Twoje dane, Twoja kontrola.

01Przegląd#

Niniejsza polityka wyjaśnia, jakie dane osobowe przetwarza Frachta, w jakim celu, na jakich podstawach prawnych się opieramy oraz w jaki sposób możesz wykonywać swoje prawa. Dotyczy ona platformy Frachta i serwisu frachta.lv i jest skierowana do naszych użytkowników biznesowych — spedytorów, przewoźników i ich pracowników.

02Tożsamość i dane kontaktowe administratora danych#

SIA "HEIDA LTD", nr rej. 40203741048, nr VAT LV40203741048, Spāres iela 3A, Rīga, LV-1002, Łotwa jest administratorem danych osobowych przetwarzanych za pośrednictwem platformy („Frachta”, „my”).

We wszystkich sprawach dotyczących prywatności pisz na adres privacy@frachta.lv.

Nie powołaliśmy inspektora ochrony danych: prowadzone przez nas przetwarzanie nie spełnia kryteriów art. 37 ust. 1 RODO — nie jesteśmy organem publicznym, a naszą główną działalnością nie jest ani regularne monitorowanie osób na dużą skalę, ani przetwarzanie na dużą skalę danych szczególnych kategorii. Sprawami prywatności zajmuje się zarząd pod adresem wskazanym powyżej.

03Kategorie zbieranych przez nas danych osobowych#

W zależności od tego, jak korzystasz z Frachty, możemy przetwarzać poniższe kategorie. Część tych danych wprowadzasz nie Ty, lecz inni Użytkownicy — na przykład kontrahent dodaje Twoje imię i nazwisko oraz numer telefonu jako dane kontaktowe we wspólnym zleceniu:

• Dane konta i firmy — imię i nazwisko, służbowy adres e-mail, numer telefonu, stanowisko, nazwa firmy, numer rejestracyjny i numer VAT.
• Dane operacyjne — ładunki, zamówienia, zlecenia transportowe, e-CMR i faktury, które tworzysz, w tym wprowadzane przez Ciebie dane kontaktowe kierowców i kontrahentów.
• Dane finansowe — przesłane wyciągi bankowe i dane uzgadniania płatności (zob. sekcja 06), faktury i zapisy płatności.
• Dane weryfikacyjne i due diligence — informacje z rejestrów przedsiębiorców i zapytania o numer VAT w unijnym systemie VIES, służące potwierdzeniu, że konto należy do rzeczywistej firmy, a także — gdy użytkownik uruchamia weryfikację partnera — dane z rejestrów publicznych, dane finansowe oraz dane z list sankcyjnych UE/ONZ/OFAC dotyczące sprawdzanej firmy, które mogą obejmować nazwiska jej właścicieli lub członków zarządu.
• Dane o korzystaniu, urządzeniu i logi — adres IP, przeglądarka oraz działania podejmowane na platformie (logi bezpieczeństwa i audytu).
• Komunikacja — zgłoszenia do wsparcia, czat na platformie i korespondencja z nami.
• Dane aplikacji dla kierowców — jeżeli przewoźnik zaprasza swoich kierowców do aplikacji Frachta dla kierowców: imię i nazwisko kierowcy, data urodzenia, obywatelstwo, kraj zamieszkania, adres e-mail, numer telefonu oraz kategorie prawa jazdy wraz z datami ich ważności; logowania, adres IP urządzenia i aktywność w aplikacji; zdarzenia zleceń oraz przesyłane przez kierowcę dokumenty; przybliżona lokalizacja i fotografie opisane poniżej.
• Lokalizacja przy zdarzeniu roboczym — gdy kierowca rejestruje postój, plombę albo potwierdzenie dostawy, aplikacja dołącza pozycję urządzenia, o ile kierowca na to zezwolił. Aplikacja prosi system operacyjny o pozycję o zrównoważonej dokładności (poziom ulicy, rzędu stu metrów, a nie dokładny punkt) i wyłącznie w chwili wykonania tej czynności. Nie ma śledzenia ciągłego ani w tle, aplikacja nigdy nie śledzi kierowcy pomiędzy zdarzeniami, a czynność zostaje wykonana także wtedy, gdy kierowca odmówi zgody lub urządzenie nie zdoła ustalić pozycji.
• Weryfikacja lokalizacji — pozycja jest porównywana z miejscem, w którym postój miał się odbyć, a wynik zapisuje się razem ze zdarzeniem: czy była zgodna i jaka była odległość. Jest to zapis, a nigdy blokada; żadna czynność nie zostaje z tego powodu odrzucona. Ponieważ jest to trwały zapis tego, czy pracownik znajdował się tam, gdzie zgodnie ze zleceniem znajdować się powinien, opisujemy go tutaj osobno, zamiast pozostawiać go w kategorii „zdarzenia zleceń”.
• Fotografie — zdjęcia list kontrolnych, plomb, potwierdzeń dostawy i zgłoszeń problemów wykonywane w aplikacji. Fotografia zrobiona przy rampie załadunkowej lub przy bramie magazynu może przedstawiać osoby, które nie są ani naszymi klientami, ani naszymi użytkownikami; znalazły się na niej wyłącznie dlatego, że zdjęcie powstało tam, gdzie wykonywana była praca.
• Osoba kwitująca odbiór towaru — przy dostawie aplikacja zapisuje imię i nazwisko oraz funkcję osoby odbierającej przesyłkę, wraz z miejscem i ewentualnymi uwagami. Osoba ta zwykle nie jest ani naszym klientem, ani naszym użytkownikiem: jej imię i nazwisko znajdują się w zapisie dlatego, że bez nich potwierdzenie dostawy niczego nie potwierdza.
• Pana/Pani opinia o platformie Frachta — jeżeli zdecyduje się Pan/Pani ocenić platformę: ocena, treść wypowiedzi, imię i nazwisko oraz stanowisko, którymi opinia ma zostać podpisana, a także informacja o tym, czy wyraża Pan/Pani zgodę na publikację. Opinia nigdy nie jest obowiązkowa, a zignorowanie prośby albo odmowa nie zmieniają niczego w Pana/Pani koncie.
• Identyfikatory urządzenia — jeżeli powiadomienia push są włączone. W przeglądarce zaakceptowanie komunikatu tworzy subskrypcję utrzymywaną przez usługę push Pana/Pani przeglądarki, a my zapisujemy przekazany przez nią adres, aby móc na niego wysyłać; ta część działa już dziś. W aplikacji dla kierowców odpowiednikiem jest token push identyfikujący instalację aplikacji na urządzeniu; ta druga część jest gotowa, ale nie została jeszcze uruchomiona, a usługa, która miałaby go przekazywać, zostanie wskazana w wykazie odbiorców poniżej, zanim wyjdzie pierwsze powiadomienie. Ani subskrypcja, ani token nie jest plikiem cookie ani adresem IP.
• Nieobecności i urlopy — jeżeli przewoźnik zarządza czasem wolnym za pośrednictwem aplikacji dla kierowców: rodzaj nieobecności (urlop, dzień wolny albo choroba), daty, informacja o zatwierdzeniu, ewentualna notatka oraz wnioski i oświadczenia składane przez kierowcę w aplikacji (na przykład wniosek o urlop wypoczynkowy, o urlop rodzicielski albo oświadczenie o wypowiedzeniu umowy).
• Dane dotyczące zdrowia (szczególna kategoria danych osobowych). Nieobecność chorobowa mówi coś o zdrowiu danej osoby, a prawo traktuje ją surowiej niż pozostałe pozycje tego wykazu. Frachta odnotowuje wyłącznie to, że nieobecność była tego rodzaju, oraz okres jej trwania; nie pyta o diagnozę, zaświadczenie lekarskie ani jakiekolwiek informacje kliniczne i nie należy przekazywać ich Frachcie. Za spełnienie przesłanki z art. 9 ust. 2 RODO, na której opiera się przechowywanie tych danych, odpowiada pracodawca — w stosunkach pracy zwykle jest nią obowiązek wynikający z prawa pracy i zabezpieczenia społecznego — a także za to, by w notatce w polu tekstowym nie znalazło się więcej, niż wymaga tego prawo.

