Privacybeleid

Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG) is:

Timo Lohmann
Albert-Lüke-Str. 72a
48282 Emsdetten
Deutschland
[email protected]

Hosting en serverlogbestanden

De applicatie draait op een gehuurde server van Hetzner Online GmbH in hun datacenter in Neurenberg, Duitsland. Geüploade bestanden en de databaseback-ups staan daarvan gescheiden in de objectopslag Amazon S3 (Amazon Web Services) in de regio Stockholm, Zweden — beide binnen de EU. Bij elke aanvraag legt de server technisch noodzakelijke toegangsgegevens vast: het tijdstip van de aanvraag, het opgevraagde pad, de HTTP-statuscode, de verwerkingsduur en het aanvragende IP-adres. Deze logboeken dienen de systeembeveiliging, de foutanalyse en een stabiele werking (art. 6 lid 1 sub f AVG); ze worden niet permanent bewaard maar doorlopend geroteerd en daarbij automatisch overschreven.

Content delivery network (Cloudflare)

Aan alle aanvragen aan clubrides.eu gaat Cloudflare vooraf als content delivery network en bescherming tegen overbelasting en aanvallen. Dat betekent: de versleutelde verbinding van je browser eindigt eerst bij Cloudflare, dat de aanvraag daarna via een eigen versleutelde verbinding aan onze server doorgeeft. Cloudflare verwerkt daarbij noodgedwongen je IP-adres en de technische kenmerken van de aanvraag en houdt hierover eigen, kortlevende logboeken bij. Aanbieder is Cloudflare Germany GmbH respectievelijk Cloudflare, Inc.; voor een eventuele doorgifte naar de VS bestaan passende waarborgen (onder andere EU-standaardcontractbepalingen) en is er een verwerkersovereenkomst. Rechtsgrondslag is ons gerechtvaardigd belang bij een veilige, bereikbare en snelle werking (art. 6 lid 1 sub f AVG).

Cookies

clubrides.eu gebruikt uitsluitend strikt noodzakelijke cookies: één slaat je sessie op na het inloggen, een andere kan optioneel tot twee weken ingelogd houden ("Onthoud mij"). De rechtsgrondslag is art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst) of art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij een werkende login). Er worden geen analytische, tracking- of advertentiecookies gebruikt — cookietoestemming is daarom niet vereist.

Gebruiksstatistieken

Om het gebruik van clubrides.eu te volgen en fouten of piekbelasting te herkennen, leggen onze servers bij elke paginaweergave vast welke pagina of actie is opgevraagd — bij ingelogde gebruikers samen met het gebruikersaccount, bij niet-aangemelde bezoekers zonder accountverwijzing. Verder worden browsertype, besturingssysteem, apparaattype, referrer en een ingekort IP-adres vastgelegd: het laatste deel wordt voor het opslaan op nul gezet, zodat er geen volledige adresverwijzing ontstaat. Hiervoor worden geen extra cookies geplaatst, geen formulierinvoer gelogd en geen locatiebepaling uitgevoerd. Aanvragen vanuit het aanmelden, het herstellen van het wachtwoord, de persoonlijke agendalinks en de verbindingsretouren van externe diensten worden bewust niet vastgelegd, omdat die een persoonlijk veiligheidstoken in het adres bevatten. De evaluatie gebeurt uitsluitend intern voor de beheerders van clubrides.eu en is niet zichtbaar voor andere clubleden. Rechtsgrondslag is ons gerechtvaardigd belang bij een begrijpelijke en veilige werking (art. 6 lid 1 sub f AVG); bij het verwijderen van je account wordt de persoonsverwijzing van deze vermeldingen verwijderd, de vermeldingen zelf blijven geanonimiseerd bestaan.

Registratie en gebruikersaccount

Voor het gebruik van clubrides.eu is een gebruikersaccount vereist. Daarbij worden je naam, e-mailadres en een door jou gekozen wachtwoord (versleuteld opgeslagen) verwerkt, plus je rol binnen je club. Optioneel kun je een profielfoto uploaden. Als alternatief kun je inloggen via Strava — in dat geval slaan we alleen een identificatie van je Strava-account op, plus de naam en het e-mailadres die Strava doorgeeft, nooit je Strava-inloggegevens of toegangstokens. De rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (art. 6 lid 1 sub b AVG).

