Route.bg (RouteBG) — discover destinations across Bulgaria, plan trips, verify visits, and sign in with Google or email.

Home · Privacy Policy · Terms of Service · App privacy page

Privacy Policy

How Route.bg collects, uses, and protects your personal data

Last updated: October 16, 2026 (mobile app, Sign in with Apple, blocking)

This Privacy Policy explains how Route.bg collects, uses, and protects your personal data in line with the General Data Protection Regulation (GDPR) and Bulgarian personal data protection law.

Data controller

The controller of your personal data is:

Information we collect

Depending on how you use the site, we may process the following categories of data:

  • Account data: Username, email, password (encrypted), profile photo, birth date (optional), city/gender/description, social links and other settings, plus 2FA (TOTP) data if enabled.
  • Membership and payments: Membership status and plan, payment-provider identifiers (Stripe), subscription history, and optional short cancel feedback. Card details are processed by Stripe — we do not see or store them.
  • User content: Comments, uploaded photos, likes, saved places, saved trips (title and ordered stops), verified visits, achievements, and leaderboard points.
  • Visit verification: On verification: GPS accuracy, calculated distance, method, time, and a coarse geo cell (geohash). We do not keep a continuous coordinate trail and do not publish exact coordinates on your profile.
  • Technical data: IP address and user-agent for affiliate requests and reports; language; sign-in cookie; with consent — an anonymous visitor ID and page-view counts.
  • Form data: Affiliate requests (name, email, phone, company, website, message) and destination issue reports. You can also reach us by email via the Contact page.
  • Leaving feedback: Optional free text when requesting account deactivation or deletion.
  • Reports and blocks: Reports you send (reason, your name and email, the reported content) and the list of users you have blocked. Blocked users cannot see this list.
  • Mobile app: The app uses your location only while it is open (map and visit verification), the camera when you take a photo, and only the photos you pick in the system photo picker. Sign-in tokens are kept in the phone’s secure storage. The app collects no advertising identifiers and does not track you across other apps or websites.

Social sign-in (Google, Facebook, and Apple)

You may optionally sign in or register with Google, Facebook, or Apple (in the iPhone app) instead of a password. This is voluntary; email and password remain available.

When you choose “Sign in with Google”, Route.bg accesses Google user data via Google OAuth only after you consent on Google’s consent screen.

  • What Google user data we access: Email, name (profile), and profile photo. If you grant additional scopes on Google’s screen: birth date, gender, and city/address. We do not access or receive your Google password, Gmail content, contacts, or Drive files.
  • How we use Google user data: Only to provide and improve Route.bg’s functionality: create or link an account, authenticate / establish a session, and (if provided) prefill profile fields. We do not use Google user data for advertising, sale, credit scoring, or any purpose unrelated to providing or improving the application.
  • How we store Google user data: We store the received fields in your Route.bg account on our servers (service hosting infrastructure), together with other profile data, while the account remains active or until you request deletion.
  • With whom we share Google user data: We do not sell Google user data and do not transfer it to third parties for marketing or advertising. Limited sharing may occur only with infrastructure processors needed to operate the site (for example hosting), under our instructions and appropriate contractual safeguards — not for their own purposes.
  • Facebook (for comparison): For Facebook sign-in: email, name, and profile photo; with permission — birth date, gender, and location/hometown. The same use, storage, and sharing rules apply.
  • Apple: For “Sign in with Apple”: an email address (possibly Apple’s private relay address from “Hide My Email”, which forwards to yours) and your name if you choose to share it on the first sign-in. We never receive your Apple ID password. The same use, storage, and sharing rules apply; you can stop using your Apple ID with Route.bg in your Apple ID settings.
  • Data protection: we apply reasonable technical and organisational measures (including HTTPS, access controls, and protected storage of account data).
  • Retention and deletion: you may request a data copy, deactivation, or permanent deletion of your account (including Google/Facebook-sourced fields) in settings or at routebg.info@gmail.com; you may also revoke Route.bg’s access in your Google Account settings.
  • Changes: if we change how we use Google user data, we will update this policy and its date on this page.

For processing during OAuth itself, see Google’s and Facebook’s privacy policies. The controller of data in Route.bg remains Route.bg (see “Data controller”).

