Privacybeleid

Wie is verantwoordelijk

Lunaway wordt uitgegeven door een particulier, als persoonlijk, niet-commercieel project, de verwerkingsverantwoordelijke voor de verwerkingen die hier worden beschreven. Voor een vraag of om je rechten uit te oefenen: contact@lunaway.net.

Dit beleid geldt voor de Lunaway-app (Android, iPhone en iPad, macOS, Windows, en de webversie op lunaway.net/app), deze site en onze servers: api.lunaway.net voor de gegevens, de foto's, het zoeken, de vertalingen en de routes, tiles.lunaway.net voor de basiskaart en de offline kaarten, status.lunaway.net voor de status van onze diensten.

Op je apparaat

De app bewaart haar gegevens in haar eigen opslag, die andere apps niet kunnen lezen:

• De plekken van de regio's die je op het apparaat bewaart, op telefoons, tablets en computers, zodat de kaart, het zoeken en de detailpagina's zonder verbinding werken. Bij de eerste start stelt de app de regio voor waar je bent, op het apparaat gekozen op basis van je positie als je daar toestemming voor hebt gegeven, anders op basis van de kaart of het land van het apparaat. Ze onthoudt ook welke regio's ze al heeft voorgesteld, om ze niet twee keer voor te stellen. De web-app bewaart geen regio's.
• De detailpagina's, foto's, eerste pagina met reviews en winkels en diensten rond de plekken die je hebt geopend, gewist na 90 dagen waarin ze niet opnieuw zijn geopend.
• De offline kaarten die je downloadt, op telefoons en tablets.
• Je eigen gegevens: je favorietenlijsten (plekken, en adressen of punten op de kaart, opgeslagen met hun naam, je notitie en hun coördinaten), je thuis (de naam, het adres en de coördinaten), je instellingen (taal, filters en verblijfsdata, thema, sortering van de lijst, notatie van coördinaten, voorkeursapp voor navigatie, route-opties, stand van de gesproken navigatie, plekken die tijdens het navigeren worden getoond, exacte locatie van flitsers in Frankrijk, automatisch vertalen van reviews, bijwerken van regio's via mobiele data), het profiel van je voertuig (type, aanhanger, hoogte, breedte, lengte, gewicht, brandstof, verbruik, kruissnelheid), de bewaarde regio's, en de bijdragen die op een verbinding wachten om te worden verstuurd (beoordelingen, reviews, voorbereide foto's, nieuwe plekken, meldingen over de weg).
• Een globale positie en het midden van de laatste kaartweergave, afgerond op een tiende graad (ongeveer tien kilometer), zodat het lichte of donkere thema de zonsondergang volgt, de kaart weer opent waar je was gebleven, en om je regio voor te stellen. De web-app bewaart deze weergave, het thema en je filters in de opslag van de browser, om de kaart te tekenen zodra de pagina opent.
• De gevarenzones en flitsers van de landen waar je routes doorheen gaan, met de lijst van die landen, zodat een navigatie die zonder verbinding start ze heeft. Als je de exacte locatie van flitsers in Frankrijk uitschakelt, wist de app meteen de punten die ze voor die keuze had ontvangen.
• De privésleutel van je account, als je er een hebt, versleuteld door de beveiligde opslag van het systeem: een Keystore-sleutel op Android, de sleutelhanger op iPhone, iPad en Mac, de gegevensbescherming van Windows op een pc; in de web-app een sleutel die de browser niet laat exporteren. Hij verlaat het apparaat nooit.
• Je zoekgeschiedenis: tot 15 items, de resultaten die je hebt geopend (plekken, gemeenten, adressen, winkels en diensten) en de zoektermen zonder geopend resultaat, getoond als je het zoekveld aanraakt. Ze blijft op het apparaat: ze wordt nooit verzonden of gesynchroniseerd, en de back-up van Android of iCloud neemt ze niet mee. Een kruisje verwijdert een item, “Geschiedenis wissen” maakt ze leeg, en ze verdwijnt met de gegevens van de app.

De app bewaart je routes en je ritten niet. Van je zoekopdrachten bewaart ze alleen de hierboven beschreven geschiedenis, waarin een adres dat je hebt geopend, bijvoorbeeld een bestemming, met zijn positie blijft tot je het verwijdert. Een berekende route blijft twee minuten in het geheugen, om hem opnieuw te kunnen tonen; vertalingen blijven in het geheugen tot de app wordt gesloten. In de web-app bevat het adres van de pagina van een route de bestemming, afgerond op ongeveer tien meter: dat adres komt in de geschiedenis van de browser.

Om een foto toe te voegen, of om de code van je herstelkaart van een afbeelding te lezen, opent de app de camera of de fotobibliotheek wanneer je daarom vraagt, en leest ze alleen de afbeelding die je kiest; de code wordt op het apparaat gelezen. De app gebruikt de microfoon niet. Als je de afbeelding van je herstelkaart bij je foto's bewaart, volgt die afbeelding de instellingen van je fotobibliotheek, online back-up inbegrepen: behandel die afbeelding als een wachtwoord.

