Informativa sulla privacy

Il titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR) è:

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Germania
E-mail: [email protected]
Telefono: +49 7473 7021470

Non siamo tenuti per legge a nominare un responsabile della protezione dei dati. Per domande sulla protezione dei dati può contattarci all’indirizzo [email protected].

A ogni accesso il suo browser trasmette, per ragioni tecniche, dati al nostro server: indirizzo IP, data e ora, l’indirizzo richiamato, la pagina di provenienza (referrer), codice di stato HTTP, quantità di dati trasferiti, nonché browser e sistema operativo (user agent). Trattiamo questi dati per fornire il sito web e garantirne la sicurezza e la stabilità, ad esempio per respingere attacchi.

La base giuridica è l’art. 6, par. 1, lett. f) del GDPR; il nostro legittimo interesse consiste in un funzionamento sicuro e privo di errori. I file di log vengono conservati solo per il tempo necessario a tale scopo e poi cancellati automaticamente.

Il sito web funziona su server di Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Germania, che opera per nostro conto in qualità di responsabile del trattamento ai sensi dell’art. 28 del GDPR.

Per proteggerci dagli attacchi e distribuire rapidamente le pagine, il traffico passa attraverso la rete di Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare tratta in tale contesto i dati di connessione sopra indicati, compreso il suo indirizzo IP, in qualità di nostro responsabile del trattamento. Per respingere accessi automatizzati, Cloudflare può impostare un cookie di sicurezza tecnicamente necessario (ad esempio “__cf_bm”, durata 30 minuti).

La base giuridica è l’art. 6, par. 1, lett. f) del GDPR e, per tale cookie di sicurezza, il § 25, comma 2, n. 2 TDDDG (legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali). Cloudflare è certificata nell’ambito del quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework), per il quale esiste una decisione di adeguatezza della Commissione europea (art. 45 del GDPR); si applicano inoltre le clausole contrattuali tipo dell’UE. Ulteriori informazioni: www.cloudflare.com/privacypolicy

Carichiamo le mappe di base da OpenFreeMap, un servizio di Hyperknot Software Kft. (Ungheria). Non appena viene visualizzata una mappa, il suo browser si collega ai server di OpenFreeMap e trasmette il suo indirizzo IP. Secondo quanto dichiarato, OpenFreeMap non memorizza gli indirizzi IP nei suoi normali log del server e non imposta cookie.

La base giuridica è l’art. 6, par. 1, lett. f) del GDPR; il nostro legittimo interesse consiste in una base cartografica liberamente utilizzabile. Ulteriori informazioni: openfreemap.org/privacy

Se sceglie la vista satellitare sul sito web o nell’app, il suo dispositivo carica le immagini aeree e satellitari dal server pubblico di tile del progetto open source VersaTiles, trasmettendo in tal modo il suo indirizzo IP. Senza questa scelta non viene stabilita alcuna connessione. Anche qui la base giuridica è l’art. 6, par. 1, lett. f) del GDPR. Ulteriori informazioni: versatiles.org

Per capire quali pagine e funzioni vengono utilizzate, impieghiamo il software open source Umami. Umami funziona sulla nostra infrastruttura; i dati non vengono trasmessi a nessun altro. Umami non imposta cookie e non salva nulla sul suo dispositivo.

Vengono rilevati la pagina visitata (senza parametri di ricerca), la pagina di provenienza, il titolo e la lingua della pagina, browser, sistema operativo, tipo di dispositivo, dimensioni dello schermo e lingua del browser, nonché il paese e la regione, ricavati dall’indirizzo IP. Inoltre contiamo singole interazioni, ad esempio la scelta di un indicatore o di un suggerimento di ricerca, con valori fissi come la posizione o il tipo di pagina, ma mai termini di ricerca, testi liberi o posizioni geografiche. L’indirizzo IP in sé non viene memorizzato; le richieste di una stessa visita vengono raggruppate tramite un identificativo che cambia regolarmente e che non consente di trarre conclusioni su di lei.

La base giuridica è l’art. 6, par. 1, lett. f) del GDPR; il nostro legittimo interesse consiste nel miglioramento del nostro servizio. Può opporsi alla misurazione in qualsiasi momento, anche senza scriverci: blocchi l’indirizzo “transit-eu.com/u/” nel suo browser o nel suo ad blocker.

