Verwerkersovereenkomst Leopol Fleet

Versie 2026-10-30 / Version 2026-10-30

TrapSpotter BV · Trekschurenstraat 245, 3500 Hasselt, België · ondernemingsnummer 1031.603.017 (RPR Antwerpen, afdeling Hasselt) · btw BE1031603017 · privacy@trapspotter.com

Deze verwerkersovereenkomst is de overeenkomst van artikel 28 van de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, AVG). Ze maakt deel uit van de zakelijke voorwaarden van Leopol Fleet en geldt tussen de onderneming die de console gebruikt (de klant), als verwerkingsverantwoordelijke, en TrapSpotter BV (Leopol), als verwerker. Begrippen hebben de betekenis die de AVG eraan geeft.

1Voorwerp

1.1 Leopol verwerkt persoonsgegevens voor de klant om de console en de functies van Fleet te leveren. Bijlage 1 beschrijft per functie het voorwerp, de aard, het doel, de betrokkenen, de gegevens en de bewaartermijn.

1.2 Voor de verwerking van persoonsgegevens gaat deze overeenkomst voor op de zakelijke voorwaarden.

2Rollen

2.1 De klant is verwerkingsverantwoordelijke voor de gegevens van bijlage 1. Hij bepaalt de doeleinden, heeft voor elke verwerking een rechtsgrond (voor gegevens over verkeersovertredingen ook een grond die artikel 10 AVG toelaat, zie bijlage 4), informeert de betrokkenen en beantwoordt hun verzoeken. Hij bepaalt ook, met de middelen die de dienst biedt, hoe pauzes, privétijd en de tijd buiten het werk buiten de registratie blijven (zakelijke voorwaarden, artikel 9.3), en neemt daarvoor de maatregelen die de AVG van een verwerkingsverantwoordelijke vraagt (artikelen 24 en 25 AVG).

2.2 Leopol is verwerker van die gegevens.

2.3 Leopol is zelf verwerkingsverantwoordelijke, buiten deze overeenkomst, voor: het eigen Leopol-account van elke gebruiker en zijn gebruik van de app buiten de functies van bijlage 1 (zoals waarschuwingen, navigatie, meldingen en Leopol Pro), de contract- en facturatiegegevens van de klant en zijn contactpersonen, de beveiliging van de dienst en het voorkomen van misbruik, en statistieken die niemand identificeren. Het privacybeleid van Leopol beschrijft die verwerkingen.

3Instructies

3.1 Leopol verwerkt de gegevens alleen op gedocumenteerde instructies van de klant, ook wat doorgiften naar een derde land betreft. De instructies zijn: deze overeenkomst, de zakelijke voorwaarden, en wat de klant en zijn beheerders in de console instellen of doen. Andere instructies geeft de klant schriftelijk.

3.2 Verplicht het recht van de Unie of van een lidstaat Leopol tot een verwerking zonder instructie, dan meldt zij dat vooraf aan de klant, tenzij dat recht die melding verbiedt.

3.3 Is een instructie volgens Leopol in strijd met de AVG of met andere regels inzake gegevensbescherming, dan meldt zij dat meteen aan de klant. Zij hoeft de instructie dan niet uit te voeren zolang de klant ze niet bevestigt of aanpast.

4Vertrouwelijkheid

4.1 Alleen medewerkers en onderaannemers van Leopol die de gegevens nodig hebben voor hun taak, hebben er toegang toe, en zij zijn tot geheimhouding verplicht.

4.2 De beheerconsole van Leopol toont medewerkers geen ritten, routes, adressen of posities, en kan de console van een klant niet openen. Technische toegang tot de databank hebben alleen de technische beheerders, voor onderhoud, beveiliging en het oplossen van fouten. Voor ondersteuning kijkt Leopol alleen naar de gegevens van een klant als die erom vraagt, en alleen naar wat daarvoor nodig is.

5Beveiliging

Leopol neemt de technische en organisatorische maatregelen van bijlage 2 (artikel 32 AVG) en houdt ze op peil. Zij mag ze aanpassen, zolang het beschermingsniveau niet daalt.

6Subverwerkers

6.1 De klant geeft Leopol een algemene toestemming om de subverwerkers van bijlage 3 in te schakelen.

6.2 Leopol meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail aan de eigenaar van het bedrijf in de console. De klant kan binnen die termijn met redenen bezwaar maken. Vinden partijen geen oplossing, dan kan de klant de overeenkomst beëindigen voor de subverwerker begint; wat hij vooraf betaalde voor de periode daarna, wordt terugbetaald.

6.3 Leopol legt elke subverwerker bij overeenkomst verplichtingen inzake gegevensbescherming op die overeenstemmen met deze overeenkomst (artikel 28, lid 4 AVG), en blijft tegenover de klant volledig aansprakelijk voor de nakoming ervan.

