Privacyverklaring

Kort samengevat: we vragen wat we nodig hebben om je lidmaatschap te regelen en je op de hoogte te houden, we bewaren het niet langer dan nodig, en we verkopen het aan niemand.

1. Wie verantwoordelijk is voor jouw gegevens

Luma Hot Yoga Studios B.V., handelend onder de naam Luma Studios, Peperstraat 11-15, 1441 BH Purmerend. Ingeschreven bij de Kamer van Koophandel onder nummer 42152578.

Voor alles wat met je gegevens te maken heeft: info@lumahotyoga.nl, 06 11 30 32 83 (ook op WhatsApp), of per post naar Peperstraat 11-15, 1441 BH Purmerend. Een apart formulier is daarvoor niet nodig — één mail naar dat adres is genoeg, voor elk verzoek in deze verklaring. Een functionaris voor gegevensbescherming hebben we niet; voor een organisatie van deze omvang is dat niet verplicht.

2. Welke gegevens we verwerken

2.1 Bij je inschrijving

De twee opt-invakjes staan los van het akkoord met de voorwaarden en zijn geen van beide voorgevinkt. Je inschrijving gaat gewoon door als je ze leeg laat, en je trekt toestemming op elk moment weer in met één mail of de afmeldlink onderaan elk bericht.

Naam en e-mailadres hebben we nodig om een lidmaatschap te kunnen sluiten. Zonder die gegevens kunnen we de overeenkomst niet uitvoeren en kun je je niet inschrijven. Je telefoonnummer is niet verplicht. Vul je het in, dan gebruiken we het alleen voor persoonlijk contact over je inschrijving. De twee toestemmingen gaan over alles daarbuiten. Die mag je weigeren zonder gevolgen.

2.2 Bij een definitief lidmaatschap, vanaf de opening

Die gegevens verwerken we in Mindbody, ons boekings- en ledensysteem.

2.3 Betaalgegevens

We ontvangen zelf nooit je volledige rekening- of kaartgegevens. Bij een betaling ga je naar de omgeving van de betaaldienst en van je eigen bank; wij krijgen terug of de betaling is gelukt, met je naam en het rekeningnummer zoals de bank dat doorgeeft.

De betaaldienst die we hiervoor gebruiken is Mollie, gevestigd in Nederland. Wat we van Mollie terugkrijgen en bewaren: je naam, het rekeningnummer zoals je bank dat doorgeeft, het bedrag, het tijdstip en het betaalkenmerk. Dat hebben we nodig om de aanbetaling aan je inschrijving te koppelen en om terug te kunnen betalen in de gevallen die artikel 3.3 van de voorwaarden — opent in een nieuw tabblad noemt.

2.4 Gezondheidsinformatie

Gezondheidsgegevens zijn een bijzondere categorie persoonsgegevens. We gaan er daarom zo mee om:

• Wat je vóór de les aan de docent vertelt over een blessure, zwangerschap of gezondheidsklacht, blijft mondeling. Het wordt niet genoteerd, niet in het ledensysteem gezet en niet gedeeld met anderen dan de docent die op dat moment lesgeeft. Onze docenten hebben daarvoor een schriftelijke instructie en het notitieveld in het ledensysteem wordt hier niet voor gebruikt.
• We vragen je die informatie wel te geven, omdat de docent hem nodig heeft om jou veilig te laten meedoen. Artikel 8.3 van de algemene voorwaarden — opent in een nieuw tabblad zegt hetzelfde.
• Bij een pauze wegens ziekte of blessure (artikel 7.4 van de voorwaarden) vragen we in beginsel geen medische stukken. Duurt de pauze langer dan drie maanden, dan kunnen we vragen om een verklaring van een arts of behandelaar. Die verklaring zien we in en vernietigen we direct daarna; we leggen alleen vast dát de pauze is toegekend en voor welke periode. Wil je die verklaring liever niet geven, dan zoeken we een andere oplossing.
• Stuur je zelf gezondheidsinformatie schriftelijk, bijvoorbeeld in een mail, dan bewaren we die niet langer dan nodig is om je vraag te beantwoorden, en in elk geval niet langer dan drie maanden.

2.5 Communicatie

E-mail via Google Workspace, en telefoon- en WhatsApp-contact via het nummer hierboven. Dat gaat twee kanten op: berichten die jij ons stuurt, en contact dat wij zoeken. Grondslag: uitvoering van de overeenkomst voor alles wat over jouw eigen inschrijving of lidmaatschap gaat, gerechtvaardigd belang bij een vraag van iemand die nog geen lid is, en jouw toestemming voor telefonisch of WhatsApp-contact daarbuiten — het tweede vakje uit 2.1.

Dat nummer is een gewoon telefoonnummer; er zit geen geautomatiseerd kanaal achter. Gaan we dat later wel gebruiken, dan staat die partij in de lijst hieronder voordat het aangaat.

