Privacybeleid

1. Verwerkingsverantwoordelijke

Naam

Hugo Surrel

Statuut

Zelfstandige (Auto-entrepreneur)

SIRET

89176544800016

Adres

5C Chemin des Noirs, 42600 Écotay-l'Olme, Frankrijk

E-mail

hello@runpath.fr

2. Verzamelde gegevens

RunPath verzamelt de volgende gegevens in het kader van zijn dienst:

• Accountgegevens: e-mailadres en gebruikers-ID, opgegeven bij het aanmaken van het account (authenticatie via e-mail/wachtwoord, OAuth Google, magic link of WebAuthn-passkey). De authenticatie wordt intern beheerd door RunPath en steunt niet op een externe identiteitsleverancier.
• Betaalgegevens: uitsluitend beheerd door Stripe. RunPath bewaart geen enkele creditcardgegevens op zijn servers.
• Gebruiksgegevens: maandelijkse telling van de GPX-downloads voor het beheer van de abonnementslimieten.
• Gegevens voor productmeting: logboek van de acties in de toepassing (genereren, opslaan, downloaden, importeren en exporteren in de GPX-editor) en de datum van je laatste bezoek. Dit logboek bevat geen IP-adres, geen naam van het geïmporteerde bestand en geen GPS-coördinaten: enkel het soort actie, het gebruikte domein en tellers (aantal punten van het traject, aantal waypoints).
• Routegegevens: enkel voor gebruikers met een betalend plan die een route uitdrukkelijk hebben opgeslagen: volledige GPS-coördinaten van het tracé, waypoints (draaipunten), activiteitsconfiguratie (sporttype, doelafstand, hoogtemeters, startpunt) en bijhorende metadata (naam, afstand, hoogtemeters). Deze coördinaten kunnen persoonsgegevens vormen in de zin van de AVG, want een gesloten lus vertrekt doorgaans vanuit een persoonlijke plek (thuis, werk, gewone trainingsplek). Ze worden uitsluitend bewaard om je je opgeslagen routes opnieuw te laten vinden en herdownloaden zonder je maandelijkse quotum opnieuw te belasten. Je kan een route op elk moment verwijderen vanuit je ruimte, waardoor de coördinaten definitief worden gewist.
• Contactgegevens: e-mailadres en bericht, enkel als je het contactformulier gebruikt.
• Navigatiegegevens: geanonimiseerde technische logs (IP-adres, browser) die door Vercel bewaard worden voor hosting en beveiliging.

3. Doeleinden van de verwerking

Je gegevens worden gebruikt om:

• Je gebruikersaccount aan te maken en te beheren
• Je betalingen te verwerken en je abonnement te beheren
• De GPX-generatiedienst te leveren en je maandelijks quotum op te volgen
• Je routes op te slaan (GPS-coördinaten, waypoints en activiteitsconfiguratie) zodat je ze later kan terugvinden en opnieuw downloaden; functie voorbehouden aan gebruikers met een betalend plan
• De routes te berekenen door de GPS-coördinaten van het start- en tussenpunten door te geven aan OpenRouteService
• Te antwoorden op je supportvragen
• Begrijpen hoe de dienst gebruikt wordt om ze te verbeteren en de kosten in te schatten, zonder gebruikers ooit individueel te profileren voor reclamedoeleinden
• De veiligheid en de goede werking van de dienst te garanderen

Je gegevens worden nooit verkocht of gedeeld met derden voor reclame- of commerciële doeleinden.

4. Rechtsgrond

De verwerkingen door RunPath steunen op de volgende rechtsgronden in de zin van de AVG:

• Uitvoering van de overeenkomst: voor het beheer van het account, de abonnementen, het leveren van de dienst en het opslaan en teruggeven van je routes voor gebruikers met een betalend plan dat deze functie omvat.
• Gerechtvaardigd belang: voor de beveiliging van de dienst, de preventie van misbruik en de interne meting van het productgebruik om de dienst te verbeteren.
• Toestemming: voor eventuele marketingcommunicatie (vandaag niet van toepassing).

