Privacybeleid

Inleiding

Welltransfers respecteert je privacy en verwerkt persoonsgegevens in overeenstemming met de Algemene verordening gegevensbescherming (AVG). In dit privacybeleid leggen we uit welke gegevens we verwerken, waarom, op welke grondslag, met wie we ze delen en welke rechten je hebt.

Verwerkingsverantwoordelijke: WellTransfers, gevestigd te Zekeringstraat 48, 1014 BT Amsterdam, ingeschreven bij de Kamer van Koophandel onder nummer 97992135. Vragen over privacy kun je stellen via hello@welltransfers.com.

Voor de gegevens van gebruikers die zich rechtstreeks bij het platform registreren (dispatchers, chauffeurs en opdrachtgevers) is Welltransfers verwerkingsverantwoordelijke. Voor de rit- en passagiersgegevens die een dispatcher in de eigen omgeving verwerkt, treedt Welltransfers op als verwerker en is die dispatcher verwerkingsverantwoordelijke. De afspraken daarover staan in onze verwerkersovereenkomst, waarmee een dispatcher bij zijn registratie akkoord gaat.

Welke gegevens we verwerken

Afhankelijk van je rol verwerken we onder meer:

Passagiers en opdrachtgevers

• naam en contactgegevens (e-mail, telefoonnummer);
• als je in de app voor reizigers inlogt: je telefoonnummer of e-mailadres, waarmee je inlogt, en de code die we je per sms of e-mail sturen om te laten zien dat dat nummer of adres van jou is. Van zo'n code bewaren we het nummer of adres waarnaar hij ging, je IP-adres en een gehashte vorm van de code, waaruit de code niet terug te halen is; de code zelf bewaren we niet. Log je in met je Apple- of Google-account, dan krijgen we je naam en e-mailadres van hen en bewaren we de vaste code die zij aan je account geven, zodat we je de volgende keer herkennen. We krijgen geen wachtwoord;
• ophaal- en bestemmingslocatie en tijdstip van de rit;
• ritgeschiedenis, prijs en eventuele beoordelingen;
• bij een gast-boeking zonder account: de gegevens die nodig zijn om die ene rit uit te voeren;
• als je korting krijgt (de welkomstkorting voor een nieuw account, of een korting of code die we je geven): welke korting je hebt en voor welke ritten je hem gebruikte. Om te zorgen dat iemand de welkomstkorting één keer krijgt, bewaren we daarbij een versleutelde code van je toestel of browser (op een Android-telefoon ook van de vaste code die Android onze app voor dat toestel geeft), je e-mailadres, je telefoonnummer en het betaalmiddel waarmee je betaalde (van een kaart de vingerafdruk die onze betaaldienst geeft, van een bankrekening de bank, de laatste vier cijfers en de naam). Uit die code is de waarde zelf niet terug te halen; we vergelijken hem alleen met de codes van andere accounts;
• de prijsopgaven die je opvraagt, ook als je niet boekt: ophaaladres en bestemming, het gekozen moment, het aantal passagiers en de prijzen die je zag. Met een account hangt de opgave aan je account; zonder account aan dezelfde versleutelde code van je toestel of browser als hierboven, zodat we een opgave van vóór je aanmelding later aan je account kunnen koppelen. Vraag je de prijs op in je browser, dan bewaren we daarbij ook hoe je bij ons kwam: de naam van de site die je naar ons stuurde (alleen die naam, zoals google.com, niet wat je daar zocht), de pagina van onze website waarop je op boeken drukte, en de code van een advertentie of mail als je daarop klikte. Daarvoor slaan we niets op je apparaat op. Installeer je de app op Android via een link met zo'n code, dan leest de app die code één keer uit de Play Store, bewaart hem op je telefoon en stuurt hem mee met je prijsopgaven. We gebruiken dit om te zien welke prijzen mensen zien, wanneer ze afhaken en hoe ze ons vinden;
• hoe de pagina's waar je de app downloadt of een rit boekt en de app voor reizigers worden gebruikt: welke schermen je opent, of je inlogt, een prijs bekijkt en gaat betalen, het soort toestel, en de code van een advertentie als je daarop klikte. Dit gaat met een willekeurige code naar onze meetdienst: in de app één code per installatie, die op je telefoon staat, en in de browser een code die elke dag verandert en waarvoor we niets op je apparaat opslaan. Na een betaling meldt onze server daar ook het bedrag en de code van de advertentie, met een eigen willekeurige code en op het hele uur. De meetdienst ontvangt bij elke melding je IP-adres, maar bewaart het niet. Je naam, account, telefoonnummer, e-mailadres en adres gaan niet mee, we bewaren de code niet bij je account of boeking, en wij koppelen deze meting niet aan jou. We tellen hiermee alleen hoe vaak iets gebeurt en welke advertentie boekingen oplevert; we laten je er niets anders door zien en bieden je er niets anders door aan;
• de berichten die je tijdens je rit met je chauffeur uitwisselt in de chat, ook bij een gast-boeking zonder account (die chat staat op je volgpagina, op het toestel waarmee je boekte);
• een melding die de chauffeur tijdens je rit doet, bijvoorbeeld als hij zich niet veilig voelt: de reden en zijn toelichting, die naar de dispatcher van de rit gaan;
• een melding die je zelf bij je rit doet, bijvoorbeeld als je iets hebt laten liggen, in de app onder Hulp of als gast via je volgpagina: de reden, je toelichting, de berichten die je daarover met de dispatcher uitwisselt, en je naam, telefoonnummer en e-mailadres, die naar de dispatcher van de rit gaan zodat die contact met je kan opnemen. Bij een gast-boeking sturen we je een e-mail als er antwoord is. De chauffeur ziet je melding niet;
• bij zakelijke opdrachtgevers: bedrijfs-, factuur- en commissiegegevens;
• bij een aanvraag als hotel of bedrijf via de aanmeldpagina: je naam, bedrijfsnaam, contactgegevens en je bericht.

