Exersaas

Verwerkersovereenkomst

Laatst bijgewerkt op 16 juni 2026

Deze verwerkersovereenkomst (“de Overeenkomst”) maakt deel uit van de overeenkomst tussen de praktijk (“Verwerkingsverantwoordelijke”) en Exersaas (“Verwerker”) en regelt de verwerking van persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke, conform Verordening (EU) 2016/679 (de AVG, ook bekend als de GDPR).

Exersaas wordt op dit moment als persoonlijk project beheerd door Tom Lievens (een natuurlijke persoon), bereikbaar via info@crealiev.com. Vóór een commerciële lancering wordt de Dienst ondergebracht in een geregistreerde onderneming en wordt deze Overeenkomst daarop aangepast.

1. Onderwerp, duur en rolverdeling

De Verwerker verwerkt persoonsgegevens uitsluitend om de Dienst te leveren: het bewaren van de patiënten en de oefeningenbibliotheek van de Verwerkingsverantwoordelijke, het samenstellen van schema's en het bezorgen ervan via een link of e-mail. De Verwerkingsverantwoordelijke bepaalt het doel en de middelen; Exersaas verwerkt enkel in opdracht. De Overeenkomst geldt zolang de Verwerker namens de Verwerkingsverantwoordelijke persoonsgegevens verwerkt.

2. Aard en doel van de verwerking

De verwerking bestaat uit het verzamelen, bewaren, raadplegen, gebruiken en bezorgen van persoonsgegevens, met als doel het opstellen en afleveren van oefenschema's aan de patiënten van de Verwerkingsverantwoordelijke.

3. Categorieën van betrokkenen en gegevens

  • Betrokkenen: de patiënten van de Verwerkingsverantwoordelijke en de gebruikers van het praktijkaccount.
  • Gegevens: voornaam, naam, e-mailadres en het oefenschema dat voor de patiënt is samengesteld (inclusief een eventuele vrije boodschap). De Dienst voorziet bewust geen velden voor diagnoses of medische dossiers.
  • Bijzondere categorieën: een oefenschema dat voor een specifieke patiënt is samengesteld, kan gezondheidsgegevens prijsgeven (artikel 9 AVG). De Verwerkingsverantwoordelijke verwerkt die als gezondheidszorgaanbieder op grond van artikel 9.2.h AVG en staat in voor een geldige grondslag; de Verwerker verwerkt ze enkel in opdracht.

De Verwerkingsverantwoordelijke verbindt zich ertoe geen onnodige bijzondere categorieën van persoonsgegevens in vrije tekstvelden in te voeren.

4. Verplichtingen van de Verwerker

  • de persoonsgegevens enkel verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke;
  • ervoor zorgen dat personen die toegang hebben tot de gegevens, gebonden zijn aan vertrouwelijkheid;
  • passende technische en organisatorische maatregelen nemen (artikel 32 AVG), zoals beschreven in artikel 5;
  • de Verwerkingsverantwoordelijke bijstaan bij verzoeken van betrokkenen en bij haar verplichtingen rond beveiliging, datalekken en gegevensbeschermingseffectbeoordelingen;
  • de Verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte brengen van een datalek;
  • geen subverwerker inschakelen zonder de voorwaarden van artikel 6 na te leven;
  • bij beëindiging alle persoonsgegevens verwijderen of teruggeven, naar keuze van de Verwerkingsverantwoordelijke, behalve wat wettelijk bewaard moet blijven.

5. Beveiligingsmaatregelen (artikel 32 AVG)

  • scheiding van gegevens per praktijk, afgedwongen op databaseniveau (row-level security);
  • versleuteling van gegevens tijdens verzending en in opslag;
  • versleutelde bewaring van toegangstokens;
  • afgeschermde media-opslag: logo's en thumbnails enkel bereikbaar via tijdelijke, ondertekende links; oefenvideo's afgeleverd via Bunny Stream met lange, niet te raden adressen;
  • versleutelde bewaring van de persoonlijke patiëntlinks;
  • hosting binnen de EU, met strikt toegangsbeheer.

6. Subverwerkers

De Verwerkingsverantwoordelijke geeft toestemming voor de volgende subverwerkers, elk met eigen AVG-verbintenissen:

  • Supabase: database, authenticatie en bestandsopslag (EU)
  • Vercel: hosting van de applicatie (regio Frankfurt)
  • Brevo: het versturen van schema-e-mails
  • Resend: het versturen van account-e-mails (bevestiging, wachtwoordherstel) als SMTP-relay (VS, standaardcontractbepalingen)
  • Sentry: foutmonitoring (EU-regio)
  • Bunny Stream (Bunny.net): opslag en aflevering van geüploade oefenvideo's via een content delivery network

Voegt de Verwerkingsverantwoordelijke oefeningen toe met gekoppelde YouTube- of Vimeo-video's, dan ontvangen Google (YouTube) en Vimeo bij het afspelen het IP-adres van de patiënt als ontvanger.

We brengen de Verwerkingsverantwoordelijke op de hoogte van geplande wijzigingen aan subverwerkers en geven de gelegenheid om bezwaar te maken.

7. Internationale doorgifte

De databank en bestandsopslag (Supabase, Vercel) en de foutmonitoring (Sentry, EU-regio) bevinden zich binnen de Europese Unie. Account-e-mails lopen via Resend, dat in de Verenigde Staten verwerkt. Voor de aflevering van oefenvideo's (Bunny Stream) en voor gekoppelde YouTube-/Vimeo-video's kunnen gegevens zoals het IP-adres buiten de EU/EER worden verwerkt. Doorgiften buiten de EU/EER gebeuren op basis van een passend doorgiftemechanisme (bv. standaardcontractbepalingen).

8. Datalekken

De Verwerker brengt de Verwerkingsverantwoordelijke zonder onnodige vertraging op de hoogte na kennis van een inbreuk in verband met persoonsgegevens, met de informatie die de Verwerkingsverantwoordelijke nodig heeft om aan haar meldplicht te voldoen.

9. Audit

De Verwerker stelt de informatie ter beschikking die nodig is om de naleving van deze Overeenkomst aan te tonen en werkt mee aan redelijke audits door de Verwerkingsverantwoordelijke of een door haar gemandateerde controleur.