Wat BASE met je gegevens doet.

Wie verantwoordelijk is

Movement Based Therapy, een maatschap, is de verwerkingsverantwoordelijke voor BASE. Ik ben Jurre Kok, fysiotherapeut en eigenaar van de praktijk, en ik ben ook je aanspreekpunt voor vragen over privacy. Je bereikt me op info@getbase.coach.

Gebruik je BASE via een andere praktijk of coach dan Movement Based Therapy, dan is die praktijk of coach verantwoordelijk voor wat er met je dossier gebeurt. Wij leveren dan het platform en werken in opdracht van die praktijk.

Voor wie dit geldt

• Patiënten van de praktijk, die BASE gebruiken tijdens hun behandeling.
• Sporters die BASE gebruiken voor training zonder behandeling, al dan niet met een coach.
• Therapeuten, coaches en beheerders met een account.
• Bezoekers van getbase.coach die niet inloggen. Voor hen is alleen het kopje over cookies van belang.

Welke gegevens we verwerken

Je account

Naam, e-mailadres en geboortejaar: die vult de praktijk in bij je uitnodiging. We vragen alleen het jaar, niet je volledige geboortedatum. Als je ze invult: telefoonnummer en een profielfoto. We slaan geen BSN en geen verzekeringsgegevens op. Die staan alleen in het dossiersysteem van de praktijk, niet in BASE.

Je behandeling of training

Je blessure of doel, je programma's en de sessies die je logt: oefeningen, gewichten, herhalingen, hoe zwaar het voelde, pijnscores en hoe je je voelt. Ook de notities die je erbij schrijft en de klachten die je noteert, bij een training in BASE of los daarvan. Daarnaast welzijnschecks, mobiliteitstests, revalidatiecriteria, klinische tests zoals de krachtverhouding tussen links en rechts, testrapporten, hardloopanalyses, de berichten met je behandelaar, de gewoontes die je bijhoudt en de belastingcurve die we daaruit berekenen.

Uit koppelingen die je zelf aanzet

Slaap en slaapfasen, hartslag en hartslagvariabiliteit, ademfrequentie, trainingen met een hartslag- en tempocurve, stappen, energieverbruik en VO2max. Zie het kopje over koppelingen.

Metingen door je therapeut

Krachttests en sprongen die de praktijk meet met KINVENT-apparatuur in de behandelkamer. Zie het kopje over KINVENT.

Technische gegevens

Het tijdstip, IP-adres en apparaat waarmee je inlogt, een logboek van wie je dossier opent of wijzigt (verplicht in de zorg, norm NEN 7513), en als je meldingen aanzet een apparaatcode voor pushberichten.

Waarvoor, en op welke grond

• Behandeling (patiënten): De behandelovereenkomst. Voor gezondheidsgegevens: zorgverlening onder beroepsgeheim (AVG art. 9 lid 2 sub h). De dossierplicht uit de WGBO.
• Training (sporters): De overeenkomst voor het gebruik van BASE, dat zijn de gebruiksvoorwaarden. Voor gezondheidsgegevens: je uitdrukkelijke toestemming, die je bij je eerste login apart geeft.
• Koppelingen met horloges en diensten: Je uitdrukkelijke toestemming per bron, op je toestel of in het inlogscherm van die dienst. Je trekt die in door los te koppelen.
• Signalen voor je behandelaar: Onderdeel van de behandeling. BASE zet vaste regels op je gegevens, zoals drie sessies op rij met hoge pijn, en laat dat aan je behandelaar zien. Het is geen diagnose en de app past nooit zelf je schema aan.
• Geanonimiseerde cohort-inzichten: Alleen als je meedoet. De keuze staat standaard uit en je zet hem in de app weer uit zonder gevolgen voor je behandeling.
• E-mail en pushmeldingen: Nodig om BASE te laten werken (uitnodiging, inlogcode, herinneringen). Wat je wel en niet wilt ontvangen stel je zelf in.
• Beveiliging en logboek: Wettelijke plicht (WGBO, Wabvpz) en ons gerechtvaardigd belang om misbruik te herkennen.

