Privacy statement Shuttel

Nederlands: Shuttel B.V. vindt de bescherming van persoonsgegevens van essentieel belang. Wij verwerken jouw gegevens dan ook met de grootst mogelijke zorgvuldigheid. Met dit privacy statement informeren wij jou over hoe wij omgaan met persoonsgegevens.

English: Because Shuttel B.V. makes the protection of personal data an essential priority, we exercise the greatest possible care whenever we process your personal data. How we handle personal data is explained in this privacy statement. Please find the English Privacy Statement below the Dutch text, or click here.

-----------------------------------------------------------

Privacy Statement Nederlands (Dutch)

1.Wie is verantwoordelijk voor de verwerking van jouw gegevens?
In dit privacy statement beschrijft Shuttel B.V. (hierna: “Shuttel” of “wij”) hoe zij als verwerkingsverantwoordelijke met jouw persoonsgegevens omgaat. Ook beschrijft Shuttel welke gegevens zij - indien van toepassing - ontvangt van andere (mobiliteits)aanbieders in het kader van de dienstverlening.

Er wordt gebruik gemaakt van een zakelijke OV-chipkaart om gebruik te kunnen maken van het openbaar vervoer. Translink Systems B.V. (hierna ‘’TLS’’) is de uitgever van alle zakelijke OV-chipkaarten in Nederland en stelt voorwaarden aan dit gebruik. De kaartvoorwaarden kunt u vinden via www.shuttel.nl/nl/voorwaarden.

2. Wat is een persoonsgegeven?

Informatie over een geïdentificeerde of identificeerbare natuurlijke persoon is een persoonsgegeven. Of bepaalde informatie als een persoonsgegeven moet worden gekwalificeerd hangt er mede vanaf of Shuttel beschikt over wettige middelen waarvan redelijkerwijs mag worden aangenomen dat zij deze inzet om een betrokkene te identificeren.

3. Persoonsgegevens die wij verwerken

Wij verwerken persoonsgegevens van jou omdat jij gegevens zelf aan ons verstrekt bij het aangaan van een overeenkomst met ons, of wanneer je gebruik maakt van onze diensten via jouw werkgever. Hierbij ontvangen wij van en/of verstrekken wij mogelijk gegevens aan (mobiliteits)aanbieders die noodzakelijk zijn voor onze dienstverlening. Deze aanbieders zijn verwerkingsverantwoordelijke voor de persoonsgegevens die zij verwerken en mogelijk aan ons verstrekken. Voor meer informatie over de wijze waarop deze aanbieders jouw persoonsgegevens verwerken en de rechten die je daarbij hebt, verwijzen wij naar de privacyverklaring van de betreffende aanbieders.

A) Gegevens die nodig zijn om jou een Shuttel kaart te verstrekken

De diensten van Shuttel kunnen verschillende mobiliteitsdiensten betreffen, waaronder maar niet uitsluitend openbaar vervoer, parkeren, taxi, OV-fiets, deelauto's en ritregistratie. Als je met Shuttel een overeenkomst aangaat, verwerken wij de volgende persoonsgegevens van jou om je een Shuttel kaart ter beschikking te stellen:

• Je naam, adres, woonplaats, personeelskenmerk bij de werkgever (indien van toepassing), e-mailadres en telefoonnummer;
• Gegevens van de Shuttel kaart die je gebruikt zoals het kaartnummer, eventuele barcode op de kaart, de eventuele code beschikbaar op de magneetstrip en gegevens op de chip die aanwezig is in de Shuttel kaart.

B) Gegevens die worden gegenereerd door jouw gebruik van onze diensten

Als je gebruik maakt van diensten van Shuttel of anderszins contact hebt met ons, verwerken wij in het kader van onze dienstverlening – afhankelijk van het precieze gebruik dat jij ervan maakt – de volgende (persoons)gegevens:

• Gegevens die je gebruikt voor toegang tot de Shuttel App en Portal, zoals je gebruikersnaam, pincode en wachtwoord;
• Gegevens over het gebruik van de aan jou verstrekte Shuttel kaart, zoals je tijdstip, locatie, traject, klasse en kosten van een reistransactie. Als licentiehouder van TLS ontvangen wij gegevens over de door jou gemaakte reizen in het openbaar vervoer. TLS verstrekt de zakelijke OV-chipkaart aan jou als kaartgebruiker;
• Jouw communicatievoorkeuren en instellingen;
• Indien van toepassing, gegevens die wij verwerken om jou een persoonlijk reisadvies te kunnen geven in de App, zoals je tijdstip, locatie, traject en kosten van de door jou geplande reistransactie.
• Surfgedrag, vastgesteld aan de hand van onze eigen observaties of cookies (zie ook artikel 9 van dit privacy statement);
• Gegevens die betrekking hebben op jouw randapparatuur, zoals een MAC-adres, IP-adres of ander nummer;
• Klanttevredenheidsgegevens;
• Gegevens over jouw gebruik van onze klantenservice.

