Hoe wij met gegevens omgaan

In deze verklaring lees je welke gegevens we gebruiken, waarvoor, hoe lang we ze bewaren en wie erbij kan. We schrijven alleen op wat onze software echt doet.

Privacyverklaring versie 2.0, laatst bijgewerkt: 15 oktober 2026

Concept, nog niet definitief. Deze tekst wordt nog juridisch beoordeeld. Er kunnen nog wijzigingen komen. Waar [te controleren] staat, zoeken we iets nog na.

Wie wij zijn

Spinazie Club is een handelsnaam van LISA CLUB, ingeschreven bij de Kamer van Koophandel onder nummer 76617149. In deze verklaring noemen we ons "Spinazie" of "wij".

Ingeschreven adres: Kloosterbos 2, 1358 GA Almere
Bezoekadres: Meentweg 37B, 1261 XS Blaricum
E-mail: hello@spinazie.club
WhatsApp: +31 6 39325301

Ole is ons team van specialisten. Pippa is onze digitale vrijwilliger: software die taken voor de club voorbereidt en uitvoert, altijd binnen wat de club heeft aangezet.

Twee rollen

Voor de wet kunnen we twee rollen hebben. Welke rol we hebben, bepaalt wie verantwoordelijk is en bij wie je het best terechtkunt.

Wij zijn zelf verantwoordelijk

Voor gegevens die we voor onszelf gebruiken:

— bezoekers van de website;
— de Clubscan;
— het contactformulier, en contact via mail, WhatsApp en online gesprekken;
— de klantrelatie met clubs: contactpersonen, accounts van bestuursleden voor zover het om de klantrelatie gaat, het aanmelden van de club en facturen en betalingen aan Spinazie.

In de wet heet dat "verwerkingsverantwoordelijke". Deze verklaring gaat daarover.

Wij werken voor de club

Bij alles wat we voor een club doen: Ledenadministratie, Contributie-inning, Administratie, Sponsoring, Communicatie, Salarisadministratie en Crowdfunding, ook voor donateurs en gevers.

Dan is de club verantwoordelijk en zijn wij "verwerker". We werken alleen in opdracht van de club en volgens de verwerkersovereenkomst die we met elke club sluiten. Ben je lid, ouder of donateur van een club? Stel je vraag dan het best eerst aan je club. Wij helpen de club om je goed te antwoorden.

De website

Op de website gebruiken we geen cookies voor tracking of advertenties, en geen analysediensten. Daarom is er geen cookiebanner.

Welke gegevens: Je IP-adres en technische gegevens van je browser, die bij elk bezoek aan een website worden meegestuurd. In je eigen browser bewaren we alleen de taal die je kiest en de notatie van datums en bedragen. Wie inlogt in de app, krijgt daarnaast een inlogsessie, de laatst gekozen club en tijdelijke concepten in de browser. Dat zijn geen cookies, en ze blijven op je eigen apparaat.
Waarvoor: De website veilig laten werken en de pagina in jouw taal tonen.
Grondslag: Ons gerechtvaardigd belang bij een veilige, werkende website. De taalkeuze en de inlogsessie zijn nodig voor wat je zelf vraagt.
Hoe lang: Wij bewaren het IP-adres van bezoekers niet in onze eigen database. Onze hostingpartij kan het kort in logbestanden hebben [te controleren: hoe lang]. De taalkeuze blijft in je browser tot je die wist.
Wie kan erbij: Niemand bij Spinazie ziet wat je in je browser bewaart.

De lettertypen van de website staan op onze eigen server. Je browser haalt dus niets op bij Google of andere diensten om de pagina te tonen.

De Clubscan

De scan zelf

Welke gegevens: Je antwoorden en de uitslag, zonder naam, e-mailadres of IP-adres. Je hoeft niet in te loggen.
Waarvoor: Kunnen nagaan op welke regels een uitslag is gebaseerd.
Grondslag: Geen persoonsgegevens. Voor de limiet hieronder: ons gerechtvaardigd belang om misbruik te voorkomen.
Hoe lang: 12 maanden, daarna automatisch verwijderd.
Wie kan erbij: Alleen ons eigen team.

Tegen misbruik geldt een limiet per IP-adres. Daarvoor bewaren we een onomkeerbare afgeleide (hash) van het adres, los van de scan. Het adres zelf bewaren we niet. Na een dag gaat de hash bij de dagelijkse opruiming weg.