Chauffeurs

• naam, contactgegevens en accountgegevens;
• een profielfoto, als je die zelf toevoegt. Dispatchers op het platform zien je foto, en de klant van een rit vanaf het moment dat je die rit aanneemt tot de rit klaar is;
• aanmeldgegevens: persoons- of bedrijfsgegevens, documenten die nodig zijn voor de beoordeling van je aanmelding (zoals rijbewijs en kentekenbewijs) en de status van je aanmelding;
• voertuig- en beschikbaarheidsgegevens;
• realtime locatie (GPS) tijdens dienst en tijdens ritten;
• rit-, status- en afrekengegevens;
• meldingen die je tijdens een rit doet met de hulpknop in de app: de reden en je toelichting.

Chauffeurs buiten het platform

Een dispatcher (ook een lijnhouder voor die dispatcher), een chauffeur met een rit die hij zelf aanmaakte, of WellTransfers zelf kan een rit geven aan een taxichauffeur met een eigen vergunning die geen account bij ons heeft. Wie de rit geeft, bewaart die chauffeur in een eigen adresboek. Van die chauffeur verwerken we:

• naam en mobiel nummer;
• kenteken en het merk, model en de kleur van de auto, die we op het kenteken bij de RDW opzoeken;
• het bedrag dat voor de rit is afgesproken en of het is verrekend;
• de status die de chauffeur via de link van de rit zet, en de locatie zolang die pagina openstaat en de rit loopt.

Dispatchers

• naam, e-mailadres en telefoonnummer van degene die de inschrijving doet;
• bedrijfs- en contactgegevens en de status van de inschrijving (in beoordeling, goedgekeurd, gepauzeerd);
• de ritten die de dispatcher aanmaakt, aanbiedt en doorzet;
• afreken-, commissie- en factuurgegevens.

