Privacybeleid

1Verantwoordelijke voor de verwerking

Leopol is een handelsnaam van TrapSpotter BV.

Adres: Trekschurenstraat 245, 3500 Hasselt, België

Ondernemingsnummer (BTW): BE1031603017

E-mail (GDPR / DPO): privacy@trapspotter.com

Algemeen contact: contact@trapspotter.com

2Welke gegevens verzamelen wij?

Om onze diensten te leveren en te verbeteren verzamelen wij:

• Accountgegevens: e-mailadres, gebruikersnaam, telefoonnummer en wachtwoord
• Locatiegegevens: GPS-coördinaten voor realtime waarschuwingen langs uw route
• Gebruiksgegevens: informatie over rapporten, routes en voorkeuren
• Apparaatgegevens: apparaattype, besturingssysteem, appversie en pushtoken
• Betalingsgegevens: verwerkt door Apple, Google of Stripe; wij ontvangen geen kaartgegevens
• Communicatie: berichten met onze AI-assistent of WhatsApp-bot
• Advertentie-ID en app-identificatie: alleen met uw toestemming, om advertenties te tonen in de gratis versie en onze eigen advertentiecampagnes te meten
• Website- en webappbezoeken: de pagina’s die u bekijkt en de campagne die u bij ons bracht (utm_*-parameters); cookies van Google Analytics alleen als u ze accepteert (zie artikel 11)
• Zoekopdrachten: wat u in de kaartzoekfunctie typt
• Diagnostiek: crash- en foutrapporten
• Foto's van documenten: alleen als u de documentenportefeuille gebruikt; versleuteld bewaard bij uw account

3Waarom verzamelen wij deze gegevens?

• Onze diensten leveren, waaronder waarschuwingen, navigatie en meldingen van gebruikers
• Uw account en abonnement beheren
• Onze app en diensten verbeteren
• Communiceren over uw account en belangrijke updates
• Aan wettelijke verplichtingen voldoen
• Fraude voorkomen en misbruik bestrijden

4Rechtsgrondslag (GDPR artikel 6)

Wij verwerken persoonsgegevens op basis van:

• Toestemming voor optionele functies zoals pushmeldingen, analytics en marketing; u kunt die altijd intrekken
• Uitvoering van een overeenkomst om accounttoegang, abonnementen en alerts te leveren
• Gerechtvaardigd belang voor fraudepreventie, beveiliging, productverbetering, cookieloze websitestatistieken en bescherming van onze infrastructuur
• Wettelijke verplichting voor fiscale administratie en rechtmatige verzoeken van autoriteiten

5Delen met derden (subverwerkers)

Wij verkopen uw gegevens niet. Wij delen ze alleen met subverwerkers die onze diensten mogelijk maken onder GDPR-conforme overeenkomsten.

