Polityka prywatności

1. Kim jesteśmy i czego dotyczy ten dokument

Platforma ROADKIT (dalej: „Platforma”) jest usługą świadczoną drogą elektroniczną w modelu SaaS, przeznaczoną dla przedsiębiorców prowadzących wypożyczalnie sprzętu samochodowego. Dostawcą Platformy jest BH WANDEX, NIP: 525-191-70-81, REGON: 012756421, adres: ul. Erazma Ciołka 8/210, 01-402 Warszawa (dalej: „my”, „ROADKIT” lub „Dostawca”). ROADKIT to produkt NextFlow Automation, marki firmy BH WANDEX.

Kontakt we wszystkich sprawach dotyczących danych osobowych: lukasz.czechowski@klubos.pl. Inspektor ochrony danych nie został wyznaczony.

Niniejsza polityka opisuje, w jaki sposób przetwarzamy dane osobowe zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 („RODO”) oraz ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Dotyczy ona strony internetowej ROADKIT, panelu administracyjnego dla wypożyczalni oraz osadzanego widgetu rezerwacyjnego (moduł „embed”).

2. Dwie role: kiedy jesteśmy administratorem, a kiedy procesorem

Platforma jest wielodostępna (multi-tenant). Korzysta z niej wiele niezależnych wypożyczalni. Z tego powodu nasza rola w rozumieniu RODO zależy od tego, czyje dane są przetwarzane:

2.1. ROADKIT jako administrator danych osobowych

Jesteśmy administratorem w rozumieniu art. 4 pkt 7 RODO wyłącznie w odniesieniu do:

• danych kont wypożyczalni, czyli danych osób, które rejestrują i obsługują konto swojej firmy na Platformie (adres e-mail służący do logowania, dane uwierzytelniające, dane rozliczeniowe związane z abonamentem),
• danych osób odwiedzających stronę internetową ROADKIT oraz danych technicznych związanych z wyświetleniem widgetu rezerwacyjnego (logi, adres IP, patrz sekcja 4),
• danych osób kontaktujących się z nami (np. e-mailem w sprawie oferty lub wsparcia technicznego).

2.2. ROADKIT jako podmiot przetwarzający (procesor)

Administratorem danych klientów końcowych wypożyczalni (osób rezerwujących i wypożyczających sprzęt) jest wypożyczalnia, która korzysta z Platformy. My przetwarzamy te dane wyłącznie w jej imieniu i na jej udokumentowane polecenie, jako podmiot przetwarzający w rozumieniu art. 28 RODO. Zasady tego powierzenia reguluje Umowa powierzenia przetwarzania danych osobowych, zawierana z każdą wypożyczalnią.

Jeżeli jesteś klientem wypożyczalni (np. dokonujesz rezerwacji boxu dachowego przez widget na jej stronie), administratorem Twoich danych jest ta wypożyczalnia. Informacji o przetwarzaniu Twoich danych, a także realizacji Twoich praw, dokonuje ona. Otrzymane od Ciebie żądania przekażemy administratorowi i będziemy wspierać go w ich realizacji.

3. Jakie dane przetwarzamy jako administrator: cele i podstawy prawne

3.1. Osoby zakładające i obsługujące konto wypożyczalni

• Rejestracja i logowanie: adres e-mail oraz hasło (przechowywane wyłącznie w formie kryptograficznego skrótu w usłudze Supabase Auth). Podstawa: art. 6 ust. 1 lit. b RODO (wykonanie umowy o świadczenie usługi drogą elektroniczną).
• Rozliczenia abonamentu: dane rozliczeniowe firmy (nazwa, NIP, adres, dane niezbędne do wystawienia faktury). Podstawa: art. 6 ust. 1 lit. b RODO (rozliczenie umowy) oraz art. 6 ust. 1 lit. c RODO (obowiązki podatkowe i rachunkowe).
• Komunikacja serwisowa: powiadomienia o zmianach w usłudze, awariach, bezpieczeństwie konta. Podstawa: art. 6 ust. 1 lit. b RODO oraz nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na utrzymaniu prawidłowego działania usługi.
• Ustalenie, dochodzenie lub obrona roszczeń: podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes).

Podanie adresu e-mail i danych rozliczeniowych jest dobrowolne, ale niezbędne do zawarcia i wykonania umowy. Bez nich nie założysz konta ani nie otrzymasz faktury.