Op Android kan de back-up van je apparaat, die naar je Google-account gaat, je favorieten, je thuis, je instellingen, je voertuig, de identificatiecode van je account en de nog niet verstuurde bijdragen bevatten, en verder niets van Lunaway: niet de sleutel van het account, niet de plekken en niet de foto's die op verzending wachten. De app staat dat alleen toe als die back-up end-to-end versleuteld is, wat Android vanaf versie 9 biedt wanneer het scherm vergrendeld is; Android 7 en 8 kennen deze voorwaarde niet en volgen hun eigen back-upinstellingen. Een overstap naar een nieuwe telefoon neemt dezelfde gegevens mee. Op iPhone en iPad bevat de back-up in iCloud of op een computer dezelfde gegevens, zonder de foto's die op verzending wachten en zonder de offline kaarten; de sleutel van het account, in de sleutelhanger bewaard voor alleen dit apparaat, gaat niet over naar een ander apparaat. Op een computer kunnen je back-ups, en onder Windows een zwervend bedrijfsprofiel, ook de gegevens van de app bevatten, de zoekgeschiedenis inbegrepen, afhankelijk van hun instellingen.

In de web-app staan deze gegevens in de opslag die je browser voor lunaway.net bijhoudt. De app verwijderen, of de gegevens van de site in de browser wissen, wist alles.

Wat via onze servers gaat

De app maakt alleen verbinding met onze servers, altijd via HTTPS. Ze bevat geen enkele dienst van derden: geen advertenties, geen bezoekersstatistieken, geen dienst voor crashrapporten, geen basiskaart, foto of lettertype die van elders wordt geladen. Alleen de links die je zelf opent (de website of het telefoonnummer van een plek, de oorspronkelijke pagina van een foto of review, OpenStreetMap, Google Maps, je navigatie-app, deze site, de broncode) leiden naar elders.

Met of zonder account:

• Het synchroniseren van plekken, op telefoons, tablets en computers, downloadt de regio's die je op het apparaat bewaart: één bestand per regio, daarna de wijzigingen, bij het starten, als je terugkeert naar de app en na een bijdrage. Het verzoek noemt de regio, nooit waar je bent; bij de eerste start is die regio de regio waar de app je heeft gelokaliseerd. Op een telefoon wachten updates op wifi, tenzij je mobiele data toestaat.
• De offline kaarten worden gedownload van tiles.lunaway.net, één bestand per regio. Het toegangslogboek vervangt de bestandsnaam door één naam voor alle bestanden.
• De basiskaart, de plekken en de winkels en diensten op de kaart komen van tiles.lunaway.net en api.lunaway.net. Elk getoond kaartstukje hoort bij een gebied: de logboeken bewaren alleen het zoomniveau, nooit het gebied. Om te weten of ze online is, vraagt de app ook af en toe een klein bestand op bij tiles.lunaway.net, zonder iets mee te sturen.
• Brandstofprijzen op de kaart: als de brandstoflaag aan staat en de kaart ver genoeg is ingezoomd, vraagt de app de tankstations op van het zichtbare gebied, vergroot tot een raster van ongeveer 5 km, zonder opslag en zonder logboek.
• De goedkoopste brandstof in je buurt: als de kaart ver is uitgezoomd, of te veel tankstations toont om ze allemaal te lezen, vraagt de app de tankstations op rond je positie of het midden van de kaart, afgerond op ongeveer 5 km op het apparaat en nog een keer door onze server, zonder opslag en zonder logboek. Afstanden worden op het apparaat berekend. De detailpagina van een tankstation vraagt het prijsverloop op, zonder enige positie.
• Het openen van de detailpagina van een plek vraagt de plek zelf op als het apparaat die niet heeft, de reviews, foto's en beschrijving ervan, en de winkels en diensten eromheen: het verzoek noemt alleen de plek. Als je een account hebt, bevat het verzoek om de reviews en foto's van de Lunaway-community je sessie, om je eigen review te tonen en de auteurs weg te laten die je hebt verborgen; de server bewaart daarvan alleen de datum waarop de sessie voor het laatst is gebruikt, hooguit eens per uur bijgewerkt, en de dag van activiteit van het account, die meetelt voor het vertrouwensniveau. De detailpagina van een winkel of dienst vraagt de reviews ervan op dezelfde manier op. De inhoud van deze verzoeken en het adres van de gedownloade foto's worden niet opgeslagen en niet gelogd. Alle foto's, ook die uit andere bronnen, komen van api.lunaway.net (zie Inhoud uit andere bronnen).