Als je daarna contact vraagt

Welke gegevens: — naam van de vereniging, je naam, je functie en je e-mailadres;
— je telefoonnummer, alleen als je dat zelf invult;
— je antwoorden en de uitslag, alleen als je het aparte vinkje "Stuur mijn antwoorden mee" aanzet;
— of je de nieuwsbrief wilt, alleen met het aparte vinkje. Beide vinkjes staan standaard uit.
Waarvoor: Contact met je opnemen over je aanvraag, het gesprek laten aansluiten op je antwoorden en, als je dat wilt, de nieuwsbrief.
Grondslag: Je vraagt zelf om contact (stappen voor een mogelijke overeenkomst). Voor het meesturen van je antwoorden en voor de nieuwsbrief: je toestemming, die je altijd kunt intrekken.
Hoe lang: Wordt het geen klantrelatie, dan verwijderen we de aanvraag automatisch 12 maanden na de laatste wijziging, samen met de historie.
Wie kan erbij: Alleen ons eigen team. Een melding aan ons team bevat alleen de clubnaam en een link.

Contact met ons

Contactformulier

Welke gegevens: Naam van de vereniging, je naam, je functie (als je die invult), je e-mailadres, je vraag en of je de nieuwsbrief wilt. Tegen misbruik ook een hash van je IP-adres, die we na een dag wissen bij de dagelijkse opruiming. Het adres zelf bewaren we niet.
Waarvoor: Je vraag beantwoorden en, alleen als je dat aanvinkt, de nieuwsbrief.
Grondslag: Ons gerechtvaardigd belang om vragen te beantwoorden, of stappen voor een mogelijke overeenkomst. Voor de nieuwsbrief: je toestemming.
Hoe lang: Wordt het geen klantrelatie, dan verwijderen we je bericht automatisch 12 maanden na de laatste wijziging.
Wie kan erbij: Alleen ons eigen team.

Mail, WhatsApp en online gesprekken

Mail je ons, stuur je een WhatsApp-bericht of hebben we een online gesprek, dan bewaren we wat nodig is om je verder te helpen: je naam, je contactgegevens en wat we bespraken. Dat doen we op basis van ons gerechtvaardigd belang, of omdat het nodig is voor de overeenkomst met je club. We bewaren het zolang het contact of de klantrelatie loopt [te controleren: vaste termijn daarna].

WhatsApp is een dienst van Meta. Wat je via WhatsApp stuurt, gaat ook via Meta. Stuur ons via WhatsApp daarom liever geen gegevens van leden, zoals namen, adressen of betaalgegevens. Gaat het om leden, mail ons dan of gebruik de app.

Een kennismakingsgesprek voeren we via Google Meet en plannen we in Google Agenda. Kies je op de website "Plan een kennismaking", dan opent de afsprakenplanning van Google Agenda in een nieuw tabblad. Je vult daar zelf je naam en e-mailadres in; Google zet de afspraak in de agenda van ons salesteam en stuurt je een bevestiging. Daarvoor gebruiken we alleen je naam en e-mailadres. We nemen gesprekken niet op [te controleren].

Aanmelden en klantrelatie

Welke gegevens: — gegevens van de vereniging, zoals naam, adres en KvK-nummer;
— contactpersonen: naam, functie, e-mailadres en telefoonnummer;
— accounts van bestuursleden: naam, e-mailadres, rol en wanneer iemand inlogt;
— het akkoord van de club op de voorwaarden en de verwerkersovereenkomst: wie akkoord gaf, wanneer en met welke versie;
— bij aanmelden via de website: welke modules de club wil;
— de antwoorden op de vragenlijst voor de ledenadministratie, zoals de regels van de club en, als de club die invult, namen en contactgegevens van bestuursleden en trainers.
Waarvoor: De overeenkomst met de club uitvoeren: de club aanmelden, inloggen, rechten per rol, ondersteuning en contact over de dienst.
Grondslag: De overeenkomst met de club.
Hoe lang: Zolang de klantrelatie loopt en een account bestaat [te controleren: termijn na het einde van de klantrelatie].
Wie kan erbij: De club zelf; ons eigen team voor ondersteuning.

Meldt een club zich zelf aan, dan halen we met het KvK-nummer of de naam van de club naam, vestigingsnummer, rechtsvorm en adres op bij de Kamer van Koophandel. Daarvoor sturen we alleen dat nummer of die naam; de club controleert de gegevens voordat ze worden opgeslagen. Inloggen kan met een e-mailadres en wachtwoord, of met een Google-account als je daar zelf voor kiest.

Na een aanmelding krijgt ons team een taak om contact op te nemen en de gekozen modules aan te zetten. In die taak staan alleen de naam en het KvK-nummer van de club en de gekozen modules; de gegevens van de contactpersoon blijven bij de aanmelding.

