Privacyverklaring

1. Wie verantwoordelijk is

Verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG) is Alessandro Amaro, eenmanszaak „CurveGuard”, Kazmairstraße 39, 80339 München, Duitsland.

Vragen over privacy: dsb@curveguard.de.

2. Het belangrijkste in het kort

• CurveGuard verwerkt je locatie, je ritten en de bewegingsgegevens van je telefoon, voor zover de functie die je gebruikt ze nodig heeft: navigatie, registratie en valdetectie.
• Account, database, routes, adreszoeken, kaart, weer en portofoon draaien op onze eigen servers in Duitsland (netcup, datacenter Neurenberg). Offline kaartpakketten en versleutelde back-ups liggen daarnaast in de opslag van Hetzner (datacenter Falkenstein, Duitsland). Alle servers en opslag staan in Duitsland. Uitzonderingen die je zelf kiest: de aanmelding met Apple of Google en aankopen via App Store, Google Play of Paddle (onderdeel 6). App Store en Google Play heb je sowieso nodig om de app te downloaden. Meldingen bereiken je telefoon via de meldingsdienst van Apple resp. Google, als je ze toestaat (4.17).
• Geen tracking, geen analysetools in de app, geen verkoop van gegevens; reclame alleen als je „Nieuws en aanbiedingen” inschakelt, en op curveguard.de hooguit een telling zonder cookies, als we die inschakelen (4.16). Op onze websites zijn er geen cookies die toestemming nodig hebben, en daarom geen cookievraag.
• Sms’jes versturen we alleen in een noodgeval: als de app een mogelijke val heeft gemeld en het aftellen niet is afgebroken, na een ingedrukte noodknop en als je niet aankomt zoals aangekondigd — en alleen naar noodcontacten die na onze e-mail op onze bevestigingspagina met hun eigen mobiele nummer hebben toegezegd, en alleen naar nummers uit de EU, de EER, Zwitserland en het Verenigd Koninkrijk. Er zijn geen test-, reclame-, informatie- of alles-veilig-sms’jes.
• De valdetectie werkt alleen met je uitdrukkelijke toestemming, omdat de melding van een mogelijke val iets over je gezondheid kan verraden — ze omvat de waarschuwing die de app na een niet afgebroken aftelling automatisch activeert: de melding aan onze server, de sms aan je contacten en hun noodpagina (4.3, onderdeel 5). Het noodlogboek verwijderen we 30 dagen na het alarm. De noodknop en de aankomstwacht kun je ook zonder deze toestemming gebruiken.
• Anderen zien van jou alleen wat je vrijgeeft. „Tonen op de rijderskaart”, „Zichtbaar in de omgeving” en „Bochten nauwkeuriger maken” staan in het begin uit; op de rijderskaart zien rijders die je niet kent je alleen tot op ongeveer 500 m nauwkeurig; je naam zien anderen alleen zoals je kiest onder „Wie je ziet”, bij een gezamenlijke groepsrit zien de deelnemers je weergavenaam (4.6); een gedeelde link („Link delen”) toont altijd alleen je positie — bestemming, snelheid, rijrichting, hoogte, batterijniveau en al het andere alleen als je het inschakelt, ook in een noodgeval. Los daarvan toont de noodpagina in een noodgeval alleen aan je bevestigde noodcontacten daarnaast of je beweegt, en het batterijniveau van je telefoon (4.5). Van een val horen alleen je noodcontacten, nooit een crew of groep.
• Je kunt een kopie van je gegevens aanvragen en je account zelf verwijderen — in de app en op curveguard.de. Privacyrechten hangen nooit af van Premium.

3. Je rechten

Je hebt recht op inzage (art. 15 AVG), rectificatie (art. 16), wissing (art. 17), beperking van de verwerking (art. 18) en overdraagbaarheid van gegevens (art. 20).

Kopie van je gegevens: in de app onder Garage › Account en app › Je gegevens. Je krijgt een ZIP met alle gegevens die we over je account hebben (JSON, ritten daarnaast als GPX), met een overzicht waarvoor we ze verwerken, aan wie ze gaan, waar ze vandaan komen en hoe lang we ze bewaren. De link sturen we per e-mail; hij is 7 dagen geldig en downloadt het bestand alleen als je daarbij inlogt met je account; vóór het aanvragen vraagt de app nog een keer naar je wachtwoord resp. je aanmelding. In de app kan dat één keer per dag. Inzage volgens art. 15 kun je op elk moment ook per e-mail verlangen; daarvoor geldt deze grens niet, en we antwoorden binnen een maand (art. 12 lid 3). Is een verzoek bijzonder omvangrijk, dan kunnen we de termijn met maximaal twee maanden verlengen; dat vertellen we je dan binnen de eerste maand, met de reden. Zodat niemand andermans gegevens krijgt, sturen we inzage alleen naar het e-mailadres van je account of na een aanmelding. Wat alleen op je telefoon staat (instellingen van de valdetectie en de aankomstwacht, de geschiedenis van je laatste valalarmen, je laatst bekende positie, foutlogboeken), ontstaat door onze app; daarvoor zijn we verantwoordelijk, ook al hebben we er zelf geen toegang toe. De instellingen en foutlogboeken zie je in de app (Garage › Noodgeval; foutlogboeken onder Account en app › Feedback › Foutlogboek bekijken) en je kunt een foutlogboek van daaruit delen. Welke opslagplaatsen dat zijn, staat in onderdeel 8.

Recht van bezwaar (art. 21 AVG): waar we gegevens verwerken op grond van gerechtvaardigde belangen (art. 6 lid 1 sub f), kun je om redenen die verband houden met je specifieke situatie op elk moment bezwaar maken.

Een toestemming kun je op elk moment met werking voor de toekomst intrekken (art. 7 lid 3), even eenvoudig als je die hebt gegeven — telkens op de plek in de app die bij de toestemming is genoemd. De rechtmatigheid van de verwerking tot de intrekking blijft onverlet.

Je kunt een klacht indienen bij een toezichthoudende autoriteit, bijvoorbeeld bij het Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, of bij de toezichthouder van je woonplaats.

Schrijf ons op datenschutz@curveguard.de. Account verwijderen: in de app onder Garage › Account en app › Account verwijderen of zonder app op curveguard.de/konto/loeschen.

4. Wat we verwerken, waarvoor en op welke grondslag

De rechtsgrondslagen zijn artikelen van de AVG. „Overeenkomst” betekent art. 6 lid 1 sub b: we hebben de gegevens nodig om je de functie te leveren die je uitdrukkelijk gebruikt — dat controleren we per functie, niet voor de app als geheel. Gegevens voor de verbetering van de app verwerken we nooit op deze grondslag, maar alleen met je toestemming (onderdelen 4.9 en 4.10). Hoe lang we wat bewaren, staat verzameld in onderdeel 7.

4.1 Account en aanmelding

Met account: e-mailadres, wachtwoord (alleen als niet omkeerbare hash), weergavenaam, taal. Bij de eerste start bevestig je afzonderlijk dat je minstens 18 bent en dat je de gebruiksvoorwaarden aanvaardt; van deze verklaring neem je kennis. We bewaren de tijdstippen en de versie van de gebruiksvoorwaarden. Bij elke aanmelding — ook als gast — bewaart onze aanmelddienst een sessie met tijdstip, IP-adres en browser- resp. apparaatkenmerk (4.15). Zonder account krijg je een gastaccount met een technisch kenmerk, zonder naam en e-mailadres; je ritten staan toch op de server.

Aanmelding met Apple of Google: pas als je op de knop van de aanbieder tikt, opent zijn aanmelding; daarvoor gaat er niets naar Apple of Google. Apple stuurt ons een kenmerk en, afhankelijk van je keuze, je e-mailadres of een door Apple aangemaakt doorstuuradres, desgewenst je naam. Google stuurt een kenmerk, je e-mailadres en desgewenst je naam. Wat de aanbieder zelf bij de aanmelding verwerkt, valt onder zijn verantwoordelijkheid (onderdeel 6). De aanmelding met e-mail en wachtwoord staat er gelijkwaardig naast.

Voor de grenzen van het gratis gebruik (bijvoorbeeld één volledig geanalyseerde rit, één motor en één privézone) controleert de server wat bij je account hoort.

Grondslag: overeenkomst. Het bewijs van leeftijdsbevestiging en aanvaarding van de gebruiksvoorwaarden leggen we vast om te kunnen aantonen welke versie gold (art. 6 lid 1 sub f).

