Wat BASE met je gegevens doet.

Wie verantwoordelijk is

Movement Based Therapy, een maatschap, is de verwerkingsverantwoordelijke voor BASE. Ik ben Jurre Kok, fysiotherapeut en eigenaar van de praktijk, en ik ben ook je aanspreekpunt voor vragen over privacy. Je bereikt me op info@getbase.coach.

Gebruik je BASE via een andere praktijk of coach dan Movement Based Therapy, dan is die praktijk of coach verantwoordelijk voor wat er met je dossier gebeurt. Wij leveren dan het platform en werken in opdracht van die praktijk.

Voor wie dit geldt

• Patiënten van de praktijk, die BASE gebruiken tijdens hun behandeling.
• Sporters die BASE gebruiken voor training zonder behandeling, al dan niet met een coach.
• Therapeuten, coaches en beheerders met een account.
• Bezoekers van getbase.coach die niet inloggen. Voor hen is alleen het kopje over cookies van belang.

Welke gegevens we verwerken

Je account

Naam, e-mailadres en geboortejaar: die vult de praktijk in bij je uitnodiging. We vragen alleen het jaar, niet je volledige geboortedatum. Als je ze invult: telefoonnummer en een profielfoto. We slaan geen BSN en geen verzekeringsgegevens op. Die staan alleen in het dossiersysteem van de praktijk, niet in BASE.

Je behandeling of training

Je blessure of doel, je programma's en de sessies die je logt: oefeningen, gewichten, herhalingen, hoe zwaar het voelde, pijnscores en hoe je je voelt. Ook de notities die je erbij schrijft en de klachten die je noteert, bij een training in BASE of los daarvan. Daarnaast welzijnschecks, mobiliteitstests, revalidatiecriteria, klinische tests zoals de krachtverhouding tussen links en rechts, testrapporten, hardloopanalyses, de gewoontes die je bijhoudt en de belastingcurve die we daaruit berekenen.

Uit koppelingen die je zelf aanzet

Slaap en slaapfasen, hartslag en hartslagvariabiliteit, ademfrequentie, trainingen met een hartslag- en tempocurve, stappen, energieverbruik en VO2max. Zie het kopje over koppelingen.

Metingen door je therapeut

Krachttests en sprongen die de praktijk meet met KINVENT-apparatuur in de behandelkamer. Zie het kopje over KINVENT.

Technische gegevens

Het tijdstip, IP-adres en apparaat waarmee je inlogt, een logboek van wie je dossier opent of wijzigt (verplicht in de zorg, norm NEN 7513), en als je meldingen aanzet een apparaatcode voor pushberichten.

Waarvoor, en op welke grond

• Behandeling (patiënten): De behandelovereenkomst. Voor gezondheidsgegevens: zorgverlening onder beroepsgeheim (AVG art. 9 lid 2 sub h). De dossierplicht uit de WGBO.
• Training (sporters): De overeenkomst voor het gebruik van BASE, dat zijn de gebruiksvoorwaarden. Voor gezondheidsgegevens: je uitdrukkelijke toestemming, die je bij je eerste login apart geeft.
• Koppelingen met horloges en diensten: Je uitdrukkelijke toestemming per bron, op je toestel of in het inlogscherm van die dienst. Je trekt die in door los te koppelen.
• Geanonimiseerde cohort-inzichten: Alleen als je meedoet. De keuze staat standaard uit en je zet hem in de app weer uit zonder gevolgen voor je behandeling.
• E-mail en pushmeldingen: Nodig om BASE te laten werken (uitnodiging, inlogcode, herinneringen). Wat je wel en niet wilt ontvangen stel je zelf in.
• Beveiliging en logboek: Wettelijke plicht (WGBO, Wabvpz) en ons gerechtvaardigd belang om misbruik te herkennen.