5. Onderaannemers

RunPath doet beroep op de volgende onderaannemers om de dienst uit te baten:

Stripe

stripe.com: betalingen en beheer van de abonnementen

Vercel

vercel.com: hosting en infrastructuur

Neon

neon.tech: Postgres-database met gebruikersaccounts, abonnementen, gebruikslogs, opgeslagen routes (met AES-256-GCM-versleutelde coördinaten bovenop de native at-rest-versleuteling) en contactberichten. Locatie: AWS Europe Central 1 (Frankfurt, Duitsland), binnen de Europese Unie. De verwerking valt dus rechtstreeks onder de AVG; geen enkel mechanisme voor doorgifte buiten de EU is nodig. Rechtsgrond: uitvoering van de overeenkomst (artikel 6.1.b AVG).

Resend

resend.com: verzending van de transactionele e-mails (e-mailverificatie, wachtwoordreset, beveiligingsmeldingen, abonnementsbewijzen, bevestiging van contactname). Ontvangt je e-mailadres en de inhoud van de verzonden berichten. Doorgifte buiten de EU: Resend wordt geëxploiteerd door Resend, Inc. (Verenigde Staten). De doorgifte verloopt binnen het kader van de Standaard Contractuele Bepalingen van de Europese Commissie (besluit (EU) 2021/914) en het DPF (EU-US Data Privacy Framework) waaraan Resend deelneemt.

OpenRouteService

openrouteservice.org: routeberekening. Voor elke routegeneratie geeft RunPath aan OpenRouteService de GPS-coördinaten door van het startpunt en de tussenpunten die je op de kaart plaatst, samen met de gevraagde parameters (doelafstand, activiteitstype, beoogde hoogtemeters, routingvoorkeur, te vermijden zones). Deze coördinaten kunnen persoonsgegevens vormen voor zover ze frequente plekken kunnen onthullen (thuis, werk). Er wordt echter geen enkele gebruikers-ID, e-mailadres of andere accountgegeven doorgegeven: de aanvraag wordt door onze server verstuurd met enkel de API-sleutel en de bovenstaande parameters. Locatie: dienst geëxploiteerd door HeiGIT gGmbH (Universiteit van Heidelberg, Duitsland), binnen de Europese Unie. De verwerking valt dus rechtstreeks onder de AVG; geen Standaard Contractuele Bepaling of mechanisme voor doorgifte buiten de EU is nodig. Rechtsgrond: uitvoering van de overeenkomst (artikel 6.1.b AVG).

OpenStreetMap (Nominatim)

nominatim.openstreetmap.org: geocoderingsdienst gebruikt voor twee optionele functies: (1) de adressenzoekbalk op de kaart en (2) de weergave van de naam van de tussenpunten die je toevoegt (straat, gehucht, stad). Deze aanvragen worden rechtstreeks vanuit je browser naar de OpenStreetMap-servers verstuurd: je IP-adres, de user agent van je browser en de ingegeven coördinaten of zoektermen worden dus blootgesteld aan de OpenStreetMap Foundation. Geen enkele RunPath-account-ID wordt aan deze aanvragen toegevoegd. Locatie: OpenStreetMap Foundation, Verenigd Koninkrijk. De doorgifte verloopt binnen het kader van het adequaatheidsbesluit van de Europese Commissie van 28 juni 2021 (besluit (EU) 2021/1772) dat de doorgifte van persoonsgegevens naar het Verenigd Koninkrijk dekt. Rechtsgrond: uitvoering van de overeenkomst / gerechtvaardigd belang om een functionele adressenzoekfunctie aan te bieden.