Technische gegevens

• inloggegevens en sessiegegevens (authenticatie);
• wanneer en met welke versie je akkoord ging met de gebruiksvoorwaarden;
• apparaat-, browser- en loggegevens die nodig zijn voor werking en beveiliging;
• het toegangslog van onze server: van elke aanvraag het IP-adres, het tijdstip, de methode, het pad zonder querystring, de statuscode en de duur. Bij het openen of uploaden van een bestand, zoals een document of een factuur, leggen we ook vast welk account dat deed, de grootte en de browser, zodat we misbruik van bestanden kunnen opsporen;
• foutmeldingen uit de web-app en de mobiele app, zonder IP-adres, cookies of andere persoonsgegevens;
• een apparaatkenmerk (notificatietoken) voor pushberichten in de mobiele app.

Doeleinden en grondslagen

We verwerken persoonsgegevens voor de volgende doeleinden, telkens op een AVG-grondslag:

Locatiegegevens

Live tracking is een kernonderdeel van de dienst. We verwerken de locatie van een chauffeur om ritten toe te wijzen, de rit te volgen en de boeker of passagier de rit via een volglink te laten volgen.

• Locatie van chauffeurs wordt verwerkt tijdens dienst en rit, niet daarbuiten. Gaat een chauffeur offline, dan wissen we zijn laatste positie meteen; van een offline chauffeur bewaren we geen locatie. Hetzelfde geldt voor een dispatcher die zijn live locatie op de kaart deelt.
• Een boeker of passagier kan een rit volgen via een beveiligde, tijdelijke volglink (token). De volglink toont de status van de rit, de adressen, de naam van de chauffeur, het voertuig, het kenteken en de live positie, en verloopt 24 uur na afloop van de rit.
• In de boekbalk, op de homepage (ook de Engelse) en op de pagina over taxi bestellen, kun je bij het ophaaladres kiezen voor je huidige locatie. Pas dan vraagt je browser om toestemming. Google Maps zoekt het adres bij die positie op en we zetten het in het veld; de website bewaart die positie niet. Druk je op Bekijk prijzen, dan gaan het adres en de positie mee naar het boekformulier, zoals een adres dat je zelf typt.
• Een chauffeur buiten het platform deelt de locatie via de link van de rit, alleen zolang die pagina openstaat en de rit loopt. Is de rit klaar of gaat hij niet door, dan wissen we die positie meteen.
• Locatiegegevens worden niet langer bewaard dan nodig voor uitvoering, afrekening en geschilbeslechting.

Delen met anderen

We delen gegevens alleen waar dat nodig is voor de dienst:

• Binnen het netwerk: voor het uitvoeren en doorzetten van een rit worden relevante rit- en contactgegevens gedeeld met de betrokken dispatcher en chauffeur. Chauffeurs zien alleen ritten die aan hen zijn aangeboden of toegewezen. Wijst een dispatcher een chauffeur aan als lijnhouder, dan ziet die chauffeur ook de ritten van die dispatcher, met de gegevens die de dispatcher ervan ziet, maar alleen als hij die lijn aanzet en alleen op de dagen en tijden die de dispatcher daarvoor geeft. Staat zijn lijn aan, dan zien de andere lijnhouders van die dispatcher zijn naam en tot wanneer de lijn aan staat. Dispatchers zien van een goedgekeurde chauffeur ook zijn profielfoto, als hij die heeft toegevoegd.
• Met de klant van een rit: zodra een chauffeur een rit aanneemt, ziet de klant zijn naam, beoordeling, voertuig en kenteken, en zijn profielfoto als hij die heeft toegevoegd. De beoordeling is het gemiddelde van de sterren van klanten en staat er pas bij als er genoeg beoordelingen zijn; wat andere klanten schreven, ziet de klant niet. De foto ziet de klant alleen tot de rit klaar is. Een profielfoto van een klant, dispatcher of opdrachtgever ziet alleen die persoon zelf.
• Beoordelingen: na een rit beoordeelt de klant de chauffeur met sterren en eventueel een tekst, tot zeven dagen na de rit. De chauffeur leest zijn eigen beoordelingen: de sterren en de tekst van reizigers en opdrachtgevers, zonder naam, datum of rit. Dispatchers zien van een chauffeur alleen het gemiddelde van de sterren, en de klant het gemiddelde van zijn chauffeur. Een chauffeur ziet nooit de beoordelingen van een collega, ook niet als hij als lijnhouder ritten uitdeelt. Een beoordeling verschijnt op zijn vroegst na een week en pas nadat de chauffeur daarna nog drie ritten heeft afgerond, zodat ze niet zonder meer aan één bepaalde rit te koppelen is. Het platform ziet alles, ook de rit en wie de beoordeling gaf, en kan een beoordeling weghalen. Om te controleren dat de rit echt is gereden, leggen we per rit vast of en wanneer de chauffeur bij het ophaaladres en bij de bestemming is geweest; we bewaren daarvoor geen route of ander spoor. Een chauffeur beoordeelt ook het bedrijf van de dispatcher die hem een rit gaf. Die beoordeling verschijnt op dezelfde manier, na een week en pas nadat het bedrijf daarna nog drie ritten aan andere chauffeurs gaf, en alleen samen met de beoordeling van minstens één andere chauffeur. Het bedrijf leest zijn eigen beoordelingen pas als vijf verschillende chauffeurs het hebben beoordeeld, en dan zonder naam, datum of rit; tot dan ziet het geen gemiddelde en geen teksten. Chauffeurs zien van een bedrijf alleen het gemiddelde.
• Via de volglink: wie de volglink van een rit heeft, ziet tijdens de rit de naam en de profielfoto van de chauffeur, het voertuig, het kenteken en de live positie.
• Met een chauffeur buiten het platform: geeft een dispatcher, een chauffeur of WellTransfers een rit aan een taxichauffeur zonder account bij ons, dan stuurt die hem via WhatsApp een bericht met het ophaalmoment, de adressen, het aantal personen en een link. Achter die link staan ook de naam en het telefoonnummer van de reiziger (bij gemaskeerd bellen een nummer van WellTransfers), bij een zakelijke rit de opdrachtgever, de opmerking voor de chauffeur, en de naam en het telefoonnummer van wie de rit gaf. De link werkt tot 24 uur na de rit. De reiziger ziet van die chauffeur de naam, de auto en het kenteken, en de positie zolang de pagina van de rit openstaat. Het geld voor de rit regelen zij samen, buiten WellTransfers om.
• Met zakelijke partners: een zakelijke opdrachtgever ziet de ritten die voor zijn organisatie zijn geboekt, ook de ritten die de dispatcher voor hem vastlegt.
• Met een wervingspartner: meld je je als chauffeur aan via de link of QR-code van een partner, zoals een opleiding, dan leggen we bij je aanmelding vast via welke partner. Die partner krijgt van ons een vergoeding en ziet alleen aantallen, geen naam of andere gegevens van jou.
• Inloggen met Apple of Google: kies je in de app voor inloggen met je Apple- of Google-account, dan geven zij ons je naam en e-mailadres, en weten zij dat je bij Welltransfers inlogt. Wij krijgen geen wachtwoord. Log je in met Apple, dan bewaren we ook een sleutel van Apple, zodat we de koppeling met je Apple-account kunnen beëindigen als je je account verwijdert. Wat zij zelf met je gegevens doen, staat in hun privacyverklaring: daar zijn zij zelf verantwoordelijk voor.
• Dienstverleners: voor onze server, back-ups, e-mail, sms, pushberichten, telefonie, foutmeldingen, kaarten en betalingen werken we met dienstverleners. Welke diensten dat zijn, waarvoor en waar, lees je onder Dienstverleners.
• Bevoegde instanties: als een wettelijke verplichting dat vereist.

We verkopen je gegevens niet aan derden.

Dienstverleners

Het platform draait op software die we zelf beheren, op onze eigen server in Duitsland. Daarnaast werken we met dienstverleners. Hieronder staat per dienst waarvoor we hem gebruiken en waar de gegevens staan. Wil je weten welke bedrijven het zijn, mail dan naar hello@welltransfers.com, dan sturen we je de namen.

