Juridische informatie en privacy

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke

Miguel Ángel Martín Martínez

NIF / CIF

75932512J

Adres

Calle Párroco José Rodríguez, 33 · 18014 Granada (Spanje)

E-mail

[email protected]

2. Functionaris voor gegevensbescherming (DPO)

Voor elke vraag over de verwerking van je persoonsgegevens kun je contact opnemen met onze functionaris voor gegevensbescherming:

Contactpersoon

Miguel Ángel Martín Martínez

E-mail DPO

[email protected]

3. Voor welke doeleinden verwerken we je gegevens?

1. Beheer van je gebruikersaccount. Aanmaken, onderhouden en authenticeren van je account, inclusief e-mailadres, wachtwoord (gehasht), naam, stad, avatar, banner en biografie.
2. Vastleggen en publiceren van routes. Opslag van de routes die je vastlegt, met hun gps-coördinaten, bijbehorende foto’s, beschrijving, moeilijkheidsgraad en duur, evenals de reacties, vind-ik-leuks en opgeslagen items die je genereert.
3. Locatie op de achtergrond tijdens het vastleggen. Terwijl je een activiteit hebt lopen in de mobiele app, en alleen zolang die loopt, registreren we je positie, ook als het scherm uit staat of je in een andere app bent. Zonder dit zou de track elke keer worden onderbroken als je je telefoon in je zak stopt, en dat is precies wat je doet tijdens het wandelen of fietsen.
   Het verzamelen begint wanneer je op starten tikt en stopt wanneer je op beëindigen tikt: buiten die periode word je niet gevolgd. Zolang het actief is, zie je een permanente systeemmelding. Je kunt de locatietoestemming op elk moment intrekken in de instellingen van je apparaat; de app blijft werken, maar kan dan geen routes vastleggen.
4. Voorstel voor je stad. Als je ons toestemming geeft, zetten we je geschatte positie om in de naam van een stad om dat veld in je profiel in te vullen en de mensen en clubs die we je laten zien op nabijheid te kunnen sorteren. We bewaren alleen de naam (bijvoorbeeld “Granada”): de coördinaten van die zoekopdracht bewaren we niet.
5. Sociale functies. Beheer van volgrelaties, directe berichten tussen gebruikers, berichten in groepen, groepsevenementen en andere sociale interacties binnen de Site.
6. Bewijs van de melding bij evenementen. Wanneer je een evenement publiceert of je ervoor aanmeldt, bewaren we dat je de bijbehorende melding hebt geaccepteerd: je gebruiker, het evenement, de datum en de versie van de melding. Dit dient om te kunnen aantonen dat de deelnemers zijn geïnformeerd als er een klacht zou komen. Als je je account verwijdert, is dit niet langer gekoppeld aan je persoonsgegevens, net als de rest van je activiteit.
7. Beheer van de winkel en bestellingen. Afhandeling van bestellingen van merchandise (T-shirts, broeken, sokken en accessoires): gekozen maten, verzendadres en betaalgegevens die via Stripe worden verwerkt. Je kaartnummer komt nooit op onze servers terecht.
8. Premium-abonnement en credits. Beheer van het maand-/jaarabonnement via Stripe en van de inwisselbare credits (abonnement, inwisseling, vervaldatum).
9. Pushmeldingen en transactionele e-mail. Verzenden van meldingen over de activiteit van je account (likes, volgers, berichten, evenementen) via Firebase Cloud Messaging (push) en een eigen SMTP-server (e-mail).
10. Routes naar je sporthorloge sturen. Als je de functie “Naar mijn Garmin sturen” gebruikt, genereren we een parcoursbestand met de coördinaten van de route en registreren we welke route je hebt verstuurd en wanneer, zodat we je kunnen waarschuwen als je hem twee keer verstuurt. Als je daarnaast een horloge koppelt, bewaren we het model van het apparaat, de datum van koppeling en van de laatste toegang, en een versleutelde code (niet omkeerbaar) waarmee het horloge zich bij ons kan identificeren. We hebben geen toegang tot gegevens van je Garmin-account of tot de activiteiten die je met het horloge vastlegt.
11. Leaderboards en ranglijsten. Opstellen van openbare ranglijsten (per maand, per jaar, aller tijden) op basis van de vastgelegde kilometers en activiteiten.
12. Fraudepreventie en beveiliging. Opsporen van misbruik, identiteitsfraude of onbevoegd gebruik, waarbij alleen de strikt noodzakelijke logs worden bewaard.
13. Gebruikersondersteuning. Afhandeling van vragen, verzoeken om rechten uit te oefenen en communicatie die je met onze supportdienst begint.