C) Gegevens die wij ontvangen van bij ons aangesloten (mobiliteits)aanbieders

Indien van toepassing ontvangen we gegevens van andere (mobiliteits)aanbieders van mobiliteitsdiensten die je kunt gebruiken met de Shuttel kaart. Wij kunnen gegevens over het gebruik van de Shuttel kaart aan elkaar relateren. Zo kunnen wij bijvoorbeeld transacties van inchecken en uitchecken aan elkaar relateren om de gegevens van een reis te tonen in de Shuttel Portal. Op de Shuttel Portal kan je onder andere jouw gemaakte reizen inzien.
De gegevens die wij van de (mobiliteits)aanbieders kunnen ontvangen en noodzakelijk zijn voor de dienstverlening, zijn onder andere:

• Het tijdstip, locatie, traject, klasse en kosten van een reistransactie. Deze gegevens van het gebruik van de aan jou verstrekte Shuttel kaart zijn niet gelimiteerd tot reis- en gebruikstransacties, maar kunnen ook service- en verkooptransacties omvatten;
• Gegevens met betrekking tot ritregistraties en andere mobiliteitsdiensten waaronder, maar niet uitsluitend, de locatie, het traject, de reisduur, begintijd, eindtijd, snelheid, datum en afstand van jouw reis die je hebt gemaakt met je Shuttel kaart.

D) Gegevens die worden verwerkt via de Locatievoorzieningen in de Shuttel App

­­­Als kaartgebruiker kun je gebruik maken van de Shuttel App. Voor een aantal functionaliteiten in de app wordt gebruik gemaakt van jouw locatiegegevens. Zo kunnen we, als de app jouw locatiegegevens mag gebruiken, je op een kaart inzage geven in alle beschikbare modaliteiten in jouw directe omgeving waarmee je gemakkelijk je (vervolg)reis kunt plannen. Daarnaast kunnen we het plannen van je reis vergemakkelijken door het bepalen van jouw huidige locatie bij het plannen van jouw reis. Het is uiteraard ook mogelijk het vertrek- en eind punt (en evt. tussenstop) zelf in te voeren.

Ook kun je met behulp van de Shuttel App jouw reisbewegingen zelf vastleggen, bijvoorbeeld door een rit met een auto of fiets te registreren. Dit maakt het mogelijk om jouw ritten te administreren indien je een kilometervergoeding ontvangt van jouw werkgever.

Een mogelijkheid om jouw reisbewegingen te registreren is de ‘’tracker functionaliteit’’ in de Shuttel app waarmee je jouw reisbeweging kunt vastleggen met behulp van locatiegegevens (GPS locatie) verkregen uit jouw mobiele telefoon. Deze functionaliteit registreert jouw reisbeweging met behulp van locatiegegevens (GPS locatie) verkregen uit jouw mobiele telefoon.

Om gebruik te kunnen maken van deze functionaliteiten, dien je toestemming te geven voor de verwerking van jouw locatiegegevens. Na het installeren van de Shuttel app op jouw mobiele telefoon, zal je middels een pop-up scherm gevraagd worden om deze toestemming te geven, waarop je de instellingen in jouw mobiele telefoon kunt aanpassen.

Zodra je deze toestemming hebt verleend en de GPS Tracker aanzet middels de knop 'Start', worden jouw reisbewegingen geregistreerd middels het opslaan van de coördinaten langs jouw afgelegde route. Deze coördinaten worden enkel gebruikt voor het berekenen van de afstand tussen het punt waar je de tracker start en stopt. Na het stoppen van de tracker worden jouw coördinaten verwijderd. Enkel het begin- en eindpunt en de afstand worden vastgelegd en getoond als rit..

Je kunt jouw toestemming intrekken via het privacy instellingen menu van jouw telefoon. Je kunt dan geen reisbewegingen meer vastleggen tot je weer opnieuw toestemming verleent. Jouw locatiegegevens worden alleen voor bovenstaande doeleinden gebruikt en niet door Shuttel verzamelt en/of opgeslagen.“

4. Verwerking: grondslagen en gerechtvaardigde belangen

De verwerking van persoonsgegevens vindt plaats op basis van de volgende wettelijke grondslagen:

1. Toestemming;
2. Uitvoering van een overeenkomst met jou;
3. Wettelijke verplichting;
4. Vervulling van een taak van algemeen belang;
5. Gerechtvaardigd belang van Shuttel of een derde.

