Privacybeleid
Dit beleid legt uit wat routess verzamelt, waarom, wie het verder ziet, en hoe je het laat verwijderen. Het geldt voor routess.com, routess.be, de app op app.routess.com, de docs, en de publieke API. Het is geschreven om gelezen te worden, niet om doorstaan te worden.
Wie we zijn
routess wordt beheerd door Robbe Verhelst, Buisstraat 45, 2890 Sint-Amands, België (ondernemingsnummer BE 1024.261.897). Wij zijn de verwerkingsverantwoordelijke voor alles wat hieronder staat.
Voor alles rond privacy, inclusief inzage, correctie of verwijdering, mail naar [email protected]. We antwoorden binnen 30 dagen. Stuur geen persoonsgegevens via de publieke GitHub-issues.
Wat we verzamelen en waarom
We verzamelen wat de dienst nodig heeft om te werken, plus productstatistieken om te weten wat we hierna moeten bouwen. Niets wordt verkocht, en er gaat niets naar adverteerders.
| Wat | Waarom | Rechtsgrond |
|---|---|---|
| Naam en e-mailadres, via Google-login of e-mailregistratie | Om je account aan te maken en te beveiligen, en om transactionele mail te sturen zoals verificatie en wachtwoordherstel | Uitvoering van een overeenkomst (art. 6(1)(b)) |
| Je handle, en je avatar als je die hebt | Het publieke adres van je profiel. Gegenereerd uit je weergavenaam bij registratie, nooit uit je e-mailadres | Uitvoering van een overeenkomst (art. 6(1)(b)) |
| Wachtwoord-hash, als je met e-mail registreerde in plaats van met Google | Om je te authenticeren. We bewaren het wachtwoord zelf nooit | Uitvoering van een overeenkomst (art. 6(1)(b)) |
| Je routes en collecties: waypoints, geometrie, naam, beschrijving, activiteit, tags, zichtbaarheid | Dat is het product. We bewaren ze zodat je erop terug kan komen | Uitvoering van een overeenkomst (art. 6(1)(b)) |
| Sessiegegevens: een identifier, je IP-adres, je browser-user-agent, en het tijdstip van laatste activiteit | Om je ingelogd te houden, je actieve toestellen te tonen, en jou en ons verdachte logins te laten opmerken | Uitvoering van een overeenkomst en gerechtvaardigd belang bij beveiliging (art. 6(1)(b) en (f)) |
| Productstatistieken, hieronder in detail beschreven | Om te begrijpen welke functies gebruikt worden en waar mensen vastlopen | Gerechtvaardigd belang (art. 6(1)(f)), met een opt-out in de instellingen |
| Browserfoutmeldingen en prestatiemetingen | Om crashes en trage pagina's te vinden en op te lossen | Gerechtvaardigd belang (art. 6(1)(f)) |
| Je bij benadering locatie, alleen als je de browser toestemming geeft | Om de kaart op jou te centreren en een gegenereerde lus te laten starten waar je bent. Het wordt op dat moment gebruikt en niet op onze servers bewaard | Toestemming, gegeven via je browser (art. 6(1)(a)) |
| Enkel als je wekelijkse routesuggesties aanzet: je e-mailadres, het gebied en de activiteit van je laatst bewaarde route, wanneer je je aanmeldde, en welke routes we je al stuurden | Om je één keer per week een paar publieke routes te mailen in de buurt van waar je laatst plande. Staat uit tot je het aanzet | Toestemming (art. 6(1)(a)). Trek ze op elk moment in via Instellingen of met de afmeldlink in elke mail |
Productstatistieken
We gebruiken Umami, dat we zelf draaien op onze eigen infrastructuur. Geen enkele derde partij krijgt deze data en ze wordt nooit voor advertenties gebruikt. Umami plaatst geen cookies en maakt geen vingerafdruk van je toestel.
Naast paginaweergaves registreert de app benoemde productgebeurtenissen, zoals een route aanmaken, een GPX-bestand importeren, of een deel-link kopiëren. Elke gebeurtenis draagt context mee: de activiteit, afstand en het aantal waypoints van een route, de zichtbaarheid die je koos, je taal, thema en eenheden, en de app-versie. Zoektermen worden enkel als lengte-categorie geregistreerd, nooit als de tekst die je typte.
