Polityka prywatności

1. Administrator danych

Administratorem danych w ramach usługi Rubber Wheels Oy jest Rubber Wheels Oy (numer rejestrowy: 3610628-8).
Adres: 00750 Helsinki
Kontakt: privacy@kumipyorat.fi
Na wszystkie zapytania odpowiadamy w ciągu 30 dni (art. 12 ust. 3 RODO (GDPR)).

2. Dane, które zbieramy

• Imię, nazwisko i adres e-mail (rejestracja konta)
• Numer telefonu (logowanie w aplikacji)
• Dane o lokalizacji i trasie (dopasowywanie dostaw)
• Dane płatnicze i bankowe (Stripe Connect, zaszyfrowane)
• Oceny i wskaźniki zaufania
• Dane podatkowe kierowców: adres, kod pocztowy, data urodzenia, numer PESEL, numer rejestrowy działalności (raportowanie DAC7)
• Zdjęcia (zdjęcia przesyłki od nadawcy, zdjęcia potwierdzające od kierowcy)
• Wiadomości na czacie (w aplikacji między użytkownikami)
• Pliki cookie i logi użytkowania
• Dziennik logowań: adres IP, identyfikator oprogramowania urządzenia oraz czas każdego logowania i rejestracji w aplikacji. Służy do wykrywania nadużyć i zautomatyzowanych rejestracji (prawnie uzasadniony interes, art. 6 ust. 1 lit. f).
• Źródło instalacji, kod promocyjny i platforma: identyfikator kampanii z linku instalacyjnego aplikacji (Google Play), kod promocyjny podany przy rejestracji oraz informacja, czy używasz aplikacji na urządzeniu z iOS czy Androidem

3. Cel przetwarzania danych

• Świadczenie usługi i pośrednictwo w dostawach
• Zarządzanie kontami użytkowników i ich uwierzytelnianie
• Obsługa płatności i wypłat
• Rozwój usługi i zapewnienie bezpieczeństwa
• Wypełnianie obowiązków prawnych

Opinie i historie klientów

Po dostawie możesz wystawić ocenę w gwiazdkach i napisać dowolną opinię. Zbieramy gwiazdki, treść opinii, Twoją rolę (zleceniodawca lub kierowca), Twoje imię oraz numer referencyjny dostawy. Opinie wykorzystujemy do ulepszania usługi (prawnie uzasadniony interes, art. 6 ust. 1 lit. f).

Opinię publikujemy na naszej stronie wyłącznie za Twoją odrębną zgodą (art. 6 ust. 1 lit. a) i dopiero po jej sprawdzeniu. W publikacji widoczne są Twoje imię, rola i treść. Nieopublikowane opinie przechowujemy przez 12 miesięcy. Opublikowane opinie przechowujemy do czasu wycofania zgody.

Za Twoją zgodą przy opublikowanej opinii pokazujemy także trasę dostawy na poziomie miast i przewożony przedmiot, nigdy adresów ulic, daty ani ceny. Opublikowaną opinię tłumaczymy automatycznie (DeepL) na pozostałe języki naszej strony, a tłumaczenie jest oznaczone jako maszynowe wraz z językiem oryginału.

Zgodę możesz wycofać w dowolnym momencie, pisząc na hei@kumipyorat.fi, a publikację usuwamy w ciągu 30 dni. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

Dane dotyczące ofert

Przechowujemy ceny ofert i ich zmiany, wyniki sprawdzeń, opisy tras podawane przez kierowców oraz prośby o ponowną ocenę. Cel: egzekwowanie zakresu usługi (regulamin, punkt 11), uzasadnianie i ponowna ocena decyzji oraz wykrywanie nadużyć. Podstawa prawna: wykonanie umowy i prawnie uzasadniony interes. Okres przechowywania: 24 miesiące od zdarzenia.

Podpowiedź trasy dla nadawcy

Kierowca może dla każdej trasy wybrać, aby trasa była pokazywana jako podpowiedź nadawcy, który tworzy zlecenie dostawy w tym samym kierunku. Podpowiedź pokazuje tylko miasto początkowe i docelowe trasy oraz jeden dzień przejazdu. Imię kierowcy, zdjęcie, godzina, adresy ani dni tygodnia trasy powtarzalnej nie są pokazywane, a podpowiedź nie jest widoczna dla niezalogowanych użytkowników. Wybór jest domyślnie wyłączony, a kierowca może go zmienić w dowolnym momencie w danych trasy. Podstawa prawna: zgoda. Przechowywanie: wybór jest zapisywany razem z trasą i usuwany wraz z nią.

