Polityka prywatności Logisteo
Zasady ochrony danych w Logisteo: administrator, cele przetwarzania, kierowcy i dokumenty, prywatność publikacji, prawa użytkownika oraz kontakt.
Wersja:
1. Administrator i kontakt
Administratorem danych przetwarzanych we własnych celach opisanych w tej polityce jest DevConcept Venture Lab Bartosz Polak, NIP 9591437100, REGON 260030117, adres korespondencyjny: ul. Romualda Mielczarskiego 121/416, 25-611 Kielce, Polska, dalej „Operator”.
W sprawach danych osobowych, wykonania praw i ochrony prywatności skontaktuj się z nami: biuro@devconcept.eu lub pisemnie na powyższy adres. Wsparcie Logisteo jest dostępne także pod hello@logisteo.cloud. Zgłoszenia dotyczące ochrony danych przekazujemy właściwej osobie niezależnie od wybranego adresu kontaktowego.
Przetwarzanie podlega rozporządzeniu (UE) 2016/679 (RODO), polskiej ustawie o ochronie danych osobowych oraz właściwym przepisom polskim i unijnym, w tym Prawu komunikacji elektronicznej.
2. Kogo i czego dotyczy polityka
Polityka obejmuje kontakt za pośrednictwem witryny Logisteo, rejestrację i obsługę konta Portalu Przewoźnika, dokumenty oraz współpracę udostępnianą w tym portalu, integracje GPS i publiczne tablice dostępności pojazdów. Dotyczy użytkowników i przedstawicieli organizacji, osób kontaktowych, kierowców, osób wskazanych w dokumentach oraz odwiedzających tablice bez konta.
Warunki korzystania z Portalu Przewoźnika określa regulamin. Polityka informuje o danych osobowych i nie zastępuje warunków umowy, umowy powierzenia ani informacji przekazywanych przez pracodawcę lub partnera transportowego. Odrębne produkty DevConcept i odrębne usługi są objęte informacjami właściwymi dla ich zakresu.
3. Operator i Twoja organizacja
Operator jest administratorem danych potrzebnych do własnej obsługi konta, relacji umownej, bezpieczeństwa usługi, kontaktu, reklamacji i rozliczeń swoich usług. Cele i podstawy opisano w punkcie 5.
Organizacja przewoźnika lub partnera może być odrębnym administratorem danych swojej załogi, kontrahentów, zleceń i dokumentów. Gdy przetwarzamy te dane w jej imieniu, działamy jako podmiot przetwarzający, w granicach udokumentowanych instrukcji i warunków powierzenia z regulaminu lub właściwej umowy indywidualnej. Nie wykorzystujemy powierzonych danych do nieujawnionych własnych celów.
Partner zlecenia lub moderator puli może samodzielnie określać cele dalszego użycia otrzymanych danych. Nie staje się przez to podwykonawcą Operatora. Wspólne określanie celów i sposobów przetwarzania wymaga właściwego ustalenia odpowiedzialności stron zgodnie z RODO. Nazwa roli „administrator” w interfejsie oznacza uprawnienia konta, a nie rozstrzyga roli administratora danych.
4. Rodzaje i źródła danych
Dane otrzymujemy od Ciebie, od reprezentującej Cię organizacji, uprawnionych partnerów, z przekazanych dokumentów i podłączonych źródeł GPS. Przy pobieraniu danych firmy korzystamy z właściwych rejestrów publicznych, w szczególności GUS/REGON. Dane techniczne powstają podczas korzystania z usługi.
- Konto i kontakt: e-mail, imię lub nazwa użytkownika, telefon, organizacja, role i uprawnienia, dane uwierzytelniania, potwierdzenia adresu e-mail oraz data i wersja przyjętego regulaminu.
- Firma: nazwa, adres, NIP i inne identyfikatory, przedstawiciele, kontakty, dane rachunku oraz informacje potrzebne do współpracy. Dane przedsiębiorcy prowadzącego działalność indywidualnie mogą być danymi osobowymi.