7Doorgifte buiten de Europese Economische Ruimte

7.1 De databank en de bestanden van de dienst staan in de Europese Unie (Stockholm, Zweden), de eigen servers van Leopol in Duitsland en Finland (bijlage 3, punt 2). Enkele subverwerkers verwerken gegevens in of vanuit een land buiten de Europese Economische Ruimte (EER); bijlage 3 vermeldt welke en waar.

7.2 Zo'n doorgifte gebeurt alleen met een waarborg uit hoofdstuk V van de AVG: een adequaatheidsbesluit van de Europese Commissie (voor de Verenigde Staten: het EU-VS-gegevensprivacykader, voor ondernemingen die daaronder gecertificeerd zijn) of de standaardcontractbepalingen van de Europese Commissie. Bijlage 3 vermeldt per subverwerker de waarborg.

7.3 Is de klant gevestigd buiten de Europese Economische Ruimte, dan gelden voor de doorgifte van persoonsgegevens door Leopol aan de klant (in de console, in exports en per e-mail) de standaardcontractbepalingen van Uitvoeringsbesluit (EU) 2021/914 van de Commissie van 4 juni 2021, module vier: doorgifte van verwerker aan verwerkingsverantwoordelijke (artikel 46, lid 2, c AVG). Partijen sluiten ze door de aanvaarding van de zakelijke voorwaarden; ze maken deel uit van deze overeenkomst, met deze invulling:

• Leopol is de gegevensexporteur, als verwerker; de klant is de gegevensimporteur, als verwerkingsverantwoordelijke;
• clausule 7 (koppelingsclausule) en de optie in clausule 11, onder a (een onafhankelijke instantie voor geschillenbeslechting), zijn niet gekozen;
• clausule 17: de bepalingen worden beheerst door het Belgische recht; clausule 18: geschillen worden beslecht door de Belgische rechtbanken;
• bijlage I.A: de partijen zoals in de zakelijke voorwaarden en in de console, met privacy@trapspotter.com als contactpunt van Leopol en de eigenaar in de console als contactpunt van de klant; de aanvaarding in de console geldt als handtekening en datum;
• bijlage I.B: de betrokkenen, de gegevens, de aard en de doeleinden van bijlage 1; gevoelige gegevens: de boetegegevens (artikel 10 AVG), met de beperkingen van bijlage 1, punt 8, en bijlage 2; de doorgifte is doorlopend, zolang de klant de dienst gebruikt; bewaring bij Leopol volgens bijlage 1 en artikel 11, bij de klant zoals hij als verwerkingsverantwoordelijke bepaalt.

Bij tegenstrijdigheid gaan de standaardcontractbepalingen voor (clausule 5). Geldt voor het land van de klant een adequaatheidsbesluit van de Europese Commissie (artikel 45 AVG), dan steunt de doorgifte ook daarop.

8Bijstand

8.1 Verzoeken van betrokkenen. In de console kan de klant de gegevens inzien, exporteren en verbeteren, voertuigen en documenten verwijderen, en leden en klanten uit gebruik nemen. Wat de klant niet zelf kan doen, zoals het wissen van ritten, voert Leopol op zijn schriftelijk verzoek uit binnen tien werkdagen.

8.2 Ontvangt Leopol zelf een verzoek van een betrokkene over gegevens van de klant, dan stuurt zij het binnen vijf werkdagen door naar de klant en antwoordt zij niet inhoudelijk, tenzij de klant dat vraagt.

8.3 Leopol helpt de klant met de beveiliging, de gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de toezichthouder, met de informatie waarover zij beschikt, waaronder deze bijlagen en het DPIA-model voor België, Nederland, Luxemburg, Frankrijk en Duitsland.

8.4 Deze bijstand is kosteloos, behalve bij verzoeken die kennelijk ongegrond of buitensporig zijn; dan kan Leopol, na akkoord van de klant, een redelijke vergoeding vragen.

9Inbreuken in verband met persoonsgegevens

9.1 Leopol meldt een inbreuk in verband met persoonsgegevens van de klant zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat zij ervan kennis kreeg, per e-mail aan de eigenaar en de beheerders van het bedrijf, of aan het adres dat de klant daarvoor opgeeft.

9.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Wat nog niet bekend is, volgt zodra het bekend is.

9.3 De klant beslist over de melding aan de toezichthouder en aan de betrokkenen (artikelen 33 en 34 AVG); Leopol helpt hem daarbij en documenteert de inbreuk.

10Informatie en audits

10.1 Leopol stelt de klant de informatie ter beschikking die nodig is om aan te tonen dat zij deze overeenkomst naleeft: onder meer deze overeenkomst met haar bijlagen, een beschrijving van de maatregelen en de lijst van subverwerkers.

10.2 Volstaat die informatie niet, dan kan de klant op eigen kosten een audit laten uitvoeren door een onafhankelijke auditor die tot geheimhouding verplicht is. Een audit gebeurt hoogstens één keer per jaar (behalve na een inbreuk of op vraag van een toezichthouder), na een schriftelijk plan dat minstens 30 dagen vooraf wordt bezorgd, tijdens de kantooruren, en zonder toegang tot gegevens van andere klanten. Voor subverwerkers gelden hun eigen auditrapporten en certificaten.