2.6 De website

Deze website zet geen cookies. Geen analytics, geen trackingscripts van derden, en de lettertypes staan op onze eigen server in plaats van bij Google.

Wat er sowieso gebeurt: onze hostingpartij legt technisch vast dat een pagina is opgevraagd, met tijdstip en IP-adres. Dat is nodig om de site te laten draaien en misbruik te zien. Grondslag: gerechtvaardigd belang.

2.7 Een vraag via het vraagveld

Onder de veelgestelde vragen op de website staat een vraagveld. Daar vragen we alleen je vraag en je e-mailadres, geen naam en geen telefoonnummer.

Je vraag komt binnen in onze mailbox en in ons overzicht van vragen, en we beantwoorden hem persoonlijk per e-mail. Je e-mailadres gebruiken we alleen daarvoor; je komt er niet mee op een nieuwsbrief. Komt een vraag vaker terug, dan kan hij anoniem en in onze eigen woorden bij de veelgestelde vragen komen.

2.8 Een steunbijdrage via de steunpagina

Op de steunpagina van de website kun je de verbouwing van de studio steunen met een bijdrage. Een bijdrage is een gift: er staat geen lidmaatschap, korting of voorrang tegenover.

Wat je invult komt binnen in onze mailbox en in ons overzicht van bijdragen, al op het moment dat je naar de betaling gaat. Breek je de betaling af, dan hebben we die gegevens dus wel; hoe lang we ze dan bewaren staat in hoofdstuk 5. Na een gelukte betaling krijg je een bedankmail.

Het noemen van je voornaam gaat alleen over je voornaam: niet je achternaam en niet het bedrag. Er hangt geen vaste plek, vorm of moment aan. Je trekt die toestemming in met één mail of met een antwoord op de bedankmail; daarna noemen we je voornaam niet meer.

Naam, e-mailadres en bedrag zijn nodig om een bijdrage te kunnen verwerken. Het bericht en de toestemming zijn niet verplicht; je bijdrage gaat ook zonder door.

3. Waarvoor we je gegevens gebruiken

De grondslag per gegeven staat in de tabellen hierboven. Samengevat: voor de uitvoering van de overeenkomst (je inschrijving, de ledenadministratie, het reserveren van lessen, het innen van het lidmaatschapsgeld en het verwerken van een steunbijdrage), voor een wettelijke verplichting (de financiële en fiscale administratie), uit een gerechtvaardigd belang (de beveiliging van de website en de studio, het voorkomen van misbruik van het inschrijfformulier, het vraagveld en het steunformulier, en het beantwoorden van vragen van mensen die nog geen lid zijn), en op grond van jouw toestemming (nieuwsbrieven per e-mail, contact per telefoon of WhatsApp buiten je eigen inschrijving om, en het noemen van je voornaam als je een bijdrage gaf — losse toestemmingen die je los van elkaar kunt geven of weigeren).

Toestemming trek je altijd in; dat heeft geen gevolgen voor je lidmaatschap en niet voor wat er vóór de intrekking is verstuurd. We nemen geen besluiten over jou op basis van geautomatiseerde verwerking of profilering. We verkopen je gegevens niet en gebruiken ze niet voor advertentieprofielen bij derden.

4. Wie je gegevens namens ons verwerkt

Met elke partij hieronder sluiten we een verwerkersovereenkomst voordat de verwerking begint.

• Vercel — host deze website en verwerkt daarbij technische serverlogboeken. Europese Unie.
• Make — zet je inschrijving, je vraag of je steunbijdrage in ons overzicht en onze mailbox, zodat er snel iemand reageert, en verstuurt de bevestiging na een betaling. Europese Unie.
• Google Workspace — onze e-mail en ons overzicht van inschrijvingen, vragen en bijdragen draaien erop. Europese Unie, met doorgifte naar de Verenigde Staten op grond van het EU-VS Data Privacy Framework.
• Mollie — handelt je aanbetaling of steunbijdrage af. Nederland. Mollie is geen verwerker maar zelfstandig verwerkingsverantwoordelijke, omdat een betaaldienstverlener onder eigen wettelijke verplichtingen staat. Wij krijgen terug of de betaling is gelukt, met je naam en het rekeningnummer zoals je bank dat doorgeeft; je volledige rekening- of kaartgegevens komen nooit bij ons binnen. Bij een steunbijdrage geven we Mollie naast het bedrag ook je naam, e-mailadres en keuze voor naamsvermelding mee als kenmerk van de betaling, zodat we de betaling na afloop aan je bijdrage kunnen koppelen. Je naam staat ook in de omschrijving die je bank laat zien: “Steunbijdrage Luma Studios”, met je naam erachter.
• Mindbody — het boekings- en ledensysteem, vanaf de opening. Amerikaanse leverancier; de doorgifte rust op de standaardcontractbepalingen van de Europese Commissie of op het EU-VS Data Privacy Framework. Wil je een kopie van die waarborgen inzien, mail dan info@lumahotyoga.nl en je krijgt hem toegestuurd.

