Privacyverklaring

Over Drivie

Drivie is een onafhankelijke app voor Homey. Homey is een merk van Athom B.V. Drivie is niet gelieerd aan, goedgekeurd door of gesponsord door Athom B.V.

Privacy

Voor de werking zijn een paar technische gegevens nodig. Die staan hieronder. De app communiceert rechtstreeks met je Homey en met de accountdienst van Athom om je aan te melden. Je inlogtokens staan in de sleutelhanger op je toestel, en je favorieten en instellingen blijven op je eigen apparaten, waaronder de horloge-app op Apple Watch of Wear OS die rechtstreeks met je gekoppelde telefoon communiceert. Als je iCloud-synchronisatie op iOS inschakelt of als Android Auto Backup naar Google Drive op je toestel aanstaat, worden je favorieten en instellingen uitsluitend in jouw persoonlijke iCloud- of Google Drive-opslag bewaard; wij hebben daar geen toegang toe. De app bevat geen advertenties en volgt je niet voor advertenties.

Voor pushmeldingen, bijvoorbeeld het verversen van de widget bij een gewijzigd apparaat of een automelding op het CarPlay-/Android Auto-scherm, verstuurt de Homey-companion-app berichten via de gebruikelijke pushdienst van het platform: Apple Push Notification service (APNs) op iOS, Google Firebase Cloud Messaging (FCM) op Android. Apple en Google zien daarbij het pushtoken van je toestel en de inhoud van het bericht. Zo hoeft de app geen eigen verbinding open te houden.

In plaats van dat elke Homey zelf een verzendsleutel van Apple of Google bewaart, verstuurt de companion-app die berichten via een kleine, losstaande sleuteldienst bij Cloudflare. Die dienst geeft elke melding door aan Apple of Google en ziet daarbij wat erin staat, zoals de tekst van een automelding of wat er op een kaart staat. Die inhoud bewaart hij niet, ook niet in een log. Buiten die ene, kleine sleuteldienst staan er geen eigen servers.

De sleuteldienst controleert ook dat een melding alleen naar telefoons gaat die voor jouw Homey zijn aangemeld. Daarvoor bewaart hij per Homey een hash van een sleutel die de companion-app zelf aanmaakt en die je Homey nooit verlaat. Per pushtoken bewaart hij een hash van het token, samen met het ID van je Homey, een ID van je telefoon, het platform, de soort token en wanneer het werd aangemeld en laatst vernieuwd. Het token staat er dus niet in leesbare vorm. Bij het aanmelden stuurt de app het sessietoken mee waarmee hij al met je Homey praat, en de sleuteldienst vraagt Athom, de maker van Homey, of dat token toegang geeft tot die Homey. Het sessietoken bewaart hij niet. Wel onthoudt hij tien minuten een hash ervan, zodat hij Athom niet bij elke aanmelding opnieuw hoeft te vragen. Bij het aanmelden van de sleutel van je Homey leest de sleuteldienst met je sessie het Drivie-apparaat op je Homey uit. Zo controleert hij of de afdruk die de app aanbiedt dezelfde is als die van de companion. Daarbij bewaart hij niets. Verder telt hij per dag hoeveel meldingen er per Homey en per token weggaan, onder een hash; die tellers wist hij de dag erna. Bij het aanmelden telt hij ook hoeveel verzoeken er per uur binnenkomen per IP-adres en per Homey, eveneens onder een hash. Zo’n teller geldt alleen voor dat uur; ook die wist hij de dag erna.

Abonnementen verlopen via Paddle als Merchant of Record; wij ontvangen daarbij geen betaalgegevens.

Om je Homey te herkennen bij een Drivie Pro-abonnement gebruikt de companion-app een zelf aangemaakt, willekeurig Drivie-ID, nooit je account, e-mailadres of naam. De sleuteldienst legt vast bij welk cloud-ID van een Homey dat Drivie-ID hoort, met het tijdstip van koppelen, zodat een abonnement maar voor één Homey geldt. Verder staat het cloud-ID van je Homey bij de hashes die hierboven beschreven zijn, en gebruiken we het om je toestel te laten weten dat er iets aan je abonnement is veranderd.

