Politique de confidentialité

Le responsable du traitement au sens du règlement général sur la protection des données (RGPD) est :

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Allemagne
E-mail : [email protected]
Téléphone : +49 7473 7021470

La loi ne nous oblige pas à désigner un délégué à la protection des données. Pour toute question relative à la protection des données, vous pouvez nous joindre à l’adresse [email protected].

À chaque consultation, votre navigateur transmet, pour des raisons techniques, des données à notre serveur : adresse IP, date et heure, adresse consultée, page de provenance (referrer), code de statut HTTP, volume de données transféré ainsi que navigateur et système d’exploitation (user agent). Nous traitons ces données afin de fournir le site web et d’en garantir la sécurité et la stabilité, par exemple pour repousser des attaques.

La base juridique est l’art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans un fonctionnement sûr et sans erreur. Les fichiers journaux ne sont conservés que le temps nécessaire à cette fin, puis supprimés automatiquement.

Le site web est exploité sur des serveurs de Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Allemagne, qui agit pour notre compte en tant que sous-traitant au sens de l’art. 28 du RGPD.

Afin de nous protéger contre les attaques et de diffuser rapidement les pages, le trafic transite par le réseau de Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, États-Unis. Cloudflare traite à cette occasion les données de connexion mentionnées ci-dessus, y compris votre adresse IP, en tant que notre sous-traitant. Pour repousser les accès automatisés, Cloudflare peut déposer un cookie de sécurité techniquement nécessaire (par exemple « __cf_bm », d’une durée de 30 minutes).

La base juridique est l’art. 6, par. 1, point f) du RGPD et, pour un tel cookie de sécurité, le § 25, al. 2, n° 2 TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques). Cloudflare est certifié au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), qui fait l’objet d’une décision d’adéquation de la Commission européenne (art. 45 du RGPD) ; des clauses contractuelles types de l’UE s’appliquent en complément. Plus d’informations : www.cloudflare.com/privacypolicy

Nous chargeons les fonds de carte depuis OpenFreeMap, un service de Hyperknot Software Kft. (Hongrie). Dès qu’une carte s’affiche, votre navigateur se connecte aux serveurs d’OpenFreeMap et transmet alors votre adresse IP. Selon ses propres indications, OpenFreeMap n’enregistre pas les adresses IP dans ses journaux de serveur habituels et ne dépose aucun cookie.

La base juridique est l’art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans un fond cartographique librement utilisable. Plus d’informations : openfreemap.org/privacy

Si vous choisissez la vue satellite sur le site ou dans l’application, votre appareil charge les images aériennes et satellite depuis le serveur de tuiles public du projet open source VersaTiles et transmet à cette occasion votre adresse IP. Sans ce choix, aucune connexion n’est établie avec lui. Ici aussi, la base juridique est l’art. 6, par. 1, point f) du RGPD. Plus d’informations : versatiles.org

Pour comprendre quelles pages et fonctionnalités sont utilisées, nous utilisons le logiciel open source Umami. Umami fonctionne sur notre propre infrastructure ; les données ne sont transmises à personne d’autre. Umami ne dépose aucun cookie et n’enregistre rien sur votre appareil.

Sont collectés la page consultée (sans paramètres de recherche), la page de provenance, le titre et la langue de la page, le navigateur, le système d’exploitation, le type d’appareil, la taille de l’écran et la langue du navigateur, ainsi que le pays et la région, déduits de l’adresse IP. Nous comptabilisons en outre certaines interactions, par exemple le choix d’un indicateur ou d’une suggestion de recherche, avec des valeurs fixes telles que la position ou le type de page, mais jamais les termes de recherche, les textes libres ni les localisations. L’adresse IP elle-même n’est pas enregistrée ; les consultations d’une même visite sont regroupées au moyen d’un identifiant qui change régulièrement et ne permet aucune conclusion à votre sujet.

La base juridique est l’art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans l’amélioration de notre service. Vous pouvez vous opposer à cette mesure à tout moment, même sans nous écrire : bloquez l’adresse « transit-eu.com/u/ » dans votre navigateur ou votre bloqueur de publicités.

