Fivano B.V. en AnyPass

1. Inleiding

Dit privacybeleid beschrijft hoe Fivano B.V. ("wij", "ons", "onze") persoonsgegevens verzamelt, gebruikt, bewaart en beschermt wanneer u de AnyPass mobiele applicatie ("de App") of het AnyPass-webplatform gebruikt. AnyPass is een beheeroplossing voor zwembaden, zwemscholen en recreatieve accommodaties.

Wij respecteren uw privacy en zijn verplicht om uw persoonsgegevens te beschermen in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en andere toepasselijke privacywetgeving.

2. Gegevensverantwoordelijke en Functionaris Gegevensbescherming

Fivano B.V.

Retentieweg 24, 7572 PH Oldenzaal
Nederland
Telefoon: +31 (0)541 234 900
Website: www.fivano.com

Functionaris Gegevensbescherming (FG)

Twan Keizer
E-mail: twan.keizer@fivano.com

Voor alle vragen over dit privacybeleid, uw privacyrechten of de verwerking van uw persoonsgegevens kunt u rechtstreeks contact opnemen met de FG via bovenstaand e-mailadres.

3. Welke gegevens verzamelen wij?

3.1 Gewone persoonsgegevens

Wij verzamelen de volgende categorieën persoonsgegevens:

Identificatiegegevens

• Voornaam, tussennaam en achternaam

• Roepnaam en voorletters

• Geboortedatum

• Geslacht

Contactgegevens

• E-mailadres

• Mobiel telefoonnummer

• Vast telefoonnummer

• Noodcontactnummer (alternatief telefoonnummer)

• Adresgegevens (straat, huisnummer, toevoeging, postcode, stad, provincie, land)

Authenticatiegegevens

• Gebruikers-ID (Firebase UID)

• Loginreferenties (versleuteld opgeslagen via Firebase Authentication)

Financiële gegevens

• Betalingstransacties en -geschiedenis

• Abonnementsgegevens

• Factuurgegevens (factuuradres, factuur-e-mailadres, factuurtelefoon)

• Debiteurennummer

Toegangsidentifiers

• Toegangspassen, tags en QR-codes (fysieke identificatoren)

Zwemles- en opleidingsgegevens

• Lesgroepen en inschrijvingen

• Voortgang en scores

• Aanwezigheidshistorie

• Diploma’s en certificaten

Wachtlijstgegevens

• Voorkeursgroepen en -locaties

• Voorkeursdagen voor wachtlijst

Abonnementen en toegang

• Abonnementstypen en -status

• Toegangsgeschiedenis

Boekingen en afspraken

• Reserveringen voor faciliteiten

• Afspraken en roosters

Afbeeldingen

• Profielfoto’s (optioneel)

Certificaten (medewerkers)

• VCA-certificaat

• BHV-certificaat

Werkgerelateerde gegevens (medewerkers)

• Functieomschrijving

• Wekelijkse uren en werkperiode

• Opleidingsniveau

• Beschikbaarheid

Overige gegevens

• Taalvoorkeur

• Notificatievoorkeuren (pushnotificaties)

• Notities en opmerkingen

3.2 Bijzondere persoonsgegevens — Biometrische gegevens

AnyPass biedt optionele gezichtsherkenningsfunctionaliteit via Amazon AWS Rekognition.

Biometrische identificatiegegevens (gezichtsherkenningsdata) worden uitsluitend verwerkt wanneer:

1. De accommodatieorganisatie deze functionaliteit heeft geactiveerd, én

2. U als betrokkene hiervoor uitdrukkelijk toestemming heeft gegeven (AVG art. 9 lid 2 sub a).

De rechtsgrondslag voor deze verwerking is uitsluitend uw toestemming. U kunt uw toestemming te allen tijde intrekken via twan.keizer@fivano.com. Na intrekking worden uw biometrische gegevens onmiddellijk verwijderd.

3.3 Gegevens die automatisch worden verzameld

Gebruiksgegevens

• App-gebruik en interacties

• Foutmeldingen en technische logs (via Sentry, met geanonimiseerde gegevens)

• App-versie en apparaattype

Apparaatgegevens

• Apparaat-ID

• Besturingssysteem en versie

• Unieke identificatoren (NFC, Bluetooth)

Locatiegegevens

• Alleen voor Bluetooth LE-scans (coarse location — niet voor tracking)

4. Toegang tot apparaatfuncties

De App vraagt toegang tot de volgende functies van uw apparaat:

Camera

Voor het maken van foto’s (bijvoorbeeld profielfoto’s of gezichtsherkenning indien van toepassing).

