Polityka prywatności Odpadomat.pl

1. Podział ról w świetle RODO

W ramach platformy Odpadomat.pl przetwarzamy dane osobowe w trzech odrębnych rolach:

1. Administrator danych. Odpadomat sp. z o.o. jest administratorem danych osób odwiedzających stronę internetową, osób korzystających z formularzy kontaktowych oraz przedstawicieli firm, które korzystają z platformy na podstawie Regulaminu (dalej: Użytkownicy), zakładają konto i opłacają subskrypcję.
2. Podmiot przetwarzający. Dane wprowadzane do systemu przez Użytkowników, takie jak dane kierowców, ich lokalizacja GPS i dane klientów końcowych zlecających podstawienie kontenera, pozostają pod kontrolą Użytkownika jako administratora. Odpadomat sp. z o.o. przetwarza je wyłącznie w imieniu i na polecenie Użytkownika, na podstawie umowy powierzenia przetwarzania danych osobowych będącej Załącznikiem nr 1 do Regulaminu.
3. Administrator danych technicznych. Odpadomat sp. z o.o. jest administratorem danych z automatycznych zgłoszeń o awariach oprogramowania: rodzaju i treści błędu, śladu wykonania programu, modelu urządzenia, wersji systemu i aplikacji, identyfikatora użytkownika oraz zapisu operacji poprzedzających błąd, w tym adresów zapytań sieciowych, które mogą zawierać numery zleceń. Przetwarzamy je we własnym prawnie uzasadnionym interesie, którym jest bezpieczeństwo i poprawne działanie oprogramowania (art. 6 ust. 1 lit. f RODO).

Aplikacja dla kierowców działa w dwóch postaciach: jako aplikacja webowa otwierana w przeglądarce oraz jako aplikacja mobilna „Odpadomat Kierowca” na system Android. Przetwarzanie danych w aplikacji mobilnej opisuje odrębny dokument: polityka prywatności aplikacji kierowcy, i w jej zakresie rozstrzygający jest tamten dokument. Do wersji webowej stosuje się ta polityka.

2. Administrator danych osobowych

Administratorem Twoich danych osobowych w zakresie opisanym w pkt 1 ppkt 1) jest:
Odpadomat sp. z o.o.
z siedzibą pod adresem: ul. Magiczna 16A lok. 58, 03-289 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIV Wydział Gospodarczy KRS,
KRS: 0001253943,
NIP: 5243077933,
REGON: 545252627,
kapitał zakładowy: 5 000,00 zł,
e-mail: kontakt@odpadomat.pl

3. Cele i podstawy prawne przetwarzania danych przez administratora

Przetwarzamy dane osobowe w następujących celach:

• Rejestracja konta i obsługa subskrypcji: dane rejestracyjne (imię, nazwisko, e-mail, telefon) oraz dane firmy (nazwa, NIP, adres). Przetwarzanie jest niezbędne do zawarcia i wykonania umowy o świadczenie usług drogą elektroniczną (art. 6 ust. 1 lit. b RODO).
• Bezpieczeństwo kont w Serwisie: przy logowaniu usługa uwierzytelniania zapisuje identyfikator konta, rodzaj zdarzenia i czas oraz adres IP i informację o urządzeniu w sesji. Podstawą jest prawnie uzasadniony interes administratora, którym jest bezpieczeństwo kont i systemu (art. 6 ust. 1 lit. f RODO).
• Rozliczenia finansowe i podatkowe: wystawianie faktur i prowadzenie księgowości, czyli wypełnianie obowiązków prawnych administratora (art. 6 ust. 1 lit. c RODO).
• Obsługa korespondencji, formularzy kontaktowych i czatu wsparcia w panelu: dane kontaktowe przekazane przez formularz lub e-mail, a w czacie imię i nazwisko osoby piszącej, nazwa firmy, treść wiadomości i dołączone pliki. Podstawą jest prawnie uzasadniony interes administratora, którym jest budowanie relacji z klientami i odpowiadanie na zapytania (art. 6 ust. 1 lit. f RODO).
• Obrona i dochodzenie roszczeń: zabezpieczenie ewentualnych roszczeń cywilnoprawnych. Podstawą jest prawnie uzasadniony interes, którym jest ochrona praw majątkowych (art. 6 ust. 1 lit. f RODO).
• Utrzymanie i naprawa oprogramowania: automatyczne zgłoszenia o awariach opisane w pkt 1 ppkt 3). Podstawą jest prawnie uzasadniony interes administratora, którym jest bezpieczeństwo i poprawne działanie oprogramowania (art. 6 ust. 1 lit. f RODO).