WhatsApp. We gebruiken WhatsApp als contactkanaal op 06 11 30 32 83. Dat loopt via het gewone toestel van Kurtly, zonder tussenliggend platform en zonder automatische verwerking. WhatsApp is onderdeel van Meta en routeert en bewaart de berichten op eigen titel; daar kunnen wij niets aan veranderen en we zijn er niet verantwoordelijk voor. Wat we zelf met je bericht doen: lezen, beantwoorden, en het gesprek bewaren zolang het lopende contact daarom vraagt en daarna hooguit twee jaar. Wil je liever niet appen, dan kan alles ook per e-mail of telefoon.

Nog niet in gebruik. Deze partij komt erbij zodra zij aangaat, en niet eerder: een boekhoudpakket voor de financiële administratie. Staat een partij hier niet, dan verwerkt zij geen gegevens van jou.

5. Hoe lang we ze bewaren

• Betaal- en factuurgegevens: zeven jaar. Dat is de fiscale bewaarplicht en daar hebben we geen keuze in.
• Je ledenadministratie: zolang je lid bent, en daarna twee jaar zodat je zonder gedoe terug kunt komen.
• Inschrijvingen die niet tot een lidmaatschap leiden: twaalf maanden na de dag van inschrijving.
• Een steunbijdrage: naam, e-mailadres, bedrag, tijdstip en betaalkenmerk zeven jaar, als deel van de financiële administratie. Je bericht twaalf maanden na de dag van je bijdrage.
• Een steunbijdrage waarvan de betaling niet is afgerond: twaalf maanden na de dag waarop je naar de betaling ging.
• Een vraag via het vraagveld: twaalf maanden na de dag waarop je hem stelde. Staat er gezondheidsinformatie in, dan maximaal drie maanden, zoals in 2.4.
• Gezondheidsinformatie aan de docent: wordt niet vastgelegd, dus niet bewaard.
• Een verklaring van een arts bij een langere pauze: ingezien en direct vernietigd. Alleen de periode van de pauze leggen we vast, tot twee jaar na afloop van je lidmaatschap.
• Gezondheidsinformatie die je zelf schriftelijk stuurt: maximaal drie maanden.
• Toestemming voor nieuws, voor telefonisch contact of voor het noemen van je voornaam: tot je hem intrekt. Daarna houden we alleen je afmelding bij, om je niet opnieuw te benaderen.
• IP-adres bij het inschrijfformulier, het vraagveld en het steunformulier: zestig seconden. Dat is de duur van het venster van de snelheidsrem; daarna wordt de teller weggegooid.
• Serverlogboeken: maximaal dertig dagen.

6. Wat je kunt eisen

Inzage in wat we van je hebben, correctie als het niet klopt, verwijdering, beperking van de verwerking, bezwaar, je gegevens in een meeneembaar bestand, en het intrekken van toestemming die je eerder gaf. Eén mail naar info@lumahotyoga.nl is genoeg; je hoort binnen één maand wat we hebben gedaan. Is je verzoek ingewikkeld, dan mogen we die termijn met twee maanden verlengen — dan laten we dat binnen die eerste maand weten, met de reden.

Een verzoek kost je niets. We kunnen wel vragen om jezelf te identificeren als we twijfelen wie het verzoek doet. Vind je dat we je verkeerd behandelen, dan kun je klagen bij de Autoriteit Persoonsgegevens. Dat recht heb je altijd, ook zonder eerst bij ons te zijn geweest.

7. Beveiliging

• De site draait volledig over een versleutelde verbinding.
• Betaalgegevens komen nooit op onze eigen servers; die keten loopt van je bank naar de betaaldienst.
• Toegang tot de ledenadministratie is beperkt tot wie het voor zijn werk nodig heeft. Docenten zien hun eigen lessen en de deelnemerslijst, niet de financiële gegevens.
• Accounts van medewerkers zijn beveiligd met tweefactorauthenticatie.
• Het inschrijfformulier, het vraagveld en het steunformulier hebben alle drie een snelheidsrem, een limiet op de omvang van een bericht en een verborgen veld tegen geautomatiseerde inzendingen.

Gaat er ondanks alles iets mis en loopt je privacy daardoor risico, dan laten we het je weten en melden we het datalek bij de Autoriteit Persoonsgegevens.

8. Wijzigingen

We kunnen deze verklaring wijzigen. De meest actuele versie staat op de website, met de datum erbij. Verandert er iets wezenlijks aan wat we met je gegevens doen, dan laten we dat vooraf per e-mail weten.