Polityka prywatności

1. Administrator danych

Administratorem danych w ramach usługi Rubber Wheels Oy jest Rubber Wheels Oy (numer rejestrowy: 3610628-8).
Adres: 00750 Helsinki
Kontakt: privacy@kumipyorat.fi
Na wszystkie zapytania odpowiadamy w ciągu 30 dni (art. 12 ust. 3 RODO (GDPR)).

2. Dane, które zbieramy

• Imię, nazwisko i adres e-mail (rejestracja konta)
• Numer telefonu (logowanie w aplikacji)
• Dane o lokalizacji i trasie (dopasowywanie dostaw)
• Dane płatnicze i bankowe (Stripe Connect, zaszyfrowane)
• Oceny i wskaźniki zaufania
• Dane podatkowe kierowców: adres, kod pocztowy, data urodzenia, numer PESEL, numer rejestrowy działalności (raportowanie DAC7)
• Zdjęcia (zdjęcia przesyłki od nadawcy, zdjęcia potwierdzające od kierowcy)
• Wiadomości na czacie (w aplikacji między użytkownikami)
• Pliki cookie i logi użytkowania

3. Cel przetwarzania danych

• Świadczenie usługi i pośrednictwo w dostawach
• Zarządzanie kontami użytkowników i ich uwierzytelnianie
• Obsługa płatności i wypłat
• Rozwój usługi i zapewnienie bezpieczeństwa
• Wypełnianie obowiązków prawnych

4. Podstawa prawna przetwarzania

5. Okresy przechowywania

6. Przechowywanie i bezpieczeństwo danych

Dane są przechowywane na terenie UE (Frankfurt, Supabase). Stosujemy metody szyfrowania zgodne ze standardami branżowymi.

7. Automatyczne wskaźniki i algorytmy

Rubber Wheels Oy korzysta z automatycznych systemów wskaźników:

• Wskaźnik zaufania (0–125): Obliczany na podstawie weryfikowalnych punktów danych: weryfikacja e-maila (+10), rejestracja w Stripe (+20), weryfikacja telefonu (+10), ubezpieczenie (0/5/15), śledzenie GPS (+10), 5 dostaw (+15), 10 dostaw (+10), profil (+10), pierwsza ocena (+5).
• Wskaźnik niezawodności (0–20): Obniżany przy anulowaniach (kierowca: −8/−12/−20, nadawca: −3/−5/−8). Rośnie o +1 za każdą zrealizowaną dostawę. Punkty karne wygasają po 6 miesiącach.
• Grupa docelowa powiadomień: Powiadomienia push są kierowane na podstawie dopasowania trasy i miejsca zamieszkania.

Automatyczne wskaźniki nie prowadzą do automatycznej blokady konta bez weryfikacji przez człowieka. Masz prawo zażądać weryfikacji przez człowieka: privacy@kumipyorat.fi

8. Sponsorowane propozycje tras (opcjonalnie)

Możesz osobno wyrazić zgodę na otrzymywanie powiadomień push opartych na trasie od reklamodawców. Zgoda ta jest domyślnie wyłączona i udzielana za pomocą wyraźnego przełącznika w aplikacji (Profil → Powiadomienia → Propozycje tras).

• Podstawa prawna: Zgoda (art. 6 ust. 1 lit. a) RODO) w połączeniu z art. 13 dyrektywy o prywatności i łączności elektronicznej (ePrivacy), który wymaga wyrażenia zgody (opt-in) na marketing elektroniczny.
• Jakie dane są wykorzystywane: adres odbioru i dostarczenia Twojej aktywnej przesyłki (dopasowanie trasy do geofence kampanii) oraz Twoje miejsce zamieszkania na poziomie ogólnym.
• Jakie dane NIE są wykorzystywane: zawartość lub waga ładunku, Twój budżet cenowy, Twoja dokładna lokalizacja w czasie rzeczywistym. Nie tworzymy profili na podstawie zdrowia, religii, pochodzenia etnicznego, tożsamości płciowej ani przekonań politycznych.
• Dane udostępniane reklamodawcy: Reklamodawca nie otrzymuje żadnych Twoich danych osobowych. Otrzymuje zagregowane statystyki wyświetleń i kliknięć — nigdy danych identyfikujących poszczególnych użytkowników.
• Ograniczenie częstotliwości: Maksymalnie jeden reklamowy push na 24 godziny i maksymalnie trzy na tydzień na użytkownika, niezależnie od liczby kampanii.
• Oznaczenie reklamy: Każdy push jest w tytule wyraźnie oznaczony etykietą „Sponsorowane · [Reklamodawca]” (art. 26 DSA + dyrektywa UE o nieuczciwych praktykach handlowych).
• Cisza nocna: Pushe z propozycjami tras respektują ciszę nocną tak samo jak inne powiadomienia push.