Als je ingelogd bent, dragen gebeurtenissen ook een pseudonieme identifier: een gezouten SHA-256-hash van je account-ID. Het zout staat enkel op onze server en gaat nooit naar je browser, dus niemand kan de hash omkeren door onze JavaScript te lezen. Het laat ons wel iemands traject over sessies en toestellen heen volgen, en daarom behandelen we het als persoonsgegeven in plaats van het anoniem te noemen.
Elke gebeurtenis draagt ook een willekeurige toestel-identifier die de app in de lokale opslag van je browser bewaart. Die wordt op je toestel aangemaakt, zegt niets over jou, en laat ons zien of iemand die zonder account een route plande terugkwam of zich later registreerde. Gebeurtenissen van ingelogde gebruikers dragen beide identifiers, dus zodra je op een toestel inlogt, worden de eerdere gebeurtenissen van dat toestel aan je account gekoppeld en ermee gewist. Uitloggen of statistieken uitzetten verwijdert de toestel-identifier; de volgende keer wordt een nieuwe willekeurige gemaakt.
Je kan dit volledig uitzetten. Ga naar Instellingen, dan Privacy & delen, en zet gebruiksstatistieken uit. Daarna wordt er niets meer verstuurd, ook geen paginaweergaves. We respecteren automatisch ook de Do Not Track-instelling van je browser. Dit is je recht van bezwaar onder art. 21, en je hoeft geen reden te geven.
Foutrapportage
Als er iets stukgaat in de app, stuurt je browser ons een crashrapport zodat we het kunnen oplossen. We gebruiken de Sentry-SDK gericht op een GlitchTip die we zelf draaien. Geen enkele derde partij krijgt deze rapporten.
Een rapport bevat de fout, een stack trace, de pagina waar je was, recente handelingen, en de vorm van wat je aan het bewerken was: hoeveel waypoints, hoe ver, welke modus. Het bevat niet je routecoördinaten, je e-mailadres of je naam. Authenticatietokens worden uit URLs gestript voor verzending, en rapporten dragen dezelfde pseudonieme hash als de statistieken, niet je account-ID.
Wie je data verder ontvangt
Het grootste deel van onze stack draait op onze eigen infrastructuur. Dit zijn de externe diensten die noodzakelijk iets zien, en wat ze zien:
| Dienst | Wat ze ontvangen | Waar |
|---|---|---|
| Mapbox | Kaarttegels, plaatszoeken, adres-opzoeking en hoogtedata worden rechtstreeks door je browser opgevraagd, dus Mapbox ziet je IP-adres, het stuk kaart waar je naar kijkt, wat je in de zoekbalk typt, en de coördinaten van de route die je tekent | Verenigde Staten |
| Als je met Google inlogt, bevestigt Google je identiteit en geeft ons je naam, e-mailadres en profielfoto. Google Fonts levert ook de lettertypes van de app, dus Google ziet je IP-adres bij het laden | Verenigde Staten | |
| Resend | Je e-mailadres en de inhoud van de mail die we je sturen: transactionele mail, en de wekelijkse routemail als je je aanmeldde | Verenigde Staten |
| Umami, GlitchTip, Valhalla, kaarttegelserver | Statistieken, foutrapporten en routeberekening draaien allemaal op onze eigen servers. Er verlaat niets onze infrastructuur | Europese Unie |
Mapbox, Google en Resend zitten in de Verenigde Staten. Doorgiftes naar hen steunen op het adequaatheidsbesluit van de Europese Commissie voor het EU-US Data Privacy Framework, of op modelcontractbepalingen waar dat niet geldt. Je kan bij ons een kopie van de waarborgen opvragen.
Toegang door beheerders
We vertellen dit liever rechtuit dan je iets anders te laten aannemen. routess heeft een adminpaneel, en het kleine aantal mensen met adminrechten kan daarmee:
- Alle accounts doorzoeken op naam of e-mailadres
- Je actieve sessies zien, inclusief de IP-adressen en browsers waarmee je inlogde
- Elke route openen, ook je privéroutes, met alle waypoints en geometrie
- Accounts en routes verwijderen of herstellen, en een toestel uitloggen
Dit bestaat voor support, moderatie en misbruikafhandeling, niet om rond te neuzen. Elke adminhandeling gaat naar een auditlog met wie wat deed, bij welk record, en wanneer. Privé betekent privé voor andere gebruikers; het betekent niet versleuteld tegen ons. Als dat voor jou uitmaakt, geeft zelf hosten je een kopie waarvan enkel jij de sleutels hebt.
