Privatlivspolitik

1. Dataansvarlig

Rubber Wheels Oy (CVR: 3610628-8) er dataansvarlig for personoplysninger indsamlet via appen og hjemmesiden.
Adresse: 00750 Helsinki
Kontakt: privacy@kumipyorat.fi
Vi besvarer alle anmodninger inden for 30 dage (GDPR art. 12, stk. 3).

2. Oplysninger vi indsamler

• Navn og e-mailadresse (registrering)
• Telefonnummer (login i appen)
• Placerings- og rutedata (transportmatching)
• Betalings- og bankoplysninger (Stripe Connect, krypteret)
• Anmeldelser og tillidsscore
• Chaufførers skatteoplysninger: adresse, postnummer, fødselsdato, CPR-nummer, CVR-nummer (DAC7-rapportering)
• Fotos (bestillerens billeder af varer, chaufførens kvitteringsbilleder)
• Chat-beskeder (i appen mellem brugere)
• Cookies og brugslogfiler

3. Formålet med databehandlingen

• Drift af tjenesten og formidling af transporter
• Administration af brugerkonti og autentificering
• Behandling og udbetaling af betalinger
• Udvikling af tjenesten og sikring af sikkerhed
• Opfyldelse af lovmæssige forpligtelser

4. Retsgrundlag for behandling

5. Opbevaringsperioder

6. Opbevaring og beskyttelse af data

Data opbevares inden for EU (Frankfurt, Supabase). Vi bruger krypteringsmetoder efter branchens standarder.

7. Automatisk scoring og algoritmer

Rubber Wheels Oy anvender automatiske scoringsystemer:

• Tillidsscore (0–125): Beregnes ud fra verificerbare datapunkter: e-mailbekræftelse (+10), Stripe-registrering (+20), telefonbekræftelse (+10), forsikring (0/5/15), GPS-sporing (+10), 5 leveringer (+15), 10 leveringer (+10), profil (+10), første anmeldelse (+5).
• Pålideligheds-score (0–20): Fratrækkes ved aflysninger (chauffør: −8/−12/−20, bestiller: −3/−5/−8). Genopbygges med +1 pr. gennemført levering. Sanktioner udløber efter 6 måneder.
• Notifikationsmålretning: Push-notifikationer målrettes efter rute og hjemby.

Automatisk scoring medfører ikke automatisk kontolukning uden menneskelig vurdering. Du har ret til at anmode om menneskelig gennemgang: privacy@kumipyorat.fi

8. Sponsorerede ruteforslag (frivillig)

Du kan separat samtykke til at modtage rutebaserede push-notifikationer fra annoncører. Samtykket er slået fra som standard og gives via en udtrykkelig knap i appen (Profil → Notifikationer → Ruteforslag).

• Retsgrundlag: Samtykke (GDPR Art. 6(1)(a)) kombineret med ePrivacy-direktivets Art. 13 om opt-in for elektronisk markedsføring.
• Hvilke oplysninger anvendes: pickup- og leveringsadresse for din aktive forsendelse (rutematch mod kampagnens geofence) og din hjemkommune på et groft niveau.
• Hvilke oplysninger anvendes IKKE: indhold eller vægt af godset, dit prisbudget, præcis realtidsposition. Vi profilerer ikke baseret på helbred, religion, etnicitet, kønsidentitet eller politisk overbevisning.
• Oplysninger delt med annoncøren: Annoncøren modtager ikke dine personoplysninger. De får aggregeret statistik om visninger og klik — aldrig identificerbare individuelle brugere.
• Frekvensbegrænsning: Højst én annonce-push per 24 timer og højst tre per uge per bruger, uanset antal kampagner.
• Identifikation af annonce: Hver push er tydeligt mærket med ”Annonce · [Annoncørens navn]” i overskriften (DSA Art. 26 + EUs direktiv om urimelig handelspraksis).
• Stille timer: Ruteforslags-pushes respekterer stille timer på samme måde som andre push-notifikationer.