Źródło instalacji i kod promocyjny

Gdy instalujesz aplikację z Google Play przez link lub kod QR, Google Play przekazuje aplikacji identyfikator kampanii z linku instalacyjnego, na przykład nazwę strony internetowej lub kampanii. W Twoim profilu zapisujemy tylko ten identyfikator, a nie cały link, dane urządzenia ani znacznik czasu. Jeśli przy rejestracji podasz kod promocyjny, zapisujemy go w tym samym polu. Zapisujemy też, czy używasz aplikacji na urządzeniu z iOS czy Androidem. Używamy tych danych, aby wiedzieć, które kanały przyciągają użytkowników, i nie przekazujemy ich podmiotom trzecim. Na urządzeniach z iOS źródło instalacji nie jest dostępne. Podstawa: uzasadniony interes (art. 6 ust. 1 lit. f). Przechowywanie: dane są częścią Twojego profilu i są usuwane natychmiast przy usunięciu konta (zob. punkt 9, Usunięcie konta).

4. Podstawa prawna przetwarzania

5. Okresy przechowywania

6. Przechowywanie i bezpieczeństwo danych

Dane są przechowywane na terenie UE (Frankfurt, Supabase). Stosujemy metody szyfrowania zgodne ze standardami branżowymi.

7. Automatyczne wskaźniki i algorytmy

Rubber Wheels Oy korzysta z automatycznych systemów wskaźników:

• Wskaźnik niezawodności (0–20): Obniżany przy anulowaniach (kierowca: −8/−12/−20, nadawca: −3/−5/−8). Rośnie o +1 za każdą zrealizowaną dostawę. Punkty karne wygasają po 6 miesiącach. Jeśli wskaźnik jest niższy niż 15, druga strona zobaczy o tym adnotację.
• Grupa docelowa powiadomień: Powiadomienia push są kierowane na podstawie dopasowania trasy i miejsca zamieszkania.

Automatyczne wskaźniki nie prowadzą do automatycznej blokady konta bez weryfikacji przez człowieka. Masz prawo zażądać weryfikacji przez człowieka: privacy@kumipyorat.fi

8. Sponsorowane propozycje tras (opcjonalnie)

Możesz osobno wyrazić zgodę na otrzymywanie powiadomień push opartych na trasie od reklamodawców. Zgoda ta jest domyślnie wyłączona i udzielana za pomocą wyraźnego przełącznika w aplikacji (Profil → Powiadomienia → Propozycje tras).

• Podstawa prawna: Zgoda (art. 6 ust. 1 lit. a) RODO) w połączeniu z art. 13 dyrektywy o prywatności i łączności elektronicznej (ePrivacy), który wymaga wyrażenia zgody (opt-in) na marketing elektroniczny.
• Jakie dane są wykorzystywane: adres odbioru i dostarczenia Twojej aktywnej przesyłki (dopasowanie trasy do geofence kampanii) oraz Twoje miejsce zamieszkania na poziomie ogólnym.
• Jakie dane NIE są wykorzystywane: zawartość lub waga ładunku, Twój budżet cenowy, Twoja dokładna lokalizacja w czasie rzeczywistym. Nie tworzymy profili na podstawie zdrowia, religii, pochodzenia etnicznego, tożsamości płciowej ani przekonań politycznych.
• Dane udostępniane reklamodawcy: Reklamodawca nie otrzymuje żadnych Twoich danych osobowych. Otrzymuje zagregowane statystyki wyświetleń i kliknięć — nigdy danych identyfikujących poszczególnych użytkowników.
• Ograniczenie częstotliwości: Maksymalnie jeden reklamowy push na 24 godziny i maksymalnie trzy na tydzień na użytkownika, niezależnie od liczby kampanii.
• Oznaczenie reklamy: Każdy push jest w tytule wyraźnie oznaczony etykietą „Sponsorowane · [Reklamodawca]” (art. 26 DSA + dyrektywa UE o nieuczciwych praktykach handlowych).
• Cisza nocna: Pushe z propozycjami tras respektują ciszę nocną tak samo jak inne powiadomienia push.

Wycofanie zgody (art. 7 ust. 3 RODO): Możesz w każdej chwili wycofać swoją zgodę w aplikacji (Profil → Powiadomienia → Propozycje tras). Wycofanie zgody jest tak samo proste jak jej udzielenie, a po nim nie będziesz już otrzymywać pushy z propozycjami tras. Wcześniej udzielona zgoda pozostaje ważna do momentu jej wycofania.