• Het zoeken naar plekken en gemeenten raadpleegt onze server zodra het netwerk antwoordt, op telefoons, op computers en in de web-app: de zoektekst, de taal van de app en het midden van de kaart, op het apparaat afgerond op ongeveer 5 km, gaan in de body van het verzoek, zonder sessie, en worden niet opgeslagen en niet gelogd; een apparaat dat regio's bewaart, vult het antwoord aan met zijn eigen plekken. Offline, of als onze server niet antwoordt, gebeurt het op het apparaat, in de regio's die het bewaart, en dat wordt gemeld. Dat midden is het midden van de getoonde kaart: als de kaart je volgt, is het je positie, op dezelfde manier afgerond.
• Het zoeken naar adressen (een huisnummer en een straat, een straat, een gemeente, een postcode) raadpleegt onze server zodra het typen even stopt, vanaf drie tekens, op telefoons, op computers en in de web-app: de zoektekst, de taal van de app en het midden van de kaart, afgerond op ongeveer 5 km om de resultaten te rangschikken, gaan in de body van het verzoek, zonder sessie. Onze server geeft de tekst en dat afgeronde punt, zonder je IP-adres of enige identificatiecode, door aan onze eigen geocodeerserver (gegevens van OpenStreetMap), samen met de taal, en aan de geocodeerdienst van het IGN (de Géoplateforme, data.geopf.fr, een Franse overheidsdienst), die voor Frankrijk antwoordt; het IGN ontvangt zo de tekst en het punt van elke zoekopdracht naar een adres, ongeacht het land, en verwerkt ze volgens zijn eigen voorwaarden. Dat punt is het midden van de getoonde kaart: als de kaart je volgt, is het je positie, afgerond op ongeveer 5 km. Onze servers slaan de tekst en het punt niet op en loggen ze niet. Offline wordt er geen adres gezocht en gaat het zoeken naar plekken en gemeenten op het apparaat door.
• De lijst met plekken naast de kaart: als de kaart een groot gebied toont, vraagt de app onze server om de plekken van het zichtbare gebied, op het apparaat vergroot tot een raster van ongeveer 5 km, gerangschikt vanaf je positie als de kaart die toont, anders vanaf het midden van de kaart, dat punt op dezelfde manier afgerond, met je filters, zonder opslag en zonder logboek; het aantal plekken in het filterpaneel doet hetzelfde verzoek. Als je filtert op je verblijfsdata, gaan de betreffende dagen van het jaar, zonder het jaartal, mee met deze verzoeken. Dichterbij wordt de lijst op het apparaat gemaakt uit de kaartstukjes die al getoond zijn, en gaat ze alleen weer via onze server als die traag zijn. Voor de beoordeling van elke plek en het begin van de beschrijving vraagt de app onze server daarna om die van de ontvangen plekken (het verzoek noemt alleen die plekken) of, dichterbij, om die van het zichtbare gebied vergroot tot hetzelfde raster (rond je positie als de kaart je volgt), zonder opslag en zonder logboek; ze bewaart ze alleen in het geheugen. Je exacte positie wordt niet verstuurd: de getoonde afstanden worden op het apparaat berekend.
• Plekken langs een route: in het overzicht van een route, op een apparaat zonder plekken (de web-app, een telefoon voordat de regio's binnen zijn), vraagt de app de plekken rond de route op, stuk voor stuk, elk stuk vergroot tot hetzelfde raster. Op de kaart van het overzicht en van de navigatie worden de foto en de prijs van plekken dicht bij de route opgevraagd met de identificatiecodes van die plekken.
• Het vertalen van een review of beschrijving, als je op “Vertalen” tikt of als de instelling “Reviews automatisch vertalen” aan staat (standaard staat die uit): het verzoek noemt de tekst (het type, de identificatiecode van de review of de plek, de bron en de taal van de beschrijving) en de taal van de app, zonder sessie en zonder de tekst zelf. Onze server leest de opgeslagen tekst opnieuw en laat die vertalen door onze eigen vertaalserver, met open modellen: geen enkele externe dienst ontvangt hem. De vertaling wordt bij de oorspronkelijke tekst bewaard zolang die niet verandert, om hem niet twee keer te vertalen, en gewist samen met die tekst of wanneer die verandert; het verzoek en de tekst worden niet gelogd.
• Het zoeken naar winkels, diensten, restaurants, overnachtingen en vrije tijd gaat mee in hetzelfde verzoek als het zoeken naar plekken, gemeenten en adressen: de zoektekst en het midden van de kaart, op het apparaat afgerond op ongeveer 5 km om de resultaten te rangschikken (je afgeronde positie, als de kaart je volgt), gaan in de body van het verzoek, en worden niet opgeslagen en niet gelogd. De getoonde afstanden worden op het apparaat berekend.
• De link “Reviews bekijken op Google Maps” op de detailpagina van een winkel of dienst opent Google Maps (de app of de website) met de naam en de positie van het punt, als je erop tikt: je apparaat richt zich dan tot Google, volgens de eigen regels van Google. Lunaway stuurt geen enkel verzoek naar Google en leest niets van de reviews daar.