4.2 Locatie, ritten en bewegingsgegevens

Locatie: tijdens een rit (navigatie, registratie, positie in een noodgeval), terwijl je een route plant, je locatie op de kaart laat tonen of naar plaatsen in je buurt zoekt (bijvoorbeeld tankstations op rijtijd). Buiten deze situaties leest de app je locatie niet, ook niet bij een geopende app. Bij een donker scherm alleen zolang er een rit loopt; je telefoon geeft dat aan (iPhone: blauwe aanduiding, Android: blijvende melding „Rit loopt”). Op Android vraagt de app pas om „Altijd toestaan” als je voor het eerst wegrijdt, omdat anders registratie en valdetectie bij een donker scherm stoppen.

Bewegingssensoren (versnelling, draaisnelheid): tot 50 metingen per seconde voor hellingshoek en valdetectie, alleen tijdens een rit. Deze ruwe waarden blijven op je telefoon. Naar onze server gaat bij het opslaan van een rit één waarde per seconde: positie, hoogte, snelheid, hellingshoek, dwars- en verticale versnelling, rijrichting.

Opgeslagen ritten: spoor, tijd, snelheid, hoogte, hellingshoek, pauzes, gereden bochten en trajecten, foto’s die je toevoegt. Daaruit ontstaan analyse, hoogtemeters, terugblik (week, maand, jaar) en gebieden — op onze server, alleen voor jou, zonder vergelijking met anderen.

Privézones: gebieden die je vastlegt. Posities daarin worden vóór het opslaan weggegooid, niet pas achteraf verwijderd.

Routes, adreszoeken, kaart, weer en plaatsen onderweg: start, bestemming, routepunten, zoektekst, kaartuitsnede, je positie voor rijtijden (bijvoorbeeld naar tankstations of voor een omweg) en de punten voor het weer gaan naar onze eigen server. Die rekent en antwoordt; het verzoek zelf bewaren we niet. Een geplande route staat eerst alleen op je telefoon en gaat pas naar de server als je hem gebruikt. Opgeslagen routes blijven tot je ze verwijdert of je account verwijdert — met en zonder ster. Kaarten en routeringsgegevens voor gebieden zonder netwerk download je van onze server; zonder netwerk rekent de app op de telefoon, dan verlaat niets het apparaat.

Kaarten zonder netwerk: een gebied wordt ook verder gedownload als de app op de achtergrond staat; op Android toont een melding „Kaarten offline” de voortgang. Daarbij gaan alleen de opvragingen van de kaartpakketten naar onze server, zoals op de voorgrond.

Bochten en trajecten: de soort van een bocht (haarspeldbocht, krap, middel, vlot), trajecten en hun sterren berekenen we uit OpenStreetMap, zonder gegevens van gebruikers. In de cockpit vergelijkt de app tijdens de rit op je telefoon je snelheid met de snelheid die uit de vorm van de bocht volgt, en markeert de volgende bocht als je duidelijk sneller bent. Deze vergelijking draait alleen op je telefoon; daarvoor wordt niets opgeslagen of verzonden. Rijd je zonder route, dan vraagt de app onderweg onze eigen server naar het wegverloop voor je, zodat ze de volgende bochten kent: daarvoor gaan je positie, je rijrichting en de laatste meters van je spoor naar de server. Die rekent en antwoordt; het verzoek bewaren we niet. Een snelheid bij een bocht toont de app nergens; de markering is geen aanbeveling voor een snelheid.

Gesproken meldingen maakt de spraakuitvoer van je telefoon; we verzenden daarvoor niets.

Grondslag: overeenkomst, telkens voor de functie die je gebruikt.

4.3 Valdetectie, noodoproep en aankomstwacht

Valdetectie: tijdens de rit zoekt ze op je telefoon in het bewegingspatroon naar een mogelijke val. Meldt ze een mogelijke val, dan loopt er een luide aftelling. Breek je niet af, dan waarschuwen we je noodcontacten. De melding van een mogelijke val kan iets over je gezondheid verraden. Daarom schakel je de valdetectie alleen in met een eigen, uitdrukkelijke toestemming (art. 9 lid 2 sub a); die staat los van alle andere verklaringen. De toestemming beschrijft uitdrukkelijk dat de app de waarschuwing automatisch activeert (onderdeel 5), en omvat elke verwerking tijdens het alarm waarin de vermelding „mogelijke val” voorkomt: de melding aan onze server, de sms aan je bevestigde noodcontacten en hun noodpagina. Zonder toestemming blijft alleen de valdetectie uit — noodknop en aankomstwacht werken toch.

Intrekking: intrekken kun je in de Garage › Noodgeval door de valdetectie uit te schakelen. Ze is dan meteen uit, en er ontstaat geen nieuwe valmelding meer. De intrekking werkt alleen voor de toekomst; wat tot dan is gebeurd, blijft rechtmatig. Een alarm dat op dat moment al loopt, beëindigt de intrekking niet vanzelf — daarvoor trek je het in zoals elk alarm (de noodpagina toont dan „Alles veilig”). Trek je het niet in, dan baseren we een verdere waarschuwing over dit alarm (de ene herinnering en de noodpagina) niet meer op de toestemming, maar alleen daarop dat die nodig is ter bescherming van je leven of je gezondheid, zolang je na een mogelijke val niet zelf kunt beslissen (art. 9 lid 2 sub c, art. 6 lid 1 sub d). Het noodlogboek bewaren we daarna alleen volgens de regels hieronder.

Noodknop: druk je erop, dan loopt dezelfde aftelling; daarna waarschuwen we je noodcontacten.

Aankomstwacht: geef je een aankomsttijd op en meld je je tot dan niet, dan stuurt de server een sms met je laatste positie naar je contacten. De termijn bewaakt de server, niet je telefoon — hij merkt die dus ook op als je telefoon uit staat of geen netwerk heeft. Je telefoon herinnert je vooraf aan de termijn. Het inschakelen van de aankomstwacht hoort bij Premium; een ingeschakelde wacht gaat altijd af, ook als je abonnement inmiddels is geëindigd. Gewaarschuwd worden dan alle contacten die bij het inschakelen bevestigd waren en nog zijn ingevoerd (met Premium tot vijf).

Wat de sms bevat (tekst in de terugkoppeling, bijlage B): je naam, de soort alarm (mogelijke val, noodknop ingedrukt of niet aangekomen zoals aangekondigd), het tijdstip, je laatste positie met het tijdstip waarop die is gemeten, een link naar de noodpagina, je terugbelnummer alleen als je het hebt vrijgegeven, de zin „Bij twijfel: 112” en de persoonlijke link waarmee het contact zich kan afmelden. De sms staat in het Duits en daaronder in het Engels; is je app op Engels ingesteld, alleen in het Engels. De taal die je contact bij zijn bevestiging kiest, slaan we op; de verzending richt zich daar vandaag nog niet naar. Bevestigt niemand op de noodpagina „Ik regel dit”, dan stuurt de server na een vaste tijd één keer een herinnering over dezelfde noodsituatie. Andere sms’jes zijn er niet, ook geen alles-veiligbericht per sms: trek je een alarm in, dan toont de noodpagina „Alles veilig”, en de app biedt je aan je contacten zelf op de hoogte te brengen.

Noodlogboek: bij elk alarm dat onze server bereikt, slaan we op wanneer en hoe het is geactiveerd (mogelijke val, noodknop of aankomstwacht), het verloop op de server (verzending, herinnering, intrekking), je positie met het tijdstip van de meting, welke contacten zijn gewaarschuwd (naam en nummer, zoals je ze hebt ingevoerd), of het netwerk de sms heeft aangenomen en wie „Ik regel dit” heeft getikt.

Omdat het logboek kan laten zien dat de app een mogelijke val heeft gemeld, kan het conclusies over je gezondheid mogelijk maken. We behandelen het daarom als een gezondheidsgegeven — ook het logboek van een noodknop of een aankomstwacht. Na het alarm hebben we het nodig om vragen van jou, je noodcontacten of hulpverleners te beantwoorden en om rechtsvorderingen in te stellen, uit te oefenen of te onderbouwen (art. 9 lid 2 sub f, art. 6 lid 1 sub f).