• Supabase — database, authenticatie en bestandsopslag via EU-hosting in Frankfurt
• Hetzner Online (Duitsland) — hosting van onze eigen servers voor kaarten, routes, zoeken en live-waarschuwingen; ontvangt de locaties, routes en zoektermen die nodig zijn om uw verzoek te beantwoorden, met een versleutelde gebruikerssleutel in plaats van uw naam
• Stripe — webbetalingen en abonnementen
• RevenueCat — beheer van iOS- en Android-abonnementen; ontvangt uw account-ID en, om aankopen aan uw account te koppelen, uw e-mailadres, naam en telefoonnummer
• Apple — betalingen via de App Store, Inloggen met Apple, pushbezorging via APNs, spraakherkenning wanneer u een bericht dicteert (Apple verwerkt de audio) en, alleen met uw toestemming voor advertentiemeting, Apple Ads-attributie (AdServices): of een installatie op iOS uit een Apple Ads-campagne kwam
• Google — betalingen via Google Play, Google Sign-In, Firebase Cloud Messaging voor pushmeldingen, de Play Install Referrer (welke campagne tot een installatie leidde), app-updates via Google Play, tekstherkenning op het toestel voor documentscans (ML Kit, het model wordt door Google Play-services geleverd) en spraakherkenning op Android wanneer u dicteert
• Google Analytics (Google Ireland Limited) — onze eigen Google Analytics 4-property, gekoppeld aan ons eigen Google Ads-account, meet bezoeken aan trapspotter.com en het gebruik van de webapp op app.trapspotter.com. Zonder toestemming ontvangt het alleen cookieloze pings, zonder cookie en zonder blijvende identificatie; met toestemming (de cookiebanner van de website, of de eigen toestemmingsinstellingen van de webapp) gebruikt het zijn cookies en, op de website, de advertentiemetingscookies van Google. E-mailadressen en inlog- en uitschrijftokens in paginaadressen worden verwijderd voordat ze Google bereiken. Zie artikel 11
• Google Analytics for Firebase — meet in de iOS- en Android-app welke van onze eigen Google Ads-campagnes tot een installatie, registratie of abonnement hebben geleid. Pas na uw toestemming voor productanalyse gebruikt het een app-identificatie, app-gebeurtenissen en, gemeld door onze server, de start van uw proefperiode en abonnement en de verlengingen, met de prijs; voor advertentiedoeleinden is ook uw toestemming voor advertentiemeting nodig. Op iOS kan Google met die toestemming uw e-mailadres of telefoonnummer, gehasht op uw toestel, daar vergelijken met een advertentie die u zag; het verlaat uw toestel niet. Zonder toestemming verstuurt de app alleen cookieloze pings zonder enige identificatie (Google Consent Mode); zie artikel 11
• Google AdMob — advertenties in de gratis versie, alleen wanneer er advertenties worden getoond en pas nadat u advertentiemeting toestaat en daarna ook in het toestemmingsvenster van Google. AdMob kan uw advertentie-ID, IP-adres en globale locatie gebruiken om advertenties te kiezen en te meten. Premium-abonnees zien geen advertenties en hun gegevens gaan niet naar AdMob
• Meta — advertentiemeting in de iOS- en Android-app, uitsluitend na uw toestemming voor advertentiemeting; zie artikel 11. De website en de webapp bevatten geen tracking van Meta. Berichten aan onze WhatsApp-bot lopen via het WhatsApp Business-platform van Meta
• Mapbox — routeberekening met actueel verkeer en, als reserve voor onze eigen servers, adressen zoeken en coördinaten omzetten naar een adres; ontvangt routepunten, zoektermen en coördinaten, niet uw identiteit
• OpenAI via de Vercel AI Gateway — de AI-assistent en het verwerken van meldingen die u schrijft. Om te antwoorden ontvangt het uw berichten en, als context, uw positie, snelheid, actieve route en opgeslagen plaatsen (zoals thuis). Uw gegevens worden niet gebruikt om modellen te trainen
• Twilio — de WhatsApp-bot
• CM.com — sms met eenmalige inlogcodes
• Resend — transactionele e-mail en de nieuwsbrief
• Sentry (EU) — crash- en foutdiagnostiek (fouttype, appversie, toestelmodel en uw gebruikers-ID, zodat we een crash aan een supportvraag kunnen koppelen)
• Cloudflare — botbescherming bij het inloggen en registreren (Turnstile)
• Vercel — hosting van de website, de AI Gateway en Vercel Web Analytics (cookieloze, geaggregeerde tellingen van paginaweergaven op de website)
• Uber — alleen als u zelf een rit bestelt vanuit de app: uw ophaalpunt en bestemming worden aan Uber doorgegeven

6Uw rechten

Onder de GDPR heeft u recht op:

• Inzage in de gegevens die wij bewaren
• Rectificatie van onjuiste gegevens
• Verwijdering (recht om vergeten te worden)
• Beperking van de verwerking
• Dataportabiliteit in een gestructureerd formaat
• Bezwaar tegen bepaalde verwerkingen
• Intrekking van toestemming
• Een klacht bij de Gegevensbeschermingsautoriteit (GBA)

7Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder TLS 1.3 tijdens transport, AES-256 voor opslag, RLS-beleid op databaseniveau, snelheidsbeperking op gevoelige endpoints, idempotente betaalwebhooks en auditlogs voor wijzigingen in abonnementen.