Facturen en betalingen

Welke gegevens: Naam en adres van de vereniging, contactpersoon voor facturen, bedragen, en betaalgegevens zoals IBAN en betaalstatus.
Waarvoor: Facturen sturen en betalingen aan Spinazie verwerken.
Grondslag: De overeenkomst met de club, en de wettelijke bewaarplicht voor facturen.
Hoe lang: Facturen 7 jaar (fiscale bewaarplicht).
Wie kan erbij: Ons eigen team en onze boekhouding.

Betalen gaat via Mollie, met automatische incasso of door over te maken [te controleren: facturatie aan clubs zit niet in de software die we hebben gecontroleerd].

Ons werk voor clubs

Hier zijn we verwerker: de club bepaalt waarvoor de gegevens worden gebruikt. Wij houden ons aan vaste termijnen en bewaren zo weinig mogelijk. De ledenadministratie van de club blijft de bron.

Ledengegevens. Een bijgewerkte kopie met alleen de afgesproken velden: naam, e-mailadres, e-mailadres van ouder of verzorger, geboortedatum, team, lidtype, status, voorkeurstaal (alleen als opgegeven), afmeldstatus, bron-ID, laatst gesynchroniseerd. Adres, telefoonnummer en notities blijven in de ledenadministratie van de club. Wie daar is opgezegd, verdwijnt uiterlijk 30 dagen later bij ons. Moet een factuur of document nog naar het lid verwijzen, dan wissen we alle persoonsgegevens en blijft alleen een lege verwijzing over.
Vragen van leden (tickets). Na 18 maanden anoniem: namen, e-mailadressen, telefoonnummers en IBAN's gaan eruit. Andere namen in de vrije tekst, zoals die van een trainer, kunnen blijven staan.
Logboek van Pippa. 18 maanden, daarna verwijderd. Er staan geen gegevens van leden in: alleen wat er gebeurde, met een verwijzingsnummer. Wie akkoord gaf, staat erin als nummer van het account.
Berichten aan leden. Tekst, vertalingen en bijlagen tot 30 dagen na verzending (of na annuleren). Daarna blijven alleen de titel, de tijdlijn en aantallen per status. We bewaren nooit een lijst met e-mailadressen per bericht.
Administratie die clubs in Spinazie voeren. Boekingen, de documenten die erbij horen en bankregels bewaren we 7 jaar (fiscale bewaarplicht). Daarna verwijderen we niets vanzelf; het bestuur krijgt in Documenten een voorstel om op te ruimen.
Zakelijke debiteuren in de administratie. Maakt een club of bedrijf een zakelijke debiteur aan, zoals een sponsor, dan zoeken we op naam of KvK-nummer bij de Kamer van Koophandel en vullen we naam, KvK-nummer, vestigingsnummer, rechtsvorm en adres in. We bewaren die gegevens met de datum van opvragen, zodat we ze niet opnieuw opvragen; van een eenmanszaak alleen wat op de factuur moet, nooit gegevens van de eigenaar. Het btw-nummer staat niet bij de KvK: de club vult het in en we controleren het bij VIES, het btw-register van de Europese Commissie. Daarheen gaat alleen het btw-nummer; we bewaren alleen of het geldig is en wanneer we dat controleerden. Personen, ook leden, zoeken we nooit op bij de KvK.
Gegevens die we inlezen voor de administratie. Lezen we voor de administratie van een club gegevens in uit de ledenadministratie (zoals facturen per lid), uit exports van het boekhoudpakket van de club (zoals openstaande posten, met de naam van de debiteur) of uit het Mollie-account van de club (betalingen, storno's en uitbetalingen), dan bewaren we die tot 1 jaar nadat de jaarrekening van dat boekjaar is vastgesteld. Daarna verwijderen we ze. Wat daaruit in de boekhouding terechtkomt, volgt de 7 jaar hierboven. Van leden bewaren we daarbij alleen het lidnummer en de naam, zodat te zien is wie een storno of ontbrekende factuur betreft; nooit een e-mailadres, adres, IBAN of geboortedatum.
Aantal actieve bondsleden. Voor de factuur bewaren we per telling alleen het aantal, de peildatum en de bron. Levert het ledenadministratiesysteem dat aantal niet, dan voegt de club een overzicht met alleen het aantal toe in Documenten, geen ledenlijst. Dat overzicht volgt de bewaartermijn van Documenten.
Salarisadministratie. Het salarissysteem van de club blijft de bron. Spinazie bewaart geen loonberekeningen, alleen verwijzingen en statussen.
Na het einde van de overeenkomst. [te controleren: hoe en wanneer we de gegevens van een club teruggeven en verwijderen; dit is nog niet in de software ingesteld]

Binnen de club ziet ieder alleen wat bij zijn of haar rol past. Ons team kijkt alleen mee als de club tijdelijk supporttoegang geeft; dat wordt altijd vastgelegd.