Gerechtvaardigde belangen zijn onder andere: beveiliging, (misdaad)preventie, IT-beheer, onderzoek en analyse naar eigen producten of diensten, bedrijfshuishouding, juridische zaken en intern beheer.

5. Doeleinden voor het verwerken van persoonsgegevens

Bij de verwerking van jouw persoonsgegevens gaan wij zorgvuldig te werk. Wij gebruiken alleen die gegevens die noodzakelijk zijn voor de dienstverlening. Shuttel verwerkt jouw persoonsgegevens voor de hieronder genoemde doeleinden. Het cijfer achter ieder doel correspondeert met de grondslag genoemd in artikel 4 van dit privacy statement.

A) Doeleinden voor kaartgebruik

• De aanvraag, uitgifte en verzending van de Shuttel kaart en het verstrekken van een nieuwe Shuttel kaart wanneer een bestaande kaart defect raakt of verloren of gestolen is [grondslag 2];
• Het verzorgen van de administratie van de Shuttel kaart voor financiële en fiscale verplichtingen, inclusief het (verzameld) factureren van het gebruik van de Shuttel kaart [grondslag 2 of 3];
• Het aan de kaarthouder en/of werkgever in rekening brengen van kosten van het gebruik van de zakelijke OV-chipkaart [grondslag 2];
• Het communiceren met en informeren van jou en/of je werkgever en het verlenen van service (bijvoorbeeld via de servicedesk) [grondslag 2 of 5];
• Het verwerken van, en door middel van managementinformatie rapporteren over, transacties en reisbewegingen gemaakt met de Shuttel kaart aan jou en/of je werkgever. De informatie die wordt verstrekt aan jouw werkgever en de verwerking van persoonsgegevens tot managementinformatie is niet direct herleidbaar tot jou [grondslag 2 of 5];
• Indien van toepassing, het uitvoeren voor jouw werkgever van onderzoek naar (reis)gedrag [grondslag 2 of 5];
• Het automatisch opladen van het saldo op jouw zakelijke OV-chipkaart [grondslag 2];
• Het verschaffen van inzicht aan de kaarthouder en/of werkgever van de gemaakte transacties en daarmee gemoeide kosten. Privé transacties en details van gemaakte zakelijke transacties zijn alleen inzichtelijk voor de gebruiker [grondslag 2];
• Het verlenen van service aan de kaarthouder, bijvoorbeeld in geval van verlies en diefstal van de zakelijke OV-chipkaart [grondslag 2].

B) Algemene doeleinden

• Het opbouwen en onderhouden van de klantrelatie inclusief het onderhouden van een directe relatie tussen Shuttel en servicepartners [grondslag: 2];
• Het afhandelen van bestellingen (inclusief facturering), het verwerken in financiële administraties en de logistieke afhandeling [grondslag: 2];
• Het bieden van klantenservice inclusief service rondom het kopen van diensten en producten, het afhandelen van klachten en verzoeken [grondslag: 2];
• Het in bepaalde gevallen onderhouden van communicatie met tot ons netwerk behorende servicepartners om pro-actief contact met gebruikers op te nemen in het kader van gebreken of storingen [grondslag: 2 of 5];
• De verwerking van persoonsgegevens tot managementinformatie [grondslag 2];
• Het uitvoeren van marktonderzoek, waaronder het meten van klanttevredenheid, om onze bedrijfsvoering, merken, diensten en producten te verbeteren [grondslag: 5];
• Het (verder) ontwikkelen en verbeteren van nieuwe en bestaande producten en diensten [grondslag: 5];
• Het voldoen aan wettelijke verplichtingen, beslechting van geschillen en handhaving van onze rechten en overeenkomsten [grondslag: 2, 3 of 5];
• Het verbeteren van datakwaliteit met behulp van adresvalidatie-technieken [grondslag: 5];
• Het analyseren van cookies van onze websites. Dit doen wij om de inhoud van onze communicatie zo goed mogelijk op jouw persoonlijke voorkeur af te stemmen [grondslag: 1 of 5].

6. Geen verwerking van gegevens van personen jonger dan 16 jaar

Wij hebben niet de intentie gegevens te verzamelen van personen die jonger zijn dan 16 jaar. Wij raden ouders aan betrokken te zijn bij de (online) activiteiten van hun kinderen om zo te voorkomen dat Shuttel hun persoonsgegevens verwerkt.

