Privacyverklaring

Wie is verantwoordelijk?

HexHunting is een klein, niet-commercieel spel voor een vrienden- en kennissenkring, beheerd door Kors Kuijper te Groningen, Nederland. Vragen of verzoeken over je gegevens: info@hexhunting.com.

Welke gegevens verwerken we?

• Accountgegevens: e-mailadres, weergavenaam, versleuteld wachtwoord (hash), aanmaakdatum, moment van akkoord met de voorwaarden en het moment van je laatste login.
• Strava-koppeling: je Strava-athlete-id en de toegangssleutels (tokens) waarmee we je activiteiten mogen ophalen.
• Tijdelijke kopie van Strava-activiteitsgegevens: het Strava-activiteitsnummer, de naam en de GPS-route van je ritten en runs.
• Spelgegevens: welke hexagons je bezit of ooit hebt aangeraakt, sinds wanneer, je punten, je overnames en afgeleide tijd-/locatieankers waarmee groepsritten per hex worden vastgesteld.
• Beveiligingsgegevens: mislukte en geslaagde inlogpogingen met e-mailadres en IP-adres, maximaal 30 dagen bewaard.
• Serverlogs van de hosting (IP-adres, opgevraagde pagina, tijdstip), bedoeld voor storingsonderzoek en misbruikbestrijding.
• Een GPX-bestand dat je in de GPX-check uploadt, wordt alleen in het geheugen verwerkt en niet opgeslagen.
• Pushmeldingen (alleen als je ze zelf aanzet): per apparaat het adres dat je browser of telefoon daarvoor aanmaakt, de bijbehorende sleutels, het soort apparaat en of HexHunting als app is geïnstalleerd; daarnaast je meldingsvoorkeuren, stille uren en een lijst van de meldingen die je kreeg.
• iPhone-verkenner: alleen na een tik op Mijn locatie gebruikt de app je huidige positie. De gekozen kaartpositie gaat naar HexHunting om 19 nabije hexen te bepalen en wordt niet als spelroute opgeslagen. Je bewaarde doelhex, optionele appvergrendeling, jachttimer en dagelijkse herinnering blijven op je iPhone. Als je Apple-push inschakelt, bewaart de server je apparaattoken en APNs-omgeving voor meldingen.

We gebruiken geen analytics, geen trackers, geen advertenties en geen profilering. Je gegevens worden niet verkocht of gedeeld voor commerciële doeleinden.

Waarom, en op welke grondslag?

• Uitvoering van de overeenkomst: zonder account, koppeling en routes is er geen spel.
• Toestemming: je koppelt zelf je Strava-account. Die toestemming kun je op elk moment intrekken via Account of in je Strava-instellingen.
• Gerechtvaardigd belang: beveiliging van de site (inlogpogingen, serverlogs).

Routes zijn gevoelige gegevens

Sportroutes zeggen veel over waar je woont, werkt en wanneer je van huis bent. Daarom:

• Andere spelers zien alleen je weergavenaam en welke hexagons je bezit — nooit je ritten zelf, je routes, je e-mailadres of je verkend-kaart.
• Een hexagon is ongeveer 5 km² groot: dat toont wel je speelgebied, maar niet je adres.
• De verkend-kaart is strikt persoonlijk en alleen voor jou zichtbaar.
• Activiteiten met zichtbaarheid Alleen jij mogen met jouw uitdrukkelijke toestemming meetellen. Andere spelers zien daarbij nooit de activiteit, GPS-route, je naam of je interne spelersnummer.
• Voor de groepsritregel bewaart HexHunting per geraakte hex alleen afgeleide minuutankers rond de passage. Die zijn niet zichtbaar voor andere spelers en worden niet gebruikt om een volledige route te tonen.
• Na een verwijdermelding van Strava wist HexHunting de activiteit, GPS-route, passages en locatie-/tijdankers direct. De betrokken hexagons, gedeeld bezit, buit, badges en klassementen worden vervolgens opnieuw berekend; de automatische 7-dagen-opruiming is het vangnet.

