Personvernerklæring

Behandlingsansvarlig etter personvernforordningen (GDPR) er:

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Tyskland
E-post: [email protected]
Telefon: +49 7473 7021470

Vi er ikke lovpålagt å utnevne et personvernombud. Har du spørsmål om personvern, kan du kontakte oss på [email protected].

Ved hver forespørsel overfører nettleseren din av tekniske grunner data til serveren vår: IP-adresse, dato og klokkeslett, den forespurte adressen, den henvisende siden (referrer), HTTP-statuskode, overført datamengde samt nettleser og operativsystem (user agent). Vi behandler disse dataene for å levere nettstedet og sikre dets sikkerhet og stabilitet, for eksempel for å avverge angrep.

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav f i GDPR; vår berettigede interesse er sikker og feilfri drift. Loggfilene lagres bare så lenge det er nødvendig for dette formålet, og slettes deretter automatisk.

Nettstedet driftes på servere hos Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Tyskland, som er vår databehandler etter artikkel 28 i GDPR.

For å beskytte mot angrep og sikre rask levering går datatrafikken gjennom nettverket til Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare behandler i den forbindelse tilkoblingsdataene nevnt ovenfor, inkludert IP-adressen din, som vår databehandler. For å avverge automatiserte forespørsler kan Cloudflare sette en teknisk nødvendig informasjonskapsel for sikkerhet (for eksempel «__cf_bm», gyldig i 30 minutter).

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav f i GDPR og, for en slik informasjonskapsel for sikkerhet, § 25 Abs. 2 Nr. 2 TDDDG (den tyske loven om personvern i telekommunikasjon og digitale tjenester). Cloudflare er sertifisert under EU-US Data Privacy Framework, som er omfattet av en beslutning fra Europakommisjonen om tilstrekkelig beskyttelsesnivå (artikkel 45 i GDPR); i tillegg gjelder EUs standard personvernbestemmelser. Mer informasjon: www.cloudflare.com/privacypolicy

Bakgrunnskartene henter vi fra OpenFreeMap, en tjeneste fra Hyperknot Software Kft. (Ungarn). Så snart et kart vises, kobler nettleseren din seg til OpenFreeMaps servere og overfører da IP-adressen din. Ifølge OpenFreeMap selv lagrer tjenesten ikke IP-adresser i sine vanlige serverlogger og setter ingen informasjonskapsler.

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav f i GDPR; vår berettigede interesse er et fritt brukbart kartgrunnlag. Mer informasjon: openfreemap.org/privacy

Velger du satellittvisningen på nettstedet eller i appen, henter enheten din luft- og satellittbildene fra den offentlige kartflisserveren til åpen kildekode-prosjektet VersaTiles og overfører i den forbindelse IP-adressen din. Uten dette valget opprettes ingen forbindelse dit. Det rettslige grunnlaget er også her artikkel 6 nr. 1 bokstav f i GDPR. Mer informasjon: versatiles.org

For å forstå hvilke sider og funksjoner som brukes, benytter vi programvaren Umami med åpen kildekode. Umami kjører på vår egen infrastruktur; dataene går ikke til noen andre. Umami setter ingen informasjonskapsler og lagrer ingenting på enheten din.

Det som registreres, er siden som vises (uten søkeparametere), den henvisende siden, sidetittel og sidespråk, nettleser, operativsystem, enhetstype, skjermstørrelse og nettleserspråk samt land og region, som utledes av IP-adressen. I tillegg teller vi enkelte handlinger, for eksempel valg av et nøkkeltall eller et søkeforslag, med faste verdier som posisjon eller sidetype, men aldri søkeord, fritekst eller stedsdata. Selve IP-adressen lagres ikke; sidevisninger under ett besøk grupperes ved hjelp av en identifikator som endres regelmessig og ikke gjør det mulig å trekke slutninger om deg.