Het logboek wordt 30 dagen na het alarm automatisch verwijderd (de verwijderronde draait elk uur). Is er dan nog een sms onderweg, dan verwijderen we het zodra de aflevering ervan is afgerond. Verwijder je je account eerder, dan verwijderen we meteen de koppeling met je account, de plaats en de namen en nummers van de contacten; de rest vervalt met dezelfde termijn. Alleen als er binnen deze 30 dagen een concreet rechtsgeschil of een verzoek van een overheidsinstantie over een alarm binnenkomt, bewaren we het logboek ervan tot de afronding daarvan en vertellen we je dat. „Afgeleverd” betekent alleen dat het netwerk de sms heeft aangenomen — niet dat die is gelezen.

De sms’jes verstuurt seven communications (seven.io, Kiel) in onze opdracht; inhoud en nummer verwerkt seven.io in Duitsland resp. de EU. De netwerkaanbieders die een sms tot de telefoon van het contact brengen, handelen als zelfstandige telecommunicatieaanbieders. seven.io bewaart de inhoud van de sms 7 dagen in zijn verzendjournaal.

Op de alarmpagina toont de app de straat waarop je je bevindt, zodat je die aan de telefoon kunt noemen. Daarvoor gaat je positie naar onze eigen server; het verzoek bewaren we niet.

Wat CurveGuard niet kan: de app herkent bewegingspatronen, geen verwondingen, en kan zich vergissen. Ze heeft geen verbinding met de meldkamer, en je contacten reageren misschien niet. Ze vervangt geen noodoproep. Bij twijfel: 112.

Grondslag: voor de noodknop en de aankomstwacht de overeenkomst met jou — je hebt de functie ingesteld, ze waarschuwt je contacten (art. 6 lid 1 sub b). Voor de valdetectie en alles wat de vermelding „mogelijke val” bevat, je uitdrukkelijke toestemming (art. 9 lid 2 sub a, samen met art. 6 lid 1 sub a). Voor het noodlogboek na het alarm de instelling, uitoefening of onderbouwing van rechtsvorderingen (art. 9 lid 2 sub f, samen met art. 6 lid 1 sub f). De bescherming van vitale belangen (art. 9 lid 2 sub c, art. 6 lid 1 sub d) gebruiken we alleen in het ene geval dat onder „Intrekking” is beschreven.

4.4 Noodcontacten

Je voert naam (vrijwillig), mobiel nummer en e-mailadres in van de mensen die in een noodgeval gewaarschuwd moeten worden. Kies je ze uit het adresboek, dan leest de app het adresboek alleen op de telefoon; overgenomen wordt alleen het gekozen contact.

Pas de bevestiging van je contact maakt hem tot noodcontact. Vóór het opslaan controleren we alleen of het e-mailadres correct is geschreven, of het domein ervan e-mails aanneemt en dat het niet het adres van je eigen account is; een test-e-mail sturen we daarvoor niet. Na het opslaan stuurt onze server je contact een e-mail met een persoonlijke link naar onze bevestigingspagina (t.curveguard.de/n/…). De link kennen alleen onze server en je contact — jij ziet hem niet. Hij is 7 dagen geldig; je kunt de e-mail hooguit drie keer per dag opnieuw laten versturen, en elke nieuwe link maakt de oude ongeldig. Zodat je contact weet dat de e-mail van ons komt en in de spammap kan belanden, biedt de app je een bericht aan hem aan — zonder link. Op de pagina hoort je contact wie hem heeft ingevoerd en waar we zijn gegevens vandaan hebben (van jou), waarvoor ze dienen, wat hij in een noodgeval krijgt, wat het niet is, in welke taal de nood-sms komt (hij kiest Duits of Engels) en welke rechten hij heeft. Toezeggen kan hij alleen door zijn eigen mobiele nummer in te tikken; dat moet overeenkomen met het nummer dat jij hebt ingevoerd. Na vijf verkeerde pogingen is de link geblokkeerd. Pas na de toezegging krijgt het contact in een noodgeval een sms; tot dan toont de app „E-mail verstuurd · wacht”. Voor de bevestiging sturen we geen sms.

Er blijft een restrisico, en we noemen het openlijk: voer je in plaats van het adres van je contact een ander adres in waartoe je zelf toegang hebt, dan kun je de toezegging zelf geven, omdat je het nummer toch kent. Een bevestiging laat daarom niet zeker zien dat je contact zelf heeft ingestemd. Praat met je contact voordat je hem invoert.

Een bevestigd contact verwijder of vervang je alleen nadat je dat met de schermvergrendeling van je telefoon (Face ID, vingerafdruk of code) hebt bevestigd. Zonder schermvergrendeling werkt het verwijderen pas na 24 uur; tot dan blijft het contact actief. In beide gevallen krijg je een melding en een e-mail, zodat je merkt als jij het niet was; staat er daarna geen bevestigd contact meer, dan waarschuwt de app je duidelijk.

Weigert een contact, dan verwijderen we zijn nummer en zijn e-mailadres meteen; bij jou blijft alleen de naam met „wil geen noodcontact zijn”. Zegt hij niet toe, dan verwijderen we nummer en adres 30 dagen na het invoeren of na het verlopen van de laatste link, afhankelijk van wat later is. Na de toezegging blijft het adres opgeslagen zolang het contact is ingevoerd. Na de toezegging kan hij zich op elk moment terugtrekken — via zijn persoonlijke link, die geldt zolang hij is ingevoerd, en via de link in elke nood-sms. Als noodcontact kun je alleen nummers uit de EU, de EER, Zwitserland en het Verenigd Koninkrijk invoeren; voor Zwitserland en het Verenigd Koninkrijk heeft de Europese Commissie een passend beschermingsniveau vastgesteld. Is je contact op dat moment in het buitenland, dan bezorgt het netwerk daar de sms (roaming); daarop hebben we geen invloed.

Grondslag, ook voor de e-mail aan je contact: jouw en ons gerechtvaardigd belang bij je veiligheid (art. 6 lid 1 sub f). De toezegging van je contact is geen toestemming, maar zijn bereidheid om in een noodgeval te worden aangesproken; weigert hij of trekt hij zich terug, dan respecteren we dat zonder uitzondering. Wat je contact van ons te weten komt, staat in onderdeel 10.

4.5 Link delen en noodpagina

Deel je een rit met „Link delen”, dan ziet iedereen die de link heeft op t.curveguard.de je positie. Al het andere deel je alleen als je het inschakelt onder Zichtbaarheid › Wat de link toont: voornaam, bestemming met aankomsttijd, snelheid, rijrichting, hoogte, batterijniveau, het gereden traject en je terugbelnummer; in het begin staat alles uit. Dat geldt ook in een noodgeval — er is geen uitzondering die een gegeven zonder jouw schakelaar toont. De link is willekeurig en niet te raden. Hij geldt zolang je rit loopt, en eindigt met het einde ervan, als je hem beëindigt, maar uiterlijk 2 uur na de laatst verzonden positie. Wie de link heeft, kan hem doorgeven — deel hem alleen met mensen die je vertrouwt. De pagina plaatst geen cookies, laadt niets van externe servers en geeft bij het verlaten geen adres door; opvragingen zijn per adres beperkt.

Noodpagina: los daarvan krijgen alleen je bevestigde noodcontacten in een noodgeval via de link in hun sms een eigen pagina. Die toont de soort alarm, je positie met meettijd, straat en ligging in woorden, of je beweegt („Beweegt” resp. „Staat stil sinds 14:31”) en het batterijniveau van je telefoon — nooit je snelheid. Ze blijft 24 uur bereikbaar; trek je het alarm in, dan toont ze „Alles veilig” en geen positie meer. Grondslag: voor „Link delen” de overeenkomst (art. 6 lid 1 sub b); voor de noodpagina zoals in 4.3.