Fotoalbums

Voor het selecteren en uploaden van afbeeldingen.

Bluetooth

Voor verbinding met compatibele apparaten (bijvoorbeeld toegangsterminals, printers).

Locatie (coarse)

Vereist voor Bluetooth LE-scans op Android-apparaten (niet gebruikt voor locatietracking).

NFC

Voor het lezen van NFC-tags en toegangspassen.

Netwerk

Voor verbinding met onze servers en synchronisatie van gegevens.

Opslag

Voor het opslaan van bestanden en cache.

U kunt deze toestemmingen op elk moment intrekken via de instellingen van uw apparaat. Houd er rekening mee dat sommige functies van de App mogelijk niet meer werken als u toestemming intrekt.

5. Doeleinden van gegevensverwerking

Wij verwerken uw persoonsgegevens voor de volgende doeleinden:

Uitvoering van overeenkomst (AVG art. 6 lid 1 sub b)

• Beheer van abonnementen en toegangspassen

• Verlenen van toegang tot de accommodatie

• Verwerking van boekingen en reserveringen

• Beheer van zwemlessen en cursussen

• Verwerking van betalingen en facturering

• Klantenservice en ondersteuning

• Verificatie van identiteitsdocumenten (waar noodzakelijk voor de dienstverlening)

Wettelijke verplichting (AVG art. 6 lid 1 sub c)

• Bewaring van financiële administratie (fiscale bewaarplicht 7 jaar)

• Voldoen aan belasting- en boekhoudkundige verplichtingen

• Registratie van veiligheidscertificaten (VCA/BHV) conform Arbowetgeving

Gerechtvaardigd belang (AVG art. 6 lid 1 sub f)

• Verbetering van onze diensten

• Foutopsporing en technische ondersteuning (via Sentry, geanonimiseerd)

• Beveiliging en fraude-preventie

Toestemming (AVG art. 6 lid 1 sub a en art. 9 lid 2 sub a voor biometrische gegevens)

• Verwerking van biometrische gegevens voor gezichtsherkenning

• Versturen van pushnotificaties

• Marketingcommunicatie (indien u hiervoor toestemming heeft gegeven)

6. Rechtsgrondslag voor gegevensverwerking

7. Delen van gegevens met derden

Wij delen uw persoonsgegevens alleen met derden in de volgende gevallen:

7.1 Dienstverleners (verwerkers)

Met alle onderstaande partijen die namens ons persoonsgegevens verwerken, hebben wij een verwerkersovereenkomst gesloten conform AVG artikel 28.

Server

• Authenticatie en gebruikersbeheer

• Cloudopslag voor bestanden en afbeeldingen

• Realtime database

Database

• Primaire database voor applicatiegegevens

• Gegevens worden opgeslagen in beveiligde datacenters (EU-regio waar beschikbaar)

Sentry

• Foutopsporing en prestatiemonitoring

• Gevoelige gegevens worden geanonimiseerd voordat ze worden verzonden

• Privacybeleid Sentry: https://sentry.io/privacy/

Gezichtsherkennings vector data

• Gezichtsherkenningsdata (uitsluitend indien toestemming is gegeven)

• S3 voor bestandsopslag

Betalingsverwerkers

• Pay.nl: Voor PIN-betalingen en online betalingen
  https://www.pay.nl/privacy-statement

• Stripe: Voor creditcardbetalingen
  https://stripe.com/nl/privacy

• CCV: Voor iDEAL-betalingen en terminalbetalingen
  https://www.ccv.eu/nl/privacy

• Worldline: Voor online betalingen
  https://worldline.com/en/home/about-us/privacy-policy.html

Overige dienstverleners

• Postcode API (postcode.tech) voor adresvalidatie

• E-mailserviceproviders voor het versturen van e-mails

• Hostingproviders voor serverinfrastructuur

7.2 Accommodatieorganisaties

Uw gegevens worden gedeeld met de zwembad- of accommodatieorganisatie waarvoor u klant, lid of medewerker bent. Deze organisatie treedt op als verwerkingsverantwoordelijke voor het gebruik van uw gegevens binnen hun eigen bedrijfsvoering en draagt de verantwoordelijkheid voor het verkrijgen van toestemming waar vereist.