Inloggen met Google

Je kunt ook inloggen met je Google-account. Daarbij wordt je IP-adres naar Google (Google Ireland Limited) verzonden, en Google geeft ons een identificatie van je Google-account, je naam, je e-mailadres en of Google dat adres heeft bevestigd. Je Google-wachtwoord komen wij nooit te weten en we hebben geen toegang tot andere gegevens in je Google-account. De rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (art. 6 lid 1 sub b AVG); inloggen met Google is vrijwillig, registreren met e-mailadres en wachtwoord is gelijkwaardig mogelijk.

Inhoud die je zelf plaatst

Binnen je club kun je inhoud maken die zichtbaar is voor andere leden — bij openbare ritten ook voor gasten of niet-aangemelde bezoekers: aangemaakte ritten, aan- en afmeldingen voor ritten, aangemaakte routes met het geüploade GPX-bestand, reacties en emoji-reacties, routebeoordelingen, nieuwsberichten met bijlagen en advertenties op het prikbord (daarover hieronder een eigen paragraaf). Deze verwerking maakt de kernfunctie van clubrides.eu mogelijk, het samen coördineren van ritten (art. 6 lid 1 sub b AVG).

Chatberichten

Elke rit heeft een eigen chat. Deze is alleen zichtbaar voor de leden van die chat — aangemelde deelnemers plus personen die de chat expliciet zijn toegetreden — niet voor de hele club. Berichttekst, emoji-reacties en het moment waarop je bent toegetreden (getoond als systeembericht in het gesprek) worden bewaard zolang de rit of je gebruikersaccount bestaat. Of en wanneer je een bericht hebt gelezen, en een eventuele demp-instelling, zijn alleen voor jezelf zichtbaar, niet voor andere chatleden. Let op: berichten in deze chat zijn zichtbaar voor alle leden ervan — deel hier geen gevoelige persoonsgegevens. De rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (art. 6 lid 1 sub b AVG).

Verenigingskanaal

Naast de chats per rit kan je vereniging een verenigingsbreed kanaal inschakelen. Het is zichtbaar voor alle leden, guides en beheerders, maar niet voor gasten. Berichttekst en emoji-reacties worden bewaard zolang de vereniging of je account bestaat. Of en wanneer je een bericht hebt gelezen, en een eventuele demping, zijn alleen voor jou zichtbaar. Let op: berichten in dit kanaal zijn zichtbaar voor alle leden ervan — deel hier geen gevoelige persoonlijke gegevens. De rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (Art. 6 lid 1 sub b AVG).

Directe berichten

Leden kunnen elkaar binnen hun club direct berichten, mits je club deze functie heeft geactiveerd; voor gasten is die niet beschikbaar. Een gesprek bestaat tussen precies twee personen en apart per club — het is alleen voor die twee zichtbaar, niet voor admins en niet voor de club. De berichttekst wordt versleuteld in onze database opgeslagen; meegestuurde afbeeldingen en emoji-reacties worden als andere inhoud bewaard zolang het gesprek of je account bestaat. Of en wanneer je een bericht hebt gelezen en een eventuele stilteschakeling zie je alleen zelf. Rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (art. 6 lid 1 sub b AVG).

Afbeeldingen en bestanden

Geüploade afbeeldingen en bestanden — profielfoto, clublogo, omslagafbeeldingen van ritten, bijlagen bij nieuwsberichten, afbeeldingen in chats en directe berichten en afbeeldingen bij advertenties op het prikbord — worden eveneens opgeslagen via Amazon Web Services (serverlocatie Stockholm, Zweden). Foto's worden al op je eigen apparaat verkleind; ingesloten camera-informatie (zoals de GPS-coördinaten van de opnamelocatie) gaat daarbij verloren en bereikt onze servers niet.

