Privacybeleid Grenshopper

1. Wie zijn wij?

Grenshopper is een mobiele applicatie ontwikkeld en beheerd door Grenshopper B.V., gevestigd in Nederland. Grenshopper B.V. is verantwoordelijk voor de verwerking van je persoonsgegevens zoals beschreven in dit privacybeleid.

Voor vragen over dit privacybeleid kun je contact opnemen via: hello@grenshopper.nl

2. Welke gegevens verzamelen wij?

2.1 Gegevens die je zelf verstrekt

• Naam en e-mailadres (bij het aanmaken van een account), en je wachtwoord, dat alleen versleuteld wordt opgeslagen
• Profielgegevens die je zelf invult, zoals geboortedatum, geslacht, land en taal
• Telefoonnummer (alleen als je dat zelf opgeeft en bevestigt)
• Voertuiggegevens: kenteken, merk, model, bouwjaar, kleur, brandstof, tankinhoud en verbruik (maximaal drie voertuigen)
• Opgeslagen plekken: thuis, werk, favorieten en recente bestemmingen
• Instellingen en voorkeuren, waaronder je meldingsvoorkeuren en prijsalarm
• Reviews van tankstations die je schrijft
• Feedback die je stuurt, eventueel met een screenshot van het scherm. Uit een screenshot verwijderen wij bij binnenkomst automatisch alle metadata in het bestand, zoals locatie en toestelgegevens.

2.2 Automatisch verzamelde gegevens

• Locatiegegevens (alleen met jouw toestemming): je actuele positie, en tijdens het navigeren ook als de app op de achtergrond draait, als je dat toestaat
• Apparaatgegevens: type toestel, besturingssysteem, app-versie en taal
• Een pushtoken van je toestel, als je meldingen toestaat
• IP-adres: tijdelijk, voor de beveiliging van onze diensten en om misbruik te voorkomen (zie artikel 7 en 9)
• Een controle of de app echt is: bij het openen bewijst de app via Apple (App Attest) of Google (Play Integrity) dat het de echte Grenshopper-app is op een echt toestel. Wij bewaren daarvoor alleen een willekeurige code van je installatie, op iOS met de bijbehorende publieke sleutel, en de uitkomst van de controle (zie artikel 9)

2.3 Gegevens die ontstaan bij gebruik van de app

• Tankbonnen: het station met adres en locatie, de brandstof, het aantal liters, de prijs per liter, het totaalbedrag en de berekende besparing
• Transacties bij betalen aan de pomp: bedrag, liters, status en een verwijzing naar je machtiging of kaart (zie 6.1)
• Meldingen die wij je sturen en of je ze hebt gelezen; bij een prijsalarm ook welk station en welke prijs de aanleiding waren
• Gratis brandstof: je deelname en akkoord, je beurten en loten, je uitnodigingscode en wie je met een code hebt uitgenodigd

2.4 Spraakzoeken en dicteren

Gebruik je spraakzoeken, of dicteer je je feedback, dan zet de spraakherkenning van je toestel wat je zegt om in tekst. Dat doet Apple (iOS) of Google (Android), waarbij het geluid naar hun servers kan gaan, volgens hun eigen privacyvoorwaarden. Grenshopper ontvangt alleen de tekst en bewaart geen geluidsopnames.

2.5 Gegevens van derden

• Voertuiggegevens van de RDW (open data), op basis van het kenteken dat je invoert
• Brandstofprijzen en stationsinformatie uit openbare en ingekochte prijsbronnen
• Verkeersinformatie van de Nationale Databank Wegverkeersgegevens (NDW); die bevat geen persoonsgegevens

3. Waarvoor gebruiken wij jouw gegevens?

Wij gebruiken jouw gegevens alleen voor duidelijke doelen, elk met een grondslag uit de AVG:

Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): je account bijhouden, prijzen vergelijken en je besparing en omrijtijd berekenen, navigeren, je voertuigen, plekken en tankbonnen bewaren, betalen aan de pomp mogelijk maken en Gratis brandstof uitvoeren.

Toestemming (art. 6 lid 1 sub a AVG): je locatie gebruiken en je pushmeldingen sturen, zoals een prijsalarm. Je kunt die toestemming altijd intrekken in de instellingen van je toestel of in de app.

Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): onze diensten beveiligen en misbruik voorkomen, bijvoorbeeld door het aantal verzoeken per gebruiker of IP-adres te begrenzen en te controleren of verzoeken van de echte app komen; fouten oplossen en de app verbeteren met je feedback; en geaggregeerde, geanonimiseerde statistieken maken.

Wettelijke verplichting (art. 6 lid 1 sub c AVG): bijvoorbeeld onze administratie en de verplichtingen die horen bij een promotioneel kansspel.

4. Locatiegegevens

Grenshopper vraagt toegang tot je locatie om:

• Tankstations en prijzen in je omgeving te tonen
• Je besparing en omrijtijd te berekenen
• Je te navigeren, ook met het scherm uit als je dat toestaat
• Je onderweg te wijzen op een gunstige prijs

4.1 Opslag van locatiegegevens

Je actuele locatie gebruiken wij op het moment zelf. Wij houden geen locatiegeschiedenis bij. Om prijzen en routes te berekenen sturen wij coördinaten naar onze eigen servers, zonder daar een locatiegeschiedenis van op te bouwen. Wat je zelf opslaat, zoals thuis, werk, favorieten en recente bestemmingen, en de locatie van het station op je tankbonnen, bewaren wij zolang je account bestaat.