4.6 Samen rijden en community

• Crews: lidmaatschap, berichten, foto’s. Elk lid kan uitnodigen met een link die 7 dagen geldig is. Rijd je „met je crew” weg — dat kies je bij elke rit opnieuw —, dan zien de andere leden je positie zolang je rit loopt, niet ervoor en niet erna. Wie pas later lid wordt van de crew, ziet een lopende rit niet. Een val melden we alleen aan je noodcontacten, nooit aan de crew.
• Groepsritten: deelname, berichten, positie tijdens de gezamenlijke rit, groepswachter (waarschuwt de deelnemers als je achterblijft of je niet meldt — zonder opgave van een reden; een val melden we ook hier alleen aan je noodcontacten). In een groepsrit zien de deelnemers je weergavenaam ook als je „Naam verbergen buiten gezamenlijke groepsritten” hebt gekozen — anders zou niemand weten wie achterblijft. Dat vertelt de app je vóór het deelnemen; een bijnaam als weergavenaam volstaat.
• Startplaats en verzamelpunt: geef je voor een groepsrit vrijwillig een startplaats op, dan slaan we alleen het middelpunt van de gekozen plaats (afgerond op ongeveer 100 m) en de naam ervan op, om je rijtijd naar het verzamelpunt te berekenen en de organisator een verzamelpunt voor te stellen — nooit de locatie van je apparaat. De plaats zie alleen jij; de anderen zien uitsluitend je voornaam en je rijtijd. Er wordt gerekend op onze eigen server.
• Portofoon: terwijl het kanaal open is, gaat je stem via onze eigen server naar de andere deelnemers; dat geldt ook als het netwerk een directe verbinding verhindert. We nemen niets op. Luisteren kan elke deelnemer; spreken kun je met Premium.
• Rijderskaart: schakel je „Tonen op de rijderskaart” in (in het begin uit), dan zien andere rijders die de schakelaar ook hebben ingeschakeld tijdens je rit je positie op de kaart, je motor als symbool en je naam zoals je kiest onder „Wie je ziet” — en jij hen. Rijders die je niet kent, zien je positie alleen op een vast raster van ongeveer 500 m (het midden van het rastervak, zonder rijrichting en snelheid); precies zien je alleen je crew en de mederijders van dezelfde lopende groepsrit. De vrijgave geldt voor één rit: de statuskaart toont of ze aan staat, en schakelt haar met één tik uit; uiterlijk na 12 uur eindigt ze. Getoond wordt alleen een positie die jonger is dan 5 minuten; eindigt je rit, dan verdwijn je van de kaart. Hoe vaak een account de kaart kan opvragen en hoe groot de uitsnede mag zijn, is beperkt, zodat niemand de kaart systematisch uitleest. Wie je blokkeert, ziet jou niet, en jij ziet hem niet.
• Omgeving: bijdragen in de lokale chat zijn zichtbaar voor gebruikers in hetzelfde gebied; je plaats wordt daarvoor op de server grof afgerond (ongeveer 3 × 5 km). Schakel je „Zichtbaar in de omgeving” in, dan zien anderen dat er een rijder op grove afstand onderweg is — nooit je precieze positie.
• Directe berichten, contactverzoeken, blokkeren; profiel met weergavenaam en je motor als symbool op de kaart. Of je naam openbaar, alleen voor contacten of helemaal niet verschijnt, kies je onder Garage › Wie je ziet: „Openbaar” toont hem aan alle gebruikers, „Contacten” alleen aan mensen van wie het contactverzoek is aangenomen en aan de leden van je crews, „Naam verbergen buiten gezamenlijke groepsritten” aan niemand — behalve aan de deelnemers van een gezamenlijke groepsrit waarin je meerijdt. Van je profiel zien anderen alleen naam, motor en sinds wanneer je erbij bent; of je Premium hebt, je rol en gegevens uit de moderatie zien ze nooit.
• Foto’s: opnamegegevens (EXIF, ook de opnamelocatie) worden vóór het uploaden verwijderd. Uit je mediabibliotheek ziet de app alleen de afbeelding die je kiest.
• Motortreffpunten: je kunt een openbaar toegankelijke plaats als treffpunt melden, met een vrijwillige toelichting. Het verschijnt voor iedereen zonder je naam, zodra de moderatie het bevestigt of drie verschillende rijders dezelfde plaats melden. Je kenmerk hangt alleen aan de melding zolang die openstaat. Exploitanten van een plaats kunnen via „Melden” een correctie of verwijdering verlangen; tot de beslissing is het treffpunt verborgen. Een treffpunt is geen aanbeveling en geen partnerschap.

Er is geen leesbevestiging en geen typindicator. Grondslag: overeenkomst; voor motortreffpunten ons gerechtvaardigd belang bij een kaart met treffpunten voor iedereen (art. 6 lid 1 sub f).

4.7 Gevaren melden

Meld je een gevaar (bijvoorbeeld steenslag, oliespoor, afsluiting), dan slaan we de plaats van het gevaar, de rijrichting, het tijdstip en het land op — zonder je kenmerk en zonder je snelheid. In plaats daarvan staat daar een dagkenmerk: een waarde die wordt gevormd uit je account en een willekeurige sleutel van de dag. De sleutel verwijderen we na 48 uur; daarna kunnen we het kenmerk niet meer via de sleutel aan een account koppelen. Dat iemand een melding via plaats, tijd en andere gegevens toch aan een persoon koppelt, kunnen we niet helemaal uitsluiten; daarom behandelen we ook oudere meldingen als persoonsgegevens. Afzonderlijke meldingen bewaren we 90 dagen, om valse meldingen en misbruik te herkennen en na te gaan hoe vaak een plek is bevestigd of betwist. Je eigen positie bij het melden verwijderen we na 48 uur. Andere rijders zien de plek zonder je naam en zonder kenmerk, met het tijdstip van de melding en hoe vaak die is bevestigd.

Verkeerscontroles en flitsers zijn er voor gebruikers niet.

Grondslag: gerechtvaardigd belang bij de veiligheid van alle rijders (art. 6 lid 1 sub f).

4.8 Garage

Motoren (merk, model, bouwjaar, kleur, kilometerstand, onderhoudsboekje), privézones, zichtbaarheid, instellingen van de noodfuncties. Grondslag: overeenkomst.

4.9 Bochten nauwkeuriger maken (alleen met toestemming)

Onze bochten komen uit OpenStreetMap. Om ze nauwkeuriger te maken, kunnen stukken van je opgeslagen ritten door dezelfde bocht worden meegenomen: lijn, hellingshoek en snelheid. Dat gebeurt alleen als je „Bochten nauwkeuriger maken” inschakelt (Garage › Wie je ziet › Zichtbaarheid); in het begin staat de schakelaar uit. De app legt vooraf uit wat er precies wordt meegenomen. Ze biedt je dat op drie plekken aan: bij de eerste start, na je eerste opgeslagen rit en in het blad van een bocht. Ze vraagt hooguit één keer per 90 dagen, nooit tijdens een rit en nooit na een alarm; met „Niet meer vragen” houdt ze er helemaal mee op. Of en wanneer de app heeft gevraagd en je „Niet meer vragen” staan alleen op deze telefoon; na een nieuwe installatie vraagt ze daarom hooguit nog één keer. Heb je „Bochten nauwkeuriger maken” uitgeschakeld, dan vraagt ze niet opnieuw.

Je bijdragen slaan we op zonder naam en zonder accountkenmerk, onder een bijdragesleutel die alleen voor dit doel bestaat. De koppeling account ↔ bijdragesleutel staat in een aparte tabel, die alleen dient om nieuwe bijdragen aan je sleutel te koppelen en alle te verwijderen. Zo verwijderen we al je bijdragen als je uitschakelt, als je je account verwijdert — ook via de website en ook als je telefoon kwijt is — en berekenen we de kengetallen opnieuw. Omdat bijdragen via de sleutel terug te vinden zijn, zijn ze gepseudonimiseerd, niet anoniem. Kengetallen per bocht ontstaan pas vanaf vijf verschillende bijdragesleutels; dat is een bescherming, geen bewijs van anonimiteit. De eerste en laatste 500 m van elke rit en je privézones blijven buiten beschouwing. Een bijdrage telt hooguit 24 maanden mee in de kengetallen en wordt daarna verwijderd. Getoond wordt alleen de verbeterde bocht — nooit snelheid of hellingshoek van andere rijders, geen ranglijst, geen vergelijking. Afzonderlijke bijdragen geven we niet vrij, tenzij we daartoe wettelijk verplicht zijn. De verbeterde bochtlijnen maken deel uit van onze bochtencatalogus en vallen, net als die, onder de Open Database License (zie Licenties). Ze bevatten alleen de gemiddelde lijn van een bocht – geen afzonderlijke bijdragen, geen snelheid, geen hellingshoek en geen bijdragesleutel.

Grondslag: je toestemming (art. 6 lid 1 sub a).

4.10 Metingen delen (alleen met toestemming)

Na een rit met alarm — ook na een vals alarm — vraagt de app (nooit onderweg) of je de meting wilt delen, zodat de valdetectie beter wordt. Alleen als je instemt, gaan kenmerken van de meting naar ons: sterkte en duur van de versnelling en draaiing, het patroon ervan, het snelheidsniveau, het besturingssysteem, je instelling (Normaal of Offroad), de uitkomst (val, geen val, weet niet) en het kwartaal. Niet daarbij: de ruwe curve van de sensoren, positie, tijdstip, telefoonmodel, app-versie, je account, je contacten. De overdracht gebeurt willekeurig 1 tot 7 dagen later; je IP-adres wordt daarbij niet opgeslagen.

