1. Verantwoordelijke voor de verwerking
TrapSpotter is een handelsnaam van TrapSpotter BV.
Adres: Trekschurenstraat 245, 3500 Hasselt, België
Ondernemingsnummer (BTW): BE1031603017
E-mail (GDPR / DPO): privacy@trapspotter.com
Algemeen contact: contact@trapspotter.com
2. Welke gegevens verzamelen wij?
Om onze diensten te leveren en te verbeteren verzamelen wij:
- Accountgegevens: e-mailadres, gebruikersnaam, telefoonnummer en wachtwoord
- Locatiegegevens: GPS-coördinaten voor realtime waarschuwingen langs uw route
- Gebruiksgegevens: informatie over rapporten, routes en voorkeuren
- Apparaatgegevens: apparaattype, besturingssysteem, appversie en pushtoken
- Betalingsgegevens: verwerkt door Apple, Google of Stripe; wij ontvangen geen kaartgegevens
- Communicatie: berichten met onze AI-assistent of WhatsApp-bot
- Advertentie-ID en app-identificatie: alleen met uw toestemming, om advertenties te tonen in de gratis versie en onze eigen advertentiecampagnes te meten
- Website- en webappbezoeken: de pagina’s die u bekijkt en de campagne die u bij ons bracht (utm_*-parameters); cookies van Google Analytics en Microsoft Clarity (heatmaps en afgeschermde sessie-opnames) alleen als u ze accepteert (zie artikel 11)
- Zoekopdrachten: wat u in de kaartzoekfunctie typt
- Kaartverzoeken: wanneer de app de kaart laadt, ontvangt onze eigen kaartserver het IP-adres van uw toestel, het kaartgebied dat u bekijkt en het type toestel en app of browser (zie artikel 5 en 8)
- Diagnostiek: crash- en foutrapporten
- Foto's van documenten: alleen als u de documentenportefeuille gebruikt; versleuteld bewaard bij uw account
3. Waarom verzamelen wij deze gegevens?
- Onze diensten leveren, waaronder waarschuwingen, navigatie en communitymeldingen
- Uw account en abonnement beheren
- Onze app en diensten verbeteren
- Communiceren over uw account en belangrijke updates
- Aan wettelijke verplichtingen voldoen
- Fraude voorkomen en misbruik bestrijden
4. Rechtsgrondslag (GDPR artikel 6)
Wij verwerken persoonsgegevens op basis van:
- Toestemming voor optionele functies zoals pushmeldingen, analytics en marketing; u kunt die altijd intrekken
- Uitvoering van een overeenkomst om accounttoegang, abonnementen en alerts te leveren
- Gerechtvaardigd belang voor fraudepreventie, beveiliging, productverbetering, cookieloze websitestatistieken en bescherming van onze infrastructuur
- Wettelijke verplichting voor fiscale administratie en rechtmatige verzoeken van autoriteiten
Meer informatie
GDPR artikel 6: https://gdpr-info.eu/art-6-gdpr/
5. Delen met derden (subverwerkers)
Wij verkopen uw gegevens niet. Wij delen ze alleen met subverwerkers die onze diensten mogelijk maken onder GDPR-conforme overeenkomsten.