7. Delen met derden

Shuttel deelt jouw persoonsgegevens met derden in onder andere de volgende gevallen en met bijbehorende redenen. Het cijfer achter ieder doel correspondeert met de grondslag genoemd in artikel 4 van dit privacy statement:

• jouw gegevens worden indien noodzakelijk door Shuttel gedeeld met je werkgever, zodat je werkgever deze gegevens kan gebruiken om je rekening te voldoen en inzicht te krijgen in je zakelijke reisbewegingen. [grondslag: 2].
• wij verstrekken jouw persoonsgegevens aan TLS ten behoeve van de vervaardiging en verzending van de zakelijke OV-chipkaart. Wij hebben hiervoor een overeenkomst gesloten met TLS. De zakelijke OV-chipkaart wordt op basis van deze overeenkomst uitgegeven [grondslag: 2, 5].
• met geautoriseerde servicepartners uit het distributienetwerk van Shuttel [grondslag: 1, 2 of 5];\
• als wij wettelijk verplicht of bevoegd zijn om persoonsgegevens aan derden te verstrekken [grondslag: 3];
• als wij een vermoeden hebben van een schending van de rechten van derden, van strafbare feiten of van misbruik, kunnen wij persoonsgegevens verstrekken aan derden die daarbij een gerechtvaardigd belang hebben of aan instanties die het algemeen belang dienen. Dit kunnen ook handhavende autoriteiten zijn, zoals het Openbaar Ministerie of toezichthouders [grondslag: 3, 4 of 5];
• Shuttel kan jouw gegevens ook delen met anderen voor de uitvoering van een overeenkomst met jou, of vanwege gerechtvaardigde bedrijfsbelangen, zoals het voeren van een centrale administratie of klantenservice, en het analyseren van onze dienstverlening aan jou [grondslag: 5];
• met partijen die Shuttel assisteren in haar dienstverlening en geen verwerker zijn (denk aan accountants en (juridisch) adviseurs) [grondslag: 5];
• voor bedrijfseconomische doeleinden (zoals de verkoop van bedrijfsactiviteiten of aandelen of een reorganisatie) [grondslag: 5];

Shuttel gebruikt ook diensten van derde partijen die fungeren als 'verwerkers' bijvoorbeeld hosting- dienstverleners en onderzoeksbureaus, met als doel marktonderzoek of klanttevredenheidsonderzoek uit te voeren. Indien deze derden conform toepasselijke gegevensbeschermingswetgeving worden aangemerkt als verwerker, zal Shuttel schriftelijke afspraken maken met deze derden. Deze dienstverleners zullen persoonsgegevens uitsluitend verwerken in overeenstemming met de instructies en onder de controle van Shuttel.

Als persoonsgegevens naar een ontvanger in het buitenland worden verzonden, gebeurt dit doorgaans alleen naar een ontvanger in een land dat volgens de Europese Commissie een voor persoonsgegevens passend beschermingsniveau biedt. Als persoonsgegevens naar een ontvanger in een land worden verstuurd dat geen passend beschermingsniveau biedt, zal Shuttel ervoor zorgen dat de wettelijk vereiste waarborgen worden genomen. Indien je nadere informatie wenst te ontvangen over de doorgifte van jouw persoonsgegevens naar landen buiten de Europese Economische Ruimte, kan je contact opnemen met de Functionaris voor Gegevensbescherming van Pon (zie artikel 12).

8. Bewaren van jouw gegevens

We zullen persoonsgegevens zo lang bewaren als dat nodig of toegestaan is binnen het kader van de in dit Privacy statement beschreven doeleinden en in overeenstemming met het toepasselijk recht. Tot de criteria die worden gebruikt om onze opslagtermijn te bepalen behoren:

• De duur van de tijd waarin we een lopende relatie met jou hebben en de diensten aan jou leveren (bijvoorbeeld, zolang als jij een account bij ons hebt of gebruik blijft maken van onze diensten);
• Of er een wettelijke verplichting bestaat waaraan wij moeten voldoen (bepaalde wetten vereisen bijvoorbeeld dat wij onze transacties gedurende een bepaalde tijd bewaren voordat wij deze kunnen verwijderen); of
• Of bewaren wenselijk is gezien onze juridische positie (zoals ten aanzien van verjaringstermijnen, geschillen of onderzoeken door verordenende instanties).

