Privaatsuspoliitika

1. Vastutav töötleja

Rubber Wheels Oy teenuse vastutav töötleja on Rubber Wheels Oy (ettevõtte ID: 3610628-8).
Aadress: 00750 Helsingi, Soome
Kontakt: privacy@kumipyorat.fi
Vastame kõikidele päringutele 30 päeva jooksul (GDPR art 12(3)).

2. Kogutavad andmed

• Nimi ja e-posti aadress (konto registreerimine)
• Telefoninumber (rakendusse sisselogimine)
• Asukoht ja marsruudiandmed (saadetiste sobitamine)
• Makse- ja pangaandmed (Stripe Connect, krüpteeritud)
• Hinnangud ja usaldusskoorid
• Juhi maksuandmed: tänava aadress, sihtnumber, sünnikuupäev, isikukood, ettevõtte ID (DAC7 aruandlus)
• Fotod (saatja eseme fotod, juhi tõendifotod)
• Vestlussõnumid (rakendusesisesed kasutajatevahelised)
• Küpsised ja kasutuslogid

3. Andmete töötlemise eesmärk

• Teenuse pakkumine ja saadetiste vahendamine
• Kasutajakonto haldamine ja autentimine
• Maksete töötlemine ja arveldamine
• Teenuse arendamine ja turvalisuse tagamine
• Juriidiliste kohustuste täitmine

4. Töötlemise õiguslik alus

5. Säilitamisajad

6. Andmete säilitamine ja turvalisus

Andmeid säilitatakse EL-i piires (Frankfurt, Supabase). Kasutame tööstusharu standardseid krüpteerimismeetodeid.

7. Automaatne hindamine ja algoritmid

Rubber Wheels Oy kasutab automaatseid hindamissüsteeme:

• Usaldusskoor (0–125): Arvutatud kontrollitavatest andmepunktidest: e-posti kinnitus (+10), Stripe registreerimine (+20), telefoni kinnitus (+10), kindlustus (0/5/15), GPS jälgimine (+10), 5 saadetist (+15), 10 saadetist (+10), profiil (+10), esimene hinnang (+5).
• Usaldusväärsuse skoor (0–20): Vähendatakse tühistamiste eest (juht: −8/−12/−20, saatja: −3/−5/−8). Taastub +1 lõpetatud saadetise kohta. Karistused aeguvad 6 kuu pärast.
• Teavituste sihtimine: Tõuketeavitused on suunatud marsruudi vastavuse ja kodulinna järgi.

Automaatne hindamine ei vii konto automaatse peatamiseni ilma inimese ülevaatuseta. Sul on õigus nõuda inimese ülevaatust: privacy@kumipyorat.fi

8. Sponsoreeritud marsruudisoovitused (valikuline)

Saad eraldi nõustuda marsruudipõhiste tõuketeavituste saamisega reklaamijatelt. See nõusolek on vaikimisi väljas ja antakse rakenduses selgesõnaliselt lülitiga (Profiil → Teavitused → Marsruudisoovitused).

• Õiguslik alus: Nõusolek (GDPR art 6(1)(a)) koos ePrivaatsuse direktiivi art 13-ga, mis nõuab elektroonilise turunduse jaoks opt-in-i.
• Mida andmeid kasutatakse: aktiivse saadetise pealevõtmise ja toimetamise aadress (marsruudi vastavus kampaania geoaiale) ja kodulinn üldisel tasemel.
• Mida andmeid EI kasutata: lasti sisu või kaal, sinu hinnaeelarve, täpne reaalajas asukoht. Me ei profileeri tervise, religiooni, etnilise päritolu, sooidentiteedi või poliitilise arvamuse alusel.
• Reklaamijale jagatavad andmed: Reklaamija ei saa Sinu isikuandmeid. Nad saavad koondatud kuvamis- ja klikistatistikat — kunagi mitte tuvastatavaid üksikkasutajaid.
• Sageduspiirang: Kõige rohkem üks reklaami push 24 tunni jooksul ja kõige rohkem kolm nädalas kasutaja kohta, sõltumata kampaaniate arvust.
• Reklaami tuvastamine: Iga push on selgelt märgistatud ”Sponsoreeritud · [Reklaamija]” sildiga pealkirjas (DSA art 26 + EL ebaausate kaubandustavade direktiiv).
• Vaikuse tunnid: Marsruudisoovituste pushid austavad vaikuse tunde samamoodi kui muud tõuketeavitused.

