Privacybeleid

Wie wij zijn

Curbed wordt gemaakt door B Squared Software Development Ltd, een in Engeland en Wales geregistreerd bedrijf. Curbed is het schade- en onderhoudsdossier voor wagenparken: chauffeurs melden vanaf de wagen, de werkplaats en het kantoor handelen het af, en het dossier blijft aan het voertuig hangen.

Dit beleid legt uit welke persoonsgegevens Curbed verwerkt, waarom, hoe lang, en welke rechten je hebt. Onze contactgegevens staan onderaan deze pagina.

Twee rollen

Voor de website op curbed.cab zijn wij de verwerkingsverantwoordelijke.

Voor de Curbed-app die jouw bedrijf gebruikt, is jouw bedrijf de verwerkingsverantwoordelijke. Het bedrijf bepaalt wie een account krijgt en wat er wordt vastgelegd; wij verwerken die gegevens in opdracht van het bedrijf, op basis van een overeenkomst met het bedrijf. Vragen over je account, of verzoeken om gegevens in het Curbed van je bedrijf in te zien, te corrigeren of te verwijderen, stel je daarom eerst aan je bedrijf. Wij helpen het bedrijf om die te beantwoorden.

Wat wij in de app verwerken

Account: je naam, e-mailadres, rol, taalvoorkeur en de momenten waarop je inlogt. Je wachtwoord bewaren wij alleen als een versleutelde hash, nooit leesbaar.

Meldingen: de omschrijving, foto’s, kilometerstanden, tankgegevens, het voertuig en de tijdstippen, gekoppeld aan het account dat ze heeft vastgelegd.

Notificaties: als je die aanzet, een push-abonnement voor je browser of de pushtoken van je iPhone, zodat wij je kunnen bereiken over meldingen die aan jou zijn toegewezen.

Technisch: serverlogboeken met IP-adres en browsertype, kort bewaard voor beveiliging en het oplossen van storingen.

Wat wij op de website verwerken

De website heeft geen accounts. Zij gebruikt drie eigen cookies: één voor je taalvoorkeur, één met de bedrijfsadressen die je hebt ingevoerd als je de bedrijfskiezer gebruikt, en één met je antwoord op de vraag over Google Analytics hieronder. De tweede wordt alleen gezet als je zelf het formulier verzendt, de derde alleen als je antwoordt.

Wij tellen bezoeken zelf, met eigen software op onze eigen server in Duitsland. Die zet geen cookies en bewaart niets op je toestel. Vastgelegd worden: de pagina die je leest, de site of link waarvandaan je kwam, eventuele campagneparameters in die link, je browser, besturingssysteem en soort toestel, en het land waar je verbinding vandaan komt. Zij volgt je nooit naar een andere website, en je kunt haar verderop op deze pagina uitzetten voor deze browser.

Het demobedrijf op demo.curbed.cab is het enige deel van Curbed waar we ook tellen wat je doet: met welke rol je inlogt, welke pagina’s je opent en op welke knoppen je drukt, op dezelfde manier en op dezelfde server. Inloggen daar zet een sessiecookie, en als je binnenkwam via een link met een kort label (de naam van een bedrijf waar we hem naartoe stuurden, of vanaf welke pagina van ons je kwam), onthouden twee extra cookies dat label 30 dagen. Niets wat je daar typt komt bij een echt bedrijf terecht, en alles wordt elke 12 uur gewist.

Als je het toestaat, gebruiken wij daarnaast Google Analytics. Die zet eigen cookies en stuurt de pagina die je leest, de link waarvandaan je kwam, je IP-adres en gegevens over je browser naar Google LLC in de Verenigde Staten. Google levert de dienst voor ons en gebruikt een deel van die gegevens ook voor eigen doeleinden, zoals het draaiend houden en verbeteren van de dienst. Je kunt je antwoord verderop op deze pagina altijd wijzigen.

De Google-tag zelf wordt op elke pagina geladen, ook voordat je antwoordt en nadat je nee hebt gezegd. Zolang je het niet toestaat, zet en leest zij geen cookies en geen identificatie, en stuurt zij Google per pagina alleen een signaal zonder cookies: het tijdstip, de pagina, gegevens over je browser en of je toestemming hebt gegeven, samen met je IP-adres, dat elk verzoek aan Google meestuurt. Google gebruikt het om totalen te schatten, niet om jou te herkennen. Dat zeggen wij liever met zoveel woorden dan je te laten denken dat er vóór je klik niets gebeurt.

Vraag je een demo aan, dan bewaren wij wat je ons vertelt: je naam, je bedrijf, je e-mailadres en — als je ze invult — de omvang van je wagenpark en je bericht. Ook leggen wij vast vanaf welke pagina je het vroeg, in welke taal je las, welke site of link je bracht en welke campagneparameters daarin stonden, zodat wij zien welke van onze eigen marketing mensen werkelijk bereikt. Wij gebruiken het om je te antwoorden en om te bepalen of Curbed bij je wagenpark past, en wij geven het aan niemand anders door.

In de app doen wij dit allemaal niet. Het meten van de website vertelt ons of onze eigen marketing werkt; de app bevat de dossiers van je bedrijf, wij houden die onder onze overeenkomst met je bedrijf, en niets daarin wordt voor ons gemeten.