Deux fonctions de confort enregistrent des paramètres exclusivement en local dans votre navigateur (Local Storage), et uniquement si vous les utilisez :

• votre choix entre l’affichage clair et l’affichage sombre (« theme »)
• les derniers arrêts sélectionnés, six au maximum (« atlas:halte »)

Ces entrées ne nous sont pas transmises et restent enregistrées jusqu’à ce que vous les supprimiez dans votre navigateur. La base juridique est le § 25, al. 2, n° 2 TDDDG, car ce stockage est strictement nécessaire à la fonction que vous avez demandée.

L’application charge depuis notre serveur les arrêts, les lignes et les positions des véhicules pour la zone de carte affichée ; ce qui est indiqué ci-dessus au sujet des fichiers journaux du serveur et de Cloudflare s’applique à ces requêtes. Comme le site web, elle charge les fonds de carte depuis OpenFreeMap. Les positions des véhicules sur la carte en direct proviennent des données publiques en temps réel des entreprises de transport et ne contiennent aucune donnée à caractère personnel. L’application ne contient ni mesure d’audience, ni publicité, ni module de suivi de tiers.

L’application enregistre sur votre appareil vos paramètres (par exemple si vous possédez un Deutschlandticket, la vitesse de marche, les itinéraires sans marches), les dernières destinations choisies (huit au maximum) et les lieux marqués comme domicile ou travail. Ils ne nous sont transmis que dans la mesure où une recherche ou le lien vers bahn.de les contient (voir ci-dessous), ou si vous les synchronisez avec un compte. La base juridique est le § 25, al. 2, n° 2 TDDDG.

Si vous téléchargez l’application depuis l’App Store, Apple traite des données sous sa propre responsabilité.

Lorsque vous recherchez un itinéraire dans l’application, celle-ci envoie le départ, la destination et l’heure à notre propre serveur de calcul d’itinéraire (MOTIS) chez Hetzner, via l’adresse transit-eu.com/motis/ : un arrêt, une adresse saisie ou des coordonnées, et avec « Ma position » votre position (voir ci-dessous). Si vous avez réglé une vitesse de marche ou des itinéraires sans marches, cette information est également envoyée. Pour la recherche de lieux, les caractères saisis y sont envoyés avec le centre de la zone de carte affichée, afin que les résultats proches apparaissent en premier. Le calculateur d’itinéraire de l’ÖPNV Atlas (atlas.byepast.de) utilise le même service.

Comme toutes les requêtes, celles-ci transitent par Cloudflare (voir ci-dessus). Notre serveur web ne les journalise pas, et le calculateur d’itinéraire ne conserve aucun enregistrement des requêtes individuelles. Les réponses de la recherche de lieux, identiques pour tous, sont conservées par notre serveur web jusqu’à un jour, classées selon la requête (texte recherché et centre de la carte) et non selon votre adresse IP. Pour parer aux surcharges, il compte brièvement en mémoire vive le nombre de requêtes provenant d’une adresse IP.

La base juridique est l’art. 6, par. 1, point b) du RGPD : nous traitons ces informations pour effectuer la recherche que vous avez demandée.

L’application n’utilise votre position que si vous l’avez autorisé dans iOS, et uniquement pendant que vous utilisez l’application. Elle s’en sert pour afficher votre position sur la carte et les arrêts à proximité ; elle calcule les deux sur votre appareil. Votre position ne nous est transmise que comme départ d’un itinéraire : lorsque vous choisissez une destination, l’itinéraire part de « Ma position » tant que vous ne choisissez pas un autre départ, et l’application envoie votre position sous forme de coordonnées au calculateur d’itinéraire (voir ci-dessus). L’application ne l’enregistre pas parmi vos dernières destinations choisies. Si la carte suit votre position, la zone de carte pour laquelle l’application charge les véhicules, et dont la recherche de lieux transmet le centre, se trouve à proximité de vous.

La base juridique de cet accès est votre consentement donné dans la demande d’iOS (§ 25, al. 1 TDDDG, art. 6, par. 1, point a) du RGPD). Vous pouvez le retirer à tout moment dans les réglages d’iOS ; l’application continue alors de fonctionner sans localisation.

