Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för tjänsten Rubber Wheels Oy är Rubber Wheels Oy (org.nr.: 3610628-8).
Adress: , 00750 Helsingfors
Kontaktuppgifter: privacy@kumipyorat.fi
Vi svarar på alla förfrågningar inom 30 dagar (GDPR art. 12.3).

2. Insamlade uppgifter

• Namn och e-postadress (registrering)
• Telefonnummer (inloggning i appen)
• Plats- och ruttuppgifter (transportmatchning)
• Betalnings- och bankuppgifter (Stripe Connect, krypterade)
• Recensioner och förtroendepoäng
• Förares skatteuppgifter: gatuadress, postnummer, födelsedatum, personnummer, organisationsnummer (DAC7-rapportering)
• Foton (beställarens bilder av gods, förarens kvittensbilder)
• Chattmeddelanden (i appen mellan användare)
• Cookies och användningsloggar

3. Ändamål för behandling av uppgifter

• Tillhandahållande av tjänsten och förmedling av transporter
• Hantering av användarkonto och autentisering
• Behandling och utbetalning av betalningar
• Utveckling av tjänsten och säkerställande av säkerhet
• Uppfyllande av lagstadgade skyldigheter

4. Rättslig grund för behandling

5. Lagringstider

6. Lagring och skydd av uppgifter

Uppgifterna lagras inom EU (Frankfurt, Supabase). Vi använder krypteringsmetoder enligt branschstandard.

7. Automatisk bedömning och algoritmer

Rubber Wheels Oy använder automatiska bedömningssystem:

• Förtroendepoäng (0–125): Beräknas från verifierbara datapunkter: e-postverifiering (+10), Stripe-registrering (+20), telefonverifiering (+10), försäkring (0/5/15), GPS-spårning (+10), 5 leveranser (+15), 10 leveranser (+10), profil (+10), första recension (+5).
• Pålitlighetspoäng (0–20): Avdras för avbokningar (förare: −8/−12/−20, beställare: −3/−5/−8). Återhämtas med +1 per genomförd leverans. Sanktioner utgår efter 6 månader.
• Notifikationsmålriktning: Push-notifikationer riktas efter rutt och hemstad.

Automatisk bedömning leder inte till automatisk kontostängning utan mänsklig granskning. Du har rätt att begära mänsklig granskning: privacy@kumipyorat.fi

8. Sponsrade ruttförslag (frivilligt)

Du kan separat samtycka till att ta emot ruttbaserade push-aviseringar från annonsörer. Samtycket är inaktiverat som standard och ges via en uttrycklig knapp i appen (Profil → Aviseringar → Ruttförslag).

• Rättslig grund: Samtycke (GDPR Art. 6(1)(a)) i kombination med ePrivacy-direktivets Art. 13 om opt-in för elektronisk marknadsföring.
• Vilka uppgifter används: avsändnings- och leveransadress för din aktiva transport (ruttmatchning mot kampanjens geofence) samt din hemkommun på grov nivå.
• Vilka uppgifter används INTE: innehåll eller vikt av godset, din prisbudget, exakt realtidsposition. Vi profilerar inte baserat på hälsa, religion, etnicitet, könsidentitet eller politisk åsikt.
• Uppgifter som delas med annonsören: Annonsören får inte dina personuppgifter. De får aggregerad statistik om visningar och klick — aldrig identifierbara individuella användare.
• Frekvensbegränsning: Högst en annons-push per 24 timmar och högst tre per vecka per användare, oavsett antal kampanjer.
• Identifiering av annons: Varje push är tydligt märkt med ”Annons · [Annonsörens namn]” i rubriken (DSA Art. 26 + EU:s direktiv om otillbörliga affärsmetoder).
• Tysta timmar: Ruttförslags-pushar respekterar tysta timmar på samma sätt som andra push-aviseringar.

Återkallande av samtycke (GDPR Art. 7(3)): Du kan återkalla samtycket när som helst från appen (Profil → Aviseringar → Ruttförslag). Återkallandet är lika enkelt som att lämna samtycke, och du får då inga fler ruttförslags-pushar. Tidigare lämnat samtycke är giltigt fram till återkallande.

Annonsregister (DSA Art. 26): Vi för ett offentligt annonsregister över aktiva och avslutade kampanjer. Registret visar annonsören, annonsens innehåll, målgruppskriterier och visningsantal — aldrig enskilda användares uppgifter. Registret publiceras innan den första annonskampanjen startar på kumipyorat.fi/ad-registry.

Lagringstid: Push-leveransloggar sparas i 13 månader enligt DSA Art. 39, varefter de anonymiseras till kampanjvisa sammanställningar.

9. Användarens rättigheter (GDPR)

• Rätt att granska dina egna uppgifter
• Rätt att korrigera felaktiga uppgifter
• Rätt att begära radering av uppgifter
• Rätt att överföra uppgifter till en annan tjänst
• Rätt att begränsa behandlingen av uppgifter
• Rätt att återkalla samtycke när som helst (art. 7.3)
• Rätt att invända mot behandling som grundar sig på berättigat intresse (art. 21)
• Rätt till mänsklig granskning av automatiserade beslut (art. 22)
• Rätt att inge klagomål till tillsynsmyndigheten: Integritetsskyddsmyndigheten (IMY) · imy.se

Skicka din begäran till: privacy@kumipyorat.fi

10. Lagstadgad rapportering (DAC7)

EU:s DAC7-direktiv (2021/514) förpliktar digitala plattformar att samla in och rapportera förares inkomstuppgifter till nationella skattemyndigheter. Rubber Wheels Oy rapporterar årligen till Skatteförvaltningen (Verohallinto) i Finland:

• Förarens namn, adress, födelsedatum och personnummer
• Organisationsnummer (om föraren har enskild firma)
• Inkomster intjänade via plattformen under kalenderåret
• Bankkontouppgifter (erhålls från Stripe)

Rättslig grund: Lagstadgad skyldighet (GDPR art. 6.1 c, finsk lag 1267/2022).

Lagringstid: 7 år.

11. Tredje parter

• Stripe — betalningshantering (PCI DSS-certifierad)
• Supabase — databas (EU, Frankfurt)
• Google Maps — kart- och rutttjänster
• Expo — push-notifikationer
• Railway — bakgrundstjänst (EU-servrar)
• Link Mobility — SMS-verifiering
• Skatteförvaltningen (Verohallinto) — lagstadgad DAC7-rapportering

Frågor om integritet?

Minderåriga

Tjänsten är avsedd för användare som är minst 18 år. Vi behandlar inte medvetet minderårigas personuppgifter. Om vi får kännedom om att en minderårig har registrerat sig raderar vi kontot och tillhörande personuppgifter utan onödigt dröjsmål.

Om du är vårdnadshavare och misstänker att en minderårig har registrerat sig, kontakta privacy@kumipyorat.fi.

Hantering av personuppgiftsincidenter

Om en personuppgiftsincident sannolikt leder till en hög risk för dina rättigheter och friheter underrättar vi dig utan onödigt dröjsmål, senast inom 72 timmar från det att vi blev medvetna om incidenten. Meddelandet skickas till den e-postadress du registrerat och vid behov även via meddelande i appen (GDPR art. 34).

Vi anmäler personuppgiftsincidenter till Dataombudsmannens byrå inom 72 timmar från att vi blivit medvetna om dem enligt GDPR art. 33, om det inte är osannolikt att incidenten medför en risk för de registrerade.