Tilbagekaldelse af samtykke (GDPR Art. 7(3)): Du kan tilbagekalde samtykket når som helst fra appen (Profil → Notifikationer → Ruteforslag). Tilbagekaldelsen er lige så nem som at give samtykke, og du vil ikke modtage flere ruteforslags-pushes. Tidligere afgivet samtykke er gyldigt frem til tilbagekaldelsen.

Annonceregister (DSA Art. 26): Vi fører et offentligt annonceregister over aktive og afsluttede kampagner. Registeret viser annoncøren, annoncens indhold, målgruppekriterier og visningstal — aldrig individuelle brugerdata. Registeret offentliggøres inden den første annoncekampagne starter på kumipyorat.fi/ad-registry.

Opbevaringsperiode: Push-leveringslogs opbevares i 13 måneder per DSA Art. 39, hvorefter de anonymiseres til kampagnevise sammendrag.

9. Dine rettigheder (GDPR)

• Ret til indsigt i dine personoplysninger
• Ret til berigtigelse af ukorrekte oplysninger
• Ret til sletning af oplysninger
• Ret til dataportabilitet
• Ret til begrænsning af behandling
• Ret til at tilbagekalde samtykke når som helst (art. 7, stk. 3)
• Ret til at gøre indsigelse mod behandling baseret på legitim interesse (art. 21)
• Ret til menneskelig vurdering af automatiske afgørelser (art. 22)
• Ret til at indgive klage til tilsynsmyndigheden: Datatilsynet · datatilsynet.dk

Send din anmodning til: privacy@kumipyorat.fi

10. Lovpligtig rapportering (DAC7)

EU’s DAC7-direktiv (2021/514) forpligter digitale platforme til at indsamle og rapportere chaufførers indkomstoplysninger til de nationale skattemyndigheder. Rubber Wheels Oy rapporterer årligt til skattemyndighederne:

• Chaufførens navn, adresse, fødselsdato og CPR-nummer
• CVR-nummer (hvis chaufføren har enkeltmandsvirksomhed)
• Indkomst optjent via platformen i kalenderåret
• Bankkontooplysninger (modtages fra Stripe)

Retsgrundlag: Lovmæssig forpligtelse (GDPR art. 6, stk. 1, litra c, DAC7-implementeringslovgivning).

Opbevaringsperiode: 7 år.

11. Tredjeparter

• Stripe — betalingsbehandling (PCI DSS-certificeret)
• Supabase — database (EU, Frankfurt)
• Google Maps — kort- og rutetjenester
• Expo — push-notifikationer
• Railway — bagvedliggende server (EU-servere)
• Link Mobility — SMS-bekræftelse
• Skattemyndighederne — lovpligtig DAC7-rapportering

Spørgsmål om databeskyttelse?

Mindreårige

Tjenesten er beregnet til brugere på mindst 18 år. Vi behandler ikke bevidst mindreåriges personoplysninger. Hvis vi får kendskab til, at en mindreårig har registreret sig, sletter vi kontoen og tilhørende personoplysninger uden unødig forsinkelse.

Hvis du er værge og har mistanke om, at en mindreårig har registreret sig, kontakt da privacy@kumipyorat.fi.

Håndtering af brud på persondatasikkerheden

Hvis et brud på persondatasikkerheden sandsynligvis vil medføre en høj risiko for dine rettigheder og friheder, underretter vi dig uden unødig forsinkelse, senest 72 timer efter, at vi blev opmærksomme på bruddet. Underretningen sendes til den registrerede e-mailadresse og om nødvendigt via besked i appen (GDPR art. 34).

Vi anmelder brud på persondatasikkerheden til Datatilsynet inden for 72 timer efter, at vi er blevet opmærksomme på dem, jf. GDPR art. 33, medmindre bruddet sandsynligvis ikke vil medføre en risiko for de registrerede.