4. Przetwarzanie w roli podmiotu przetwarzającego i lokalizacja

Dane kierowców i klientów końcowych, które Użytkownik wprowadza do systemu Odpadomat albo które powstają w nim przy realizacji zleceń, przetwarzamy na polecenie Użytkownika jako podmiot przetwarzający. Dotyczy to także danych lokalizacyjnych:

• System nie monitoruje floty i nie rejestruje tras. Nie odczytujemy w sposób ciągły położenia pojazdu ani urządzenia kierowcy i nie przechowujemy historii przejazdów.
• Dane lokalizacyjne pochodzą z urządzenia kierowcy tylko w dwóch sytuacjach, w obu postaciach aplikacji dla kierowców (webowej i mobilnej). Pierwsza to współrzędne miejsca ustawienia kontenera, odczytywane jednorazowo w chwili, w której kierowca zapisuje pinezkę. Krok ten jest opcjonalny, a współrzędne trafiają do zlecenia, zadania i kontenera jako dokumentacja wykonania. Druga to współrzędne miejsca zamknięcia zadania, odczytywane po otwarciu ekranu zamknięcia zadania (w aplikacji mobilnej w chwili zatwierdzenia), wyłącznie u Użytkowników, którzy włączyli moduł wymagający pozycji GPS przy zamknięciu. Współrzędne są zapisywane przy zadaniu dopiero po zatwierdzeniu zamknięcia. U pozostałych Użytkowników pozycja nie jest przy zamknięciu zadania odczytywana. Szczegóły opisuje polityka prywatności aplikacji kierowcy.
• Pozostałe współrzędne w systemie (adresy podstawienia i odbioru, lokalizacje kontenerów) pochodzą z danych zlecenia, a nie z urządzenia kierowcy.
• Za poinformowanie kierowców o przetwarzaniu tych danych, uzyskanie wymaganych zgód i określenie podstawy prawnej (na przykład stosunku pracy) odpowiada wyłącznie Użytkownik jako administrator tych danych.

5. Odbiorcy danych i podprocesorzy

Aby świadczyć usługi, powierzamy dane zaufanym podmiotom trzecim albo im je udostępniamy. Poniższe zestawienie rozdziela podmioty, które przetwarzają dane na nasze polecenie (dalej: Podprocesorzy), od podmiotów, które otrzymują dane i samodzielnie o nich decydują. Wykazem Podprocesorów, o którym mowa w pkt 4 Załącznika nr 1 do Regulaminu, jest pkt 5.1 poniżej i jest on jedynym źródłem tego wykazu.

