Ochrana osobních údajů

Správcem ve smyslu obecného nařízení o ochraně osobních údajů (GDPR) je:

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Německo
E-mail: [email protected]
Telefon: +49 7473 7021470

Ze zákona nejsme povinni jmenovat pověřence pro ochranu osobních údajů. S dotazy k ochraně osobních údajů se na nás můžete obrátit na adrese [email protected].

Při každém požadavku váš prohlížeč z technických důvodů předává našemu serveru údaje: IP adresu, datum a čas, požadovanou adresu, odkazující stránku (referrer), stavový kód HTTP, objem přenesených dat a také prohlížeč a operační systém (user agent). Tyto údaje zpracováváme, abychom mohli web doručit a zajistit jeho bezpečnost a stabilitu, například při odrážení útoků.

Právním základem je čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je bezpečný a bezchybný provoz. Logy se uchovávají jen po dobu nezbytnou k tomuto účelu a poté se automaticky mažou.

Web běží na serverech společnosti Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Německo, která pro nás působí jako zpracovatel podle čl. 28 GDPR.

Pro ochranu před útoky a rychlé doručování stránek prochází datový provoz sítí společnosti Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare přitom jako náš zpracovatel zpracovává výše uvedené údaje o připojení včetně vaší IP adresy. K odražení automatizovaných přístupů může Cloudflare nastavit technicky nezbytný bezpečnostní soubor cookie (například „__cf_bm“, platnost 30 minut).

Právním základem je čl. 6 odst. 1 písm. f) GDPR, pro takový bezpečnostní soubor cookie § 25 odst. 2 bod 2 TDDDG (německý zákon o ochraně údajů v telekomunikacích a digitálních službách). Cloudflare je certifikován v rámci EU-US Data Privacy Framework, pro který existuje rozhodnutí Evropské komise o odpovídající ochraně (čl. 45 GDPR); doplňkově platí standardní smluvní doložky EU. Další informace: www.cloudflare.com/privacypolicy

Podkladové mapy načítáme ze služby OpenFreeMap, kterou provozuje Hyperknot Software Kft. (Maďarsko). Jakmile se zobrazí mapa, váš prohlížeč se připojí k serverům OpenFreeMap a předá jim přitom vaši IP adresu. Podle vlastních údajů OpenFreeMap neukládá IP adresy do svých běžných serverových logů a nenastavuje žádné cookies.

Právním základem je čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je volně použitelný mapový podklad. Další informace: openfreemap.org/privacy

Pokud na webu nebo v aplikaci zvolíte satelitní zobrazení, načte Vaše zařízení letecké a satelitní snímky z veřejného dlaždicového serveru open-source projektu VersaTiles a přitom předá Vaši IP adresu. Bez této volby k žádnému spojení nedochází. Právním základem je i zde čl. 6 odst. 1 písm. f) GDPR. Další informace: versatiles.org

Abychom pochopili, které stránky a funkce se používají, využíváme open-source software Umami. Umami běží na naší vlastní infrastruktuře, údaje nepředáváme nikomu dalšímu. Umami nenastavuje žádné cookies a nic neukládá do vašeho zařízení.

Zaznamenává se navštívená stránka (bez parametrů dotazu), odkazující stránka, název a jazyk stránky, prohlížeč, operační systém, typ zařízení, velikost obrazovky a jazyk prohlížeče a také země a region odvozené z IP adresy. Kromě toho počítáme jednotlivé kroky ovládání, například výběr ukazatele nebo návrhu ve vyhledávání, s pevně danými hodnotami, jako je pozice nebo typ stránky, nikdy však hledané výrazy, volný text nebo polohy. Samotná IP adresa se neukládá; požadavky jedné návštěvy se seskupují pomocí pravidelně se měnícího identifikátoru, který neumožňuje usuzovat na vaši osobu.

Právním základem je čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je zlepšování naší nabídky. Proti měření můžete kdykoli vznést námitku, a to i bez toho, abyste nám psali: zablokujte adresu „transit-eu.com/u/“ ve svém prohlížeči nebo blokátoru reklam.