AI: foto’s en vertalingen

Curbed stuurt jouw foto’s niet naar een AI-dienst. Er is een tijd geweest dat schadefoto’s voor een automatisch voorstel naar een aanbieder in de Verenigde Staten gingen; die functie is uitgeschakeld en staat voor geen enkel bedrijf meer aan. Foto’s blijven op onze servers in Duitsland.

Mocht de foto-analyse ooit terugkomen, dan gebeurt dat niet stilzwijgend: het wordt eerst hier beschreven, en een bedrijf zet het zelf aan of laat het uit.

Tekst is iets anders. Een bedrijf kan in zijn instellingen automatisch vertalen aanzetten; het staat standaard uit. Staat het aan, dan sturen wij wat er op een melding geschreven wordt — de omschrijving, notities en de beschrijving van wat er gerepareerd is — naar een AI-taalmodel bij Ollama in de Verenigde Staten, dat het vertaalt voor collega’s die de app in de andere taal lezen. Die tekst verlaat daarvoor de Europese Unie. Je naam, je e-mailadres en foto’s gaan niet mee, maar wel alles wat iemand zelf in die tekst heeft gezet.

Zet een bedrijf vertalen uit, dan wordt er vanaf dat moment niets meer verstuurd. Vertalingen die al gemaakt zijn blijven bij de melding bewaard en zichtbaar, tot iemand de tekst wijzigt; dan verdwijnt de vertaling ervan.

Waar gegevens staan en wie ze verder ziet

Curbed draait op servers van Hetzner Online GmbH in Duitsland, binnen de Europese Unie.

Pushnotificaties worden afgeleverd via de pushdienst van je browser of toestel (Apple, Google of Mozilla). De inhoud van een webpush-bericht is onderweg versleuteld en voor die dienst niet leesbaar. Notificaties naar de iPhone-app lopen via Apple’s Push Notification service: Apple ontvangt de pushtoken van je toestel en de inhoud van de notificatie — om welk soort gebeurtenis het gaat, het wagennummer of de naam van een aanmelder, nooit een omschrijving of een foto — en geeft die door aan je telefoon.

Heeft je bedrijf automatisch vertalen aangezet, dan gaat de tekst van meldingen voor de vertaling naar Ollama in de Verenigde Staten, zoals hierboven beschreven. Heeft het dat niet, dan gaat er uit de app niets naar Ollama.

Als je Google Analytics op de website toestaat, gaan die gegevens naar Google LLC in de Verenigde Staten. De doorgifte valt onder de verwerkersvoorwaarden van Google, waarin de modelcontractbepalingen van de Europese Commissie en het Britse addendum daarbij zijn opgenomen. Dit geldt alleen voor de marketingwebsite, nooit voor de app.

Wij verkopen geen gegevens en delen ze met niemand anders dan de hierboven genoemde dienstverleners, tenzij de wet ons daartoe verplicht.

Hoe lang wij gegevens bewaren

Meldingen, foto’s en het voertuigdossier bewaren wij zolang je bedrijf een Curbed-account heeft. Dat is de kern van het product: een dossier per wagen dat jaren later nog klopt.

Zegt een bedrijf op, dan kan het eerst alles exporteren. Daarna verwijderen wij de gegevens van dat bedrijf binnen 30 dagen.

Je kunt je eigen account op elk moment verwijderen, in de app onder Account. Je naam, e-mailadres en inloggegevens worden dan direct gewist en je wordt overal uitgelogd; je meldingen blijven zonder je naam onderdeel van het voertuigdossier. Een bedrijf kan een account ook deactiveren, en kan ons vragen persoonsgegevens te wissen. Push-abonnementen vervallen zodra je notificaties uitzet of het abonnement verloopt. Serverlogboeken bewaren wij kort.

Heb je een demo aangevraagd, dan bewaren wij je naam, bedrijf, e-mailadres en wat je schreef 24 maanden, en daarna halen wij ze weg. Wat overblijft — vanaf welke pagina je het vroeg, in welke taal en welke link je bracht — zegt niet meer wie je bent, en dat houden wij om te zien welke van onze eigen marketing werkt.

Beveiliging

Alle verbindingen zijn versleuteld (TLS). Wachtwoorden worden opgeslagen met argon2. Gegevens van verschillende bedrijven zijn strikt van elkaar gescheiden, en binnen een bedrijf bepaalt je rol wat je te zien krijgt.

Jouw rechten

Op grond van de AVG (en de UK GDPR) heb je recht op inzage, correctie, verwijdering, beperking van de verwerking, overdraagbaarheid van je gegevens en bezwaar tegen de verwerking.

Gaat het om gegevens in het Curbed van je bedrijf, dien je verzoek dan in bij je bedrijf; wij helpen het bedrijf om binnen de wettelijke termijn te antwoorden. Gaat het om de website, mail ons dan rechtstreeks.

Je kunt ook een klacht indienen bij de toezichthouder: in Nederland de Autoriteit Persoonsgegevens, in het Verenigd Koninkrijk de Information Commissioner’s Office (ICO), of de toezichthouder van het land waar je woont.

Kinderen

Curbed is een werkinstrument en niet bedoeld voor personen jonger dan 16 jaar.

Wijzigingen

Als wij dit beleid aanpassen, werken wij de datum bovenaan bij. Bij een wezenlijke wijziging informeren wij je bedrijf, dat jou informeert.