5.1. Podmioty przetwarzające na nasze polecenie

• Supabase Pte. Ltd (region Londyn, Wielka Brytania): baza danych PostgreSQL, logowanie użytkowników, przechowywanie plików i kopie zapasowe. Wielka Brytania jest objęta decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych. Stroną umowy powierzenia jest spółka z siedzibą w Singapurze, a wsparcie prowadzi, jako dalszy podmiot przetwarzający, jej spółka Supabase, Inc. ze Stanów Zjednoczonych. Podstawą przekazania poza Europejski Obszar Gospodarczy są standardowe klauzule umowne zatwierdzone przez Komisję Europejską (art. 46 ust. 2 lit. c RODO).
• OVH Sp. z o.o. (siedziba we Wrocławiu, serwery w centrum danych w Warszawie): hosting serwerów aplikacyjnych, API i systemu monitorowania awarii.
• Cloudflare, Inc. (sieć rozproszona, USA): warstwa sieciowa, obsługa domen i ochrona przed atakami. Przechodzi przez nią ruch kierowany do naszych serwerów, w tym adresy IP. Spółka jest certyfikowana w programie Data Privacy Framework objętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych.
• Discord, Inc. (Stany Zjednoczone): komunikator, w którym zespół Odpadomat obsługuje zgłoszenia i kontakt pierwszej linii oraz otrzymuje wewnętrzne powiadomienia, także o wysłanych i otrzymanych wiadomościach e-mail (temat, firma, liczba odbiorców). Spółka jest certyfikowana w programie Data Privacy Framework objętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych.
• SMSPlanet (usługa smsplanet.pl, Polska): wysyłka wiadomości SMS do klientów końcowych Użytkowników oraz SMS-ów z kodami jednorazowymi przy logowaniu i resecie hasła kierowcy. Do dostawcy trafiają numer telefonu odbiorcy i treść wiadomości.
• Plus Five Five, Inc. (usługa Resend, Stany Zjednoczone): wysyłka i odbiór wiadomości e-mail, czyli korespondencji prowadzonej z panelu wraz z odpowiedziami, kodów jednorazowych przy logowaniu do panelu i wiadomości systemowych. Do dostawcy trafiają adresy nadawcy i odbiorców oraz temat, treść i załączniki wiadomości. Spółka jest certyfikowana w programie Data Privacy Framework objętym decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony danych, a jej umowa powierzenia przewiduje ponadto standardowe klauzule umowne.

5.2. Odbiorcy będący odrębnymi administratorami

Poniższe podmioty otrzymują dane w związku z działaniem platformy, ale przetwarzają je na własnych zasadach i we własnych celach, nie wyłącznie na nasze polecenie.

• OpenStreetMap Foundation: zamiana adresu na współrzędne geograficzne i współrzędnych na adres oraz dostarczanie obrazów mapy wyświetlanych w panelu i w webowej wersji aplikacji dla kierowców. Zapytania geokodujące wysyła nasz serwer, a obrazy mapy pobiera bezpośrednio przeglądarka osoby korzystającej z panelu albo z tej wersji aplikacji, wraz z jej adresem IP. Fundacja jest zarejestrowana w Wielkiej Brytanii, ale jej serwery geokodowania stoją w Holandii, Irlandii i Stanach Zjednoczonych, a o wyborze serwera decyduje routing usługi. Dla zapytań trafiających na serwer w Stanach Zjednoczonych nie mamy podstawy przekazania poza Europejski Obszar Gospodarczy: nie obejmuje ich decyzja o odpowiednim stopniu ochrony i nie zawarliśmy z Fundacją standardowych klauzul umownych. Pracujemy nad zastąpieniem tej usługi rozwiązaniem dającym taką podstawę. Wdrożenie zmiany odnotujemy datą aktualizacji tej polityki.
• Google Cloud Poland Sp. z o.o. (Warszawa): usługi Google Maps Platform, czyli dostarczanie obrazów mapy do aplikacji mobilnej. Google wskazuje spółkę z siedzibą w Polsce jako stronę umowy dla klientów rozliczających się w Polsce.
• Google Ireland Limited (Irlandia) oraz pozostałe spółki Google wskazane w umowie dystrybucyjnej Google Play: dystrybucja aplikacji mobilnej przez Google Play, na zasadach określonych przez Google wobec użytkowników sklepu.
• Google Ireland Limited (Irlandia), usługa Google Fonts: czcionki, których używa strona internetowa Odpadomat.pl. Przeglądarka pobiera je bezpośrednio z serwerów Google i przekazuje przy tym Google swój adres IP. Google przetwarza go jako odrębny administrator, na własnych zasadach.
• mElements S.A. (usługa paynow, Grupa mBank): obsługa płatności bezgotówkowych za subskrypcję. Operator płatności przetwarza dane płatnika jako odrębny administrator, na podstawie własnych obowiązków wynikających z przepisów o usługach płatniczych i o przeciwdziałaniu praniu pieniędzy.