- Supabase — database, authenticatie en bestandsopslag via EU-hosting in Stockholm (Zweden)
- Hetzner Online (Duitsland) — hosting van onze eigen servers voor kaarten, routes, zoeken en live-waarschuwingen; ontvangt de locaties, routes en zoektermen die nodig zijn om uw verzoek te beantwoorden, met een gehashte gebruikerssleutel in plaats van uw naam. Wanneer de app de kaart laadt, haalt uw toestel die rechtstreeks op bij onze kaartserver in Falkenstein, Duitsland (EU). Die ontvangt het IP-adres van uw toestel, het kaartgebied dat u bekijkt (vaak de omgeving waar u bent) en het type toestel en app of browser dat u gebruikt. Wij gebruiken dat alleen om de kaart te leveren en te beschermen tegen misbruik (een limiet op het aantal verzoeken), bewaren het maximaal 15 dagen in de serverlogs en koppelen het niet aan uw account
- Stripe — webbetalingen en abonnementen
- RevenueCat — beheer van iOS- en Android-abonnementen; ontvangt uw account-ID en, om aankopen aan uw account te koppelen, uw e-mailadres, naam en telefoonnummer
- Apple — betalingen via de App Store, Inloggen met Apple, pushbezorging via APNs, spraakherkenning wanneer u een bericht dicteert (Apple verwerkt de audio) en, alleen met uw toestemming voor advertentiemeting, Apple Ads-attributie (AdServices): of een installatie op iOS uit een Apple Ads-campagne kwam
- Google — betalingen via Google Play, Google Sign-In, Firebase Cloud Messaging voor pushmeldingen, de Play Install Referrer (welke campagne tot een installatie leidde), app-updates via Google Play, tekstherkenning op het toestel voor documentscans (ML Kit, het model wordt door Google Play-services geleverd) en spraakherkenning op Android wanneer u dicteert
- Google Analytics (Google Ireland Limited) — onze eigen Google Analytics 4-property, gekoppeld aan ons eigen Google Ads-account, meet bezoeken aan trapspotter.com en het gebruik van de webapp op app.trapspotter.com. Zonder toestemming ontvangt het alleen cookieloze pings, zonder cookie en zonder blijvende identificatie; met toestemming (de cookiebanner van de website, of de eigen toestemmingsinstellingen van de webapp) gebruikt het zijn cookies en, op de website, de advertentiemetingscookies van Google. E-mailadressen en inlog- en uitschrijftokens in paginaadressen worden verwijderd voordat ze Google bereiken. Zie artikel 11
- Microsoft Clarity (Microsoft Ireland Operations Limited) — heatmaps en sessie-opnames van bezoeken aan trapspotter.com, alleen nadat u accepteert in de cookiebanner van de website, zodat wij zien hoe de website gebruikt wordt en hem kunnen verbeteren. Het ontvangt de pagina’s die u bekijkt, klikken, scrollen en muisbewegingen, hoe de pagina eruitzag, uw type apparaat en browser en een gepseudonimiseerde ID; wat u typt, cijfers en e-mailadressen worden in uw browser afgeschermd, en het formulier van Mijn Boete, het contactformulier en het nieuwsbriefformulier worden volledig afgeschermd, zodat die inhoud nooit wordt verstuurd. Microsoft treedt voor deze gegevens op als zelfstandige verwerkingsverantwoordelijke en kan ze ook voor eigen doeleinden gebruiken volgens de privacyverklaring van Microsoft. Wij gebruiken Clarity niet voor advertenties. De webapp en de iOS- en Android-app gebruiken geen Clarity. Zie artikel 11
- Google Analytics for Firebase — meet in de iOS- en Android-app welke van onze eigen Google Ads-campagnes tot een installatie, registratie of abonnement hebben geleid. Pas na uw toestemming voor productanalyse gebruikt het een app-identificatie, app-gebeurtenissen en, gemeld door onze server, de start van uw proefperiode en abonnement en de verlengingen, met de prijs; voor advertentiedoeleinden is ook uw toestemming voor advertentiemeting nodig. Op iOS kan Google met die toestemming uw e-mailadres of telefoonnummer, gehasht op uw toestel, daar vergelijken met een advertentie die u zag; het verlaat uw toestel niet. Zonder toestemming verstuurt de app alleen cookieloze pings zonder enige identificatie (Google Consent Mode); zie artikel 11
- Google AdMob — advertenties in de gratis versie, alleen wanneer er advertenties worden getoond en pas nadat u advertentiemeting toestaat en daarna ook in het toestemmingsvenster van Google. AdMob kan uw advertentie-ID, IP-adres en globale locatie gebruiken om advertenties te kiezen en te meten. Premium-abonnees zien geen advertenties en hun gegevens gaan niet naar AdMob