3.2. Osoby odwiedzające stronę oraz widget rezerwacyjny

• Logi techniczne: adres IP, data i godzina żądania, adres URL, identyfikator przeglądarki (user-agent), zbierane automatycznie przez infrastrukturę hostingową (Vercel). Cel: zapewnienie bezpieczeństwa, wykrywanie nadużyć, diagnostyka błędów. Podstawa: art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes: bezpieczeństwo i utrzymanie usługi).
• Dane wpisywane w widgecie rezerwacyjnym (imię i nazwisko, dane kontaktowe, dane rezerwacji) trafiają do wypożyczalni, na której stronie widget jest osadzony. Ich administratorem jest ta wypożyczalnia (patrz sekcja 2.2), a my przetwarzamy je jako procesor.

4. Dane powierzone nam przez wypożyczalnie (przetwarzane jako procesor)

W ramach świadczenia usługi przechowujemy i przetwarzamy w imieniu wypożyczalni następujące kategorie danych ich klientów końcowych:

• dane identyfikacyjne i kontaktowe klienta: imię i nazwisko, adres e-mail, numer telefonu, adres oraz rodzaj dokumentu tożsamości wraz z jego zredagowaną (częściowo zamaskowaną) formą; Platforma nie przechowuje pełnych numerów dokumentów tożsamości,
• dane pojazdów klienta: marka, model i parametry pojazdu, na którym montowany jest wypożyczany sprzęt,
• dane rezerwacji: w tym utrwalony na moment rezerwacji opis pojazdu i sprzętu (tzw. snapshot),
• podpis odręczny składany przy wydaniu lub zwrocie sprzętu (zapis graficzny podpisu) wraz z adresem IP urządzenia i znacznikiem czasu jego złożenia; dane te służą wypożyczalni do wykazania zawarcia i wykonania umowy najmu,
• zdjęcia sprzętu i dokumentacja fotograficzna rezerwacji (np. stan sprzętu przy wydaniu i zwrocie) przechowywane w usłudze Storage.

O celach i podstawach prawnych przetwarzania tych danych decyduje wypożyczalnia jako administrator. My nie wykorzystujemy powierzonych danych do własnych celów, w szczególności nie prowadzimy na nich marketingu, nie sprzedajemy ich ani nie profilujemy na ich podstawie klientów końcowych.

5. Jak długo przechowujemy dane

• Dane konta wypożyczalni: przez czas trwania umowy o korzystanie z Platformy, a po jej zakończeniu przez 90 dni w celu umożliwienia odzyskania konta i eksportu danych, chyba że przepisy wymagają dłuższego okresu.
• Dane rozliczeniowe (faktury): przez 5 lat od końca roku podatkowego, w którym powstał obowiązek podatkowy (przepisy podatkowe i rachunkowe).
• Logi techniczne: przez 90 dni, po czym są usuwane lub anonimizowane.
• Dane powierzone (klienci końcowi wypożyczalni): przez czas świadczenia usługi na rzecz danej wypożyczalni; po zakończeniu umowy dane są zwracane lub trwale usuwane zgodnie z umową powierzenia. O okresie przechowywania tych danych w trakcie trwania usługi decyduje wypożyczalnia.
• Dane związane z roszczeniami: do upływu okresów przedawnienia wynikających z przepisów prawa.

6. Odbiorcy danych i podprocesorzy

Do świadczenia usługi korzystamy z niżej wymienionych dostawców infrastruktury. Wobec danych, których jesteśmy administratorem, są oni odbiorcami (podmiotami przetwarzającymi w naszym imieniu); wobec danych powierzonych nam przez wypożyczalnie działają jako dalsze podmioty przetwarzające (podprocesorzy), zgodnie z art. 28 ust. 2 i 4 RODO.

Ponadto odbiorcami danych mogą być: biuro rachunkowe obsługujące Dostawcę (dane rozliczeniowe), doradcy prawni oraz organy publiczne, wyłącznie gdy obowiązek udostępnienia wynika z przepisów prawa.

6.1. Przekazywanie danych poza EOG

Dane Platformy są przechowywane w Unii Europejskiej. Jeżeli w związku z korzystaniem z usług Vercel (CDN) lub Stripe (płatności) dochodzi do przekazania danych poza Europejski Obszar Gospodarczy (np. do USA), odbywa się ono na podstawie odpowiednich zabezpieczeń przewidzianych w rozdziale V RODO: standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub decyzji o adekwatności (EU-US Data Privacy Framework, jeżeli dostawca posiada aktywną certyfikację). Kopie stosowanych zabezpieczeń można uzyskać, kontaktując się z nami.

7. Twoje prawa

W zakresie, w jakim jesteśmy administratorem Twoich danych, przysługują Ci następujące prawa:

• prawo dostępu do danych oraz otrzymania ich kopii (art. 15 RODO),
• prawo do sprostowania danych (art. 16 RODO),
• prawo do usunięcia danych (art. 17 RODO),
• prawo do ograniczenia przetwarzania (art. 18 RODO),
• prawo do przenoszenia danych, w zakresie danych przetwarzanych na podstawie umowy lub zgody, w sposób zautomatyzowany (art. 20 RODO),
• prawo sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21 RODO),
• prawo wniesienia skargi do organu nadzorczego, Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (uodo.gov.pl).