11Bewaring en einde

11.1 Tijdens de overeenkomst gelden de bewaartermijnen van bijlage 1. De klant kan op elk moment schriftelijk vragen om gegevens eerder te wissen; Leopol voert dat uit binnen tien werkdagen.

11.2 Na het einde van het abonnement kan de klant zijn gegevens nog 30 dagen exporteren in de console. Daarna wist Leopol binnen 30 dagen alle gegevens van bijlage 1, tenzij het recht van de Unie of van een lidstaat opslag verplicht. Gewiste gegevens verdwijnen uit de back-ups wanneer die vervallen, binnen hoogstens 30 dagen, en uit de maandelijkse kopie van de bewaarde bestanden (bijlage 2) binnen hoogstens 35 dagen.

11.3 Op vraag bevestigt Leopol de verwijdering schriftelijk.

11.4 Had de klant nooit een abonnement of een pilot en betaalde hij nooit, dan wist Leopol alle gegevens van bijlage 1 zodra geen eigenaar of beheerder de console 90 dagen geopend heeft, en ten vroegste 30 dagen nadat zij het de eigenaar per e-mail liet weten (zakelijke voorwaarden, artikel 17.4), tenzij het recht van de Unie of van een lidstaat opslag verplicht. Gewiste gegevens verdwijnen uit de back-ups zoals in artikel 11.2.

12Aansprakelijkheid

Tegenover betrokkenen geldt artikel 82 AVG. Tussen partijen geldt de aansprakelijkheidsregeling van de zakelijke voorwaarden, behalve voor zover de wet dat verbiedt.

13Duur, recht en rechter

Deze overeenkomst geldt zolang Leopol persoonsgegevens voor de klant verwerkt. Op deze overeenkomst is Belgisch recht van toepassing; geschillen worden voorgelegd aan de rechter die de zakelijke voorwaarden aanwijzen.

14Anonieme verkeersstatistieken

14.1 De klant geeft Leopol hierbij de gedocumenteerde instructie (artikel 28, lid 3, a AVG) om de snelheid uit de live posities van zijn chauffeurs te anonimiseren tot verkeersstatistieken, zoals in dit artikel. De klant beoordeelt of die verdere verwerking verenigbaar is met het doel waarvoor hij de gegevens verzamelt (artikel 6, lid 4 AVG).

14.2 Daarvoor bewaart Leopol van een live positie met snelheid een staal: de week en het uur (in UTC), de positie afgerond tot ongeveer 11 meter, de snelheid in hele km/u, de rijrichting tot op 10 graden, en een code voor de chauffeur die met een geheime sleutel (salt) van die week berekend wordt. Een staal bevat geen bedrijf, naam, voertuig, rit of exact tijdstip; alleen snelheden van 5 tot 200 km/u, hoogstens 60 per persoon en per uur. Het staal is gepseudonimiseerd (artikel 4, punt 5 AVG) en blijft een persoonsgegeven tot het samen met de sleutel van die week gewist wordt: 9 dagen na het einde van de week, dus hoogstens ongeveer 16 dagen na de meting. Tot dan verwerkt Leopol de stalen tot statistieken op haar eigen server in Helsinki (bijlage 3, punt 2).

14.3 Een statistiek gaat over één wegvak en één week (bijvoorbeeld de mediaan en het 95ste percentiel van de snelheden en het aandeel dat de limiet met meer dan 10 km/u overschrijdt) en bevat geen bedrijf, chauffeur, voertuig, toestel, rit of exacte positie. Stalen tellen alleen mee op wegvakken waar die week ook de eigen ritgegevens van Leopol liggen: één per persoon, wegvak en uur, en hoogstens drie per persoon, wegvak en week. Een statistiek wordt alleen bewaard als ze, alle bronnen samen, steunt op minstens 20 verschillende personen en 50 ritten en de stalen van Fleet hoogstens de helft van die personen en ritten uitmaken; een cijfer voor de spits of daarbuiten alleen als dat deel zelf minstens 50 ritten telt. Zo gemaakte statistieken zijn anoniem (overweging 26 AVG; Groep artikel 29, advies 05/2014 over anonimiseringstechnieken) en dus geen persoonsgegevens meer. Leopol gebruikt ze als haar eigen gegevens, alleen zelf, voor haar eigen verkeers- en rijstatistieken: zij geeft ze niet door, deelt ze niet en verkoopt ze niet. Zij probeert nooit ze opnieuw aan een persoon, een voertuig of een bedrijf te koppelen.

14.4 De klant kan deze instructie intrekken per e-mail aan privacy@trapspotter.com; Leopol voert dat uit binnen tien werkdagen en wist dan ook de stalen van zijn chauffeurs die nog bewaard worden. Statistieken die al gemaakt zijn, blijven bestaan: ze identificeren niemand.