Bij de eerste keer inloggen ga je akkoord met de gebruiksvoorwaarden en lees je deze privacyverklaring. Train je als sporter zonder behandelrelatie, dan geef je daarnaast apart uitdrukkelijke toestemming voor het verwerken van je gezondheidsgegevens. Die kun je altijd intrekken onder Akkoord en toestemming; zonder die toestemming kun je BASE niet gebruiken.

Wie je gegevens ziet

Als patiënt: je behandelend therapeut en diens collega's binnen dezelfde praktijk, zodat een collega het kan overnemen als je therapeut afwezig is. Dat is dezelfde afspraak als voor je gewone dossier.

Als sporter: alleen de therapeut of coach die jij zelf hebt geaccepteerd. Bij het accepteren kies je apart of je je schema en trainingen deelt, en of je je gezondheidsdata deelt: slaap, hartslag, herstel en andere metingen van je wearable. Een coach ziet niets van een behandeling. Wie je hebt geaccepteerd en wat je deelt zie je onder Instellingen, Toegang. Daar zet je het delen van je gezondheidsdata aan of uit, en trek je toegang weer in.

Jijzelf: in de app staat een toegangslogboek waarin je ziet wie je dossier wanneer heeft geopend.

De beheerder van het platform ziet gegevens alleen voor technisch beheer en het controleren van het logboek. Verder ziet niemand je gegevens. Zit je in een trainingsgroep, dan ziet de staf van die groep je naam en of je een verzoek hebt geaccepteerd. We verkopen niets door, tonen geen advertenties en delen geen gegevens met verzekeraars of werkgevers. Alleen als de wet ons daartoe verplicht, bijvoorbeeld bij een vordering van de politie, geven we gegevens af.

Koppelingen die je zelf aanzet

Je kunt je Apple Watch (via Apple Health), je Android-telefoon en horloge (via Health Connect), je Polar- of Garmin-horloge of je Strava-account koppelen. BASE haalt dan slaap, hartslag, hartslagvariabiliteit, ademfrequentie, trainingen, stappen en energieverbruik op, zolang de koppeling bestaat. Koppelen is nooit een voorwaarde voor behandeling of training. Op dit moment staat koppelen open voor sporters, coaches en therapeuten; voor patiëntaccounts nog niet.

• Apple Health: je geeft per gegevenssoort toestemming op je eigen iPhone. De gegevens gaan rechtstreeks van je toestel naar BASE; Apple ziet die overdracht niet.
• Health Connect: je geeft per gegevenssoort toestemming op je eigen Android-telefoon. BASE leest alleen en schrijft niets terug. De gegevens gaan rechtstreeks van je toestel naar BASE; Google ziet die overdracht niet. Koppel je los in de app, dan trekt BASE die toestemming ook in Android in.
• Strava: je logt in bij Strava en geeft daar toestemming om je activiteiten te lezen. Wij bewaren duur, afstand, hartslag en tempo, geen route of foto's. Koppel je los of verwijder je je account, dan trekken we onze toegang bij Strava in en verwijderen we onze sleutels. Je kunt BASE ook altijd zelf weghalen in je Strava-instellingen. Strava Inc. is gevestigd in de Verenigde Staten; wat wij naar Strava sturen is alleen de sleutel die jij daar hebt aangemaakt.
• Polar: zelfde principe via het inlogscherm van Polar. Polar Electro Oy is gevestigd in Finland, binnen de EER. Koppel je los, dan verwijderen wij de sleutels en trekken we onze registratie bij Polar in.
• Garmin: je logt in bij Garmin Connect en kiest daar wat je deelt (activiteiten, gezondheid). Wij bewaren duur, afstand, hartslag, tempo, slaap, hartslagvariabiliteit, rust-hartslag, stappen, energieverbruik en VO2max, geen route. Koppel je los of verwijder je je account, dan trekken we onze toegang bij Garmin in en verwijderen we onze sleutels. Je kunt BASE ook altijd zelf weghalen in Garmin Connect. Voor gebruikers in de EER is Garmin Würzburg GmbH verantwoordelijk; dat bedrijf is gevestigd in Duitsland, binnen de EER.

