Personvernerklæring for Kollektivknappen

1. Behandlingsansvarlig og kontakt

Asadi Dev er behandlingsansvarlig for personopplysningene som brukes for å levere Kollektivknappen, funksjonene knyttet til den fysiske Kollektivknappen og kollektivknappen.com.

• Behandlingsansvarlig: Asadi Dev
• Adresse: Havnegata 101B, 3040 Drammen, Norge
• E-post for personvern og brukerstøtte: info@kollektivknappen.com

Kontakt Kollektivknappen via kontaktskjemaet — Ikke send passord, innloggingslenker, koder, nøyaktig posisjon eller andre hemmelige opplysninger.

2. Hva erklæringen gjelder

Erklæringen gjelder når du bruker Kollektivknappen, kobler Kollektivknappen til telefonen eller bruker den, besøker nettstedet, åpner en kontolenke eller kontakter brukerstøtten. Den gjelder ikke eksterne nettsteder, appbutikker, operativsystemer eller kollektivselskaper som behandler opplysninger under eget ansvar.

Denne erklæringen beskriver behandlingen og funksjonene som gjelder Kollektivknappen.

3. Personopplysninger vi behandler

Hvilke opplysninger som behandles, avhenger av funksjonene du bruker og tillatelsene du gir.

• Konto og profil: konto-ID, e-postadresse, systemgenerert eller selvvalgt brukernavn, tilfeldig standardbilde eller et profilfoto du velger og beskjærer på telefonen (med en mindre versjon for kartmarkøren), autentiseringsstatus, tidspunkt og versjon for godtatte vilkår og nødvendige sikkerhets- og øktdata. Det ubeskårne originalbildet lastes ikke opp.
• Installasjon og varsler: tilfeldig installasjons-ID, plattform, appversjon, språk, tillatelses- og abonnementsstatus, leveringsstatus og begrensede hendelses- eller navigasjonsreferanser.
• Kollektivknappen og tilgangen din: om administratoren har aktivert funksjonen for kontoen, hvilken appinstallasjon som kan håndtere trykk, lokal paringsstatus på telefonen og nødvendige hendelses- og feilkategorier. Tjenesten lagrer ikke identiteten til den fysiske knappen som en kontotilknytning.
• Reiseopplysninger: valgte avganger eller reiser, holdeplass, plattform, linje, tider, Entur-identifikatorer, reiseetapper, gjeldende reise om bord, samtykke og publikum for valgfri deling av ombordstatus, styrende produkt og appinstallasjon, øktgenerasjon, avslutningsårsak, bruk av Kollektivknappen, signalstatus og kunngjøringer som er relevante for reisen.
• Posisjon: en fersk enhetsposisjon når en valgt funksjon trenger den, samt nøyaktighet og tidspunkt. Enkelte valgte reiser kan inneholde et valgt startpunkt på enheten. Under en aktiv reise om bord kan tjenesten midlertidig lagre første og sist oppdaterte posisjon for telefonen og kjøretøyet.
• Drift, styring og feilsøking: pseudonyme referanser til konto, produkt, installasjon og reisegenerasjon, tidspunkt, trykktype eller livsløpshendelse, sikker årsakskode, offentlige linje-/stoppetiketter, berørt reisefunksjon, resultat, feilkategori og tekniske versjons- og tidsdata. Disse opplysningene inneholder ikke identiteten til den fysiske knappen, full opplest tekst, førermeldinger eller nøyaktige koordinater.
• Brukerstøtte og kontaktskjema: navn, e-postadresse, valgt språk, innholdet du selv sender (også hvis du melder fra om et upassende brukernavn eller profilbilde), og begrensede tekniske opplysninger som tidspunkt, nettleser-/enhetstype og IP-adresse for levering, svar, vurdering av henvendelsen og misbruksvern.
• Nettsted: vanlig teknisk forespørselsinformasjon som IP-adresse, tidspunkt, nettleser/enhet, forespurt adresse og sikkerhets- eller leveringsstatus som behandles av vertstjenesten.

Kollektivknappen ber ikke om diagnose eller helseopplysninger og oppretter ikke en funksjonsprofil basert på om VoiceOver eller TalkBack er aktiv. Bruk av et tilgjengelig produkt kan likevel indirekte si noe om et mulig tilretteleggingsbehov. Vi bruker ikke dette til reklame, profilering eller analyse.

