Política de privacidad

El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (RGPD) es:

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Alemania
Correo electrónico: [email protected]
Teléfono: +49 7473 7021470

No estamos legalmente obligados a designar un delegado de protección de datos. Para cualquier consulta sobre protección de datos, puede contactarnos en [email protected].

En cada acceso, su navegador transmite, por razones técnicas, datos a nuestro servidor: dirección IP, fecha y hora, la dirección solicitada, la página de procedencia (referrer), código de estado HTTP, volumen de datos transferido, así como navegador y sistema operativo (user agent). Tratamos estos datos para entregar el sitio web y garantizar su seguridad y estabilidad, por ejemplo para repeler ataques.

La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo reside en un funcionamiento seguro y sin errores. Los archivos de registro solo se conservan durante el tiempo necesario para ese fin y después se eliminan automáticamente.

El sitio web funciona en servidores de Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Alemania, que actúa para nosotros como encargado del tratamiento conforme al art. 28 del RGPD.

Para protegernos frente a ataques y entregar las páginas con rapidez, el tráfico pasa por la red de Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, EE. UU. Cloudflare trata para ello los datos de conexión mencionados, incluida su dirección IP, como nuestro encargado del tratamiento. Para repeler accesos automatizados, Cloudflare puede instalar una cookie de seguridad técnicamente necesaria (por ejemplo, «__cf_bm», con una duración de 30 minutos).

La base jurídica es el art. 6.1.f) del RGPD y, para dicha cookie de seguridad, el § 25, apdo. 2, n.º 2 TDDDG (Ley alemana de protección de datos en las telecomunicaciones y los servicios digitales). Cloudflare está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), para el que existe una decisión de adecuación de la Comisión Europea (art. 45 del RGPD); además se aplican las cláusulas contractuales tipo de la UE. Más información: www.cloudflare.com/privacypolicy

Cargamos los mapas de fondo desde OpenFreeMap, un servicio de Hyperknot Software Kft. (Hungría). En cuanto se muestra un mapa, su navegador se conecta a los servidores de OpenFreeMap y transmite su dirección IP. Según sus propias indicaciones, OpenFreeMap no almacena direcciones IP en sus registros de servidor habituales ni instala cookies.

La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo reside en una base cartográfica de libre uso. Más información: openfreemap.org/privacy

Si elige la vista de satélite en el sitio web o en la aplicación, su dispositivo carga las imágenes aéreas y de satélite desde el servidor público de teselas del proyecto de código abierto VersaTiles y transmite para ello su dirección IP. Sin esa elección no se establece ninguna conexión con él. También aquí la base jurídica es el art. 6.1.f) del RGPD. Más información: versatiles.org

Para entender qué páginas y funciones se utilizan, empleamos el software de código abierto Umami. Umami funciona en nuestra propia infraestructura; los datos no se transmiten a nadie más. Umami no instala cookies ni guarda nada en su dispositivo.

Se registran la página visitada (sin parámetros de búsqueda), la página de procedencia, el título y el idioma de la página, el navegador, el sistema operativo, el tipo de dispositivo, el tamaño de pantalla y el idioma del navegador, así como el país y la región, que se derivan de la dirección IP. Además contamos determinadas interacciones, como la elección de un indicador o de una sugerencia de búsqueda, con valores fijos como la posición o el tipo de página, pero nunca términos de búsqueda, textos libres ni ubicaciones. La dirección IP en sí no se almacena; las solicitudes de una misma visita se agrupan mediante un identificador que cambia periódicamente y que no permite extraer conclusiones sobre usted.

La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo reside en la mejora de nuestro servicio. Puede oponerse a la medición en cualquier momento, incluso sin escribirnos: bloquee la dirección «transit-eu.com/u/» en su navegador o en su bloqueador de anuncios.

Dos funciones de comodidad guardan ajustes exclusivamente de forma local en su navegador (Local Storage), y solo si usted las utiliza:

• su elección entre el diseño claro y el oscuro («theme»)
• las últimas paradas seleccionadas, seis como máximo («atlas:halte»)

Estas entradas no se nos transmiten y permanecen guardadas hasta que usted las elimine en su navegador. La base jurídica es el § 25, apdo. 2, n.º 2 TDDDG, ya que el almacenamiento es estrictamente necesario para la función que usted ha solicitado.

La aplicación carga desde nuestro servidor las paradas, las líneas y las posiciones de los vehículos para la zona del mapa mostrada; a estas solicitudes se aplica lo indicado más arriba sobre los archivos de registro del servidor y Cloudflare. Al igual que el sitio web, carga los mapas de fondo desde OpenFreeMap. Las posiciones de los vehículos del mapa en directo proceden de datos públicos en tiempo real de las empresas de transporte y no contienen datos personales. La aplicación no incluye medición de audiencia, publicidad ni componentes de seguimiento de terceros.

La aplicación guarda en su dispositivo sus ajustes (por ejemplo, si tiene un Deutschlandticket, la velocidad al caminar, los recorridos sin escalones), los últimos destinos elegidos (ocho como máximo) y los lugares marcados como casa o trabajo. Solo nos llegan en la medida en que los incluya una búsqueda o el enlace a bahn.de (véase más abajo), o si los sincroniza con una cuenta. La base jurídica es el § 25, apdo. 2, n.º 2 TDDDG.

