Política de privacidade

O responsável pelo tratamento, na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD), é:

ByePast Software Solutions GmbH
Waldstraße 30
72116 Mössingen
Alemanha
E-mail: [email protected]
Telefone: +49 7473 7021470

Não estamos legalmente obrigados a designar um encarregado da proteção de dados. Para questões sobre proteção de dados, contacte-nos através de [email protected].

Em cada acesso, o seu navegador transmite, por razões técnicas, dados ao nosso servidor: endereço IP, data e hora, o endereço acedido, a página de referência (referrer), o código de estado HTTP, o volume de dados transferido, bem como o navegador e o sistema operativo (user agent). Tratamos estes dados para disponibilizar o sítio web e garantir a sua segurança e estabilidade, por exemplo para repelir ataques.

O fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD; o nosso interesse legítimo reside num funcionamento seguro e sem erros. Os ficheiros de registo são conservados apenas pelo tempo necessário para esse fim e depois eliminados automaticamente.

O sítio web funciona em servidores da Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Alemanha, que atua por nossa conta como subcontratante nos termos do art. 28.º do RGPD.

Para proteção contra ataques e para uma distribuição rápida, o tráfego de dados passa pela rede da Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, EUA. A Cloudflare trata os dados de ligação acima referidos, incluindo o seu endereço IP, na qualidade de nosso subcontratante. Para repelir acessos automatizados, a Cloudflare pode instalar um cookie de segurança tecnicamente necessário (por exemplo, «__cf_bm», com duração de 30 minutos).

O fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD e, para esse cookie de segurança, o § 25, n.º 2, ponto 2, da TDDDG (lei alemã relativa à proteção de dados nas telecomunicações e nos serviços digitais). A Cloudflare está certificada ao abrigo do EU-US Data Privacy Framework, para o qual existe uma decisão de adequação da Comissão Europeia (art. 45.º do RGPD); aplicam-se ainda cláusulas contratuais-tipo da UE. Mais informações: www.cloudflare.com/privacypolicy

Carregamos os mapas de fundo a partir do OpenFreeMap, um serviço da Hyperknot Software Kft. (Hungria). Assim que um mapa é apresentado, o seu navegador liga-se aos servidores do OpenFreeMap e transmite o seu endereço IP. Segundo as suas próprias informações, o OpenFreeMap não guarda endereços IP nos seus registos regulares de servidor e não utiliza cookies.

O fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD; o nosso interesse legítimo reside numa base cartográfica de utilização livre. Mais informações: openfreemap.org/privacy

Se escolher a vista de satélite no site ou na aplicação, o seu dispositivo carrega as imagens aéreas e de satélite a partir do servidor público de mosaicos do projeto de código aberto VersaTiles e transmite, para isso, o seu endereço IP. Sem essa escolha, não é estabelecida qualquer ligação. Também aqui o fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD. Mais informações: versatiles.org

Para compreender que páginas e funcionalidades são utilizadas, recorremos ao software de código aberto Umami. O Umami funciona na nossa própria infraestrutura; os dados não são transmitidos a mais ninguém. O Umami não utiliza cookies nem guarda nada no seu dispositivo.

São registados a página visitada (sem parâmetros de pesquisa), a página de referência, o título e o idioma da página, o navegador, o sistema operativo, o tipo de dispositivo, o tamanho do ecrã e o idioma do navegador, bem como o país e a região, deduzidos a partir do endereço IP. Contamos também passos de utilização individuais, como a escolha de um indicador ou de uma sugestão de pesquisa, com valores fixos como a posição ou o tipo de página, mas nunca termos de pesquisa, texto livre ou localizações. O próprio endereço IP não é guardado; os acessos de uma visita são agrupados através de um identificador que muda regularmente e que não permite tirar conclusões sobre si.

O fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD; o nosso interesse legítimo reside na melhoria do nosso serviço. Pode opor-se à medição a qualquer momento, mesmo sem nos enviar qualquer mensagem: bloqueie o endereço «transit-eu.com/u/» no seu navegador ou bloqueador de anúncios.