Dvě funkce pro vaše pohodlí ukládají nastavení výhradně lokálně ve vašem prohlížeči (local storage), a to pouze tehdy, když je používáte:

• vaši volbu mezi světlým a tmavým vzhledem („theme“)
• naposledy vybrané zastávky, nejvýše šest („atlas:halte“)

Tyto záznamy se nám nepředávají a zůstávají uloženy, dokud je ve svém prohlížeči nesmažete. Právním základem je § 25 odst. 2 bod 2 TDDDG, neboť uložení je nezbytně nutné pro funkci, kterou si přejete používat.

Aplikace načítá z našeho serveru zastávky, linky a polohy vozidel pro zobrazený výřez mapy; pro tyto požadavky platí, co je uvedeno výše k serverovým logům a ke Cloudflare. Podkladové mapy načítá stejně jako web ze služby OpenFreeMap. Polohy vozidel na živé mapě pocházejí z veřejných dat dopravců v reálném čase a neobsahují žádné osobní údaje. Aplikace neobsahuje měření návštěvnosti, reklamu ani sledovací prvky třetích stran.

Vaše nastavení (například zda máte Deutschlandticket, rychlost chůze, trasy bez schodů), naposledy zvolené cíle (nejvýše osm) a místa označená jako domov nebo práce ukládá aplikace ve vašem zařízení. K nám se dostanou jen tehdy, pokud je obsahuje vyhledávání nebo odkaz na bahn.de (viz níže), nebo když je synchronizujete s účtem. Právním základem je § 25 odst. 2 bod 2 TDDDG.

Pokud si aplikaci stáhnete z App Storu, zpracovává při tom Apple údaje na vlastní odpovědnost.

Když v aplikaci hledáte spojení, odešle výchozí místo, cíl a čas na náš vlastní server plánovače tras (MOTIS) u společnosti Hetzner, a to přes adresu transit-eu.com/motis/: zastávku, zadanou adresu nebo souřadnice, u volby „Moje poloha“ vaši polohu (viz níže). Pokud jste nastavili rychlost chůze nebo trasy bez schodů, odešle se i to. Při vyhledávání míst se tam odesílají zadané znaky spolu se středem zobrazeného výřezu mapy, aby se výsledky v okolí zobrazily jako první. Stejnou službu využívá plánovač tras ÖPNV Atlas (atlas.byepast.de).

Stejně jako všechny požadavky procházejí i tyto přes Cloudflare (viz výše). Náš webový server je nezaznamenává do logů a plánovač tras nevede žádné záznamy o jednotlivých požadavcích. Odpovědi vyhledávání míst, které jsou pro všechny stejné, uchovává náš webový server až jeden den, uložené podle požadavku (hledaný text a střed mapy), nikoli podle vaší IP adresy. K ochraně před přetížením krátkodobě počítá v operační paměti, kolik požadavků přichází z jedné IP adresy.

Právním základem je čl. 6 odst. 1 písm. b) GDPR: údaje zpracováváme, abychom provedli vámi požadované vyhledávání.

Vaši polohu aplikace používá jen tehdy, když jste to povolili v iOS, a jen během používání aplikace. Zobrazuje díky ní vaši pozici na mapě a zastávky ve vašem okolí; obojí počítá ve vašem zařízení. K nám se vaše poloha dostane jen jako výchozí místo spojení: když zvolíte cíl, spojení začíná v místě „Moje poloha“, pokud nezvolíte jiné výchozí místo, a aplikace odešle vaši polohu ve formě souřadnic do plánovače tras (viz výše). Mezi naposledy zvolené cíle ji aplikace neukládá. Pokud mapa sleduje vaši pozici, leží výřez mapy, pro který aplikace načítá vozidla a jehož střed odesílá vyhledávání míst, ve vašem okolí.

Právním základem pro přístup je váš souhlas v dotazu systému iOS (§ 25 odst. 1 TDDDG, čl. 6 odst. 1 písm. a) GDPR). Můžete jej kdykoli odvolat v nastavení iOS; aplikace pak funguje dál bez polohy.