Voor een Drivie Pro-abonnement bewaart de sleuteldienst in de opslag van Cloudflare (Workers KV) een abonnementsrecord per Drivie-ID. Daarin staan het abonnements-ID en het klant-ID van Paddle, de status van het abonnement (bijvoorbeeld proef, actief, achterstallig of opgezegd), de einddatum van de lopende periode, een geplande wijziging of opzegging, de factureringsperiode (maandelijks of jaarlijks) en of het om de test- of de echte omgeving van Paddle gaat. Daarnaast bewaart hij verwijzingen van het Paddle-abonnements-ID en het Paddle-klant-ID naar je Drivie-ID, en van je Drivie-ID naar het cloud-ID van je Homey. Je naam, e-mailadres, adres en betaalgegevens staan daar niet bij: die heeft alleen Paddle. Kan een melding van Paddle niet aan een Drivie-ID gekoppeld worden, dan bewaart de dienst het soort melding, het abonnements-ID en klant-ID van Paddle en het tijdstip, zodat de melding later alsnog gekoppeld kan worden. Geven wij je handmatig Pro, bijvoorbeeld via support, dan staat dat met een notitie en een einddatum van hoogstens een jaar in dezelfde opslag. Een afrekencode die je Drivie-ID aan een lopende betaling koppelt, bewaart hij zes uur en wist hij na de betaling. Voor apparaatauthenticatie bij het aanmelden van een pushtoken bewaart hij verder een hash van de publieke sleutel van de telefoon die het token als eerste aanmeldde (token_owners), zodat alleen die telefoon het token kan hergebruiken of afmelden, en bij misbruik een blokkeerlijst met hashes van geblokkeerde tokens (blocked_tokens). Mislukte pogingen om de beheerroutes van de dienst te openen telt hij vijftien minuten per IP-adres.

Kies je op de bestelpagina voor “Log in met Homey”, dan meld je je aan bij Athom, de maker van Homey. De sleuteldienst gebruikt die aanmelding één keer om de lijst van je Homeys op te vragen en te zien op welke Drivie staat. Je e-mailadres, naam en andere accountgegevens die Athom meestuurt, gebruikt en bewaart hij niet, en het toegangstoken van Athom bewaart hij evenmin. Heb je meer dan één Homey met Drivie, dan bewaart hij de namen vijf minuten, zodat je er een kunt kiezen. De grondslag is het uitvoeren van je verzoek om Pro te bestellen (artikel 6, lid 1, onder b AVG).

Locatie en activiteit

Gebruik je plaatsen of ritten (Drivie Pro), dan gebruikt de app de locatie van je telefoon, ook als de app gesloten is of niet gebruikt wordt. Zo merkt de app dat je een plaats bereikt of verlaat en herkent hij wanneer een rit begint en eindigt. De app vraagt hier eerst toestemming voor, en je kunt die altijd intrekken in de instellingen van je telefoon.

Om te zien dat je rijdt, gebruikt de app ook de activiteitsherkenning van je telefoon (op iOS Beweging en fitness). Die herkenning gebeurt op je telefoon zelf en gaat alleen over rijden.

Je locatie en deze activiteitsgegevens worden op je telefoon verwerkt. Naar je eigen Homey gaan de plaatsen die je bewaart (naam, plek en straal) en de gebeurtenissen: dat je op een plaats bent aangekomen of die hebt verlaten, dat een rit is begonnen of geëindigd, en de status van de auto. Dat loopt via dezelfde verbinding met je Homey als de rest van de app. Het korte foutlog op je Homey (zie hierboven) noemt aankomsten en ritten met de naam van de plaats, zonder coördinaten; de laatste regels ervan bereiken ons alleen als je zelf een hulpvraag met diagnose verstuurt. Je locatiegeschiedenis gaat niet naar onze servers en wij bewaren die niet.