4. Formål og rettslig grunnlag

• Avtale og tiltak før avtale, personvernforordningen artikkel 6 nr. 1 bokstav b: opprette og sikre konto, levere reisesøk, valgte reiser, paring og hjelp fra Kollektivknappen, ombordveiledning, signaler, kunngjøringer og brukerstøtte som du ber om.
• Berettiget interesse, artikkel 6 nr. 1 bokstav f: beskytte konto og tjeneste, hindre misbruk, feilsøke, opprettholde drift og sikkerhet og levere et stabilt, tilgjengelig nettsted. Interessen er en sikker og pålitelig tjeneste med minst mulig data.
• Samtykke, artikkel 6 nr. 1 bokstav a: aktivere valgfri behandling når grensesnittet uttrykkelig ber om samtykke, blant annet registrering hos leverandøren av pushvarsler og deling av ombordstatus med brukere som omfattes av delingsvalget ditt. Samtykke kan trekkes tilbake uten at tidligere lovlig behandling blir ulovlig. Deling kan slås av uten å avslutte ombordveiledningen.
• Rettslig plikt, artikkel 6 nr. 1 bokstav c: behandle eller bevare opplysninger når loven krever det, for eksempel ved gyldige myndighetskrav eller nødvendig dokumentasjon av rettskrav.

En systemtillatelse for posisjon, Bluetooth eller varsler er også en teknisk kontroll. Den endrer ikke formålet eller gir adgang til å bruke opplysningene til andre formål. Du kan trekke tilbake tillatelser i telefonens innstillinger, men den aktuelle funksjonen kan da slutte å virke.

5. Posisjon

Kollektivknappen kan bruke en fersk posisjon til å finne holdeplasser og avganger i nærheten, bruke Nåværende posisjon som reisestart, kontrollere en valgt avgang eller reise og utføre det du ber om med Kollektivknappen. Når Kollektivknappen er klar og systemet tillater det, kan appen hente ferske posisjoner i bakgrunnen mens en valgt avgang, reise eller aktiv veiledning følges. På iPhone kan posisjonsoppdateringer også fortsette i bakgrunnen før du velger en avgang, slik at det første fysiske trykket kan bruke en fersk posisjon uten at du åpner appen på nytt. Dette kan bruke mer batteri. Posisjoner som mottas mens du ikke følger en reise, brukes ikke som reisehistorikk.

En gammel eller bufret posisjon brukes ikke som erstatning når en funksjon krever en fersk posisjon. Kollektivknappen lager ikke en fortløpende posisjonshistorikk. En posisjon kan behandles kortvarig sammen med en valgt reise eller et signal. For ombordveiledning kan Kollektivknappen sende begrensede oppdateringer med fersk posisjon og nøyaktig reise- og kjøretøyidentitet for å opprette, kontrollere eller oppdatere kontoens ombordstatus, også når deling er av. Delingsvalget avgjør om andre kan se statusen. Under en aktiv reise om bord kan tjenesten midlertidig holde den første og den sist oppdaterte posisjonen for telefonen og kjøretøyet i samme økt, i stedet for å lagre en punkt-for-punkt-historikk. Et valgt Nåværende posisjon-startpunkt kan lagres som del av den tidsbegrensede reisen på enheten.

Du styrer systemtilgangen i telefonens innstillinger. Hvis posisjon ikke er tilgjengelig, skal Kollektivknappen forklare at handlingen ikke kan fullføres fremfor å late som den kjenner posisjonen din.

6. Kollektivknappen, reiser og signaler

Den fysiske Kollektivknappen kan bare brukes når administratoren har aktivert funksjonen for kontoen, en kompatibel knapp er paret lokalt med telefonen og en godkjent appinstallasjon er aktiv. Brukeren kan erstatte knappen ved å glemme den lokale tilkoblingen og pare en annen kompatibel knapp. Bluetooth-identiteten til den fysiske knappen lagres lokalt på telefonen og sendes ikke som kontotilknytning eller brukstelemetri til tjenesten.

Når du velger en avgang eller reise, lagres nødvendige, kontoavgrensede reiseopplysninger på enheten etter livsløpsreglene for valget. En gjeldende valgt avgang har ingen tidsstyrt utløpsfrist og beholdes til manuell avslutning, nøyaktig mål-/reiseovergang, ugyldig tilstand eller utlogging; planlagte reiser, eldre valgte avganger og korte svarspørsmål beholder egne sikkerhetsfrister. Når du bruker Kollektivknappen, kan nødvendige deler av reiseopplysningene og en fersk posisjon sendes til tjenesten for kontroll mot ferske kollektivdata. Rå leverandørsvar lagres ikke som reisehistorikk.