Visit verification

“I've already been here” is optional. When you choose to verify a visit:

  • with location (GPS) — your device may send coordinates only after you grant permission;
  • with a photo — we read GPS from EXIF of a JPEG/HEIC file; without location that method cannot be used;
  • the server checks proximity to the place and stores the result (including a coarse geo cell), without a continuous route;
  • in certain higher-risk photo cases the file may be kept temporarily for review (up to about 30 days or until review is complete).

How we use the data

We process personal data to provide and improve Route.bg, including:

  • creating and managing accounts;
  • displaying profiles, comments, photos, and activity;
  • planning and saving trips between destinations;
  • verifying visits, points, and leaderboards;
  • preventing verification abuse;
  • membership, payments, and plan-based limits;
  • emails for registration, password, data export, deactivation, deletion, and subscription;
  • moderation, security, achievements, and the affiliate program;
  • responding to inquiries.

Cookies and local storage

We use the following technologies:

Name Type Duration Purpose
auth (cookie) Necessary Up to 72 hours Keeps you signed in (HttpOnly JWT)
trusted_device (cookie) Necessary Up to 30 days Remembers this device after 2FA so the code is not required on every sign-in from the same device (HttpOnly)
csrf_token (cookie) Necessary Up to 24 hours CSRF protection for API requests (read by the browser for the X-CSRF-Token header)
routebg_site_prefs (localStorage) Optional Until cleared Stores analytics choice (accept / necessary only)
routebg_visitor_id (localStorage) Optional Until cleared Anonymous ID for page-view counting after consent
routebg_trip_draft (localStorage) Necessary for the feature Until saved, cleared, or deleted Temporarily keeps an unfinished route in the browser (title and stops)

Optional analytics run only after consent via the banner. You can choose “Necessary only” or clear site data in your browser. Sign-in and 2FA may also use temporary sessionStorage (e.g. MFA challenge).

Your GDPR rights

As a data subject you have the following rights where applicable:

Right of access (Art. 15)

Request access to your personal data and information about processing

Right to rectification (Art. 16)

Correct inaccurate or incomplete data

Right to erasure (Art. 17)

“Right to be forgotten” — request deletion where applicable

Right to restriction (Art. 18)

Restrict processing in specific cases

Right to portability (Art. 20)

Receive your data in a machine-readable format (e.g. JSON export)

Right to object (Art. 21)

Object to processing based on legitimate interest

In profile settings (Account tab) you can request a data copy (JSON), deactivation, or permanent deletion — with password (if you have one), 2FA (if enabled), and email confirmation. If the account is already deactivated, contact us for permanent deletion. You can also email routebg.info@gmail.com.

You have the right to lodge a complaint with the Commission for Personal Data Protection (CPDP / КЗЛД) if you believe processing infringes your rights.

Third parties

We do not sell personal data. To operate the platform we use or may share limited data with the following categories of providers:

Service Purpose
Hosting / server infrastructure Running the site
SMTP email delivery Transactional emails
Local file storage Photos and media on the server
Stripe Membership payments and one-time donations (e.g. coffee); card processing
Google / Facebook / Apple Social sign-in (your choice)
Esri / OpenStreetMap Map tiles (IP may be processed when tiles load)
OSRM (routing) Road routing when planning a trip (stop coordinates)
Google Maps Opening external navigation of your choice from a shared route
Open-Meteo Weather data for destinations

Your profile email is not shown to other regular users. Publicly visible may include username, profile photo, description, city/gender/birth date (if set), social links, comments, and activity (including that you visited a place), as well as a membership badge, according to settings and site features. Exact verification coordinates are not published on your profile.

Saved trips in your profile are private. If you share a route via link or QR code, the link includes place IDs in the URL and anyone with it can view the same route in the planner.

Active members may appear in the public Members list on the Support us page (name/username, avatar, and plan).

Data retention

We retain data for the following periods:

Data type Retention period
Account and related data While the account is active or until permanent deletion
Membership / payment data we hold As long as needed for the subscription and legal retention; card details stay with Stripe
Saved trips With the account until you delete them or until permanent deletion
Verified visits (metadata) With the account while they remain in your history
Audit photos Until review or up to about 30 days
Optional analytics / visitor ID Until consent is withdrawn or cleared
Audit records without email May be kept for security after deletion

Deactivation blocks sign-in (the account is marked banned); permanent deletion removes the account and related personal data after email confirmation.