Route en navigatie

• Een route: het vertrekpunt (waar je bent, of een plek, een gemeente of een adres dat je hebt gekozen), de bestemming, de tussenstops (hooguit vijf), de afmetingen, het gewicht en het type van het voertuig en de aanhanger, de kruissnelheid van het voertuig, de wegen die je wilt vermijden en de taal van de instructies gaan in de body van het verzoek, zonder sessie. Onze eigen routeplanner berekent de route op onze server; het verzoek en de route worden niet opgeslagen, en onze API en de routeplanner schrijven geen positie in hun logboeken. Als het overzicht andere routes kan voorstellen, stuurt onze server eerst de beste en houdt hij de andere in het geheugen, onder een willekeurig token dat aan het IP-adres van het apparaat is gekoppeld (bij IPv6 aan het adresblok), tot de app ze opvraagt, één keer en binnen een minuut; na die minuut kunnen ze niet meer worden gelezen, en de server wist ze uit het geheugen zodra hij een ander verzoek van deze soort verwerkt. Het token en deze routes worden niet naar schijf geschreven en niet gelogd.
• Tijdens het navigeren, op elk apparaat: de app vraagt een nieuwe route op vanaf waar je bent, met je rijrichting, als je de route verlaat, als er een afsluiting voor je ligt, en als je een tussenstop toevoegt of verwijdert; voordat je een tussenstop bevestigt, vraagt ze de route via die stop op om te tonen hoeveel tijd die toevoegt. Elk verzoek volgt de regels van het vorige punt.
• Brandstof en plekken “Onderweg”: als je deze lijst opent, stuurt de app de lijn van de route zoals onze server die heeft getekend, vanaf 2 km na het vertrekpunt in het overzicht, of vanaf 2 km voor het voertuig uit tijdens het navigeren, met de gekozen categorie, het voertuigprofiel, en voor brandstof de brandstofsoort en het verbruik. Onze server haalt aan elk uiteinde van de lijn nog twee kilometer weg voordat hij die gebruikt; het verzoek en de lijn worden niet opgeslagen en niet gelogd.
• De brandstofprijs onder de tankstations tijdens het navigeren: als de navigatiekaart tankstations toont, het voertuigprofiel de brandstof vermeldt, het netwerk antwoordt en het voertuig in Frankrijk rijdt (of de app niet weet in welk land het rijdt), vraagt de app de tankstations op van het vak van ongeveer 5 km waarin het voertuig zich bevindt, aan elke kant ongeveer 2 km vergroot, zodra de navigatie je positie kent en daarna bij elk nieuw vak, ongeveer elke 4 à 5 km. Het verzoek bevat niet je exacte positie, niet de brandstof en geen sessie: de app kiest op het apparaat welke prijs ze toont. Er wordt niets van opgeslagen of gelogd.
• Werkzaamheden en afsluitingen: tijdens het navigeren downloadt de app elke drie minuten de wijzigingen in de verkeersmeldingen. Het verzoek bevat geen positie.
• Gevarenzones en flitsers: bij het overzicht van een route, bij de start van een navigatie, na elke nieuwe route, als je de instelling hieronder wijzigt, en daarna elke zes uur, vraagt de app de gegevens op van de landen waar de route doorheen gaat, die ze op het apparaat bepaalt. Het verzoek bevat de lijst van die landen, nooit een positie. Als je de instelling “Exacte locatie van flitsers in Frankrijk” aanzet, bevat het ook die keuze (de landcode, FR); onze server logt en bewaart die niet. Het land waarin je rijdt, dat bepaalt wat de app mag tonen, wordt ook op het apparaat bepaald: in Frankrijk toont de app gevarenzones, en de locaties van flitsers alleen als je die instelling hebt aangezet.
• De positie tijdens het navigeren: een navigatie die je start, blijft de positie ontvangen met het scherm uit of met een andere app op de voorgrond, met de toestemming die alleen geldt terwijl je de app gebruikt. Het systeem laat dat zien (een melding op Android, die de app je vanaf Android 13 bij de eerste navigatie vraagt toe te staan; een indicator op iPhone en iPad), en alles stopt bij aankomst of als je de navigatie verlaat. Op een computer volgen de Mac- en Windows-apps de positie zolang de app draait. In een browser komt de positie van de browser, die je eerst om toestemming vraagt, en alleen zolang de pagina open is; op een computer zonder gps bepaalt de browser de positie via de locatiedienst van de maker van de browser, zoals het systeem van een telefoon ook kan doen; de pagina houdt het scherm aan tijdens het navigeren. De instructies worden uitgesproken door de stemmen die op het apparaat zijn geïnstalleerd; in een browser alleen door de stemmen waarvan de browser aangeeft dat ze op het apparaat staan, nooit door een stem die de tekst naar de maker stuurt.
• Een route in een andere app: als je een route opent in een andere navigatie-app, geeft Lunaway die app de bestemming door, en voor sommige apps je positie als vertrekpunt; die app verwerkt dat volgens haar eigen regels.

Je account, zonder e-mail

Voor het bekijken van de kaart is geen account nodig. De app maakt er een aan de eerste keer dat je een bijdrage levert (een beoordeling, een review, een foto, een bevestiging, een antwoord over een winkel of dienst, een melding over een plek of over de weg, een plek of een automaat, een verborgen auteur) of ervoor kiest je favorieten te synchroniseren. Zodra het account bestaat, worden je favorietenlijsten erin geïmporteerd en daarna bij elke wijziging bijgewerkt.

Het account berust op een sleutelpaar dat op je apparaat wordt gemaakt. Om in te loggen stuurt de app de publieke sleutel, een handtekening en de taal van de app, die wordt gebruikt om het pseudoniem willekeurig samen te stellen en niet wordt bewaard. Als er een account bestaat, leest de app het bij elke start opnieuw in met je sessie. Onze server bewaart:

• de publieke sleutel van elk apparaat dat aan het account is gekoppeld, met de datum van aanmaak en van laatste gebruik, zonder naam of model van het apparaat;
• een willekeurig samengesteld pseudoniem, zoals “Vrolijke egel uit de Vercors”, dat je kunt wijzigen en dat openbaar is;
• je sessies: een willekeurig token waarvan we alleen de hash (SHA-256) bewaren, geldig tot 60 dagen na het laatste gebruik, gewist binnen een uur nadat het is verlopen;
• de hash van je herstelcode (argon2id), als je er een hebt gemaakt. De code wordt maar één keer getoond, op je apparaat, en we kunnen hem niet terughalen;
• je vertrouwensniveau, van 0 tot 4, berekend op basis van de leeftijd van het account, het aantal dagen dat het is gebruikt en de laatste van die dagen, de gepubliceerde bijdragen, de verwijderingen waartoe moderators hebben besloten, en een eventueel account van een hoger niveau dat voor je instaat;
• je favorietenlijsten (hun namen, de plekken die erin staan en de punten die je erin hebt opgeslagen buiten onze plekken: een adres, een gemeente, een punt op de kaart of een winkel, met de naam die je het geeft, je eventuele notitie, het adres als dat bekend is en de coördinaten, alleen zichtbaar voor je account) en de auteurs die je hebt verborgen;
• je thuis, als je dat hebt ingesteld: het gekozen punt (een adres, een gemeente, een punt op de kaart of een winkel), de naam, het adres als dat bekend is en de coördinaten, alleen zichtbaar voor je account;
• voor elke verstuurde bijdrage een technische sleutel die voorkomt dat de bijdrage twee keer wordt opgeslagen als de app haar opnieuw stuurt: de sleutel, het soort bewerking en een hash van de inhoud (voor een melding over de weg alleen van het soort en de waarde), bewaard gedurende 30 dagen (14 voor een melding over de weg), of tot de bijdrage wordt verwijderd.

