Privacy in ELTI

Locatie, ook op de achtergrond

ELTI vraagt toestemming voor je locatie omdat een rittenregistratie zonder vertrek- en aankomstadres niets waard is. Je bepaalt zelf hoever die toestemming gaat:

• Bij gebruik van de app. Je start en stopt elke rit zelf. De app legt de rit vast zolang hij op de voorgrond of actief op de achtergrond is.
• Altijd. Alleen met deze toestemming kan ELTI ritten automatisch registreren terwijl je telefoon vergrendeld is of de app gesloten. iOS toont daarbij periodiek zelf een herinnering dat een app je locatie op de achtergrond gebruikt.
• Nauwkeurige locatie. Nauwkeurige GPS staat alleen aan tijdens een (mogelijke) rit, of eenmalig als je zelf Huidige locatie kiest. Buiten ritten gebruikt ELTI zuinige signalen van iOS: grove locatiewijzigingen en een vertrekgebied rond je laatste parkeerplek. Zet je nauwkeurige locatie uit, dan werkt automatische registratie niet of slecht — de app zegt dat er dan ook bij.

Locatiepunten worden gebruikt om afstand, route, vertrek- en aankomstpunt van je eigen ritten te bepalen. Ze worden opgeslagen in de app op je iPhone en niet naar een server van Toss it Online gestuurd — die server bestaat niet. Je kunt de toestemming op elk moment intrekken via Instellingen → Privacy en beveiliging → Locatievoorzieningen → ELTI.

Coördinaten omzetten naar een adres

Om van coördinaten een leesbaar adres te maken, om een locatie te zoeken en om kaarten te tonen, gebruikt ELTI de kaartdiensten van Apple. Concreet:

• Na elke rit gaan het beginpunt en het eindpunt automatisch naar Apple om er een adres bij te zoeken, ook als de app op de achtergrond draait. De route daartussen gaat niet mee.
• Kies je zelf Huidige locatie, dan gaat die ene locatie naar Apple voor het adres.
• Zoek je een plaats of adres, dan gaat je zoekterm naar Apple, met als zoekgebied de omgeving van je thuislocatie (of van het eindpunt van je laatste rit).
• Een kaart tonen haalt kaartbeelden van Apple op voor het gebied dat je bekijkt.

Apple verwerkt die verzoeken onder haar eigen privacybeleid. ELTI stuurt er geen naam, e-mailadres of accountgegevens bij, omdat de app die niet heeft, en Toss it Online ontvangt deze gegevens niet. Het antwoord, het adres, wordt bij de rit op je telefoon bewaard.

Bewegingsgegevens

ELTI vraagt toegang tot Beweging en fitness om te herkennen dat je in een auto zit in plaats van loopt of fietst. Dat is precies de reden dat GPS uit kan blijven zolang je niet rijdt, wat je batterij spaart. De app gebruikt deze signalen om een rit te starten of te beëindigen. Als iOS de app op de achtergrond wekt, kijkt ELTI kort terug in de bewegingsgeschiedenis die iOS zelf bijhoudt. ELTI slaat geen bewegingsgeschiedenis op en deelt deze gegevens niet. Toegang weigeren kan: automatische herkenning wordt dan minder betrouwbaar en ELTI legt uit wat er dan nog werkt.

Wat er in een rit wordt vastgelegd

Per rit kan ELTI het volgende bewaren, afhankelijk van je instellingen en wat je zelf invult: datum en tijden, begin- en eindstand van de kilometerteller, GPS-afstand, routepunten, vertrek- en aankomstadres, de indeling zakelijk, privé of woon-werk, privé-omrijkilometers, notities en een wijzigingsgeschiedenis van handmatige correcties. Daarnaast bewaart de app je voertuigen (merk, type, kenteken, gebruiksperiode), vaste locaties, werkschema en regels, kilometertarieven en je instellingen.

Al deze gegevens staan in de app-opslag op je iPhone, beschermd door de standaard versleuteling van iOS zolang je toestel een toegangscode heeft. Ze zijn niet zichtbaar voor Toss it Online.