De toegangssleutels van deze diensten bewaren we versleuteld. De gegevens zelf vallen onder dezelfde beveiliging en bewaartermijn als de rest van je dossier.

Gegevens uit Garmin

Koppel je Garmin Connect, dan geeft Garmin ons de gegevens die jij daar deelt. Je logt zelf in bij Garmin Connect en kiest daar per soort wat je deelt: activiteiten en dagelijkse gezondheidsstatistieken. Die keuze kun je op elk moment aanpassen in Garmin Connect.

Wat we ontvangen en bewaren. Van je activiteiten de soort, duur, afstand, hartslag, tempo, calorieën en de naam van je Garmin-toestel, geen route of locatie. Van je gezondheid je slaap met de tijd per fase, hartslagvariabiliteit, rusthartslag, ademfrequentie in de slaap, stappen, energieverbruik en VO2max.

Waarvoor. Je ziet ze in je eigen BASE-account, en BASE rekent er je belasting en herstel mee uit. Een coach of behandelaar ziet ze alleen als jij die toegang hebt gegeven; zie het kopje over wie je gegevens ziet.

Wie ze verwerkt. Alleen de partijen onder "Partijen die voor ons werken": Supabase voor de database en Vercel voor de hosting. We delen Garmin-gegevens met geen enkele andere partij, verkopen ze niet en gebruiken ze niet voor advertenties. Garmin-gegevens gaan niet naar een AI-dienst; zie het kopje "Geen AI op je gegevens". Garmin stuurt de gegevens naar een adres van BASE zelf. Wij sturen Garmin geen naam, e-mailadres of intern nummer, alleen de sleutel die jij zelf hebt aangemaakt.

Waar en hoe lang. In BASE in Londen, op dezelfde plek en met dezelfde beveiliging als de rest van je gegevens; zie het kopje over hoe lang we bewaren. Koppel je los, dan komen er geen nieuwe gegevens meer binnen, trekken we onze toegang bij Garmin in en verwijderen we onze sleutels. Wil je ook de al ontvangen Garmin-gegevens laten wissen, vraag het ons via het kopje Contact, of laat je account verwijderen.

Metingen uit KINVENT

De praktijk meet kracht en sprongen met apparatuur van KINVENT (Montpellier, Frankrijk). Die metingen staan in de KINVENT-software onder het account van de praktijk. Je therapeut kan jouw BASE-dossier aan jouw KINVENT-profiel koppelen en metingen overnemen, zodat je rapport en je revalidatiecriteria op dezelfde meting steunen.

BASE bewaart daarbij een verwijzingscode naar het KINVENT-profiel en de overgenomen meetwaarden, waaronder de lichaamsmassa die het krachtplatform bij een sprong meet. Naam, geboortedatum, e-mailadres en foto uit dat profiel nemen we niet over. Er gaat geen dossierinformatie naar KINVENT. De overgenomen metingen staan in BASE in Londen, net als de rest van je dossier.

Geen AI op je gegevens

BASE stuurt je gegevens niet naar een AI-dienst. Eerder kon je behandelaar bij testrapporten en hardloopanalyses een concepttekst laten schrijven door Anthropic (Claude), met alleen je meetwaarden en zonder je naam of geboortejaar. Die functie is in september 2026 verwijderd.

E-mail en pushmeldingen

E-mail versturen we via Resend: je uitnodiging, inlogcodes en inloglinks, herinneringen, een bericht als je aan een trainingsgroep bent toegevoegd, en een bericht als een therapeut of coach toegang tot je gegevens vraagt. In zo'n mail staan je e-mailadres, je voornaam, de naam van je programma, de naam van wie toegang vraagt en eventueel een instructie van je behandelaar. Een inloglink is zeven dagen geldig, is na gebruik ongeldig en gaat alleen naar je eigen mailbox.

