Privacybeleid

1. Wie verwerkt jouw gegevens

De verwerkingsverantwoordelijke voor de persoonsgegevens die via Runbase worden verwerkt is [Bedrijfsnaam / eenmanszaak], [adres], ondernemingsnummer BE [0000.000.000]. Voor alle vragen of verzoeken in verband met je gegevens kun je terecht bij privacy@runbase.be.

Runbase is een klein platform en heeft geen wettelijk verplichte functionaris voor gegevensbescherming (DPO). Het bovenstaande adres is je contactpunt voor alle privacy-gerelateerde communicatie.

2. Welke gegevens we verwerken

We verwerken alleen de gegevens die we echt nodig hebben:

• Accountgegevens: e-mailadres, gehasht wachtwoord, naam, gebruikersnaam, aanmaakdatum.
• Profielgegevens (optioneel): provincie, bio, profielfoto, geboortejaar.
• Voorkeuren: notificatie-instellingen en zichtbaarheid van je publiek profiel.
• Logboek-data: races die je zelf invoert (datum, afstand, tijd, klassering, notities) en je persoonlijke doelen.
• Event-indieningen: als je een event indient, bewaren we de inhoud + welke gebruiker het indiende. Organisator-contactgegevens (naam, e-mail) gebruiken we enkel voor communicatie rond dat event.
• Technische gegevens: beperkte server-logs (IP-adres, browser-info, tijdstip), nodig voor beveiliging en foutopsporing. Bewaartermijn: maximaal 30 dagen.

3. Waarvoor en op welke rechtsgrond

Onder de AVG / GDPR hebben we voor elke verwerking een specifieke rechtsgrond nodig. Hieronder een overzicht:

• Account aanmaken en inloggen — uitvoering van de overeenkomst (art. 6.1.b GDPR).
• Logboek bijhouden en tonen — uitvoering van de overeenkomst.
• Publiek profiel tonen — jouw toestemming (art. 6.1.a). Je kunt deze altijd intrekken via je profielinstellingen.
• Event-indieningen modereren en publiceren — uitvoering van de overeenkomst + gerechtvaardigd belang om een correcte kalender aan te bieden (art. 6.1.f).
• Notificatie-e-mails (nieuw event in je provincie, nieuwsbrief) — jouw toestemming. Elk e-mailtype kun je per voorkeur in- of uitschakelen.
• Transactionele e-mails (account bevestigen, wachtwoord resetten, status event-indiening) — uitvoering van de overeenkomst. Deze kun je niet uitschakelen.
• Beveiliging, fraudepreventie, foutopsporing — gerechtvaardigd belang.
• Wettelijke verplichtingen (bv. reageren op gerechtelijke verzoeken) — art. 6.1.c.

4. Wie krijgt jouw gegevens te zien

Runbase verkoopt nooit persoonsgegevens aan derden. We delen wel beperkt met onderstaande verwerkers, die ons helpen om het platform draaiende te houden:

• Supabase (database, authenticatie, bestandsopslag) — EU-regio, verwerkersovereenkomst (DPA) van kracht.
• Vercel (hosting van de website) — EU-regio waar mogelijk, DPA van kracht.
• E-mailprovider voor het versturen van transactionele en notificatie-e-mails — DPA van kracht.

Daarnaast tonen we delen van je profiel alleen aan andere gebruikers wanneer jij dat zelf hebt aangezet (publiek profiel).

5. Doorgifte buiten de Europese Economische Ruimte

We doen ons best om alle verwerking binnen de EER te houden. Wanneer een verwerker (bv. een Amerikaanse cloudprovider in backup-context) toch gegevens buiten de EER verwerkt, gebeurt dat op basis van de Europese standaard contractbepalingen (Standard Contractual Clauses) en aanvullende beveiligingsmaatregelen, zoals voorgeschreven door de Europese Commissie.

6. Hoe lang we gegevens bewaren

• Account- en profielgegevens: zolang je account actief is.
• Logboek-data en doelen: zolang je account actief is.
• Goedgekeurde events: blijven publiek zichtbaar tot ze door jou of door ons worden verwijderd, ook nadat de organisator zijn account zou sluiten — events zijn immers feitelijke informatie van publiek belang.
• Server-logs: maximaal 30 dagen.
• Na accountverwijdering: alle persoonlijke gegevens worden binnen 14 dagen permanent uit onze database gewist, inclusief logboek, doelen en event-indieningen die nog niet publiek waren. Publiek gepubliceerde events worden geanonimiseerd (jouw naam wordt losgekoppeld).

7. Hoe we je gegevens beveiligen

We nemen passende technische en organisatorische maatregelen: versleutelde verbindingen (HTTPS), wachtwoorden alleen opgeslagen als beveiligde hash, row-level security in de database, beperkte toegang tot productiedata (enkel beheerders die het echt nodig hebben), en een back-upbeleid. Geen enkele beveiliging is 100% — bij een datalek met risico voor jouw rechten brengen we je en de toezichthouder op de hoogte binnen de wettelijke termijn van 72 uur.

8. Cookies

We gebruiken alleen strikt noodzakelijke cookies, vooral voor authenticatie (sessiebeheer bij Supabase). Voor deze cookies is volgens de cookiewet geen toestemming nodig. We plaatsen geen tracking-, marketing- of advertentie- cookies en gebruiken op dit moment geen externe analytics.

Als we in de toekomst een geanonimiseerde analytics-laag toevoegen, zal die opt-in zijn via een cookie-banner, met de mogelijkheid om altijd te weigeren of later in te trekken.

9. Toekomstige integraties (Strava, Garmin)

Op termijn maakt Runbase het mogelijk om je activiteiten via Strava of Garmin te koppelen, zodat races automatisch in je logboek belanden. Die koppeling gebeurt enkel na expliciete toestemming bij het activeren van de integratie, en je kunt ze op elk moment weer ontkoppelen. Bij ontkoppeling verwijderen we de tokens en stoppen we met data ophalen.

10. Je rechten

Onder de AVG / GDPR heb je de volgende rechten:

• Recht op inzage — opvragen welke gegevens we van jou bewaren.
• Recht op rectificatie — onjuiste gegevens laten corrigeren.
• Recht op wissing ("vergetelheid") — je account en bijhorende data laten verwijderen.
• Recht op beperking van de verwerking.
• Recht op overdraagbaarheid — een kopie van je gegevens in een gestructureerd, machineleesbaar formaat krijgen.
• Recht van bezwaar tegen verwerking op basis van gerechtvaardigd belang.
• Recht om toestemming in te trekken — voor alle verwerkingen waar toestemming de rechtsgrond is. Het intrekken verandert niets aan de rechtmatigheid van eerdere verwerking.

Stuur een mail naar privacy@runbase.be om gebruik te maken van deze rechten. We reageren in principe binnen één maand.

Ben je niet tevreden over hoe we met je gegevens omgaan? Je kunt altijd een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit (Drukpersstraat 35, 1000 Brussel).

11. Wijzigingen aan dit privacybeleid

We kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij inhoudelijke wijzigingen brengen we ingelogde gebruikers per e-mail op de hoogte. De datum "Laatst bijgewerkt" bovenaan deze pagina geeft aan wanneer de huidige versie van kracht is.