Lokaal, zonder account en zonder cloudsynchronisatie

• Er is geen registratie, geen inlog en geen wachtwoord. ELTI kent je naam of e-mailadres niet.
• Er is geen cloudsynchronisatie tussen apparaten en geen back-upserver van Toss it Online.
• Een rapport, CSV-bestand of PDF verlaat je telefoon alleen wanneer jij het zelf deelt of mailt.
• Ritten vastleggen werkt zonder internetverbinding. Verbinding is nodig voor adressen, zoeken en kaarten (Apple) en voor je abonnement (Apple en RevenueCat).

Eén nuance die eerlijk vermeld moet worden: als je op je iPhone iCloud-back-up of een computerback-up gebruikt, kan die back-up de gegevens van ELTI bevatten. Dat is een functie van Apple die jij beheert in de instellingen van je toestel, en die valt onder het privacybeleid van Apple. Toss it Online heeft geen toegang tot die back-ups.

Abonnementen: Apple en RevenueCat

ELTI Pro is een abonnement dat je koopt via de App Store. De betaling loopt volledig via Apple: Toss it Online ziet je creditcard- of bankgegevens niet, en ook je volledige naam of adres niet. Apple verwerkt de aankoop onder haar eigen privacybeleid.

Om te bepalen of Pro ontgrendeld moet worden, gebruikt ELTI RevenueCat, een dienst voor abonnementsbeheer. RevenueCat ontvangt daarvoor bij elke start van de app (ook als iOS de app op de achtergrond start voor een rit) en bij een aankoop:

• een willekeurig (pseudoniem) app-gebruikers-ID dat bij de eerste start wordt aangemaakt. Het is niet gekoppeld aan je naam, e-mailadres of een account. Op deze pagina heet het kortweg de anonieme ID;
• de IDFV (identifier for vendor): een apparaat-ID die per ontwikkelaar verschilt. Dat is geen advertentie-ID;
• je aankoop- en abonnementsstatus van Apple (welk product, actief of verlopen, proefperiode, vernieuwingsdatum, prijs en valuta);
• technische gegevens: toestelmodel, taal, land van je App Store-account, app-versie en iOS-versie. Zoals bij elk internetverzoek ziet RevenueCat ook je IP-adres.

Die gegevens worden gebruikt om je abonnement te controleren en Pro te ontgrendelen, en om inzicht te krijgen in aankopen (aantallen, proefperiodes, opzeggingen). Ze worden niet gebruikt voor advertentieprofielen en niet om je over apps of websites heen te volgen. RevenueCat verwerkt ze in opdracht van Toss it Online. Ritten, adressen, routes, kentekens en notities gaan nooit naar RevenueCat.

Herkomst van een installatie (Apple Search Ads)

Na een nieuwe installatie vraagt de app eenmalig via Apple’s AdServices-systeem een attributietoken op en geeft dat door aan RevenueCat. RevenueCat haalt daarmee bij Apple op of de installatie uit een Apple Ads-advertentie kwam, en zo ja uit welke campagne, advertentiegroep en welk zoekwoord. Zo is te zien welke advertenties werken en waar advertentiebudget naartoe gaat. RevenueCat bewaart die herkomst per installatie, bij de anonieme ID. De gegevens komen van Apple zelf: er wordt geen advertentie-ID (IDFA) gebruikt en je wordt niet gevolgd over andere apps of websites heen. Daarom toont ELTI ook geen App Tracking Transparency-venster. Wil je dit niet, dan kun je daartegen bezwaar maken (zie Je rechten).

Geen advertenties, geen externe analytics

• Geen advertentie-SDK’s in de app en geen advertenties in het product.
• Geen verkoop of verhuur van locatiegegevens, en geen doorgifte aan adverteerders of databrokers. Niet nu, en het is geen verdienmodel dat in de planning staat. Alleen Apple krijgt locaties, voor adressen, zoeken en kaarten (zie boven).
• Geen externe analytics-SDK zoals Firebase of Amplitude. Gebruiksstatistieken blijven op het toestel (via de systeemlogboeken van iOS) en bevatten nooit locaties, adressen, kentekens of notities.
• Geen locaties, adressen of routes in foutmeldingen of logbestanden.