Bijlage 1. Beschrijving van de verwerking

Aard van de verwerking. Verzamelen via de app en de console, opslaan, ordenen, tonen, berekenen (uren, kilometers, vergoedingen), exporteren, versturen (e-mail, pushmeldingen) en wissen.

Betrokkenen. Eigenaars en beheerders van de klant; chauffeurs (werknemers en andere medewerkers die de klant uitnodigt); uitgenodigde personen; contactpersonen van klanten van de klant.

Duur. Zolang de overeenkomst loopt, en daarna de termijn van artikel 11.

Werkwijze. De gegevens van de punten 12 tot 14 worden alleen geregistreerd in de werkwijze tijdsklok (zakelijke voorwaarden, artikel 3.6). In de werkwijze zonder tracking worden geen werkdagen, ritten of posities geregistreerd (punten 2 tot 4). In de werkwijze ritten blijft een pauze buiten de registratie doordat de chauffeur de werkdag stopt: tussen "Stop werkdag" en de volgende "Start werkdag" wordt niets geregistreerd (zakelijke voorwaarden, artikelen 3.2 en 9.3).

Per functie:

1. Leden en uitnodigingen. Gegevens: voornaam, naam, e-mailadres, telefoon, functie, personeelsnummer, notities, rol, status, seat, of een eigenaar of beheerder ook zijn eigen werkritten laat registreren, datums van uitnodiging, aanvaarding en vertrek. Doel: toegang en seats beheren. Bewaring: zolang het lid bestaat; een lid dat vertrok of werd verwijderd, blijft bewaard zolang er werkgegevens aan gekoppeld zijn, uiterlijk tot het einde van de overeenkomst. Een uitnodiging is 7 dagen geldig en wordt gewist uiterlijk 90 dagen na het versturen, zodra ze gebruikt, ingetrokken of vervallen is.

2. Werkdagen. Gegevens: begin en einde, de reden van het einde (stop door de chauffeur, automatische stop, einde van de werkuren, einde van het abonnement, vertrek, een wijziging van de werkwijze), het voertuig of de eigen wagen, de werkuren die de klant instelt, voor het bedrijf of per chauffeur, en, in de werkwijze tijdsklok, of de werkdag moet worden nagekeken (bijvoorbeeld automatisch gestopt of werf niet gekend). Doel: werktijd en kilometers per werkdag, en de registratie beperken tot de werkuren. Bewaring: tot het einde van de overeenkomst, tenzij de klant eerder om wissing vraagt.

3. Ritten. Gegevens: begin- en eindtijd, begin- en eindpositie met adres, de gevolgde route (vereenvoudigd), de afstand, de klant, het voertuig of de eigen wagen, een notitie, en of de rit privé is. Van een privérit blijven in de gegevens van de klant alleen het tijdstip en de afstand: de plaatsen, de route en de klant worden definitief uit de rit gewist, en de databank aanvaardt geen privérit met zulke gegevens. De plaatsen en de route worden apart bewaard voor de chauffeur alleen, die ze in de app ziet: Leopol bewaart ze voor de chauffeur als eigen verwerkingsverantwoordelijke, niet als verwerker van de klant, en stelt ze nooit ter beschikking van de klant, zijn beheerders, de console, een export of een rapport. Ze worden gewist 60 dagen na de rit, wanneer de chauffeur het bedrijf verlaat of eruit wordt verwijderd, wanneer de chauffeur ze of zijn account verwijdert, en met het bedrijf. Doel: ritten en bezoeken aantonen, kilometers en vergoedingen berekenen. Bewaring: de gevolgde route en de exacte begin- en eindpositie worden 60 dagen na de rit gewist; in elk land behalve België, Nederland en Duitsland ook het begin- en eindadres. De rest (tijden, afstand, klant, voertuig, notitie en, elders, de adressen) zoals de werkdagen.

4. Live posities (alleen als de klant ze aanzet). Gegevens: positie, rijrichting en snelheid volgens de telefoon, en het tijdstip (de snelheid alleen in België en Nederland en in de landen waar de console ze toont); hoogstens één keer per minuut, alleen tijdens een werkdag, nooit tijdens een privérit en, in de werkwijze tijdsklok, nooit tijdens een pauze. De console toont de snelheid alleen in een land waar de wet een werkgever toelaat ze te zien (zakelijke voorwaarden 3.2 en 9.3); elders toont ze de positie, niet de snelheid. Doel: weten wie waar is tijdens het werk (planning, hulp). Bewaring: gewist na 30 minuten, bij het einde van de werkdag, wanneer de chauffeur het bedrijf verlaat, en meteen voor alle chauffeurs wanneer de klant live posities uitzet. Van een positie met snelheid kan Leopol een gepseudonimiseerd staal bewaren, dat hoogstens ongeveer 16 dagen bestaat en dan opgaat in anonieme verkeersstatistieken (artikel 14).