Databaseback-ups

Ter bescherming tegen gegevensverlies maakt het systeem elk uur een volledige back-up van de database en slaat die — versleuteld verzonden — op in een aparte Amazon S3-bucket in Stockholm, Zweden. Een back-up bevat daarmee alle in deze verklaring genoemde accountgegevens en inhoud. De inloggegevens van de applicatie staan uitsluitend het schrijven van nieuwe back-ups toe, niet het lezen of verwijderen van bestaande — herstellen is bewust alleen handmatig door de beheerder mogelijk. Rechtsgrondslag is ons gerechtvaardigd belang bij een storingsvrije werking (art. 6 lid 1 sub f AVG).

Prikbord

Je club kan een prikbord gebruiken waarop leden eigen advertenties plaatsen (titel, prijs, beschrijving, afbeeldingen). Deze inhoud komt uitsluitend van de leden zelf; wij controleren die niet vooraf. clubrides.eu is geen aanbieder of tussenpersoon en wordt nooit partij bij een daar gesloten overeenkomst — koop, betaling en overdracht vinden uitsluitend tussen de leden plaats, zonder onze betrokkenheid, en wij aanvaarden daarvoor geen aansprakelijkheid. Een advertentie is alleen zichtbaar voor leden en gasten van die club, nooit openbaar; een concept is uitsluitend zichtbaar voor de aanbieder zelf. Daarnaast slaan we op wanneer je het prikbord het laatst hebt geopend, alleen om nieuwe advertenties voor je te markeren; niemand behalve jij ziet dat. Contact loopt via de directe berichten van de app (zie hieronder). Advertenties en hun afbeeldingen worden bewaard totdat de aanbieder ze verwijdert, en worden samen met het account of de club verwijderd. Onrechtmatige inhoud kun je bij ons melden via [email protected]; we verwijderen die na beoordeling. Rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (art. 6 lid 1 sub b AVG).

Wahoo-verbinding

Als je je Wahoo-account verbindt om routes rechtstreeks naar Wahoo Connect te uploaden, slaan we de daarvoor benodigde OAuth-toegangs- en vernieuwingstokens versleuteld op. Deze verbinding is optioneel en kan op elk moment weer worden verbroken in de instellingen (art. 6 lid 1 sub a AVG, toestemming).

Garmin-verbinding

Als je je Garmin-account verbindt om routes rechtstreeks naar Garmin Connect te uploaden, slaan we daarvoor een versleuteld sessietoken op. Je Garmin-wachtwoord zelf slaan we nooit op. Deze verbinding is optioneel en kan op elk moment weer worden verbroken in de instellingen (art. 6 lid 1 sub a AVG, toestemming).

Kalenderabonnementslink

Elk gebruikersaccount krijgt een individueel, geheim toegangstoken voor de persoonlijke kalenderabonnementslink (.ics). Met deze link kun je je abonneren op de voor jou zichtbare ritten in een externe kalender-app, zonder opnieuw in te loggen. Behandel deze link vertrouwelijk — je kunt hem in de instellingen op elk moment intrekken en opnieuw genereren.

Pushmeldingen

Als je browsermeldingen inschakelt, slaan we per apparaat of browser een door je browserleverancier uitgegeven push-adres op, plus twee versleutelingssleutels — versleuteld in onze database. De bezorging zelf loopt via de pushdienst van je browserleverancier (bijv. Google, Mozilla of Apple), die daarbij technische bezorginformatie ziet, maar niet de inhoud van het bericht (end-to-end versleuteld). In de native iOS-app lopen pushmeldingen in plaats daarvan via de Apple Push Notification service (APNs) van Apple; daarvoor slaan we een apparaat-ID op. Bij nieuwe chatberichten bevat de melding — zowel op het web als in de app — een kort fragment van de berichttekst als voorbeeld; anders dan bij browser-push is de overdracht via APNs niet end-to-end versleuteld, waardoor Apple dit fragment technisch kan inzien. De doorgifte aan Apple in de VS gebeurt op basis van passende waarborgen (onder meer EU-standaardcontractbepalingen). Deze functie is optioneel en kan op elk moment worden ingetrokken in de instellingen, via dempen van een chat, en in je browser of apparaat (Art. 6 lid 1 sub a AVG, toestemming).