Als hier ooit een externe dienst bij komt, wordt dat eerst op deze pagina en in de App Store-privacylabels aangepast — niet stilzwijgend in een update.

Meldingen, widgets en het toegangsscherm

Meldingen van ELTI (bijvoorbeeld “rit gestart” of “rit opgeslagen”) worden lokaal op je toestel gemaakt. Er is geen pushserver en er gaat geen inhoud naar Toss it Online. Tijdens een rit kan ELTI een kaart op je toegangsscherm en in de Dynamic Island tonen met de afstand, de starttijd en (als je kilometers declareert) een indicatief bedrag, plus knoppen om de rit in te delen of te stoppen. Die kaart toont bewust geen adressen of locaties, en je kunt hem uitzetten in Meer → Registratie → Lopende rit op vergrendelscherm.

Diagnostiek die je zelf deelt

Werkt automatische registratie niet goed, dan kun je via Meer → Ondersteuning → Diagnostiek (bèta) een technisch overzicht delen: app- en iOS-versie, batterijniveau en energiebesparingsmodus, status van toestemmingen, de grove GPS-nauwkeurigheid, tellers van gestarte en gestopte ritten, de laatst herkende beweging en foutcodes. Deze export bevat geen locaties, adressen of routes, en verlaat je telefoon alleen als jij hem zelf deelt, bijvoorbeeld per mail.

Wat er in de App Store-privacylabels staat

Apple hanteert een vaste indeling voor “verzamelde gegevens”: gegevens die de app van je toestel afstuurt naar de ontwikkelaar of een derde partij. Voor ELTI wordt het volgende opgegeven:

• Aankopen (aankoopgeschiedenis): voor het laten werken van de app en voor analyse. Niet gebruikt om je te volgen.
• Identificatiegegevens (gebruikers-ID en apparaat-ID): het anonieme app-gebruikers-ID voor abonnementsbeheer en analyse, en de IDFV voor abonnementsbeheer. Niet gebruikt om je te volgen.
• Gebruiksgegevens (advertentiegegevens): de Apple Ads-herkomst van een installatie, voor analyse en voor de eigen advertenties van Toss it Online. Niet gebruikt om je te volgen.

Apple noemt deze gegevens “gekoppeld aan jou”, omdat ze bij één anonieme ID horen. Ze zijn niet gekoppeld aan je naam, e-mailadres of een account; die kent ELTI niet.

Locatie staat daar niet tussen, en dat is geen slordigheid: je locatiegegevens en ritten verlaten je iPhone niet richting Toss it Online. Coördinaten die naar Apple gaan om er een adres van te maken, worden op dat moment verwerkt om jouw verzoek uit te voeren en worden door de ontwikkelaar niet ontvangen of bewaard. Mocht een toekomstige versie dat veranderen, dan verandert het label mee en lees je het hier eerst.

Bewaren en verwijderen

Jij bepaalt hoelang je ritten blijven bestaan. ELTI verwijdert uit zichzelf geen ritten die je hebt bewaard: oude ritten blijven staan tot je ze weghaalt.