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav f i GDPR; vår berettigede interesse er å forbedre tjenesten vår. Du kan når som helst protestere mot målingen, også helt uten å skrive til oss: blokker adressen «transit-eu.com/u/» i nettleseren eller annonseblokkereren din.

To komfortfunksjoner lagrer innstillinger utelukkende lokalt i nettleseren din (local storage), og bare hvis du bruker dem:

• valget ditt mellom lyst og mørkt tema («theme»)
• de sist valgte holdeplassene, høyst seks («atlas:halte»)

Disse oppføringene overføres ikke til oss og forblir lagret til du sletter dem i nettleseren din. Det rettslige grunnlaget er § 25 Abs. 2 Nr. 2 TDDDG, fordi lagringen er strengt nødvendig for funksjonen du har bedt om.

Appen henter holdeplasser, linjer og kjøretøyposisjonene for kartutsnittet som vises, fra serveren vår; for disse forespørslene gjelder det som står ovenfor om serverlogger og Cloudflare. Bakgrunnskartene henter den, i likhet med nettstedet, fra OpenFreeMap. Kjøretøyposisjonene på livekartet kommer fra transportselskapenes offentlige sanntidsdata og inneholder ingen personopplysninger. Appen inneholder ingen besøksmåling, ingen reklame og ingen sporingskomponenter fra tredjeparter.

Innstillingene dine (for eksempel om du har Deutschlandticket, ganghastighet, trinnfrie ruter), de sist valgte reisemålene dine (høyst åtte) og stedene du har merket som hjem eller jobb, lagrer appen på enheten din. De sendes til oss bare når et søk eller lenken til bahn.de inneholder dem (se nedenfor), eller hvis du synkroniserer dem med en konto. Det rettslige grunnlaget er § 25 Abs. 2 Nr. 2 TDDDG.

Når du laster ned appen fra App Store, behandler Apple data på eget ansvar.

Når du søker etter en reise i appen, sender den start, mål og tid til vår egen reiseplanleggerserver (MOTIS) hos Hetzner, via adressen transit-eu.com/motis/: en holdeplass, en adresse du har skrevet inn, eller koordinater, ved «Min posisjon» posisjonen din (se nedenfor). Har du stilt inn en ganghastighet eller trinnfrie ruter, sendes det med. Ved stedssøk sendes tegnene du skriver inn dit, sammen med midtpunktet i kartutsnittet som vises, slik at treff i nærheten vises først. Den samme tjenesten brukes av reiseplanleggeren i ÖPNV Atlas (atlas.byepast.de).

Som alle forespørsler går disse via Cloudflare (se ovenfor). Webserveren vår logger dem ikke, og reiseplanleggeren fører ingen registreringer av enkeltforespørsler. Svar fra stedssøket, som er like for alle, beholder webserveren vår i opptil ett døgn, lagret under forespørselen (søketekst og kartets midtpunkt), ikke under IP-adressen din. For å avverge overbelastning teller den kortvarig i arbeidsminnet hvor mange forespørsler som kommer fra en IP-adresse.

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav b i GDPR: vi behandler opplysningene for å utføre søket du har bedt om.

Appen bruker posisjonen din bare hvis du har tillatt det i iOS, og bare mens du bruker appen. Den viser da posisjonen din på kartet og holdeplassene i nærheten av deg; begge deler beregner den på enheten din. Posisjonen din sendes til oss bare som start på en reise: Når du velger et reisemål, starter reisen ved «Min posisjon» så lenge du ikke velger en annen start, og appen sender posisjonen din som koordinater til reiseplanleggeren (se ovenfor). Appen lagrer den ikke blant de sist valgte reisemålene dine. Hvis kartet følger posisjonen din, ligger kartutsnittet som appen henter kjøretøy for, og hvis midtpunkt stedssøket sender med, i nærheten av deg.

Det rettslige grunnlaget for tilgangen er samtykket ditt i forespørselen fra iOS (§ 25 Abs. 1 TDDDG, artikkel 6 nr. 1 bokstav a i GDPR). Du kan når som helst trekke det tilbake i innstillingene i iOS; appen fungerer da videre uten posisjon.