V aplikaci si můžete založit účet a synchronizovat tak nastavení, uložená místa a uložená spojení mezi svými zařízeními. Aplikace funguje i bez účtu. Pro účet ukládáme v naší databázi u společnosti Hetzner v Německu:

• vaši e-mailovou adresu a, pokud ho Apple nebo Google předají, vaše jméno, u Google také adresu vašeho profilového obrázku
• při přihlášení přes Apple nebo Google identifikátor, který vám poskytovatel přidělí, a naposledy předaný přihlašovací token (ID token) s údaji, které obsahuje
• vaše relace: přístupový klíč, jehož platnost vyprší nejpozději 90 dní po posledním použití, bez IP adresy a bez údajů o zařízení nebo prohlížeči
• synchronizované záznamy: nastavení, uložená místa (například domov a práce) a uložená spojení, vždy jen v nejnovější verzi

Pokud se přihlašujete e-mailem, pošleme vám přihlašovací kód; heslo neexistuje. Kód platí deset minut a ukládá se jen jako hash. E-mail prochází naší vlastní poštovní bránou a odesílá se přes Google Workspace společnosti Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko, jako zpracovatele. Abychom omezili zneužití, pamatujeme si hodinu v operační paměti, kdy byl na adresu odeslán kód, a krátkodobě omezujeme požadavky z jedné IP adresy. Náš webový server požadavky týkající se účtu nezaznamenává do logů.

Pokud se přihlásíte přes Apple nebo Google, odpovídají za toto přihlášení samostatně jako správci Apple, resp. Google; od nich dostáváme jen údaje obsažené v přihlašovacím tokenu. Další informace: www.apple.com/legal/privacy, policies.google.com/privacy

Právním základem je čl. 6 odst. 1 písm. b) GDPR. Údaje uchováváme, dokud účet nesmažete; to můžete kdykoli v aplikaci. Přitom okamžitě smažeme účet se všemi relacemi, propojeními a synchronizovanými záznamy, a pokud jste se přihlásili přes Apple, zároveň zrušíme náš přístup u Apple. Pokud nám Apple oznámí, že jste svůj Účet Apple smazali, smažeme účet také; pokud tam odvoláte souhlas pro aplikaci, ukončíme vaše relace.

Když v aplikaci spustíte jízdu, zobrazí aplikace její průběh jako živou aktivitu na zamčené obrazovce. Aby zůstala aktuální, i když je aplikace zavřená, přihlásí aplikace u naší služby push dva údaje: push token, který iOS této živé aktivitě přidělí, a identifikátor spojení, ze kterého náš plánovač tras spojení obnoví i se zastávkami a časy. Účet k tomu není potřeba a s účtem tyto údaje nepropojujeme.

Služba push se každou minutu dotazuje plánovače tras na spojení a změny, například koleje, zpoždění nebo zrušení spoje, posílá do vašeho zařízení přes Apple Push Notification Service. Apple přitom obdrží push token a obsah zobrazení: linku, zastávku, kolej a časy. Oba údaje uchovává služba jen v operační paměti, dokud jízda nedorazí do cíle nebo živá aktivita neskončí, nejdéle zhruba jeden den. Náš webový server tato přihlášení nezaznamenává do logů. Ostatní oznámení plánuje aplikace ve vašem zařízení, aniž by nám k tomu cokoli předávala.

Právním základem je čl. 6 odst. 1 písm. b) GDPR: údaje zpracováváme, abychom udrželi aktuální vámi spuštěnou živou aktivitu. Službu push v EU poskytuje Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irsko. Předání údajů společnosti Apple Inc. v USA nelze vyloučit; Apple je certifikován v rámci EU-US Data Privacy Framework. Další informace: www.apple.com/legal/privacy

U spojení, pro která Deutschlandticket nestačí, zobrazuje aplikace odkaz „Jízdenky na bahn.de“. Vede přes naši adresu transit-eu.com/go/bahn, která okamžitě přesměruje na vyhledávání na bahn.de. Předává se zastávka, kde nejprve nastupujete, zastávka, kde naposledy vystupujete, plánovaný čas odjezdu a údaj, zda jste v aplikaci uvedli, že máte Deutschlandticket. Jako každý požadavek se přesměrování zaznamená do našich serverových logů (viz výše); dále ho nevyhodnocujeme a není zapojen žádný partnerský program ani sledování.