9. In kaart brengen websitebezoek

Wanneer je onze website(s), diensten, applicaties, communicatiediensten (zoals e-mail) en hulpmiddelen bezoekt of gebruikt, kunnen wij cookies, web beacons en andere soortgelijke technologieën voor het opslaan van informatie gebruiken met als doel advertentie-uitingen te personaliseren en jou een betere, snellere en veiligere klantervaring te kunnen bieden. Als je geen cookies wenst, kun je dit aangeven. Voor meer details over het gebruik van cookies verwijzen wij naar ons cookie statement (www.shuttel.nl). Op onze website(s) tref je mogelijk links aan naar andere websites. Wij dragen geen verantwoordelijkheid voor de omgang met jouw persoonsgegevens door deze websites. Raadpleeg hiervoor de privacyverklaring / het privacy statement van de website die je bezoekt.

Om het zakelijk gebruik van onze website te meten, gebruiken wij de dienst Leadinfo uit Rotterdam. Deze dienst toont ons bedrijfsnamen en -adressen op basis van IP-adressen van onze bezoekers. Het IP-adres wordt hierbij niet opgenomen.

10. Jouw rechten, waaronder het recht om bezwaar te maken

Je hebt het recht om te weten welke persoonsgegevens wij van jou verwerken en aan wie wij jouw persoonsgegevens hebben verstrekt. Ook heb je het recht informatie te verkrijgen over de aan jou verstrekte zakelijke OV-chipkaart. Als je toestemming hebt gegeven voor de verwerking van jouw persoonsgegevens, heb je ook het recht om deze weer in te trekken.

Indien jij de door ons verwerkte persoonsgegevens wilt inzien, corrigeren, bijwerken, beperken of verwijderen, bezwaar wilt maken tegen de verwerking van persoonsgegevens of tegen direct marketing, of als je een elektronische kopie van jouw persoonsgegevens wilt ontvangen om die aan een ander bedrijf door te geven (voor zover dit recht op gegevensoverdracht door de toepasselijke wetgeving aan jou wordt verstrekt) kun je contact met onze klantenservice opnemen via de contactgegevens zoals vermeld onder artikel 12. Wij verzoeken je in je aanvraag zo duidelijk mogelijk te beschrijven op welke persoonsgegevens je verzoek betrekking heeft. We zullen zo snel als redelijkerwijs uitvoerbaar maar in elk geval binnen de wettelijk vereiste termijnen op jouw verzoek reageren. Tot slot heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Je kunt jouw rechten slechts uitoefenen voor zover de wet je deze rechten toekent. Om er zeker van te zijn dat een verzoek door jou zelf is gedaan, kunnen wij vragen om een kopie van jouw identiteitsbewijs bij dit verzoek mee te sturen. Dit vragen wij alleen als we dit noodzakelijk achten om jou te kunnen identificeren en verzoeken wij ook om op deze kopie de pasfoto, MRZ (machine readable zone; de strook met nummers onderaan het paspoort), paspoortnummer en Burgerservicenummer (BSN) onherkenbaar te maken. De kopie van jouw identiteitsbewijs vernietigen wij direct nadat wij jou hebben geïdentificeerd.

11. Beveiliging en bescherming van gegevens

Shuttel past passende beveiligingsmaatregelen toe om misbruik, verlies, onbevoegde toegang, ongewenste openbaarmaking en ongeoorloofde wijziging zoveel mogelijk tegen te gaan. Shuttel heeft zowel technische als organisatorische maatregelen genomen om jouw persoonsgegevens te beveiligen, zoals het toepassen van versleutelingstechnieken. Deze beveiligingsmaatregelen worden periodiek herzien op basis van dreigingen.

12. Contact

Shuttel is statutair gevestigd te Zuiderinslag 2, 3833 BP in Leusden en houdt kantoor aan de Stationsplein 1 E, 3818 LE Amersfoort. Voor vragen en/of opmerkingen met betrekking tot dit privacy statement kun je contact opnemen met:

Shuttel B.V.
T.a.v: Klantenservice
Stationsplein 1 E
3818 LE Amersfoort
Tel. 033 30 34 600
advies@shuttel.nl

Onze Functionaris voor Gegevensbescherming is bereikbaar per e-mail via privacy@pon.com en per post via bovenstaand adres (t.a.v. 'Privacy Officer').

13. Wijzigingen

De manier waarop wij persoonsgegevens verwerken, en de samenstelling of hoeveelheid van gegevens die wij verwerken, kan wijzigen. Daarom behouden wij ons het recht voor dit privacy statement aan te passen. Je zult indien noodzakelijk op de hoogte worden gebracht van een wijziging. In dit Privacy Statement wordt altijd de laatste datum van wijziging aangegeven.

Dit statement is voor het laatst herzien op 26 oktober 2021.

-----------------------------------------------------------

Privacy Statement English

1, Who is responsible for the processing of your data?