8Bewaartermijnen

Wij bewaren gegevens niet langer dan noodzakelijk:

• Account- en profielgegevens: zolang uw account actief is; na verwijdering worden ze onmiddellijk gewist
• Sms- en OTP-codes: vervallen na 10 minuten en worden daarna gewist
• Betalingsgegevens: 7 jaar volgens het Belgische boekhoudrecht
• Meldingen van gebruikers: de inhoud kan voor andere gebruikers blijven bestaan, maar wordt na accountverwijdering van uw identiteit losgekoppeld
• Antifraudegegevens: maximaal 24 maanden en eenrichtingsgehasht
• Uitschrijflijst: als u zich uitschrijft of uw account verwijdert, bewaren wij een eenrichtingshash van uw telefoonnummer zodat wij u niet opnieuw kunnen aanschrijven. Wij bewaren het nummer zelf niet
• Gegevens in Google Analytics (website, webapp en de iOS- en Android-app): 14 maanden

9Internationale gegevensoverdrachten

Onze primaire infrastructuur staat in de EU (Supabase in Frankfurt, onze eigen servers bij Hetzner in Duitsland). Verschillende subverwerkers zijn gevestigd of verwerken gegevens buiten de EU, vooral in de Verenigde Staten: Google (waaronder Google Analytics, dat wij afnemen via Google Ireland Limited), Apple, Meta, OpenAI, Stripe, RevenueCat, Twilio, Resend, Mapbox, Cloudflare, Vercel (waaronder Vercel Web Analytics) en Uber. Doorgiften steunen op passende waarborgen:

• Standaardcontractbepalingen van de EU (SCC’s)
• Het EU-VS-gegevensprivacykader, voor aanbieders die daaronder gecertificeerd zijn
• Adequaatheidsbesluiten van de Europese Commissie waar van toepassing
• Aanvullende waarborgen die volgen uit het Schrems II-arrest

10Minderjarigen

Leopol is gericht op bestuurders en is niet bestemd voor personen jonger dan 16 jaar. Wij verzamelen niet bewust gegevens van minderjarigen onder de GDPR-leeftijdsgrens. Ouders of voogden kunnen een vermoeden melden via privacy@trapspotter.com.

11Cookies en tracking

Website (leopol.ai). Deze website plaatst geen cookies en bewaart niets op uw toestel. Er draait geen Google Analytics, geen Meta Pixel, geen Tag Manager en geen andere tracker of advertentiepixel. Vercel, dat de website host, houdt voor beveiliging en werking technische serverlogs bij (zoals IP-adres, tijdstip en opgevraagde pagina). Wat u in het contactformulier invult, gaat naar onze servers bij Supabase in de EU. Tikt u op een knop voor de App Store of Google Play, dan vermeldt de link dat u van leopol.ai komt — een campagnelabel, geen persoonsgegeven — zodat een installatie aan deze website kan worden toegeschreven.

Webapp (app.trapspotter.com). De webapp rapporteert aan dezelfde webstream van Google Analytics, ook met alle toestemmingssignalen standaard geweigerd. Website en webapp delen één keuze (de cookie trapspotter_cookie_consent op trapspotter.com): accepteert of weigert u in de cookiebanner, dan geldt dat ook in de webapp tot u daar zelf kiest, en ‘Sta toe’ in de webapp telt op de website als accepteren, ‘Alleen analyse’ of ‘Niet toestaan’ als weigeren. In de webapp verfijnt u dat met de eigen toestemmingsvraag en Instellingen → Analytics & tracking: productanalyse staat de cookies van Google Analytics toe, advertentiemeting de advertentiemeting van Google. Met toestemming voor productanalyse meet Google Analytics paginaweergaven en productgebeurtenissen (account aangemaakt, onboarding voltooid, navigatie gestart en beëindigd, melding geplaatst, abonnementsscherm getoond), en wanneer een webabonnement start of verlengd wordt, meldt onze server dat als conversie met bedrag en valuta, gekoppeld aan de browser-ID van Google Analytics. Zonder die toestemming verstuurt de webapp alleen cookieloze pings. Hij gebruikt geen Meta Pixel, geen Tag Manager en geen Clarity. De website en de webapp delen het domein trapspotter.com en daardoor de cookie van Google Analytics: met toestemming op beide telt een websitebezoek dat eindigt in een registratie als één bezoeker.

