Privacybeleid.

1. Wie we zijn

Trail-Safe (de “Dienst”) wordt ontwikkeld en beheerd door 2552 BV, een onderneming gevestigd in Nederland. In de App Store van Apple wordt de app gepubliceerd door Devidee B.V., beheerder van ons Apple-ontwikkelaarsaccount. Devidee B.V. verwerkt geen gegevens apart: het is hetzelfde team, dezelfde backend en hetzelfde beleid. Voor elke vraag over privacy bereik je ons op privacy@paceguard.io.

2. Wat we verzamelen

Trail-Safe verzamelt alleen wat nodig is om te doen waarvoor het bedoeld is:

• Positiebepalingen. Breedtegraad, lengtegraad, hoogte en nauwkeurigheid, verstuurd door je horloge terwijl je een tocht opneemt.
• Hartslag. Slagen per minuut, gekoppeld aan elke positiebepaling zolang de sensor toestemming heeft en meet. Op Apple Watch wordt hij alleen tijdens het opnemen van een tocht uit HealthKit gelezen — getoond op je kaart en opgenomen in SOS-meldingen, maar nooit naar iCloud weggeschreven en nooit voor advertenties gebruikt. Op Wear OS komt hij van de polssensor van het horloge zelf.
• Accountgegevens. Wat we ontvangen hangt af van hoe je inlogt: het Google-ID, e-mailadres en de weergavenaam die Google Sign-In teruggeeft (Wear OS en web); of, bij Sign in with Apple (Apple Watch en iPhone), de naam die Apple één keer bij je eerste login stuurt en een e-mailadres — een privérelayadres als je Hide My Email hebt gekozen. Bij inloggen met een e-mailcode alleen het e-mailadres; gezinscodes slaan alleen op bij welk gezin je hoort en welke weergavenaam je kiest.
• Apparaat- en sessiekenmerken. Een willekeurig sessie-ID dat je horloge aanmaakt, plus het model van het apparaat, zodat we losse punten tot één tocht kunnen samenvoegen.
• Pushtokens. De pushtoken van je apparaat — Firebase Cloud Messaging (FCM) op Android-apparaten, Apple Push Notification service (APNs) op Apple-apparaten — zodat we gezinsmeldingen kunnen afleveren.
• Statusberichten. Korte “ping”-berichten (zonder coördinaten) zodat het dashboard weet of je horloge op dit moment online is.
• SOS-signalen. Als je op het horloge SOS geeft, leggen we dat vast samen met je laatst bekende positie. Het nummer van je noodcontact blijft op je apparaat — onze backend ontvangt het nooit. De enige SOS-instelling die we wél bewaren is of je ervoor hebt gekozen Trail-Safe-gebruikers in de buurt te alarmeren (community-SOS); de rest staat alleen op het apparaat.
• Live-deellinks. Als je een link maakt om je live locatie te delen, bewaren we de link zelf, de apparaten die je erop laat zien, de titel en wanneer hij afloopt. Van iemand die de link opent bewaren we alleen een willekeurig kijkernummer en wanneer hun pagina voor het laatst contact had — geen naam, geen account, geen cookie — zodat we kunnen begrenzen hoeveel mensen tegelijk kijken. Hun IP-adres gebruiken we een paar seconden om misbruik te beperken; we slaan het niet op — tenzij dat adres steeds links opent die niet bestaan (zie beveiligingsgegevens hieronder).
• Beveiligingsgegevens. Om gezinnen tegen misbruik te beschermen tellen we signalen zoals foute gezins- of tripcodes, ongeldige inlogtokens, links die niet bestaan en stortvloeden aan SOS- of check-inberichten. Pas als één netwerk (IP-adres) of één account een grens overschrijdt die normaal gebruik nooit haalt, leggen we dat adres of account vast, welke grens het was en wanneer. We kunnen het dan tijdelijk blokkeren. Deze gegevens gebruiken we nergens anders voor. Als er een account wordt aangemaakt of een horloge of telefoon wordt geregistreerd, bewaren we ook het IP-adres en de app- of browserversie waarvandaan dat gebeurde, en geven we een nieuw account een risicoscore. Zo herkennen we golven van geautomatiseerde aanmeldingen die over veel adressen verspreid zijn. Een account dat tijdens zo’n golf is aangemaakt, kun je gewoon gebruiken, maar het kan pas toegang met anderen delen als het met een apparaat of een abonnement is gebruikt, of als wij het hebben gecontroleerd. Deze gegevens worden samen met het account of apparaat gewist.
• Sleutels en webhooks die je aanmaakt. Maak je een API-sleutel (Home Assistant) of een SDK-sleutel, dan bewaren we daarvan een eenrichtings-hash (nooit de sleutel zelf), de naam die je hem gaf, wanneer hij is gemaakt en voor het laatst gebruikt, en bij een SDK-sleutel de IP-adressen vanaf waar hij gebruikt mag worden. Van een webhook bewaren we de URL, het ondertekeningsgeheim en een afleverlog van de laatste 7 dagen.