Wycofanie zgody (art. 7 ust. 3 RODO): Możesz w każdej chwili wycofać swoją zgodę w aplikacji (Profil → Powiadomienia → Propozycje tras). Wycofanie zgody jest tak samo proste jak jej udzielenie, a po nim nie będziesz już otrzymywać pushy z propozycjami tras. Wcześniej udzielona zgoda pozostaje ważna do momentu jej wycofania.

Rejestr reklam (art. 26 DSA): Prowadzimy publiczny rejestr reklam dotyczący aktywnych i zakończonych kampanii. Rejestr pokazuje reklamodawcę, treść reklamy, kryteria targetowania oraz liczbę wyświetleń — nigdy danych poszczególnych użytkowników. Rejestr zostanie opublikowany przed startem pierwszej kampanii reklamowej pod adresem kumipyorat.fi/ad-registry.

Przechowywanie: Logi dostarczenia pushy są przechowywane przez 13 miesięcy zgodnie z art. 39 DSA, a następnie anonimizowane do podsumowań w ramach poszczególnych kampanii.

9. Twoje prawa (RODO)

• Prawo dostępu do swoich danych osobowych
• Prawo do sprostowania nieprawidłowych danych
• Prawo do żądania usunięcia swoich danych
• Prawo do przenoszenia danych
• Prawo do ograniczenia przetwarzania
• Prawo do wycofania zgody w dowolnym momencie (art. 7 ust. 3)
• Prawo do sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21)
• Prawo do weryfikacji przez człowieka decyzji podejmowanych automatycznie (art. 22)
• Prawo do wniesienia skargi do organu nadzorczego: właściwym organem nadzorczym jest Urząd Ochrony Danych Osobowych (UODO), na podstawie art. 77 RODO · uodo.gov.pl

Wyślij swoje zapytanie na adres: privacy@kumipyorat.fi

10. Obowiązek raportowania (DAC7)

Unijna dyrektywa DAC7 (2021/514) zobowiązuje platformy cyfrowe do zbierania danych o dochodach kierowców i przekazywania ich krajowym organom podatkowym. Rubber Wheels Oy co roku zgłasza fińskiej administracji podatkowej (Verohallinto) następujące informacje:

• Imię, nazwisko, adres, data urodzenia i numer PESEL kierowcy
• Numer rejestrowy działalności (jeśli kierowca prowadzi zarejestrowaną działalność)
• Dochody uzyskane na platformie w roku kalendarzowym
• Dane rachunku bankowego (uzyskane za pośrednictwem Stripe)

Podstawa prawna: Obowiązek prawny (art. 6 ust. 1 lit. c) RODO, fińska ustawa 1267/2022).

Okres przechowywania: 7 lat.

11. Podmioty trzecie

• Stripe — obsługa płatności (certyfikat PCI-DSS)
• Supabase — baza danych (UE, Frankfurt)
• Google Maps — usługi map i wyznaczania tras
• Expo — powiadomienia push
• Railway — serwer backendowy (serwer w UE)
• Link Mobility — weryfikacja SMS
• Fińska administracja podatkowa (Verohallinto) — ustawowe raportowanie DAC7

Masz pytania dotyczące ochrony danych?

Osoby niepełnoletnie

Usługa jest przeznaczona dla użytkowników w wieku co najmniej 18 lat. Nie przetwarzamy świadomie danych osobowych osób niepełnoletnich. Jeśli stwierdzimy, że zarejestrowała się osoba niepełnoletnia, usuniemy konto oraz wszystkie powiązane z nim dane osobowe bez zbędnej zwłoki.

Jeśli jesteś opiekunem prawnym i podejrzewasz, że zarejestrowała się osoba niepełnoletnia, skontaktuj się z nami pod adresem privacy@kumipyorat.fi.

Postępowanie w przypadku naruszenia ochrony danych

Jeśli naruszenie ochrony danych może powodować wysokie ryzyko dla Twoich praw i wolności, poinformujemy Cię o tym bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia. Powiadomienie zostanie wysłane na Twój zarejestrowany adres e-mail, a w razie potrzeby również poprzez wiadomość w aplikacji (art. 34 RODO).

Naruszenia ochrony danych zgłaszamy właściwemu organowi nadzorczemu w ciągu 72 godzin od ich stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko dla osób, których dane dotyczą (art. 33 RODO).