Privacyverklaring

Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) is:

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Duitsland
E-mail: [email protected]
Telefoon: +49 7473 7021470

Wij zijn wettelijk niet verplicht een functionaris voor gegevensbescherming aan te wijzen. Met vragen over gegevensbescherming kunt u contact met ons opnemen via [email protected].

Bij elke opvraging verstuurt uw browser om technische redenen gegevens naar onze server: IP-adres, datum en tijd, het opgevraagde adres, de verwijzende pagina (referrer), HTTP-statuscode, de hoeveelheid overgedragen gegevens en browser en besturingssysteem (user agent). Wij verwerken deze gegevens om de website te leveren en de veiligheid en stabiliteit ervan te waarborgen, bijvoorbeeld om aanvallen af te weren.

De rechtsgrond is art. 6 lid 1 sub f AVG; ons gerechtvaardigd belang is een veilige en foutloze werking. De logbestanden worden slechts zo lang bewaard als daarvoor nodig is en daarna automatisch verwijderd.

De website draait op servers van Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Duitsland, die voor ons optreedt als verwerker in de zin van art. 28 AVG.

Ter bescherming tegen aanvallen en voor een snelle levering loopt het dataverkeer via het netwerk van Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, VS. Cloudflare verwerkt daarbij de hierboven genoemde verbindingsgegevens, inclusief uw IP-adres, als onze verwerker. Om geautomatiseerde toegang af te weren kan Cloudflare een technisch noodzakelijke beveiligingscookie plaatsen (bijvoorbeeld “__cf_bm”, geldigheidsduur 30 minuten).

De rechtsgrond is art. 6 lid 1 sub f AVG en, voor een dergelijke beveiligingscookie, § 25 lid 2 nr. 2 TDDDG (de Duitse wet inzake gegevensbescherming bij telecommunicatie en digitale diensten). Cloudflare is gecertificeerd onder het EU-US Data Privacy Framework, waarvoor een adequaatheidsbesluit van de Europese Commissie bestaat (art. 45 AVG); daarnaast gelden de EU-standaardcontractbepalingen. Meer informatie: www.cloudflare.com/privacypolicy

De achtergrondkaarten laden wij van OpenFreeMap, een dienst van Hyperknot Software Kft. (Hongarije). Zodra een kaart wordt weergegeven, maakt uw browser verbinding met de servers van OpenFreeMap en verstuurt daarbij uw IP-adres. Volgens eigen opgave slaat OpenFreeMap IP-adressen niet op in zijn reguliere serverlogs en plaatst het geen cookies.

De rechtsgrond is art. 6 lid 1 sub f AVG; ons gerechtvaardigd belang is een vrij bruikbare kaartbasis. Meer informatie: openfreemap.org/privacy

Kiest u op de website of in de app de satellietweergave, dan laadt uw apparaat de lucht- en satellietbeelden van de openbare tegelserver van het opensourceproject VersaTiles en geeft daarbij uw IP-adres door. Zonder die keuze wordt er geen verbinding mee gemaakt. Ook hier is de rechtsgrond art. 6 lid 1 sub f AVG. Meer informatie: versatiles.org

Om te begrijpen welke pagina's en functies worden gebruikt, zetten wij de opensourcesoftware Umami in. Umami draait op onze eigen infrastructuur; de gegevens gaan naar niemand anders. Umami plaatst geen cookies en slaat niets op uw apparaat op.

Vastgelegd worden de bezochte pagina (zonder zoekparameters), de verwijzende pagina, paginatitel en paginataal, browser, besturingssysteem, apparaattype, schermgrootte en browsertaal, en daarnaast land en regio, die uit het IP-adres worden afgeleid. Ook tellen wij afzonderlijke bedieningsstappen, zoals de keuze van een kengetal of een zoeksuggestie, met vaste waarden zoals positie of paginatype, maar nooit zoektermen, vrije tekst of locaties. Het IP-adres zelf wordt niet opgeslagen; opvragingen binnen één bezoek worden samengevoegd via een regelmatig wisselende identificatiecode, die geen conclusies over u toelaat.

De rechtsgrond is art. 6 lid 1 sub f AVG; ons gerechtvaardigd belang is de verbetering van onze dienst. U kunt op elk moment bezwaar maken tegen de meting, ook zonder ons een bericht te sturen: blokkeer het adres “transit-eu.com/u/” in uw browser of adblocker.