Dans l’application, vous pouvez créer un compte pour synchroniser entre vos appareils vos paramètres, lieux enregistrés et itinéraires enregistrés. Sans compte, l’application fonctionne tout aussi bien. Pour le compte, nous enregistrons dans notre base de données chez Hetzner en Allemagne :

• votre adresse e-mail et, si Apple ou Google le transmettent, votre nom, ainsi que, pour Google, l’adresse de votre photo de profil
• en cas de connexion avec Apple ou Google, l’identifiant que le fournisseur vous attribue et le dernier jeton de connexion transmis (jeton d’identification, ID token) avec les informations qu’il contient
• vos sessions : une clé d’accès qui expire au plus tard 90 jours après sa dernière utilisation, sans adresse IP ni informations sur l’appareil ou le navigateur
• les éléments synchronisés : paramètres, lieux enregistrés (par exemple domicile et travail) et itinéraires enregistrés, chacun uniquement dans sa version la plus récente

Si vous vous connectez par e-mail, nous vous envoyons un code de connexion ; il n’y a pas de mot de passe. Le code est valable dix minutes et n’est enregistré que sous forme de valeur de hachage. L’e-mail passe par notre propre passerelle de messagerie et est envoyé via Google Workspace de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande, en tant que sous-traitant. Pour freiner les abus, nous gardons en mémoire vive pendant une heure le moment où un code a été envoyé à une adresse, et limitons brièvement les requêtes par adresse IP. Notre serveur web ne journalise pas les requêtes adressées au compte.

Si vous vous connectez avec Apple ou Google, Apple ou Google est lui-même responsable de cette connexion ; nous ne recevons d’eux que les informations contenues dans le jeton de connexion. Plus d’informations : www.apple.com/legal/privacy, policies.google.com/privacy

La base juridique est l’art. 6, par. 1, point b) du RGPD. Nous conservons les données jusqu’à ce que vous supprimiez le compte, ce qui est possible à tout moment dans l’application. Nous supprimons alors immédiatement le compte avec toutes les sessions, connexions liées et éléments synchronisés et, si vous vous êtes connecté avec Apple, nous révoquons en même temps notre accès auprès d’Apple. Si Apple nous informe que vous avez supprimé votre compte Apple, nous supprimons également le compte ; si vous y retirez l’accès accordé à l’application, nous mettons fin à vos sessions.

Lorsque vous démarrez un trajet dans l’application, celle-ci en affiche le déroulement sous forme d’activité en direct sur l’écran verrouillé. Pour qu’elle reste à jour même lorsque l’application est fermée, l’application enregistre deux informations auprès de notre service push : le jeton push qu’iOS attribue à cette activité en direct et l’identifiant de l’itinéraire, à partir duquel notre calculateur d’itinéraire la reconstitue avec ses arrêts et ses horaires. Aucun compte n’est nécessaire pour cela, et nous ne rattachons pas ces informations à un compte.

Le service push interroge chaque minute le calculateur d’itinéraire sur l’itinéraire et envoie les changements, par exemple de voie, un retard ou une suppression, à votre appareil via l’Apple Push Notification Service. Apple reçoit à cette occasion le jeton push et le contenu de l’affichage : ligne, arrêt, voie et horaires. Le service ne conserve ces deux informations qu’en mémoire vive, jusqu’à ce que le trajet soit arrivé à destination ou que l’activité en direct prenne fin, au plus pendant environ une journée. Notre serveur web ne journalise pas les enregistrements. Les autres notifications sont planifiées par l’application sur votre appareil, sans rien nous transmettre à cet effet.

La base juridique est l’art. 6, par. 1, point b) du RGPD : nous traitons ces informations pour maintenir à jour l’activité en direct que vous avez démarrée. Dans l’UE, le service push est fourni par Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlande. Un transfert vers Apple Inc. aux États-Unis ne peut être exclu ; Apple est certifié au titre du cadre de protection des données UE-États-Unis. Plus d’informations : www.apple.com/legal/privacy

Pour les itinéraires non couverts par le Deutschlandticket, l’application affiche un lien « Billets sur bahn.de ». Il passe par notre adresse transit-eu.com/go/bahn, qui redirige immédiatement vers la recherche sur bahn.de. Sont transmis l’arrêt où vous montez en premier, celui où vous descendez en dernier, l’heure de départ prévue et le fait que vous ayez indiqué ou non dans l’application posséder un Deutschlandticket. Comme toute consultation, la redirection apparaît dans nos fichiers journaux du serveur (voir ci-dessus) ; au-delà, nous ne l’exploitons pas, et aucun programme d’affiliation ni aucun suivi n’intervient.