Omdat de uitkomst „val” iets over je gezondheid kan verraden, omvat je toestemming uitdrukkelijk ook dit gegeven (art. 9 lid 2 sub a). Gedeelde metingen slaan we, zoals in 4.9, op onder een bijdragesleutel zonder accountkenmerk; onder Garage › Noodgeval › „Gedeelde metingen · Verwijderen”, bij de intrekking en bij het verwijderen van je account (ook via de website) verwijderen we ze allemaal. Of je wordt gevraagd, stel je daar ook in. We bewaren een meting hooguit 3 jaar, omdat vallen zeldzaam zijn en de detectie over meerdere rijseizoenen en nieuwe generaties telefoons moet worden getoetst; één keer per jaar controleren we of oudere metingen daarvoor nog nodig zijn, en anders verwijderen we ze eerder.

Grondslag: je toestemming per meting (art. 6 lid 1 sub a, art. 9 lid 2 sub a).

4.11 Premium en aankopen

In de app koop je via de App Store van Apple resp. via Google Play. Betaalgegevens ontvangen we niet. Apple resp. Google deelt ons product, transactiekenmerk, looptijd en latere wijzigingen (verlenging, opzegging, terugbetaling) mee; daarmee geven we Premium vrij.

Voor webabonnementen gebruiken we Paddle als verkoper en als zelfstandige verwerkingsverantwoordelijke voor de afhandeling van de aankoop. We verstrekken accountkenmerk, e-mailadres en productinformatie en ontvangen aankoopgerelateerde kenmerken, status, looptijd en land. De noodzakelijke verwerking dient de afhandeling van de aankoop en de levering van het abonnement. Voor doorgiften aan Paddle in het Verenigd Koninkrijk bestaat een adequaatheidsbesluit van de Europese Commissie. Verdere verwerking door Paddle, met inbegrip van mogelijke verwerking in derde landen, beschrijft de privacyverklaring van Paddle. Contractpartij voor de aankoop is Paddle.com Market Ltd., 30 Old Bailey, London EC4M 7AU, Verenigd Koninkrijk (Companies House nr. 08172165). Verklaar je op curveguard.de/widerrufen de herroeping, dan slaan we naam, e-mailadres, contract, bestelnummer en het tijdstip van ontvangst op, zetten we de terugbetaling bij Paddle in gang en sturen we je meteen een ontvangstbevestiging (art. 6 lid 1 sub c, § 356a BGB). Na de eerste aankoop op het web sturen we je het overzicht van diensten in de versie bij het afsluiten per e-mail; in de app slaat de telefoon het bij de aankoop op.

Actiecodes en vouchers: wissel je een code in de App Store of bij Google Play in, dan deelt de store ons met de aankoop mee welke aanbieding geldt. Bij een actie op het web geeft onze server de korting van de actie door aan Paddle; welke actie je webabonnement had, staat bij Paddle en in je aankoopbewijs. Daarmee geven we Premium vrij, voorkomen we dat een code meermaals wordt ingewisseld en rekenen we de actie af (art. 6 lid 1 sub b en f). Een eigen lijst van ingewisselde codes houden we niet bij; aankoopbewijzen bewaren we volgens de wettelijke termijnen.

Geldt een aanbieding alleen voor nieuwe abonnees (bijvoorbeeld een introductieprijs), dan controleert bij Apple de App Store dat; bij Google Play en Paddle controleert onze server of je account al eens Premium heeft gehad. Daarvoor gebruikt hij alleen wat sowieso bij je account hoort: de einddatum van je laatste Premium (blijft bij het account tot je het verwijdert) en je aankoopbewijzen (termijnen in onderdeel 7); een eigen aankoopgeschiedenis voor acties leggen we niet aan. De prijs toont je altijd de store resp. Paddle. Loopt er voor je account een webabonnement, dan weigert onze server een extra aankoop in de App Store of bij Google Play voordat de store opent, zodat je niet dubbel betaalt.

Eindigt je abonnement, dan worden daardoor geen gegevens meteen verwijderd. Voor foto’s blijven de vermelde bewaartermijnen gelden (onderdeel 7).

Grondslag: overeenkomst; bewaring van de aankoopbewijzen volgens fiscale verplichtingen (art. 6 lid 1 sub c, § 147 AO) — daarvoor alleen de gegevens die een bewijsstuk nodig heeft.

4.12 Opzeggen op de website en account verwijderen

Via „Contracten hier opzeggen” kun je zonder in te loggen opzeggen. We slaan je e-mailadres op, de soort contract, of je gewoon of buitengewoon opzegt, de gewenste datum, een reden als je die opgeeft, het tijdstip en wanneer de bevestiging naar je is gegaan; de bevestiging sturen we je per e-mail. Een abonnement bij Apple of Google kunnen we niet zelf beëindigen; daar laten we je de weg zien en bevestigen we geen opzegging die we niet kunnen uitvoeren. Grondslag: wettelijke verplichting (§ 312k BGB, art. 6 lid 1 sub c) en overeenkomst.

Verwijder je je account en heb je bij ons een webabonnement, dan eindigt dat in dezelfde stap meteen; de betaalde resterende looptijd betalen we niet terug. Een abonnement via Apple of Google loopt door tot je het daar opzegt; de app vertelt je dat vóór het verwijderen.

4.13 Meldingen en moderatie

Je kunt inhoud, profielen en treffpunten melden. We slaan de melding op, de gemelde inhoud, onze beslissing met motivering, een bezwaar en de berichten aan de betrokkenen. Aan de transparantiedatabank van de Europese Commissie verstrekken we niets: als micro-onderneming zijn we daarvan uitgezonderd (art. 19 lid 1 van Verordening (EU) 2022/2065); op verzoek stellen we de gegevens volgens art. 24 lid 3 beschikbaar. Wijst een melding op een strafbaar feit dat het leven of de veiligheid van een mens bedreigt, dan melden we dat aan de bevoegde opsporingsinstantie (art. 18; in Duitsland het Bundeskriminalamt). Bij een aanwijzing voor afbeeldingen van seksueel misbruik wordt de inhoud meteen voor iedereen verborgen, ook voor de afzender; die ziet alleen een plaatshouder met de stand van de beoordeling, geen voorbeeldafbeelding en geen kopie. De inhoud ligt afgeschermd, alleen toegankelijk voor de beoordeling en een melding aan de autoriteit, zonder voorbeeldafbeeldingen en zonder verdere kopieën, en wordt na afronding verwijderd, voor zover een autoriteit hem niet nodig heeft om bewijs veilig te stellen. Verwijder je je account, dan verwijderen we bij een melding van jou de koppeling met je account, maar verwijderen we de melding niet, zodat die niet door het verwijderen van een account kan verdwijnen. Omdat een melding vrije tekst en tijdstippen kan bevatten, is die daarna niet zeker anoniem; we behandelen haar verder als persoonsgegeven en verwijderen haar met haar termijn (onderdeel 7). Loopt er een bezwaar, dan bewaren we alleen de stukken van die zaak langer, niet je overige gegevens. Contactpunt volgens de digitaledienstenverordening: dsa@curveguard.de.

Grondslag: wettelijke verplichtingen uit art. 16, 17, 18 en 24 van Verordening (EU) 2022/2065 (art. 6 lid 1 sub c) en de bescherming van de gebruikers (sub f); bezwaar tegen een beslissing bieden we minstens 6 maanden lang aan.

4.14 E-mails, verzoeken en feedback

We sturen e-mails ter bevestiging van je adres, over het wachtwoord, over het verwijderen van je account zonder app, over de kopie van je gegevens, als een noodcontact wordt verwijderd of voor verwijdering wordt gemarkeerd (4.4), en over aankoop, overzicht van diensten, opzegging en herroeping op het web (4.11, 4.12); nieuws en aanbiedingen alleen als je die inschakelt (4.16). Een gastaccount heeft geen e-mailadres; dat we het verwijderen, kondigt alleen de app aan. Schrijf je ons, dan verwerken we je bericht en e-mailadres om te antwoorden. „Feedback geven” opent je mailprogramma met je bericht, de gekozen soort (fout, wens, idee, compliment) en gegevens over telefoonmodel, besturingssysteem, app-versie en taal, die je vóór het verzenden ziet. Een foutlogboek voegt de app alleen toe als je daarvoor zelf het vinkje zet; vooraf kun je het bekijken. In het foutlogboek schrijft de app alleen gegevens uit een vaste lijst (positieve lijst): tijdstip op de minuut, scherm resp. functie, soort en code van een fout, app-toestand (bijvoorbeeld „Rit loopt”, „geen netwerk”), versie van app en besturingssysteem. Posities, ritten, contacten, telefoonnummers, namen, inhoud van berichten, adressen met zoektekst en gegevens over vallen en alarmen schrijft ze er helemaal niet in; niets daarvan hoeft vóór het toevoegen te worden weggefilterd. Na een onverwacht afsluiten van de app biedt ze je dat bij de volgende start één keer aan.