We verzamelen géén contacten, foto’s, microfoongeluid, activiteit op het horloge buiten Trail-Safe om, of welke gegevens dan ook terwijl de app gesloten is. De naam en het nummer van een noodcontact kies of typ je op je eigen apparaat, en daar blijven ze.

3. Waarom we het verzamelen

• Om je je tochten te laten zien — de kernfunctie van het dashboard.
• Om de live-statusindicator te laten kloppen — zodat jij en je contacten kunnen zien of het horloge op dit moment verbonden is.
• Om SOS-meldingen af te leveren — zodat je laatste positie beschikbaar is wanneer er hulp nodig is.
• Om de Dienst draaiende te houden — minimale technische logboeken (fouten, aantallen verzoeken) zodat we storingen kunnen oplossen.
• Om jou en de Dienst tegen misbruik te beschermen — het opsporen en stoppen van codes raden, geautomatiseerde aanmeldingen, misbruik van inlogtokens en het uitproberen van gestolen betaalkaarten.

Onder de AVG is onze grondslag de uitvoering van de overeenkomst (artikel 6, lid 1, onder b) voor de kaart- en SOS-functies, en gerechtvaardigd belang (artikel 6, lid 1, onder f) voor het oplossen van storingen en het tegengaan van misbruik. Koppelingen die je zelf instelt (API-sleutels, SDK-sleutels, webhooks) vallen ook onder de uitvoering van de overeenkomst: jij vraagt erom, en ze werken alleen zolang jij ze aan laat staan.

3a. Wat we bewust niet verzamelen

De snelste manier om je gegevens veilig te houden, is ze niet opslaan. Trail-Safe verzamelt nooit:

• Inloggegevens. Trail-Safe houdt geen wachtwoorden bij. Het vaststellen van je identiteit is uitbesteed aan Google Sign-In (Wear OS en web) of Sign in with Apple (Apple-apparaten); onze backend ontvangt uitsluitend het ondertekende identiteitstoken dat de provider na een geslaagde login afgeeft. Je Google- of Apple-wachtwoord zien of bewaren we nooit.
• Betaal- of kaartgegevens. Abonnementen worden afgerekend door Google Play; zodra App Store-aankopen worden geïntroduceerd, regelt Apple die afrekening op dezelfde manier. Onze backend bewaart alleen het aankooptoken dat nodig is om je abonnement te controleren — nooit kaartgegevens.
• Contacten, foto’s, microfoon of bestanden. De horloge-app vraagt deze rechten niet aan, en onze backend heeft geen enkele voorziening om ze te ontvangen.
• Gedragsanalyse. Geen Google Analytics, Meta-pixel, Mixpanel, Sentry-profiling of advertentie-SDK. Het dashboard bevat nul trackers van derden. Bezoeken aan onze openbare website tellen we zelf, zonder cookies (gerechtvaardigd belang: weten welke pagina’s mensen helpen): per dag bewaren we alleen hoe vaak elke pagina is bekeken, welke site ernaar linkte, en land, soort apparaat en taal. Om te schatten hoeveel verschillende mensen er kwamen, worden je IP-adres en browser gehasht met een sleutel die elke dag wisselt en daarna wordt weggegooid; we slaan geen van beide op en kunnen je op een andere dag niet herkennen. Browsers die Do Not Track of Global Privacy Control sturen tellen we niet, en ingelogde pagina’s en live-deellinks ook niet.
• Apparaatvingerafdrukken. Geen IMEI, advertentie-ID, uitlezen van schermresolutie of inventarisatie van geïnstalleerde apps. Het enige apparaatkenmerk dat we vastleggen is de UUID die bij de eerste registratie wordt uitgegeven.

