Privacybeleid

Copilote is een iOS-app die je oefenritten registreert en je helpt je rijboekje in te vullen: ze telt je ritten en je kilometers, en geeft je daarvan een rittenoverzicht om erbij te voegen. Om dat te kunnen doen, moet de app je een beetje kennen en je positie volgen terwijl je rijdt.

Deze pagina legt precies uit welke gegevens we verzamelen, waarom, aan wie ze worden doorgegeven, hoe lang we ze bewaren en hoe je alles wist. Ze is geschreven om gelezen te worden, niet om overgeslagen te worden: geen jargon, en een volledige sectie (6 bis) over de enige gegevensoverdracht waar we zelf nog niet gelukkig mee zijn.

1. Wie verantwoordelijk is voor je gegevens

De « verwerkingsverantwoordelijke » — de AVG-term voor de persoon die beslist wat er met je gegevens gebeurt — is:

E-mail is de snelste manier om ons te bereiken, en het is het kanaal dat we ook echt opvolgen. Wil je ons liever per brief schrijven, vraag ons dan per e-mail het postadres en we bezorgen het je.

Copilote is een eenmansproject, geen grote groep. Er is geen functionaris voor gegevensbescherming: de wet verplicht ons daar in dit geval niet toe, en naar het adres hierboven schrijven betekent rechtstreeks schrijven naar de persoon die de app ontwikkelt en beheert.

2. De korte versie

• Copilote registreert je oefenritten om het rittenoverzicht op te stellen dat je bij je rijboekje voegt.
• Daarvoor hebben we je gps-positie nodig — ook wanneer de app op de achtergrond staat, omdat je telefoon in een houder zit terwijl je rijdt.
• Je gegevens staan op twee plaatsen: op je telefoon, en op een server in Stockholm, Zweden — dus binnen de Europese Unie.
• We verkopen niets, we doen geen reclame, en we volgen je niet van app naar app.
• Je kunt je account met twee tikken in de app verwijderen. Alles gaat weg.
• Eén uitzondering die we niet gaan verbloemen: tijdens begeleide parcours gaat je positie naar een openbare routeserver waarmee we geen enkel contract hebben. Hier staat het volledige verhaal.

INHOUDSOPGAVE

1. Wie verantwoordelijk is voor je gegevens
2. De korte versie
3. Wat we verzamelen, waarom, en op welke rechtsgrond
4. Locatie, en de twee toestemmingen die we vragen
5. Waar je gegevens worden bewaard
6. Wie je gegevens nog ontvangt
7. Verlaten je gegevens de Europese Unie?
8. Hoe lang we wat bewaren
9. Je rechten
10. Je account verwijderen
11. Minimumleeftijd
12. Als je begeleider bent
13. Wijzigingen aan dit beleid
14. Contact opnemen

3. Wat we verzamelen, waarom, en op welke rechtsgrond

De AVG verplicht ons om voor elk type gegeven te zeggen waarom we het verwerken en op welke « rechtsgrond » we ons baseren. We doen dat categorie per categorie, want een algemeen antwoord als « om onze diensten te leveren en te verbeteren » leert je niets.

Drie rechtsgronden komen in deze sectie terug:

• Overeenkomst (artikel 6.1.b AVG) — zonder dit gegeven kan de app niet doen wat je ervan vraagt.
• Gerechtvaardigd belang (artikel 6.1.f) — nuttig om de app te laten werken en te herstellen, zonder voorrang te krijgen op jouw rechten. Je kunt je hiertegen verzetten.
• Wettelijke verplichting (artikel 6.1.c) — wanneer de wet ons oplegt iets te bewaren.

Je account

Wat we hebben: je e-mailadres en je wachtwoord. Het wachtwoord wordt door Supabase Auth als hash bewaard — wij zien het nooit en kunnen het je niet doorgeven. Als je Inloggen met Apple gebruikt: je naam en het adres dat Apple ons doorgeeft, of dat nu je echte adres is of een privérelais. We bewaren ook je voornaam, je naam, je geboortedatum en sessietokens om je ingelogd te houden.

Waarom: je account aanmaken, je opnieuw laten inloggen, en je naam en geboortedatum boven aan je rittenoverzicht zetten.