7.3 Geen verkoop van gegevens

Wij verkopen uw persoonsgegevens niet aan derden voor commerciële doeleinden.

7.4 Wettelijke verplichtingen

Wij kunnen gegevens verstrekken indien dit wettelijk verplicht is, bijvoorbeeld bij een gerechtelijk bevel of verzoek van een toezichthouder.

8. Bewaartermijnen

Wij bewaren uw persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld:

Na het verstrijken van de bewaartermijn worden uw gegevens veilig verwijderd of aantoonbaar geanonimiseerd.

9. Beveiliging van gegevens

Wij nemen passende technische en organisatorische maatregelen conform AVG artikel 32 om uw persoonsgegevens te beschermen.

Technische maatregelen

• Versleuteling van gegevens in transit (HTTPS/TLS 1.2+)

• Versleuteling van gevoelige gegevens in rust

• Role-based access control (RBAC) via roleProfiles

• Regelmatige beveiligingsupdates

• Monitoring en logging van toegang

Organisatorische maatregelen

• Toegang uitsluitend voor geautoriseerd personeel op need-to-know-basis

• Training van medewerkers over gegevensbescherming en de AVG

• Verwerkersovereenkomsten met alle subverwerkers

• Incident response procedure bij datalekken (zie §10.1)

Geanonimiseerde foutlogs

• Gevoelige gegevens worden geanonimiseerd voordat ze naar Sentry worden verzonden

• Automatische filtering van persoonlijke informatie in error logs

Ondanks deze maatregelen kan geen enkele methode van verzending via internet of elektronische opslag 100% veilig worden gegarandeerd.

9.1 Datalekken

Bij een datalek dat waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen, melden wij dit binnen 72 uur aan de Autoriteit Persoonsgegevens conform AVG artikel 33. Betrokkenen worden zonder onredelijke vertraging geïnformeerd indien het datalek naar verwachting een hoog risico voor hen inhoudt (AVG artikel 34).

Vermoedt u een datalek of beveiligingsincident? Neem dan onmiddellijk contact op via twan.keizer@fivano.com.

10. Uw privacyrechten

Onder de AVG heeft u de volgende rechten met betrekking tot uw persoonsgegevens:

10.1 Recht op inzage (Artikel 15 AVG)

U heeft het recht om te weten welke persoonsgegevens wij van u verwerken en om een kopie daarvan te ontvangen.

10.2 Recht op rectificatie (Artikel 16 AVG)

U heeft het recht om onjuiste of onvolledige persoonsgegevens te laten corrigeren.

10.3 Recht op gegevenswissing (“recht om vergeten te worden”) (Artikel 17 AVG)

U heeft het recht om verwijdering van uw persoonsgegevens te verzoeken, behalve wanneer wij wettelijk verplicht zijn deze te bewaren.

10.4 Recht op beperking van verwerking (Artikel 18 AVG)

U heeft het recht om beperking van de verwerking van uw persoonsgegevens te verzoeken in bepaalde situaties.

10.5 Recht op gegevensoverdraagbaarheid (Artikel 20 AVG)

U heeft het recht om uw persoonsgegevens in een gestructureerd, gangbaar en machineleesbaar formaat te ontvangen en over te dragen aan een andere verwerkingsverantwoordelijke.

10.6 Recht van bezwaar (Artikel 21 AVG)

U heeft het recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens op basis van gerechtvaardigd belang. Bij bezwaar staken wij de verwerking, tenzij wij dwingende gerechtvaardigde gronden aanvoeren.

10.7 Recht met betrekking tot geautomatiseerde besluitvorming (Artikel 22 AVG)

U heeft het recht om niet onderworpen te worden aan uitsluitend geautomatiseerde besluitvorming die rechtsgevolgen voor u heeft. Toegangscontrole via gezichtsherkenning of pas vindt altijd plaats onder toezicht van medewerkers van de accommodatie.

10.8 Intrekken van toestemming

Indien wij uw gegevens verwerken op basis van toestemming (waaronder biometrische gegevens), heeft u het recht om deze toestemming op elk moment in te trekken zonder dat dit gevolgen heeft voor de rechtmatigheid van de verwerking vóór de intrekking.

11. Uitoefenen van uw rechten

U kunt uw rechten uitoefenen door contact op te nemen met de Functionaris Gegevensbescherming via twan.keizer@fivano.com. Wij reageren binnen één maand op uw verzoek. In complexe gevallen kan deze termijn met maximaal twee maanden worden verlengd; wij informeren u hier binnen één maand over.