04Cele i podstawy prawne#

Dla każdego celu wskazujemy podstawę prawną zgodnie z art. 6 RODO:

• Świadczenie i zabezpieczenie usługi (konta, giełda, TMS, dokumenty) — wykonanie umowy, art. 6 ust. 1 lit. b).
• Weryfikacja firm, prowadzenie dokumentacji, wypełnianie obowiązków podatkowych i rachunkowych — obowiązek prawny, art. 6 ust. 1 lit. c).
• Ulepszanie platformy, zapobieganie nadużyciom i oszustwom, zabezpieczenie giełdy — prawnie uzasadnione interesy, art. 6 ust. 1 lit. f).
• Opcjonalne pliki cookie, analityka i wiadomości marketingowe — zgoda, art. 6 ust. 1 lit. a), zarządzana w centrum preferencji opisanym w Polityce cookies.

05Monitoring w miejscu pracy#

Część tego, co rejestruje aplikacja dla kierowców, jest w istocie monitoringiem osoby w miejscu pracy: gdzie znajdowała się w chwili wykonania postoju, czy było to zgodne z planem oraz kiedy prowadziła pojazd, pracowała i odpoczywała. Mówimy o tym wprost, zamiast pozostawiać to w ogólnym wykazie, ponieważ pracownik ma prawo wiedzieć, że taki monitoring istnieje.

Decyduje przewoźnik, a nie Frachta. To Pana/Pani pracodawca decyduje o korzystaniu z aplikacji, decyduje o podłączeniu konta telematycznego i jest administratorem tych danych — wraz ze wszelkimi obowiązkami poinformowania Pana/Pani, skonsultowania się z przedstawicielami pracowników czy przeprowadzenia oceny skutków dla ochrony danych, jeżeli wymaga tego prawo krajowe. Frachta przetwarza te dane na jego polecenie i nie wykorzystuje ich do podejmowania decyzji dotyczących Pana/Pani osoby.

Nie są na tej podstawie podejmowane wobec Pana/Pani żadne zautomatyzowane decyzje. Niezgodna lokalizacja zostaje odnotowana i pokazana Pana/Pani pracodawcy; oprogramowanie niczego nie blokuje ani nie odrzuca i nie wyciąga wobec Pana/Pani żadnych konsekwencji.

Nieobecność nie jest monitoringiem i nie jest tak traktowana. Zapis o urlopie lub o chorobie istnieje dlatego, że ktoś musi zaplanować tydzień i wypełnić obowiązek wynikający ze stosunku pracy. Jest widoczny dla przewoźnika zatrudniającego kierowcę i dla nikogo poza nim — ani dla innych przewoźników, dla których kierowca pracuje, ani dla kogokolwiek handlującego na giełdzie transportowej.

06Dane z przesłanych wyciągów bankowych#

Frachta umożliwia przesyłanie wyciągów bankowych w celu uzgodnienia płatności z fakturami. Pliki te mogą zawierać dane osobowe i finansowe osób trzecich (nazwy kontrahentów, numery IBAN, kwoty, daty i tytuły płatności), dlatego to przetwarzanie opisujemy osobno.

Wyodrębniamy wyłącznie pola niezbędne do dopasowania płatności, przechowujemy pliki pod losowo generowanymi nazwami z dostępem ograniczonym do przestrzeni roboczej Twojej firmy i nigdy nie wykorzystujemy treści wyciągów do innych celów. Przesyłając wyciąg, potwierdzasz, że jesteś uprawniony do jego udostępnienia. Wyciągi są usuwane wraz z Twoim kontem lub wcześniej na żądanie.