4. Wat is de rechtsgrond?

• Uitvoering van de overeenkomst voor het beheer van het account, het publiceren van routes en de werking van het sociale netwerk en de winkel.
• Uitdrukkelijke toestemming voor het versturen van pushmeldingen en marketingcommunicatie, en voor elke verwerking van bijzondere categorieën van gegevens.
• Wettelijke verplichting voor het bewaren van fiscale en boekhoudkundige gegevens (4 jaar) en om te voldoen aan verzoeken van bevoegde autoriteiten.
• Gerechtvaardigd belang voor fraudepreventie, de beveiliging van het platform, het opstellen van ranglijsten, het bewijs van de aanvaarding van de melding bij evenementen en productverbeteringen, steeds na een afweging tegen jouw rechten.

5. Ontvangers en verwerkers

Om je de dienst te kunnen verlenen, delen we bepaalde gegevens met de volgende verwerkers, die allemaal gebonden zijn aan verplichtingen inzake vertrouwelijkheid en beveiliging:

• Stripe Payments Europe Ltd. (Stripe). Verwerking van kaartbetalingen en abonnementen. De belangrijkste servers staan in de Verenigde Staten; de doorgiften zijn gebaseerd op de standaardcontractbepalingen van de Europese Commissie (SCC) en het EU-VS-kader voor gegevensbescherming (DPF).
• Google Firebase (Cloud Messaging). Dienst voor het versturen van pushmeldingen. Gevestigd in de Verenigde Staten, met doorgiften op basis van SCC en DPF.
• OpenStreetMap Foundation (dienst Nominatim). Stichting zonder winstoogmerk die plaatsnamen omzet in coördinaten en omgekeerd. Ze ontvangt de tekst die je typt wanneer je je stad zoekt en, als je de optie gebruikt om je locatie te detecteren, een positie die is afgerond op ongeveer een kilometer: nooit je exacte positie. Ze ontvangt je identiteit, je e-mailadres of andere gegevens van je account niet, zodat ze die zoekopdracht niet aan jou kan koppelen.
• MapTiler. Levert de kaartbeelden. Je apparaat communiceert niet rechtstreeks met deze aanbieder: de verzoeken lopen via onze server, zodat MapTiler ziet welke delen van de kaart worden opgevraagd, maar niet wie ze opvraagt.
• Minio (eigen hosting). Opslag van de foto’s die je bij je routes uploadt. De gegevens blijven op servers in de Europese Unie die onder onze controle staan.

Bezoekersmeting. Om te weten hoeveel mensen de site bezoeken en welke pagina’s ze bekijken, gebruiken we Umami, gehost op onze eigen servers in de Europese Unie. Het is geen externe verwerker: de gegevens verlaten onze infrastructuur niet en worden met niemand gedeeld. Het gebruikt geen cookies en slaat niets op je apparaat op, bewaart je IP-adres niet —het leidt er alleen het land uit af— en koppelt het surfgedrag niet aan je account en stelt geen profielen op. Wat er precies wordt geregistreerd, staat in het cookiebeleid.

We verkopen je persoonsgegevens niet en geven ze niet door aan derden voor hun eigen commerciële doeleinden.

Over Garmin-horloges. Garmin is geen verwerker van ons: we sturen Garmin geen gegevens van jou en we hebben geen toegang tot je Garmin-account. Er zijn twee nuances die je goed kunt weten. Ten eerste: wanneer je een route deelt met de app Garmin Connect op je telefoon, is het je eigen besturingssysteem dat het bestand aan die app overhandigt, en vanaf dat moment valt de verwerking onder het privacybeleid van Garmin. Ten tweede: als je het horloge koppelt via onze app voor Connect IQ, heeft het horloge geen eigen internetverbinding: de verzoeken aan onze servers lopen via de app Garmin Connect op je telefoon, die als netwerkgateway fungeert.

