen is het gerechtvaardigd belang van formulieren die niet misbruikt worden.

reCAPTCHA draait alleen op de website en alleen op pagina's met een formulier, nooit in de app. Omdat het een beveiligingsmaatregel is kun je het niet uitzetten, maar je bent er nooit aan gebonden: mail [email protected] en je bereikt ons net zo goed.

Op de pagina van sommige oefeningen staat een instructievideo van YouTube, een dienst van Google. Die video laadt niet vanzelf. Je ziet eerst een stilstaand beeld met een afspeelknop, en pas als je daarop klikt wordt de video bij YouTube opgehaald. Klik je niet, dan speelt er niets af en zet YouTube niets op je apparaat.

Twee dingen die je moet weten. Het stilstaande beeld komt van de servers van Google, waardoor je IP-adres daar bekend wordt zodra je de pagina opent; er worden daarbij geen cookies geplaatst. En zodra je op afspelen klikt gebruiken wij de variant van YouTube zonder trackingcookies, maar Google verwerkt vanaf dat moment wel gegevens over het kijken, is daarvoor zelfstandig verwerkingsverantwoordelijke en kan die gegevens buiten de Europese Economische Ruimte verwerken. Je klik op afspelen is je toestemming daarvoor.

In de app zit geen speler. Bij een oefening met een instructievideo zie je een kaart met datzelfde stilstaande beeld, dat ook daar van de servers van Google komt zodra de oefening in beeld komt. Tik je erop, dan opent je eigen YouTube-app of browser en neemt die het over.

Wij raden je aan de privacyverklaringen van deze partijen te lezen.

15. Privacyrechten in de Verenigde Staten

Dit hoofdstuk geldt als je in Californië woont of in een andere Amerikaanse staat met een eigen privacywet, zoals Virginia, Colorado, Connecticut, Utah of Texas.

Woon je in Washington of Nevada, dan hebben die staten een aparte wet voor gezondheidsgegevens. Hoe wij daarmee omgaan staat in onze verklaring gezondheidsgegevens.

Categorieën die wij verzamelen. Identificatoren (naam, e-mail, gebruikersnaam, apparaat-identificatoren), gezondheids- en fitnessgegevens, commerciële gegevens (je abonnement), internet- en appactiviteit, globale locatie op land- of regioniveau, en inhoud die je zelf maakt.

Wij verkopen je persoonsgegevens niet en delen ze niet voor context-overstijgende gedragsadvertenties. Dat hebben wij ook nooit gedaan, ook niet in de twaalf maanden vóór de datum van dit beleid. Wij gebruiken of verstrekken gevoelige persoonsgegevens niet voor een ander doel dan het leveren van de dienst waar je om hebt gevraagd.

Je rechten. Je hebt het recht te weten wat wij verzamelen en waarom, een kopie van je gegevens te ontvangen, ze te corrigeren, ze te laten verwijderen, en niet te worden benadeeld omdat je die rechten gebruikt. Inwoners van Californië hebben daarnaast het recht het gebruik van gevoelige persoonsgegevens te beperken; omdat wij die alleen gebruiken om de dienst te leveren, geldt er geen verdere beperking.

Hoe je ze gebruikt. Exporteer je gegevens in de app onder Profiel, Instellingen, Gegevens exporteren. Verwijder je account in de app of op grabgains.com/nl/delete-account. Voor al het andere: mail [email protected]. Wij antwoorden binnen 45 dagen en kunnen die termijn eenmaal verlengen waar de wet dat toestaat. Je mag een gemachtigde inschakelen; wij vragen dan om bewijs van die machtiging. Wijzen wij een verzoek af, dan kun je bezwaar maken door op ons antwoord te reageren; op een bezwaar reageren wij binnen 45 dagen met de redenen erbij, en wijzen wij het af, dan vertellen we hoe je kunt klagen bij de procureur-generaal van jouw staat.

Kinderen. Wij verkopen of delen niet bewust de persoonsgegevens van iemand onder de 16, omdat wij persoonsgegevens überhaupt niet verkopen of delen.

16. Wijzigingen in dit beleid

Wij kunnen dit beleid aanpassen aan veranderingen in de wet of in onze diensten. Zijn de wijzigingen ingrijpend, dan laten wij het je weten per e-mail, plaatsen wij een melding in de app en werken wij de datum boven aan deze pagina bij.

17. Contact

GrabGains
Nederland
[email protected]
www.grabgains.com

Toezichthouder: Autoriteit Persoonsgegevens (Nederland), Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl

Algemene voorwaarden