Met wie delen we gegevens?

• Strava (Verenigde Staten) — de bron van je activiteiten. Daarop is Strava's eigen privacybeleid van toepassing.
• Strava mag het gebruik van de Strava API door HexHunting monitoren en daarbij gebruiksgegevens verzamelen.
• UwICTPunt — de hosting waarop de site en de database draaien.
• Kaartleveranciers — bij het tonen van de kaart worden kaarttegels geladen van OpenStreetMap, Esri en OpenTopoMap, en scripts van unpkg.com. Die partijen zien daarbij je IP-adres en welk kaartgebied je opvraagt. Ze krijgen geen accountgegevens.
• Apple Kaarten — de native iPhone-verkenner toont kaartgegevens via MapKit. Daarbij verwerkt Apple gegevens over de opgevraagde kaart volgens het eigen privacybeleid. HexHunting stuurt geen accountgegevens aan Apple Kaarten.
• Pushdiensten — staan pushmeldingen aan, dan bezorgt de pushdienst van je telefoon of browser ze (Apple, Google, Mozilla of Microsoft). Browser-push is end-to-end versleuteld. Voor native iPhone-push verstuurt HexHunting de meldingstitel, -tekst en deeplink via Apple Push Notification service. Er worden geen accountgegevens in het bericht opgenomen.

Garmin

Als je Garmin koppelt, gebruiken we je persoonlijke API-sleutel om activiteitbestanden met GPS, datum, tijd en sport op te halen voor het spel. De sleutel en tijdelijke toegangstokens worden versleuteld opgeslagen. Slaap, voeding en andere gezondheidsgegevens vragen we niet op. De eerste synchronisatie haalt je activiteitgeschiedenis vanaf 2000 op, in kleine stappen. Daarna volgen nieuwe activiteiten.

Bij ontkoppelen verwijderen we de sleutel en tokens en stoppen we de synchronisatie. De eerder verwerkte activiteiten en spelresultaten blijven bij je HexHunting-account staan totdat je deze of je account verwijdert. Je kunt de sleutel ook direct in Garmin Connect intrekken. Je ontvangt een e-mailherinnering voor het vernieuwen van de sleutel.

Hoe lang bewaren we het?

• De tijdelijk opgeslagen Strava-activiteitsgegevens en GPS-routes worden automatisch uiterlijk binnen 7 dagen verwijderd.
• Account- en spelgegevens: zolang je account bestaat. Bij een Strava-ontkoppeling worden alle uit Strava afkomstige activiteiten en afgeleide spelgegevens verwijderd en opnieuw berekend; bij accountverwijdering worden ook de overige accountgegevens verwijderd.
• Inlogpogingen: 30 dagen.
• Pushmeldingen: de lijst met meldingen 60 dagen. Een apparaat-abonnement tot je meldingen uitzet, uitlogt op dat apparaat, of het apparaat ze langere tijd niet meer aanneemt.
• Slapende accounts (24 maanden niet ingelogd) worden na een aankondiging per e-mail verwijderd.
• Verwijder je je account, dan worden je gegevens direct en definitief gewist. Back-ups van de hosting kunnen nog kort een kopie bevatten; die verlopen vanzelf.

Jouw rechten

• Inzage en export: Account → Download al mijn gegevens geeft een volledig JSON-bestand.
• Verwijderen: Account → Account verwijderen, direct en definitief.
• Correctie of iets anders: mail de beheerder.

Kom je er niet uit, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Beveiliging

De site draait volledig over HTTPS, wachtwoorden worden alleen als hash opgeslagen, sessiecookies zijn HttpOnly en Secure, formulieren zijn beveiligd tegen CSRF, alle databasequery's gebruiken prepared statements en inlogpogingen worden begrensd.

Leeftijd

HexHunting is bedoeld voor deelnemers van 16 jaar en ouder.

Wijzigingen

Verandert er iets wezenlijks aan wat we verwerken, dan passen we deze verklaring aan en melden we dat bij je volgende bezoek.