Rejestr reklam (dobrowolny): Prowadzimy publiczny rejestr reklam dotyczący aktywnych i zakończonych kampanii. Rejestr pokazuje reklamodawcę, treść reklamy, kryteria targetowania oraz liczbę wyświetleń — nigdy danych poszczególnych użytkowników. Rejestr zostanie opublikowany przed startem pierwszej kampanii reklamowej pod adresem kumipyorat.fi/ad-registry.

Przechowywanie: Logi dostarczenia pushy są przechowywane przez 13 miesięcy, a następnie anonimizowane do podsumowań w ramach poszczególnych kampanii.

9. Twoje prawa (RODO)

• Prawo dostępu do swoich danych osobowych
• Prawo do sprostowania nieprawidłowych danych
• Prawo do żądania usunięcia swoich danych
• Prawo do przenoszenia danych
• Prawo do ograniczenia przetwarzania
• Prawo do wycofania zgody w dowolnym momencie (art. 7 ust. 3)
• Prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21)
• Prawo do weryfikacji przez człowieka decyzji podejmowanych automatycznie (art. 22)
• Prawo do wniesienia skargi do organu nadzorczego: właściwym organem nadzorczym jest Urząd Ochrony Danych Osobowych (UODO), na podstawie art. 77 RODO · uodo.gov.pl

Usunięcie konta

Możesz usunąć konto w aplikacji (Profil → Twoje dane i prywatność → Usuń konto). Usunięcie nie jest możliwe, jeśli masz trwający przewóz, dostawę, ofertę lub nierozliczoną płatność; najpierw je zakończ lub anuluj.

Usuwane natychmiast: imię i nazwisko, adres e-mail, numer telefonu, miasto zamieszkania i współrzędne, adres, data urodzenia oraz numer identyfikacyjny lub podatkowy w profilu, pojazdy ze zdjęciami, trasy, ustawienia powiadomień, tokeny push, dziennik logowań, źródło instalacji, kod promocyjny, platforma i zgody marketingowe. Logowanie na konto zostaje trwale zablokowane, a identyfikatory logowania (e-mail, Apple ID lub Google ID) nie są dłużej przechowywane. Z Twoich zleceń przewozu natychmiast usuwane są dane kontaktowe: imiona i nazwiska, numery telefonów i instrukcje przekazania.

Wyjątek dla kierowców: jeśli jako kierowca otrzymywałeś wypłaty, dane zebrane do celów podatkowych (imię i nazwisko, adres, data urodzenia, numer identyfikacyjny lub podatkowy oraz dokonane wypłaty) są przechowywane w osobnym rekordzie podatkowym przez okres wskazany poniżej, mimo że z profilu są usuwane natychmiast. Jeśli nie otrzymywałeś wypłat, rekord podatkowy również jest usuwany natychmiast.

Dane przechowywane przez określony czas: Historia przewozów i związane z nią dane są przechowywane bez Twojego imienia i nazwiska oraz danych kontaktowych, ponieważ stanowią podstawę płatności i rachunków, a druga strona może ich potrzebować w razie sporu.

• Wiadomości, komentarze do ocen, skargi, zgłoszenia, wiadomości przy ofertach, adresy odbioru i dostawy oraz zdjęcia towaru i potwierdzenia dostawy: 3 lata od usunięcia konta lub zakończenia przewozu, zależnie od tego, co nastąpi później. Podstawa: ustalenie i obrona roszczeń prawnych (art. 17 ust. 3 lit. e) oraz ogólny trzyletni termin przedawnienia według fińskiej ustawy o przedawnieniu (728/2003, § 4).
• Płatności, wypłaty, dane rachunków, opłaty za anulowanie i dane podstawowe zleceń przewozu (miasta, ceny, terminy): 6 lat od końca roku kalendarzowego, w którym zakończył się rok obrotowy obejmujący płatność. Rokiem obrotowym spółki jest rok kalendarzowy, więc okres liczy się od końca roku płatności. Podstawa: obowiązek prawny (art. 6 ust. 1 lit. c i art. 17 ust. 3 lit. b), fińska ustawa o rachunkowości rozdz. 2 § 10 (dowody księgowe) i ustawa o VAT § 209 n (faktury).
• Rekord podatkowy kierowcy (zob. wyjątek powyżej): 6 lat od końca objętego raportowaniem roku kalendarzowego, w którym dokonano wypłat. Podstawa: obowiązek prawny (art. 6 ust. 1 lit. c i art. 17 ust. 3 lit. b), fińska ustawa o obowiązku raportowania operatorów platform cyfrowych w dziedzinie podatków (1267/2022, DAC7) oraz wytyczne fińskiej administracji podatkowej dotyczące obowiązku raportowania raportujących operatorów platform.