Innstillingen «Vis ombordstatusen min på kartet» er valgfri. Ombordstatus kan opprettes automatisk for en valgt avgang eller reiseetappe når riktig kjøretøy kommer til valgt plattform og en fersk telefonposisjon er innenfor påstigningsområdet, uavhengig av delingsvalget. Når du velger På, kan alle brukere med tilgang til kartvisningen se brukernavnet og profilbildet ditt på kjøretøymarkøren mens tjenesten viser deg som om bord. En posisjonsfeil kan gi feil status; du kan avslutte den valgte avgangen eller reisen. Når deling er av, vises ikke ombordstatusen din for andre. Eldre, begrensede delingsvalg beholdes til du uttrykkelig endrer dem; de gjøres ikke automatisk offentlige.

Du kan slå deling av eller på i Innstillinger. Når deling slås av, skjules ombordstatusen for andre uten at den valgte avgangen eller ombordveiledningen avsluttes. Ombordveiledning kan også starte for nye reisevalg mens deling er av. Ombordøkten kan avsluttes automatisk når pålitelige opplysninger viser at reisen er ferdig, kjøretøyet har gått videre til en annen reise, kjøretøyet mangler fra vellykkede Entur-oppdateringer i mer enn 15 minutter der regelen gjelder, eller passasjersporingen blir foreldet. Et kort nettverksavbrudd eller usikre data alene regnes ikke som avstigning. At et tilknyttet avgangsvalg når endestasjonen, sletter ikke en nøyaktig standard ombordoppføring.

• Et påstignings- eller avstigningssignal bruker begrensede opplysninger om reisen, kjøretøyet, holdeplassen og hendelsen for å nå riktig kvalifisert fører eller kontrollere signalets varighet og resultat.
• Førerflaten får ikke passasjerens navn, e-postadresse, rå identifikator for Kollektivknappen eller nøyaktige koordinater gjennom signalet.
• En relevant førerkunngjøring kan vises eller leses opp mens du følger reisen om bord. Kollektivknappen lager ikke en passasjerhistorikk over kunngjøringer.

Et klarsignal eller en vist indikator er et hjelpemiddel. Det beviser ikke at en fører har lest eller handlet på signalet, og garanterer ikke at kjøretøyet stopper.

7. Varsler

Hvis du aktiverer pushvarsler, bruker Kollektivknappen OneSignal. Leverandøren kan behandle en ekstern konto-ID, abonnements- og enhetsidentifikator, plattform, appspråk, appversjon, tillatelses- og leveringsstatus og begrensede hendelses- eller dyplenkeopplysninger som trengs for levering.

Kjernevarsler er funksjonelle varsler om konto, reise, ombordstatus eller Kollektivknappen. Kollektivknappen sender ikke nøyaktige koordinater, komplett reise, rutegeometri, stopphistorikk, rå identifikator for Kollektivknappen eller innloggingshemmeligheter i pushinnholdet. Nettverk, leverandør og operativsystem kan forsinke eller hindre levering.

• Du kan avslå systemtillatelsen eller trekke tilbake generell pushregistrering.
• Varselinnstillinger kan styre tilgjengelige kategorier, men kan ikke overstyre et avslag i operativsystemet eller hos leverandøren.
• Det vedvarende Android-varselet som vises mens hjelp fra Kollektivknappen kjører i bakgrunnen, er en systemindikator og er separat fra pushvarsler.

8. Datakilder, leverandører og overføringer

Vi gir bare leverandører og mottakere opplysninger som er nødvendige for den aktuelle oppgaven. Følgende kategorier gjelder når den tilknyttede funksjonen brukes:

• Supabase for autentisering, database, tilgangskontroll, tekniske funksjoner og kontotjenester.
• Entur som kilde og tjeneste for holdeplasser, avganger, reiser og fersk kollektivinformasjon. Forespørsler kan inneholde stoppreferanser eller koordinater som trengs for søket, og vanlig nettverksinformasjon kan følge forespørselen.
• OneSignal for pushvarsler når du har aktivert dette.
• Vercel for hosting og levering av kollektivknappen.com, inkludert begrensede tekniske forespørsels- og sikkerhetslogger.
• Apple og Google for operativsystemtillatelser, enhetsvarsler og håndtering av app- og kontolenker, og for distribusjon når appen publiseres, under deres egne vilkår og personvernregler.
• Resend for levering av e-post om kontakthenvendelser og innloggingslenker. E-postadressen, e-postinnholdet og en sikker kontolenke behandles når det er nødvendig for utsendelsen.
• Andre autentiserte brukere med tilgang til kartvisningen kan motta begrenset ombordstatus, brukernavn og profilbilde på den aktuelle kjøretøymarkøren når offentlig deling er valgt. Eldre, begrensede delingsvalg følger de tidligere lagrede begrensningene til brukeren endrer dem.