Rechtsgrond: overeenkomst.

Je profiel en voorkeuren

Wat we hebben: je taal, je licht- of donker thema, de avatar die je koos, en regelmaatstellers (huidige reeks, beste reeks, laatste actieve week).

Waarom: de app tonen zoals je ze hebt ingesteld, en je laten zien of je regelmatig rijdt.

Rechtsgrond: overeenkomst.

Ter info: de avatar is een nummer dat verwijst naar een tekening die met de app wordt meegeleverd. We bewaren geen enkele foto van je, en de app vraagt nooit toegang tot je foto's.

Je rijbewijs en examencontext

Wat we hebben: je opleidingsvorm en de datum van je rijbewijs, je regio, en je examencentrum.

Waarom: wat je rijboekje moet bevatten en welke parcours we voorstellen, hangt af van je regio en je centrum.

Rechtsgrond: overeenkomst.

Je begeleiders

Wat we hebben: voor elke begeleider die je toevoegt — voornaam, naam, en, als je ze invult, het rijbewijsnummer, de band met jou, het telefoonnummer en een afspraakdatum.

Waarom: je rijboekje moet vermelden wie je bij elke rit begeleidde.

Rechtsgrond: overeenkomst, voor wat jou betreft. Voor de begeleider zelf, die de app niet heeft geïnstalleerd en niets heeft ondertekend: ons gerechtvaardigd belang en het jouwe om dit rijboekje te kunnen bijhouden. Het is redelijk dat een rijboekje de naam bevat van de persoon die naast je zat.

Belangrijk: deze gegevens gaan over iemand anders dan jou. Het rijbewijsnummer en het telefoonnummer zijn optioneel — vul ze alleen in als je ze echt nodig hebt. Ben je zelf begeleider en lees je dit? Sectie 12 is voor jou.

Je ritten

Wat we hebben: de datum, het begin- en einduur, de duur, de afstand, de kilometerstand bij vertrek en aankomst, de vertrek- en aankomstplaats, of het een heen-en-terugrit was, de wegtypes, het weer, de verkeersdrukte, de lichtomstandigheden, de uitgevoerde manoeuvres, en je vrije velden: « notities », « moeilijkheden », en, als je in Brussel zit, « verkeersomstandigheden ». Voor parcours bewaren we ook het circuitnummer en de punten die je hebt bereikt.

Waarom: dat is de inhoud van je rittenoverzicht. Dat is waar de app voor bestaat.

Rechtsgrond: overeenkomst.

Over de vrije velden: « notities », « moeilijkheden » en « verkeersomstandigheden » zijn vrije tekstvakken, en wat je erin schrijft wordt opgeslagen zoals het is. Zet er geen gevoelige informatie in — gezondheid, opvattingen, of details over andere mensen. De app heeft die niet nodig, en wij lezen ze niet, maar ze zouden net als de rest bewaard worden.

Je gps-routes

Wat we hebben: het volledige traject van elke geregistreerde rit, als een polylijn — dus de reeks punten waar je bent langsgekomen, van vertrek tot aankomst.

Waarom: je afstand automatisch berekenen, je vertrek- en aankomstplaats invullen, en de kaart van je rit tonen.

Rechtsgrond: overeenkomst — dat is de kernfunctie van de app, waarvoor je ze hebt geïnstalleerd.

Ter info: een gps-traject is een gevoelig gegeven, ook al valt het volgens de AVG niet onder de « bijzondere » categorieën. Het verraadt waar je woont, waar je naartoe gaat, en op welk uur. Daarom blijft het op je telefoon en op onze databank in Zweden, en wordt het aan geen enkele adverteerder of datahandelaar doorgegeven. De enige uitzondering staat in sectie 6 bis.

Je zelfevaluaties

Wat we hebben: het cijfer dat je jezelf per vaardigheidsdomein geeft, en de datum van de laatste bijwerking.

Waarom: je je voortgang tonen en wat je nog moet oefenen.

Rechtsgrond: overeenkomst.

De wijzigingsgeschiedenis

Wat we hebben: een spoor van de wijzigingen aan je ritten — welke rit, wanneer, en welke velden veranderden.