Aanmaken, bewaren en verzenden zijn gescheiden. Het foutlogboek ontstaat op je telefoon en is beperkt tot een vaste grootte — wordt een sessie te lang, dan blijven het begin en het einde ervan, het midden valt weg. Zonder „Diagnose opnemen” (Garage › Account en app › Foutlogboeken, in het begin uit) blijft het hooguit 24 uur: zo lang heeft de app de kortstondige toestand nodig om je na een onverwacht afsluiten bij de volgende start het melden aan te bieden en bij feedback een logboek te kunnen toevoegen; ouder materiaal verwijdert ze bij de start en bij elk nieuw logboek. Alleen als je „Diagnose opnemen” inschakelt, blijven de laatste 20 logboeken tot 30 dagen bewaard voor een latere foutzoektocht; schakel je het uit, dan verwijdert de app meteen alles wat ouder is dan 24 uur. Het logboek verlaat de telefoon alleen als je het zelf deelt of bij feedback het vinkje zet; vooraf zie je wat erin staat, en ook het bericht zelf toont je alle gegevens voordat je het verstuurt. Een verzoek behandelen we ook zonder logboek.

Grondslag: voor je verzoek de overeenkomst resp. ons gerechtvaardigd belang om het te beantwoorden (art. 6 lid 1 sub b resp. f). Voor het aanmaken van het kortstondige logboek op je telefoon ons gerechtvaardigd belang om fouten in registratie, valdetectie en noodoproep te herkennen en te verhelpen (art. 6 lid 1 sub f) — het bevat alleen gegevens uit de vaste lijst hierboven en blijft op de telefoon. Voor het langer bewaren met „Diagnose opnemen” je toestemming met de schakelaar (art. 6 lid 1 sub a), voor het verzenden je toestemming met het vinkje (art. 6 lid 1 sub a). Of daarvoor toegang tot je telefoon mag worden verkregen (§ 25 TDDDG), staat apart in onderdeel 8.

4.15 Website, web-app en gedeelde pagina’s

Bij elke toegang tot onze servers — vanuit de app, de web-app of de browser — leggen we IP-adres, tijdstip, methode, opgevraagd pad en technische gegevens van het apparaat vast, om aanvallen en fouten te herkennen. Het adresachtervoegsel van een verzoek (achter het vraagteken — daar zouden zoektekst, coördinaten, de plaats van een val of een geheime link staan) en de inhoud van een verzoek leggen we niet vast, ook niet bij een fout: antwoordt een dienst niet, dan schrijft de webserver in zijn foutlogboek alleen tijdstip, pad zonder adresachtervoegsel en de foutcode; de verwijzende pagina (referer) staat daar eveneens zonder adresachtervoegsel. Roep je alleen curveguard.de op, dan sturen we je aan de hand van de taalinstelling van je browser door naar de passende taal, zonder iets op te slaan.

De web-app app.curveguard.de toont dezelfde gegevens als de app. Na het inloggen houdt ze je sessie alleen vast tot je de browser sluit. Zet je bij het inloggen het vinkje „Ingelogd blijven”, dan eindigt ze na 30 dagen zonder gebruik, uiterlijk na 90 dagen. Bij elke sessie — in app en web-app — slaat onze aanmelddienst tijdstip, IP-adres en browser- resp. apparaatkenmerk op, zodat je je aanmelding veilig kunt voortzetten en wij misbruik van een account kunnen herkennen. Een sessie die 30 dagen niet is gebruikt, verwijderen we samen met haar kenmerken automatisch; sluit je de browser zonder uit te loggen, dan blijft ze op de server tot deze termijn. Zolang je de app gebruikt, vernieuwt die haar sessie. In app en web-app geldt: het toegangskenmerk is kortlevend en wordt steeds vernieuwd, het vernieuwingskenmerk wisselt bij elke vernieuwing en wordt ongeldig als je uitlogt, je wachtwoord wijzigt of je account verwijdert. Voordat je een kopie van je gegevens aanvraagt, je wachtwoord wijzigt of je account verwijdert, vragen we nog een keer naar je wachtwoord resp. je aanmelding (onderdeel 8).

Aankooppagina op curveguard.de: de kassa van Paddle (Paddle.js) laadt pas als je daar uitdrukkelijk een aankoop start („Jaarabonnement”, „Maandabonnement” of „Naar de kassa”); daarvoor gaat er niets naar Paddle, en op je apparaat wordt niets opgeslagen. Vanaf dan gelden voor de kassa de gegevens in onderdeel 8.

Deel je een route, een rit, een traject of een groepsrit, dan laat de app je vooraf zien wat er via de link zichtbaar wordt. Daarna ziet iedereen met de link onder curveguard.de/s/… je voornaam en de inhoud; bij ritten nooit je hellingshoekwaarden, nooit andere deelnemers. De link is willekeurig, verschijnt niet in zoekmachines, eindigt na 90 dagen, en je kunt hem op elk moment intrekken. Crew-uitnodigingen onder curveguard.de/c/… tonen naam, embleem en ledenaantal van de crew.

Grondslag: gerechtvaardigd belang bij een veilige werking (art. 6 lid 1 sub f); voor gedeelde inhoud de overeenkomst met degene die deelt.

4.16 Sociale netwerken, WhatsApp, statistiek en nieuws

Onze aanwezigheid op sociale netwerken. We zijn met eigen pagina’s aanwezig op Instagram, Facebook, TikTok en YouTube en hebben een WhatsApp-kanaal. Als je deze pagina’s bezoekt, verwerkt de betreffende aanbieder je gegevens volgens zijn eigen voorwaarden: Meta Platforms Ireland Ltd. (Instagram, Facebook, WhatsApp), TikTok Technology Ltd. (Ierland) en Google Ireland Ltd. (YouTube). Deze aanbieders geven gegevens ook door naar de VS (EU-US Data Privacy Framework). Van de aanbieders ontvangen we alleen samengevatte statistieken over weergaven en reacties, waaruit we niemand kunnen herkennen. Voor deze statistieken op Facebook en Instagram zijn we samen met Meta gezamenlijk verwerkingsverantwoordelijke (art. 26 AVG). De hoofdlijnen van de regeling stelt Meta beschikbaar; verzoeken daarover kun je aan Meta of aan ons richten. Voor TikTok geldt dit overeenkomstig. Rechtsgrondslag is ons gerechtvaardigd belang om CurveGuard bekend te maken en met jou in contact te zijn (art. 6 lid 1 sub f AVG). Als je ons daar schrijft of reageert, gebruiken we dat alleen om te antwoorden. Op onze website en in de app verwijzen eenvoudige links naar onze profielen op Instagram, TikTok en YouTube; pas als je er een aantikt, opent het platform, daarvoor gaan er geen gegevens naartoe. Voor het plannen van onze berichten en het beantwoorden van reacties gebruiken we Metricool (Metricool Software S.L., Spanje) als verwerker.

Als je ons via WhatsApp schrijft. Je kunt ons via WhatsApp schrijven op +49 179 1773481. Daarbij verwerken we je telefoonnummer, je profielnaam en de inhoud van je berichten om je verzoek te beantwoorden (art. 6 lid 1 sub b AVG bij vragen over je account of abonnement, anders sub f). WhatsApp wordt geëxploiteerd door WhatsApp Ireland Ltd.; Meta verwerkt daarbij metadata en kan gegevens naar de VS doorgeven. De inhoud van de berichten kan WhatsApp vanwege de end-to-endversleuteling niet lezen. We slaan je nummer niet op in het adresboek, vergelijken geen adresboek met WhatsApp en sturen je via WhatsApp geen reclame. Is je verzoek afgehandeld, dan verwijderen we de chat uiterlijk na drie maanden, tenzij we hem wegens wettelijke verplichtingen langer moeten bewaren. Wil je WhatsApp niet gebruiken, schrijf ons dan op support@curveguard.de. WhatsApp is geen alarmnummer. Bel in een noodgeval 112. Op onze website en in de app leidt een eenvoudige link „Stuur ons een WhatsApp-bericht” naar WhatsApp; pas als je die aantikt, opent WhatsApp en gaan er gegevens naar WhatsApp. Website en app laden daarvoor niets van WhatsApp of Meta.