La base juridique est l’art. 6, par. 1, point f) du RGPD ; notre intérêt légitime réside dans la transmission de votre recherche à bahn.de sans nouvelle saisie. La Deutsche Bahn est responsable du traitement effectué sur bahn.de.

Si vous nous écrivez, par exemple à [email protected] ou à [email protected], nous traitons vos données afin de répondre à votre demande. La base juridique est l’art. 6, par. 1, point b) du RGPD si votre demande porte sur un contrat, sinon l’art. 6, par. 1, point f) du RGPD.

Nos boîtes e-mail sont exploitées par Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (Google Workspace), en tant que sous-traitant. Un transfert vers Google LLC aux États-Unis ne peut être exclu ; Google est certifié au titre du cadre de protection des données UE-États-Unis. Nous supprimons votre message dès que votre demande a été traitée, sauf obligation légale de conservation contraire.

Transit EU publie des informations issues de sources accessibles au public : les horaires des entreprises de transport, les avis de marchés publics (TED et portails nationaux de marchés publics) et des données de Wikidata. Celles-ci peuvent contenir des données à caractère personnel, par exemple les noms des gérants et des membres du conseil de surveillance d’entreprises de transport, ou le nom d’un entrepreneur individuel qui s’est vu attribuer un marché public.

Nous traitons ces données afin de présenter de manière transparente le marché des transports publics en Europe. La base juridique est l’art. 6, par. 1, point f) du RGPD ; l’intérêt légitime réside dans la transparence des marchés publics et des services de transport. Les sources sont énumérées à la page Sources des données ; à chaque nouvelle version des données, les informations sont actualisées ou supprimées. Vous pouvez vous opposer à ce traitement à tout moment (voir ci-dessous).

Outre nous-mêmes, seuls les prestataires mentionnés ci-dessus reçoivent des données à caractère personnel : Hetzner (hébergement, calculateur d’itinéraire et base de données), Cloudflare (diffusion et protection), OpenFreeMap (cartes), Google (e-mail, y compris pour les codes de connexion) et Apple (service push pour les activités en direct). Si vous vous connectez avec Apple ou Google, ceux-ci sont eux-mêmes responsables de la connexion. Les transferts vers des pays situés hors de l’UE concernent Cloudflare, Google et Apple aux États-Unis et reposent sur la décision d’adéquation relative au cadre de protection des données UE-États-Unis (art. 45 du RGPD). Nous ne vendons aucune donnée et ne transmettons aucune donnée à des fins publicitaires.

Vous disposez des droits suivants :

• droit d’accès aux données que nous traitons à votre sujet (art. 15 du RGPD)
• droit de rectification des données inexactes (art. 16 du RGPD)
• droit à l’effacement (art. 17 du RGPD) et à la limitation du traitement (art. 18 du RGPD)
• droit à la portabilité des données (art. 20 du RGPD)
• droit d’opposition au traitement (art. 21 du RGPD, voir ci-dessous)

Un message à [email protected] suffit. Vous pouvez également introduire une réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD). L’autorité compétente pour nous est :

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Lorsque nous traitons des données sur la base de l’art. 6, par. 1, point f) du RGPD, vous pouvez à tout moment vous opposer à ce traitement pour des raisons tenant à votre situation particulière (art. 21 du RGPD). Nous ne traiterons alors plus ces données, à moins de pouvoir démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou que le traitement ne serve à la constatation, à l’exercice ou à la défense de droits en justice.

Un simple message à [email protected], sans formalité particulière, suffit.

La fourniture de données à caractère personnel n’est pas obligatoire ; sans les données de connexion transmises pour des raisons techniques, le site web et l’application ne peuvent toutefois pas être utilisés, et pour un compte, nous avons besoin de votre adresse e-mail. Nous ne recourons à aucune prise de décision automatisée, y compris le profilage (art. 22 du RGPD).