4.2 Intrekking

Je kunt locatietoegang op elk moment intrekken via de instellingen van je toestel. Opgeslagen plekken verwijder je zelf in de app, of door je account te verwijderen.

5. Interne analyse en statistieken

5.1 Grenshopper gebruikt gegevens, waar mogelijk geaggregeerd en geanonimiseerd, om de app te verbeteren en te begrijpen hoe hij gebruikt wordt, bijvoorbeeld welke regio's en brandstoffen populair zijn en welke besparingen gebruikers realiseren.

5.2 Individuele gegevens worden uitsluitend intern gebruikt en nooit gedeeld met derden voor commerciële doeleinden.

5.3 De grondslag voor deze verwerking is gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Wij hebben een belang bij het verbeteren van onze dienst en het begrijpen van hoe gebruikers de app gebruiken. Hierbij wegen wij altijd jouw privacy mee. Je kunt bezwaar maken tegen deze verwerking (zie artikel 8).

5.4 Geanonimiseerde data voor derden

Grenshopper kan geanonimiseerde en geaggregeerde statistieken delen met of beschikbaar stellen aan derden, waaronder onderzoeksinstellingen, overheden en commerciële partijen. Dit betreft uitsluitend data die op geen enkele wijze herleidbaar is tot individuele personen, zoals:

• Gemiddelde brandstofprijzen per regio per dag
• Gemiddelde besparingen per regio
• Populariteit van brandstoffen per regio

Persoonsgegevens worden nooit verkocht of gedeeld met derden voor commerciële doeleinden zonder jouw uitdrukkelijke toestemming.

6. Delen van gegevens

Wij verkopen jouw gegevens nooit. Wij delen gegevens alleen met partijen die nodig zijn voor onze dienst, en alleen wat zij daarvoor nodig hebben:

• Supabase: database, accounts, opslag en serverfuncties (servers in de EU)
• Hetzner Online: onze eigen routeserver voor navigatie en reistijden (servers in Duitsland)
• Cloudflare: beveiliging en doorgifte van het verkeer naar onze routeserver
• Vercel: hosting van onze website
• Twilio SendGrid: het versturen van e-mails, zoals je bevestigingscode en uitnodigingen
• Apple en Google: pushmeldingen (Apple Push Notification service en Firebase Cloud Messaging), spraakherkenning (zie 2.4) en de controle of de app echt is (App Attest en Play Integrity, zie 2.2)
• OpenFreeMap, Photon (komoot) en Nominatim (OpenStreetMap): kaarttegels en het zoeken van adressen. Zij ontvangen het kaartgebied of de zoekterm en je IP-adres, maar geen accountgegevens
• RDW: het opzoeken van voertuiggegevens bij het kenteken dat je invoert
• Apple (TestFlight) en Google (Google Play): als je deelneemt aan de testfase (zie artikel 11)
• Een gespecialiseerde beveiligingspartij die in onze opdracht en onder geheimhouding de beveiliging onderzoekt (zie artikel 11)
• Betaalpartners, als je aan de pomp betaalt (zie 6.1)

6.1 Betalen aan de pomp

Deze paragraaf is een concept. Hij is nog niet juridisch getoetst. De verwerkingen die hier staan vinden pas plaats zodra je in de app een betaalmethode instelt.

Stel je in de app een betaalmethode in om aan de pomp te betalen, dan delen wij daarvoor gegevens met de partijen die de betaling mogelijk maken: CarPay-Diem (KWALYO S.A., Luxemburg) en Twikey. Twikey verzorgt het ondertekenen en beheren van de SEPA-machtiging.

De machtiging staat op naam van het tankstation waar je tankt. Dat station is de incassant en ontvangt daarvoor je naam en je rekeningnummer; het bedrag gaat rechtstreeks van jou naar het station en niet via Grenshopper.

Het gaat om de volgende gegevens:

• Naam en adres, nodig om de machtiging op te stellen
• E-mailadres, voor de bevestiging van de machtiging en voor berichten over een transactie
• Een betaaltoken of machtigingsnummer, waarmee een transactie aan jouw betaalmethode gekoppeld wordt

Grenshopper slaat nooit een volledig kaartnummer of een CVC op, en krijgt die ook nooit te zien. Je kaartgegevens gaan rechtstreeks naar de betaalpartij; wij ontvangen alleen een token, en daar kun je niet mee betalen buiten Grenshopper om.

Je kunt je machtiging intrekken of je betaalmethode wijzigen in je profiel in de app. Wat er daarna met de gegevens bij de betaalpartijen gebeurt, staat in hun eigen privacyverklaring.