De app gebruikt op elk platform localStorage — dezelfde soort technologie als een cookie — om uw voorkeuren en uw toestemmingskeuze te onthouden. Dat is noodzakelijk en staat los van toestemming. De iOS- en Android-app gebruiken geen browsercookies.

iOS- en Android-app. Geeft u toestemming voor productanalyse, dan draait in de app Google Analytics for Firebase, dat meet welke van onze eigen Google Ads-campagnes tot installaties, registraties en abonnementen leiden. Voor advertentiedoeleinden is daarnaast uw toestemming voor advertentiemeting nodig. Zolang u niet hebt gekozen, verstuurt het alleen cookieloze pings zonder enige identificatie. Trekt u de toestemming voor productanalyse in, dan wordt de identificatie op uw toestel gewist en meldt onze server niets meer.

Geeft u toestemming voor advertentiemeting, dan draait de Meta Pixel in de iOS- en Android-app en stuurt de Meta SDK de gebeurtenissen daarvan door naar Meta als native App Events. Dit meet advertentieconversies zoals registraties en abonnementen. Het is de enige tracking van Meta die wij ergens gebruiken — op de website en in de webapp is die er niet.

Op Android leest de app bij de eerste start de Google Play Install Referrer: de campagne waaruit de installatie kwam. De advertentieklik-ID daarin bewaren wij alleen met uw toestemming voor advertentiemeting. Op de iPhone vraagt de app, met uw toestemming voor advertentiemeting, aan Apple (AdServices) of de installatie uit een Apple Ads-campagne kwam; Apple antwoordt met de ID’s van campagne, advertentiegroep en zoekwoord, zonder toestel-ID, en wij bewaren dat antwoord bij uw account. Bracht een campagnelink (utm_*-parameters) u naar de app, op welk platform ook, dan bewaren wij die campagne bij uw account als herkomst van uw registratie; advertentieklik-ID’s (zoals gclid of fbclid) alleen met uw toestemming voor advertentiemeting.

De gratis versie kan advertenties van Google AdMob tonen; AdMob vraagt daarvoor een eigen toestemming in het toestemmingsvenster van Google; zie artikel 5.

Toestemming is opgesplitst: productanalyse, advertentiemeting en onze nieuwsbrief zijn drie aparte schakelaars in Instellingen → Analytics & tracking. U kunt ze onafhankelijk in- en uitschakelen, en alle drie staan standaard uit. De nieuwsbrief vraagt u bij het aanmaken van uw account met een apart, niet-aangevinkt vakje; u hoeft dat niet aan te vinken om de app te gebruiken, en u kunt zich altijd uitschrijven via de schakelaar of via de link onderaan elke e-mail.

12Wijzigingen

Wij kunnen dit privacybeleid wijzigen. De datum bovenaan vermeldt de laatste aanpassing. Belangrijke wijzigingen melden wij per e-mail of via een in-appbanner.

13Contact en klachten

E-mail (GDPR / DPO): privacy@trapspotter.com

Adres: Trekschurenstraat 245, 3500 Hasselt, België

U kunt een klacht indienen bij de Gegevensbeschermingsautoriteit via https://www.gegevensbeschermingsautoriteit.be/ wanneer u meent dat wij uw gegevens niet correct verwerken.