De TT Festival-app volgt bezoekers in een straal van 60 km — en stuurt data naar de VS
/ Geert de Graaf
Door Geert de Graaf | Juni 2026
🇳🇱 Nederlands hieronder — 🇬🇧 English version below.
🇳🇱 Nederlands
TL;DR
De officiële TT Festival-app vraagt je om locatietoegang "altijd toestaan" onder het mom van veiligheid en hulpdiensten. Uit statische analyse van de gedecompileerde Android-app (v2.0.1) en netwerkcaptures blijkt iets anders: je achtergrondlocatie wordt passief gevolgd in een straal van 60 kilometer rond Assen, en die gegevens worden stilletjes verstuurd naar servers in de Verenigde Staten.
De belangrijkste bevindingen
1. Een belachelijke trackingradius (60 km). De app gebruikt de locatie-SDK Crowd Connected. Er zit geen datumrestrictie in de code: tracking is actief zodra de server dit aanzet, met een verzamelgrens van 60 km rond Assen. Woon, werk of reis je ergens in Noordoost-Nederland (inclusief Groningen of Emmen) met achtergrondlocatie aan, dan komen je coördinaten in aanmerking voor upload.
2. In strijd met het eigen privacybeleid. Het privacystatement belooft dat alle persoonsgegevens binnen de EU blijven en dat locatiedata alleen "gepseudonimiseerd" worden gedeeld. Beide kloppen niet: de SDK streamt GPS-posities, Bluetooth-waarnemingen en stappen naar AWS Kinesis Firehose in us-east-1 (Noord-Virginia, VS), en een sendAlias-functie koppelt je locatiestroom direct aan je ingelogde profiel.
3. "Safety-washing". De app duwt je richting "altijd toestaan" met de belofte dat dit je veiligheid verbetert. In werkelijkheid heeft de echte SOS-/noodknop alleen voorgrondlocatie nodig op het moment dat je erop drukt. De enige functie die de achtergrond-toestemming gebruikt is de passieve 60 km-trackingmodule — die data alleen één kant op stuurt en geen enkele noodfunctie biedt.
Bekijk het bewijs
Het volledige onderzoek, de technische uitwerkingen en de bewijslogboeken staan openbaar op GitHub:
📄 Volledig rapport / blogpost: GraafG.github.io/tt-festival
💻 Broncode & bewijs (GitHub): github.com/GraafG/tt-festival
De repo bevat onder andere een deep-dive op Crowd Connected, een tracker- & SDK-audit, een regel-voor-regel analyse van het privacybeleid, en een lokale tool om je eigen GDPR-data-export te visualiseren.
🇬🇧 English
TL;DR
The official TT Festival app asks you to "always allow" location access under the guise of safety and emergency services. Static analysis of the decompiled Android app (v2.0.1) and network captures tell a different story: your background location is passively tracked within a 60-kilometre radius around Assen, and that data is quietly shipped to servers in the United States.
The key findings
1. A ridiculous tracking radius (60 km). The app embeds the location-intelligence SDK Crowd Connected. There is no date restriction in the code: tracking is active whenever the server enables it, with a collection boundary of 60 km around Assen. If you live, work or commute anywhere in the north-east of the Netherlands (including Groningen or Emmen) with background location enabled, your coordinates are eligible for upload.
2. Violating its own privacy policy. The privacy statement promises all personal data stays inside the EU and that location data is shared only in "pseudonymized" form. Both are false: the SDK streams GPS positions, Bluetooth observations and steps to AWS Kinesis Firehose in us-east-1 (N. Virginia, USA), and a sendAlias function links your location stream directly to your logged-in profile.
3. "Safety-washing". The app nudges you toward "always allow" by claiming it improves your safety. In reality, the genuine SOS / emergency button only needs foreground location at the moment you press it. The only feature that consumes the background permission is the passive 60 km tracking module — which sends data one way and provides no emergency functionality at all.
Explore the evidence
The full investigation, technical breakdowns and evidence logs are public on GitHub:
📄 Full report / blog post: GraafG.github.io/tt-festival
💻 Source code & evidence (GitHub): github.com/GraafG/tt-festival
The repository includes a Crowd Connected deep dive, a tracker & SDK audit, a line-by-line privacy-policy analysis, and a local-only tool to visualise your own GDPR data export.
Dit onderzoek is open source en bedoeld om transparantie af te dwingen. / This research is open source and intended to enforce transparency.
Laatst bijgewerkt / Last updated: Juni 2026