- Realizacja współpracy: kierowcy i ich kontakty, pojazdy, terminy, trasy, lokalizacja z aktywnej integracji, zapytania, oferty, zlecenia, statusy, wiadomości i historia czynności.
- Dokumenty: treść i metadane plików, dokumenty przewozowe, licencyjne, ubezpieczeniowe i rozliczeniowe, podpisy, dane tachografu oraz wyniki odczytu i analizy, jeżeli używasz odpowiedniej funkcji.
- Dane techniczne: IP, informacje o przeglądarce i urządzeniu, sesje, zdarzenia błędów i bezpieczeństwa oraz zapisane ustawienia interfejsu.
Zakres zależy od używanej funkcji. Przekazuj tylko potrzebne dane. Nie dodawaj zbędnych danych zdrowotnych, dokumentów tożsamości ani danych szczególnych kategorii. Jeżeli konkretny proces wymaga danych z art. 9 lub 10 RODO, właściwy administrator ustala także dodatkową przesłankę ich przetwarzania.
5. Cele i podstawy prawne
- Umowa z osobą fizyczną: dane niezbędne do czynności na jej żądanie przed umową i wykonania usługi przetwarzamy na podstawie art. 6 ust. 1 lit. b RODO, gdy ta osoba jest stroną umowy, w tym jako przedsiębiorca indywidualny.
- Przedstawiciele organizacji: służbowy kontakt, uprawniony dostęp i obsługę współpracy opieramy na art. 6 ust. 1 lit. f RODO. Uzasadnionym interesem jest realizacja współpracy z organizacją i zapewnienie, że wykonują ją uprawnione osoby. Umowa z firmą nie czyni automatycznie każdego pracownika stroną tej umowy.
- Sprawdzenie danych i umocowania: identyfikujemy właściwą organizację i jej przedstawiciela w zakresie niezbędnym dla umowy tej osoby albo uzasadnionego interesu prawidłowej współpracy i zapobiegania nadużyciom — art. 6 ust. 1 lit. b lub f RODO.
- Bezpieczeństwo: chronimy dostęp, ograniczamy nadużycia, utrzymujemy działanie usługi i wyjaśniamy incydenty na podstawie art. 6 ust. 1 lit. f RODO. Interes ten realizujemy z uwzględnieniem proporcjonalności, praw osoby i obowiązków bezpieczeństwa z art. 32 RODO.
- Kontakt i zgłoszenia: odpowiadamy na zapytania, udzielamy wsparcia i rozpatrujemy reklamacje na podstawie art. 6 ust. 1 lit. b RODO w odpowiedniej relacji umownej lub lit. f — interesu obsługi i wyjaśnienia sprawy. Jeżeli odpowiedni obowiązek wynika z prawa, w tym zastosowalnych przepisów o zgłoszeniach treści, właściwą podstawą jest lit. c.
- Własne rozliczenia: dane wymagane przez przepisy podatkowe i rachunkowe, w tym właściwe przepisy o VAT, przetwarzamy na podstawie art. 6 ust. 1 lit. c RODO. Nie jest to zbiorcza podstawa dla wszystkich dokumentów przewoźnika.
- Roszczenia: dane potrzebne do ustalenia, dochodzenia lub obrony określonych roszczeń przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO, w interesie ochrony praw i niezbędnych dowodów.
- Opcjonalne cele oparte na zgodzie: gdy proponujemy taką funkcję, wskazujemy jej cel i zakres przed wyborem. Zgoda z art. 6 ust. 1 lit. a RODO jest odrębna od wymaganej zgody dotyczącej urządzenia lub kanału marketingowego na podstawie Prawa komunikacji elektronicznej.
Dla danych przetwarzanych w imieniu organizacji właściwą podstawę ustala ta organizacja. Jej instrukcja i warunki powierzenia wyznaczają zakres naszej obsługi. Nie przypisujemy jednej podstawy wszystkim procesom tylko dlatego, że Logisteo jest usługą dla firm.
6. Infrastruktura i dostęp do danych
Hosting Logisteo opiera się na infrastrukturze OVH oraz własnych serwerach DevConcept Venture Lab. Analizy dokumentów, obsługa poczty i monitoring błędów są wykonywane przez Operatora na serwerach firmy.