07Udostępnianie danych i podmioty przetwarzające#

Udostępniamy dane sprawdzonym podmiotom przetwarzającym na podstawie umów powierzenia przetwarzania, a innym Użytkownikom wyłącznie w zakresie niezbędnym do zawarcia i wykonania transakcji lub zamówienia — na przykład profil Twojej firmy, oceny i dane kontaktowe dołączone do oferty są widoczne dla kontrahentów. Nie sprzedajemy danych osobowych.

• Hosting i infrastruktura — serwery w UE, na których działa platforma i baza danych.
• Dostarczanie poczty — e-maile transakcyjne (weryfikacja, linki logowania, powiadomienia).
• Analityka — PostHog (chmura w UE), wyłącznie za Twoją zgodą.
• Płatności — Montonio, nasz dostawca płatności za plany, działający w zakresie danych płatniczych jako niezależny administrator.
• Monitorowanie błędów — raporty o awariach i błędach, dzięki którym platforma pozostaje stabilna.
• Pomiar skuteczności reklam — tagi konwersji Google, LinkedIn i Meta, wyłącznie za Twoją zgodą (zob. Polityka cookies).
• Dostarczanie SMS — kody weryfikacyjne i powiadomienia operacyjne wysyłane przez naszego unijnego dostawcę SMS (Esteria).
• Telematyka — jeżeli Pana/Pani firma podłączy swoje konto telematyczne (Mapon, Wialon, Webfleet, system producenta zgodny z rFMS albo Ruptela), otrzymujemy z niego, na Pana/Pani polecenie, nie tylko dane pojazdów, takie jak wskazania licznika przebiegu i motogodziny, lecz także dane dotyczące imiennie wskazanych kierowców: imiona i nazwiska kierowców oraz numery kart do tachografu, okresy prowadzenia pojazdu, innej pracy, dyspozycyjności i odpoczynku, a także historię pozycji prowadzonych przez nich pojazdów. To, które z nich napływają, zależy od dostawcy oraz od zakresu Pana/Pani umowy telematycznej.
• Wyszukiwanie adresów — aby umieścić miejsce załadunku lub rozładunku na mapie, wysyłamy treść adresu do Nominatim, usługi geokodowania prowadzonej przez OpenStreetMap Foundation. Wysyłamy adres, a nie Pana/Pani tożsamość; nie towarzyszą mu żadne dane konta ani dane kontaktowe.
• Podpis elektroniczny — jeżeli dokument wymaga podpisania, jest przekazywany dostawcy kwalifikowanego podpisu elektronicznego wraz z imieniem i nazwiskiem osoby podpisującej; tam osoba podpisująca wybiera własną metodę (na przykład Smart-ID, eParaksts albo dowód osobisty). Funkcja ta jest przygotowywana i nie jest jeszcze aktywna: do tego czasu dokumenty podpisuje się wyłącznie w obrębie platformy, a dostawca zostanie wskazany w Umowie powierzenia przetwarzania danych, zanim trafi do niego pierwszy dokument.

08Przekazywanie danych poza UE#

Dane są hostowane w UE. Jeżeli przekazanie poza EOG okaże się niezbędne, opieramy się na decyzji stwierdzającej odpowiedni stopień ochrony albo na standardowych klauzulach umownych wraz z odpowiednimi zabezpieczeniami. Kopię tych zabezpieczeń możesz uzyskać, pisząc na privacy@frachta.lv.