6. Internationale doorgiften

Sommige van de genoemde verwerkers (Stripe, Firebase) kunnen gegevens verwerken op servers buiten de Europese Economische Ruimte. Die doorgiften vinden plaats met alle waarborgen die de AVG vereist:

• Standaardcontractbepalingen (SCC) van de Europese Commissie, vastgesteld in 2021.
• EU-VS-kader voor gegevensbescherming (EU-US DPF) en de uitbreiding ervan naar het Verenigd Koninkrijk / Zwitserland, wanneer de aanbieder daarbij is aangesloten.
• Aanvullende technische en organisatorische maatregelen (versleuteling tijdens transport met TLS 1.3, versleuteling in rust, minimalisering, toegangscontrole).

Je kunt meer informatie over de toegepaste mechanismen opvragen door te mailen naar [email protected].

7. Bewaartermijn

We hanteren de volgende criteria:

• Actief account: zolang de relatie met jou als geregistreerde gebruiker duurt.
• Na opzegging: de wissing is onmiddellijk en onomkeerbaar: je e-mailadres, gebruikersnaam, profielfoto, omslagfoto, stad, wachtwoord en meldingstoken worden verwijderd, en de koppeling met Google of Apple wordt verbroken. Je routes en kilometers worden geanonimiseerd bewaard en toegeschreven aan een “verwijderde gebruiker”, om de historische ranglijsten en de activiteit van de clubs waaraan je hebt deelgenomen niet te wijzigen. Er is geen herstelperiode: zodra de opzegging is bevestigd, kan het account niet meer worden hersteld.
• In de back-ups: reeds gewiste gegevens kunnen maximaal 6 maanden in versleutelde kopieën blijven staan, geblokkeerd en zonder ander gebruik dan herstel na een ramp, totdat die kopieën verlopen.
• Fiscale en boekhoudkundige gegevens (facturen, bonnen): 4 jaar vanaf de datum van uitgifte, overeenkomstig de Spaanse handels- en belastingwetgeving.
• Gekoppelde horloges: de koppelingsgegevens (model, datums en versleutelde code) worden verwijderd zodra je het horloge intrekt via “Mijn horloges” in de app, en in elk geval bij het opheffen van het account. Je kunt het op elk moment en zonder opgave van redenen intrekken; het horloge verliest dan onmiddellijk de toegang.
• Beveiligingslogs en logs voor fraudepreventie: de minimaal noodzakelijke tijd voor het doel waarvoor ze zijn verzameld en, in voorkomend geval, de toepasselijke wettelijke termijn.

8. Je rechten

Als betrokkene kun je op elk moment de rechten uitoefenen die de AVG je geeft:

• Inzage: weten welke gegevens we over je verwerken.
• Rectificatie: onjuiste of onvolledige gegevens corrigeren.
• Wissing (“recht om vergeten te worden”): verzoeken om verwijdering van je gegevens.
• Bezwaar: bezwaar maken tegen verwerkingen die op een gerechtvaardigd belang zijn gebaseerd.
• Beperking: verzoeken dat we de verwerking in bepaalde gevallen beperken.
• Overdraagbaarheid: je gegevens ontvangen in een gestructureerd en gangbaar formaat (JSON).

Je kunt al deze rechten uitoefenen via het formulier Mijn rechten uitoefenen, of per e-mail aan [email protected], met een kopie van een identiteitsbewijs als bijlage.

9. Recht om een klacht in te dienen bij de toezichthoudende autoriteit

Als je van mening bent dat de verwerking van je persoonsgegevens in strijd is met de toepasselijke regelgeving, kun je een klacht indienen bij de Spaanse toezichthouder voor gegevensbescherming, de Agencia Española de Protección de Datos (AEPD):

• Website: www.aepd.es
• Adres: C/ Jorge Juan, 6 — 28001 Madrid (Spanje)
• Telefoon: 901 100 099 / 91 266 35 17

10. Wijzigingen in dit beleid

We kunnen dit beleid wijzigen om het aan te passen aan nieuwe wetgeving of rechtspraak. Bij wezenlijke wijzigingen laten we dat weten via een banner in de app en vragen we, in voorkomend geval, opnieuw om je toestemming. De op elk moment geldende versie is altijd op deze pagina beschikbaar.