Do danych mają dostęp upoważnione osoby Operatora i właściwej organizacji w zakresie swoich zadań. Dostawcy infrastruktury, w szczególności OVH, otrzymują dostęp tylko w zakresie niezbędnym do usług wykonywanych na rzecz Operatora i na odpowiednich warunkach ochrony danych. Informacje o dalszym przetwarzaniu danych powierzonych organizacji są udostępniane zgodnie z warunkami powierzenia.
Odbiorcami mogą być również uprawnieni partnerzy współpracy, odbiorcy publicznie opublikowanej treści, doradcy prawni lub księgowi w zakresie właściwej sprawy oraz organy i inne podmioty uprawnione na podstawie prawa. Korzystanie z panelu nie powoduje automatycznego przekazania wszystkich dokumentów transportowych do organów, banku czy KSeF. Zewnętrzne usługi mapowe opisano osobno w punkcie 9.
7. Dane kierowców i innych osób organizacji
Dodanie kierowcy lub pracownika do kartoteki nie oznacza, że utworzył on konto, przyjął regulamin albo zgodził się na każdy sposób użycia swoich danych. Organizacja ustala zgodny z prawem cel, podstawę, zakres i odbiorców oraz przekazuje osobie właściwą informację.
W zakresie powierzenia przetwarzamy dane zgodnie z instrukcjami administratora i pomagamy mu przy realizacji praw, ochronie danych i wyjaśnianiu incydentów. Dane osób wskazanych w dokumentach i wiadomościach podlegają tym samym zasadom niezbędności i uprawnionego dostępu.
8. Partnerzy i publiczne tablice dostępności
W ramach uprawnionej współpracy partner może uzyskać właściwe dane zlecenia, dokumentu, oferty, pojazdu lub kierowcy. Dostęp do jednej relacji nie oznacza dostępu do całości danych organizacji.
Publiczny wpis dostępności obejmuje kod wpisu, kategorię i cechy pojazdu lub zestawu, parametry ładunkowe, wyposażenie, wybrany obszar z promieniem 20 km, przedział dostępności oraz czas aktualizacji i wygaśnięcia. W publicznym wpisie nie pokazujemy tablic rejestracyjnych, danych kierowcy, kontaktu przewoźnika, dokładnego miejsca postoju ani wewnętrznych powiązań organizacji. Ograniczony zestaw informacji nie jest gwarancją pełnej anonimizacji w każdych okolicznościach.
Osobno publikowany jest wskazany kontakt moderatora puli: nazwa kontaktu, telefon i e-mail. Organizacja prowadząca pulę ustala podstawę ujawnienia i informuje osobę, jeżeli kontakt ją identyfikuje. Zalecamy właściwy kontakt służbowy o minimalnym zakresie.
Publikacja jest dostępna bez logowania przez link lub QR. Odbiorcy mogą utrwalić jej kopię. Wycofanie lub wygaśnięcie kończy ekspozycję przez Logisteo zgodnie z zasadami usługi, lecz nie usuwa automatycznie wszystkich kopii u odbiorców ani historii wewnętrznej. Zgoda funkcjonalna na udział w puli nie zastępuje podstawy RODO ani informacji dla osób.
9. GPS i mapy
Integracja GPS może przekazywać lokalizację i czas pomiaru powiązane z pojazdem i kierowcą. Jej administrator ustala cel monitorowania, niezbędność, podstawę, czas aktywności, dostęp i retencję. Osoba powinna otrzymać informację przed rozpoczęciem monitorowania. W zatrudnieniu uwzględnia się przepisy Kodeksu pracy; zgoda pracownika nie jest domyślną podstawą każdego śledzenia. Nie należy używać monitoringu do nieujawnionego śledzenia aktywności prywatnej.
Publiczny obszar dostępności jest odrębny od bieżącej lokalizacji GPS. Zwykłe przeglądanie panelu lub mapy nie wymaga automatycznego włączenia lokalizacji Twojego urządzenia.
