Privacyverklaring

Sunday Morning Running Club (hierna: SMRC of “wij”) is een hardloopvereniging in Venlo. Wij beheren de webtool op smrcvenlo.nl waar leden runs kunnen plannen, statistieken kunnen volgen en clubmerchandise kunnen kopen.

Vragen of klachten over deze privacyverklaring kun je sturen naar info@smrcvenlo.nl.

Afhankelijk van wat je doet bewaren we het volgende over je:

• Naam, e-mailadres en (optioneel) telefoonnummer: bij registratie als lid.
• Avatar/profielfoto: alleen als je die zelf upload.
• Bio: alleen als je die zelf invult.
• Inschrijvingen voor runs en evenementen, inclusief gekozen pace-groep.
• Aanwezigheid en finishtijden: door admin ingevoerd na een run.
• Reacties (chat) onder evenementen.
• Bestelgeschiedenis in de shop (producten, prijs, status, aflever-/factuuradres).
• Notificatie-instellingen en zichtbaarheidsvoorkeuren.
• Betaalgegevens worden verwerkt door Mollie. Wij ontvangen alleen of een betaling is gelukt en welke bank gebruikt is, geen IBAN of pasgegevens.

• Om je toegang te geven tot de besloten ledenomgeving.
• Om je in te kunnen schrijven voor runs, en je daarvan op de hoogte te houden bij wijzigingen.
• Om herinneringen te sturen vóór een run waarvoor je staat ingeschreven.
• Om de ranglijst, je profiel en de loophistorie weer te geven.
• Om bestellingen in de shop te kunnen verwerken en de bon naar je te sturen.
• Om eventuele communicatie over de club (mededelingen, agenda-wijzigingen) bij je te krijgen.

We gebruiken je gegevens nooit voor commerciële doeleinden buiten SMRC, en verkopen ze niet aan derden.

We gebruiken een aantal externe dienstverleners (“verwerkers”):

• Supabase (Frankfurt, Duitsland): opslag van profiel-, run- en bestelgegevens. Verwerkersovereenkomst onder GDPR.
• Vercel (Frankfurt, Duitsland): hosting van de webtool.
• Mollie (Amsterdam, Nederland): verwerking van iDEAL-betalingen. Volgt PSD2/SEPA en Nederlandse banktoezicht.
• Resend (Frankfurt, Duitsland): versturen van transactionele e-mails (herinneringen, bevestigingen).
• Twilio (Dublin, Ierland): optioneel WhatsApp-herinneringen wanneer je dit kanaal kiest.
• Cloudflare: DNS voor smrcvenlo.nl. Geen toegang tot inhoudelijke data.

We sluiten met al deze partijen verwerkersovereenkomsten af zoals vereist onder de AVG.

• Profielgegevens en run-historie: zolang je lid bent, plus 1 jaar daarna voor financiële afronding (contributie).
• Bestelgegevens: 7 jaar (wettelijke fiscale bewaartermijn voor verkooptransacties).
• Inschrijvingen voor afgelopen runs: 5 jaar voor jubileum-statistieken (km-totalen, all-time leaderboard).
• Reacties: zolang je lid bent. Wanneer je je account verwijdert, worden ook je reacties verwijderd.
• Notificaties: 6 maanden.

We gebruiken geen tracking-cookies en geen externe analytics. Wel gebruiken we functionele opslag in je browser die strikt nodig is om de webtool te laten werken:

• Een sessie-cookie van Supabase voor inloggen.
• localStorage voor je winkelmandje (zodat het niet verdwijnt als je per ongeluk de tab sluit).
• localStorage voor je profiel-instellingen die we niet via de server hoeven te syncen.

Hier hoef je geen toestemming voor te geven onder de AVG/ePrivacy-verordening omdat het functioneel-noodzakelijk is.

Onder de AVG heb je de volgende rechten:

• Inzage: opvragen welke data we van je hebben (zichtbaar op je profiel + via aanvraag voor het volledige dump).
• Correctie: onjuiste gegevens laten aanpassen (zelf via je profielinstellingen of via de admin).
• Verwijdering: je account en alle gekoppelde data definitief laten verwijderen. Stuur een mail naar info@smrcvenlo.nl; dit gebeurt binnen 30 dagen, met uitzondering van wat fiscaal bewaard moet blijven.
• Dataportabiliteit: een export van je gegevens in CSV/JSON formaat aanvragen.
• Bezwaar: bezwaar maken tegen specifieke verwerkingen.
• Je kunt op elk moment klacht indienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Wachtwoorden worden via Supabase Auth met bcrypt opgeslagen. Wij kunnen ze niet zelf inzien. Verbinding met de webtool is altijd via HTTPS. Toegang tot de database is afgeschermd met Row-Level Security: leden zien alleen hun eigen privé-gegevens, admins zien wat nodig is om de club te beheren.

We kunnen deze privacyverklaring aanpassen wanneer we nieuwe diensten toevoegen of wetgeving wijzigt. Wezenlijke wijzigingen kondigen we vooraf aan via de notificaties-inbox in de webtool.