In this privacy statement, we, Shuttel B.V. (hereinafter “Shuttel” or “we”) explain how we process your personal data in our capacity of controller. We also describe where we receive data from other mobility services and third parties in the performance of our services, and what that data comprises.

A business public transport chip card is used to access public transportation. Translink Systems B.V. (hereinafter ‘’TLS’’) is the publisher of all business public transport chip cards in the Netherlands, and sets conditions on their use. The card conditions can be consulted at www.shuttel.nl/nl/voorwaarden.

1.What is personal data?

Personal data is information that relates to an identified or identifiable natural person. Whether or not certain information should be regarded as personal data also depends on whether Shuttel has legal means that it can be reasonably assumed to use to identify a data subject.

2. Personal data that we process

We process your personal data because you provide us with data when you conclude an agreement with us but also when you use our services through your employer. As part of these services we receive data from, and may also provide data to, mobility services and other third parties as required for the performance of our services. These third parties are the controllers with respect to the personal data that they process and which they may provide to us. For more information about the way in which these third parties process your personal data and your rights in this regard, please see the privacy statements of the respective third parties.

A) Data needed to issue you a Shuttel card

Shuttel’s services may pertain to various mobility services such as public transport, parking, taxi, "OV fiets" bike rental , car sharing services and ride logging. After you enter into an agreement with Shuttel, for us to issue you a Shuttel card we need to process the following personal data:

• Your name, address, city of residence, personnel reference number used by your employer (if applicable), e-mail address and telephone number.
• Identifying data for the Shuttel card that you use, such as the card number, bar code on the card (if any), any code on the magnetic strip, and data encoded in the chip inside the Shuttel card.

B) Data generated by your use of our services

If you use the services of Shuttel or otherwise have contact with us, as part of our services we will, depending on your specific use, process the following data, which may or may not be regarded as personal data:

• Data you use to access the Shuttel app and portal, including user name, pin code, and password.
• Data concerning the use of the Shuttel card issued to you, such as time, location, route, class and cost of a travel transaction. As license holder of TLS, we receive data about the costs you incur on public transport journeys. TLS issues the business public transport chip card to you as card user.
• Your communication preferences and settings.
• If applicable, data we process in order to enable us to give you personalized travel recommendations in the app, including time, location, route and cost of the travel transaction you are planning.
• Surfing behaviour, established on the basis of our own observations or cookies (see also article 9 of this privacy statement).
• Information pertaining to your devices, such as MAC address, IP address or other identifying number.
• Customer satisfaction information.
• Data about your use of our customer service.

C) Data we receive from affiliated mobility providers and third parties

If applicable, we will receive data from other providers of mobility services that the Shuttel card grants you access to. We may correlate various data sets concerning the use of the Shuttel card. We may, for example, correlate your check-in and check-out transactions in order to display the information on a journey in the Shuttel portal. On the Shuttel portal you can retrieve various information including the data on the journeys you have made.
The data that we may receive from other mobility providers and which is necessary for the services include:

• The time, location, route, class and cost of a travel transaction. This data on the use of the Shuttel card issued to you will not be limited to travel and use transactions, but may also include service and sale transactions.
• Data pertaining to journey logs and other mobility services, such as location, route, travel time, start time, end time, speed, date, distance of travel with your Shuttel card, etc.

D) Data processed via the GPS tracker in the Shuttel app

As a card user you can use the Shuttel App. For a number of functionalities in the app, your location data is used. For example, if the app is allowed to use your location data, we can show you on a map all available modalities in your immediate vicinity with which you can easily plan your journey. In addition, we can make planning your trip easier by determining your current location. It is of course also possible to enter the departure and end point (and any stopover) yourself.

You can also log your travel movements yourself using the Shuttel app, for example by registering a ride with a car or bicycle. This allows you to keep a log of your travel if you need to keep one to receive a per-kilometre travel reimbursement from your employer. One possibility to register your travel movements is the "tracker functionality" in the Shuttel app that allows you to record your travel movements using location data (GPS location) obtained from your mobile phone.

To be able to use these functionalities, permission is needed for the processing of your location data. After installing the Shuttel app on your mobile phone, you will be asked through a pop-up screen to give this permission, on which you can adjust the settings in your mobile phone.

As soon as you have granted this permission and switch on the GPS Tracker via the 'Start' button, your travel movements will be registered by using the coordinates along your traveled route. These coordinates are only used to calculate the distance between the point where you start and stop the tracker. After stopping the tracker, your coordinates will be deleted. Only the starting point, end point and distance covered will be shown.

