Personvernerklæring

1. Behandlingsansvarlig

Behandlingsansvarlig for Rubber Wheels Oy-tjenesten er Rubber Wheels Oy (org.nr.: 3610628-8).
Adresse: 00750 Helsinki
Kontakt: privacy@kumipyorat.fi
Vi besvarer alle forespørsler innen 30 dager (GDPR art. 12 nr. 3).

2. Opplysninger vi samler inn

• Navn og e-postadresse (registrering)
• Telefonnummer (innlogging i appen)
• Posisjons- og ruteopplysninger (transportmatching)
• Betalings- og bankopplysninger (Stripe Connect, kryptert)
• Vurderinger og tillitspoeng
• Sjåførs skatteopplysninger: gateadresse, postnummer, fødselsdato, fødselsnummer, organisasjonsnummer (DAC7-rapportering)
• Bilder (bestillerens bilder av varer, sjåførens kvitteringsbilder)
• Chat-meldinger (i appen mellom brukere)
• Informasjonskapsler og brukslogger

3. Formål med behandling av opplysninger

• Levering av tjenesten og formidling av transporter
• Administrasjon av brukerkonto og autentisering
• Behandling og utbetaling av betalinger
• Utvikling av tjenesten og sikring av sikkerhet
• Oppfyllelse av lovpålagte forpliktelser

4. Rettslig grunnlag for behandling

5. Lagringstider

6. Lagring og beskyttelse av opplysninger

Opplysningene lagres innenfor EU (Frankfurt, Supabase). Vi bruker krypteringsmetoder i henhold til bransjestandarder.

7. Automatisk scoring og algoritmer

Rubber Wheels Oy bruker automatiske scoringssystemer:

• Tillitspoeng (0–125): Beregnes fra verifiserbare datapunkter: e-postbekreftelse (+10), Stripe-registrering (+20), telefonbekreftelse (+10), forsikring (0/5/15), GPS-sporing (+10), 5 leveringer (+15), 10 leveringer (+10), profil (+10), første vurdering (+5).
• Pålitelighetsscore (0–20): Trekkes fra ved kanselleringer (sjåfør: −8/−12/−20, bestiller: −3/−5/−8). Gjenopprettes med +1 per gjennomført levering. Sanksjoner utløper etter 6 måneder.
• Varselmmålretting: Push-varsler målrettes etter rute og hjemby.

Automatisk scoring medfører ikke automatisk kontostenging uten menneskelig vurdering. Du har rett til å be om menneskelig gjennomgang: privacy@kumipyorat.fi

8. Sponsede ruteforslag (frivillig)

Du kan separat samtykke til å motta rutebaserte push-varslinger fra annonsører. Samtykket er av som standard og gis via en uttrykkelig bryter i appen (Profil → Varslinger → Ruteforslag).

• Rettslig grunnlag: Samtykke (GDPR Art. 6(1)(a)) kombinert med ePrivacy-direktivets Art. 13 om opt-in for elektronisk markedsføring.
• Hvilke opplysninger brukes: pickup- og leveringsadresse for din aktive forsendelse (rutematch mot kampanjens geofence) og din hjemkommune på grov nivå.
• Hvilke opplysninger brukes IKKE: innhold eller vekt av godset, din prisbudsjett, nøyaktig sanntidsposisjon. Vi profilerer ikke basert på helse, religion, etnisitet, kjønnsidentitet eller politisk oppfatning.
• Opplysninger delt med annonsør: Annonsøren mottar ikke dine personopplysninger. De får aggregert statistikk over visninger og klikk — aldri identifiserbare individuelle brukere.
• Frekvensbegrensning: Maks én annonse-push per 24 timer og maks tre per uke per bruker, uavhengig av antall kampanjer.
• Identifisering av annonse: Hver push er tydelig merket med ”Annonse · [Annonsørens navn]” i tittelen (DSA Art. 26 + EUs direktiv om urimelig handelspraksis).
• Stille timer: Ruteforslags-pusher respekterer stille timer på samme måte som andre push-varslinger.