Waarom: je telefoon en de server laten synchroniseren zonder een correctie te verliezen of te verdubbelen, en kunnen terugvinden wat gewijzigd is als een cijfer niet klopt.

Rechtsgrond: gerechtvaardigd belang — de betrouwbaarheid van je rittenoverzicht.

Wat er niet in bewaard wordt: de inhoud van je vrije velden. Wijzig je je « notities », je « moeilijkheden » of je « verkeersomstandigheden », dan houdt de geschiedenis bij dát dat veld veranderde en wanneer, maar niet wat erin stond: de waarde wordt vervangen door « [redacted] ». De uren, afstanden, data en de begeleider blijven wel ongewijzigd staan — dat is net wat het mogelijk maakt na te gaan of een rittenoverzicht klopt. Handig gevolg voor jou: verwijder je één rit, dan blijft er over die rit geen vrije tekst in deze geschiedenis achter. Let wel: vervangen is niet verwijderen. De regels van de geschiedenis bestaan tot je je account verwijdert.

Je aankopen

Wat we hebben: de identificatie van het gekochte product, het transactienummer van de App Store, de winkel, de data van toekenning, verval en eventuele intrekking, en het ruwe ondertekende ontvangstbewijs dat Apple ons doorstuurt.

Waarom: ontgrendelen wat je hebt betaald, op al je toestellen, en een terugbetaling of annulering correct verwerken.

Rechtsgrond: overeenkomst.

Wat we niet hebben: je kaartnummer. Apple int de betaling. We zien je betaalmiddelen nooit, en we zouden ze niet kunnen zien, zelfs als we het wilden.

Crashdiagnostiek

Wat we hebben: wanneer de app crasht, wordt een rapport naar Sentry gestuurd. Het bevat het model van je toestel, de iOS-versie, de app-versie, het technische spoor van de fout, en de UUID-identificatie van je account. We verzamelen ook prestatiemetingen op ongeveer 10 % van de sessies.

Waarom: bugs herstellen, en weten of een crash één persoon of duizend treft.

Rechtsgrond: gerechtvaardigd belang. Je kunt je hiertegen verzetten door ons te schrijven.

Wat vóór verzending wordt weggehaald: Sentry is zo ingesteld dat het standaard geen persoonsgegevens verzamelt, en een filter verwijdert actief, vóór er iets je telefoon verlaat: e-mailadressen, authenticatietokens, transactienummers van aankopen, en gps-coördinaten. Dat filter geldt voor fouten, voor de gebeurtenissenreeks die eraan voorafgaat, en voor de prestatiemetingen; als het faalt, verwijdert het de hele gebeurtenis in plaats van iets te laten passeren. Crashes komen voor 100 % bij ons terecht, prestatiemetingen voor 10 %.

4. Locatie, en de twee toestemmingen die we vragen

Copilote vraagt twee niveaus van locatietoestemming, en het is normaal dat je zich afvraagt waarom:

• « Tijdens gebruik van de app » — om een registratie te starten en je positie op de kaart te tonen terwijl je naar het scherm kijkt.
• « Altijd », dus op de achtergrond — omdat je telefoon terwijl je rijdt in een houder zit, met het scherm uit of een andere app open. Zonder die toestemming stopt de registratie zodra je de app verlaat, en is je afstand verkeerd. Dat is de enige reden waarom we ze vragen.

Je kunt die toestemmingen weigeren, of later intrekken via Instellingen > Privacy en beveiliging > Locatievoorzieningen. De app blijft werken: je voert je ritten dan met de hand in, zoals in een papieren boekje.

We gebruiken je locatie voor niets anders. Geen reclame, geen profilering, geen enkele deling met een advertentienetwerk.

5. Waar je gegevens worden bewaard

Op twee plaatsen, die met elkaar synchroniseren:

• Op je telefoon, in een lokale databank. Dat laat de app werken in de auto, zonder netwerk.
• Bij Supabase, dat onze databank, ons accountsysteem en onze serverfuncties host, op servers in Stockholm, Zweden (regio eu-north-1) — dus binnen de Europese Unie.