Twee gemaksfuncties slaan instellingen uitsluitend lokaal in uw browser op (local storage), en alleen als u ze gebruikt:

• uw keuze tussen de lichte en de donkere weergave (“theme”)
• de laatst geselecteerde haltes, maximaal zes (“atlas:halte”)

Deze gegevens worden niet naar ons verzonden en blijven opgeslagen totdat u ze in uw browser verwijdert. De rechtsgrond is § 25 lid 2 nr. 2 TDDDG, omdat de opslag strikt noodzakelijk is voor de door u gewenste functie.

De app laadt haltes, lijnen en de voertuigposities voor het getoonde kaartgedeelte van onze server; voor deze verzoeken geldt wat hierboven over serverlogbestanden en Cloudflare staat. De achtergrondkaarten laadt de app, net als de website, van OpenFreeMap. De voertuigposities op de livekaart zijn afkomstig uit openbare realtimegegevens van de vervoerders en bevatten geen persoonsgegevens. De app bevat geen bereikmeting, geen advertenties en geen trackingcomponenten van derden.

Uw instellingen (zoals of u een Deutschlandticket hebt, loopsnelheid, drempelvrije routes), uw laatst gekozen bestemmingen (maximaal acht) en de als thuis of werk gemarkeerde plaatsen slaat de app op uw apparaat op. Ze gaan alleen naar ons voor zover een zoekopdracht of de link naar bahn.de ze bevat (zie hieronder), of als u ze met een account synchroniseert. De rechtsgrond is § 25 lid 2 nr. 2 TDDDG.

Als u de app uit de App Store downloadt, verwerkt Apple daarbij gegevens onder eigen verantwoordelijkheid.

Zoekt u in de app een verbinding, dan stuurt de app vertrekpunt, bestemming en tijd naar onze eigen reisplannerserver (MOTIS) bij Hetzner, via het adres transit-eu.com/motis/: een halte, een ingevoerd adres of coördinaten, bij “Mijn locatie” uw positie (zie hieronder). Hebt u een loopsnelheid of drempelvrije routes ingesteld, dan gaat dat mee. Bij het zoeken naar plaatsen gaan de ingevoerde tekens daarheen, samen met het midden van het getoonde kaartgedeelte, zodat resultaten in de buurt als eerste verschijnen. Dezelfde dienst wordt gebruikt door de reisplanner van de ÖPNV Atlas (atlas.byepast.de).

Zoals alle verzoeken lopen ook deze via Cloudflare (zie hierboven). Onze webserver legt ze niet vast in logbestanden, en de reisplanner houdt geen registratie bij van afzonderlijke verzoeken. Antwoorden van de plaatszoekfunctie, die voor iedereen gelijk zijn, bewaart onze webserver tot een dag, opgeslagen onder het verzoek (zoektekst en kaartmidden), niet onder uw IP-adres. Om overbelasting af te weren telt hij kortstondig in het werkgeheugen hoeveel verzoeken van een IP-adres komen.

De rechtsgrond is art. 6 lid 1 sub b AVG: wij verwerken de gegevens om de door u gewenste zoekopdracht uit te voeren.

De app gebruikt uw locatie alleen als u dat in iOS hebt toegestaan, en alleen terwijl u de app gebruikt. De app toont daarmee uw positie op de kaart en de haltes bij u in de buurt; beide berekent de app op uw apparaat. Uw locatie gaat alleen naar ons als vertrekpunt van een verbinding: kiest u een bestemming, dan begint de verbinding bij “Mijn locatie” zolang u geen ander vertrekpunt kiest, en stuurt de app uw positie als coördinaten naar de reisplanner (zie hierboven). Onder uw laatst gekozen bestemmingen slaat de app deze niet op. Volgt de kaart uw positie, dan ligt het kaartgedeelte waarvoor de app voertuigen laadt en waarvan de plaatszoekfunctie het midden meestuurt, bij u in de buurt.

De rechtsgrond voor de toegang is uw toestemming in de vraag van iOS (§ 25 lid 1 TDDDG, art. 6 lid 1 sub a AVG). U kunt deze op elk moment intrekken in de instellingen van iOS; de app werkt dan zonder locatie verder.