5. Klanten en adressen. Betrokkenen: klanten van de klant en hun contactpersonen. Gegevens: naam, adres, positie, label, contactpersoon, telefoon, notitie. Doel: adressen tonen in de app, waar de chauffeurs ze vinden wanneer ze zoeken, en ritten aan bezoeken koppelen. Bewaring: tot het einde van de overeenkomst, tenzij de klant eerder om wissing vraagt.

6. Voertuigen en documenten. Gegevens: nummerplaat, merk, model, bouwjaar, brandstof, kilometerstand, toegewezen chauffeur en de toewijzingen in de tijd (wie het voertuig wanneer had), en voor materieel ook het eigen nummer, de soort, de categorie, het serienummer en de leverancier; soort document (zoals inschrijvingsbewijs, verzekering, keuring, groene kaart of leasecontract), referentie, vervaldatum, en een scan of foto van het document. De scans staan in afgeschermde opslag: alleen de eigenaar en de beheerders, en de chauffeur aan wie het voertuig is toegewezen of die er een werkdag mee rijdt, zien ze, via links die vijf minuten geldig zijn. Een e-mail aan de eigenaar en de beheerders 30 en 7 dagen voor een document vervalt. Doel: het wagenpark en zijn papieren beheren, en weten aan wie een voertuig is toegewezen en wie ermee reed. Bewaring: tot de klant ze verwijdert, uiterlijk tot het einde van de overeenkomst.

7. Bonnetjes. Gegevens: datum, soort, handelaar, bedrag, btw, liters, foto, status, wie besliste en wanneer. De foto's staan in afgeschermde opslag: alleen de chauffeur die ze instuurde en de eigenaar en beheerders zien ze, via links die vijf minuten geldig zijn. Doel: onkosten terugbetalen. Bewaring: tot het einde van de overeenkomst, tenzij de klant eerder om wissing vraagt. De klant bewaart zelf wat hij voor zijn boekhouding moet bewaren.

8. Boetes (met "Wie reed er?"; alleen de eigenaar en de beheerders). Betrokkenen: chauffeurs. Gegevens: nummerplaat, datum, uur en plaats van de overtreding, referentie van de overheid, de datum van de brief, termijn, status, de chauffeur bij wie de klant de boete registreert en de gevonden rit, de vraag aan de chauffeur en zijn antwoord, notities. Het zijn gegevens over strafbare feiten in de zin van artikel 10 AVG. Doel: nagaan wie reed en, waar de wet dat vraagt, de bestuurder binnen de termijn aanwijzen (bijlage 4). Bewaring: automatisch gewist na de termijn van het land van de klant: in België 24 maanden na de overtreding; in Frankrijk en Luxemburg 45 dagen na de datum van de brief (zonder die datum 90 dagen na de overtreding); in Nederland, Duitsland en elk ander land 30 dagen nadat de klant de boete afsluit, en anders uiterlijk 24 maanden na de overtreding. De klant kan boetes eerder wissen, en doet dat wanneer zijn recht of zijn toezichthouder het vraagt (bijlage 4).

9. Kilometerstaat. Berekend uit de werkdagen en ritten wanneer de klant hem opvraagt: zakelijke kilometers met de eigen wagen en met een bedrijfsvoertuig, het aantal privéritten (zonder plaatsen), werkdagen, uren en de vergoeding; per klant: bezoeken, kilometers en tijd ter plaatse. Doel: de kilometervergoeding en de facturatie aan klanten voorbereiden. Bewaring: wordt niet apart bewaard.

10. Logboek. Gegevens: wie wat deed in de console en wanneer (bijvoorbeeld een lid uitgenodigd of verwijderd, een instelling gewijzigd). Doel: beveiliging en verantwoording. Bewaring: tot het einde van de overeenkomst.

11. E-mails en pushmeldingen. Gegevens: naam, e-mailadres en bedrijfsnaam in uitnodigingen; aan chauffeurs een pushmelding bij een vraag over een boete of wanneer de server een werkdag beëindigde; aan eigenaars en beheerders herinneringen over documenten en boetetermijnen. Doel: de functies hierboven. Bewaring: de providers bewaren verzendlogs volgens bijlage 3.

12. Tijdsklok (alleen in de werkwijze tijdsklok). Gegevens: per taak, pauze of vertrek het begin en het einde, de werf of het adres (bij een vertrek ook de bestemming), de activiteit, de werksoort en het subtype, het gebruikte materieel, een notitie, en de positie bij het begin van de taak, afgerond tot ongeveer 100 meter; van een pauze alleen het begin en het einde, zonder plaats, materieel of positie; bij een verbetering of toevoeging door een beheerder: wie, wanneer, de reden en de oorspronkelijke registratie. De positie bij het inklokken dient alleen om de dichtstbijzijnde werf voor te stellen en wordt niet bewaard. Doel: de werktijd per taak, werf en materieel registreren en nakijken, de uren berekenen en de kosten per werf toewijzen. Bewaring: zoals de werkdagen; de positie bij het begin van een taak wordt 60 dagen na de taak gewist, en eerder wanneer een vertrokken lid gewist wordt.