Crowdfunding

Bij crowdfunding is de club verantwoordelijk voor de gegevens van leden en gevers; Spinazie verwerkt ze in opdracht van de club, volgens de verwerkersovereenkomst. De club bepaalt wie een uitnodiging krijgt: leden uit de ledenadministratie of een ledenlijst die de club zelf importeert, of adressen die de club toevoegt. Die adressen delen we nooit met andere clubs.

Welke gegevens: Van wie een uitnodiging krijgt: naam en e-mailadres. Van gevers: de naam (tenzij anoniem), het e-mailadres als je dat opgeeft voor de bedankmail en ontvangstbevestiging, het bedrag, een eventueel bericht, de betaalstatus en de betaalmethode.
Waarvoor: De actie versturen, giften verwerken, een bedankmail met ontvangstbevestiging sturen, gevers op de hoogte houden en de administratie van de club.
Grondslag: Dat bepaalt de club.
Hoe lang: Naam, e-mailadres en bericht van gevers: tot de termijn die de club met ons afspreekt (standaard 24 maanden na afloop van de actie). Bedragen en betaalgegevens: 7 jaar, voor de administratie van de club. Giften die nooit betaald zijn: 90 dagen.
Wie kan erbij: Het bestuur van de club. Bij een anonieme gift ziet de club geen naam of adres.

Je kunt altijd anoniem geven. Op de actiepagina staan de naam, het bedrag en het bericht van gevers die niet anoniem gaven; de club kan berichten verbergen. Zoekmachines nemen een actiepagina alleen op als de club dat voor die actie aanzet, en dan alleen de titel en het verhaal. Namen van gevers komen nooit in Google. De widget die een club op de eigen website kan zetten, gebruikt geen cookies en geen tracking.

Betalingen gaan via het eigen Mollie-account van de club, rechtstreeks naar de rekening van de club. Je betaalgegevens, zoals je rekeningnummer, geef je aan Mollie; wij krijgen alleen het bedrag, de status en de betaalmethode terug. Mollie houdt een vergoeding voor Spinazie in. Zolang een club in testmodus staat, wordt er geen geld afgeschreven.

Wil je je gegevens inzien of laten verwijderen, of je gift terug? Neem contact op met de club. Je kunt je ook met de link onder elke mail afmelden.

Pippa en AI

Pippa gebruikt een taalmodel (AI) om berichten van leden te lezen, mails te vertalen en conceptteksten te schrijven. Daarbij geldt:

— Naar het taalmodel gaat alleen wat voor de taak nodig is. Bij een vraag van een lid: naam, geboortejaar, team en status, nooit adres, telefoonnummer of volledige geboortedatum. Bij vertalen: alleen het onderwerp en de tekst, nooit ontvangers.
— Wat we van een AI-aanroep bewaren, filteren we eerst op e-mailadressen, IBAN's en telefoonnummers.
— Een mens beslist: berichten aan leden gaan pas weg na akkoord van een tweede bestuurslid. Bij een mail over een crowdfundingactie volstaat één bestuurder, nadat die de ontvangers en een proef heeft gecontroleerd.
— Wij gebruiken gegevens van leden nooit om AI-modellen te trainen.
— Gegevens van leden delen we nooit tussen clubs. Elke club ziet alleen de eigen gegevens; dat dwingt de database af.

[te controleren: contractuele garantie van Lovable en Google dat ingestuurde tekst niet wordt gebruikt om modellen te trainen]

Werkwijzen die Pippa met toestemming van een club leert, zijn gebonden aan die club. Komt dezelfde werkwijze bij minstens drie clubs voor, dan kan ons team die als algemene aanbeveling goedkeuren. Daarin staan geen gegevens van leden.

Leveranciers

We werken met deze leveranciers. Met elk sluiten we afspraken over het beschermen van gegevens. We verkopen geen gegevens en gebruiken ze niet voor advertenties.