Po upływie terminów dane są usuwane automatycznie bez osobnego wniosku, a na końcu usuwany jest anonimowy wiersz profilu. W naszej ewidencji pozostaje wpis o usunięciu bez danych osobowych (identyfikator konta w postaci skrótu, czas i etapy usuwania).

Co widzi druga strona: Druga strona widzi zamiast Twojego imienia i nazwiska „Usunięty użytkownik”, a Twoje dane kontaktowe nie są wyświetlane. Wystawione przez Ciebie oceny gwiazdkowe pozostają w średniej drugiej strony. Wątek wiadomości pozostaje widoczny dla drugiej strony do końca okresu przechowywania, ale nie można już wysyłać do Ciebie wiadomości.

Wyślij swoje zapytanie na adres: privacy@kumipyorat.fi

10. Obowiązek raportowania (DAC7)

Unijna dyrektywa DAC7 (2021/514) zobowiązuje platformy cyfrowe do zbierania danych o dochodach kierowców i przekazywania ich krajowym organom podatkowym. Rubber Wheels Oy co roku zgłasza fińskiej administracji podatkowej (Verohallinto) następujące informacje:

• Imię, nazwisko, adres, data urodzenia i numer PESEL kierowcy
• Numer rejestrowy działalności (jeśli kierowca prowadzi zarejestrowaną działalność)
• Dochody uzyskane na platformie w roku kalendarzowym
• Dane rachunku bankowego (uzyskane za pośrednictwem Stripe)

Podstawa prawna: Obowiązek prawny (art. 6 ust. 1 lit. c) RODO, fińska ustawa 1267/2022).

Okres przechowywania: 6 lat od końca objętego raportowaniem roku kalendarzowego (ustawa 1267/2022).

11. Podmioty trzecie

• Stripe — obsługa płatności (certyfikat PCI-DSS)
• Supabase — baza danych (UE, Frankfurt)
• Google Maps — usługi map i wyznaczania tras
• Expo — powiadomienia push
• Railway — serwer backendowy (Amsterdam, EU West)
• Link Mobility — weryfikacja SMS
• Resend (Resend, Inc.) — wysyłka e-maili: kody potwierdzające konto, kody resetowania hasła i wiadomości serwisowe (nadawca hei@kumipyorat.fi)
• Fińska administracja podatkowa (Verohallinto) — ustawowe raportowanie DAC7

Adres e-mail jest potwierdzany przy rejestracji sześciocyfrowym kodem jednorazowym. Kod jest wysyłany na twój e-mail, obowiązuje przez ograniczony czas i może być użyty tylko raz. Ta sama metoda dotyczy resetowania hasła.

12. Międzynarodowe przekazywanie danych

Co do zasady Twoje dane są przetwarzane na terenie UE/EOG; baza danych znajduje się we Frankfurcie (Supabase, eu-central-1) a backend w Amsterdamie (Railway, EU West). Część naszych dostawców ma siedzibę w Stanach Zjednoczonych. Stripe, Google i Expo stosują standardowe klauzule umowne UE (SCC). Nasz dostawca poczty Resend, Inc. przechowuje treść wiadomości i dzienniki dostarczeń w Stanach Zjednoczonych; unijny region wysyłki określa jedynie, skąd poczta jest wysyłana, a nie gdzie jest przechowywana. Przekazywanie danych do Resend jest objęte standardowymi klauzulami umownymi w umowie powierzenia. Dokumentację można uzyskać pod adresem privacy@kumipyorat.fi.

Masz pytania dotyczące ochrony danych?

Osoby niepełnoletnie

Usługa jest przeznaczona dla użytkowników w wieku co najmniej 18 lat. Nie przetwarzamy świadomie danych osobowych osób niepełnoletnich. Jeśli stwierdzimy, że zarejestrowała się osoba niepełnoletnia, usuniemy konto oraz wszystkie powiązane z nim dane osobowe bez zbędnej zwłoki.

Jeśli jesteś opiekunem prawnym i podejrzewasz, że zarejestrowała się osoba niepełnoletnia, skontaktuj się z nami pod adresem privacy@kumipyorat.fi.

Postępowanie w przypadku naruszenia ochrony danych

Jeśli naruszenie ochrony danych może powodować wysokie ryzyko dla Twoich praw i wolności, poinformujemy Cię o tym bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia. Powiadomienie zostanie wysłane na Twój zarejestrowany adres e-mail, a w razie potrzeby również poprzez wiadomość w aplikacji (art. 34 RODO).

Naruszenia ochrony danych zgłaszamy właściwemu organowi nadzorczemu w ciągu 72 godzin od ich stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko dla osób, których dane dotyczą (art. 33 RODO).