Noen leverandører kan behandle opplysninger utenfor Norge eller EØS. Når vi er ansvarlige for overføringen, bruker vi et gyldig overføringsgrunnlag og nødvendige tilleggstiltak, for eksempel beslutning om tilstrekkelig beskyttelsesnivå eller EUs standard personvernbestemmelser. Vi selger ikke personopplysninger og bruker ikke Kollektivknappen-data til tredjeparts reklame.

9. Lagring på enheten og sikkerhet

Kollektivknappen lagrer autentiseringsøkten, sist brukte e-postadresse for enklere ny innlogging, en tilfeldig installasjonsidentitet og varslingssamtykke i beskyttet enhetslagring. E-postadressen fjernes ved bekreftet kontosletting. Valgt språk, innstillinger for Kollektivknappen og livsløpsavgrensede opplysninger om valgte avganger, reiser, svarspørsmål og ombordstatus lagres lokalt. Det offisielle biblioteket for den fysiske Kollektivknappen kan beholde lokal paringsinformasjon i appens avgrensede område.

Vi bruker tilgangskontroll, konto- og installasjonsavgrensning, kryptert transport, validerte datamodeller, begrensede identifikatorer og sikker lagring der det er relevant. Ingen digital tjeneste kan garanteres helt risikofri. Bruk kontaktskjemaet hvis du mistenker uautorisert tilgang, men ikke ta med hemmeligheter i meldingen.

Kontakt Kollektivknappen

Når en innloggingsøkt går tapt eller appdata fjernes, stanser kontoavhengig aktivitet på denne telefonen. Dette sletter ikke kontoen, administratorens kontotilgang, den fysiske Kollektivknappen eller all dokumentasjon hos leverandører og om sikkerhet. Lokal Bluetooth-paring kan beholdes på telefonen til knappen glemmes eller appdata fjernes.

10. Lagringstid og sletting

Vi beholder personopplysninger bare så lenge den beskrevne funksjonen, sikkerheten, en rettslig plikt eller et rettskrav krever det. Følgende grenser og kriterier gjelder:

• Konto, profil, vilkårsgodtakelse og Kollektivknappen-tilgang beholdes mens passasjerkontoen eller den aktuelle tilgangen består. Opplysningene slettes eller oppdateres når en gyldig sletting eller tilgangsendring er gjennomført, med unntak for nødvendige lov- og sikkerhetsopplysninger. Lokal Bluetooth-paring følger telefonens og knappleverandørens lokale lagring og er ikke en serverlagret kontotilknytning.
• Gjeldende valgte avganger på enheten fjernes ved manuell avslutning, nøyaktig mål-/reiseovergang, ugyldig tilstand, utlogging eller kontobytte; planlagte reiser og eldre kompatibilitetsvalg kan også utløpe etter egne frister. Den aktive ombordoppføringen beholdes for veiledning når deling slås av, og avsluttes når ombordøkten avsluttes. Den siste minimerte synkroniseringsstatusen, øktgenerasjonen og avslutningsårsaken kan beholdes og erstattes av senere status så lenge kontoen og funksjonen består, for å hindre at gamle forespørsler gjenoppretter en avsluttet økt. En fersk posisjonsprøve lagres ikke som en fortløpende posisjonshistorikk. Midlertidige posisjonsopplysninger som hører til en aktiv reise om bord, slettes sammen med ombordoppføringen når ombordstatusen avsluttes.
• Private, produkt-/installasjons-/generasjonsbundne talemeldinger om avsluttet eller ugyldig avgang og automatisk avmelding beholdes i høyst 24 timer med hendelsestype, sikker årsakskode, offentlige etiketter og leveringstilstand. De inneholder ikke koordinater, rå identifikatorer for Kollektivknappen, legitimasjon eller full opplest tekst. Hashet kontrolltilstand som skiller eksisterende, passert eller pågående påstigningsberedskap fra bekreftet fravær, beholdes i høyst 48 timer. Kortvarig avgangslesing kan lagre ugjennomsiktig kandidat-token, versjon og tidsstempler for fullført tale, svarfrist og løsning.
• En aktiv signalhendelse har en sikkerhetsgrense på høyst 15 minutter. Detaljerte aktive rader og eventuell varslingsutsending ryddes kort tid etter avslutning eller utløp. Minimerte, koordinatfrie livsløpssammendrag kan beholdes i inntil 90 dager; enkelte pseudonyme duplikatvern beholdes i inntil 24 timer.
• Pseudonyme hendelser som brukes til drift, brukerstøtte og feilsøking, slettes automatisk etter 90 dager. De inneholder ikke nøyaktige eller avrundede bruker- eller kjøretøykoordinater, tale- eller varseltekst, førermeldinger, rå identifikator for Kollektivknappen, tilgangstoken eller skjermleserstatus.
• Varslingspreferanser og gjeldende installasjonsstatus beholdes til de endres, erstattes, installasjonen deaktiveres eller kontoen slettes. OneSignal og operativsystemleverandører bruker også egne dokumenterte oppbevaringsregler.
• Støttehenvendelser og sikkerhetsdokumentasjon beholdes til saken er løst og så lenge det er nødvendig for oppfølging, misbruksvern, lovkrav eller rettskrav. Nettstedets tekniske logger følger vertstjenestens konfigurerte, begrensede loggvindu.