Mapa tablicy korzysta z usług OpenStreetMap Foundation w Wielkiej Brytanii, działającej jako odrębny administrator. Przeglądarka łączy się z usługą mapową i przekazuje co najmniej IP oraz żądanie wycinka mapy. Infrastrukturę mapową stanowią również serwery i sieć dostarczania treści w innych krajach. Celem po stronie Logisteo jest wyświetlenie żądanej mapy; uzasadnionym interesem jest dostarczenie tej funkcji na podstawie art. 6 ust. 1 lit. f RODO.
Informacje o przetwarzaniu przez dostawcę znajdują się w polityce OSMF i informacji dla użytkowników map. Mapy nie przekazują dostawcy treści dokumentów powierzonych do analizy.
10. Analiza dokumentów i oceny automatyczne
Analizę dokumentów wykonujemy na serwerach DevConcept Venture Lab. Obejmuje ona przekazany plik, potrzebny kontekst oraz odczytane dane i wynik oceny. Powierzone dane klientów nie są wykorzystywane do trenowania publicznych modeli AI.
Odczyt i ocena wspierają obsługę dokumentu, lecz mogą zawierać błąd. Błąd techniczny nie jest stwierdzeniem fałszerstwa. Ocena może wpływać na status dokumentu, profilu lub dostępne czynności współpracy. Właściwy administrator określa dopuszczalny zakres takiego procesu i jego podstawę, z uwzględnieniem rzeczywistego wpływu na osoby.
Jeżeli proces stanowi decyzję objętą art. 22 RODO, stosujemy właściwe przesłanki i zabezpieczenia tego przepisu. Osoba otrzymuje wymaganą informację o istotnych zasadach, znaczeniu i przewidywanych konsekwencjach oraz może korzystać z ochrony przysługującej w danym przypadku, w tym żądać interwencji człowieka, przedstawić swoje stanowisko i zakwestionować decyzję. Wniosek lub wyjaśnienie dotyczące wyniku można przekazać na biuro@devconcept.eu; sprawę rozpatruje uprawniona osoba.
12. Przekazywanie danych poza EOG
Przetwarzanie własnych usług odbywa się w opisanej infrastrukturze Operatora. Korzystanie z zewnętrznej mapy może powodować połączenie z dostawcą i jego infrastrukturą poza Europejskim Obszarem Gospodarczym. Dla Wielkiej Brytanii właściwą podstawą przekazywania w zakresie objętym decyzją jest aktualna decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony.
Jeżeli inne przetwarzanie wymaga przekazania danych poza EOG, stosujemy właściwą podstawę z rozdziału V RODO: aktualną decyzję o odpowiedniej ochronie albo odpowiednie zabezpieczenia, w szczególności standardowe klauzule i wymagane środki dodatkowe. Dostęp wsparcia i dalszych dostawców jest uwzględniany w tej ocenie; sam kraj serwera nie rozstrzyga wszystkich miejsc dostępu.
Informację o odbiorcy, kraju i zastosowanych zabezpieczeniach oraz sposób uzyskania ich kopii można otrzymać pod biuro@devconcept.eu, z ochroną uzasadnionych informacji poufnych. OSMF jako odrębny administrator opisuje własną infrastrukturę i dalsze przetwarzanie w swojej polityce.
13. Przechowywanie i usuwanie danych
Przechowujemy dane przez okres potrzebny do właściwego celu. Gdy jeden stały okres nie odpowiada charakterowi sprawy, stosujemy poniższe kryteria.
- Konto i reprezentacja: przez okres świadczenia usługi lub uprawnionego dostępu osoby; potem tylko minimalny zakres potrzebny do zakończenia współpracy, obowiązków prawnych i uzasadnionych roszczeń.
- Wsparcie i zgłoszenia: do obsługi i zamknięcia sprawy, a później wyłącznie w zakresie właściwego obowiązku dokumentacyjnego lub potrzebnego dowodu do upływu odpowiedniego terminu.
- Dokumenty własnych rozliczeń: przez czas wymagany dla danego dokumentu właściwymi przepisami podatkowymi lub rachunkowymi, z uwzględnieniem początku terminu i prawnie uzasadnionego wydłużenia.