I appen kan du opprette en konto for å synkronisere innstillinger, lagrede steder og lagrede reiser mellom enhetene dine. Uten konto fungerer appen like godt. For kontoen lagrer vi i databasen vår hos Hetzner i Tyskland:

• e-postadressen din og, hvis Apple eller Google overfører det, navnet ditt, ved Google også adressen til profilbildet ditt
• ved innlogging med Apple eller Google identifikatoren som leverandøren tildeler deg, og det sist overførte innloggingstokenet (ID-token) med opplysningene det inneholder
• øktene dine: en tilgangsnøkkel som utløper senest 90 dager etter siste bruk, uten IP-adresse og uten opplysninger om enhet eller nettleser
• de synkroniserte oppføringene: innstillinger, lagrede steder (for eksempel hjem og jobb) og lagrede reiser, hver bare i den nyeste versjonen

Logger du inn via e-post, sender vi deg en innloggingskode; noe passord finnes ikke. Koden gjelder i ti minutter og lagres bare som hashverdi. E-posten går via vår egen e-postgateway og sendes via Google Workspace fra Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, som databehandler. For å bremse misbruk husker vi i én time i arbeidsminnet når en kode ble sendt til en adresse, og begrenser kortvarig forespørsler per IP-adresse. Webserveren vår logger ikke forespørslene til kontoen.

Logger du inn med Apple eller Google, er henholdsvis Apple og Google selv behandlingsansvarlige for denne innloggingen; vi mottar fra dem bare opplysningene i innloggingstokenet. Mer informasjon: www.apple.com/legal/privacy, policies.google.com/privacy

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav b i GDPR. Vi lagrer dataene til du sletter kontoen; det kan du når som helst gjøre i appen. Da sletter vi umiddelbart kontoen med alle økter, koblinger og synkroniserte oppføringer, og har du logget inn med Apple, tilbakekaller vi samtidig tilgangen vår hos Apple. Melder Apple til oss at du har slettet Apple-kontoen din, sletter vi kontoen også; trekker du der tilbake tillatelsen for appen, avslutter vi øktene dine.

Starter du en reise i appen, viser den forløpet som en Live-aktivitet på låseskjermen. For at den skal holdes oppdatert også når appen er lukket, registrerer appen to opplysninger hos push-tjenesten vår: push-tokenet som iOS tildeler denne Live-aktiviteten, og identifikatoren for reisen, som reiseplanleggeren vår gjenoppretter den fra med stopp og tider. Det kreves ingen konto for dette, og vi knytter ikke opplysningene til en konto.

Push-tjenesten henter reisen fra reiseplanleggeren hvert minutt og sender endringer, for eksempel ved spor, forsinkelse eller innstilling, via Apple Push Notification Service til enheten din. Apple mottar da push-tokenet og innholdet i visningen: linje, holdeplass, spor og tider. Begge opplysningene holder tjenesten bare i arbeidsminnet til reisen er fremme eller Live-aktiviteten avsluttes, høyst omtrent ett døgn. Webserveren vår logger ikke registreringene. Andre varsler planlegger appen på enheten din, uten å sende noe til oss.

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav b i GDPR: vi behandler opplysningene for å holde Live-aktiviteten du har startet, oppdatert. Push-tjenesten leveres i EU av Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Overføring til Apple Inc. i USA kan ikke utelukkes; Apple er sertifisert under EU-US Data Privacy Framework. Mer informasjon: www.apple.com/legal/privacy

For reiser der Deutschlandticket ikke er nok, viser appen lenken «Billetter på bahn.de». Den går via adressen vår transit-eu.com/go/bahn, som umiddelbart videresender til søket på bahn.de. Lenken sender med holdeplassen der du først går på, den der du sist går av, planlagt avgangstid og om du har oppgitt i appen at du har Deutschlandticket. Som enhver forespørsel vises videresendingen i serverloggene våre (se ovenfor); utover det analyserer vi den ikke, og verken et partnerprogram eller sporing er involvert.

Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav f i GDPR; vår berettigede interesse er å overføre søket ditt til bahn.de uten at du må skrive det inn på nytt. Deutsche Bahn er ansvarlig for behandlingen på bahn.de.

Hvis du skriver til oss, for eksempel til [email protected] eller [email protected], behandler vi opplysningene dine for å besvare henvendelsen din. Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav b i GDPR dersom henvendelsen din tar sikte på en avtale, ellers artikkel 6 nr. 1 bokstav f i GDPR.

E-postkassene våre driftes av Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Workspace), som databehandler. Overføring til Google LLC i USA kan ikke utelukkes; Google er sertifisert under EU-US Data Privacy Framework. Vi sletter meldingen din så snart saken er ferdigbehandlet, med mindre lovpålagte oppbevaringsplikter er til hinder for det.

Transit EU publiserer informasjon fra offentlig tilgjengelige kilder: transportselskapenes rutetabeller, kunngjøringer av offentlige anskaffelser (TED og nasjonale anskaffelsesportaler) og opplysninger fra Wikidata. Disse kan inneholde personopplysninger, for eksempel navn på daglige ledere og styremedlemmer i transportselskaper eller navnet på en innehaver av et enkeltpersonforetak som har fått tildelt en offentlig kontrakt.

Vi behandler disse opplysningene for å skape åpenhet om markedet for kollektivtransport i Europa. Det rettslige grunnlaget er artikkel 6 nr. 1 bokstav f i GDPR; den berettigede interessen ligger i åpenhet om offentlige kontrakter og transporttjenester. Kildene er oppført under Datakilder; ved hver nye dataversjon oppdateres eller fjernes opplysningene. Du kan når som helst protestere mot denne behandlingen (se nedenfor).

Utenom oss mottar bare tjenesteleverandørene nevnt ovenfor personopplysninger: Hetzner (hosting, reiseplanlegger og database), Cloudflare (levering og beskyttelse), OpenFreeMap (kart), Google (e-post, også for innloggingskoder) og Apple (push-tjeneste for Live-aktiviteter). Logger du inn med Apple eller Google, er disse selv behandlingsansvarlige for innloggingen. Overføring til land utenfor EU gjelder Cloudflare, Google og Apple i USA og skjer på grunnlag av beslutningen om tilstrekkelig beskyttelsesnivå for EU-US Data Privacy Framework (artikkel 45 i GDPR). Vi selger ingen data og utleverer ingen data til reklameformål.

Du har rett til

• innsyn i dataene vi behandler om deg (artikkel 15 i GDPR)
• retting av uriktige data (artikkel 16 i GDPR)
• sletting (artikkel 17 i GDPR) og begrensning av behandlingen (artikkel 18 i GDPR)
• dataportabilitet (artikkel 20 i GDPR)
• å protestere mot behandlingen (artikkel 21 i GDPR, se nedenfor)

Det holder med en melding til [email protected]. Du kan også klage til en tilsynsmyndighet for personvern (artikkel 77 i GDPR). Tilsynsmyndigheten som har ansvar for oss, er:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

I den grad vi behandler data på grunnlag av artikkel 6 nr. 1 bokstav f i GDPR, kan du når som helst protestere mot denne behandlingen av grunner som har sammenheng med din særlige situasjon (artikkel 21 i GDPR). Vi behandler da ikke lenger dataene, med mindre vi kan påvise tvingende berettigede grunner som går foran dine interesser, eller behandlingen skjer for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Det holder med en uformell melding til [email protected].

Du har ingen plikt til å gi oss personopplysninger; uten tilkoblingsdataene som overføres av tekniske grunner, kan nettstedet og appen imidlertid ikke brukes, og for en konto trenger vi e-postadressen din. Det treffes ingen automatiserte avgjørelser, inkludert profilering (artikkel 22 i GDPR).