Privacy en AVG in je auto-app
welke gegevens je verzamelt, waarvoor en hoe lang
Uitgelichte huisstijlen
Een app verzamelt meer dan een website, en dat merk je pas achteraf
Een auto-app weet wie er kijkt, waar iemand naar zoekt, welke auto’s hij bewaart en wanneer hij de app opent. Bij een website blijft dat grotendeels anoniem; in een app hangt het aan een persoon met een kenteken en een telefoonnummer.
Dat is geen probleem zolang je het geregeld hebt. Het wordt er wel een als je het pas uitzoekt nadat een klant erom vraagt of nadat Apple je app afkeurt. Op deze pagina staat wat je vastlegt voordat de app live gaat. Waar de app zelf uit bestaat, staat op automotive app laten maken. Dit is algemene uitleg en geen juridisch advies – laat je verwerkingsregister toetsen door iemand die dat vak beheerst.
Welke gegevens je app verzamelt
Zet eerst op een rij wat er werkelijk binnenkomt. Bij de meeste auto-apps is dat dit:
- Naam, telefoonnummer en e-mailadres van de gebruiker
- Het kenteken van zijn auto, en daarmee gegevens over dat voertuig
- Zijn zoekopdrachten en ingestelde zoekwekkers
- De auto’s die hij bewaart als favoriet
- Zijn afspraken en onderhoudshistorie
- Gebruiksgegevens: wanneer hij de app opent, welke schermen hij bekijkt
- Een technische sleutel voor push-berichten, per toestel
Een kenteken is op zichzelf al een persoonsgegeven zodra het aan een persoon te koppelen is. Behandel het dus niet als een technisch veld.
Waarom je die gegevens mag verwerken
Voor elk soort gegeven heb je een reden nodig die de AVG erkent. In de praktijk kom je er drie tegen.
Uitvoering van de overeenkomst
Voor de gegevens die je nodig hebt om je werk te doen: de afspraak, de reparatie, de factuur. Daar hoef je niets extra’s voor te vragen.
Gerechtvaardigd belang
Voor gegevens die je nodig hebt om je bedrijf te voeren, zoals inzicht in welke auto’s bekeken worden. Je moet dan wel kunnen uitleggen waarom jouw belang zwaarder weegt dan de privacy van de gebruiker, en het moet in verhouding staan.
Toestemming
Voor alles wat niet nodig is maar wel prettig: push-berichten met aanbiedingen, gebruiksstatistieken van derden, gerichte marketing. Toestemming moet vrijwillig zijn, apart gevraagd worden en net zo makkelijk in te trekken zijn als te geven.
Toestemming vragen op het juiste moment
iOS en Android vragen zelf toestemming voor meldingen. Dat is een technische vraag, geen juridische onderbouwing voor marketing.
Vraag die toestemming niet bij het openen van de app, maar op het moment dat iemand een zoekwekker instelt: dan snapt hij waarvoor het is en zegt hij vaker ja. Splits vervolgens de soorten berichten. Meldingen over een auto waar hij zelf op wacht zijn iets anders dan een actie die je naar iedereen stuurt.
Zorg dat hij per soort kan aan- en uitzetten in de app zelf, en dat uitzetten meteen werkt. Hoe je die berichten inzet zonder mensen weg te jagen, staat op push-notificaties en zoekwekkers.
Hoe lang je gegevens bewaart
De AVG noemt geen vaste termijnen: je bewaart niet langer dan nodig voor het doel. Dat betekent dat jij per soort gegeven een termijn kiest en die opschrijft.
- Facturen en administratie: de fiscale bewaarplicht is hier leidend.
- Onderhoudshistorie: zolang de klant er iets aan heeft, en dat is bij een auto lang.
- Zoekwekkers en favorieten: kort. Iemand die een jaar niets heeft gedaan, wacht niet meer.
- Gebruiksstatistieken: geanonimiseerd bewaren, dan valt het buiten de AVG.
- Accounts van gebruikers die de app verwijderd hebben: opruimen na een vaste periode.
Leg die keuzes vast en laat de app ze automatisch uitvoeren. Een bewaartermijn die alleen op papier staat, is geen bewaartermijn.
Wat de App Store en Google Play van je vragen
Naast de wet stellen Apple en Google hun eigen eisen, en die worden bij elke versie gecontroleerd.
- Een privacyverklaring op een openbare URL die altijd bereikbaar is.
- Een opgave per soort gegeven: wat verzamel je, waarvoor, en koppel je het aan een persoon.
- Een manier waarop een gebruiker zijn account en gegevens kan laten verwijderen – vanuit de app zelf.
- Toestemming vragen voordat je iemand over apps en websites heen volgt.
Die opgave moet kloppen met wat de app werkelijk doet. Wijkt het af, dan wordt je versie afgekeurd en sta je stil. Meer over wat er in de stores geregeld moet worden, staat op app store optimalisatie voor je auto-app.
De partijen achter je app
Jij bent verantwoordelijk voor de gegevens, ook als iemand anders de app bouwt en beheert. Daar horen afspraken bij.
- Een verwerkersovereenkomst met de bouwer of leverancier van de app.
- Duidelijkheid over waar de gegevens staan en of dat binnen Europa is.
- Afspraken over wat er gebeurt bij een datalek: wie meldt, en binnen welke termijn.
- Dezelfde afspraken met je voorraadsysteem en je garagesoftware, want daar komt een deel vandaan.
- Vastleggen dat de gegevens van jou zijn en dat je ze kunt meenemen.
Regel dit in het contract en niet achteraf. Zie auto-app laten ontwikkelen en voorraadkoppeling voor je auto-app.
Wat je intern regelt
Het meeste gaat niet mis in de techniek maar aan de balie. Een paar afspraken voorkomen dat.
- Eigen inlog per medewerker in het klantenportaal, geen gedeeld wachtwoord.
- Alleen toegang voor wie het nodig heeft: verkoop hoeft niet in de onderhoudshistorie van iedereen.
- Eén persoon die weet hoe je een verzoek om verwijdering uitvoert.
- Een vast antwoord op de vraag "welke gegevens hebben jullie van mij" – dat mag iemand vragen.
Wat je in dat portaal ziet en instelt, staat op klantenportaal en statistieken.
Veelgestelde vragen
Mogen we het kenteken van een klant opslaan?
Ja, als je een reden hebt die de AVG erkent – bij onderhoud is dat de uitvoering van de overeenkomst. Het punt is dat je het opschrijft en er een bewaartermijn aan hangt.
Hebben we een aparte privacyverklaring nodig voor de app?
Meestal wel, of een duidelijk apart hoofdstuk in de bestaande. De app verzamelt dingen die je website niet verzamelt, en de stores vragen om een eigen URL.
Mogen we push-berichten sturen naar iedereen die de app heeft?
Voor meldingen die iemand zelf heeft aangezet wel. Voor aanbiedingen heb je toestemming nodig, en die vraag je apart.
Wat als iemand vraagt om verwijdering van zijn gegevens?
Dan verwijder je wat niet onder een wettelijke bewaarplicht valt. Je facturen mag en moet je houden; zijn zoekwekkers en favorieten niet.
Is dit anders dan de cookiemelding op onze website?
Ja. Een app werkt niet met cookies maar met toestemming in de app en in het besturingssysteem. De gedachte erachter is dezelfde.
Een app die je zonder zorgen kunt uitrollen?
Bekijk automotive app laten maken voor het complete overzicht, of neem contact op voor een voorstel.