In de app kunt u een account aanmaken om instellingen, opgeslagen plaatsen en opgeslagen verbindingen tussen uw apparaten te synchroniseren. Zonder account werkt de app net zo goed. Voor het account slaan wij in onze database bij Hetzner in Duitsland op:

• uw e-mailadres en, als Apple of Google deze doorgeven, uw naam, bij Google ook het adres van uw profielfoto
• bij aanmelding met Apple of Google de identificatiecode die de aanbieder aan u toekent, en het laatst doorgegeven aanmeldtoken (ID-token) met de daarin opgenomen gegevens
• uw sessies: een toegangssleutel die uiterlijk 90 dagen na het laatste gebruik verloopt, zonder IP-adres en zonder gegevens over apparaat of browser
• de gesynchroniseerde items: instellingen, opgeslagen plaatsen (zoals thuis en werk) en opgeslagen verbindingen, telkens alleen in de nieuwste versie

Meldt u zich aan per e-mail, dan sturen wij u een aanmeldcode; een wachtwoord is er niet. De code is tien minuten geldig en wordt alleen als hashwaarde opgeslagen. De e-mail gaat via onze eigen mailgateway en wordt verzonden via Google Workspace van Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland, als verwerker. Om misbruik tegen te gaan, onthouden wij een uur lang in het werkgeheugen wanneer er een code naar een adres is gestuurd, en beperken wij kortstondig het aantal verzoeken per IP-adres. Onze webserver legt verzoeken aan het account niet vast in logbestanden.

Meldt u zich aan met Apple of Google, dan is Apple respectievelijk Google zelf verantwoordelijk voor die aanmelding; wij ontvangen van hen alleen de gegevens in het aanmeldtoken. Meer informatie: www.apple.com/legal/privacy, policies.google.com/privacy

De rechtsgrond is art. 6 lid 1 sub b AVG. Wij bewaren de gegevens totdat u het account verwijdert; dat kan op elk moment in de app. Wij verwijderen dan direct het account met alle sessies, gekoppelde aanmeldingen en gesynchroniseerde items, en als u zich met Apple hebt aangemeld, trekken wij tegelijk onze toegang bij Apple in. Laat Apple ons weten dat u uw Apple Account hebt verwijderd, dan verwijderen wij het account eveneens; trekt u daar de toegang voor de app in, dan beëindigen wij uw sessies.

Start u in de app een rit, dan toont de app het verloop ervan als Live Activity op het toegangsscherm. Om deze actueel te houden, ook als de app gesloten is, meldt de app twee gegevens aan bij onze pushdienst: het pushtoken dat iOS voor deze Live Activity toekent, en de identificatiecode van de verbinding, waarmee onze reisplanner deze met haltes en tijden reconstrueert. Een account is daarvoor niet nodig, en wij koppelen de gegevens niet aan een account.

De pushdienst vraagt de verbinding elke minuut op bij de reisplanner en stuurt wijzigingen, bijvoorbeeld van spoor, vertraging of uitval, via de Apple Push Notification Service naar uw apparaat. Apple ontvangt daarbij het pushtoken en de inhoud van de weergave: lijn, halte, spoor en tijden. Beide gegevens bewaart de dienst alleen in het werkgeheugen, totdat de rit op de bestemming is aangekomen of de Live Activity eindigt, hooguit ongeveer een dag. Onze webserver legt de aanmeldingen niet vast in logbestanden. Andere meldingen plant de app op uw apparaat, zonder daarvoor iets naar ons te verzenden.

De rechtsgrond is art. 6 lid 1 sub b AVG: wij verwerken de gegevens om de door u gestarte Live Activity actueel te houden. De pushdienst wordt in de EU aangeboden door Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ierland. Een doorgifte aan Apple Inc. in de VS valt niet uit te sluiten; Apple is gecertificeerd onder het EU-US Data Privacy Framework. Meer informatie: www.apple.com/legal/privacy

Bij verbindingen waarvoor het Deutschlandticket niet volstaat, toont de app een link “Tickets bij bahn.de”. Deze loopt via ons adres transit-eu.com/go/bahn, dat direct doorstuurt naar de zoekfunctie van bahn.de. Meegegeven worden de halte waar u als eerste instapt, de halte waar u als laatste uitstapt, de geplande vertrektijd en of u in de app hebt aangegeven een Deutschlandticket te bezitten. Zoals elke opvraging verschijnt de doorverwijzing in onze serverlogbestanden (zie hierboven); verder analyseren wij deze niet, en er zijn geen partnerprogramma en geen tracking bij betrokken.