Si descarga la aplicación desde la App Store, Apple trata datos bajo su propia responsabilidad.

Cuando busca una conexión en la aplicación, esta envía el origen, el destino y la hora a nuestro propio servidor de planificación de rutas (MOTIS) en Hetzner, a través de la dirección transit-eu.com/motis/: una parada, una dirección introducida o coordenadas y, con «Mi ubicación», su posición (véase más abajo). Si ha configurado una velocidad al caminar o recorridos sin escalones, también se envía. En la búsqueda de lugares, los caracteres introducidos se envían allí junto con el centro de la zona del mapa mostrada, para que los resultados cercanos aparezcan primero. El planificador de rutas del ÖPNV Atlas (atlas.byepast.de) utiliza el mismo servicio.

Como todas las solicitudes, estas pasan por Cloudflare (véase más arriba). Nuestro servidor web no las registra, y el planificador de rutas no guarda registros de solicitudes individuales. Las respuestas de la búsqueda de lugares, que son iguales para todos, las conserva nuestro servidor web hasta un día, archivadas según la solicitud (texto de búsqueda y centro del mapa), no según su dirección IP. Para evitar sobrecargas, cuenta brevemente en la memoria de trabajo cuántas solicitudes llegan desde una dirección IP.

La base jurídica es el art. 6.1.b) del RGPD: tratamos los datos para realizar la búsqueda que usted ha solicitado.

La aplicación solo utiliza su ubicación si usted lo ha permitido en iOS, y solo mientras usa la aplicación. Con ella muestra su posición en el mapa y las paradas cercanas; ambas cosas las calcula en su dispositivo. Su ubicación solo nos llega como origen de una conexión: al elegir un destino, la conexión parte de «Mi ubicación» mientras no elija otro origen, y la aplicación envía su posición como coordenadas al planificador de rutas (véase más arriba). La aplicación no la guarda entre sus últimos destinos elegidos. Si el mapa sigue su posición, la zona del mapa para la que la aplicación carga los vehículos, y cuyo centro envía la búsqueda de lugares, está cerca de usted.

La base jurídica del acceso es su consentimiento en la solicitud de iOS (§ 25, apdo. 1 TDDDG, art. 6.1.a) del RGPD). Puede retirarlo en cualquier momento en los ajustes de iOS; la aplicación seguirá funcionando sin ubicación.

En la aplicación puede crear una cuenta para sincronizar entre sus dispositivos los ajustes, los lugares guardados y las conexiones guardadas. Sin cuenta, la aplicación funciona igual. Para la cuenta, guardamos en nuestra base de datos en Hetzner, en Alemania:

• su dirección de correo electrónico y, si Apple o Google lo transmiten, su nombre y, en el caso de Google, también la dirección de su foto de perfil
• al iniciar sesión con Apple o Google, el identificador que el proveedor le asigna y el último token de inicio de sesión transmitido (token de identificación, ID token) con los datos que contiene
• sus sesiones: una clave de acceso que caduca, a más tardar, 90 días después del último uso, sin dirección IP y sin datos sobre el dispositivo o el navegador
• las entradas sincronizadas: ajustes, lugares guardados (por ejemplo, casa y trabajo) y conexiones guardadas, en cada caso solo en su versión más reciente

Si inicia sesión por correo electrónico, le enviamos un código de inicio de sesión; no hay contraseña. El código es válido durante diez minutos y solo se guarda como valor hash. El correo pasa por nuestra propia pasarela de correo y se envía a través de Google Workspace de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda, como encargado del tratamiento. Para frenar abusos, recordamos durante una hora en la memoria de trabajo cuándo se envió un código a una dirección, y limitamos brevemente las solicitudes por dirección IP. Nuestro servidor web no registra las solicitudes a la cuenta.

Si inicia sesión con Apple o Google, Apple o Google, respectivamente, es responsable por cuenta propia de ese inicio de sesión; solo recibimos de ellos los datos contenidos en el token de inicio de sesión. Más información: www.apple.com/legal/privacy, policies.google.com/privacy

La base jurídica es el art. 6.1.b) del RGPD. Conservamos los datos hasta que usted elimine la cuenta, lo que puede hacer en cualquier momento en la aplicación. En ese caso eliminamos inmediatamente la cuenta con todas las sesiones, inicios de sesión vinculados y entradas sincronizadas y, si inició sesión con Apple, revocamos al mismo tiempo nuestro acceso en Apple. Si Apple nos comunica que ha eliminado su cuenta de Apple, eliminamos también la cuenta; si allí retira el acceso de la aplicación, cerramos sus sesiones.

Si inicia un viaje en la aplicación, esta muestra su desarrollo como actividad en directo en la pantalla bloqueada. Para que se mantenga actualizada incluso con la aplicación cerrada, la aplicación registra dos datos en nuestro servicio push: el token push que iOS asigna a esta actividad en directo y el identificador de la conexión, a partir del cual nuestro planificador de rutas la reconstruye con sus paradas y horarios. No hace falta una cuenta para ello, y no vinculamos estos datos a ninguna cuenta.