Supabase laat die infrastructuur zelf lopen op Amazon Web Services: AWS is de fysieke host van die Zweedse servers — daar staat de code eu-north-1 voor — en geen dienst waar wij van onze kant iets naartoe sturen. We hebben geen AWS-account en geven er zelf geen gegevens aan door.

Als je je account verwijdert, worden beide kopieën gewist.

6. Wie je gegevens nog ontvangt

We verkopen je gegevens niet en we delen er geen enkele voor advertentiedoeleinden. Dit is de volledige lijst van derden die ze ontvangen, en wat elk van hen precies krijgt:

• Supabase — databank, accounts en serverfuncties. Ontvangt alles wat in sectie 3 staat. Servers in Zweden.
• Apple — Inloggen met Apple, als je dat gebruikt, en de in-app-aankopen, inclusief de controle van ontvangstbewijzen. Ontvangt wat voor die twee functies nodig is, en niets meer.
• Resend — enkel het versturen van service-e-mails: inschrijvingsbevestiging en wachtwoordherstel. Ontvangt je e-mailadres. De afzender is no-reply@co-pilote.eu. Geen nieuwsbrief, geen marketing.
• Sentry — de crash- en prestatiediagnostiek, onder de voorwaarden van sectie 3, filtering inbegrepen. Servers in Frankfurt, Duitsland.
• Expo — app-updates op afstand. Bij elke controle op updates ontvangt het technische informatie over je toestel en over de geïnstalleerde versie. Geen ritgegevens.
• Open-Meteo — het weer van je rit. Ontvangt een coördinaat die opzettelijk is afgerond op 2 decimalen, dus ongeveer 1,1 km nauwkeurig, en een tijdstempel. Er wordt geen identificatie, naam of accountnummer meegestuurd: uit de aanvraag kan niet blijken dat het om jou gaat.
• FOSSGIS e.V. — de routeberekening tijdens begeleide parcours. Die overdracht verdient een eigen sectie, direct hieronder.

Nog dit, want het is net het soort detail dat vaak ongemerkt weglekt: de pdf-export van je rittenoverzicht wordt volledig op je telefoon gemaakt, zonder enige netwerkaanvraag. Het bestand passeert niet via onze servers en niet via die van een derde, en het handschriftlettertype dat het gebruikt, zit in de app zelf.

6 bis. Een overdracht waarover we liever eerlijk zijn

Wanneer je de functie begeleid parcours gebruikt, moet de app een route over de weg berekenen. Daarvoor stuurt ze je positie van dat moment naar router.project-osrm.org, een openbare demonstratieserver die wordt beheerd door FOSSGIS e.V., een Duitse vereniging zonder winstoogmerk.

Concreet:

• Het versturen gebeurt ongeveer elke 30 seconden, zolang de parcourssessie duurt.
• Je positie wordt afgerond op 4 decimalen, ongeveer 11 meter, voordat ze je telefoon verlaat. Routeberekening kan met minder niet werken: daaronder dreigt de server je op een ventweg te plaatsen in plaats van in de juiste straat.
• Er wordt geen accountidentificatie, naam, e-mailadres of nummer aan de aanvraag toegevoegd.
• Omdat FOSSGIS e.V. in Duitsland is gevestigd, blijven die gegevens binnen de Europese Unie.

En nu wat we je niet gaan vertellen:

• Het gaat om een gratis openbare dienst. We hebben geen enkel contract en geen verwerkersovereenkomst met FOSSGIS e.V. We kunnen je dus niet zeggen wat ze bewaren, noch hoe lang, noch garanderen dat ze die gegevens beschermen zoals wij ons daartoe verbinden. Het omgekeerde schrijven zou onwaar zijn, en veel privacybeleiden schrijven het toch.
• Een punt afgerond op 11 meter, elke 30 seconden verstuurd tijdens een volledig parcours, blijft een spoor van je verplaatsingen. Het afronden vermindert de nauwkeurigheid van elk punt; het laat het traject niet verdwijnen.
• Het is, in heel dit beleid, de overdracht waar we het minst gelukkig mee zijn. We zoeken een vervanging: ofwel een server die we zelf hosten, ofwel een dienstverlener met wie we een echt contract hebben.