Als een account wegens misbruik wordt geblokkeerd, wordt de reden daarvan bij het account genoteerd en wordt de tekst van de reviews ervan gewist. Verwijdert het account zichzelf daarna, dan worden de hashes van de sleutels twee jaar bewaard, zodat het niet meteen kan terugkomen.

Een ander account op een apparaat gebruiken. Open je op een apparaat een ander account van je met de herstelkaart ervan, dan laat de app je kiezen. Samenvoegen: de favorieten, het thuis, de verborgen auteurs en de bijdragen van het account van het apparaat gaan naar het geopende account, en de gepubliceerde bijdragen krijgen het pseudoniem van dat account; daarna wordt het account van het apparaat verwijderd. Wie het account van het apparaat had verborgen, verbergt daarna het geopende account en ziet het met zijn pseudoniem in de eigen lijst met verborgen auteurs. Samenvoegen vraagt de handtekeningen van de sleutels van beide accounts. Het verwijderingsregister noteert het samengevoegde account met de identificatiecode van het account dat het heeft ontvangen, zodat een back-up die weer in gebruik wordt genomen het samenvoegen opnieuw uitvoert in plaats van het account terug te brengen. Onze server bewaart een jaar lang de hashes (SHA-256) van de sleutels van het samengevoegde account, samen met het account dat het ontving, zodat de andere apparaten ervan weten waar het naartoe is gegaan. Is dat account geblokkeerd, dan worden ze bewaard zolang de blokkade duurt, en daarna twee jaar na de verwijdering ervan, zoals de hashes van zijn eigen sleutels. Vervangen zonder samenvoegen: het account van het apparaat blijft op onze server, de sleutel van dit apparaat wordt ervan losgemaakt en alleen de herstelkaart ervan brengt het terug; heeft het geen herstelkaart en geen ander apparaat, dan wordt het verwijderd, omdat niets het nog kan openen.

Wat je publiceert

De plekken, met hun toevoegingen en wijzigingen, vormen een open database onder de licentie ODbL 1.0, net als OpenStreetMap, waarvan ze gegevens hergebruikt. Beoordelingen, reviews en foto's worden gepubliceerd onder de licentie CC BY 4.0; reviews en foto's met vermelding van je pseudoniem. Onze server bewaart bij elke nieuwe plek of wijziging ook een revisie (de inhoud en de positie) die haar aan je account koppelt; die revisie is niet openbaar. De inhoud van een afgewezen of ingetrokken voorstel wordt 30 dagen na het besluit gewist; alleen een lege regel in de geschiedenis blijft over.

Foto's. Vóór het versturen verkleint de app de foto tot hooguit 2560 pixels per zijde en slaat die opnieuw op zonder metadata: er gaat geen gps-positie, geen datum en geen apparaatmodel mee. De server decodeert de foto en codeert haar daarna opnieuw, alleen op basis van de pixels, in twee WebP-bestanden (2048 en 512 pixels per zijde). Het origineel wordt niet bewaard.

Wat je bijdragen laten zien. Je reviews en foto's zijn openbaar met je pseudoniem, en een vaste identificatiecode van het account koppelt ze aan elkaar. Samen, met hun data, kunnen ze laten zien waar je bent geweest. De bezoekdatum van een review is niet verplicht.

Moderatie. Teksten gaan door eenvoudige automatische regels (links, contactgegevens, herhaling, een woordenlijst). Een tekst die daarop aanslaat, wacht op een moderator voordat hij wordt gepubliceerd. Een review of foto die door drie vertrouwde accounts is gemeld, wordt verborgen tot een moderator beslist. De moderators, dat wil zeggen de uitgever en de bijdragers die hij aanwijst, lezen de gemelde inhoud en de notities bij bevestigingen en meldingen; elk besluit wordt een jaar nadat het is genomen gewist.

Je kunt elk van je bijdragen verwijderen, of je hele account: de pagina Mijn account verwijderen beschrijft wat verdwijnt en wat blijft.

Meldingen over de weg

In Frankrijk, Spanje en Nederland kun je tijdens het navigeren, of vanaf een punt op de kaart, een afgesloten weg, werkzaamheden, een versmalling, een lage doorrijhoogte of een ander probleem melden, en laten weten dat het er nog is of dat het voorbij is. Zoals bij elke bijdrage maakt de eerste melding je account aan als het nog niet bestaat.