Deze dienstverleners verwerken gegevens uitsluitend in onze opdracht, onder een verwerkersovereenkomst:

Deze verwerken de gegevens die ze van ons krijgen onder eigen verantwoordelijkheid, volgens hun eigen voorwaarden. Ze krijgen alleen wat ze voor hun taak nodig hebben:

Doorgifte buiten de EER

De database, de bestanden en de back-ups van het platform staan binnen de Europese Economische Ruimte (EER): op onze server in Duitsland (en straks, zodra de tweede back-up draait, ook versleuteld bij een tweede opslagaanbieder in Nederland). Een aantal dienstverleners is gevestigd buiten de EER of kan daar gegevens verwerken, vooral in de Verenigde Staten. Bij welke diensten dat zo is, staat in de tabellen hierboven.

Dat gebeurt alleen met een waarborg uit de AVG, die per dienst in de tabellen hierboven staat:

• EU-VS Data Privacy Framework: voor bedrijven in de Verenigde Staten die daarbij zijn aangesloten, geldt het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 (artikel 45 AVG);
• Standaardcontractbepalingen: de modelbepalingen van de Europese Commissie (artikel 46 AVG), voor een land zonder adequaatheidsbesluit.

Een kopie van de standaardcontractbepalingen die we met een dienstverlener hebben afgesproken, krijg je op verzoek via hello@welltransfers.com.

Bewaartermijnen

We bewaren gegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld:

• rit- en accountgegevens: gedurende de looptijd van de relatie en zolang nodig voor afhandeling;
• administratieve en fiscale gegevens: ritbedragen, commissies, facturen en rekeningmutaties: zeven jaar, op grond van de fiscale bewaarplicht (artikel 52 Algemene wet inzake rijksbelastingen). Dezelfde termijn geldt voor de rittenadministratie;
• na verwijdering van een account: je persoonsgegevens worden gewist: profiel, contactgegevens, aanmelddossier, documenten, berichten en locatiegeschiedenis. De administratie hierboven blijft staan, zonder dat die nog naar jou te herleiden is;
• aanmelddocumenten van chauffeurs (rijbewijs, chauffeurskaart, VOG): zolang het account bestaat. Dat geldt ook voor een document dat je later vervangt, zodat we bij de beoordeling kunnen terugzien wat er eerder is aangeleverd;
• een aanmelding van een chauffeur of dispatcher die we niet goedkeuren: dertig dagen na ons besluit wissen we het account, de aanmeldgegevens en de documenten;
• locatiegegevens van een rit: 90 dagen, zodat een geschil nog te beoordelen is;
• chatberichten tussen reiziger en chauffeur: een jaar;
• de toelichting bij een melding over een rit, van de chauffeur of van de klant, de contactgegevens bij een melding van de klant en de berichten daarover: een jaar. Dat er een melding was, blijft bij de rit staan;
• aanvragen van hotels en bedrijven via de aanmeldpagina: een jaar;
• de versleutelde codes voor de welkomstkorting (toestel, e-mailadres, telefoonnummer, betaalmiddel): zolang je account bestaat. Verwijder je je account, dan blijven ze nog twee jaar staan zonder koppeling aan jou, zodat opnieuw aanmelden geen nieuwe welkomstkorting geeft;
• een inlogcode, het nummer of adres waarnaar hij ging en je IP-adres daarbij, en het tijdelijke bewijs dat je nummer klopt, dat je krijgt zolang je je account nog aanmaakt: weg na een dag. De koppeling met je Apple- of Google-account blijft zolang je account bestaat. De sleutel van Apple gaat weg zodra we de koppeling bij Apple hebben beëindigd, nadat je je account hebt verwijderd;
• volglinks: verlopen 24 uur na afloop van de rit;
• prijsopgaven (adressen, moment, prijzen, en de koppeling aan je account of toestel): 90 dagen. Verwijder je je account, dan verliezen je opgaven meteen die koppeling en de adressen;
• de gebruiksmeting van de download- en boekpagina's en de app voor reizigers (schermen en stappen met een willekeurige code): een jaar;
• chauffeurs buiten het platform: ze gaan uit een adresboek als ze twee jaar geen rit kregen, of eerder als ze daarom vragen; het adresboek van een chauffeur gaat weg met zijn account. Naam, nummer en bedrag bij een rit horen bij de administratie en blijven zeven jaar staan; de link van een rit werkt tot 24 uur na de rit;
• het toegangslog van onze server: 14 dagen;
• overige log- en beveiligingsgegevens: zo kort als redelijkerwijs mogelijk;
• back-ups: hooguit 90 dagen. Wat we wissen, kan daardoor nog tot 90 dagen in een back-up staan; die gebruiken we alleen om na een storing of fout gegevens terug te zetten.

