Gegevensbescherming (GDPR)

Versie 2.0 · Laatst bijgewerkt: 5 september 2026

1. Rollen onder de AVG

2. Verwerkersovereenkomst (art. 28 AVG)

Dit onderdeel vormt een overeenkomst voor de verwerking van persoonsgegevens tussen de Klant (verwerkingsverantwoordelijke) en EvolixSport (verwerker) en maakt integraal deel uit van de Algemene voorwaarden. Klanten die een ondertekend exemplaar wensen of specifieke eisen hebben, kunnen ons schrijven via office@evolixsport.com.

2.1. Onderwerp, duur, aard en doel

Het onderwerp van de verwerking is het leveren van het platform EvolixSport als dienst. De verwerking duurt voort gedurende de looptijd van de overeenkomst en gedurende de termijn van punt 2.6 na beëindiging ervan. De aard van de verwerking omvat het verzamelen, opslaan, structureren, opvragen, raadplegen, analyseren, doorgeven binnen het platform, beperken en wissen. Het doel is het beheer van de sportactiviteiten van de Klant: administratie van sporters en staf, trainingen, tests, competities, licentieverlening, financieel en documentbeheer en ondersteuning via DimAI.

2.2. Soorten gegevens en categorieën betrokkenen

De categorieën gegevens en betrokkenen zijn beschreven in artikel 4 van de Privacyverklaring. Bijzondere categorieën van persoonsgegevens (gezondheidsgegevens, zelfbeoordelingen van de gesteldheid) worden uitsluitend verwerkt voor zover de Klant besluit ze in te voeren en een grondslag op grond van art. 9, lid 2, AVG waarborgt. Gegevens van kinderen worden verwerkt overeenkomstig artikel 7 van de Privacyverklaring.

2.3. Verplichtingen van de verwerker

EvolixSport:

• verwerkt de gegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, ook met betrekking tot doorgiften aan derde landen, tenzij de wet anders vereist; in dat geval informeert EvolixSport de Klant vooraf, voor zover de wet dit toestaat; instructies worden gegeven via de instellingen en functies van het platform en schriftelijk;
• informeert de Klant onmiddellijk indien naar zijn oordeel een instructie in strijd is met de AVG of ander toepasselijk recht;
• waarborgt dat de personen met toegang tot de gegevens zich tot geheimhouding hebben verbonden en zijn opgeleid;
• past de beveiligingsmaatregelen van artikel 5 toe en actualiseert deze in overeenstemming met het risico;
• schakelt subverwerkers uitsluitend in onder de voorwaarden van artikel 3;
• ondersteunt de Klant met passende technische en organisatorische maatregelen bij het vervullen van verzoeken van betrokkenen op grond van hoofdstuk III van de AVG, onder meer via de functies voor export, rectificatie en wissing in het platform, en stuurt ontvangen verzoeken binnen 5 werkdagen door;
• ondersteunt de Klant ten aanzien van de beveiliging van de verwerking, de melding van inbreuken, de gegevensbeschermingseffectbeoordelingen en de voorafgaande raadpleging van de toezichthoudende autoriteit;
• stelt de Klant de informatie ter beschikking die nodig is om de naleving van art. 28 AVG aan te tonen en staat audits toe, met inbegrip van inspecties ter plaatse, uitgevoerd door de Klant of een door hem gemachtigde auditor, met een redelijke aankondigingstermijn (ten minste 30 dagen, behalve bij een incident), ten hoogste eenmaal per jaar en met inachtneming van de vertrouwelijkheid van andere klanten;
• houdt een register bij van de categorieën van verwerkingsactiviteiten die voor de Klant worden verricht.

2.4. Verplichtingen van de Klant

De Klant is verantwoordelijk voor de rechtmatigheid van de gegevens en de instructies, voor het informeren van de betrokkenen, voor het bestaan van een rechtsgrond, met inbegrip van ouderlijke toestemming en een grondslag op grond van art. 9 AVG, voor de juistheid van de gegevens, voor het beheer van de gebruikersrollen en toegangsrechten binnen zijn organisatie en voor de beoordeling of en hoe hij DimAI gebruikt.

2.5. Beveiligingsinbreuken

EvolixSport informeert de Klant zonder onredelijke vertraging, en in de regel binnen 48 uur, nadat het kennis heeft genomen van een beveiligingsinbreuk die de gegevens van de Klant treft, en verstrekt daarbij de beschikbare informatie over de aard van de inbreuk, de categorieën en het geschatte aantal getroffen betrokkenen en persoonsgegevensregisters, de waarschijnlijke gevolgen en de genomen maatregelen. De melding aan de toezichthoudende autoriteit en aan de getroffen betrokkenen is een verplichting van de Klant als verwerkingsverantwoordelijke; EvolixSport verleent bijstand.