Wat publiek wordt als je deelt
Elke route begint privé. Je kiest per route of je die niet-vermeld of publiek maakt. Niets verandert vanzelf van zichtbaarheid.
- Privé: enkel jij en beheerders zien ze.
- Niet-vermeld: iedereen met de link ziet ze. Ze staat nergens in een lijst en we vragen zoekmachines ze niet te indexeren.
- Publiek: ze verschijnt in Ontdek, op je profiel, en zoekmachines mogen ze indexeren. De geometrie, naam, beschrijving, tags en je handle, weergavenaam en avatar zijn voor iedereen zichtbaar.
Een publieke route verraadt waar je geweest bent. Als een route aan je voordeur begint, doet de kaart dat ook. Overweeg om het begin en einde van routes die je publiceert in te korten. Wie jij volgt, en wie jou volgt, staat op je profiel. Een route terugzetten naar privé haalt ze van de publieke pagina's, maar zoekmachines kunnen nog even een kopie in cache houden, en dat ligt buiten onze controle.
Hoe lang we dingen bewaren
| Wat | Hoe lang |
|---|---|
| Je account, routes en collecties | Tot je je account verwijdert. Verwijdering heeft een respijtperiode van 30 dagen waarin je je kan bedenken door opnieuw in te loggen; daarna wordt alles definitief gewist |
| Sessies, inclusief IP-adres en user agent | 7 dagen na de laatste activiteit. Verlopen sessies worden elk uur automatisch opgeruimd |
| E-mailverificatielinks | 24 uur |
| Wachtwoordherstel-links | 30 minuten |
| Productstatistieken | 14 maanden. Je gebeurtenissen worden ook gewist wanneer je account definitief verwijderd wordt |
| Browserfoutrapporten | 90 dagen |
| Wekelijkse routemail: aanmeldtijdstip en de routes die we al stuurden | Tot je je afmeldt of je account verwijdert, wat eerst komt |
| Auditlogs van beheerders | 12 maanden |
| Berekende routes in cache | 7 dagen, of 30 dagen voor ondergrondanalyse. Die zijn gekoppeld aan coördinaten, niet aan je account |
Je rechten
Onder de AVG heb je recht op inzage in je gegevens, correctie, wissing, beperking van of bezwaar tegen het gebruik ervan, en op overdraagbaarheid. Waar we op toestemming steunen, kan je die op elk moment intrekken zonder dat dat het verleden aantast.
Twee daarvan kan je meteen zelf uitoefenen, zonder het ons te vragen. In je profielinstellingen zit een volledige export van je account als JSON plus een GPX-bestand per route, en een knop om je account te verwijderen. Voor al de rest, mail [email protected].
Als je vindt dat we dit verkeerd aanpakken, kan je klacht indienen bij je lokale toezichthouder. In België is dat de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, gegevensbeschermingsautoriteit.be. We horen het liever eerst van jou, maar dat is jouw keuze.
Kinderen
routess richt zich niet op kinderen onder 16. We verzamelen niet bewust hun gegevens. Denk je dat een kind een account heeft aangemaakt, mail ons en we verwijderen het.
Geautomatiseerde besluitvorming
We nemen geen geautomatiseerde beslissingen met rechtsgevolgen voor jou, en we profileren je niet voor advertenties. Routegeneratie en zoekvolgorde zijn algoritmes op kaartdata, geen oordelen over jou.
Als je routess zelf host
routess is open source en je kan je eigen instantie draaien. Doe je dat, dan geldt dit beleid daar niet: jij bent de verwerkingsverantwoordelijke voor de data op jouw servers, en de rechten van jouw gebruikers zijn de jouwe om na te komen. Er zit geen phone-home in de code. Statistieken en foutrapportage staan uit tenzij je ze configureert, en de kaart- en e-mailproviders kies je zelf.
Wijzigingen aan dit beleid
Als we dit beleid wijzigen, passen we de datum bovenaan aan. Raakt een wijziging wezenlijk aan wat we verzamelen of wie het ontvangt, dan laten we accounthouders dat per e-mail weten voor ze ingaat. De geschiedenis van deze pagina staat in de publieke git-repository, dus je kan precies zien wat wanneer veranderde.