Op iPhone wordt de locatiekaart op het vergrendelscherm gestart met een pushbericht dat de naam van de plaats bevat. Dat bericht gaat via onze sleuteldienst naar Apple, die de inhoud niet bewaart (zie hierboven bij de pushmeldingen).

Zonder locatie werken plaatsen niet meer. Zonder activiteitsherkenning worden ritten alleen nog herkend via CarPlay of Android Auto. De rest van de app blijft werken. Op het Locaties-scherm (voor het kiezen van een gebied op de kaart of het zoeken van een adres) worden de kaarttegels en de adreszoekopdracht rechtstreeks opgehaald bij Apple Kaarten (MapKit) op iOS en bij OpenStreetMap en Nominatim op Android; die diensten zien daardoor het bekeken gebied en je zoekopdracht. Grondslag is je toestemming (artikel 6, lid 1, onder a AVG).

Wie je gegevens verwerkt

Verwerkingsverantwoordelijke is Cyril Hendriks, handelend onder de naam Namiddag, gevestigd in België. Je bereikt ons op info@getdrivie.com.

Voor een Drivie Pro-abonnement is Paddle de verkoper en daarmee zelf verantwoordelijk voor je betaal-, factuur- en adresgegevens. Die komen nooit bij ons terecht.

Waarvoor, op welke grond, en hoe lang

Het pushtoken van je toestel en het Drivie-ID van je Homey worden gebruikt om meldingen te bezorgen en om te weten of je abonnement loopt. Grondslag is de uitvoering van de overeenkomst (artikel 6, lid 1, onder b AVG): zonder die gegevens kan de app niet doen waarvoor je hem installeert.

De hashes die de sleuteldienst bewaart en het sessietoken dat hij controleert, zorgen ervoor dat meldingen alleen aankomen op telefoons van jouw Homey en dat niemand anders via de dienst meldingen kan versturen. Grondslag is ook hier de uitvoering van de overeenkomst (artikel 6, lid 1, onder b AVG), en voor de beveiliging van de dienst ons gerechtvaardigd belang (artikel 6, lid 1, onder f AVG).

Het pushtoken hoort bij je toestel en wordt gewist zodra je het apparaat in de Homey-app verwijdert. De sleuteldienst wist wat hij over een token bewaart zodra Apple of Google laat weten dat het niet meer geldig is, zodra je in de app uitlogt, of als de telefoon het token 90 dagen niet heeft vernieuwd. De sleutelhash van je Homey blijft bewaard zolang je Homey Drivie gebruikt. Meldt de companion na een nieuwe installatie een nieuwe sleutel aan, dan vervangt die de oude. Trekken wij je Homey in, bijvoorbeeld bij misbruik, dan blijft die ingetrokken, ook na een nieuwe aanmelding. Dat duurt hoogstens 12 maanden na de intrekking, tenzij wij de intrekking eerder opheffen. De hash blijft al die tijd staan; daarna wist de dienst de hash automatisch. Ook de koppeling tussen je Drivie-ID en je Homey blijft bewaard, en wordt bij een nieuwe sleutel opnieuw vastgelegd. Automatisch wist de dienst die twee niet: verwijder je de companion-app, mail dan info@getdrivie.com en we wissen ze allebei. Het Drivie-ID hoort bij je Homey en blijft bestaan zolang de companion-app daarop geïnstalleerd is.