2.6. Wissing en teruggave

Na beëindiging van de overeenkomst kan de Klant binnen 90 dagen zijn gegevens exporteren in een gestructureerd, machineleesbaar formaat. Na afloop van deze termijn wist of anonimiseert EvolixSport de gegevens, ook in de back-ups bij hun eerstvolgende cyclus, behalve voor zover het Unierecht of het recht van een lidstaat bewaring vereist. Op verzoek bevestigt EvolixSport de wissing schriftelijk.

3. Subverwerkers

De Klant verleent een algemene toestemming voor het gebruik van de volgende subverwerkers (verwerkers in de zin van art. 28, lid 2, AVG). Met elk van hen is een overeenkomst gesloten die dezelfde verplichtingen inzake gegevensbescherming oplegt.

Van een voorgenomen wijziging, het toevoegen of vervangen van een subverwerker, stellen wij de Klanten ten minste 30 dagen vooraf op de hoogte via het platform of per e-mail. De Klant kan binnen deze termijn bezwaar maken op redelijke gronden die verband houden met gegevensbescherming; indien geen oplossing wordt gevonden, kan de Klant de overeenkomst voor de betreffende dienst zonder boete beëindigen. De actuele versie van de lijst is altijd op deze pagina gepubliceerd.

4. Internationale doorgiften

De gegevens worden opgeslagen en verwerkt in de Europese Unie (datacenter in Duitsland). De enige doorgifte buiten de Europese Economische Ruimte is de verzending van tekstuele verzoeken aan de leverancier van het taalmodel voor DimAI in de Verenigde Staten. Deze berust op de modelcontractbepalingen van de Europese Commissie op grond van art. 46, lid 2, onder c, AVG en, wanneer de leverancier gecertificeerd is, op het EU-VS Data Privacy Framework. Aanvullende maatregelen: uitsluitend de noodzakelijke tekstgegevens worden doorgegeven, zonder contact-, betaal- of medische gegevens, foto's en video's; in de federatiemodule worden de namen gepseudonimiseerd; de verbinding is versleuteld; de leverancier is contractueel verplicht de gegevens niet voor training te gebruiken en ze na de verwerking niet te bewaren. Een Klant die geen doorgifte wenst, kan ervoor kiezen DimAI voor zijn organisatie niet te activeren. Een kopie van de toepasselijke waarborgen wordt op verzoek verstrekt.

5. Technische en organisatorische maatregelen

6. Beveiligingsinbreuken: procedure

1. Meldingen worden ontvangen via support@evolixsport.com en onmiddellijk geregistreerd.
2. Het moment van kennisname wordt vastgesteld en de termijn van 72 uur op grond van art. 33 AVG gaat in.
3. Er vindt technische beheersing plaats: blokkering van de getroffen accounts, onderbreking van de getroffen module of integratie (elke module, met inbegrip van DimAI, kan onafhankelijk worden stopgezet), veiligstelling van bewijsmateriaal en logbestanden.
4. Het risico voor de rechten en vrijheden van de getroffen betrokkenen wordt beoordeeld.
5. De getroffen Klanten worden geïnformeerd (overeenkomstig punt 2.5) en, wanneer EvolixSport verwerkingsverantwoordelijke is, de Bulgaarse Commissie voor de bescherming van persoonsgegevens (CPDP) binnen 72 uur en de getroffen betrokkenen zonder onredelijke vertraging indien een hoog risico waarschijnlijk is.
6. Er wordt een oorzaakanalyse uitgevoerd en de corrigerende maatregelen worden opgevolgd. Alle inbreuken, ook die welke niet meldingsplichtig zijn, worden gedocumenteerd.

7. Rechten van betrokkenen: hoe u ze uitoefent

Iedere betrokkene heeft de rechten van art. 15 tot en met 22 AVG: inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar, intrekking van toestemming en bescherming bij geautomatiseerde besluitvorming.

• Zelfbediening: geregistreerde gebruikers kunnen vanuit hun profiel al hun gegevens in een machineleesbaar formaat (JSON) downloaden en een verzoek tot wissing indienen. Ouders zien en beheren de gegevens van hun kind via het ouderportaal.
• Per e-mail: office@evolixsport.com. Vermeld wie u bent, op welke club of federatie het verzoek betrekking heeft en wat u wenst. Wij kunnen om een proportionele identiteitsverificatie vragen, bijvoorbeeld een bevestiging vanaf het geregistreerde e-mailadres, zonder overbodige gegevens te verzamelen.
• Termijn: een antwoord zonder onredelijke vertraging en in de regel binnen een maand; bij complexe of talrijke verzoeken een verlenging met ten hoogste twee maanden, waarover u wordt geïnformeerd. Verzoeken zijn kosteloos, behalve bij kennelijk ongegronde of buitensporige verzoeken.
• Wanneer uw club of federatie de verwerkingsverantwoordelijke is: wij sturen het verzoek binnen 5 werkdagen door en verlenen bijstand; de definitieve beslissing ligt bij de organisatie. U kunt zich ook rechtstreeks tot de organisatie wenden.
• Wissing: verzoeken tot wissing worden uitgevoerd binnen 30 dagen na bevestiging door de verwerkingsverantwoordelijke, tenzij de wet bewaring vereist; op verzoek bevestigen wij de uitgevoerde wissing of anonimisering.
• Bezwaar tegen een resultaat van DimAI: u kunt om een menselijke beoordeling van elke aanbeveling of evaluatie verzoeken; de beoordeling wordt uitgevoerd door een bevoegd persoon van de Klant met onze bijstand en wordt gedocumenteerd.
• Klacht: bij de Commissie voor de bescherming van persoonsgegevens (CPDP), bul. „Prof. Tsvetan Lazarov“ 2, 1592 Sofia, Bulgarije, cpdp.bg, of bij de toezichthoudende autoriteit van uw woonplaats in de EU, onverminderd het recht op een voorziening in rechte.