Pushmeldingen gaan via Expo naar Apple of Google, die het bericht op je toestel afleveren. Daarbij gaat een apparaatcode mee en een korte tekst. In die tekst staan geen namen van anderen en geen meetwaarden. Een paar meldingen geven wel een korte hint over je eigen training, bijvoorbeeld dat je herstel wat lager is, dat je belasting deze week flink oploopt of dat je een stap verder bent in je herstel. Wil je dat niet op je vergrendelscherm, zet dan in de app onder Instellingen de meldingen voor Voortgang en herstel uit. Alle meldingen zet je uit in de app of in de instellingen van je telefoon.

Updates van de app komen ook via Expo. Als je de app opent, vraagt hij aan Expo of er een nieuwere versie klaarstaat. Daarbij gaan je IP-adres, het soort telefoon (iOS of Android), de versie van de app en een willekeurige code van deze installatie mee. Er gaan geen accountgegevens en geen gezondheidsgegevens mee.

Partijen die voor ons werken

Met elke partij hieronder hebben we een verwerkersovereenkomst. Ze mogen je gegevens alleen gebruiken om hun dienst aan ons te leveren.

• Supabase: Database, inloggen en opslag van alle gegevens in BASE. Londen, Verenigd Koninkrijk (adequaatheidsbesluit EU).
• Vercel: Hosting van getbase.coach en de servercode. VS, met modelcontractbepalingen en het EU-US Data Privacy Framework.
• Resend: Versturen van e-mail. VS, met modelcontractbepalingen.
• Upstash: Tellers tegen misbruik: hoe vaak iets is geprobeerd, per account of IP-adres. Frankfurt, Duitsland (Upstash is een Amerikaans bedrijf). De teller verdwijnt binnen een dag.
• Expo: Doorgeven van pushmeldingen aan Apple en Google, en updates van de app. VS, met modelcontractbepalingen en het EU-US Data Privacy Framework.
• Apple en Google: Afleveren van pushmeldingen op je toestel en verspreiden van de app via App Store en Google Play. VS, onder hun ontwikkelaarsvoorwaarden met modelcontractbepalingen.

Apple Health, Health Connect, Strava, Polar, Garmin en KINVENT zijn geen verwerkers van ons maar bronnen waaruit we lezen; zie de kopjes hierboven. Oefenvideo's tonen we via YouTube (in de "nocookie"-modus) of Vimeo. Pas als je op afspelen tikt, laadt de video en kan die aanbieder je IP-adres zien. Er gaat geen dossierinformatie mee. Heeft een oefening geen video, dan kun je in de app op "Zoek op YouTube" tikken. Dat opent YouTube met de naam van de oefening als zoekopdracht; YouTube ziet dan die zoekopdracht en je IP-adres. Ook daarbij gaat geen dossierinformatie mee.

Buiten de EER

Je gegevens staan opgeslagen in Londen. Voor hosting, e-mail en pushmeldingen werken we met bedrijven uit de Verenigde Staten. Voor die doorgifte gebruiken we de modelcontractbepalingen van de Europese Commissie en, waar de partij daarbij is aangesloten, het EU-US Data Privacy Framework.

Hoe lang we bewaren

• Patiënten: je gegevens in BASE horen bij je behandeling. Het dossier van de praktijk bewaren we 20 jaar na de laatste wijziging in het dossier, zoals de WGBO voorschrijft (artikel 7:454 BW). Je BASE-account kun je wel eerder laten verwijderen; zie het kopje over je rechten.
• Sporters: zolang je account bestaat. Vraag je verwijdering aan, dan wissen we alles 30 dagen later.
• Berichten in de app: BASE heeft sinds 18 oktober 2026 geen berichten meer. Wat er nog stond, wissen we uiterlijk 30 dagen na verzending.
• Toegangslogboek: 5 jaar.
• Koppelsleutels van horloges en diensten: direct weg bij loskoppelen. Pushcodes: tot je uitlogt.
• Verzonden e-mails: Resend bewaart een verzendlog ongeveer 30 dagen.