Sentry

sentry.io: monitoring en applicatie-debugging (verzameling van fouten en performancetraces). Ontvangt je pseudonieme gebruikers-ID om fouten met elkaar te correleren, samen met technische metadata (URL, browser, call stack). Geen enkele betaalgegevens of GPS-coördinaten worden doorgegeven; de optie sendDefaultPii is uitgeschakeld en formulierinvoer is gemaskeerd in de sessieregistraties. Doorgifte buiten de EU: Sentry wordt gehost door Functional Software, Inc. (Verenigde Staten). De doorgifte verloopt binnen het kader van de Standaard Contractuele Bepalingen van de Europese Commissie (besluit (EU) 2021/914) en het DPF (EU-US Data Privacy Framework) waaraan Sentry deelneemt.

Deze leveranciers zijn onderworpen aan strikte contractuele verplichtingen op het vlak van vertrouwelijkheid, conform de AVG.

6. Bewaartermijn

Gebruikersaccount

Duur van het abonnement + 3 jaar na opzegging

Betaalgegevens

Volgens het beleid van Stripe (minimum 5 jaar, wettelijke verplichtingen)

Gebruikslogs

12 voortschrijdende maanden

Productmeting

180 voortschrijdende dagen voor het detail van de acties. De samengevoegde tellers bij het account (datum van laatste bezoek, aantal exports) volgen de bewaartermijn van het account.

Opgeslagen routes

Tot verwijdering door de gebruiker, of automatische wissing van de GPS-coördinaten en waypoints bij opzegging van het abonnement of afsluiting van het account. Een veiligheidsopkuis ruimt elke resterende route op na 12 maanden zonder actief abonnement.

Contactgegevens

2 jaar na de laatste interactie

7. Je rechten

In overeenstemming met de AVG en de Franse wet ‘Informatique et Libertés’ heb je de volgende rechten:

• Recht op inzage: een kopie van je persoonsgegevens verkrijgen
• Recht op rectificatie: onjuiste gegevens corrigeren
• Recht op verwijdering: vragen om je gegevens te wissen
• Recht op overdraagbaarheid: je gegevens in een gestructureerd formaat ontvangen
• Recht van bezwaar: bezwaar maken tegen bepaalde verwerkingen
• Recht op beperking: de beperking van de verwerking vragen

Om deze rechten uit te oefenen, contacteer: hello@runpath.fr. We antwoorden binnen 30 dagen. Als je vindt dat je rechten niet worden gerespecteerd, kan je een klacht indienen bij de CNIL.

8. Cookies

RunPath gebruikt enkel technische cookies die strikt noodzakelijk zijn voor de werking van de dienst:

• Better Auth-sessie: authenticatie en behoud van de sessie
• Gebruikersvoorkeuren: lokale instellingen van de interface

Er worden geen reclamecookies, profileringscookies of trackingcookies van derden gebruikt.

9. Veiligheid

RunPath neemt gepaste technische en organisatorische maatregelen om je gegevens te beschermen: versleutelde verbindingen (HTTPS/TLS), beperkte toegang tot de gegevens, gecertificeerde onderaannemers (Stripe is gecertificeerd PCI-DSS niveau 1).

Applicatieve versleuteling van de GPS-coördinaten. De GPS-coördinaten en draaipunten van je opgeslagen routes worden op applicatieniveau versleuteld met AES-256-GCM vóór invoeging in de database, bovenop de native at-rest-versleuteling van onze host Neon. De masterkey wordt uitsluitend bewaard in de omgevingsvariabelen van de applicatie en wordt nooit in de database opgeslagen. Bij een lek of niet-toegestane kopie van een SQL-dump blijven de kolommen met je routes onleesbaar zonder deze sleutel.

10. Wijzigingen

Dit beleid kan worden bijgewerkt om evoluties van de dienst of de regelgeving te weerspiegelen. De datum van de laatste bijwerking staat bovenaan de pagina. Bij substantiële wijzigingen word je per e-mail op de hoogte gebracht.