Bij de eerste keer inloggen ga je akkoord met de gebruiksvoorwaarden en lees je deze privacyverklaring. Train je als sporter zonder behandelrelatie, dan geef je daarnaast apart uitdrukkelijke toestemming voor het verwerken van je gezondheidsgegevens. Die kun je altijd intrekken onder Akkoord en toestemming; zonder die toestemming kun je BASE niet gebruiken.

Wie je gegevens ziet

Als patiënt: je behandelend therapeut en diens collega's binnen dezelfde praktijk, zodat een collega het kan overnemen als je therapeut afwezig is. Dat is dezelfde afspraak als voor je gewone dossier.

Als sporter: alleen de therapeut of coach die jij zelf hebt geaccepteerd. Een coach ziet daarna je trainingen, check-ins, pijnmeldingen en de metingen van je horloge, en niets van een behandeling. Wie je hebt geaccepteerd zie je onder Instellingen, Toegang, en daar trek je die toegang ook weer in.

Jijzelf: in de app staat een toegangslogboek waarin je ziet wie je dossier wanneer heeft geopend.

De beheerder van het platform ziet gegevens alleen voor technisch beheer en het controleren van het logboek. Verder ziet niemand je gegevens. Zit je in een trainingsgroep, dan ziet de staf van die groep je naam en of je een verzoek hebt geaccepteerd. We verkopen niets door, tonen geen advertenties en delen geen gegevens met verzekeraars of werkgevers. Alleen als de wet ons daartoe verplicht, bijvoorbeeld bij een vordering van de politie, geven we gegevens af.

Koppelingen die je zelf aanzet

Je kunt je Apple Watch (via Apple Health), je Polar-horloge of je Strava-account koppelen. BASE haalt dan slaap, hartslag, hartslagvariabiliteit, ademfrequentie, trainingen, stappen en energieverbruik op, zolang de koppeling bestaat. Koppelen is nooit een voorwaarde voor behandeling of training. Op dit moment staat koppelen open voor sporters, coaches en therapeuten; voor patiëntaccounts nog niet.

• Apple Health: je geeft per gegevenssoort toestemming op je eigen iPhone. De gegevens gaan rechtstreeks van je toestel naar BASE; Apple ziet die overdracht niet.
• Strava: je logt in bij Strava en geeft daar toestemming om je activiteiten te lezen. Wij bewaren duur, afstand, hartslag en tempo, geen route of foto's. Koppel je los of verwijder je je account, dan trekken we onze toegang bij Strava in en verwijderen we onze sleutels. Je kunt BASE ook altijd zelf weghalen in je Strava-instellingen. Strava Inc. is gevestigd in de Verenigde Staten; wat wij naar Strava sturen is alleen de sleutel die jij daar hebt aangemaakt.
• Polar: zelfde principe via het inlogscherm van Polar. Polar Electro Oy is gevestigd in Finland, binnen de EER. Koppel je los, dan verwijderen wij de sleutels en trekken we onze registratie bij Polar in.

De toegangssleutels van deze diensten bewaren we versleuteld. De gegevens zelf vallen onder dezelfde beveiliging en bewaartermijn als de rest van je dossier.

Metingen uit KINVENT

De praktijk meet kracht en sprongen met apparatuur van KINVENT (Montpellier, Frankrijk). Die metingen staan in de KINVENT-software onder het account van de praktijk. Je therapeut kan jouw BASE-dossier aan jouw KINVENT-profiel koppelen en metingen overnemen, zodat je rapport en je revalidatiecriteria op dezelfde meting steunen.

BASE bewaart daarbij een verwijzingscode naar het KINVENT-profiel en de overgenomen meetwaarden, waaronder de lichaamsmassa die het krachtplatform bij een sprong meet. Naam, geboortedatum, e-mailadres en foto uit dat profiel nemen we niet over. Er gaat geen dossierinformatie naar KINVENT. De overgenomen metingen staan in BASE in Londen, net als de rest van je dossier.

Geen AI op je gegevens

BASE stuurt je gegevens niet naar een AI-dienst. Eerder kon je behandelaar bij testrapporten en hardloopanalyses een concepttekst laten schrijven door Anthropic (Claude), met alleen je meetwaarden en zonder je naam of geboortejaar. Die functie is in september 2026 verwijderd.

