Privacybeleid

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de dienst van Rubber Wheels Oy is Rubber Wheels Oy (bedrijfs-ID: 3610628-8).
Adres: 00750 Helsinki
Contact: privacy@kumipyorat.fi
We reageren op alle verzoeken binnen 30 dagen (AVG art. 12(3)).

2. Gegevens die we verzamelen

• Naam en e-mailadres (accountregistratie)
• Telefoonnummer (inloggen in de app)
• Locatie- en routegegevens (bezorgingen koppelen)
• Betaal- en bankgegevens (Stripe Connect, versleuteld)
• Beoordelingen en vertrouwensscores
• Belastinggegevens van chauffeurs: straatadres, postcode, geboortedatum, persoonlijk identiteitsnummer, bedrijfs-ID (DAC7-rapportage)
• Foto’s (foto’s van de verzender van het pakket, bewijsfoto’s van de chauffeur)
• Chatberichten (in de app tussen gebruikers)
• Cookies en gebruikslogboeken

3. Doel van de gegevensverwerking

• De dienst leveren en bezorgingen faciliteren
• Beheer en authenticatie van gebruikersaccounts
• Betalingsverwerking en afwikkeling
• Dienstontwikkeling en het waarborgen van de beveiliging
• Voldoen aan wettelijke verplichtingen

4. Rechtsgrond voor de verwerking

5. Bewaartermijnen

6. Opslag en beveiliging van gegevens

Gegevens worden binnen de EU opgeslagen (Frankfurt, Supabase). We gebruiken versleutelingsmethoden volgens de industriestandaard.

7. Geautomatiseerde scores en algoritmen

Rubber Wheels Oy gebruikt geautomatiseerde scoresystemen:

• Vertrouwensscore (0–125): Berekend uit verifieerbare gegevenspunten: e-mailverificatie (+10), Stripe-registratie (+20), telefoonverificatie (+10), verzekering (0/5/15), gps-tracking (+10), 5 bezorgingen (+15), 10 bezorgingen (+10), profiel (+10), eerste beoordeling (+5).
• Betrouwbaarheidsscore (0–20): Afgetrokken bij annuleringen (chauffeur: −8/−12/−20, verzender: −3/−5/−8). Herstelt +1 per voltooide bezorging. Strafpunten vervallen na 6 maanden.
• Meldingsdoelgroep: Pushmeldingen worden gericht op basis van routematch en woonplaats.

Geautomatiseerde scores leiden niet tot automatische schorsing van het account zonder menselijke beoordeling. Je hebt het recht om een menselijke beoordeling te vragen: privacy@kumipyorat.fi

8. Gesponsorde routesuggesties (optioneel)

Je kunt apart toestemming geven om routegebaseerde pushmeldingen van adverteerders te ontvangen. Deze toestemming staat standaard uit en wordt gegeven via een uitdrukkelijke schakelaar in de app (Profiel → Meldingen → Routesuggesties).

• Rechtsgrond: Toestemming (AVG art. 6(1)(a)) in combinatie met de ePrivacyrichtlijn art. 13, die opt-in vereist voor elektronische marketing.
• Welke gegevens worden gebruikt: het ophaal- en bezorgadres van je actieve zending (routematch tegen de geofence van de campagne) en je woonplaats op grof niveau.
• Welke gegevens NIET worden gebruikt: inhoud of gewicht van de lading, je prijsbudget, precieze realtime locatie. We stellen geen profielen op op basis van gezondheid, religie, etniciteit, genderidentiteit of politieke overtuiging.
• Gegevens die met de adverteerder worden gedeeld: De adverteerder ontvangt geen persoonsgegevens van jou. Hij krijgt geaggregeerde vertonings- en klikstatistieken — nooit identificeerbare individuele gebruikers.
• Frequentielimiet: Maximaal één advertentiepush per 24 uur en maximaal drie per week per gebruiker, ongeacht het aantal campagnes.
• Advertentieaanduiding: Elke push is in de titel duidelijk gemarkeerd met het label ”Gesponsord · [Adverteerder]” (DSA art. 26 + EU-richtlijn oneerlijke handelspraktijken).
• Stille uren: Pushes met routesuggesties respecteren stille uren op dezelfde manier als andere pushmeldingen.