Beveiliging

• Inloggen zonder wachtwoord, met een code of link in je mailbox. Therapeuten, coaches en beheerders loggen daarnaast verplicht in met een tweede factor; een nieuw account heeft zeven dagen om die in te stellen.
• Toegang wordt op de server afgedwongen per rol en per behandelrelatie, tot in de database (row level security op elke tabel).
• Versleutelde verbindingen, versleutelde opslag, en de sleutels van je koppelingen apart versleuteld.
• Een logboek van elke inzage en wijziging, dat we maandelijks nalopen.
• Dagelijkse back-ups, met een geteste herstelprocedure.
• Elke medewerker tekent een geheimhoudingsverklaring in de app. We laten de beveiliging regelmatig toetsen en hebben een procedure voor datalekken. Vind je zelf een kwetsbaarheid, mail me dan; we nemen dat serieus.

Je rechten

Het meeste regel je zelf in de app, onder Instellingen.

• Inzien en downloaden: onder Mijn gegevens download je je gegevens als bestand, met het toegangslogboek erbij. Een paar dingen staan er bewust niet in, zoals concepten en werkaantekeningen van je behandelaar, inlogsleutels en gegevens van anderen. In het bestand staat precies wat er niet in zit.
• Corrigeren: je profielgegevens pas je zelf aan. Klopt iets in je dossier niet, zeg het je behandelaar of mail me.
• Verwijderen: onder Instellingen vraag je verwijdering van je account aan. Je hebt dan 30 dagen bedenktijd waarin je het verzoek kunt intrekken. Daarna wissen we je account en alle gegevens in BASE, inclusief gekoppelde horlogegegevens en pushmeldingen. Je dossier bij de praktijk valt hier niet onder; dat bewaren we zolang de wet dat voorschrijft. Staat er in BASE iets van je behandeling, dan zet je behandelaar dat vóór het wissen als verslag in je dossier bij de praktijk. Is dat nog niet gebeurd, dan wacht het wissen daarop, en laten we je dat weten. Werk je met BASE als therapeut, coach of beheerder? Dan verwijder je je account niet zelf: wat je vastlegde hoort bij de dossiers van je patiënten en sporters. Mail me als je stopt, dan halen we je toegang tot de gegevens van anderen weg.
• Overdragen: de download is een leesbaar bestand dat je aan een andere zorgverlener kunt geven.
• Toestemming intrekken: als sporter trek je je toestemming voor gezondheidsgegevens in onder Akkoord en toestemming. Je koppelingen met Strava, Polar en Garmin gaan dan los, ook bij die diensten. Je deelname aan cohort-inzichten zet je zelf uit.
• Bezwaar of beperking: mail me. Ik reageer binnen een maand en kan je vragen je te legitimeren.
• Klacht: kom je er met mij niet uit, dan kun je terecht bij de Autoriteit Persoonsgegevens.

Jonger dan 16

BASE is bedoeld voor gebruikers van 16 jaar en ouder. Voor een jongere patiënt maken we alleen een account aan met schriftelijke toestemming van een ouder of voogd.

Cookies op getbase.coach

Getbase.coach zet alleen functionele cookies: de cookie die je ingelogd houdt en een onthouding van de cookiemelding in je browser. Er draaien geen analytics, geen tracking en geen advertentiecookies. Lettertypes hosten we zelf. Een oefenvideo laadt pas nadat je op afspelen tikt.

Wijzigingen

Verandert er iets in hoe BASE met gegevens omgaat, dan passen we deze pagina aan en zetten we de datum bovenaan bij. Bij een wezenlijke verandering, zoals een nieuwe soort gegevens of een nieuwe partij die ze verwerkt, laten we het je weten in de app of per e-mail.

Contact