Wat er bij een datalek op straat zou liggen. De gegevens die Trail-Safe bewaart zijn bewust beperkt. Bij een inbraak in de database zou het gaan om locatiegeschiedenis, de weergavenaam en het e-mailadres van het inloggen (een Apple privérelayadres als je Hide My Email gebruikt), en een aankooptoken. Geen inloggegevens, geen betaalmiddelen en geen enkele manier om bij je Google- of Apple-account te komen — want dat materiaal wordt door Trail-Safe nooit opgeslagen.

4. Waar het wordt opgeslagen

Alle positiebepalingen, sessies en accountgegevens staan in een PostgreSQL-database die Trail-Safe beheert binnen de Europese Economische Ruimte. Het verkeer tussen het horloge, het dashboard en onze backend is versleuteld met TLS.

We hebben ook een server in de Verenigde Staten, zodat Trail-Safe snel reageert voor mensen in Noord- en Zuid-Amerika. Dat is alleen een applicatieserver: hij heeft geen database en geen bestandsopslag, en leest en schrijft je gegevens rechtstreeks in onze EU-database via een versleutelde verbinding. Er blijft daar niets over jou bewaard behalve de minimale operationele logs die elke server bijhoudt (zie Hoe lang we het bewaren). Je gegevens worden altijd in de EU opgeslagen en zijn beschermd door de AVG, waar je Trail-Safe ook gebruikt.

Inlogtokens worden op je apparaten bewaard in de Keychain op Apple-apparaten en met Android’s EncryptedSharedPreferences (AES-256-GCM) op Wear OS, zodat een gestolen apparaat ze niet leesbaar prijsgeeft. Je SOS-instellingen en het nummer van je noodcontact staan in de eigen lokale opslag van je apparaat en verlaten dat nooit.

5. Hoe lang we het bewaren

Twee verschillende klokken. Gegevens die beschrijven waar je was verlopen vanzelf; gegevens die beschrijven wie je bent blijven zolang het account bestaat.

Na 90 dagen automatisch gewist

• Locatiegeschiedenis — elke positiebepaling, elk tussenpunt en elke opgenomen tocht.
• Hartslag- en activiteitsgegevens die bij die punten zijn vastgelegd.
• SOS- en valdetectiemeldingen — de melding zelf, de positie die erbij is gedeeld en de reacties erop.

Een geautomatiseerde taak wist alles buiten dat venster; niets ouder dan 90 dagen overleeft die opruiming, of je er nu om vraagt of niet. Je kunt punten, tochten en sessies uiteraard ook zelf eerder verwijderen.

Bewaard tot je je account opheft

• Je identiteit — het inlogaccount, e-mailadres en de naam.
• Je apparaten, gezinskoppelingen, thuiszones, opgeslagen routes en waypoints.
• Abonnements- en aankoopgegevens, zolang het account bestaat.

Hierop staat geen klok, omdat het verwijderen ervan het product kapot zou maken terwijl je het nog gebruikt. Ze verdwijnen wanneer het account verdwijnt.