- Meta — advertentiemeting in de iOS- en Android-app, uitsluitend na uw toestemming voor advertentiemeting; zie artikel 11. De website en de webapp bevatten geen tracking van Meta. Berichten aan onze WhatsApp-bot lopen via het WhatsApp Business-platform van Meta
- Mapbox — routeberekening met actueel verkeer en, als reserve voor onze eigen servers, adressen zoeken en coördinaten omzetten naar een adres; ontvangt routepunten, zoektermen en coördinaten, niet uw identiteit
- OpenAI via de Vercel AI Gateway — de AI-assistent en het verwerken van meldingen die u schrijft. Om te antwoorden ontvangt het uw berichten en, als context, uw positie, snelheid, actieve route en opgeslagen plaatsen (zoals thuis). Uw gegevens worden niet gebruikt om modellen te trainen
- Twilio — de WhatsApp-bot
- CM.com — sms met eenmalige inlogcodes
- Resend — transactionele e-mail en de nieuwsbrief
- Sentry (EU) — crash- en foutdiagnostiek (fouttype, appversie, toestelmodel en uw gebruikers-ID, zodat we een crash aan een supportvraag kunnen koppelen)
- Cloudflare — botbescherming bij het inloggen en registreren (Turnstile)
- Vercel — hosting van de website, de AI Gateway en Vercel Web Analytics (cookieloze, geaggregeerde tellingen van paginaweergaven op de website)
- Uber — alleen als u zelf een rit bestelt vanuit de app: uw ophaalpunt en bestemming worden aan Uber doorgegeven
Wettelijke verzoeken
Wij delen gegevens met overheidsinstanties wanneer de wet dat vereist.
6. Uw rechten
Onder de GDPR heeft u recht op:
- Inzage in de gegevens die wij bewaren
- Rectificatie van onjuiste gegevens
- Verwijdering (recht om vergeten te worden)
- Beperking van de verwerking
- Dataportabiliteit in een gestructureerd formaat
- Bezwaar tegen bepaalde verwerkingen
- Intrekking van toestemming
- Een klacht bij de Gegevensbeschermingsautoriteit (GBA)
Een verzoek indienen
Mail privacy@trapspotter.com. Wij reageren binnen 30 dagen conform de GDPR.
7. Beveiliging
Wij nemen passende technische en organisatorische maatregelen, waaronder TLS 1.3 tijdens transport, AES-256 voor opslag, RLS-beleid op databaseniveau, snelheidsbeperking op gevoelige endpoints, idempotente betaalwebhooks en auditlogs voor wijzigingen in abonnementen.
8. Bewaartermijnen
Wij bewaren gegevens niet langer dan noodzakelijk:
- Account- en profielgegevens: zolang uw account actief is; na verwijdering worden ze onmiddellijk gewist
- Sms- en OTP-codes: vervallen na 10 minuten en worden daarna gewist
- Betalingsgegevens: 7 jaar volgens het Belgische boekhoudrecht
- Communitymeldingen: de inhoud kan voor de community blijven bestaan, maar wordt na accountverwijdering van uw identiteit losgekoppeld
- Antifraudegegevens: maximaal 24 maanden en eenrichtingsgehasht
- Serverlogs van onze kaartserver (het IP-adres van uw toestel en het bekeken kaartgebied): maximaal 15 dagen
- Uitschrijflijst: als u zich uitschrijft of uw account verwijdert, bewaren wij een eenrichtingshash van uw telefoonnummer zodat wij u niet opnieuw kunnen aanschrijven. Wij bewaren het nummer zelf niet
- Gegevens in Google Analytics (website, webapp en de iOS- en Android-app): 14 maanden
- Microsoft Clarity (website): opnames 30 dagen — een willekeurige steekproef, en opnames die wij markeren, tot 9 maanden; heatmap- en klikgegevens 9 maanden (de bewaartermijn van Microsoft)
9. Internationale gegevensoverdrachten
Onze primaire infrastructuur staat in de EU (Supabase in Stockholm, Zweden; onze eigen servers bij Hetzner in Falkenstein, Duitsland). Verschillende subverwerkers zijn gevestigd of verwerken gegevens buiten de EU, vooral in de Verenigde Staten: Google (waaronder Google Analytics, dat wij afnemen via Google Ireland Limited), Microsoft (Microsoft Clarity, dat wij afnemen via Microsoft Ireland Operations Limited), Apple, Meta, OpenAI, Stripe, RevenueCat, Twilio, Resend, Mapbox, Cloudflare, Vercel (waaronder Vercel Web Analytics) en Uber. Doorgiften steunen op passende waarborgen:
- Standaardcontractbepalingen van de EU (SCC’s)
- Het EU-VS-gegevensprivacykader, voor aanbieders die daaronder gecertificeerd zijn
- Adequaatheidsbesluiten van de Europese Commissie waar van toepassing
- Aanvullende waarborgen die volgen uit het Schrems II-arrest
Meer informatie
GDPR artikel 44: https://gdpr-info.eu/art-44-gdpr/
10. Minderjarigen
TrapSpotter is gericht op bestuurders en is niet bestemd voor personen jonger dan 16 jaar. Wij verzamelen niet bewust gegevens van minderjarigen onder de GDPR-leeftijdsgrens. Ouders of voogden kunnen een vermoeden melden via privacy@trapspotter.com.