09Okresy przechowywania#

Przechowujemy dane osobowe wyłącznie tak długo, jak jest to niezbędne do powyższych celów lub wymagane przez prawo:

• Dane konta i firmy — przez okres aktywności konta, a następnie usuwane lub anonimizowane w ciągu 12 miesięcy od jego zamknięcia.
• Faktury i dokumentacja księgowa — przez ustawowy łotewski okres przechowywania dokumentacji księgowej (obecnie 5 lat, a w przypadku niektórych dokumentów 10 lat).
• Logi bezpieczeństwa i audytu — do 12 miesięcy, chyba że obowiązuje blokada prawna (np. na żądanie policji lub organu nadzorczego) lub zapisy są częścią trwającego postępowania w sprawie bezpieczeństwa; wówczas przechowujemy je do czasu zniesienia blokady.
• Przesłane wyciągi bankowe — do momentu ich usunięcia przez Ciebie, najpóźniej wraz z zamknięciem konta.
• Kopie zapasowe — kopie szyfrowane, rotujące w cyklu do sześciu miesięcy. To, co usuniesz, znika z platformy od razu, a z kopii zapasowych wraz z ich rotacją.
• Dane aplikacji dla kierowców — zdarzenia zleceń, dołączone do nich lokalizacje i wyniki weryfikacji, fotografie oraz przesłane dokumenty przechowujemy przez okres powiązania kierowcy z przewoźnikiem, a następnie przez 24 miesiące, ponieważ stanowią dowód wykonania dostawy i element ewidencji czasu pracy. Kierowca, który zamyka konto, traci do niego dostęp natychmiast; zdarzenia pozostają u przewoźnika, którego pracę dokumentują.
• Opinie — przechowywane tak długo, jak długo opinia pozostaje w mocy. Wycofanie zgody natychmiast usuwa opublikowany cytat ze strony; żądanie usunięcia opinii usuwa ją w całości. Nie zachowujemy kopii usuniętej opinii poza opisaną powyżej rotacją kopii zapasowych.
• Ewidencja nieobecności — przechowywana przez okres powiązania kierowcy z przewoźnikiem, a następnie przez okres, przez jaki przewoźnik ma obowiązek przechowywać dokumentację pracowniczą zgodnie z właściwym dla niego prawem. Nieobecność chorobowa jest usuwana w tym samym terminie co pozostałe; to, że jest to informacja bardziej wrażliwa, nie wydłuża okresu jej przechowywania.

10Powiadomienia push#

Jeżeli wyrazi Pan/Pani na to zgodę, możemy wysyłać powiadomienia o sprawach, które wymagają Pana/Pani uwagi: nowej ofercie odpowiadającej wyszukiwaniu, wiadomości, dokumencie oczekującym na podpis, zbliżającym się terminie płatności faktury. Nigdy nie prosimy o to przy rejestracji, nic nie zostaje wysłane, dopóki nie zaakceptuje Pan/Pani komunikatu przeglądarki lub urządzenia, a odmowa nie zmienia niczego innego w działaniu platformy.

W przeglądarce. Zaakceptowanie tworzy subskrypcję utrzymywaną przez usługę push Pana/Pani przeglądarki — Google dla Chrome, Mozilla dla Firefox, Apple dla Safari — a my zapisujemy przekazany przez nią adres, aby móc na niego wysyłać. Sama wiadomość jest szyfrowana, zanim od nas wyjdzie, i może ją odczytać wyłącznie Pana/Pani przeglądarka: usługa push jedynie ją przesyła i nie może jej zobaczyć. Jeżeli subskrypcja przestanie działać, usuwamy ją.

W aplikacji dla kierowców. Ta sama funkcja jest gotowa, ale nie została uruchomiona: dziś żaden token nie jest rejestrowany i żadne powiadomienie nie jest wysyłane. Po jej uruchomieniu token push urządzenia będzie obsługiwany przez usługę powiadomień aplikacyjnych wskazaną w Umowie powierzenia przetwarzania danych i przekazywany do Apple lub Google, aby dotarł do telefonu. Zostanie ona tam wskazana, zanim wyjdzie pierwsze powiadomienie.

Zgodę może Pan/Pani wycofać w dowolnym momencie w ustawieniach przeglądarki lub urządzenia, bez informowania nas o tym. Nie otrzymujemy o tym powiadomienia; po prostu przestajemy móc się z Panem/Panią skontaktować, a nieaktywna subskrypcja zostaje usunięta przy kolejnej próbie.