Duas funcionalidades de conveniência guardam definições exclusivamente de forma local no seu navegador (local storage), e apenas se as utilizar:

• a sua escolha entre o tema claro e o tema escuro («theme»)
• as últimas paragens selecionadas, no máximo seis («atlas:halte»)

Estas entradas não nos são transmitidas e permanecem guardadas até as eliminar no seu navegador. O fundamento jurídico é o § 25, n.º 2, ponto 2, da TDDDG, uma vez que o armazenamento é estritamente necessário para a funcionalidade por si solicitada.

A app carrega a partir do nosso servidor as paragens, as linhas e as posições dos veículos para a área do mapa apresentada; a estes pedidos aplica-se o que foi referido acima sobre os ficheiros de registo do servidor e a Cloudflare. Tal como o sítio web, carrega os mapas de fundo a partir do OpenFreeMap. As posições dos veículos no mapa em direto provêm de dados públicos em tempo real dos operadores de transporte e não contêm dados pessoais. A app não contém medição de audiências, publicidade nem componentes de rastreamento de terceiros.

As suas definições (por exemplo, se tem um Deutschlandticket, a velocidade a pé, percursos sem degraus), os destinos que escolheu recentemente (no máximo oito) e os locais marcados como casa ou trabalho são guardados pela app no seu dispositivo. Só nos são transmitidos na medida em que uma pesquisa ou a ligação para bahn.de os inclua (ver abaixo), ou se os sincronizar com uma conta. O fundamento jurídico é o § 25, n.º 2, ponto 2, da TDDDG.

Se descarregar a app da App Store, a Apple trata dados nesse contexto sob a sua própria responsabilidade.

Quando procura uma ligação na app, esta envia a partida, o destino e a hora para o nosso próprio servidor de planeamento de viagens (MOTIS) na Hetzner, através do endereço transit-eu.com/motis/: uma paragem, um endereço introduzido ou coordenadas e, com «A minha localização», a sua posição (ver abaixo). Se tiver definido uma velocidade a pé ou percursos sem degraus, isso também é enviado. Na pesquisa de locais, os caracteres introduzidos são enviados para esse servidor, juntamente com o centro da área do mapa apresentada, para que os resultados próximos apareçam primeiro. O mesmo serviço é utilizado pelo planeador de viagens do ÖPNV Atlas (atlas.byepast.de).

Como todos os pedidos, também estes passam pela Cloudflare (ver acima). O nosso servidor web não os guarda nos ficheiros de registo, e o planeador de viagens não mantém registos de pedidos individuais. As respostas da pesquisa de locais, que são iguais para todos, são guardadas pelo nosso servidor web até um dia, arquivadas pelo pedido (texto de pesquisa e centro do mapa) e não pelo seu endereço IP. Para se proteger contra sobrecargas, o servidor conta brevemente, na memória de trabalho, quantos pedidos chegam de um endereço IP.

O fundamento jurídico é o art. 6.º, n.º 1, alínea b), do RGPD: tratamos estes dados para executar a pesquisa que solicitou.

A app só utiliza a sua localização se o tiver permitido no iOS e apenas enquanto utiliza a app. Usa-a para mostrar a sua posição no mapa e as paragens perto de si; ambas as coisas são calculadas no seu dispositivo. A sua localização só nos é transmitida como partida de uma ligação: quando escolhe um destino, a ligação parte de «A minha localização» enquanto não escolher outra partida, e a app envia a sua posição sob a forma de coordenadas para o planeador de viagens (ver acima). A app não a guarda entre os destinos escolhidos recentemente. Se o mapa seguir a sua posição, a área do mapa para a qual a app carrega veículos e cujo centro é enviado com a pesquisa de locais fica perto de si.

O fundamento jurídico para o acesso é o seu consentimento no pedido do iOS (§ 25, n.º 1, da TDDDG, art. 6.º, n.º 1, alínea a), do RGPD). Pode retirá-lo a qualquer momento nas definições do iOS; a app continua a funcionar sem localização.