Security

We apply reasonable technical and organizational measures to protect data, including password encryption and access controls. No online service can guarantee absolute security.

Children

Route.bg is not intended for people under 16. During registration and social sign-in we require age confirmation 16+. If you believe we collected a child’s data without parental consent, please contact us.

Changes to this policy

We may update this policy when the service or legislation changes. The current version is always on this page with the last-update date. We recommend reviewing it periodically.

Contact us

For questions about this Privacy Policy or our data practices:

Политика за поверителност

Как Route.bg събира, използва и защитава вашите лични данни

Последна актуализация: 16 октомври 2026 г. (мобилно приложение, вход с Apple, блокиране)

Тази Политика за поверителност обяснява как Route.bg събира, използва и защитава вашите лични данни в съответствие с Общия регламент за защита на данните (GDPR) и българското законодателство за защита на личните данни.

Администратор на лични данни

Администратор на вашите лични данни е:

Информация, която събираме

В зависимост от начина, по който използвате сайта, можем да обработваме следните категории данни:

  • Данни за акаунт: Потребителско име, имейл, парола (криптирана), профилна снимка, рождена дата (по желание), град/пол/описание, социални линкове и други настройки, както и данни за 2FA (TOTP), ако го активирате.
  • Членство и плащания: Статус и план на членството, идентификатори към платежния доставчик (Stripe), история на абонамента и по желание кратка обратна връзка при отказ. Данните на картата се обработват от Stripe — ние не ги виждаме и не ги съхраняваме.
  • Потребителско съдържание: Коментари, качени снимки, лайкове, запазени места, запазени пътувания (заглавие и подредба на спирки), потвърдени посещения, постижения и точки в класацията.
  • Потвърждение на посещение: При потвърждение: точност на GPS, изчислено разстояние, метод, час и груба гео-клетка (geohash). Не съхраняваме непрекъсната следа от координати и не публикуваме точни координати в профила.
  • Технически данни: IP адрес и user-agent при партньорски заявки и сигнали; език; бисквитка за вход; при съгласие — анонимен visitor ID и броене на прегледи.
  • Данни от формуляри: Заявки за партньорство (име, имейл, телефон, компания, сайт, съобщение) и сигнали за проблеми с дестинации. Запитвания можете да изпратите и по имейл през страницата Контакти.
  • Обратна връзка при напускане: По желание — свободен текст при заявка за деактивиране или изтриване на акаунт.
  • Сигнали и блокирания: Сигналите, които изпращате (причина, името и имейлът ви, докладваното съдържание), и списъкът с потребители, които сте блокирали. Блокираните потребители не виждат този списък.
  • Мобилно приложение: Приложението ползва местоположение само докато е отворено (карта и потвърждение на посещение), камерата при снимка и само снимките, които сами изберете от системния избор на снимки. Токените за вход се пазят в защитеното хранилище на телефона. Приложението не събира рекламни идентификатори и не ви проследява в други приложения или сайтове.

Социален вход (Google, Facebook и Apple)

Можете по желание да влезете или да се регистрирате чрез Google, Facebook или Apple (в приложението за iPhone) вместо с парола. Този вход е доброволен; алтернативата е имейл и парола.

Когато изберете „Влез с Google“, Route.bg осъществява достъп до Google user data чрез Google OAuth, само след ваше съгласие на екрана на Google.