E-mail en pushmeldingen

E-mail versturen we via Resend: je uitnodiging, inlogcodes en inloglinks, herinneringen, een bericht als je aan een trainingsgroep bent toegevoegd, en een bericht als een therapeut of coach toegang tot je gegevens vraagt. In zo'n mail staan je e-mailadres, je voornaam, de naam van je programma, de naam van wie toegang vraagt en eventueel een instructie van je behandelaar. Een inloglink is zeven dagen geldig, is na gebruik ongeldig en gaat alleen naar je eigen mailbox. Krijgt je behandelaar een melding van een kritiek signaal, bijvoorbeeld een hoge pijnscore, dan staat in die mail geen naam en geen meetwaarde, alleen een link naar BASE.

Pushmeldingen gaan via Expo naar Apple of Google, die het bericht op je toestel afleveren. Daarbij gaat een apparaatcode mee en een korte tekst. In die tekst staan geen namen van anderen, geen berichtinhoud en geen meetwaarden: bij een bericht lees je alleen dat er een nieuw bericht is, en de inhoud laadt pas in de app nadat je je toestel hebt ontgrendeld. Een paar meldingen geven wel een korte hint over je eigen training, bijvoorbeeld dat je herstel wat lager is, dat je belasting deze week flink oploopt of dat je een stap verder bent in je herstel. Wil je dat niet op je vergrendelscherm, zet dan in de app onder Instellingen de meldingen voor Voortgang en herstel uit. Alle meldingen zet je uit in de app of in de instellingen van je telefoon.

Updates van de app komen ook via Expo. Als je de app opent, vraagt hij aan Expo of er een nieuwere versie klaarstaat. Daarbij gaan je IP-adres, het soort telefoon (iOS of Android), de versie van de app en een willekeurige code van deze installatie mee. Er gaan geen accountgegevens en geen gezondheidsgegevens mee.

Partijen die voor ons werken

Met elke partij hieronder hebben we een verwerkersovereenkomst. Ze mogen je gegevens alleen gebruiken om hun dienst aan ons te leveren.

• Supabase: Database, inloggen en opslag van alle gegevens in BASE. Londen, Verenigd Koninkrijk (adequaatheidsbesluit EU).
• Vercel: Hosting van getbase.coach en de servercode. VS, met modelcontractbepalingen en het EU-US Data Privacy Framework.
• Resend: Versturen van e-mail. VS, met modelcontractbepalingen.
• Expo: Doorgeven van pushmeldingen aan Apple en Google, en updates van de app. VS, met modelcontractbepalingen en het EU-US Data Privacy Framework.
• Apple en Google: Afleveren van pushmeldingen op je toestel en verspreiden van de app via App Store en Google Play. VS, onder hun ontwikkelaarsvoorwaarden met modelcontractbepalingen.
• Mollie: Betalingen, alleen als je iets koopt in de shop. Geen gezondheidsgegevens. Nederland.

Apple Health, Strava, Polar en KINVENT zijn geen verwerkers van ons maar bronnen waaruit we lezen; zie de kopjes hierboven. Oefenvideo's tonen we via YouTube (in de "nocookie"-modus) of Vimeo. Pas als je op afspelen tikt, laadt de video en kan die aanbieder je IP-adres zien. Er gaat geen dossierinformatie mee.

Buiten de EER

Je gegevens staan opgeslagen in Londen. Voor hosting, e-mail en pushmeldingen werken we met bedrijven uit de Verenigde Staten. Voor die doorgifte gebruiken we de modelcontractbepalingen van de Europese Commissie en, waar de partij daarbij is aangesloten, het EU-US Data Privacy Framework.