De andere twee klokken

• Je account opheffen: alles hierboven wordt binnen 30 dagen na je verzoek gewist, back-ups inbegrepen. Zie paragraaf 6.
• Inactieve accounts: log je 90 dagen achtereen niet in (op het dashboard) en verbindt er geen horloge, dan wordt het hele account automatisch verwijderd. We mailen niet eerst; die verwijdering is nu juist het punt. Log op elk moment binnen die 90 dagen opnieuw in om de klok terug te zetten.
• Technische logboeken: na 30 dagen vervangen.
• Beveiligingsgegevens: na 90 dagen gewist; een blokkade loopt altijd vanzelf af (na hooguit 30 dagen).
• Live-deellinks: een link toont niets meer zodra hij is verlopen of je hem stopt (alleen een lopende SOS houdt hem open tot de SOS voorbij is). Het linkrecord wordt 7 dagen later verwijderd, het record van een kijker binnen een uur nadat die de pagina sluit.
• Ingetrokken sleutels: een API- of SDK-sleutel die je intrekt, werkt direct niet meer en wordt 30 dagen later verwijderd.

Beheerders die hun eigen installatie draaien kunnen deze termijnen aanpassen via het beheerscherm. Voor Trail-Safe is de bewaartermijn 90 dagen en de verwijdertermijn 30 dagen.

6. Je account verwijderen

Je kunt je account op elk moment zelf opheffen, via https://trail-safe.app/delete-account/nl. Log daar in, bevestig twee keer, en wij doen de rest. Geen vragenlijst, geen telefoontje, geen aanbod om te blijven.

Wat er gebeurt, en wanneer:

• Direct: je horloges worden uitgelogd en je verlaat elk gezin waar je deel van uitmaakte — je naam en positie verdwijnen meteen van hun kaart.
• Binnen 30 dagen: je account en elk gegeven dat eraan hangt worden definitief gewist, ook uit onze versleutelde back-ups.
• In de tussentijd: het account is gesloten maar nog terug te halen. Log op dezelfde pagina in en annuleer als je van gedachten verandert. Je horloges en gezinskoppelingen komen niet vanzelf terug — die koppel je opnieuw.

Wat er gewist wordt:

• Je identiteit: inlogaccount, e-mailadres, naam en profielfoto.
• Elk apparaat, zijn sessie en zijn pushnotificatietoken.
• Elke positiebepaling, tocht en tussenpunt, op elk apparaat.
• Elke SOS- en valmelding, de posities die daarbij gedeeld zijn, en de reacties.
• Thuiszones, opgeslagen routes, waypoints, offline kaartgebieden, weergebieden en live-deellinks.
• Gezinskoppelingen in beide richtingen, en alle uitnodigingen die je hebt verstuurd of ontvangen.
• Meldingen, API-sleutels, SDK-sleutels en webhooks, abonnements- en aankoopgegevens, en diagnostische logboeken.

Je account verwijderen zegt je Google Play-abonnement niet op. Dat beheert Google, niet wij, en alleen jij kunt het opzeggen — in de Play Store onder Betalingen en abonnementen. Zeg het daar eerst op, anders blijf je betalen voor een account dat niet meer bestaat.

We bewaren alleen wat de wet ons verplicht te bewaren, en alleen zolang die dat eist. In de praktijk gaat dat om facturen, en die liggen bij onze betaaldienstverleners (Google Play, Mollie) onder hun eigen fiscale bewaarplicht; onze eigen kopieën ervan worden met al het andere mee gewist. Locatie-, hartslag- of SOS-gegevens worden op die grond nooit bewaard.

Kun je niet meer bij je account en lukt inloggen niet, mail dan privacy@paceguard.io vanaf het adres dat aan het account hangt; dan doen we het met de hand, binnen 30 dagen.