E-mailbezorging

Voor systeem-e-mails (bijv. registratiebevestiging, uitnodigingen, wachtwoord resetten, ritmeldingen) gebruiken we de e-maildienstverlener Mailjet (Mailjet SAS, onderdeel van de Sinch-groep), tenzij jouw club een eigen e-mailserver heeft geconfigureerd. Daarbij worden je e-mailadres en de betreffende berichtinhoud verwerkt. De rechtsgrondslag is de uitvoering van de gebruiksovereenkomst (art. 6 lid 1 sub b AVG); met Mailjet bestaat een verwerkersovereenkomst.

Foutregistratie

Voor het opsporen en verhelpen van technische fouten gebruiken we de dienst Sentry met EU-dataresidentie (opslaglocatie Frankfurt am Main). Bij een technische fout worden het opgevraagde adres en een technische foutcontext (bijv. een stacktrace) verzonden. IP-adressen, cookies en formulierinhoud worden daarbij bewust niet meegestuurd; bekende gevoelige veldnamen zoals wachtwoorden of toegangstokens worden daarnaast automatisch gefilterd. In afzonderlijke gevallen verzenden we doelgericht technische kenmerken (zoals de database-ID van een account, een club of een advertentie) om een fout überhaupt te kunnen toewijzen — namen, e-mailadressen, berichtinhoud, push-adressen en apparaatkenmerken zitten daar nooit in. Rechtsgrondslag is ons gerechtvaardigd belang bij een werkende, foutloze exploitatie (art. 6 lid 1 sub f AVG).

Ingesloten inhoud van derden

Op sommige pagina's wordt inhoud van de volgende externe aanbieders ingesloten. Bij het laden ervan wordt noodzakelijkerwijs je IP-adres naar die aanbieder verzonden — daarnaast gelden hun eigen privacyverklaringen:

• Google Fonts (Google Ireland Limited): het lettertype "Manrope" wordt rechtstreeks van de servers van Google geladen (fonts.googleapis.com, fonts.gstatic.com).
• Font Awesome-iconen worden geladen via het content delivery network van Cloudflare (cdnjs.cloudflare.com).
• Als een rit een Komoot-link heeft, wordt op de detailpagina van de rit een routevoorbeeld van Komoot (komoot.de) ingesloten via een iframe.
• Als een rit een Strava-link heeft, wordt de officiële Strava-invoegwidget geladen (strava-embeds.com).
• Routekaarten worden weergegeven met de bibliotheek Leaflet; je browser laadt de kaarttegels rechtstreeks van de servers van OpenStreetMap.
• Voor de weersverwachting bij een rit vragen onze servers — niet je browser — bij de weerdienst Open-Meteo de verwachting op voor de startcoördinaten en -tijd van de rit. Daarbij worden geen persoonsgegevens verzonden.

Bewaartermijn

We bewaren je gegevens zolang je gebruikersaccount bestaat. Na verwijdering van je account of op verzoek worden je gegevens gewist, tenzij wettelijke bewaarplichten zich daartegen verzetten.

Jouw rechten

Als betrokkene heb je de volgende rechten:

• Inzage in de gegevens die wij over je bewaren (art. 15 AVG)
• Rectificatie van onjuiste gegevens (art. 16 AVG)
• Verwijdering van je gegevens (art. 17 AVG) — je kunt je account zelf verwijderen in je profielinstellingen, of contact met ons opnemen per e-mail
• Beperking van de verwerking (art. 18 AVG)
• Gegevensoverdraagbaarheid (art. 20 AVG)
• Bezwaar tegen de verwerking (art. 21 AVG)

Klachtrecht

Je hebt bovendien het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming, met name in de lidstaat van je gewone verblijfplaats, je werkplek of de plaats van de vermeende inbreuk.

Versleuteling

De verbinding met clubrides.eu is volledig versleuteld via TLS/SSL, herkenbaar aan het hangslotsymbool in je browser.