Bruk kontaktskjemaet for å be om sletting av passasjerkontoen, innsyn, retting eller eksport. Vi kan be om nødvendige opplysninger for å bekrefte identiteten din før forespørselen behandles.

Åpne kontaktskjemaet

11. Rettighetene dine

Avhengig av behandlingen og lovens vilkår kan du be om informasjon og innsyn, retting, sletting, begrensning, dataportabilitet eller protestere mot behandling basert på berettiget interesse. Du kan trekke tilbake samtykke når samtykke er grunnlaget, og du kan klage til Datatilsynet.

• Beskriv hvilken konto og hvilken rettighet forespørselen gjelder.
• Vi svarer uten ugrunnet opphold og normalt innen én måned. Lovens regler kan gi lengre frist ved kompliserte eller mange forespørsler.
• En rettighet kan ha unntak, for eksempel når oppbevaring er nødvendig for en rettslig plikt, sikkerhet eller et rettskrav. Vi forklarer et eventuelt avslag.
• En gyldig forespørsel om permanent sletting fjerner passasjerkontoen og tilknyttede data, med unntak der lovlig oppbevaring fortsatt er nødvendig.

Send en personvernforespørsel

Klag til Datatilsynet — Du kan kontakte oss først, men det er ikke et krav for å klage.

12. Nettsted og sikre kontolenker

Kollektivknappen-nettstedet bruker ikke analyseverktøy, reklamepiksler eller informasjonskapsler for sporing. Når du sender kontaktskjemaet, brukes navn, e-postadresse, melding, valgt språk og begrenset teknisk forespørselsinformasjon for å levere henvendelsen, sende en mottaksbekreftelse og hindre misbruk. Selve henvendelsen lagres ikke i en egen database, men behandles av e-post- og driftsleverandører som beskrevet ellers i erklæringen. Språk ligger i nettadressen og krever ikke en sporingsprofil.

På /auth/callback kontrollerer nettleseren formen på innloggingslenken og forsøker å åpne appen. Avhengig av lenketypen bekrefter autentiseringstjenesten lenken før videresending, eller appen løser den inn etter overføring. Siden fjerner spørring og fragment fra den synlige nettleserhistorikken og viser ikke kontolegitimasjon. Vertstjenesten kan likevel motta vanlig forespørselsinformasjon, og e-post- eller operativsystemleverandøren kan behandle lenken etter sine regler.

Ikke videresend en kontolenke. Be om en ny lenke i appen dersom den er ugyldig, utløpt, brukt eller åpnet på feil enhet.

13. Endringer i erklæringen

Når behandlingen eller lovkravene endres, oppdaterer vi denne erklæringen, dokumentversjonen og ikrafttredelsesdatoen. Vesentlige endringer varsles på en tydelig måte før de trer i kraft når loven krever det.

Den gjeldende norske og engelske versjonen publiseres fra samme Kollektivknappen-kilde til appen og nettstedet. Ved språklig uklarhet skal tekstene leses slik at de gir samme personvern. Bruk kontaktskjemaet hvis du vil be om avklaring.

Åpne kontaktskjemaet