  • Какви Google user data достъпваме: Имейл, име (профил) и профилна снимка. Ако разрешите допълнителни scopes в Google екрана: рождена дата, пол и град/адрес. Не достъпваме и не получаваме паролата ви за Google, Gmail съдържание, контакти или файлове в Drive.
  • Как използваме Google user data: Само за предоставяне и подобряване на функционалността на Route.bg: създаване или свързване на акаунт, удостоверяване/вход в сесия и (ако са предоставени) попълване на профилни полета. Не използваме Google user data за реклама, продажби, кредитен скоринг или други цели извън услугата.
  • Как съхраняваме Google user data: Съхраняваме получените полета в акаунта ви на нашите сървъри (хостинг в ЕС/инфраструктурата на услугата), заедно с останалите профилни данни, докато акаунтът е активен или докато не заявите изтриване.
  • С кого споделяме Google user data: Не продаваме Google user data и не ги прехвърляме на трети страни за маркетинг или реклама. Ограничено споделяне може да има само с инфраструктурни доставчици, нужни за работата на сайта (напр. хостинг), под наши указания и с подходящи договорни мерки — не за техни цели.
  • Facebook (за сравнение): При Facebook вход: имейл, име и профилна снимка; при разрешение — рождена дата, пол и местоположение/роден град. Същите правила за употреба, съхранение и споделяне важат и тук.
  • Apple: При „Вход с Apple“ получаваме имейл адрес (може да е скритият адрес от „Hide My Email“, който препраща към вашия) и името ви, ако решите да го споделите при първия вход. Не получаваме паролата за Apple ID. Същите правила за употреба, съхранение и споделяне важат и тук; можете да спрете използването на Apple ID за Route.bg от настройките на Apple ID.
  • Защита: прилагаме разумни технически и организационни мерки (вкл. криптиран транспорт HTTPS, контрол на достъпа и защитено съхранение на акаунтни данни).
  • Съхранение и изтриване: можете да заявите копие, деактивиране или окончателно изтриване на акаунта (и свързаните Google/Facebook полета) от настройките или на routebg.info@gmail.com; можете и да оттеглите достъпа на Route.bg от настройките на Google акаунта си.
  • Промени: ако променим начина, по който използваме Google user data, ще актуализираме тази политика и датата ѝ на тази страница.

За обработката при самия OAuth вижте политиките на Google и Facebook. Администратор на данните в Route.bg остава Route.bg (вижте „Администратор на лични данни“).

Потвърждение на посещения

Функцията „Вече съм бил тук“ е доброволна. Когато изберете да потвърдите посещение:

  • с локация (GPS) — устройството може да изпрати координати само след ваше разрешение;
  • със снимка — четем GPS от EXIF на JPEG/HEIC файл; без локация този метод не работи;
  • сървърът проверява близостта до мястото и записва резултат (вкл. груба гео-клетка), без непрекъснат маршрут;
  • при определени рискови случаи при снимка файлът може временно да се запази за преглед (до около 30 дни или до приключване на прегледа).

За какво използваме данните

Обработваме лични данни, за да предоставяме и подобряваме услугите на Route.bg, включително:

  • създаване и управление на акаунти;
  • показване на профили, коментари, снимки и активност;
  • планиране и запазване на пътувания между дестинации;
  • потвърждаване на посещения, точки и класации;
  • защита от злоупотреби при потвърждения;
  • членство, плащания и лимити според плана;
  • имейли за регистрация, парола, изтегляне на данни, деактивиране, изтриване и абонамент;
  • модерация, сигурност, постижения и партньорска програма;
  • отговаряне на запитвания.

Бисквитки и локално съхранение

Използваме следните технологии:

Име Тип Продължителност Цел
auth (бисквитка) Необходима До 72 часа Поддържа влизането в акаунта (HttpOnly JWT)
trusted_device (бисквитка) Необходима До 30 дни Запомня устройството след 2FA, за да не се иска код при всеки вход от същото устройство (HttpOnly)
csrf_token (бисквитка) Необходима До 24 часа Защита срещу CSRF при заявки към API (чете се от браузъра за заглавката X-CSRF-Token)
routebg_site_prefs (localStorage) Опционална До изчистване Запазва избора за статистика (приемам / само необходими)
routebg_visitor_id (localStorage) Опционална До изчистване Анонимен идентификатор за броене на прегледи след съгласие
routebg_trip_draft (localStorage) Необходима за функцията До запазване, изчистване или изтриване Временно пази незавършен маршрут в браузъра (заглавие и спирки)

Опционалната статистика се активира само след съгласие чрез банера. Можете да изберете „Само необходими“ или да изчистите данните на сайта от браузъра. За вход и 2FA може временно да се ползва и sessionStorage (напр. MFA предизвикателство).