7. Jouw rechten (AVG)

Je kunt op elk moment en kosteloos:

• Alles inzien wat we van je hebben — het dashboard toont elke positiebepaling en elke sessie.
• Je gegevens exporteren — gebruik de exportknop bij elk apparaat.
• Losse positiebepalingen, hele sessies of je volledige account verwijderen — in de iPhone-app onder Instellingen → Account verwijderen, vanuit het dashboard, of door ons te schrijven.
• Je toestemming voor hartslag of meldingen intrekken (in de systeeminstellingen van het horloge).
• Een klacht indienen bij je nationale toezichthouder voor gegevensbescherming (in Nederland: de Autoriteit Persoonsgegevens).

Wil je een van deze rechten uitoefenen, mail dan privacy@paceguard.io. We reageren binnen 30 dagen.

8. Met wie we gegevens delen

We delen gegevens met:

• Google — alleen het ID-token dat je horloge bij het inloggen aanbiedt, zodat we kunnen vaststellen dat jij het echt bent; Firebase Cloud Messaging levert pushmeldingen af op Android-apparaten. Op dat deel is het privacybeleid van Google van toepassing.
• Apple — op Apple-apparaten verifieert Sign in with Apple je identiteit, laadt Apple Maps (MapKit) de kaarttegels die je apparaat opvraagt, levert APNs pushmeldingen af en beheert Apple de privé-e-mailrelay als je Hide My Email gebruikt. Op dat deel is het privacybeleid van Apple van toepassing.
• Mapbox — om de kaarttegels op het horloge te tekenen. Mapbox ziet welk gebied je bekijkt, maar niet wie je bent.
• Onze infrastructuurleveranciers — hosting- en databasepartijen, contractueel gebonden aan verwerkersovereenkomsten. Alle opslag staat binnen de EER; onze server in de Verenigde Staten slaat geen gegevens van je op (zie Waar het wordt opgeslagen).
• Mensen naar wie je een live-deellink stuurt — alleen als je er een maakt. Wie de link heeft, ziet de apparaten die je hebt gekozen: hun huidige positie, de route sinds de link is gemaakt, de apparaatnamen en een eventuele actieve SOS, tot de link afloopt of je hem stopt. Ze zien niets van vóór de link en geen andere gegevens over jou. Een link werkt voor iedereen die hem heeft, dus deel hem alleen met mensen die je vertrouwt; je kunt hem op elk moment stoppen in het dashboard.
• Tools die je zelf koppelt — alleen als je er een instelt. Met een API-sleutel (Home Assistant), een SDK-sleutel (Family Plus) of een webhook leest een systeem van jouw keuze je posities en activiteit; in een gezin horen daar ook de locaties van je gezinsleden bij. Zij krijgen een melding als er een wordt aangemaakt die hun locatie kan zien, en zien die terug onder Who sees me. Via de SDK geven we nooit IP-adressen door. Wat er daar met de gegevens gebeurt, is de verantwoordelijkheid van wie dat systeem beheert. Je kunt een sleutel of webhook altijd intrekken; binnen een minuut werkt hij niet meer.

We verkopen je gegevens nooit, en we delen ze nooit met advertentienetwerken, datahandelaren of analysediensten die profielen van je opbouwen.

9. Cookies

Het dashboard gebruikt één noodzakelijke cookie om je ingelogd te houden. Geen trackingpixels, geen cookies van derden, en geen cookie voor het tellen van websitebezoeken (zie gedragsanalyse hierboven).

10. Kinderen

Trail-Safe is niet bedoeld voor gebruikers jonger dan 13. We verzamelen niet bewust gegevens van kinderen. Denk je dat een kind zich heeft aangemeld, mail ons dan en we verwijderen het account.

11. Wijzigingen in dit beleid

Wijzigingen zetten we hier neer en we werken de datum bovenaan bij. Ingrijpende wijzigingen kondigen we ook in het dashboard aan.

12. Contact

2552 BV (verwerkingsverantwoordelijke)
App Store-vermeldingen gepubliceerd door Devidee B.V.
privacy@paceguard.io