- Dane powierzone przez organizację, w tym dokumenty i GPS: według celu, instrukcji administratora i warunków powierzenia. Zakończenie usługi obejmuje zwrot lub usunięcie oraz co najmniej 30 dni na pobranie danych po zakończeniu uzgodnionego procesu przeniesienia, a jeśli nie jest prowadzony — po zakończeniu usługi. Administrator może polecić wcześniejsze usunięcie zgodnie z regulaminem. Po okresie odzyskania dane podlegają usunięciu, o ile prawo nie wymaga dalszego przechowywania.
- Publikacje: ekspozycja kończy się przy wycofaniu lub wygaśnięciu według reguł usługi; zasadniczo najpóźniej 24 godziny po końcu dostępności, z limitem 14 dni od publikacji. Minimalna historia upoważnienia i czynności może pozostawać osobno dla rozliczalności i właściwych roszczeń.
- Logi i bezpieczeństwo: przez czas potrzebny do ochrony usługi, diagnozy lub wyjaśnienia incydentu. Dowody konkretnej sprawy wydzielamy od bieżących danych i przechowujemy tylko przez uzasadniony dla niej czas.
- Oświadczenia i zgody: minimalny dowód właściwej treści, daty, wersji i cofnięcia zachowujemy przez czas wymagany dla rozliczalności lub ochrony uzasadnionych roszczeń. Cofnięcie zgody kończy użycie danych do jej celu.
- Kopie bezpieczeństwa: są wyłączone ze zwykłego użycia. Dane objęte skutecznym usunięciem mogą pozostać w danej kopii tylko do zastąpienia jej nowszą, zweryfikowaną kopią w cyklu wymiany. Jeśli kopia jest wykorzystywana do rozpoczętego odzyskania po konkretnym incydencie, pozostaje do zakończenia tego odzyskania. Kopię potrzebną jako dowód w konkretnej sprawie zachowujemy wyłącznie według jej odrębnej podstawy i niezbędnego okresu. Przy odtworzeniu ponownie wykonujemy wcześniejsze skuteczne dyspozycje usunięcia i ograniczenia.
Żądanie usunięcia rozpatrujemy dla właściwego zakresu, obejmującego powiązane pliki, wyniki analiz i kopie, z uwzględnieniem wyjątków ustawowych oraz praw innych osób.
14. Twoje prawa
W zakresie określonym przez RODO masz prawo do informacji i dostępu, kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania oraz przenoszenia danych. Przenoszenie dotyczy odpowiednich danych przetwarzanych automatycznie na podstawie zgody lub umowy; nie daje automatycznego dostępu do całej dokumentacji organizacji lub danych innych osób.
Możesz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie z przyczyn związanych z Twoją szczególną sytuacją. Sprzeciw wobec marketingu bezpośredniego jest bezwarunkowy. Zgodę możesz wycofać w dowolnym momencie równie łatwo, jak ją udzielono; nie wpływa to na zgodność wcześniejszych czynności.
Przysługuje Ci także ochrona dotycząca decyzji objętych art. 22 RODO w zakresie wskazanym w tym przepisie. Żądanie możesz kierować do właściwego administratora lub do nas na biuro@devconcept.eu. Nie wymaga to konta, akceptacji regulaminu ani ujawnienia hasła.
15. Obsługa żądań i skarga
Na żądanie dotyczące własnego przetwarzania odpowiadamy bez zbędnej zwłoki, najpóźniej w ciągu miesiąca. Gdy pozwala na to złożoność lub liczba żądań, termin może zostać wydłużony o kolejne dwa miesiące; w pierwszym miesiącu informujemy o przyczynach. W zakresie powierzenia przekazujemy żądanie właściwemu administratorowi i pomagamy mu w wykonaniu obowiązków.
Weryfikujemy tożsamość w zakresie proporcjonalnym do ryzyka. Nie przesyłaj dokumentu tożsamości, haseł ani kluczy dostępu na zapas. Wykonanie praw jest co do zasady bezpłatne; ustawowe wyjątki dotyczą żądań ewidentnie nieuzasadnionych lub nadmiernych. Ewentualne ograniczenie lub odmowa wymagają właściwej podstawy i wyjaśnienia.