Wij houden een register bij van de ontvangen verzoeken en de daarop genomen beslissingen.

8. Kinderen en ouders

Het profiel van een kind wordt aangemaakt door de club of door een ouder/wettelijke vertegenwoordiger. Voor een kind jonger dan 14 jaar wordt, wanneer de rechtsgrond toestemming is, de toestemming gegeven door een ouder of voogd. De ouder krijgt uitsluitend toegang via een door de club uitgegeven uitnodiging met code en ziet alleen de gegevens van zijn eigen kind, met inbegrip van testresultaten, aanwezigheid, zelfbeoordelingen en, indien de club ze heeft ingevoerd, trainingsbeperkingen. Bij een geschil over het ouderlijk gezag beslist de club, als verwerkingsverantwoordelijke, wie toegang krijgt; wij volgen zijn instructies. Gegevens van kinderen worden niet gebruikt voor reclame, commerciële profilering of het trainen van modellen.

9. DimAI en de AI-verordening (Verordening (EU) 2024/1689)

• Classificatie: DimAI is een AI-systeem voor algemene doeleinden dat wordt gebruikt voor sportanalyses en -aanbevelingen. Het valt niet onder de verboden praktijken van art. 5 van de AI-verordening en wordt niet gebruikt voor doeleinden met een hoog risico volgens bijlage III (bijv. beslissingen over toegang tot onderwijs, werk of de beoordeling van personen met aanzienlijke gevolgen). De beoordeling wordt bij elke nieuwe functie herzien.
• Rol: EvolixSport is gebruiksverantwoordelijke van een taalmodel voor algemene doeleinden van een externe aanbieder en aanbieder van de applicatie DimAI die daarvan gebruikmaakt.
• Transparantie (art. 50 AI-verordening): gebruikers worden ervan op de hoogte gesteld dat zij met kunstmatige intelligentie interageren; automatisch gegenereerde inhoud wordt als zodanig aangeduid.
• Menselijk toezicht: de resultaten zijn ondersteunende informatie; beslissingen worden genomen door een bevoegd persoon die de aanbeveling kan verwerpen.
• Verboden toepassingen: er vindt geen emotieherkenning, sociale scoring, biometrische identificatie of gebruik van manipulatieve technieken plaats.
• AI-geletterdheid (art. 4 AI-verordening): ons team en de beheerders van de Klanten ontvangen informatie en richtlijnen over de mogelijkheden, beperkingen en risico's van DimAI.
• Incidenten: fouten, klachten en incidenten in verband met DimAI worden geregistreerd en geanalyseerd; elke Klant kan om deactivering van de module voor zijn organisatie verzoeken.

10. Effectbeoordeling en verantwoording

Wij houden een register van verwerkingsactiviteiten bij op grond van art. 30 AVG. Voor de verwerking van gegevens van kinderen, gezondheidsgegevens en het gebruik van DimAI wordt een gegevensbeschermingseffectbeoordeling op grond van art. 35 AVG uitgevoerd en periodiek geactualiseerd. Nieuwe functies die deze categorieën raken, worden uitgebracht na een beoordeling en, waar nodig, na raadpleging van de toezichthoudende autoriteit.

11. Termijnen en wissing

De bewaartermijnen per categorie staan in artikel 13 van de Privacyverklaring. De wissing omvat de database en de bestandsopslag; back-ups worden binnen hun cyclus overschreven. Voor gegevens waarvoor de Klant de verwerkingsverantwoordelijke is, worden de termijnen door hem bepaald en toegepast via de functies voor wissing en anonimisering in het platform.

12. Contact

Juridische naam	EvolixSport – wordt bij de volgende update aangevuld
Registratienummer	wordt bij de volgende update aangevuld
Statutaire zetel en adres	wordt bij de volgende update aangevuld
Vertegenwoordigd door	wordt bij de volgende update aangevuld
E-mail voor privacy	office@evolixsport.com
E-mail voor support	support@evolixsport.com
Functionaris voor gegevensbescherming	niet aangesteld (niet verplicht voor de exploitant); verzoeken worden via bovenstaand e-mailadres behandeld

Dit document is actueel per de datum die aan het begin ervan is vermeld en wordt herzien bij elke wijziging van een subverwerker, doorgifte, beveiligingsmaatregel of AI-functie.