El servicio push consulta cada minuto la conexión al planificador de rutas y envía los cambios, por ejemplo de vía, retrasos o cancelaciones, a su dispositivo a través del Apple Push Notification Service. Apple recibe el token push y el contenido de la visualización: línea, parada, vía y horarios. El servicio conserva ambos datos solo en la memoria de trabajo, hasta que el viaje haya llegado a su destino o la actividad en directo termine, como máximo aproximadamente un día. Nuestro servidor web no registra estas solicitudes de alta. Las demás notificaciones las programa la aplicación en su dispositivo, sin transmitirnos nada para ello.

La base jurídica es el art. 6.1.b) del RGPD: tratamos los datos para mantener actualizada la actividad en directo que usted ha iniciado. En la UE, el servicio push lo presta Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. No puede descartarse una transferencia a Apple Inc. en EE. UU.; Apple está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. Más información: www.apple.com/legal/privacy

En las conexiones para las que no basta el Deutschlandticket, la aplicación muestra un enlace «Billetes en bahn.de». Este pasa por nuestra dirección transit-eu.com/go/bahn, que redirige de inmediato a la búsqueda de bahn.de. Se transmiten la parada en la que sube primero, aquella en la que baja en último lugar, la hora de salida prevista y si ha indicado en la aplicación que tiene un Deutschlandticket. Como cualquier acceso, la redirección aparece en nuestros archivos de registro del servidor (véase más arriba); más allá de eso no la analizamos, y no intervienen ni programas de afiliación ni seguimiento.

La base jurídica es el art. 6.1.f) del RGPD; nuestro interés legítimo reside en transmitir su búsqueda a bahn.de sin que tenga que introducirla de nuevo. Deutsche Bahn es responsable del tratamiento en bahn.de.

Si nos escribe, por ejemplo a [email protected] o a [email protected], tratamos sus datos para responder a su consulta. La base jurídica es el art. 6.1.b) del RGPD si su consulta tiene por objeto un contrato y, en los demás casos, el art. 6.1.f) del RGPD.

Nuestros buzones de correo los gestiona Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda (Google Workspace), como encargado del tratamiento. No puede descartarse una transferencia a Google LLC en EE. UU.; Google está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. Eliminamos su mensaje una vez atendido, salvo que existan obligaciones legales de conservación.

Transit EU publica información procedente de fuentes de acceso público: los horarios de las empresas de transporte, los anuncios de contratos públicos (TED y portales nacionales de contratación) y datos de Wikidata. Estos pueden contener datos personales, como los nombres de administradores y miembros del consejo de supervisión de empresas de transporte, o el nombre de un empresario individual al que se ha adjudicado un contrato público.

Tratamos estos datos para ofrecer una imagen transparente del mercado del transporte público en Europa. La base jurídica es el art. 6.1.f) del RGPD; el interés legítimo reside en la transparencia de los contratos públicos y de los servicios de transporte. Las fuentes se enumeran en Fuentes de datos; con cada nueva versión de los datos, la información se actualiza o se elimina. Puede oponerse a este tratamiento en cualquier momento (véase más abajo).

Aparte de nosotros, solo reciben datos personales los proveedores de servicios mencionados: Hetzner (alojamiento, planificador de rutas y base de datos), Cloudflare (entrega y protección), OpenFreeMap (mapas), Google (correo electrónico, también para los códigos de inicio de sesión) y Apple (servicio push para las actividades en directo). Si inicia sesión con Apple o Google, estos son responsables por cuenta propia del inicio de sesión. Las transferencias a países fuera de la UE afectan a Cloudflare, Google y Apple en EE. UU. y se basan en la decisión de adecuación relativa al Marco de Privacidad de Datos UE-EE. UU. (art. 45 del RGPD). No vendemos datos ni los cedemos con fines publicitarios.

Usted tiene los siguientes derechos:

• acceso a los datos que tratamos sobre usted (art. 15 del RGPD)
• rectificación de los datos inexactos (art. 16 del RGPD)
• supresión (art. 17 del RGPD) y limitación del tratamiento (art. 18 del RGPD)
• portabilidad de los datos (art. 20 del RGPD)
• oposición al tratamiento (art. 21 del RGPD, véase más abajo)

Basta con un mensaje a [email protected]. Además, puede presentar una reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD). La autoridad competente en nuestro caso es:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Cuando tratemos datos sobre la base del art. 6.1.f) del RGPD, puede oponerse en cualquier momento a dicho tratamiento por motivos relacionados con su situación particular (art. 21 del RGPD). En tal caso dejaremos de tratar los datos, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre sus intereses o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones.

Basta con un mensaje sin formalidades a [email protected].

No existe obligación de facilitarnos datos personales; no obstante, sin los datos de conexión transmitidos por razones técnicas, el sitio web y la aplicación no pueden utilizarse, y para una cuenta necesitamos su dirección de correo electrónico. No se toman decisiones automatizadas, incluida la elaboración de perfiles (art. 22 del RGPD).