13. Laatste plaats van materieel (alleen in de werkwijze tijdsklok). Gegevens: per stuk materieel één punt: de positie, afgerond tot ongeveer 10 meter, het tijdstip, de werf, en wie het gebruikte. Bijgewerkt wanneer een taak met dat materieel eindigt en, zolang die taak loopt, met de positie van de telefoon, hoogstens om de 45 seconden, ook als live posities uitstaan; nooit tijdens een pauze en nooit buiten de werkdag of de werkuren. Elke nieuwe plaats overschrijft de vorige: er is geen geschiedenis. Doel: weten waar materieel staat. Bewaring: tot het materieel verwijderd wordt, uiterlijk tot het einde van de overeenkomst; wie het gebruikte, wordt 60 dagen na het tijdstip gewist, en eerder wanneer die persoon als vertrokken lid gewist wordt.

14. Urenexports (alleen in de werkwijze tijdsklok). Berekend uit de werkdagen en de tijdsklok wanneer de klant ze opvraagt: per chauffeur en per dag (in, uit, pauze, gewerkte tijd, werven), per kostenplaats (werf, activiteit, werksoort, subtype en notitie), per stuk materieel en per werf. Doel: loon, facturatie aan klanten en kosten per werf voorbereiden. Bewaring: wordt niet apart bewaard.

Bijlage 2. Technische en organisatorische maatregelen

• Hosting in de EU. Databank, bestandsopslag en serverfuncties bij Supabase in de AWS-regio eu-north-1 (Stockholm, Zweden); eigen servers bij Hetzner in Falkenstein (Duitsland) en Helsinki (Finland).
• Versleuteling. TLS tijdens het transport; versleuteling van opgeslagen gegevens door de hostingprovider.
• Toegang via gecontroleerde functies. Apps en browsers hebben geen rechtstreekse toegang tot de tabellen (row level security op elke tabel, zonder rechten voor gebruikers). Elke functie gaat bij elke oproep na wie de gebruiker is, tot welk bedrijf en welke rol hij behoort, en of het bedrijf actief is.
• Rollen. Eigenaar, beheerder en chauffeur. Een chauffeur ziet alleen zijn eigen gegevens. Boetes zijn alleen zichtbaar voor de eigenaar en de beheerders.
• Minimale registratie. Fleet registreert alleen tijdens een werkdag, met een automatische stop, en binnen de werkuren als de klant die instelt; de chauffeur kan de werkdag op elk moment stoppen, bijvoorbeeld voor een pauze, en tot hij een nieuwe start, wordt niets geregistreerd. Privéritten worden in de gegevens van de klant op de server ontdaan van hun plaatsen en route; alleen de chauffeur ziet die nog, in een eigen opslag die geen functie van de klant kan lezen. Live posities staan standaard uit, hoogstens één per minuut, en worden na 30 minuten gewist. Boetes worden gewist na de termijn van het land, uiterlijk 24 maanden na de overtreding. In de werkwijze tijdsklok wordt tijdens een pauze geen positie bewaard en houdt de dienst van materieel alleen de laatste plaats bij; in de werkwijze zonder tracking worden geen werkdagen, ritten of posities geregistreerd.
• Uitnodigingen. Een willekeurige sleutel van 256 bits, waarvan alleen de hash wordt bewaard; 7 dagen geldig en één keer bruikbaar.
• Bonnetjes en scans van documenten. Afgeschermde opslag; alleen leesbaar via links die vijf minuten geldig zijn.
• Misbruik. Snelheidsbeperking op schrijfacties en op gevoelige functies; botbescherming bij het aanmelden in de console.
• Logboek. De acties in de console worden gelogd.
• Medewerkers van Leopol. Toegang op basis van noodzaak en met geheimhoudingsplicht; de beheerconsole toont geen ritten, routes, adressen of posities en kan de console van een klant niet openen.
• Geheimen. Sleutels staan in de beheeromgevingen van de providers, niet in de broncode.
• Kwetsbaarheden. Dagelijkse controle van de gebruikte software op gekende kwetsbaarheden.
• Tests. Geautomatiseerde tests controleren de toegangsregels per rol.
• Foutrapportage. Fouten worden gemeld met technische gegevens (fouttype, versie, toestel, gebruikers-ID), zonder de inhoud van ritten of posities.
• Back-ups door de hostingprovider, die vervallen binnen hoogstens 30 dagen, een versleutelde wekelijkse kopie van de databank op onze eigen opslag bij Hetzner in Duitsland, die na een week niet meer te lezen is, en een versleutelde maandelijkse kopie van de bewaarde bestanden (bonnetjes en scans van documenten), die tot de volgende en hoogstens 35 dagen bewaard wordt.
• Incidenten. Een procedure om inbreuken op te sporen, te beperken, te documenteren en binnen 48 uur aan de klant te melden.