Na app pode criar uma conta para sincronizar definições, locais guardados e ligações guardadas entre os seus dispositivos. A app funciona igualmente sem conta. Para a conta, guardamos na nossa base de dados na Hetzner, na Alemanha:

• o seu endereço de e-mail e, se a Apple ou a Google o transmitirem, o seu nome; no caso da Google, também o endereço da sua imagem de perfil
• no início de sessão com a Apple ou a Google, o identificador que o fornecedor lhe atribui e o último token de início de sessão transmitido (ID token), com os dados nele contidos
• as suas sessões: uma chave de acesso que expira, o mais tardar, 90 dias após a última utilização, sem endereço IP e sem informações sobre o dispositivo ou o navegador
• as entradas sincronizadas: definições, locais guardados (por exemplo, casa e trabalho) e ligações guardadas, sempre apenas na versão mais recente

Se iniciar sessão por e-mail, enviamos-lhe um código de início de sessão; não existe palavra-passe. O código é válido durante dez minutos e é guardado apenas como valor hash. O e-mail passa pelo nosso próprio gateway de correio e é enviado através do Google Workspace da Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda, na qualidade de subcontratante. Para travar abusos, guardamos durante uma hora, na memória de trabalho, quando foi enviado um código para um endereço, e limitamos brevemente os pedidos por endereço IP. O nosso servidor web não guarda os pedidos relativos à conta nos ficheiros de registo.

Se iniciar sessão com a Apple ou a Google, a Apple ou a Google são, por si próprias, responsáveis pelo tratamento relativo a esse início de sessão; delas recebemos apenas os dados contidos no token de início de sessão. Mais informações: www.apple.com/legal/privacy, policies.google.com/privacy

O fundamento jurídico é o art. 6.º, n.º 1, alínea b), do RGPD. Guardamos os dados até eliminar a conta, o que pode fazer a qualquer momento na app. Nesse caso, eliminamos de imediato a conta com todas as sessões, associações e entradas sincronizadas e, se tiver iniciado sessão com a Apple, revogamos simultaneamente o nosso acesso junto da Apple. Se a Apple nos comunicar que eliminou a sua Conta Apple, eliminamos igualmente a conta; se aí retirar a autorização à app, terminamos as suas sessões.

Quando inicia uma viagem na app, esta mostra o seu progresso como atividade em direto no ecrã bloqueado. Para que se mantenha atualizada mesmo com a app fechada, a app comunica ao nosso serviço push dois dados: o token push que o iOS atribui a esta atividade em direto e o identificador da ligação, a partir do qual o nosso planeador de viagens a reconstitui com paragens e horários. Não é necessária uma conta, e não associamos estes dados a nenhuma conta.

O serviço push consulta a ligação junto do planeador de viagens a cada minuto e envia as alterações, por exemplo de plataforma, atraso ou supressão, para o seu dispositivo através do Apple Push Notification Service. A Apple recebe, nesse contexto, o token push e o conteúdo apresentado: linha, paragem, plataforma e horários. O serviço guarda ambos os dados apenas na memória de trabalho, até a viagem chegar ao destino ou a atividade em direto terminar, no máximo cerca de um dia. O nosso servidor web não guarda estas comunicações nos ficheiros de registo. Outras notificações são programadas pela app no seu dispositivo, sem nos transmitir nada para esse efeito.

O fundamento jurídico é o art. 6.º, n.º 1, alínea b), do RGPD: tratamos estes dados para manter atualizada a atividade em direto que iniciou. Na UE, o serviço push é disponibilizado pela Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. Não é possível excluir uma transferência para a Apple Inc. nos EUA; a Apple está certificada ao abrigo do EU-US Data Privacy Framework. Mais informações: www.apple.com/legal/privacy

Nas ligações para as quais o Deutschlandticket não é suficiente, a app mostra um link «Bilhetes em bahn.de». Este passa pelo nosso endereço transit-eu.com/go/bahn, que reencaminha de imediato para a pesquisa em bahn.de. São transmitidos a paragem onde embarca primeiro, aquela onde desembarca por último, a hora de partida prevista e se indicou na app que possui um Deutschlandticket. Como qualquer acesso, o reencaminhamento aparece nos ficheiros de registo do nosso servidor (ver acima); para além disso, não o analisamos, e não estão envolvidos programas de afiliados nem rastreamento.

O fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD; o nosso interesse legítimo reside em transmitir a sua pesquisa à bahn.de sem que tenha de a introduzir novamente. O responsável pelo tratamento em bahn.de é a Deutsche Bahn.

Se nos escrever, por exemplo para [email protected] ou [email protected], tratamos os seus dados para responder ao seu pedido. O fundamento jurídico é o art. 6.º, n.º 1, alínea b), do RGPD, se o seu pedido tiver em vista um contrato, e, caso contrário, o art. 6.º, n.º 1, alínea f), do RGPD.

As nossas caixas de correio eletrónico são geridas pela Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda (Google Workspace), na qualidade de subcontratante. Não é possível excluir uma transferência para a Google LLC nos EUA; a Google está certificada ao abrigo do EU-US Data Privacy Framework. Eliminamos a sua mensagem assim que o assunto estiver resolvido, salvo se a isso se opuserem obrigações legais de conservação.

O Transit EU publica informações provenientes de fontes publicamente acessíveis: os horários dos operadores de transporte, anúncios de contratos públicos (TED e portais nacionais de contratação pública) e dados da Wikidata. Estas podem conter dados pessoais, como os nomes de gerentes e de membros do conselho de supervisão de empresas de transporte, ou o nome de um empresário em nome individual a quem tenha sido adjudicado um contrato público.

Tratamos estes dados para apresentar de forma transparente o mercado dos transportes públicos na Europa. O fundamento jurídico é o art. 6.º, n.º 1, alínea f), do RGPD; o interesse legítimo reside na transparência dos contratos públicos e dos serviços de transporte. As fontes estão indicadas em Fontes de dados; a cada nova atualização dos dados, as informações são atualizadas ou removidas. Pode opor-se a este tratamento a qualquer momento (ver abaixo).

Além de nós, apenas os prestadores de serviços acima referidos recebem dados pessoais: Hetzner (alojamento, planeador de viagens e base de dados), Cloudflare (distribuição e proteção), OpenFreeMap (mapas), Google (e-mail, também para os códigos de início de sessão) e Apple (serviço push para as atividades em direto). Se iniciar sessão com a Apple ou a Google, estas são, por si próprias, responsáveis pelo início de sessão. As transferências para países fora da UE dizem respeito à Cloudflare, à Google e à Apple nos EUA e baseiam-se na decisão de adequação relativa ao EU-US Data Privacy Framework (art. 45.º do RGPD). Não vendemos dados nem os transmitimos para fins publicitários.

Assistem-lhe os seguintes direitos:

• acesso aos dados que tratamos sobre si (art. 15.º do RGPD)
• retificação de dados inexatos (art. 16.º do RGPD)
• apagamento (art. 17.º do RGPD) e limitação do tratamento (art. 18.º do RGPD)
• portabilidade dos dados (art. 20.º do RGPD)
• oposição ao tratamento (art. 21.º do RGPD, ver abaixo)

Basta enviar uma mensagem para [email protected]. Pode ainda apresentar reclamação junto de uma autoridade de controlo da proteção de dados (art. 77.º do RGPD). A autoridade competente para nós é:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Na medida em que tratemos dados com base no art. 6.º, n.º 1, alínea f), do RGPD, pode opor-se a esse tratamento a qualquer momento, por motivos relacionados com a sua situação particular (art. 21.º do RGPD). Nesse caso, deixaremos de tratar os dados, a menos que possamos demonstrar razões imperiosas e legítimas que prevaleçam sobre os seus interesses, ou que o tratamento se destine à declaração, ao exercício ou à defesa de um direito num processo judicial.

Basta uma mensagem informal para [email protected].

Não tem qualquer obrigação de nos fornecer dados pessoais; contudo, sem os dados de ligação transmitidos por razões técnicas, não é possível utilizar o sítio web nem a app, e para uma conta precisamos do seu endereço de e-mail. Não há lugar a decisões automatizadas, incluindo a definição de perfis (art. 22.º do RGPD).