Tilbaketrekking av samtykke (GDPR Art. 7(3)): Du kan trekke tilbake samtykket når som helst fra appen (Profil → Varslinger → Ruteforslag). Tilbaketrekkingen er like enkel som å gi samtykke, og du vil ikke motta flere ruteforslags-pusher. Tidligere gitt samtykke er gyldig frem til tilbaketrekkingen.

Annonseregister (DSA Art. 26): Vi fører et offentlig annonseregister over aktive og avsluttede kampanjer. Registeret viser annonsøren, annonsens innhold, målgruppekriterier og visningsantall — aldri individuelle brukerdata. Registeret publiseres før den første annonsekampanjen starter på kumipyorat.fi/ad-registry.

Lagringstid: Push-leveringslogger oppbevares i 13 måneder per DSA Art. 39, hvoretter de anonymiseres til kampanjevise sammendrag.

9. Brukerens rettigheter (GDPR)

• Rett til innsyn i egne opplysninger
• Rett til retting av feilaktige opplysninger
• Rett til å be om sletting av opplysninger
• Rett til å overføre opplysninger til en annen tjeneste (dataportabilitet)
• Rett til å begrense behandlingen av opplysninger
• Rett til å trekke tilbake samtykke når som helst (art. 7 nr. 3)
• Rett til å protestere mot behandling basert på berettiget interesse (art. 21)
• Rett til menneskelig vurdering av automatiserte avgjørelser (art. 22)
• Rett til å klage til tilsynsmyndigheten: Datatilsynet · datatilsynet.no

Send forespørsel: privacy@kumipyorat.fi

10. Lovpålagt rapportering (DAC7)

EUs DAC7-direktiv (2021/514) pålegger digitale plattformer å samle inn og rapportere sjåførs inntektsopplysninger til nasjonale skattemyndigheter. Rubber Wheels Oy rapporterer årlig til Skatteetaten:

• Sjåførens navn, adresse, fødselsdato og fødselsnummer
• Organisasjonsnummer (dersom sjåføren har enkeltpersonforetak)
• Inntekter opptjent på plattformen i løpet av kalenderåret
• Bankkontoinformasjon (innhentet fra Stripe)

Rettslig grunnlag: Lovpålagt forpliktelse (GDPR art. 6(1)(c), norsk implementering av DAC7-direktivet).

Oppbevaringstid: 7 år.

11. Tredjeparter

• Stripe — betalingsbehandling (PCI DSS-sertifisert)
• Supabase — database (EU, Frankfurt)
• Google Maps — kart- og rutetjenester
• Expo — push-varsler
• Railway — bakgrunnstjener (EU-servere)
• Link Mobility — SMS-bekreftelse
• Skatteetaten — lovpålagt DAC7-rapportering

Spørsmål om personvern?

Mindreårige

Tjenesten er beregnet på brukere som er minst 18 år. Vi behandler ikke bevisst personopplysninger om mindreårige. Hvis vi får kjennskap til at en mindreårig har registrert seg, sletter vi kontoen og tilhørende personopplysninger uten ugrunnet opphold.

Hvis du er foresatt og mistenker at en mindreårig har registrert seg, kontakt privacy@kumipyorat.fi.

Håndtering av personvernbrudd

Hvis et personvernbrudd sannsynligvis vil medføre høy risiko for dine rettigheter og friheter, varsler vi deg uten ugrunnet opphold, senest innen 72 timer etter at vi fikk kjennskap til bruddet. Varselet sendes til den registrerte e-postadressen og om nødvendig via melding i appen (GDPR art. 34).

Vi melder personvernbrudd til Datatilsynet/Dataombudsmannen innen 72 timer etter at vi har fått kjennskap til dem etter GDPR art. 33, med mindre bruddet sannsynligvis ikke medfører risiko for de registrerte.