• Eén rit verwijderen doe je in de rit zelf. De rit verdwijnt meteen uit je overzichten en rapporten. Hij blijft nog 30 dagen in de app-opslag en wordt daarna, bij de eerstvolgende start van de app, definitief gewist met route en adressen.
• Alles verwijderen doe je via Meer → Privacy & gegevens → Alle gegevens verwijderen: ritten, voertuigen, locaties, exportbestanden, instellingen en al getoonde meldingen worden direct definitief van je iPhone gehaald. De anonieme abonnements-ID van RevenueCat blijft staan, zodat je daarmee nog om verwijdering bij RevenueCat kunt vragen.
• De app van je toestel verwijderen wist de app-gegevens eveneens. Bewaar dan eerst een export, want er is geen kopie bij Toss it Online. Een iCloud- of computerback-up van je toestel kan de gegevens nog wel bevatten.
• De gegevens bij RevenueCat (anonieme ID, aankoopgeschiedenis en Apple Ads-herkomst) bewaart Toss it Online zolang je abonnement loopt en daarna voor de aankoopgeschiedenis, uiterlijk zeven jaar na je laatste aankoop. Vraag je eerder om verwijdering, dan gebeurt dat eerder. Verwijderen van de app of van je ritten wist die gegevens niet. Wil je dat ze worden verwijderd, stuur dan je anonieme abonnements-ID naar info@tossitonline.com. Die ID vind je in Meer → Ondersteuning → Diagnostiek (bèta). Noteer hem voordat je de app verwijdert. Heb je hem niet meer, stuur dan het bestelnummer uit je Apple-aankoopbewijs mee.

Houd er rekening mee dat het verwijderen van gegevens iets anders is dan het bewaren van je administratie. De Belastingdienst gaat er in het algemeen van uit dat een bedrijfsadministratie — waar kilometergegevens van een zakelijke auto onderdeel van zijn — zeven jaar wordt bewaard. ELTI kan die plicht niet voor je invullen. De app geeft je wel altijd toegang tot een CSV-export, ook zonder abonnement, zodat je je eigen archief kunt bijhouden. PDF-rapporten horen bij ELTI Pro.

Je rechten (AVG)

Toss it Online is de verwerkingsverantwoordelijke voor ELTI. Je ritten, locaties en adressen worden in de app op je eigen iPhone verwerkt om de dienst te leveren die je gebruikt (grondslag: uitvoering van de overeenkomst, artikel 6 lid 1 sub b AVG). Toss it Online heeft daar geen toegang toe. Inzage, correctie, export en verwijdering doe je daarom rechtstreeks in de app.

Voor je abonnement worden gegevens verwerkt via Apple en RevenueCat (grondslag: uitvoering van de overeenkomst). Inzicht in aankopen en de Apple Ads-herkomst van een installatie gebeuren op basis van gerechtvaardigd belang (artikel 6 lid 1 sub f AVG): de app verbeteren en betaalbaar houden, en weten welke advertenties werken, zonder je te volgen. Je kunt daartegen bezwaar maken via info@tossitonline.com; dan wordt het record bij RevenueCat verwijderd (stuur je anonieme ID mee). RevenueCat, Inc. (Verenigde Staten) verwerkt deze gegevens als verwerker in opdracht van Toss it Online. Voor de doorgifte naar de Verenigde Staten gelden de standaardcontractbepalingen van de Europese Commissie. Apple en RevenueCat hebben elk een eigen privacybeleid en bieden dezelfde of een gelijkwaardige bescherming als in deze verklaring staat.

Voor gegevens die Apple zelf verwerkt (je aankoop, adressen en kaarten) wend je je tot Apple via apple.com/legal/privacy. Voor een e-mail die je stuurt en voor de gegevens bij RevenueCat gelden de rechten uit de algemene privacyverklaring: inzage, correctie, verwijdering, beperking, overdraagbaarheid, bezwaar en het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (in België: de Gegevensbeschermingsautoriteit).

Kinderen

ELTI is bedoeld voor volwassen bestuurders en richt zich niet op kinderen. De app verzamelt niet bewust gegevens van kinderen onder de 13 jaar.

Wijzigingen

Verandert er iets wezenlijks — een nieuwe dienst, synchronisatie, een extra gegevenscategorie — dan wordt deze pagina aangepast, verandert de datum hieronder en worden de App Store-privacylabels bijgewerkt voordat de functie uitkomt.

Contact

Vragen, verzoeken of twijfel over iets wat hierboven staat: info@tossitonline.com. Elk bericht wordt persoonlijk gelezen. Praktische vragen over de app staan op de ondersteuningspagina, en wat ELTI doet lees je op de productpagina.