Aby skorzystać z powyższych praw, napisz na adres lukasz.czechowski@klubos.pl. Odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca.

Uwaga: jeżeli Twoje dane zostały wprowadzone do Platformy przez wypożyczalnię (jesteś jej klientem), powyższe żądania kieruj bezpośrednio do tej wypożyczalni jako administratora. My, na jej polecenie, technicznie wykonamy odpowiednie operacje na danych.

8. Pliki cookies i podobne technologie

• Cookies niezbędne (sesja logowania): Platforma wykorzystuje pliki cookies usługi Supabase Auth do utrzymania bezpiecznej sesji zalogowanego użytkownika panelu wypożyczalni. Cookies te są niezbędne do świadczenia usługi żądanej przez użytkownika i nie wymagają zgody (art. 399 ust. 3 ustawy z dnia 12 lipca 2024 r. Prawo komunikacji elektronicznej). Są usuwane lub wygasają po zakończeniu sesji albo wylogowaniu.
• Analityka: nie stosujemy narzędzi analitycznych osób trzecich śledzących użytkowników ani cookies analitycznych. Na publicznych stronach serwisu (strona główna, regulamin, polityka prywatności, umowa powierzenia, logowanie i rejestracja) liczymy anonimowe statystyki odwiedzin własnym skryptem (plik r.js z serwera www.klubos.pl): odwiedzona podstrona, źródło wejścia, rodzaj urządzenia i przeglądarki, przybliżony kraj i miasto, kliknięcia, przewinięcie i czas na stronie. Nie zapisujemy adresu IP ani niczego na urządzeniu użytkownika i nie łączymy wizyt w profil osoby. Podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), statystyki przechowujemy do 12 miesięcy. Panel wypożyczalni i widget rezerwacji nie są objęte statystyką.
• Cookies marketingowe: nie stosujemy. Nie wyświetlamy reklam ani nie udostępniamy danych sieciom reklamowym.

Cookies można usunąć lub zablokować w ustawieniach przeglądarki; zablokowanie cookies niezbędnych uniemożliwi jednak zalogowanie się do panelu.

9. Bezpieczeństwo danych (art. 32 RODO)

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka, w szczególności:

• izolację danych między wypożyczalniami (multi-tenant): reguły Row Level Security (RLS) na poziomie bazy danych PostgreSQL gwarantują, że każda wypożyczalnia ma dostęp wyłącznie do własnych danych,
• szyfrowanie transmisji: cała komunikacja z Platformą odbywa się wyłącznie po protokole HTTPS/TLS,
• szyfrowanie danych w spoczynku po stronie dostawców infrastruktury (Supabase, Vercel),
• kontrolę dostępu: uwierzytelnianie kont przez Supabase Auth, hasła przechowywane wyłącznie w postaci kryptograficznych skrótów, rozdzielenie uprawnień ról w aplikacji,
• minimalizację danych: dane dokumentów tożsamości klientów końcowych przechowywane są wyłącznie w formie zredagowanej (częściowo zamaskowanej), bez pełnych numerów dokumentów,
• kontrolowany dostęp do plików: zdjęcia i podpisy przechowywane w Storage są dostępne wyłącznie w ramach uprawnień danej wypożyczalni,
• kopie zapasowe bazy danych realizowane przez dostawcę infrastruktury.

W razie naruszenia ochrony danych osobowych postępujemy zgodnie z art. 33 i 34 RODO, w tym niezwłocznie (nie później niż w ciągu 24 godzin od stwierdzenia) informujemy wypożyczalnie o naruszeniach dotyczących danych powierzonych, zgodnie z umową powierzenia.

10. Zautomatyzowane podejmowanie decyzji i profilowanie

Nie podejmujemy wobec użytkowników decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na nich wpływały (art. 22 RODO). Nie prowadzimy profilowania.

11. Zmiany polityki prywatności

Polityka może być aktualizowana, np. w związku ze zmianą przepisów, zakresu usług lub listy podprocesorów. O istotnych zmianach poinformujemy zarejestrowane wypożyczalnie e-mailem lub komunikatem w panelu, z odpowiednim wyprzedzeniem. Aktualna wersja jest zawsze dostępna pod adresem /polityka-prywatnosci, wraz z datą ostatniej aktualizacji.

Pytania dotyczące niniejszej polityki prosimy kierować na adres lukasz.czechowski@klubos.pl.