Bijlage 3. Subverwerkers

Voor de dienst:

1. Supabase Pte. Ltd. (Singapore), met Amazon Web Services als hostingprovider. Databank, aanmelding, bestandsopslag (ook de foto's van bonnetjes en de scans van voertuigdocumenten) en serverfuncties. Plaats: AWS-regio eu-north-1 (Stockholm, Zweden); ondersteuning door Supabase, Inc. vanuit de Verenigde Staten kan toegang inhouden. Waarborg: standaardcontractbepalingen (module 2) in de verwerkersovereenkomst van Supabase.

2. Hetzner Online GmbH (Gunzenhausen, Duitsland). De eigen servers van Leopol: de kaart in de console, het opzoeken van een adres (bij een positie en in de adresvelden van de console), de rijtijden van "Dichtstbijzijnde chauffeur" (zelf berekend of via TomTom, punt 10) en de verwerking van de snelheidsstalen tot statistieken (artikel 14). Plaats: Falkenstein (Duitsland) en Helsinki (Finland). Geen doorgifte.

3. Mapbox, Inc. (Verenigde Staten). Reserve voor het opzoeken van een adres bij een positie, wanneer de eigen server geen antwoord geeft. Ontvangt alleen coördinaten, geen naam of gebruikers-ID. Plaats: Verenigde Staten. Waarborg: EU-VS-gegevensprivacykader; standaardcontractbepalingen.

4. Plus Five Five, Inc. (Resend, Verenigde Staten). Versturen van e-mails (uitnodigingen, herinneringen). Verzending vanuit Ierland; e-mailgegevens en logs worden in de Verenigde Staten bewaard. Waarborg: standaardcontractbepalingen; EU-VS-gegevensprivacykader.

5. Functional Software, Inc. (Sentry, Verenigde Staten). Foutrapporten van de app en de console: fouttype, versie, toestel, gebruikers-ID. Plaats: Europese Unie (Frankfurt); enkele accountgegevens in de Verenigde Staten. Waarborg: EU-VS-gegevensprivacykader; standaardcontractbepalingen als reserve.

6. Vercel Inc. (Verenigde Staten). Hosting van de console op fleet.trapspotter.com: levert de pagina's en ontvangt daarbij het IP-adres en technische gegevens van de browser. Plaats: wereldwijd netwerk. Waarborg: EU-VS-gegevensprivacykader; standaardcontractbepalingen.

7. Cloudflare, Inc. (Verenigde Staten). Botbescherming (Turnstile) bij het aanmelden in de console: IP-adres en technische signalen van de browser. Plaats: wereldwijd netwerk. Waarborg: EU-VS-gegevensprivacykader; standaardcontractbepalingen. Cloudflare gebruikt die signalen ook als zelfstandige verwerkingsverantwoordelijke om zijn botdetectie te verbeteren.

8. Google LLC en Google Ireland Limited (Firebase Cloud Messaging). Pushmeldingen naar Android-telefoons: het toestel-token en de tekst van de melding. Waarborg: EU-VS-gegevensprivacykader; standaardcontractbepalingen.

9. Apple Inc. (Verenigde Staten, Apple Push Notification service). Pushmeldingen naar iPhones: het toestel-token en de tekst van de melding. Apple biedt hiervoor geen verwerkersovereenkomst of standaardcontractbepalingen aan; daarom bevatten pushmeldingen van de dienst alleen een algemene tekst, zonder nummerplaat, plaats of overtreding. De chauffeur ziet de details pas in de app.

10. TomTom International B.V. (Amsterdam, Nederland). Waar de dienst TomTom gebruikt: het adres bij het begin- en eindpunt van een rit en het zoeken naar een adres in de console (nu in België, vanaf appversie 2.7.80 en de console van die versie), en de rijtijden van "Dichtstbijzijnde chauffeur" (binnen een maandbudget; anders rekent de eigen server). TomTom ontvangt via de eigen server van Leopol in Helsinki alleen coördinaten (de begin- en eindpunten, de live posities van de chauffeurs in dienst en de positie van het adres) en de zoektekst, nooit een naam, gebruikers-ID of IP-adres van een chauffeur. TomTom is in de Europese Unie gevestigd.

Voor de facturatie (Leopol als verwerkingsverantwoordelijke; ter informatie):

• Stripe Payments Europe, Limited (Ierland): abonnement, betalingen en facturen; doorgifte aan Stripe, LLC (Verenigde Staten) onder het EU-VS-gegevensprivacykader en standaardcontractbepalingen.
• Billit NV (Gent, België), zodra de verzending via Peppol actief is: facturen naar Belgische klanten via het Peppol-netwerk; servers in Europa.

Bijlage 4. Rechtsgrond voor boetegegevens (informatief)

De klant bepaalt zijn rechtsgrond. Deze bijlage vat samen wat Leopol vond; ze is geen juridisch advies. Een termijn loopt vanaf de datum die de wet noemt (meestal de verzending of de datum van de brief), niet vanaf de ontvangst.