Statistiek op onze website. De telling is momenteel uitgeschakeld. Schakelen we haar in, dan tellen we op curveguard.de paginaweergaven met de software Plausible, die we dan zelf op onze server in Duitsland draaien, en geldt deze alinea; tot dan tellen we niets. Plausible plaatst geen cookies, slaat geen IP-adressen op en herkent je niet over meerdere dagen: uit IP-adres en browserkenmerk wordt alleen een dagkenmerk gevormd, waarvan de sleutel elke dag wisselt. We zien uitsluitend samengevatte cijfers, bijvoorbeeld hoeveel bezoekers van welke pagina kwamen, uit welk land en met welk type apparaat. Gegevens gaan naar niemand. Rechtsgrondslag is ons gerechtvaardigd belang om de website te verbeteren en te zien welke verwijzingen naar CurveGuard aanslaan (art. 6 lid 1 sub f AVG).

Waar downloads en aankopen vandaan komen. Links naar CurveGuard in de App Store en bij Google Play kunnen een campagnekenmerk bevatten, bijvoorbeeld „instagram”. Apple en Google laten ons dan samengevat zien hoeveel downloads via welke link kwamen; gegevens over afzonderlijke personen ontvangen we niet. Actiecodes, bijvoorbeeld van partners, wissel je in de App Store of bij Google Play in. We zien alleen hoe vaak een code is ingewisseld. Partners ontvangen geen gegevens over jou.

„Hoe heb je over CurveGuard gehoord?” Als je wilt, kun je in de app opgeven hoe je bij CurveGuard terecht bent gekomen. Dat is vrijwillig; je kunt het op elk moment wijzigen of verwijderen. We slaan het op bij je account, werken het alleen samengevat uit en verwijderen het met je account (art. 6 lid 1 sub a AVG).

Nieuws en aanbiedingen. Alleen als je in de app „Nieuws en aanbiedingen” inschakelt, sturen we je af en toe meldingen en, als je je e-mailadres bevestigt, een nieuwsbrief over nieuwe functies en aanbiedingen. Bij de e-mail sturen we je eerst een bevestigingslink (double opt-in). We slaan tijdstip en tekst van je toestemming op als bewijs. Je kunt haar op elk moment intrekken: in de app met dezelfde schakelaar of via de afmeldlink in elke e-mail. De nieuwsbrieven versturen we zelf via onze mailserver in Duitsland, zonder meting van openen of klikken (art. 6 lid 1 sub a AVG, § 7 UWG). Meldingen over je veiligheid, je ritten en je account staan daar los van.

4.17 Meldingen

Sta je meldingen toe, dan meldt je telefoon zich met een apparaatkenmerk aan bij onze server. Onder Garage › Meldingen kies je „Berichten” (contactverzoeken, nieuwe berichten, nieuws en verzoeken om lid te worden in je crews) en „Groepsritten” (toezeggingen, start en afzegging). Altijd aan zijn de naderende termijn van je aankomstwacht en de melding als een mederijder van je groepsrit zich niet meldt; het valalarm ontstaat sowieso op je telefoon. Een melding noemt de soort en waar het om gaat, nooit de tekst van een bericht; namen van andere mensen toont ze alleen als je „Namen op het vergrendelscherm tonen” inschakelt. Tijdens een rit houden we meldingen tegen, behalve over aankomstwacht en groep, en sturen ze daarna; na 6 uur vervallen ze. Alarm, aftelling en noodoproep lopen nooit via meldingen.

Meldingen worden op de iPhone afgeleverd via de Apple Push Notification service (APNs), op Android via Firebase Cloud Messaging (FCM) van Google. Daarvoor gaan het apparaatkenmerk en de inhoud van de melding naar Apple resp. Google (onderdeel 6). Op Android hoort bij het kenmerk een installatie-ID van Firebase. Die ontstaat pas als je meldingen toestaat en de app het kenmerk opvraagt; uit zichzelf meldt Firebase zich niet aan, en Firebase Analytics gebruiken we niet.

Er zijn drie dingen te onderscheiden: (1) Log je uit, trek je de toestemming in of verwijder je je account, dan verwijderen we het kenmerk meteen bij ons. (2) Op Android vraagt de app Firebase tegelijk de registratie en de installatie-ID te verwijderen. Komt dit verzoek niet aan, bijvoorbeeld omdat de telefoon op dat moment geen netwerk heeft, dan herhaalt de app het vandaag niet uit zichzelf; het kenmerk blijft dan bij Google tot Google het volgens eigen regels verwijdert — bij ons is het toch verwijderd, en we sturen er niets meer naartoe. (3) Na een verwijdering verwijdert Google de gegevens die bij de installatie-ID horen, volgens eigen opgave binnen 180 dagen uit zijn live- en back-upsystemen. Een nieuwe installatie-ID ontstaat pas als je je weer aanmeldt en meldingen toestaat. Meldt een apparaat zich 90 dagen niet bij ons, dan verwijderen we het kenmerk bij ons eveneens; „melden” betekent: de app roept bij de start met account, bij het aanmelden en vóór elke rit onze server aan.

Grondslag: overeenkomst (art. 6 lid 1 sub b). Meldingen schakel je in de app en in de instellingen van je telefoon op elk moment uit.

5. Geautomatiseerde besluiten en wat je moet opgeven

Waar de app of de server automatisch handelt, hebben we dat vastgelegd in een beslissingsmatrix (bijlage E, A.5): aanleiding, verwerking, gevolgen, menselijke betrokkenheid, grondslag en bescherming. In het kort: (1) Premium voert een aankoop uit die jij hebt gedaan; weigert of ontneemt het systeem een recht (bijvoorbeeld na een terugbetaling), dan kun je je tot ons wenden, en een mens controleert dat. (2) Nieuwe accounts mogen in de eerste dagen minder bijdragen, berichten en meldingen schrijven; lezen, rijden en alle veiligheidsfuncties blijven onverlet. Over blokkeren en verwijderen beslist een mens; alleen een aanwijzing voor afbeeldingen van seksueel misbruik verbergt een inhoud meteen tot de beoordeling. (3) Valdetectie. Tijdens een rit analyseert de app op je telefoon de bewegingssensoren (versnelling en draaisnelheid, tot 50 metingen per seconde) en je snelheid uit de locatie. Tot een alarm leidt in principe een patroon als: eerst gereden, dan een sterke klap of een heftige draaiing van de telefoon, daarna een ongewone ligging of nauwelijks beweging. Herkent de app zo’n patroon, dan start ze een luide aftelling. Breek je die niet af, dan waarschuwt de server je bevestigde noodcontacten per sms met je positie en een link naar de noodpagina — automatisch, zonder dat een mens vooraf controleert. Dat is geen diagnose, maar kan aanzienlijke gevolgen hebben: je contacten horen van een mogelijke val, roepen mogelijk hulp in of bellen 112, en een vals alarm kan hen ongerust maken. De aftelling vervangt geen menselijke beslissing, omdat je na een val niet in staat kunt zijn te handelen. We behandelen deze waarschuwing daarom uit voorzorg alsof ze onder art. 22 valt: ze berust op je uitdrukkelijke toestemming, die precies deze automatische activering beschrijft (art. 22 lid 2 sub c en lid 4 met art. 9 lid 2 sub a).

Je rechten daarbij (art. 22 lid 3): je kunt elk alarm op elk moment intrekken; de noodpagina toont je contacten dan „Alles veilig”. Na een alarm kun je je standpunt kenbaar maken en de beslissing aanvechten — in de app, als die na het alarm vraagt of het een vals alarm was, of per e-mail aan datenschutz@curveguard.de. Dan controleert een mens bij ons het alarm aan de hand van het noodlogboek en vertelt je het resultaat; na een vals alarm kan de app de detectie voor jou aanpassen. Deze controle gebeurt pas achteraf: niemand bij ons volgt een lopend alarm of grijpt erin in.