• De melding stuurt het soort, de exacte positie (die van het voertuig als je tijdens het navigeren op de knop tikt, of het punt dat je op de kaart kiest), je rijrichting tijdens het navigeren, en de opgegeven hoogte of breedte, als die er is. Laten weten dat een gemeld probleem er nog is, stuurt de positie en de rijrichting van die verkeersmelding; laten weten dat het voorbij is, stuurt de identificatiecode ervan, en onze server noteert dan, bij je account, de positie van de verkeersmelding en het tijdstip; als die verkeersmelding routes veranderde, wordt er ook een moderatie-item aangemaakt dat aan je account is gekoppeld. Zonder verbinding wacht de melding op het apparaat en wordt ze verstuurd zodra de verbinding terug is.
• Onze server bewaart de melding 14 dagen bij je account en wist haar daarna. Ze kan niet eerder afzonderlijk worden verwijderd; ze verdwijnt ook samen met het account.
• Wat openbaar is: een verkeersmelding zonder auteur of rijrichting, op een positie afgerond op ongeveer tien meter, met het soort, de waarde en de tijdstippen van de eerste en de laatste melding. Als twee vertrouwde accounts hetzelfde melden, vermijden de routes het, en wordt er een moderatie-item aangemaakt dat aan je account is gekoppeld en dat een jaar na het besluit van de moderator wordt gewist.
• Politiecontroles kun je niet melden.

Inhoud uit andere bronnen

Detailpagina's tonen ook inhoud die elders is gepubliceerd, elk met de bron, de auteur en de licentie: foto's van Wikimedia Commons en Panoramax, fragmenten uit Wikipedia, de beschrijvingen en foto's van toeristenbureaus (DATAtourisme), reviews van Mangrove Reviews. Onze servers downloaden die inhoud, coderen de foto's opnieuw zonder metadata en leveren ze zelf: je apparaat maakt met geen van deze sites contact, en deze sites zien alleen onze servers.

Een externe communitybron. Een deel van de plekken, beschrijvingen, beoordelingen, reviews en foto's komt van een communityplatform van reizigers, op grond van een schriftelijke overeenkomst met dat platform. De reviews ervan vermelden het pseudoniem van de auteur, het voertuig en de maand van het bezoek, de foto's de naam van de auteur; de identificatiecode die het platform aan een auteur geeft, wordt nooit getoond, en er worden geen contactgegevens van de leden verzameld.

• Deze gegevens worden, op grond van die overeenkomst, verzameld door ons eigen verzamelprogramma, dat op onze hoofdserver draait, in Falkenstein, en daar zijn werkkopie bewaart. Het maakt er bestanden van en zet die in de aflevermap van deze server, die ze importeert zodra ze binnenkomen en na 4 dagen wist. Elke foto wordt door onze server gedownload de eerste keer dat een apparaat erom vraagt, en daarna door onze server geleverd: het platform ziet alleen onze server, nooit je apparaat of je adres.
• Voor de kopie die het bewaart en toont, is Lunaway verwerkingsverantwoordelijke, los van dit platform, dat verwerkingsverantwoordelijke is voor zijn eigen gegevens.
• Als het platform een plek, review of foto verwijdert, verdwijnt die uit onze kopie bij de volgende import die de verwijdering bevat. Als het platform ons doorgeeft dat een auteur is gewist, worden de reviews en foto's van die auteur van onze hoofdserver verwijderd, worden de teksten van die auteur uit de bestanden gehaald die de import bewaart en, vóór het volgende bestand, uit de werkkopie van ons verzamelprogramma, en wordt alleen een hash (SHA-256) van de identificatiecode bewaard, zonder tijdslimiet, zodat latere bestanden ze niet terugbrengen. Als een storing ons zou dwingen een back-up weer in gebruik te nemen, zouden de verwijderingen van auteurs die sinds de datum van die back-up zijn ontvangen, met de hand opnieuw moeten worden toegepast; tot dan stuurt ons verzamelprogramma, dat die hashes bewaart, de reviews van die auteurs niet opnieuw.
• Ben je de auteur van een van deze reviews of foto's, dan kun je over onze kopie schrijven naar contact@lunaway.net, en over de kopie van het platform naar het platform zelf.

Je positie

Als je daar toestemming voor geeft, leest de app de positie van het apparaat terwijl je de app gebruikt, om je op de kaart te tonen, afstanden te berekenen, de zonsondergang te volgen, je regio voor te stellen en, tijdens het navigeren, je te volgen en de regels toe te passen van het land waarin je rijdt. Deze berekeningen gebeuren op het apparaat, dat alleen een positie bewaart die is afgerond op ongeveer tien kilometer. De app vraagt geen toestemming om de positie op de achtergrond te lezen; alleen een navigatie die je start, gaat door met het scherm uit, zoals beschreven in Route en navigatie.

Je positie verlaat het apparaat in deze gevallen:

• als vertrekpunt van een route, en van elke nieuwe route tijdens het navigeren. Daarvan wordt niets opgeslagen of gelogd;
• afgerond op ongeveer 5 km, voor de lijst met de goedkoopste brandstof in je buurt, voor de volgorde van de lijst met plekken naast de kaart als de kaart je toont en, tijdens het navigeren, voor de prijzen van de tankstations rond het voertuig;
• met een melding over de weg: de exacte positie en je rijrichting, 14 dagen bewaard bij je account (zie Meldingen over de weg);
• als positie van een plek of automaat die je toevoegt: dat is het punt dat je op de kaart aanwijst, en na “Mijn positie tonen”, of als de kaart op jouw positie opent, is het midden van de kaart je positie. Ze wordt bewaard bij je voorstel (zie Wat je publiceert);
• als je thuis, als je dat op je huidige positie instelt: het wordt op het apparaat bewaard en, als je een account hebt, bij dat account;
• indirect: via de regio die bij de eerste start wordt opgevraagd, via de kaartstukjes die worden opgevraagd als de kaart op jou is gecentreerd, via de lijn van een route die wordt verstuurd voor de lijst “Onderweg”, die 2 km voor je uit begint, en via de plekken bij de route waarvan de app tijdens het navigeren de foto opvraagt. Het logboek bewaart alleen het zoomniveau van de kaartstukjes, en niets van de lijn of van deze plekken.