Due funzioni di comodità salvano impostazioni esclusivamente in locale nel suo browser (Local Storage), e solo se lei le utilizza:

• la sua scelta tra tema chiaro e tema scuro (“theme”)
• le ultime fermate selezionate, al massimo sei (“atlas:halte”)

Queste voci non ci vengono trasmesse e restano memorizzate finché lei non le cancella nel suo browser. La base giuridica è il § 25, comma 2, n. 2 TDDDG, poiché la memorizzazione è strettamente necessaria per la funzione da lei richiesta.

L’app carica dal nostro server fermate, linee e le posizioni dei veicoli per la porzione di mappa visualizzata; per queste richieste vale quanto indicato sopra in merito ai file di log del server e a Cloudflare. Come il sito web, carica le mappe di base da OpenFreeMap. Le posizioni dei veicoli della mappa live provengono da dati pubblici in tempo reale delle aziende di trasporto e non contengono dati personali. L’app non contiene misurazione del pubblico, pubblicità né componenti di tracciamento di terzi.

Le sue impostazioni (ad esempio se possiede un Deutschlandticket, la velocità a piedi, i percorsi senza gradini), le ultime destinazioni scelte (al massimo otto) e i luoghi contrassegnati come casa o lavoro vengono salvati dall’app sul suo dispositivo. Ci vengono trasmessi solo nella misura in cui li contiene una ricerca o il link a bahn.de (vedi sotto), oppure se li sincronizza con un account. La base giuridica è il § 25, comma 2, n. 2 TDDDG.

Se scarica l’app dall’App Store, Apple tratta in tale contesto dati sotto la propria responsabilità.

Quando cerca un collegamento nell’app, questa invia partenza, destinazione e orario al nostro server di pianificazione dei viaggi (MOTIS) presso Hetzner, tramite l’indirizzo transit-eu.com/motis/: una fermata, un indirizzo inserito o delle coordinate e, con “La mia posizione”, la sua posizione (vedi sotto). Se ha impostato una velocità a piedi o percorsi senza gradini, viene inviato anche questo. Nella ricerca di luoghi vi vengono inviati i caratteri digitati, insieme al centro della porzione di mappa visualizzata, affinché i risultati vicini compaiano per primi. Lo stesso servizio è utilizzato dal pianificatore di viaggio dell’ÖPNV Atlas (atlas.byepast.de).

Come tutte le richieste, anche queste passano attraverso Cloudflare (vedi sopra). Il nostro server web non le registra nei log e il pianificatore di viaggio non conserva registrazioni delle singole richieste. Le risposte della ricerca di luoghi, che sono uguali per tutti, vengono conservate dal nostro server web fino a un giorno, archiviate in base alla richiesta (testo di ricerca e centro della mappa) e non in base al suo indirizzo IP. Per difendersi dai sovraccarichi, il server conta per breve tempo, nella memoria di lavoro, quante richieste provengono da un indirizzo IP.

La base giuridica è l’art. 6, par. 1, lett. b) del GDPR: trattiamo questi dati per eseguire la ricerca da lei richiesta.

L’app utilizza la sua posizione solo se lo ha consentito in iOS e solo mentre usa l’app. La usa per mostrare la sua posizione sulla mappa e le fermate vicine a lei; entrambe le cose vengono calcolate sul suo dispositivo. La sua posizione ci viene trasmessa solo come partenza di un collegamento: quando sceglie una destinazione, il collegamento parte da “La mia posizione” finché non sceglie un’altra partenza, e l’app invia la sua posizione sotto forma di coordinate al pianificatore di viaggio (vedi sopra). L’app non la salva tra le ultime destinazioni scelte. Se la mappa segue la sua posizione, la porzione di mappa per cui l’app carica i veicoli e il cui centro viene inviato con la ricerca di luoghi si trova vicino a lei.

La base giuridica per l’accesso è il suo consenso nella richiesta di iOS (§ 25, comma 1 TDDDG, art. 6, par. 1, lett. a) del GDPR). Può revocarlo in qualsiasi momento nelle impostazioni di iOS; l’app continua a funzionare senza posizione.