Právním základem je čl. 6 odst. 1 písm. f) GDPR; naším oprávněným zájmem je předat vaše vyhledávání na bahn.de, aniž byste je museli zadávat znovu. Za zpracování na bahn.de odpovídá Deutsche Bahn.

Pokud nám napíšete, například na [email protected] nebo [email protected], zpracováváme vaše údaje, abychom mohli odpovědět na váš dotaz. Právním základem je čl. 6 odst. 1 písm. b) GDPR, pokud váš dotaz směřuje k uzavření smlouvy, jinak čl. 6 odst. 1 písm. f) GDPR.

Naše e-mailové schránky provozuje jako zpracovatel společnost Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irsko (Google Workspace). Předání údajů společnosti Google LLC v USA nelze vyloučit; Google je certifikován v rámci EU-US Data Privacy Framework. Vaši zprávu smažeme, jakmile bude vyřízena, pokud tomu nebrání zákonné povinnosti uchovávání.

Transit EU zveřejňuje informace z veřejně dostupných zdrojů: jízdní řády dopravců, oznámení o veřejných zakázkách (TED a národní portály veřejných zakázek) a údaje z databáze Wikidata. Ty mohou obsahovat osobní údaje, například jména jednatelů a členů dozorčích rad dopravních společností nebo jméno podnikající fyzické osoby, která získala veřejnou zakázku.

Tyto údaje zpracováváme, abychom transparentně zobrazili trh veřejné dopravy v Evropě. Právním základem je čl. 6 odst. 1 písm. f) GDPR; oprávněný zájem spočívá v transparentnosti veřejných zakázek a dopravních služeb. Zdroje jsou uvedeny v části Zdroje dat; s každou novou verzí dat se údaje aktualizují nebo odstraňují. Proti tomuto zpracování můžete kdykoli vznést námitku (viz níže).

Kromě nás získávají osobní údaje pouze výše uvedení poskytovatelé služeb: Hetzner (hosting, plánovač tras a databáze), Cloudflare (doručování a ochrana), OpenFreeMap (mapy), Google (e-mail, také pro přihlašovací kódy) a Apple (služba push pro živé aktivity). Pokud se přihlásíte přes Apple nebo Google, odpovídají tito poskytovatelé za přihlášení samostatně. Předávání mimo EU se týká společností Cloudflare, Google a Apple v USA a probíhá na základě rozhodnutí o odpovídající ochraně pro EU-US Data Privacy Framework (čl. 45 GDPR). Údaje neprodáváme a nepředáváme je pro reklamní účely.

Máte právo na

• přístup k údajům, které o vás zpracováváme (čl. 15 GDPR)
• opravu nepřesných údajů (čl. 16 GDPR)
• výmaz (čl. 17 GDPR) a omezení zpracování (čl. 18 GDPR)
• přenositelnost údajů (čl. 20 GDPR)
• vznesení námitky proti zpracování (čl. 21 GDPR, viz níže)

Stačí zpráva na adresu [email protected]. Kromě toho můžete podat stížnost u dozorového úřadu pro ochranu osobních údajů (čl. 77 GDPR). Pro nás je příslušný:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Pokud zpracováváme údaje na základě čl. 6 odst. 1 písm. f) GDPR, můžete proti tomuto zpracování kdykoli vznést námitku z důvodů týkajících se vaší konkrétní situace (čl. 21 GDPR). Údaje pak již nebudeme zpracovávat, ledaže prokážeme závažné oprávněné důvody pro zpracování, které převažují nad vašimi zájmy, nebo zpracování slouží k určení, výkonu nebo obhajobě právních nároků.

Stačí neformální zpráva na adresu [email protected].

Nejste povinni nám poskytovat osobní údaje; bez údajů o připojení, které se předávají z technických důvodů, však nelze používat web ani aplikaci a pro účet potřebujeme vaši e-mailovou adresu. K automatizovanému rozhodování včetně profilování (čl. 22 GDPR) nedochází.