Geen kosten

Het uitoefenen van uw privacyrechten is kosteloos, tenzij uw verzoeken kennelijk ongegrond of buitensporig zijn.

Identificatie

Wij kunnen u vragen uw identiteit te verifiëren voordat wij op uw verzoek reageren, om te voorkomen dat gegevens aan onbevoegden worden verstrekt. Stuur bij een schriftelijk verzoek een kopie van uw identiteitsdocument mee, waarbij u uw pasfoto, MRZ-strook, paspoortnummer en BSN afschermt.

12. Privacy van kinderen

AnyPass wordt gebruikt door accommodatieorganisaties die gegevens kunnen beheren van kinderen (personen onder de 16 jaar). In dergelijke gevallen:

• De accommodatieorganisatie is verantwoordelijk voor het verkrijgen van toestemming van ouders/voogden waar wettelijk vereist

• Wij verwerken geen biometrische gegevens van kinderen zonder uitdrukkelijke toestemming van ouders/voogden

• Ouders/voogden kunnen alle privacyrechten uitoefenen namens hun kinderen

Vermoedt u dat een kind zonder toestemming gegevens heeft verstrekt? Neem dan contact op via twan.keizer@fivano.com. Wij verwijderen deze informatie zo snel mogelijk.

13. Cookies en trackingtechnologieën

De App en het webplatform maken gebruik van functionele cookies en lokale opslag voor:

• Authenticatie en sessiebeheer

• App-instellingen en voorkeuren

• Offline functionaliteit

• Prestatiemonitoring (geanonimiseerd via Sentry)

Wij gebruiken geen tracking cookies voor advertentiedoeleinden.

14. Geautomatiseerde besluitvorming

AnyPass ondersteunt geautomatiseerde processen zoals:

• Toegangscontrole op basis van een geldig abonnement of identifier

• Automatische verwerking van aanwezigheidsregistraties

Bij al deze processen is altijd een medewerker van de accommodatieorganisatie betrokken als eindverantwoordelijke. Er worden geen besluiten genomen met aanzienlijke gevolgen voor betrokkenen op basis van volledig geautomatiseerde verwerking zonder menselijke tussenkomst.

15. Verwerkingsregister

Fivano B.V. houdt conform AVG artikel 30 een verwerkingsregister bij. Dit register bevat een overzicht van alle verwerkingsactiviteiten, de doelen, rechtsgrondslagen, categorieën betrokkenen en bewaartermijnen. Het register is beschikbaar voor de Autoriteit Persoonsgegevens op verzoek. Betrokkenen kunnen het register opvragen via twan.keizer@fivano.com.

16. Wijzigingen in dit privacybeleid

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken om veranderingen in onze praktijken of toepasselijke wetgeving te weerspiegelen. De “Laatst bijgewerkt”-datum bovenaan dit beleid geeft aan wanneer het voor het laatst is herzien.

Belangrijke wijzigingen zullen wij u via de App of per e-mail melden.

17. Klachten

Als u van mening bent dat wij uw persoonsgegevens niet correct verwerken, heeft u het recht een klacht in te dienen bij:

Functionaris Gegevensbescherming

Twan Keizer
E-mail: twan.keizer@fivano.com

Autoriteit Persoonsgegevens (AP)

Bezuidenhoutseweg 30, 2594 AV Den Haag
Telefoon: 088 - 1805 250
Website: https://www.autoriteitpersoonsgegevens.nl

Klacht indienen:
https://autoriteitpersoonsgegevens.nl/nl/contact-met-de-autoriteit-persoonsgegevens/tip-ons

U kunt ook een klacht indienen bij de toezichthouder in het EU-land waar u woont of werkt.

18. Contact

Voor vragen, opmerkingen of verzoeken met betrekking tot dit privacybeleid of de verwerking van uw persoonsgegevens:

Functionaris Gegevensbescherming

Twan Keizer
E-mail: twan.keizer@fivano.com

Fivano B.V.

Retentieweg 24, 7572 PH Oldenzaal
Nederland
Telefoon: +31 6 12030994
Website: www.fivano.com

Dit privacybeleid is van toepassing op de AnyPass mobiele applicatie (iOS en Android) en het AnyPass-webplatform (zwembad.app).