Wat je moet opgeven: voor het gebruik de bevestiging dat je minstens 18 bent en de aanvaarding van de gebruiksvoorwaarden. Voor een account een e-mailadres en een wachtwoord of de aanmelding met Apple of Google — zonder die gebruik je de app als gast. Zonder locatie werken navigatie en registratie niet, zonder noodcontact dat heeft toegezegd is er geen nood-sms. Alle andere gegevens zijn vrijwillig. Een wettelijke verplichting om ons gegevens te verstrekken bestaat niet.

6. Wie gegevens ontvangt en waar ze liggen

Onze servers, de opslag bij Hetzner en seven.io verwerken je gegevens in Duitsland resp. de EU. Naar landen buiten de EU en de EER gaan gegevens in drie gevallen: (1) een nood-sms naar een nummer uit Zwitserland of het Verenigd Koninkrijk wordt in het netwerk van dat land afgeleverd (voor beide heeft de Europese Commissie een passend beschermingsniveau vastgesteld); (2) is een contact in het buitenland, dan levert het netwerk daar af (roaming) — daarop hebben we geen invloed; (3) Apple, Google, Paddle, Meta en TikTok verwerken gegevens ook in derde landen als je hun diensten gebruikt of meldingen toestaat, gebaseerd op de in de tabel genoemde grondslagen. Dat gegevens daarheen gaan, veroorzaken we mede als we deze diensten inzetten; de tabel noemt daarom voor elk de grondslag.

7. Hoe lang we gegevens bewaren

Waar de wet geen termijn voorschrijft, hebben we die zelf vastgelegd. Er wordt automatisch verwijderd, afhankelijk van de soort elk uur of elke dag.

Verwijder je je account, dan verwijderen we profiel, ritten, routes, foto’s, berichten, noodcontacten, motoren, groepsritten die je hebt aangemaakt, apparaatkenmerken en meldingen — ook wachtende meldingen aan anderen over je contactverzoeken en berichten die je naam dragen. Alleen aankoopbewijzen, meldingen zonder koppeling met je account en het noodlogboek zonder koppeling met jou blijven tot hun termijnen — en back-ups tot ze verlopen (zie hierboven). Vóór het verwijderen biedt de app je een kopie van je gegevens aan. Een webabonnement eindigt met het account meteen, zonder terugbetaling van de resterende looptijd; een abonnement bij Apple of Google zeg je daar op.

Back-ups hebben we nodig om na een uitval alles te kunnen herstellen (art. 6 lid 1 sub f, art. 32).

8. Wat er op je apparaat wordt opgeslagen en gelezen (cookies en vergelijkbare technieken)

We slaan op je apparaat alleen op wat voor een dienst die je uitdrukkelijk gebruikt strikt noodzakelijk is (§ 25 lid 2 nr. 2 TDDDG); de kolom „Doel” noemt voor elke opslag waarvoor. Waar dat niet vanzelf spreekt, motiveren we het: het kortstondige foutlogboek (hooguit 24 uur) heeft de app nodig om na een onverwacht afsluiten de toestand van registratie, valdetectie en noodoproep te herkennen en je het melden te kunnen aanbieden — zonder dat werken deze functies niet betrouwbaar. Langere diagnoselogboeken (tot 30 dagen) zijn daarvoor niet strikt noodzakelijk; ze ontstaan daarom alleen als je „Diagnose opnemen” inschakelt (§ 25 lid 1 TDDDG, je toestemming). Beide verlaten de telefoon alleen op jouw verzoek (4.14). De stand van de vraag „Bochten nauwkeuriger maken” en „Niet meer vragen” is nodig zodat de app je beslissing respecteert. Geziene aanwijzingen voorkomen dat de app steeds weer dezelfde uitleg toont. Reclame-, analyse- of meettechniek die toegang krijgt tot je apparaat, zetten we niet in; in de app zit geen bouwsteen van zo’n aanbieder. Onze website curveguard.de, de pagina voor naasten en gedeelde pagina’s slaan niets op je apparaat op — met twee uitzonderingen: log je op curveguard.de/konto in met Apple of Google, dan onthoudt het tabblad tot de terugkeer waarvoor (sessieopslag, regel in de tabel). En start je op de aankooppagina van curveguard.de uitdrukkelijk een aankoop, dan laadt de kassa van Paddle en legt die de opslag aan die ze voor de betaling en de fraudebescherming nodig heeft (laatste regel van de tabel; Paddle is daar als verkoper zelf verantwoordelijk voor). Daarvoor laadt de pagina niets van Paddle.

De lijst controleren we vóór de start nog een keer aan de hand van de afgewerkte app en de web-app.

9. Toestemmingen op je telefoon

Op Android komen er technische toestemmingen zonder eigen vraag bij, die alleen deze doelen dienen (registratie bij een vergrendeld scherm, trillen bij een alarm). De advertentie-ID van Google is uitdrukkelijk verwijderd.

10. Als je CurveGuard niet gebruikt: noodcontacten, ontvangers van een link, bezoekers

Deze informatie geldt voor mensen van wie we gegevens ontvangen zonder dat ze zelf een account hebben (art. 14 AVG).

Noodcontact: een rijder heeft je naam (vrijwillig), je mobiele nummer en je e-mailadres in CurveGuard ingevoerd — van hem hebben we ze. We hebben je daarom een e-mail gestuurd met een persoonlijke link naar t.curveguard.de/n/…. Daar zeg je toe door ter bevestiging je mobiele nummer in te tikken en de taal van de nood-sms te kiezen, of je weigert. Weiger je, dan verwijderen we nummer en adres meteen; zeg je niet toe, dan 30 dagen na het invoeren of na het verlopen van de laatste link. De nood-sms staat in het Duits en daaronder in het Engels (alleen Engels als de app van de rijder op Engels is ingesteld); de taal die je op de pagina kiest, slaan we op, de verzending richt zich daar vandaag nog niet naar. Zeg je toe, dan krijg je alleen in een noodgeval een sms: als de app van de rijder een mogelijke val heeft gemeld en het aftellen niet is afgebroken, als hij op de noodknop drukt, als hij niet aankomt zoals aangekondigd, en hooguit één herinnering over dezelfde noodsituatie. We gebruiken je nummer voor niets anders en sturen nooit test-, reclame- of alles-veilig-sms’jes. Terugtrekken kun je op elk moment via je persoonlijke link of de link in elke nood-sms. De sms’jes verstuurt seven.io (Kiel) in onze opdracht in Duitsland resp. de EU; seven.io bewaart ze 7 dagen in zijn verzendjournaal. Grondslag: het gerechtvaardigde belang van de rijder en ons eigen belang bij zijn veiligheid (art. 6 lid 1 sub f). Je toezegging is geen toestemming, maar je bereidheid om in een noodgeval te worden aangesproken; een nee respecteren we zonder uitzondering. Je gegevens blijven tot de rijder je verwijdert, jij je terugtrekt of de rijder zijn account verwijdert; uit het noodlogboek van een alarm vallen ze 30 dagen na het alarm weg (onderdeel 7).

Ontvanger van een gedeelde link of een nood-sms: op t.curveguard.de zie je wat de rijder heeft vrijgegeven, resp. als bevestigd noodcontact de noodpagina (4.5). Van jou slaan we alleen het toegangslogboek zonder adresachtervoegsel op (14 dagen, gerechtvaardigd belang bij een veilige werking, art. 6 lid 1 sub f); de pagina plaatst geen cookies. Tik je in een noodgeval op „Ik regel dit”, dan vertelt de pagina je vooraf dat de rijder en zijn andere contacten dat zien met je naam, zoals de rijder die heeft ingevoerd; het betekent alleen dat jij contact opneemt — niet dat er hulp onderweg is. We slaan het op met het tijdstip bij het alarm; het vervalt met het noodlogboek (onderdeel 7).

Bezoekers van gedeelde pagina’s en crew-uitnodigingen: zoals de website (onderdeel 4.15).

Je rechten uit onderdeel 3 gelden voor jou net zo; schrijf naar datenschutz@curveguard.de.

11. Minimumleeftijd, talen en wijzigingen

CurveGuard is alleen voor mensen vanaf 18 jaar.

Deze verklaring is er in alle aangeboden talen. Bindend is de Duitse versie.

Verandert deze verklaring wezenlijk, dan wijzen we daar in de app op voordat de wijziging geldt. Komt er een nieuwe verwerking bij die toestemming nodig heeft, dan vragen we dat vooraf. De geldende versie staat in de app en op curveguard.de/datenschutz.