• België. De rechtspersoon, of de natuurlijke persoon die hem in rechte vertegenwoordigt, deelt de identiteit van de bestuurder mee, of als hij die niet kent die van de persoon die verantwoordelijk is voor het voertuig, binnen 15 dagen na de verzending van de vraag om inlichtingen (artikel 67ter van de wet betreffende de politie over het wegverkeer). Wie dat niet doet, riskeert sinds 1 september 2026 een geldboete van €1.600 tot €32.000, te verhogen met de opdeciemen (artikel 29ter). Rechtsgrond: artikel 6, lid 1, c AVG. Artikel 10 AVG: artikel 10, § 1, 1° van de wet van 30 juli 2018 (beheer van eigen geschillen), te bevestigen door de klant; de klant houdt de lijst bij van de categorieën van personen met toegang en zorgt voor hun vertrouwelijkheid (artikel 10, § 2).

• Luxemburg. De wettelijke vertegenwoordiger van de rechtspersoon die houder is van het inschrijvingsbewijs, bezorgt de gegevens om de bestuurder te identificeren binnen 45 dagen na de datum van de brief, een maand langer voor wie niet in Luxemburg woont (artikelen 4, 8, 8bis en 9 van de gewijzigde wet van 25 juli 2015). Wie dat niet doet, riskeert een geldboete van €1.000 tot €10.000 (artikel 12). Rechtsgrond: artikel 6, lid 1, c AVG. Artikel 10 AVG: dezelfde wettelijke plicht; een uitdrukkelijke Luxemburgse regel voor private werkgevers vonden wij niet.

• Frankrijk. De wettelijke vertegenwoordiger van een rechtspersoon die houder is van het inschrijvingsbewijs, of die het voertuig houdt, deelt de identiteit en het adres van de bestuurder mee binnen 45 dagen na de verzending of de overhandiging van het bericht van overtreding, voor overtredingen die met een automatisch toestel werden vastgesteld (artikel L121-6 van de Code de la route). Wie dat niet doet, riskeert voor de rechtspersoon een forfaitaire boete van €675 (€1.000 als de oorspronkelijke overtreding een wanbedrijf is). Rechtsgrond: artikel 6, lid 1, c AVG. Artikel 10 AVG: artikel 46 van de wet nr. 78-17 van 6 januari 1978 (Informatique et Libertés), met de artikelen A121-1 en volgende van de Code de la route, zoals het referentiekader 2021-043 van de CNIL over de aanwijzing van bestuurders bevestigt. Dat referentiekader beveelt aan de gegevens voor de aanwijzing 45 dagen na ontvangst van de boete te bewaren; de dienst wist ze automatisch 45 dagen na de datum van de brief (bijlage 1), en de klant kan ze eerder wissen in de console.

• Nederland. Voor een boete onder de Wet Mulder (WAHV) is er geen plicht om de bestuurder aan te wijzen: de kentekenhouder betaalt (artikel 5 WAHV) en mag sinds 1 september 2026 persoonsgegevens verwerken om de boete op de bestuurder te verhalen (artikel 5, lid 2 WAHV). Bij een strafbeschikking is de eigenaar of houder aansprakelijk, tenzij hij naam en adres van de bestuurder bekendmaakt (artikel 181 Wegenverkeerswet 1994, met een grondslag voor strafrechtelijke gegevens in lid 5); bij een misdrijf moet hij de bestuurder bekendmaken binnen de termijn van de vordering, minstens 48 uur (artikel 165). Rechtsgrond: artikel 6, lid 1, f AVG, of c bij artikel 165. Strafrechtelijke gegevens over personeel worden verwerkt volgens regels die met instemming van de ondernemingsraad zijn vastgesteld (artikel 33, lid 3 UAVG). De wetgever wijst erop dat een eigenaar of houder geen register van overtredingen mag bijhouden en alleen gegevens per concrete sanctie mag verwerken. Mulderboetes zijn volgens de wetgever geen gegevens in de zin van artikel 10 AVG; de dienst behandelt ze uit voorzorg zo.

• Duitsland. Er is geen plicht om de bestuurder aan te wijzen. Kan de bestuurder niet worden vastgesteld, dan kan de overheid de houder een rittenboek opleggen (§ 31a StVZO). Rechtsgrond: artikel 6, lid 1, f AVG. Artikel 10 AVG: een duidelijke Duitse grondslag voor werkgevers vonden wij niet; de klant staat als verwerkingsverantwoordelijke in voor zijn grondslag. De dienst bewaart de boetes en wist ze automatisch 30 dagen nadat de klant ze afsluit (bijlage 1).

• Andere landen. Deze bijlage vat de regels van andere landen niet samen. De dienst telt er geen termijn af en wist een boete 30 dagen nadat de klant ze afsluit, en anders uiterlijk 24 maanden na de overtreding (bijlage 1). De klant staat als verwerkingsverantwoordelijke in voor zijn rechtsgrond.

Een verkeersovertreding valt onder artikel 10 AVG volgens het Hof van Justitie (22 juni 2021, C-439/19).