In de tussentijd houd je de controle: begeleide parcours zijn de enige functie van de app die deze server contacteert. Wil je niet dat die gegevens je telefoon verlaten, gebruik ze dan niet. Het registreren van je ritten, het berekenen van je afstanden en je rittenoverzicht werken volledig zonder.

7. Verlaten je gegevens de Europese Unie?

Gedeeltelijk, en dit is precies welke:

• Blijven in de EU: Supabase, waar je account en al je ritten staan, op Zweedse servers. Sentry, op zijn Duitse regio, in Frankfurt. En FOSSGIS e.V., in Duitsland.
• Verlaten de EU: Apple, Resend en Expo zijn in de Verenigde Staten gevestigd. Voor die overdrachten baseren we ons op de waarborgen in hun standaardvoorwaarden — de standaardcontractbepalingen van de Europese Commissie, of hun certificering onder het EU–VS-kader voor gegevensbescherming, afhankelijk van de dienstverlener. Schrijf ons als je de details voor één van hen wil.
• Open-Meteo ontvangt een afgeronde coördinaat zonder enige identificatie. Er is dus in de praktijk geen persoonsgegeven om over te dragen.
• FOSSGIS e.V. is de enige ontvanger met wie we geen enkele overeenkomst hebben, en ook de enige waarvoor we je niets kunnen garanderen. Die blijft binnen de EU. Zie sectie 6 bis.

8. Hoe lang we wat bewaren

• Je account, je profiel, je begeleiders, je ritten, je gps-trajecten, je manoeuvres, je zelfevaluaties en de wijzigingsgeschiedenis — zolang je account bestaat. Gewist zodra je het verwijdert.
• Onze back-ups — die zijn er niet. Onze hosting bewaart geen automatische back-ups van de databank, dus wanneer een gegeven verwijderd is, blijft het aan onze kant nergens bestaan. Een verwijdering is onmiddellijk en definitief, zonder kopie die ergens blijft hangen.
• Je aankopen — gewist met je account. Apple is de verkoper: de boekhoudstukken die de Belgische wet ons 7 jaar laat bewaren, zijn de uitbetalingsoverzichten van Apple, die jou niet individueel identificeren.
• De diagnostiek bij Sentry — 90 dagen, daarna automatisch verwijderd.
• De service-e-mails bij Resend — de tijd die nodig is om te versturen en een mislukking te onderzoeken, daarna volgens de bewaartermijn van Resend zelf.

9. Je rechten

De AVG geeft je de onderstaande rechten. Ze uitoefenen is gratis, en je moet je niet verantwoorden.

• Inzage — een kopie krijgen van alles wat we over je hebben.
• Rechtzetting — laten corrigeren wat verkeerd is. De meeste velden kun je rechtstreeks in de app aanpassen.
• Wissing — je gegevens laten verwijderen. De knop om je account te verwijderen in de app doet precies dat, zonder ons tussen te komen.
• Beperking — vragen dat we je gegevens niet meer verwerken zonder ze te verwijderen.
• Overdraagbaarheid — je gegevens krijgen in een herbruikbaar formaat, om ze elders mee te nemen.
• Bezwaar — je verzetten tegen de verwerkingen op basis van ons gerechtvaardigd belang, dus de diagnostiek, de wijzigingsgeschiedenis, en het registreren van je begeleiders.
• Klacht — de toezichthouder inschakelen als je vindt dat we je gegevens onrechtmatig verwerken. In België is dat de Gegevensbeschermingsautoriteit (Autorité de protection des données), Drukpersstraat 35, 1000 Brussel — gegevensbeschermingsautoriteit.be. Woon je in een ander EU-land, dan kun je de toezichthouder van jouw land inschakelen.

Om een van die rechten uit te oefenen, schrijf ons op het adres in sectie 14. We antwoorden binnen een maand, zoals de AVG voorschrijft. Is je vraag complex en hebben we meer tijd nodig, dan zeggen we je dat vóór het einde van die termijn.

10. Je account verwijderen

In de app: Profiel > Account verwijderen. Je moet ons niet schrijven, geen formulier invullen, en er is geen wachttijd.