5.3. Wiadomości SMS

Wiadomości SMS do klientów końcowych wysyła Odpadomat z własnego konta u dostawcy SMSPlanet wymienionego w pkt 5.1. Są to powiadomienia o zadaniach oraz prośby o wystawienie opinii w Google. Wiadomość powstaje z szablonu zdefiniowanego przez Użytkownika i wychodzi wyłącznie na polecenie osoby obsługującej panel: powiadomienie, gdy wskazuje ona zadania w planie dnia, a prośba o opinię, gdy wskazuje ona klientów w zakładce „Opinie” ekranu „Komunikacja”. System nie wysyła takich wiadomości automatycznie. Numer odbiorcy ustalamy po naszej stronie na podstawie danych klienta końcowego przypisanego do zadania, a nadawcą wiadomości jest Odpadomat.

Prośba o opinię zawiera odnośnik do opinii o firmie Użytkownika w Google, który Użytkownik sam ustawia w panelu. Taka wiadomość jest informacją handlową, więc wolno ją wysłać tylko klientowi końcowemu, który uprzednio się na to zgodził (art. 398 ustawy Prawo komunikacji elektronicznej). Za uzyskanie tych zgód odpowiada Użytkownik, zgodnie z § 7 ust. 3 Regulaminu.

Do dostawcy przekazujemy numer odbiorcy i treść wiadomości. W naszej bazie zapisujemy numer odbiorcy, treść wiadomości i status jej doręczenia jako historię wysyłek, widoczną dla Użytkownika w panelu. Przy prośbie o opinię zapisujemy ponadto, do którego klienta końcowego i na jaki numer ją wysłaliśmy, aby nie wysłać jej drugi raz temu samemu klientowi ani na ten sam numer.

O zamiarze dodania lub zastąpienia Podprocesora wymienionego w pkt 5.1 informujemy Użytkowników z co najmniej 14-dniowym wyprzedzeniem, zgodnie z pkt 4 Załącznika nr 1 do Regulaminu.

6. Przechowywanie plików

Zdjęcia dokumentujące zlecenia, podpisy odręczne składane w panelu i zdjęcia kontenerów ze spisu z natury przechowujemy w przestrzeniach plikowych u Podprocesora wskazanego w pkt 5.1. Te przestrzenie są prywatne. Odczyt, zapis i usunięcie pliku są dostępne wyłącznie dla kont firmy, do której należy zlecenie albo kontener, oraz dla upoważnionych administratorów systemu po naszej stronie. Konta innych firm nie mają dostępu do tych plików, a bez logowania nie da się ich otworzyć po samym identyfikatorze pliku.

Aby wyświetlić plik, panel lub aplikacja otrzymuje od naszego serwera odnośnik podpisany, który wygasa po określonym czasie. W czasie ważności odnośnik otwiera plik bez logowania. Po jego wygaśnięciu plik można otworzyć wyłącznie przez nowy odnośnik, wydawany zalogowanemu kontu uprawnionej firmy.

Osobną przestrzenią są pliki konfiguracyjne formularzy klienckich. Ta przestrzeń pozostaje publiczna do odczytu, bo formularze muszą działać bez logowania, i nie zawiera danych osobowych.