Nell’app può creare un account per sincronizzare impostazioni, luoghi salvati e collegamenti salvati tra i suoi dispositivi. L’app funziona anche senza account. Per l’account memorizziamo nel nostro database presso Hetzner in Germania:

• il suo indirizzo e-mail e, se Apple o Google lo trasmettono, il suo nome; con Google anche l’indirizzo della sua immagine del profilo
• in caso di accesso con Apple o Google, l’identificativo che il fornitore le assegna e l’ultimo token di accesso trasmesso (ID token) con i dati in esso contenuti
• le sue sessioni: una chiave di accesso che scade al più tardi 90 giorni dopo l’ultimo utilizzo, senza indirizzo IP e senza informazioni sul dispositivo o sul browser
• le voci sincronizzate: impostazioni, luoghi salvati (ad esempio casa e lavoro) e collegamenti salvati, ciascuna solo nella versione più recente

Se accede via e-mail, le inviamo un codice di accesso; non esiste una password. Il codice è valido dieci minuti e viene memorizzato solo come valore hash. L’e-mail passa attraverso il nostro gateway di posta e viene inviata tramite Google Workspace di Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda, in qualità di responsabile del trattamento. Per limitare gli abusi, memorizziamo per un’ora, nella memoria di lavoro, quando è stato inviato un codice a un indirizzo e limitiamo per breve tempo le richieste per indirizzo IP. Il nostro server web non registra nei log le richieste relative all’account.

Se accede con Apple o Google, Apple o Google sono titolari autonomi del trattamento per tale accesso; da loro riceviamo solo i dati contenuti nel token di accesso. Ulteriori informazioni: www.apple.com/legal/privacy, policies.google.com/privacy

La base giuridica è l’art. 6, par. 1, lett. b) del GDPR. Conserviamo i dati finché lei non elimina l’account; può farlo in qualsiasi momento nell’app. In tal caso eliminiamo immediatamente l’account con tutte le sessioni, le associazioni con Apple o Google e le voci sincronizzate e, se ha effettuato l’accesso con Apple, revochiamo contestualmente il nostro accesso presso Apple. Se Apple ci comunica che ha eliminato il suo Account Apple, eliminiamo anche l’account; se lì revoca l’autorizzazione per l’app, terminiamo le sue sessioni.

Quando avvia un viaggio nell’app, questa ne mostra l’andamento come attività in tempo reale sulla schermata di blocco. Affinché resti aggiornata anche quando l’app è chiusa, l’app comunica al nostro servizio push due dati: il token push che iOS assegna a questa attività in tempo reale e l’identificativo del collegamento, dal quale il nostro pianificatore di viaggio lo ricostruisce con fermate e orari. Non serve un account e non colleghiamo questi dati a un account.

Il servizio push interroga il pianificatore di viaggio ogni minuto su questo collegamento e invia le modifiche, ad esempio di binario, ritardo o soppressione, al suo dispositivo tramite l’Apple Push Notification Service. Apple riceve in tal modo il token push e il contenuto della visualizzazione: linea, fermata, binario e orari. Il servizio conserva entrambi i dati solo nella memoria di lavoro, finché il viaggio non è arrivato a destinazione o l’attività in tempo reale non termina, al massimo circa un giorno. Il nostro server web non registra nei log queste comunicazioni. Altre notifiche vengono programmate dall’app sul suo dispositivo, senza trasmetterci nulla a tal fine.

La base giuridica è l’art. 6, par. 1, lett. b) del GDPR: trattiamo questi dati per mantenere aggiornata l’attività in tempo reale da lei avviata. Nell’UE il servizio push è fornito da Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. Non si può escludere un trasferimento ad Apple Inc. negli USA; Apple è certificata nell’ambito del quadro UE-USA per la protezione dei dati. Ulteriori informazioni: www.apple.com/legal/privacy

Per i collegamenti per i quali il Deutschlandticket non basta, l’app mostra un link “Biglietti su bahn.de”. Il link passa attraverso il nostro indirizzo transit-eu.com/go/bahn, che reindirizza immediatamente alla ricerca su bahn.de. Vengono trasmessi la fermata in cui sale per prima, quella in cui scende per ultima, l’orario di partenza programmato e se ha indicato nell’app di possedere un Deutschlandticket. Come ogni accesso, il reindirizzamento compare nei file di log del nostro server (vedi sopra); oltre a ciò non lo analizziamo, e non sono coinvolti né programmi di affiliazione né tracciamento.