Wat dat onmiddellijk en definitief wist:

• je account en je inloggegevens;
• je profiel: naam, geboortedatum, rijbewijs, regio, examencentrum, voorkeuren, regelmaatstellers;
• al je begeleiders, inclusief hun rijbewijs- en telefoonnummers als je die had ingevuld;
• al je ritten, met hun gps-trajecten, manoeuvres, notities en vrije velden;
• je zelfevaluaties;
• de wijzigingsgeschiedenis;
• je aankooprechten;
• de lokale kopie op je telefoon.

Heb je je ingeschreven met Inloggen met Apple, dan roepen we ook de intrekkingsinterface van Apple aan om de band tussen je Apple-account en Copilote te verbreken, vóór het wissen.

Wat nog even blijft, voor de volledigheid: de diagnostiek die al naar Sentry is gestuurd, tot 90 dagen. Die bevat noch je e-mailadres noch je gps-coördinaten, die vóór verzending worden weggefilterd. Er is geen back-up van de databank waar je gegevens later nog uit kunnen komen.

De pdf's die je al hebt geëxporteerd en opgeslagen, staan op je toestel of waar je ze naartoe hebt gestuurd. Ze zijn van jou, en wij kunnen ze op geen enkele manier op afstand verwijderen.

11. Minimumleeftijd

Je moet 16 jaar zijn om een Copilote-account aan te maken.

Dat is geen kwestie van inhoud: er is niets schokkend aan de app. Het is een kwestie van recht. De gegevens die hier verwerkt worden, een gps-traject in het bijzonder, zijn te gevoelig om ons op de instemming van een kind alleen te baseren, en 16 jaar is de hoogste drempel die de AVG een lidstaat toelaat vast te leggen voor dit soort toestemming. Ben je jonger dan 16, dan moet een ouder of je voogd het account aanmaken en beheren.

Vernemen we dat een account door iemand jonger dan 16 is aangemaakt zonder die instemming, dan verwijderen we het.

12. Als je begeleider bent en je naam in iemands rijboekje staat

Deze sectie is voor jou als je Copilote niet gebruikt, maar een leerling-bestuurder je als begeleider heeft toegevoegd. Je hebt dezelfde rechten als die leerling, ook al heb je de app nooit geïnstalleerd.

Wat er over je bewaard kan zijn: je voornaam, je naam, en, als de leerling ze heeft ingevuld, je rijbewijsnummer, je band met hem of haar, je telefoonnummer en een afspraakdatum. We hebben niets anders: geen e-mailadres, geen locatie, geen account op je naam.

Waarom: een rijboekje moet vermelden wie de leerling bij elke rit begeleidde. Rechtsgrond: ons gerechtvaardigd belang en dat van de leerling om dat rijboekje te kunnen bijhouden.

Hoe je je verzet of jezelf laat verwijderen: het snelst is vaak de leerling vragen je uit de begeleiders te halen — dat kan die zelf in de app, in enkele seconden. Maar je moet niet via die persoon gaan: schrijf ons op het adres in sectie 14 en wij regelen het. We zullen je vragen ons te helpen de vermelding over jou terug te vinden, bijvoorbeeld met de naam van de leerling, want anders kunnen we je op geen enkele manier opzoeken.

13. Wijzigingen aan dit beleid

We werken deze pagina bij wanneer de app verandert. De datum bovenaan geeft de huidige versie aan.

Bij een belangrijke wijziging — een nieuwe categorie gegevens, een nieuwe ontvanger, of de vervanging van de routedienst uit sectie 6 bis — melden we je dat in de app of per e-mail, en niet enkel door deze pagina stil aan te passen.

De Franse, Nederlandse en Engelse versie van dit beleid hebben dezelfde waarde.

14. Contact opnemen

Voor een vraag, om een van je rechten uit te oefenen, of om ons een privacyprobleem te melden, schrijf naar antoinevaessen@icloud.com.

Het is een persoon die die berichten leest, geen dienst. Gaat je vraag over je AVG-rechten, zet dat dan in het onderwerp zodat ze binnen de termijn wordt behandeld.