Nõusoleku tagasivõtmine (GDPR art 7(3)): Saad nõusoleku igal ajal tagasi võtta rakendusest (Profiil → Teavitused → Marsruudisoovitused). Tagasivõtmine on sama lihtne kui nõusoleku andmine ja Sa ei saa enam marsruudisoovituste pushe. Varem antud nõusolek kehtib kuni tagasivõtmiseni.

Reklaamiregister (DSA art 26): Peame aktiivsete ja lõpetatud kampaaniate avalikku reklaamiregistrit. Register näitab reklaamijat, reklaamisisu, sihtimiskriteeriume ja kuvamiste arvu — kunagi mitte üksikkasutaja andmeid. Register avaldatakse enne esimese reklaamikampaania käivitamist aadressil kumipyorat.fi/ad-registry.

Säilitamine: Pushi tarne logisid säilitatakse 13 kuud vastavalt DSA art 39-le, pärast mida need anonüümitakse kampaania kokkuvõtteks.

9. Sinu õigused (GDPR)

• Õigus juurdepääsule oma isikuandmetele
• Õigus parandada valed andmed
• Õigus nõuda oma andmete kustutamist
• Õigus andmete ülekandmisele
• Õigus piirata töötlemist
• Õigus võtta nõusolek igal ajal tagasi (art 7(3))
• Õigus esitada vastuväiteid õigustatud huvil põhinevale töötlemisele (art 21)
• Õigus automaatsete otsuste inimülevaatusele (art 22)
• Õigus esitada kaebus järelevalveasutusele: Andmekaitse Inspektsioon (Eesti) · aki.ee või Soome Tietosuojavaltuutettu · tietosuoja.fi

Saada oma päring: privacy@kumipyorat.fi

10. Seadusjärgne aruandlus (DAC7)

EL DAC7 direktiiv (2021/514) nõuab digitaalsetelt platvormidelt juhi tulu andmete kogumist ja aruandlust riiklikele maksuhalduritele. Rubber Wheels Oy esitab järgmised andmed Soome maksuhaldurile (Verohallinto) iga-aastaselt:

• Juhi nimi, aadress, sünnikuupäev ja isikukood
• Ettevõtte ID (kui juhil on registreeritud ettevõte)
• Platvormilt teenitud tulu kalendriaasta jooksul
• Pangakonto andmed (saadakse Stripe’ist)

Õiguslik alus: Juriidiline kohustus (GDPR artikkel 6(1)(c), Soome seadus 1267/2022).

Säilitamisaeg: 7 aastat.

11. Kolmandad osapooled

• Stripe — maksete töötlemine (PCI DSS sertifitseeritud)
• Supabase — andmebaas (EL, Frankfurt)
• Google Maps — kaardistamise ja marsruutimise teenused
• Expo — tõuketeavitused
• Railway — taustaserver (EL serverid)
• Link Mobility — SMS kinnitus
• Soome maksuhaldur (Verohallinto) — seadusjärgne DAC7 aruandlus

Küsimused privaatsuse kohta?

Alaealised

Teenus on mõeldud 18-aastastele ja vanematele kasutajatele. Me ei töötle teadlikult alaealiste isikuandmeid. Kui saame teada, et alaealine on registreerunud, kustutame konto ja kõik seotud isikuandmed põhjendamatult viivitamata.

Kui oled hooldaja ja kahtlustad, et alaealine on registreerunud, palun võta ühendust: privacy@kumipyorat.fi.

Isikuandmete rikkumise käsitlemine

Kui isikuandmete rikkumine tõenäoliselt põhjustab Sinu õigustele ja vabadustele suure riski, teavitame Sind põhjendamatult viivitamata ja hiljemalt 72 tunni jooksul rikkumise teadasaamisest. Teavitus saadetakse Sinu registreeritud e-posti aadressile ja vajadusel rakendusesisesese sõnumiga (GDPR art 34).

Esitame isikuandmete rikkumisest aruande Andmekaitse Inspektsioonile 72 tunni jooksul teada saamisest, välja arvatud juhul, kui rikkumine tõenäoliselt ei põhjusta andmesubjektidele riski (GDPR art 33).