Bevestigingen, meldingen over plekken, werkzaamheden en gevarenzones bevatten geen positie van het apparaat. Zoekopdrachten bevatten het midden van de kaart, afgerond op ongeveer 5 km, en dat is je afgeronde positie als de kaart je volgt; bij een zoekopdracht naar een adres gaat dat punt ook naar het IGN. Je kunt de toestemming op elk moment intrekken in de instellingen van het systeem.

Een plek laten verwijderen

Als een plek op de kaart je woning laat zien of jou betreft, schrijf dan naar contact@lunaway.net. Als we een plek verwijderen, worden de gegevens, reviews, foto's, bevestigingen en meldingen ervan verwijderd. Om te voorkomen dat een back-up die weer in gebruik wordt genomen of een nieuwe import de plek terugbrengt, wordt de verwijdering genoteerd in een apart bijgehouden register: de identificatiecode van de plek, de datum, een korte reden (privéwoning, AVG, rechterlijke uitspraak, anders) en met een geheime sleutel berekende hashes van het gebied, zonder naam, zonder positie en zonder de tekst van het verzoek. Dit register wordt zonder tijdslimiet bewaard en, versleuteld, samen met de back-ups gekopieerd. Een nieuwe plek die wordt voorgesteld in de buurt van een verwijderde plek, wacht op een moderator. In de web-app kan een verwijderde plek nog één bezoek langer zichtbaar zijn, de tijd die de pagina nodig heeft om de nieuwe versie van de kaart te lezen.

Logboeken en limieten tegen misbruik

Zoals elke webserver noteren onze servers de verzoeken die ze ontvangen, voor de beveiliging en om problemen op te lossen:

• Het toegangslogboek noteert de datum, de methode, de naam van de server, het opgevraagde pad zonder parameters, het antwoord en hoe lang dat duurde, en de headers die de app of de browser meestuurt (de versie van de app en van het systeem, het type processor of het model van het apparaat voor de basiskaart, de browser en de taal ervan), met een ingekort IP-adres: de eerste twee getallen van een IPv4-adres (203.0.113.7 wordt 203.0.0.0), de eerste 32 bits van een IPv6-adres. Het noteert niet de poort, geen cookies, geen sessietokens, niet de inhoud of de grootte van verzoeken, niet het gebied van de kaartstukjes, niet het adres van foto's en niet de naam van gedownloade regio's. Elke dag begint een nieuw bestand, en elke regel wordt na ongeveer 14 dagen gewist.
• Het systeemlogboek van de servers (opstarten, fouten) ontvangt ook de regels van de webserver, met op dezelfde manier ingekorte adressen. Onze API schrijft erin, bij een verzoek met een fout, de methode en het pad; bij elke route de rekentijd en de uitkomst; bij een zoekopdracht of vertaling die mislukt, de betrokken dienst of de twee talen; bij een foto uit een andere bron die niet kan worden gedownload, de identificatiecode ervan. De API en de routeplanner schrijven er geen positie, zoektekst of vertaalde tekst in. De bestanden van dit logboek worden na hooguit zes weken gewist.
• De limieten tegen misbruik (aantal verzoeken, zoekopdrachten, vertalingen, aanmeldingen, aangemaakte accounts, pogingen met een herstelcode) tellen per IP-adres, of per adresblok bij IPv6, alleen in het geheugen van de server: ze worden nooit weggeschreven, en een herstart zet ze terug op nul.

Back-ups

Om de dienst na een storing weer op gang te kunnen brengen, wordt de database elke nacht gekopieerd, net als elke nieuwe foto:

• op de hoofdserver, gedurende 3 nachten: onversleuteld op de dataschijf, en versleuteld met age op de systeemschijf en in de map waar de computer van de uitgever ze ophaalt;
• versleuteld met age, op een computer van de uitgever, die als enige de sleutel voor ontsleuteling heeft, ze elke nacht rechtstreeks van de hoofdserver ophaalt en ze 30 dagen bewaart. De server en de computer wissen de te oude kopieën bij hun nachtelijke taak, die de computer ook bij het opstarten uitvoert als hij uit stond.

Een gegeven dat uit de database is verwijderd, verdwijnt zo binnen ongeveer 30 dagen uit alle back-ups, alleen later als die computer uit blijft staan, tot hij weer opstart. De versleutelde kopie van een verwijderde foto verdwijnt dezelfde nacht van de hoofdserver, en na 26 dagen van de computer van de uitgever.

Het verwijderen van een account wordt ook genoteerd, met de identificatiecode van het account en het tijdstip (en, voor een samengevoegd account, de identificatiecode van het account dat het ontving), in een register dat los van de kopieën van de database wordt bijgehouden, hooguit 45 dagen; elk uur wordt er op de server een versleutelde kopie van gemaakt, die de computer van de uitgever elke nacht ophaalt in plaats van de vorige (hooguit 46 dagen, langer op die computer zolang die uit blijft staan). Als een storing ons dwingt een back-up weer in gebruik te nemen, worden de accountverwijderingen die sinds de datum van die back-up zijn gedaan, opnieuw toegepast voordat de back-up weer in gebruik gaat. Eén storing valt hierbuiten: het verlies van de server zelf, zijn systeemschijf en zijn dataschijf tegelijk. De accounts die zijn verwijderd na de laatste kopie die de computer van de uitgever heeft opgehaald (tot ongeveer 25 uur, langer als die computer uit blijft staan), zouden dan met de back-up terugkomen.