Gegevens van je Pro-abonnement (abonnements- en klantnummer van Paddle, status en looptijd) bewaren we tot 12 maanden na het einde van het abonnement; daarna wist de sleuteldienst ze automatisch. Meldingen van betalingen die we niet aan een installatie konden koppelen, wist hij na 90 dagen. Zolang je abonnement loopt, is de grondslag de uitvoering van de overeenkomst (artikel 6, lid 1, onder b AVG). Voor de twaalf maanden erna is dat ons gerechtvaardigd belang om je als terugkerende klant te herkennen en vragen, geschillen en terugbetalingen af te handelen (artikel 6, lid 1, onder f AVG). Wat je meldingen nodig hebben om te werken (de sleutelhash van je Homey en de pushtokens van je telefoons) blijft zolang je Drivie gebruikt, met de regels hierboven. Wil je dat we alles wissen wat we over je Drivie-installatie bewaren, mail dan info@getdrivie.com met je Drivie-ID. Je vindt die in de instellingen van de Drivie-companion op je Homey, met een knop om hem te kopiëren. We wissen dan de bijbehorende gegevens in één keer. Hangen er meerdere Drivie-installaties aan dezelfde Homey, dan blijven de gegevens van die Homey (sleutelhash en pushtokens) staan tot de laatste installatie gewist is. Trekken we de toegang van een Homey tot Drivie in, bijvoorbeeld bij misbruik, dan bewaren we het Homey-ID en het tijdstip van intrekking om die blokkade te kunnen handhaven, hoogstens 12 maanden na de intrekking; daarna wissen we ze automatisch. Vraag je ons te wissen terwijl zo’n blokkade loopt, dan houden we alleen die twee gegevens over tot die termijn voorbij is. Grondslag daarvoor is ons gerechtvaardigd belang om misbruik te voorkomen (artikel 6, lid 1, onder f AVG). Cloudflare bewaart de gegevens als onze verwerker; Paddle bewaart je betaal- en factuurgegevens als zelfstandig verantwoordelijke volgens zijn eigen privacybeleid.

De app houdt een kort log bij van wat er op de achtergrond gebeurt, zodat een storing achteraf te herleiden is. Dat log overschrijft zichzelf en gaat naar je eigen Homey; het blijft daarmee binnen je huishouden. Wij zien het alleen wanneer je het ons zelf toestuurt. Grondslag is ons gerechtvaardigd belang bij het oplossen van storingen (artikel 6, lid 1, onder f AVG).

Stel je een vraag via Hulp nodig? in de instellingen van de Drivie-companion, dan gaan je vraag, je e-mailadres en een diagnoserapport naar ons: de versie van de companion, het aantal locaties, of Pro actief is, en per gekoppelde telefoon de naam, het platform, het model, de appversie, wanneer hij laatst gezien is en de laatste 40 regels van het log. Dat verstuur je zelf, en je kunt ook mailen zonder diagnose. Het bericht gaat naar onze sleuteldienst bij Cloudflare, die het met Cloudflare Email Routing als e-mail naar onze mailbox stuurt en er zelf niets van bewaart. Grondslag is je toestemming (artikel 6, lid 1, onder a AVG). Om misbruik te beperken telt de dienst aanvragen per IP-adres en per Homey, alleen onder een hash (gerechtvaardigd belang, artikel 6, lid 1, onder f AVG). Stuur je een bericht via het contactformulier op deze site, dan gaan je naam, je e-mailadres, je bericht en de taal van de pagina ook via onze sleuteldienst en Cloudflare Email Routing naar onze mailbox. De dienst bewaart er niets van. Grondslag is ons gerechtvaardigd belang om je vraag te beantwoorden (artikel 6, lid 1, onder f AVG). Ook hier telt de dienst aanvragen per IP-adres, alleen onder een hash, om misbruik te beperken.