12. Wijzigingen
Wij kunnen dit privacybeleid wijzigen. De datum bovenaan vermeldt de laatste aanpassing. Belangrijke wijzigingen melden wij per e-mail of via een in-appbanner.
Bedrijfsseats: TrapSpotter Teams en Fleet
Uw werkgever of opdrachtgever (het bedrijf) kan u een seat geven. U krijgt dan TrapSpotter Premium zolang de seat loopt, met uw eigen TrapSpotter-account.
Wie verantwoordelijk is. Voor uw account en uw gebruik van de app (waarschuwingen, navigatie, meldingen, Premium) blijft TrapSpotter verwerkingsverantwoordelijke, zoals in dit privacybeleid. Voor de gegevens in de console van het bedrijf is het bedrijf verwerkingsverantwoordelijke en verwerkt TrapSpotter die gegevens in zijn opdracht, volgens een verwerkersovereenkomst (artikel 28 AVG). Het bedrijf moet u vooraf informeren over wat het met die gegevens doet.
Wat het bedrijf ziet bij Teams. De gegevens die het zelf over u invulde (naam, e-mailadres en, als het die invulde, telefoon, functie en personeelsnummer), of u de uitnodiging aanvaardde, uw seat en zijn facturen. Daarnaast:
- het voertuig dat het u toewijst, met de papieren en hun scans, die u ook in de app ziet;
- de bonnetjes die u instuurt, met foto;
- een verkeersboete die het bij u registreert, en uw antwoord op de vraag of u reed (zie hieronder).
De klanten van het bedrijf verschijnen wanneer u in de app zoekt; of u ze opzoekt of ernaartoe rijdt, ziet het bedrijf niet. Teams registreert geen werkdagen, ritten, posities of uren. Het bedrijf ziet niet waar of wanneer u rijdt, welke waarschuwingen u krijgt of meldt, uw opgeslagen plaatsen, uw zoekopdrachten, uw eigen documenten in de app, uw berichten aan de assistent, en ook niet of en wanneer u de app gebruikt.
Wat het bedrijf ziet bij Fleet. Alles van Teams, en daarnaast, alleen tussen "Start werkdag" en "Stop werkdag" en, als het bedrijf werkuren instelt, alleen binnen die werkuren:
- uw werkdagen (begin en einde) en het voertuig of de eigen wagen;
- uw ritten: vertrek, aankomst, de gevolgde route, de afstand en de klant;
- van een rit die u privé maakt, alleen het tijdstip en de afstand: de plaatsen, de route en de klant worden definitief gewist;
- uw live positie, alleen als het bedrijf die functie aanzet: hoogstens één keer per minuut, alleen tijdens een werkdag, en na 30 minuten gewist. U ziet in de app of ze aanstaat;
- bij een boete, de rit die toont wie op dat moment met het voertuig reed;
- de kilometerstaat en de uren die daaruit berekend worden.
Buiten een werkdag registreert de app niets voor het bedrijf. Een werkdag die u vergeet te stoppen, stopt vanzelf na het aantal uur dat het bedrijf koos, en aan het einde van de werkuren. Het bedrijf ziet nooit uw opgeslagen plaatsen, uw eigen documenten in de app, uw berichten aan de assistent, de waarschuwingen en meldingen in de app, of uw eigen betalingen.