Hosting en dienstverleners

• Hetzner Online GmbH (Duitsland) host onze hoofdserver in zijn datacenter in Falkenstein: de API, de database, de foto's, de routeplanner, de basiskaart, de geocodeerserver voor adressen en de vertaalserver, die niets van de zoekopdrachten en de teksten bewaren, deze site, de statuspagina, en het verzamelprogramma van de externe communitybron met zijn werkkopie. Tijdelijke Hetzner-servers bouwen elke twee weken het wegennet voor de routeplanner op basis van open data, zonder gebruikersgegevens.
• Het IGN (Institut national de l'information géographique et forestière, Frankrijk) ontvangt van onze server, bij elke zoekopdracht naar een adres, de zoektekst en het midden van de kaart afgerond op ongeveer 5 km, zonder je IP-adres of enige identificatiecode, en antwoordt met de adressen uit de Base Adresse Nationale.
• Infomaniak Network SA (Zwitserland) ontvangt de e-mails die naar contact@lunaway.net worden gestuurd. Voor Zwitserland geldt een adequaatheidsbesluit van de Europese Commissie.
• Cloudflare beheert de domeinnamen van lunaway.net, alleen als DNS: het geeft het adres van onze servers, waarna het verkeer rechtstreeks naar ons gaat, zonder via Cloudflare te lopen.
• GitHub host de broncode en de bestanden van het wegennet die onze server downloadt. Er gaan geen gebruikersgegevens naartoe.

Onze servers downloaden ook de open data en de inhoud die de app toont (OpenStreetMap, openbare datasets, Wikimedia, Panoramax, DATAtourisme, Mangrove Reviews, de externe communitybron); deze verzoeken bevatten geen gebruikersgegevens. De basiskaart wordt door Protomaps gemaakt op basis van OpenStreetMap, en daarna door onze eigen server gekopieerd en geleverd. De app en deze site laden geen kaart, foto, lettertype of script van een andere host. Als je Lunaway installeert via Google Play, F-Droid of de App Store, verwerken die diensten de gegevens van de download volgens hun eigen regels.

We verkopen en verhuren geen gegevens, en geven er geen door voor advertenties of ander commercieel gebruik. De tekst en het afgeronde punt van zoekopdrachten naar adressen, die zoals hierboven beschreven naar het IGN gaan, zijn de enige gegevens uit de app die onze servers aan een derde doorgeven.

Hoe lang gegevens worden bewaard

Rechtsgronden

• Het leveren van de dienst waarom je vraagt (artikel 6, lid 1, onder b, van de AVG): het synchroniseren van plekken, zoeken, vertalingen, routes en navigatie, het zoeken naar winkels en brandstof, het account, je bijdragen, je gesynchroniseerde favorieten.
• Ons gerechtvaardigd belang om de dienst en de gebruikers te beschermen (artikel 6, lid 1, onder f): de logboeken, de limieten tegen misbruik, de moderatie, het wegen van meldingen over de weg, de back-ups, de registers van verwijderde accounts en verwijderde plekken.
• Ons gerechtvaardigd belang om reizigers de reviews en foto's te tonen die over plekken zijn gepubliceerd (artikel 6, lid 1, onder f): de inhoud van de externe communitybron en van de open bronnen, met de namen van de auteurs die we volgens de licenties moeten vermelden.
• Je toestemming, gegeven aan het systeem, voor het lezen van de positie van het apparaat (artikel 6, lid 1, onder a): je kunt die op elk moment intrekken.

Je rechten

De AVG geeft je het recht om je gegevens in te zien, ze te laten verbeteren of wissen, het gebruik ervan te beperken, bezwaar te maken tegen de verwerking ervan en ze in een herbruikbaar formaat te ontvangen.

• In de app toont je profiel je pseudoniem, dat je kunt wijzigen, je niveau, je apparaten en je bijdragen, die je een voor een kunt verwijderen.
• Je kunt je hele account verwijderen in de app of met je herstelcode.
• Voor elk ander verzoek schrijf je naar contact@lunaway.net. We antwoorden binnen een maand.

Je account is niet gekoppeld aan een e-mailadres: voordat we op een verzoek antwoorden, moeten we nagaan dat het account van jou is, bijvoorbeeld door je te vragen je pseudoniem in de app te wijzigen in een woord dat wij je geven.

Vind je dat je rechten niet worden gerespecteerd, dan kun je een klacht indienen bij de Franse toezichthouder voor gegevensbescherming, de CNIL, online via cnil.fr of per post: CNIL, service des plaintes, 3 place de Fontenoy, 75007 Paris, Frankrijk. Je kunt ook contact opnemen met de toezichthouder van het EU-land waar je woont.

Doelgroep en wijzigingen

Lunaway is bedoeld voor volwassenen.

Als dit beleid verandert, verschijnt de nieuwe versie op deze pagina met de datum ervan. De geschiedenis van de pagina is openbaar in de coderepository, op tool/site/src/pages/nl/privacy.html.

Versie van 16 oktober 2026.