Hoe lang we bewaren

• Patiënten: je gegevens in BASE horen bij je behandeling. Het dossier van de praktijk bewaren we 20 jaar na de laatste wijziging in het dossier, zoals de WGBO voorschrijft (artikel 7:454 BW). Je BASE-account kun je wel eerder laten verwijderen; zie het kopje over je rechten.
• Sporters: zolang je account bestaat. Vraag je verwijdering aan, dan wissen we alles 30 dagen later.
• Berichten in de app (tussen jou en je behandelaar): 30 dagen na verzending, daarna wissen we ze automatisch. Ze zijn bedoeld voor kort contact over een sessie of oefening. Wat belangrijk is voor je behandeling zet je behandelaar in je dossier, en dat valt onder de termijn hierboven.
• Toegangslogboek: 5 jaar.
• Koppelsleutels van horloges en diensten: direct weg bij loskoppelen. Pushcodes: tot je uitlogt.
• Verzonden e-mails: Resend bewaart een verzendlog ongeveer 30 dagen.

Beveiliging

• Inloggen zonder wachtwoord, met een code of link in je mailbox. Therapeuten, coaches en beheerders loggen daarnaast verplicht in met een tweede factor; een nieuw account heeft zeven dagen om die in te stellen.
• Toegang wordt op de server afgedwongen per rol en per behandelrelatie, tot in de database (row level security op elke tabel).
• Versleutelde verbindingen, versleutelde opslag, en de sleutels van je koppelingen apart versleuteld.
• Een logboek van elke inzage en wijziging, dat we maandelijks nalopen.
• Dagelijkse back-ups, met een geteste herstelprocedure.
• Elke medewerker tekent een geheimhoudingsverklaring in de app. We laten de beveiliging regelmatig toetsen en hebben een procedure voor datalekken. Vind je zelf een kwetsbaarheid, mail me dan; we nemen dat serieus.

Je rechten

Het meeste regel je zelf in de app, onder Instellingen.

• Inzien en downloaden: onder Mijn gegevens download je je gegevens als bestand, met het toegangslogboek erbij. Een paar dingen staan er bewust niet in, zoals concepten en werkaantekeningen van je behandelaar, inlogsleutels en gegevens van anderen. In het bestand staat precies wat er niet in zit.
• Corrigeren: je profielgegevens pas je zelf aan. Klopt iets in je dossier niet, zeg het je behandelaar of mail me.
• Verwijderen: onder Instellingen vraag je verwijdering van je account aan. Je hebt dan 30 dagen bedenktijd waarin je het verzoek kunt intrekken. Daarna wissen we je account en alle gegevens in BASE, inclusief gekoppelde horlogegegevens en pushmeldingen. Je dossier bij de praktijk valt hier niet onder; dat bewaren we zolang de wet dat voorschrijft. Werk je met BASE als therapeut, coach of beheerder? Dan verwijder je je account niet zelf: wat je vastlegde hoort bij de dossiers van je patiënten en sporters. Mail me als je stopt, dan halen we je toegang tot de gegevens van anderen weg.
• Overdragen: de download is een leesbaar bestand dat je aan een andere zorgverlener kunt geven.
• Toestemming intrekken: koppelingen zet je zelf uit, net als je deelname aan cohort-inzichten. Als sporter trek je je toestemming voor gezondheidsgegevens in onder Akkoord en toestemming.
• Bezwaar of beperking: mail me. Ik reageer binnen een maand en kan je vragen je te legitimeren.
• Klacht: kom je er met mij niet uit, dan kun je terecht bij de Autoriteit Persoonsgegevens.

Jonger dan 16

BASE is bedoeld voor gebruikers van 16 jaar en ouder. Voor een jongere patiënt maken we alleen een account aan met schriftelijke toestemming van een ouder of voogd.

Cookies op getbase.coach

Getbase.coach zet alleen functionele cookies: de cookie die je ingelogd houdt en een onthouding van de cookiemelding in je browser. Er draaien geen analytics, geen tracking en geen advertentiecookies. Lettertypes hosten we zelf. Een oefenvideo laadt pas nadat je op afspelen tikt.

Wijzigingen

Verandert er iets in hoe BASE met gegevens omgaat, dan passen we deze pagina aan en zetten we de datum bovenaan bij. Bij een wezenlijke verandering, zoals een nieuwe soort gegevens of een nieuwe partij die ze verwerkt, laten we het je weten in de app of per e-mail.

Contact