6.2 Doorgifte buiten de EU

Sommige van deze partijen zijn gevestigd in de Verenigde Staten of hebben daar servers, zoals Cloudflare, Vercel, Twilio SendGrid, Apple en Google. Gegevens die daarheen gaan, beschermen wij met de waarborgen uit de AVG, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

7. Bewaartermijnen

Wij bewaren jouw gegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld.

• Account-, profiel- en voertuiggegevens, opgeslagen plekken, voorkeuren, reviews en tankbonnen: zolang je account bestaat. Verwijder je je account, dan verwijderen wij deze gegevens binnen 30 dagen.
• Transacties bij betalen aan de pomp: zolang dat nodig is voor de afhandeling van de betaling en voor wettelijke bewaarplichten.
• Feedback en screenshots: zolang dat nodig is om je feedback af te handelen en de app te verbeteren, met een maximum van 24 maanden.
• Pushtokens: zolang je meldingen toestaat en de app gebruikt.
• Gegevens van Gratis brandstof: zolang de actieronde loopt, en daarna zolang dat nodig is voor de trekking, de controle achteraf en onze wettelijke verplichtingen.
• IP-adressen voor beveiliging en misbruikpreventie: maximaal twee uur in onze eigen systemen. Technische logbestanden bij onze leveranciers worden na korte tijd automatisch verwijderd.
• De code van je installatie en de publieke sleutel voor de controle op de echte app: tot twaalf maanden na het laatste gebruik. Het bewijs dat de app daarmee krijgt, is 24 uur geldig.
• Gegevens in de testomgeving: zie artikel 11.
• Geaggregeerde en geanonimiseerde statistieken, die niet meer tot personen herleidbaar zijn: onbeperkt.

Na afloop van de genoemde bewaartermijnen worden gegevens verwijderd of geanonimiseerd.

8. Jouw rechten (AVG)

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heb je de volgende rechten:

• Inzage: je kunt opvragen welke gegevens wij van je hebben
• Correctie: je kunt onjuiste gegevens laten corrigeren
• Verwijdering: je kunt verzoeken om verwijdering van je gegevens
• Bezwaar: je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, waaronder de interne analyse beschreven in artikel 5
• Beperking: je kunt verzoeken om beperking van de verwerking
• Overdraagbaarheid: je kunt je gegevens in een leesbaar formaat opvragen
• Intrekking toestemming: je kunt eerder gegeven toestemming altijd intrekken, waaronder toestemming voor locatiegegevens

Je kunt je account en de bijbehorende gegevens ook zelf verwijderen via de instellingen in de app.

Verzoeken kun je indienen via: hello@grenshopper.nl. Wij reageren binnen 30 dagen.

9. Beveiliging

Wij nemen de beveiliging van jouw gegevens serieus. Wij maken onder meer gebruik van:

• Versleutelde verbindingen (HTTPS/TLS) voor al het verkeer van de app
• Opslag bij Supabase in de EU, met toegangsregels per gebruiker op databaseniveau (Row Level Security)
• Wachtwoorden die alleen versleuteld (gehasht) worden opgeslagen
• Geen volledige kaartnummers bij ons: die gaan rechtstreeks naar de betaalpartij (zie 6.1)
• Een maximum op het aantal verzoeken per gebruiker of IP-adres, tegen misbruik en het massaal uitlezen van gegevens
• Een controle of verzoeken van de echte Grenshopper-app op een echt toestel komen (App Attest van Apple, Play Integrity van Google)
• Controle van screenshots bij binnenkomst, waarbij metadata wordt verwijderd
• Regelmatige beveiligingscontroles, ook door een externe specialist

10. Minderjarigen

Grenshopper is niet bedoeld voor kinderen onder de 16 jaar. Wij verzamelen bewust geen gegevens van minderjarigen.

11. Testfase

Doe je mee aan de testfase, dan gelden daarnaast deze afspraken:

• Je gebruikt een aparte testomgeving met servers in de EU. Gegevens daarin kunnen tussentijds worden gewist en worden uiterlijk aan het einde van de testfase verwijderd, tenzij wij je vooraf vragen of je je account wilt meenemen naar de definitieve app.
• Je e-mailadres gebruiken wij om je uit te nodigen en op de hoogte te houden van de testfase. Daarvoor gebruiken wij Twilio SendGrid. Afmelden kan altijd.
• Apple (TestFlight) of Google (Google Play) verwerken je e-mailadres en de gegevens die je zelf met hen deelt, zoals crashrapporten, volgens hun eigen voorwaarden.
• Feedback, eventueel met een screenshot, gebruiken wij om fouten op te lossen en de app te verbeteren.
• Een gespecialiseerde beveiligingspartij kan in onze opdracht de testomgeving onderzoeken. Daarbij kan zij persoonsgegevens in de testomgeving te zien krijgen. Zij werkt onder geheimhouding en een verwerkersovereenkomst, en mag die gegevens alleen voor dat onderzoek gebruiken.

12. Wijzigingen

Wij kunnen dit privacybeleid van tijd tot tijd bijwerken. Bij ingrijpende wijzigingen ontvang je hiervan een melding via de app. De meest actuele versie is altijd beschikbaar via grenshopper.nl/privacy.

13. Contact en klachten

Heb je vragen of klachten? Neem contact op via hello@grenshopper.nl. Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.