La base giuridica è l’art. 6, par. 1, lett. f) del GDPR; il nostro legittimo interesse consiste nel trasferire la sua ricerca a bahn.de senza che debba inserirla di nuovo. Titolare del trattamento su bahn.de è Deutsche Bahn.

Se ci scrive, ad esempio a [email protected] o a [email protected], trattiamo i suoi dati per rispondere alla sua richiesta. La base giuridica è l’art. 6, par. 1, lett. b) del GDPR se la sua richiesta riguarda un contratto, altrimenti l’art. 6, par. 1, lett. f) del GDPR.

Le nostre caselle di posta sono gestite da Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda (Google Workspace), in qualità di responsabile del trattamento. Non si può escludere un trasferimento a Google LLC negli USA; Google è certificata nell’ambito del quadro UE-USA per la protezione dei dati. Cancelliamo il suo messaggio una volta evasa la richiesta, salvo obblighi legali di conservazione.

Transit EU pubblica informazioni tratte da fonti accessibili al pubblico: gli orari delle aziende di trasporto, gli avvisi di appalti pubblici (TED e portali nazionali degli appalti) e dati di Wikidata. Questi possono contenere dati personali, ad esempio i nomi degli amministratori e dei membri del consiglio di sorveglianza di aziende di trasporto, o il nome di un imprenditore individuale che si è aggiudicato un appalto pubblico.

Trattiamo questi dati per rappresentare in modo trasparente il mercato del trasporto pubblico in Europa. La base giuridica è l’art. 6, par. 1, lett. f) del GDPR; il legittimo interesse consiste nella trasparenza degli appalti pubblici e dei servizi di trasporto. Le fonti sono elencate alla pagina Fonti dei dati; a ogni nuova versione dei dati le informazioni vengono aggiornate o rimosse. Può opporsi a questo trattamento in qualsiasi momento (vedi sotto).

Oltre a noi, ricevono dati personali solo i fornitori di servizi sopra indicati: Hetzner (hosting, pianificatore di viaggio e database), Cloudflare (distribuzione e protezione), OpenFreeMap (mappe), Google (e-mail, anche per i codici di accesso) e Apple (servizio push per le attività in tempo reale). Se accede con Apple o Google, questi sono titolari autonomi del trattamento per l’accesso. I trasferimenti verso paesi al di fuori dell’UE riguardano Cloudflare, Google e Apple negli USA e si basano sulla decisione di adeguatezza relativa al quadro UE-USA per la protezione dei dati (art. 45 del GDPR). Non vendiamo dati e non li trasmettiamo a fini pubblicitari.

Lei ha i seguenti diritti:

• accesso ai dati che trattiamo su di lei (art. 15 del GDPR)
• rettifica dei dati inesatti (art. 16 del GDPR)
• cancellazione (art. 17 del GDPR) e limitazione del trattamento (art. 18 del GDPR)
• portabilità dei dati (art. 20 del GDPR)
• opposizione al trattamento (art. 21 del GDPR, vedi sotto)

È sufficiente un messaggio a [email protected]. Può inoltre proporre reclamo a un’autorità di controllo per la protezione dei dati (art. 77 del GDPR). L’autorità competente per noi è:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Se trattiamo dati sulla base dell’art. 6, par. 1, lett. f) del GDPR, può opporsi in qualsiasi momento a tale trattamento per motivi connessi alla sua situazione particolare (art. 21 del GDPR). In tal caso non tratteremo più i dati, salvo che dimostriamo l’esistenza di motivi legittimi cogenti che prevalgono sui suoi interessi, oppure che il trattamento serva all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria.

È sufficiente un semplice messaggio, senza particolari formalità, a [email protected].

Il conferimento di dati personali non è obbligatorio; senza i dati di connessione trasmessi per ragioni tecniche, tuttavia, non è possibile utilizzare il sito web e l’app, e per un account ci serve il suo indirizzo e-mail. Non ha luogo alcun processo decisionale automatizzato, compresa la profilazione (art. 22 del GDPR).