Intrekken van toestemming (AVG art. 7(3)): Je kunt je toestemming op elk moment intrekken in de app (Profiel → Meldingen → Routesuggesties). Intrekken is net zo eenvoudig als toestemming geven, en je ontvangt daarna geen routesuggestie-pushes meer. Eerder gegeven toestemming blijft geldig tot het moment van intrekking.

Advertentieregister (DSA art. 26): We houden een openbaar advertentieregister bij van actieve en afgeronde campagnes. Het register toont de adverteerder, de advertentie-inhoud, de targetingcriteria en het aantal vertoningen — nooit individuele gebruikersgegevens. Het register wordt vóór de start van de eerste advertentiecampagne gepubliceerd op kumipyorat.fi/ad-registry.

Bewaring: Pushbezorglogboeken worden 13 maanden bewaard conform DSA art. 39, waarna ze worden geanonimiseerd tot samenvattingen per campagne.

9. Jouw rechten (AVG)

• Recht op inzage in je persoonsgegevens
• Recht op rectificatie van onjuiste gegevens
• Recht om verwijdering van je gegevens te vragen
• Recht op gegevensoverdraagbaarheid
• Recht op beperking van de verwerking
• Recht om toestemming op elk moment in te trekken (art. 7(3))
• Recht van bezwaar tegen verwerking op basis van gerechtvaardigd belang (art. 21)
• Recht op menselijke beoordeling van geautomatiseerde besluiten (art. 22)
• Recht om een klacht in te dienen bij de toezichthoudende autoriteit: Autoriteit Persoonsgegevens · autoriteitpersoonsgegevens.nl

Stuur je verzoek naar: privacy@kumipyorat.fi

10. Wettelijke rapportage (DAC7)

De EU-DAC7-richtlijn (2021/514) verplicht digitale platforms om inkomensgegevens van chauffeurs te verzamelen en te rapporteren aan de nationale belastingautoriteiten. Rubber Wheels Oy rapporteert het volgende jaarlijks aan de Finse belastingdienst (Verohallinto):

• Naam, adres, geboortedatum en persoonlijk identiteitsnummer van de chauffeur
• Bedrijfs-ID (als de chauffeur een geregistreerde onderneming heeft)
• Inkomsten die op het platform zijn verdiend tijdens het kalenderjaar
• Bankrekeninggegevens (verkregen via Stripe)

Rechtsgrond: Wettelijke verplichting (AVG artikel 6(1)(c), Finse wet 1267/2022).

Bewaartermijn: 7 jaar.

11. Derde partijen

• Stripe — betalingsverwerking (PCI DSS-gecertificeerd)
• Supabase — database (EU, Frankfurt)
• Google Maps — kaart- en routediensten
• Expo — pushmeldingen
• Railway — backendserver (EU-servers)
• Link Mobility — sms-verificatie
• Finse belastingdienst (Verohallinto) — wettelijke DAC7-rapportage

Vragen over privacy?

Minderjarigen

De dienst is bedoeld voor gebruikers van 18 jaar of ouder. We verwerken niet bewust persoonsgegevens van minderjarigen. Als we ontdekken dat een minderjarige zich heeft geregistreerd, verwijderen we het account en alle bijbehorende persoonsgegevens zonder onnodige vertraging.

Ben je voogd en vermoed je dat een minderjarige zich heeft geregistreerd, neem dan contact op via privacy@kumipyorat.fi.

Afhandeling van datalekken

Als een datalek waarschijnlijk een hoog risico inhoudt voor je rechten en vrijheden, stellen we je zonder onnodige vertraging en uiterlijk binnen 72 uur na kennisname van het lek op de hoogte. De melding wordt verstuurd naar je geregistreerde e-mailadres en, indien nodig, via een bericht in de app (AVG art. 34).

We melden datalekken binnen 72 uur na kennisname aan de bevoegde toezichthoudende autoriteit, tenzij het onwaarschijnlijk is dat het lek een risico inhoudt voor de betrokkenen (AVG art. 33).