11Kiedy prosimy Pana/Panią o opinię#

O opinię prosimy właściciela firmy, i to dopiero wtedy, gdy platforma rzeczywiście coś dla niego zrobiła: po dostawie zrealizowanej za pośrednictwem giełdy transportowej albo dwa dni po wykupieniu płatnego modułu. Prośba pojawia się w aplikacji, a ta sama prośba jest jednorazowo wysyłana e-mailem na adres właściciela — jeden raz i bez ponawiania. Opieramy się na naszym prawnie uzasadnionym interesie polegającym na ustaleniu, czy produkt działa, zestawionym z tym, jak niewiele od Pana/Pani wymaga — to karta, którą może Pan/Pani zamknąć i która po trzecim zamknięciu przestaje się pojawiać na dobre.

Ta sama prośba trafia do każdego, do kogo dociera, z tymi samymi linkami, niezależnie od tego, jakiej odpowiedzi się spodziewamy. Nie pytamy wyłącznie tych klientów, których uważamy za zadowolonych, i nie ukrywamy, nie opóźniamy ani nie filtrujemy opinii ze względu na jej ocenę. Po zamknięciu karta znika na sześć miesięcy; gdy zamknie ją Pan/Pani po raz trzeci, nie wraca już wcale. Napisanie opinii kończy prośbę natychmiast.

Aby całkowicie i w dowolnym momencie zrezygnować z próśb o opinię, prosimy napisać na privacy@frachta.lv.

12Twoje prawa jako osoby, której dane dotyczą#

Na mocy RODO przysługuje Ci prawo do:

• Dostępu — uzyskania kopii swoich danych osobowych.
• Sprostowania — poprawienia danych nieprawidłowych lub niekompletnych.
• Usunięcia — żądania usunięcia danych („prawo do bycia zapomnianym”).
• Ograniczenia — ograniczenia zakresu przetwarzania Twoich danych.
• Przenoszenia — otrzymania swoich danych w formacie nadającym się do przeniesienia.
• Sprzeciwu — wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionych interesach lub wobec marketingu bezpośredniego.
• Wycofania zgody — w dowolnym momencie, bez wpływu na wcześniejsze przetwarzanie.

13Jak wykonywać swoje prawa#

Wyślij swoje żądanie na adres privacy@frachta.lv. Odpowiadamy w ciągu miesiąca, zgodnie z wymogami RODO, i możemy poprosić Cię o potwierdzenie tożsamości. Jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, możemy odmówić jego realizacji albo pobrać rozsądną opłatę, wyjaśniając przyczyny. Zob. także stronę o RODO.

14Zautomatyzowane podejmowanie decyzji#

Frachta nie podejmuje zautomatyzowanych decyzji wywołujących wobec Ciebie skutki prawne lub w podobny sposób istotne. Weryfikacja firm i przeciwdziałanie nadużyciom obejmują kontrole automatyczne, jednak każdą decyzję o odmowie rejestracji lub zablokowaniu konta weryfikuje człowiek.

15Skargi do organu nadzorczego#

Możesz wnieść skargę do łotewskiego organu nadzorczego (Datu valsts inspekcija) lub do organu nadzorczego w swoim kraju zamieszkania w UE. Będziemy jednak wdzięczni za możliwość rozwiązania sprawy bezpośrednio — napisz na privacy@frachta.lv.

16Zmiany niniejszej polityki#

Możemy aktualizować niniejszą politykę; o istotnych zmianach poinformujemy w aplikacji lub e-mailem, a widoczna powyżej data ostatniej aktualizacji oraz wersja ulegną zmianie.

17Kontakt#

Masz pytania dotyczące niniejszej Polityki prywatności? Napisz na privacy@frachta.lv. Administratorem jest SIA "HEIDA LTD". Dokumenty powiązane: Regulamin, Polityka cookies, RODO oraz Umowa powierzenia przetwarzania danych.