You can revoke your consent in the privacy settings of your phone. You can then no use these location bases functionalities in the app until you grant permission again. Your location data will only be used for the above purposes and will not be collected and/or stored by Shuttel.

3. Processing: legal grounds and legitimate interests

The personal data is processed on the basis of the following legal grounds:

1. Consent.
2. Performance of a contract with you.
3. Legal obligation.
4. Performance of a task in the public interest.
5. Legitimate interest of Shuttel or a third party.

Legitimate interests include, but are not limited to: safety and security, crime prevention, IT management, research and analysis of our products and services, business administration, legal affairs and internal management.

4. Purposes for the processing of personal data

We exercise all due care in the processing of your personal data. We use only the data necessary to provide our services. Shuttel processes your personal data for the purposes set out below. The number or numbers given after each of the purposes listed corresponds to the ground or grounds referred to in article 4 of this privacy statement.

A) Card use-related purposes

• The application for a new Shuttel card, the issue and sending of a Shuttel card, and the provision of a new Shuttel card when an existing card becomes defective or is lost or stolen. [ground 2]
• The conduct of the administration of the Shuttel card in order to meet financial and tax-related obligations, including the (collective) invoicing of the use of the Shuttel card. [grounds 2 or 3]
• The charging to the card holder and/or employer of costs of the use of the business public transport chip card. [ground 2]
• Communication with you and/or your employer for information purposes and for the provision of service (including the service desk). [grounds 2 or 5]
• The processing of and reporting (in the form of management information) on transactions and travel movements made with the Shuttel card to you and/or your employer. The information provided to your employer and the processing of personal data for management information purposes will not be directly traceable back to you. [grounds 2 or 5]
• If applicable, the performance for your employer of analysis of travel habits or other behaviour. [grounds 2 or 5]
• Automatic replenishing of the balance on your business public transport chip card. [ground 2]
• The provision to the card holder and/or employer of statements of the transactions performed and costs incurred thereby. Personal transactions and details of business transactions made will only be visible to the user. [ground 2]
• The provision of service to the card holder, for example in cases of loss or theft of the business public transport chip card. [ground 2]

B) General purposes

• Building up and maintaining the customer relationship, including the maintenance of a direct relationship between Shuttel and the service partners. [ground 2]
• Processing orders (including invoicing), processing in the financial administration and for logistics purposes. [ground 2]
• Offering customer services, including services with regard to the purchase of products and services, and dealing with complaints and requests. [ground 2]
• In certain cases, maintaining communications with service partners from our network in order to proactively contact users in situations of faults or disruptions. [grounds 2 or 5]
• The processing of personal data into management information. [ground 2]
• Conducting market research, including measuring customer satisfaction, in order to improve our business operations, brands, products and services. [ground 5]
• Development and ongoing improvement of new and existing products and services. [ground 5]
• Fulfilling statutory obligations, settling disputes and enforcing our rights and agreements. [grounds 2, 3 or 5]
• Improving data quality by using address validation technologies. [ground 5]
• Analysing cookies of our websites in order to gear the contents of our communications to your personal preferences to the maximum possible extent. [grounds 1 or 5]

5. No processing of data of persons under the age of 16

We do not intend to collect data from persons under the age of 16. We advise parents to monitor their children and their children’s online activities to prevent Shuttel from processing their data.

6. Sharing with third parties

Shuttel shares your personal data with third parties in a number of situations, such as the situations listed here alongside the reason for the sharing. The number or numbers given after each corresponds to the ground or grounds referred to in article 4 of this privacy statement.

• Shuttel shares your data with your employer, if necessary, in order to allow your employer to use the data to pay your invoice and register your business travel movements. [ground 2]
• Shuttel provides your personal data to TLS, in order to allow the manufacture and issue of the business public transport chip card. We have a contract with TLS for this purpose. The business public transport chip card is issued on the basis of this contract. [grounds 2, 5]
• Shuttel shares your personal data with authorised service partners in the Shuttel distribution network. [grounds 1, 2 or 5]
• Shuttel may be legally obliged or authorised to provide personal data to third parties. [ground 3]
• If Shuttel suspects a violation of the rights of third parties, a criminal offence or abuse, it can provide personal data to third parties who have a legitimate interest in receiving it or to institutions serving the general interest. This may also include enforcement authorities such as the Public Prosecutor’s Office or regulatory authorities. [grounds 3, 4 or 5]
• Shuttel may also share your data with other parties for the purposes of performance of a contract with you or on the basis of Shuttel’s own legitimate business interests, such as the conduct of a central administration or customer service and the analysis of our services to you. [ground 5]
• Shuttel shares your personal data with parties assisting us in our services and which are not processors themselves (this would include accountants, legal advisors, consultants, etc.). [ground 5]
• for business-economic purposes (such as the sale of business activities or shares, or a company reorganization). [ground 5]

Shuttel also uses the services of third parties that act as processors, for example hosting services and research firms, with the objective of conducting market research, customer satisfaction surveys, etc. If these third parties are deemed to be processors within the definition of applicable data protection laws, Shuttel will make arrangements in writing with these third parties. These service providers will only process personal data in accordance with the instructions and under the control of Shuttel.