7. Okresy przechowywania danych

• Dane konta i dane firmy: przez czas obowiązywania umowy o świadczenie usług, a po jej zakończeniu przez okres przedawnienia roszczeń z niej wynikających.
• Dokumenty rozliczeniowe: przez okres wymagany przepisami podatkowymi, liczony od końca roku kalendarzowego, w którym upłynął termin płatności podatku.
• Korespondencja i zgłoszenia z formularzy kontaktowych: przez okres niezbędny do obsługi sprawy, a następnie przez okres przedawnienia roszczeń.
• Czat wsparcia w panelu: historia rozmowy jest przechowywana razem z danymi konta i firmy, czyli przez czas obowiązywania umowy o świadczenie usług, a po jej zakończeniu przez okres przedawnienia roszczeń. Pliki dołączone do wiadomości (zdjęcia, dokumenty PDF) są przechowywane wyłącznie na serwerze komunikatora wskazanego w pkt 5.1 i nie są usuwane automatycznie.
• Dane logowania do kont w Serwisie: dziennik zdarzeń logowania (identyfikator konta, rodzaj zdarzenia, czas) przez 90 dni od zapisania wpisu oraz sesja z adresem IP i informacją o urządzeniu do wylogowania albo przez 90 dni od ostatniej aktywności, po czym są usuwane automatycznie.
• Automatyczne zgłoszenia o awariach: 90 dni od zarejestrowania zgłoszenia, po czym są usuwane automatycznie.
• Dane przetwarzane w roli podmiotu przetwarzającego: przez okres wskazany przez Użytkownika jako administratora. Po ustaniu jego umowy z Odpadomatem usuwamy je albo zwracamy, zgodnie z jego wyborem, w terminie 30 dni (pkt 7 Załącznika nr 1 do Regulaminu).

Podanie danych rejestracyjnych i danych firmy jest wymogiem umownym: bez nich nie da się zawrzeć umowy o świadczenie usług drogą elektroniczną ani wystawić faktury. Podanie danych w formularzu kontaktowym jest dobrowolne, a ich niepodanie oznacza tylko tyle, że nie będziemy mieli jak odpowiedzieć.

Nie podejmujemy wobec Ciebie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

8. Twoje prawa

Przysługuje Ci prawo do dostępu do danych, ich sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych i wniesienia sprzeciwu wobec przetwarzania. Możesz też wnieść skargę do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych (UODO).

Zakres, w jakim poszczególne prawa przysługują, zależy od podstawy prawnej przetwarzania. Prawo do przenoszenia dotyczy danych przetwarzanych na podstawie umowy (art. 6 ust. 1 lit. b RODO), a prawo sprzeciwu danych przetwarzanych w prawnie uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO), w tym zgłoszeń o awariach opisanych w pkt 1 ppkt 3). Jeżeli przetwarzanie opiera się na zgodzie, możesz ją wycofać w każdej chwili, co nie wpływa na zgodność z prawem przetwarzania sprzed jej wycofania.

Gdy działamy jako podmiot przetwarzający (pkt 4), żądanie kierujesz do Użytkownika, który jest administratorem tych danych. Wspieramy go w jego realizacji, ale nie rozstrzygamy żądania samodzielnie i nie usuwamy danych bez jego polecenia.

9. Pliki cookies i dane zapisywane w przeglądarce

Strona internetowa Odpadomat.pl nie korzysta z narzędzi analitycznych ani marketingowych i nie zapisuje w przeglądarce plików cookies. Czcionki strony pobiera przeglądarka z serwerów Google (pkt 5.2), więc Google otrzymuje wtedy adres IP odwiedzającego.

Panel i webowa wersja aplikacji dla kierowców nie utrzymują sesji plikiem cookie. Dane zalogowania przechowuje pamięć lokalna przeglądarki, a żądania do naszych serwerów uwierzytelnia token przesyłany w nagłówku. Ta sama pamięć przechowuje ustawienia widoków i informacje techniczne potrzebne do aktualizacji aplikacji. Wszystko to jest niezbędne do świadczenia usługi, której żąda zalogowana osoba, więc nie wymaga zgody (art. 399 ust. 3 pkt 2 ustawy Prawo komunikacji elektronicznej). Wyczyszczenie tych danych w ustawieniach przeglądarki wylogowuje z panelu.

10. Kontakt

W sprawach dotyczących ochrony danych osobowych i realizacji praw wynikających z RODO napisz na adres e-mail: kontakt@odpadomat.pl