Meld je je op deze site aan voor bericht over Drivie, dan bewaren we je e-mailadres, je taal en wanneer je toestemming gaf, om je één bericht te sturen zodra Drivie uitkomt. Dat staat in een aparte database bij Cloudflare, binnen de EU. Grondslag is je toestemming (artikel 6, lid 1, onder a AVG). Nadat dat bericht verstuurd is, wissen we je adres. Wil je eerder van de lijst, mail dan info@getdrivie.com. Meld je je af, dan wissen we je adres en houden we alleen een onomkeerbare code ervan bij, met de datum van afmelding, zodat niemand je via het formulier opnieuw kan aanmelden, ook jijzelf niet; wil je toch weer bericht, neem dan contact op via de contactpagina. Die code bewaren we zolang we berichten over Drivie versturen; stoppen we daarmee, dan wissen we ook die lijst (gerechtvaardigd belang, artikel 6, lid 1, onder f AVG). Om misbruik te beperken telt de aanmelddienst verzoeken per IP-adres; dat adres wordt alleen daarvoor kort gebruikt en niet bij je aanmelding opgeslagen (gerechtvaardigd belang, artikel 6, lid 1, onder f AVG).

Wie het ontvangt, en waar

Meldingen lopen via Apple (APNs) op iOS en Google (FCM) op Android. Je abonnement loopt via Paddle. De sleuteldienst draait bij Cloudflare, dat daarbij als verwerker in onze opdracht werkt. Via Cloudflare gaan de meldingen naar Apple en Google, staan de hashes die hierboven beschreven zijn, en komen een vraag via Hulp nodig? en een bericht via het contactformulier met Cloudflare Email Routing in onze mailbox. Om een aanmelding te controleren legt de sleuteldienst het sessietoken van je app voor aan Athom, de maker van Homey, die dat token zelf heeft uitgegeven. Deze website draait bij Vercel. Om te zien hoeveel mensen welke pagina bekijken, hoe vaak iemand zich aanmeldt, een bestelling start of het contactformulier gebruikt, en hoe snel de pagina laadt, gebruiken we Vercel Web Analytics en Speed Insights, zonder cookies en alleen als samengetelde cijfers (gerechtvaardigd belang, artikel 6, lid 1, onder f AVG). We tellen ook een paar klikken als anonieme gebeurtenis, zoals een taalwissel, een geopende vraag in de FAQ of het starten van een bestelling. Daarbij sturen we alleen wat je deed en waar, nooit je naam, je e-mailadres of andere persoonsgegevens. Verder deelt Drivie geen gegevens met anderen: geen advertenties, geen doorverkoop.

Op de afrekenpagina laadt de betaalomgeving van Paddle (Paddle.js), en daarmee ook code van ProfitWell, Paddle's dienst voor abonnementsbeheer (Retain). Daardoor komt je IP-adres bij Paddle terecht, ook als je niets koopt. Bij het laden van de pagina worden geen cookies geplaatst; tijdens het afrekenen gebruikt Paddle wat nodig is voor de betaling en om fraude te voorkomen. Paddle doet dat als zelfstandig verantwoordelijke; zie het privacybeleid van Paddle.

Die partijen kunnen gegevens buiten de Europese Economische Ruimte verwerken. Dat gebeurt op basis van een adequaatheidsbesluit van de Europese Commissie of de standaardcontractbepalingen.

Je gegevens verwijderen

Alles wat Drivie over je telefoon bewaart, kun je zelf wissen: in de app via Instellingen en Account verwijderen, of zonder de app via de Homey-app. Op de pagina Account verwijderen staat stap voor stap wat er gewist wordt, hoe lang we de rest bewaren en wat je zelf nog kunt doen, zoals je Homey-account bij Athom verwijderen.

Je rechten

Je hebt recht op inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid van je gegevens en bezwaar. Mail daarvoor info@getdrivie.com. Omdat we je niet bij naam kennen, is het verwijderen van het apparaat in de Homey-app meestal de snelste weg: daarmee zijn de gegevens van dat toestel op je Homey weg. Log je in de app ook uit, dan wist de sleuteldienst de pushtokens van die telefoon. Toestemming die je gaf, kun je altijd intrekken; dat doet niets af aan wat daarvóór op grond ervan gebeurde.

Ben je het oneens met hoe wij met je gegevens omgaan, dan kun je klagen bij de Belgische Gegevensbeschermingsautoriteit of bij de toezichthouder in je eigen land.