De rechtsgrond is art. 6 lid 1 sub f AVG; ons gerechtvaardigd belang is uw zoekopdracht zonder opnieuw invoeren aan bahn.de door te geven. Voor de verwerking op bahn.de is Deutsche Bahn verantwoordelijk.

Als u ons schrijft, bijvoorbeeld aan [email protected] of [email protected], verwerken wij uw gegevens om uw vraag te beantwoorden. De rechtsgrond is art. 6 lid 1 sub b AVG als uw vraag gericht is op een overeenkomst, anders art. 6 lid 1 sub f AVG.

Onze mailboxen worden als verwerker beheerd door Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland (Google Workspace). Een doorgifte aan Google LLC in de VS valt niet uit te sluiten; Google is gecertificeerd onder het EU-US Data Privacy Framework. Wij verwijderen uw bericht zodra het is afgehandeld, tenzij wettelijke bewaarplichten zich daartegen verzetten.

Transit EU publiceert informatie uit openbaar toegankelijke bronnen: de dienstregelingen van vervoerders, aankondigingen van overheidsopdrachten (TED en nationale aanbestedingsportalen) en gegevens uit Wikidata. Deze kunnen persoonsgegevens bevatten, zoals de namen van bestuurders en commissarissen van vervoerbedrijven of de naam van een eenmanszaak die een overheidsopdracht heeft gekregen.

Wij verwerken deze gegevens om de markt voor openbaar vervoer in Europa transparant weer te geven. De rechtsgrond is art. 6 lid 1 sub f AVG; het gerechtvaardigd belang ligt in de transparantie van overheidsopdrachten en vervoersdiensten. De bronnen staan vermeld onder Databronnen; bij elke nieuwe gegevensversie worden de gegevens bijgewerkt of verwijderd. U kunt op elk moment bezwaar maken tegen deze verwerking (zie hieronder).

Behalve wij ontvangen alleen de hierboven genoemde dienstverleners persoonsgegevens: Hetzner (hosting, reisplanner en database), Cloudflare (levering en beveiliging), OpenFreeMap (kaarten), Google (e-mail, ook voor aanmeldcodes) en Apple (pushdienst voor Live Activities). Meldt u zich aan met Apple of Google, dan zijn deze zelf verantwoordelijk voor de aanmelding. Doorgifte naar landen buiten de EU betreft Cloudflare, Google en Apple in de VS en vindt plaats op basis van het adequaatheidsbesluit voor het EU-US Data Privacy Framework (art. 45 AVG). Wij verkopen geen gegevens en geven geen gegevens door voor advertentiedoeleinden.

U hebt recht op

• inzage in de gegevens die wij over u verwerken (art. 15 AVG)
• rectificatie van onjuiste gegevens (art. 16 AVG)
• gegevenswissing (art. 17 AVG) en beperking van de verwerking (art. 18 AVG)
• overdraagbaarheid van gegevens (art. 20 AVG)
• bezwaar tegen de verwerking (art. 21 AVG, zie hieronder)

Een bericht aan [email protected] volstaat. Daarnaast kunt u een klacht indienen bij een toezichthoudende autoriteit voor gegevensbescherming (art. 77 AVG). De voor ons bevoegde autoriteit is:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Voor zover wij gegevens verwerken op grond van art. 6 lid 1 sub f AVG, kunt u op elk moment om redenen die verband houden met uw specifieke situatie bezwaar maken tegen deze verwerking (art. 21 AVG). Wij verwerken de gegevens dan niet langer, tenzij wij dwingende gerechtvaardigde gronden kunnen aantonen die zwaarder wegen dan uw belangen, of de verwerking verband houdt met de instelling, uitoefening of onderbouwing van een rechtsvordering.

Een eenvoudig bericht aan [email protected] volstaat.

U bent niet verplicht ons persoonsgegevens te verstrekken; zonder de technisch verzonden verbindingsgegevens kunnen de website en de app echter niet worden gebruikt, en voor een account hebben wij uw e-mailadres nodig. Er vindt geen geautomatiseerde besluitvorming plaats, ook geen profilering (art. 22 AVG).