Jeżeli uważasz, że przetwarzanie narusza RODO, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Sposoby złożenia skargi opisuje UODO. Wcześniejszy kontakt z nami nie jest warunkiem wniesienia skargi.
16. Podanie danych i zgody
Wymagane dane są oznaczane przy właściwym formularzu. Bez informacji potrzebnych do konta, identyfikacji organizacji lub danej czynności nie możemy wykonać tej czynności. Dane dodatkowe są dobrowolne. Jeżeli obowiązek wynika z ustawy, odnosi się do konkretnego procesu, a nie do wszystkich pól aplikacji.
Akceptacja regulaminu dotyczy umowy. Polityka prywatności przekazuje informację i nie wymaga zbiorczej zgody na wszystkie sposoby przetwarzania. Zgoda funkcjonalna na publikację, zgoda RODO oraz zgoda na marketing lub zapis w urządzeniu to odrębne kwestie.
Informację handlową lub marketing bezpośredni kierujemy właściwym kanałem tylko po spełnieniu wymogów Prawa komunikacji elektronicznej i RODO. Zgoda jest konkretna, świadoma, dobrowolna i możliwa do wycofania. Dalsze korzystanie ze strony lub domyślne zaznaczenie pola nie zastępują zgody.
17. Ochrona danych
Stosujemy środki techniczne i organizacyjne odpowiednie do danych i ryzyka, w tym ochronę uwierzytelniania i transmisji, kontrolę uprawnień, separację zakresów organizacji, ochronę dostępu do plików, ograniczenie danych diagnostycznych i procedury reagowania na incydenty. Osoby z dostępem zachowują poufność i działają w granicach upoważnień.
Dbaj o hasło, klucze integracji i aktywną sesję. Organizacja aktualizuje uprawnienia swoich osób. Nie zwalnia to Operatora z własnych obowiązków ochrony danych.
Podejrzenie naruszenia zgłoś na biuro@devconcept.eu. Wykonujemy właściwe obowiązki związane z incydentami. Gdy zachodzą przesłanki RODO, administrator zgłasza naruszenie organowi co do zasady do 72 godzin od jego stwierdzenia i zawiadamia osoby wymagające informacji; podmiot przetwarzający zawiadamia administratora bez zbędnej zwłoki.
18. Dane osób bez konta
Jeżeli dane otrzymujemy do własnego celu od organizacji, z dokumentu, integracji lub rejestru, przekazujemy właściwą informację z art. 14 RODO, obejmującą źródło i kategorie danych. Następuje to w rozsądnym terminie, najpóźniej w ciągu miesiąca, a gdy wcześniej kontaktujemy się z osobą lub ujawniamy dane innemu odbiorcy — najpóźniej przy tej czynności. Wyjątki wymagają przesłanek ustawowych; samo publiczne źródło lub charakter B2B nie jest zbiorczym wyłączeniem tego obowiązku.
W zakresie danych powierzonych obowiązek informacyjny realizuje właściwy administrator, przy naszej pomocy wynikającej z warunków powierzenia. Logisteo jest usługą do pracy uprawnionych osób w organizacji i nie jest kierowane do dzieci. Jeżeli pojawią się dane osoby małoletniej, ich potrzebę i ochronę ocenia się indywidualnie z poszanowaniem jej praw.
19. Zmiany polityki
Aktualna wersja polityki jest dostępna bez logowania i przed pobraniem danych. Możesz zachować jej treść lub wydrukować ją. O istotnej zmianie celów, odbiorców lub procesu informujemy w odpowiedni sposób przed jej stosowaniem.
Nowy cel wymaga własnej podstawy i spełnienia wymagań dalszego przetwarzania. Aktualizacja polityki nie zastępuje wymaganej zgody, warunków powierzenia ani trybu zmiany umowy. Pytania o bieżące przetwarzanie możesz kierować na biuro@devconcept.eu.