If personal data is sent to a recipient in another country, this will normally be required to be a country that offers a level of protection for personal data deemed appropriate by the European Commission. If personal data is to be sent to a recipient in a country that does not offer an appropriate level of protection, Shuttel will ensure that the legally required standards of protection are observed. If you wish to receive further information about the transfer of your personal data to countries outside the European Economic Area, you may contact Pon’s Data Protection Officer (see article 12).

7. Retention of your data

We will retain personal data as long as necessary or permitted to do so within the framework of the purposes described in this privacy statement and in accordance with applicable law. The criteria used to determine the period of storage include:

• The duration of the period in which we have an ongoing relationship with you and provide the services to you (for example, as long as you have an account with us or continue to make use of our services).
• Whether there is a statutory obligation that we must meet (certain laws require, for example, that we retain our transaction records for a certain period of time before deleting them).
• Whether retaining the data is desirable in consideration of our legal position (i.e. in regard to statutory prescription periods, disputes, investigations by regulatory institutions, etc.).

8. Analysing website visits

When you visit or use our website(s), services, applications, communication services (such as e-mail) and resources, we may use cookies, web beacons and other similar data storage technologies with the goal of personalising advertisements and offering you a better, faster and safer customer experience. If you do not wish to accept cookies, you have the opportunity to indicate this. For more information about the use of cookies, please see our cookie statement (www.shuttel.nl). On our website(s) you may find links to other websites. We are not responsible for how these websites process your personal data. For this, please refer to the privacy statement of the website you are visiting.

9. Your rights, including the right of objection

You are entitled to know what personal data pertaining to you we process and to whom we have provided your personal data. You also have the right to obtain information about the business public transport chip card issued to you. If you have granted your consent to the processing of your personal data, you also have the right to revoke this consent.

If you wish to access, correct, update, restrict or delete the personal data pertaining to you that we process, wish to object to the processing of personal data or direct marketing, or if you would like to receive an electronic copy of your personal data for the purposes of providing it to another company (insofar as this right to transfer is granted to you under applicable law), contact our customer service department. The contact information is provided under article 12. In your request, please be as specific as possible as to the personal data to which your request pertains. We will respond to your request as quickly as is reasonably possible, and in any event within the period required by law. Finally, you also have the right to lodge a complaint with the Dutch Data Protection Authority.

You can only exercise your rights to the extent that they are granted to you by law. To make sure that the request was submitted by you, we may ask you to include a copy of a valid form of identification with your request. We will only do this if we deem it necessary for the purposes of identifying you, and if we do this we will also ask you to obscure your passport photo, MRZ (machine-readable zone, i.e. the number strip at the bottom of your passport identification page), passport number and citizen service number (BSN). We will destroy the copy of your identification immediately after we have identified you.

10. Security and protection of data

Shuttel takes appropriate security measures to prevent misuse, loss, unauthorised access, unwanted disclosure and unauthorised alteration to the maximum possible extent. Shuttel has implemented technical and organisational measures in order to secure your personal data, including the use of encryption technologies. These security measures are periodically reviewed on the basis of threats.

11. Contact

Shuttel has its registered office at Zuiderinslag 2, NL-3833 BP in Leusden and its principal place of business at Stationsplein 1 E, NL-3818 LE in Amersfoort. If you have any questions and/or comments about this privacy statement, please contact:

Shuttel B.V.
Attn. Customer Services
Stationsplein 1 E
NL-3818 LE Amersfoort
Tel. +31 33 303 4600
advies@shuttel.nl

Our Data Protection Officer can be reached by e-mail via privacy@pon.com and by post on the above address (attn. Privacy Officer).

12. Changes

We may change the way in which we process personal data and the composition and quantity of data we process. We therefore reserve the right to update this privacy statement. Any relevant changes will be notified to you. This Privacy Statement always shows the most recent revision date.

This statement was last revised on 26 October 2021.

The Dutch text of this Privacy Statement is the only authentic text. In the event of differences between the Dutch text and a translation into a foreign language, the Dutch text prevails.