Politiecontroles. Op een bedrijfsseat zijn politiecontroles standaard verborgen tijdens het werk (bij Teams altijd, tenzij u ook zelf Premium betaalt; bij Fleet tijdens een werkdag), tenzij het bedrijf ze aanzet. In Duitsland zijn tijdens een werkdag ook de waarschuwingen voor flitsers uit, omdat de wet de bestuurder verbiedt ze te gebruiken.
Rechtsgrond. Wij gebruiken uw seat om u Premium te geven, als uitvoering van de overeenkomst met u (artikel 6, lid 1, b AVG). Voor de gegevens in de console bepaalt het bedrijf de rechtsgrond.
Wanneer de seat stopt. Verlaat u het bedrijf of verwijdert het bedrijf u, dan stopt uw seat en de Premium ervan. Uw TrapSpotter-account blijft bestaan. De werkgegevens die het bedrijf al had, blijven bij het bedrijf zolang het die nodig heeft, en uiterlijk tot het einde van zijn abonnement plus de termijn in de verwerkersovereenkomst. Verwijdert u uw TrapSpotter-account, dan wordt uw lidmaatschap beëindigd; de werkgegevens worden niet meer aan uw account gekoppeld, maar het bedrijf kan ze als werkgever bewaren.
Uw rechten. Voor de gegevens in de console richt u zich tot het bedrijf. Stuurt u uw verzoek naar privacy@trapspotter.com, dan bezorgen wij het aan het bedrijf en helpen wij het om te antwoorden.
Bevestiging van een boete
Ontvangt het bedrijf een verkeersboete voor een voertuig, dan kan het die bij u registreren en u in de app vragen of u op dat moment met dat voertuig reed: bij Teams omdat het voertuig aan u is toegewezen (Teams registreert geen ritten, dus dat bewijst niet dat u reed), bij Fleet omdat uw rit van dat moment het toont. U krijgt dan een melding en ziet de vraag op de pagina Werk.
- Gegevens: de nummerplaat, de datum, het uur en de plaats van de overtreding, de referentie, en uw antwoord (ja of nee); bij Fleet ook de rit.
- Wie beslist: het bedrijf is verwerkingsverantwoordelijke. Het beslist of het u aanwijst als bestuurder bij de overheid. Waar de wet het bedrijf verplicht de bestuurder aan te wijzen (in België binnen 15 dagen, in Luxemburg en Frankrijk binnen 45 dagen), is dat de rechtsgrond.
- Gevoelige gegevens: gegevens over verkeersovertredingen zijn gegevens over strafbare feiten (artikel 10 AVG). Alleen de eigenaar en de beheerders van het bedrijf zien ze.
- Bewaring: automatisch gewist na de termijn van het land van het bedrijf: in België 24 maanden na de overtreding; in Frankrijk en Luxemburg 45 dagen na de datum van de brief (zonder die datum 90 dagen na de overtreding); in Nederland 30 dagen nadat het bedrijf de boete afsluit, en anders uiterlijk 24 maanden na de overtreding. In Duitsland wordt geen boete bewaard. Het bedrijf kan ze eerder wissen.
Partnercodes
Wisselt u een code van een partner in (op trapspotter.com/code), dan bewaren wij bij uw account van welke partner en welke batch de code komt, wanneer u ze inwisselde en tot wanneer uw Premium loopt. Wij gebruiken dat om u de Premium te geven, om "Premium via [partner] tot [datum]" te tonen en om aantallen te tellen.
- Rechtsgrond: uitvoering van de overeenkomst met u (artikel 6, lid 1, b AVG).
- Wat de partner ziet: alleen aantallen (uitgegeven, ingewisseld, actief). Nooit uw naam, uw e-mailadres of dat u een code inwisselde.
- Bewaring: zolang uw account bestaat. Verwijdert u uw account, dan blijft alleen een anonieme telling over.
13. Contact en klachten
E-mail (GDPR / DPO): privacy@trapspotter.com
Adres: Trekschurenstraat 245, 3500 Hasselt, België
U kunt een klacht indienen bij de Gegevensbeschermingsautoriteit via https://www.gegevensbeschermingsautoriteit.be/ wanneer u meent dat wij uw gegevens niet correct verwerken.