Het opschonen gebeurt automatisch, elke nacht, niet pas wanneer iemand erom vraagt.

Beveiliging

We nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen:

• al het verkeer tussen de apps, de website en onze server is versleuteld (https);
• de database en de bestanden staan op onze eigen server in Duitsland; de database is niet vanaf internet bereikbaar;
• toegangsregels per bedrijf in de database zelf (row-level security), zodat dispatchers elkaars gegevens niet kunnen inzien;
• tweestapsverificatie: verplicht voor wie het platform beheert, en voor iedereen zelf aan te zetten;
• elke dag een back-up van de database en van de hele server, binnen de EU; een tweede, versleutelde kopie bij een andere opslagaanbieder in de EU is aangekondigd;
• een toegangslog op de server, om misbruik en storingen te kunnen onderzoeken.

Geen enkele maatregel biedt absolute zekerheid; bij een datalek handelen we volgens de wettelijke meldplicht. Wat we precies doen voor de gegevens die we voor een dispatcher verwerken, staat in de verwerkersovereenkomst.

Jouw rechten

Onder de AVG heb je het recht om:

• je gegevens in te zien;
• onjuiste gegevens te laten corrigeren;
• je gegevens te laten verwijderen («recht op vergetelheid»);
• de verwerking te laten beperken;
• bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang;
• je gegevens over te (laten) dragen (dataportabiliteit);
• een gegeven toestemming in te trekken.

Twee daarvan doe je zelf, zonder ons iets te hoeven vragen. In de app en in het webportaal vind je onder Instellingen › Privacy en gegevens:

• Download mijn gegevens: alles wat we van je hebben in één bestand: je profiel, je ritten, je beoordelingen, je berichten, je meldingen en, als je chauffeur bent, je aanmelding, je rekening en je facturen.
• Account verwijderen: je account gaat meteen uit en wordt na dertig dagen definitief gewist. Binnen die dertig dagen kun je het met één knop terugzetten. Staat er nog een rit te rijden of een bedrag open op je rekening, dan vragen we je dat eerst af te ronden.

Ben je hoofd-dispatcher, dan wordt het een verzoek aan ons: aan een dispatcher hangen collega-dispatchers, lijnhouders, opdrachtgevers en een wallet met lopende afrekeningen, en die willen we eerst netjes afronden.

Voor de andere rechten, of als je er niet uitkomt, stuur je je verzoek naar hello@welltransfers.com. We reageren binnen de wettelijke termijn. Gaat je verzoek over rit- of passagiersgegevens waarvoor een dispatcher verwerkingsverantwoordelijke is, dan kunnen we het aan die dispatcher doorgeleiden.

Cookies

Het platform gebruikt cookies en vergelijkbare technieken die nodig zijn om te werken, bijvoorbeeld om je ingelogd te houden. De website plaatst geen tracking- of advertentiecookies; het bezoek meten we zonder cookies, en de download- en boekpagina's van de web-app ook. Hoe dat werkt, lees je in ons Cookiebeleid.

Klacht bij de Autoriteit Persoonsgegevens

Ben je het niet eens met hoe we met je gegevens omgaan, laat het ons dan eerst weten. Je hebt ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

Wijzigingen

We kunnen dit privacybeleid aanpassen, bijvoorbeeld bij nieuwe functionaliteit of gewijzigde regelgeving. De actuele versie staat altijd op deze pagina met de datum van laatste wijziging bovenaan.