SupabaseDatabase, inloggen en de kluis voor inloggegevens van koppelingen. Waar: [te controleren: regio van de database]
LovableHosting van de website en de app. Waar: [te controleren: waar de servers staan en welke eigen leveranciers Lovable inzet]
Google Gemini, via de AI-dienst van LovableTaalmodel voor lezen, vertalen en conceptteksten (zie Pippa en AI). Waar: [te controleren: waar de tekst wordt verwerkt en welke waarborgen gelden voor doorgifte buiten de EU]
Google-accountInloggen met Google, alleen als je daar zelf voor kiest. Waar: [te controleren: waarborgen]
Google Meet en Google AgendaKennismakingsgesprekken, ook als je zelf een gesprek plant via de afsprakenplanning op de website; geen onderdeel van de software. Waar: [te controleren: regio en waarborgen]
WhatsApp (Meta)Contact als je ons zelf via WhatsApp benadert; geen onderdeel van de software. Waar: [te controleren: waarborgen]
MollieBetalingen bij crowdfunding, via het eigen Mollie-account van de club en rechtstreeks naar de club. Mollie ontvangt de betaalgegevens van de gever; wij alleen bedrag, status en betaalmethode. Voor de administratie lezen we, met toestemming van de club, uitbetalingen en betalingen uit het Mollie-account van de club: alleen bedragen, status, betaalmethode en omschrijving, nooit naam of rekeningnummer van wie betaalde. Waar: Nederlands bedrijf [te controleren: waar de gegevens staan]
BrevoVersturen van mail: berichten aan leden, bedankmails en berichten aan gevers bij crowdfunding, en meldingen aan ons team. Per mail het e-mailadres van de ontvanger, het onderwerp, de tekst en eventuele bijlagen. Zolang de mailkoppeling niet live staat, gaat er niets naar buiten. Waar: Frans bedrijf (Sendinblue SAS), servers in de EU. We zetten het bijhouden van openen en klikken uit.

Beveiliging

— Elke club ziet alleen de eigen gegevens. Dat dwingt de database af, niet alleen de app.
— Binnen de club zijn er rechten per rol. Bijvoorbeeld: alleen wie salarisrechten heeft, ziet salarisgegevens.
— Wachtwoorden worden niet leesbaar opgeslagen. Inloggegevens van koppelingen staan versleuteld in een kluis; niemand kan ze teruglezen.
— Voor gevoelige handelingen vraagt de app je opnieuw te bevestigen dat jij het bent.
— Belangrijke stappen, zoals een bericht aan alle leden, vragen akkoord van een tweede bestuurslid. Bij crowdfunding controleert één bestuurder eerst de ontvangers en een proef.
— Elke handeling van Pippa staat in een logboek dat niet te wijzigen is en dat het bestuur kan inzien.
— Tweestapsverificatie bieden we nog niet aan.

Datalekken

Gaat er toch iets mis, bijvoorbeeld doordat gegevens bij de verkeerde persoon terechtkomen, dan zoeken we direct uit wat er gebeurde en beperken we de gevolgen. We leggen elk datalek vast.

Gaat het om gegevens van een club, dan informeren we die club zoals afgesproken in de verwerkersovereenkomst [te controleren: termijn uit de verwerkersovereenkomst]. De club beslist dan, met onze hulp, of de Autoriteit Persoonsgegevens en de betrokkenen een melding krijgen. Gaat het om gegevens waarvoor wij zelf verantwoordelijk zijn, dan melden we het lek waar nodig binnen 72 uur bij de Autoriteit Persoonsgegevens, en informeren we jou als het lek grote gevolgen voor je kan hebben.

Jouw rechten

Je hebt het recht om:

— je gegevens in te zien;
— onjuiste gegevens te laten verbeteren;
— je gegevens te laten verwijderen;
— het gebruik van je gegevens te laten beperken;
— bezwaar te maken tegen het gebruik van je gegevens;
— je gegevens te krijgen in een vorm die je aan een ander kunt geven;
— je toestemming in te trekken, bijvoorbeeld voor de nieuwsbrief.

Mail ons op hello@spinazie.club of stuur een brief naar ons bezoekadres. We reageren binnen een maand. Soms vragen we je eerst te laten zien dat het om jouw gegevens gaat. Gaat je vraag over gegevens die we voor een club verwerken, dan sturen we hem door naar de club en helpen we de club met het antwoord.

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons dan eerst weten. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Wijzigingen

Verandert er iets in hoe we met gegevens omgaan, dan passen we deze verklaring aan. Bovenaan staat altijd de datum van de laatste versie. Bij grote wijzigingen laten we het klanten vooraf weten. Dit is versie 2.0, bijgewerkt op 15 oktober 2026.

Meer over hoe we de gegevens van clubs beschermen, lees je bij Veiligheid.