Вашите права по GDPR

Като субект на данни имате следните права, когато са приложими:

Право на достъп (чл. 15)

Да поискате достъп до вашите лични данни и информация за обработката им

Право на коригиране (чл. 16)

Да коригирате неточни или непълни данни

Право на изтриване (чл. 17)

„Право да бъдеш забравен“ — да поискате изтриване, когато е приложимо

Право на ограничаване (чл. 18)

Да ограничите обработката в определени случаи

Право на преносимост (чл. 20)

Да получите данните в машинночетим формат (напр. JSON експорт)

Право на възражение (чл. 21)

Да възразите срещу обработка на база легитимен интерес

В настройките на профила (таб „Акаунт“) можете да заявите изтегляне на копие (JSON), деактивиране или окончателно изтриване — с парола (ако имате такава), 2FA (ако е активна) и потвърждение по имейл. Ако акаунтът вече е деактивиран, за окончателно изтриване се свържете с нас. Можете също да пишете на routebg.info@gmail.com.

Имате право да подадете жалба до Комисията за защита на личните данни (КЗЛД), ако смятате, че обработката нарушава правата ви.

Трети страни

Не продаваме лични данни. За работата на платформата ползваме или можем да споделяме ограничени данни със следните категории доставчици:

Услуга Цел
Хостинг / сървърна инфраструктура Работа на сайта
SMTP имейл доставка Транзакционни имейли
Локално файлово хранилище Снимки и медия на сървъра
Stripe Плащания за членство и еднократни дарения (напр. кафе); обработка на картата при тях
Google / Facebook / Apple Социален вход (по ваш избор)
Esri / OpenStreetMap Картографски плочки (може да се обработва IP при зареждане)
OSRM (routing) Изчисляване на път по маршрута при планиране на пътуване (координати на спирките)
Google Maps Отваряне на външна навигация по ваш избор от споделен маршрут
Open-Meteo Метеорологични данни за дестинации

Имейлът на профила не се показва на други обикновени потребители. Публично видими могат да бъдат потребителско име, профилна снимка, описание, град/пол/рождена дата (ако са попълнени), социални линкове, коментари и активност (вкл. че сте посетили място), както и badge за членство, според настройките и функциите на сайта. Точните координати от потвърждение не се публикуват в профила.

Запазените пътувания в профила ви са частни. Ако споделите маршрут чрез линк или QR код, линкът съдържа идентификатори на местата в URL и всеки с достъп до него може да види същия маршрут в планировчика.

Активните членове могат да се показват в публичния списък „Членове“ на страницата Подкрепи ни (име/потребителско име, аватар и план).

Период на съхранение

Съхраняваме данните за следните периоди:

Тип данни Период на съхранение
Акаунт и свързани данни Докато акаунтът е активен или до окончателно изтриване
Данни за членство / плащания при нас Докато са нужни за абонамента и законови срокове; детайли за картата остават при Stripe
Запазени пътувания Заедно с акаунта, докато не ги изтриете или до окончателно изтриване
Потвърдени посещения (метаданни) Заедно с акаунта, докато са част от историята
Снимки за одит До преглед или до около 30 дни
Опционална статистика / visitor ID До оттегляне на съгласието или изчистване
Одит записи без имейл Могат да се запазят за сигурност след изтриване

Деактивиране блокира входа (акаунтът се маркира като блокиран); окончателното изтриване премахва акаунта и свързаните лични данни след потвърждение по имейл.

Сигурност

Прилагаме разумни технически и организационни мерки за защита на данните, включително криптиране на пароли и контрол на достъпа. Никоя онлайн услуга обаче не може да гарантира абсолютна сигурност.

Деца

Route.bg не е предназначен за лица под 16 години. При регистрация и социален вход изискваме потвърждение за възраст 16+. Ако смятате, че сме събрали данни на дете без съгласие на родител или настойник, свържете се с нас.

Промени в политиката

Можем да актуализираме тази политика при промени в услугата или законодателството. Актуалната версия винаги е на тази страница с дата на последна промяна. Препоръчваме периодично да я преглеждате.

Свържете се с нас

За въпроси относно тази Политика за поверителност или нашите практики за данни: