Polityka prywatności dla kurierów

Administratorem Twoich danych osobowych jest podmiot gospodarczy, który prowadzi lokal „Полігон” i z którym łączy Cię umowa o pracę jako kurier (umowa o pracę lub umowa cywilnoprawna), dalej: lokal. Jego dane podano w sekcji 9.

Polityka dotyczy wyłącznie pracy kuriera: konta, zmian, dostaw, lokalizacji, rozliczeń i korespondencji z gośćmi. To, jak lokal przetwarza dane gości, opisano w osobnym dokumencie:

Polityka prywatności

W zależności od tego, z czego korzystasz w aplikacji, przetwarzane są następujące dane:

• Konto: imię (i nazwisko, jeśli wpisał je administrator), numer telefonu, hasło, język aplikacji, punkty lokalu, w których możesz otwierać zmianę, oraz to, czy konto jest aktywne; jeśli lokal prowadzi je w systemie, także stawka wynagrodzenia, jej rodzaj i data zatrudnienia. Konto zakłada administrator lokalu: nie można samodzielnie zarejestrować się w aplikacji. Serwer przechowuje hasło wyłącznie w postaci skrótu (hasha), więc nikt nie może go odczytać, również personel lokalu.
• Zmiany: punkt, godzina rozpoczęcia i zakończenia zmiany oraz czas ostatniego sygnału aplikacji. Dopóki zmiana jest otwarta, aplikacja raz na minutę informuje serwer, że jest połączona; jeśli sygnału nie ma przez 10 minut, serwer sam zamyka zmianę.
• Praca z zamówieniami: zamówienia przyjęte przez Ciebie, czas zmian ich statusu, a przy oznaczeniu „Niedoręczone” powód i Twój komentarz. Jeśli gość ocenił dostawę w opinii, ocena jest powiązana z zamówieniem dostarczonym przez Ciebie.
• Lokalizacja podczas dostawy: dokładne współrzędne GPS, kierunek i prędkość ruchu (sekcja 3).
• Rozliczenia: gotówka przyjęta od gości, przekazanie gotówki lokalowi (data, kwota, zamówienia), napiwki z Twoich zamówień i ich wypłaty, wypłaty wynagrodzenia, jeśli lokal zapisuje je w systemie.
• Korespondencja z gościem na czacie zamówienia.
• Dane techniczne: identyfikator telefonu do powiadomień push, a jeśli aplikacja uległa awarii, raport o awarii (sekcja 5).

Aplikacja nie korzysta z aparatu, mikrofonu, kontaktów ani zdjęć w telefonie.

Aplikacja zaczyna przekazywać Twoją pozycję po naciśnięciu „W drodze” i przestaje, gdy nie masz już żadnego zamówienia w drodze: oznaczysz ostatnie jako „Dostarczone” lub „Niedoręczone”, menedżer przekaże je innemu kurierowi albo zamówienie zostanie anulowane. Gdy się przemieszczasz, co kilka sekund wysyła na serwer dokładne współrzędne GPS, kierunek i prędkość ruchu. Sama otwarta zmiana nie przekazuje pozycji.

O tym, że zamówienie zostało Ci odebrane lub anulowane, aplikacja dowiaduje się od serwera od razu, a bez połączenia zaraz po jego przywróceniu; do tego czasu może wysłać jeszcze kilka punktów. Serwer pokazuje pozycję gościowi tylko dla zamówienia, które jest teraz w drodze i przypisane do Ciebie, więc takie punkty nie trafiają na mapę gościa, lecz zapisują się jako Twoja ostatnia znana pozycja i w dzienniku trasy bez powiązania z zamówieniem (sekcja 6).

Aby pozycja była przekazywana także przy zablokowanym ekranie lub otwartej nawigacji, aplikacja prosi o dostęp do lokalizacji w tle. Na Androidzie najpierw wyjaśnia to na osobnym ekranie, a dostęp w tle włącza się tylko przyciskiem „Włącz”; gdy pozycja jest przekazywana w tle, w panelu powiadomień widać powiadomienie aplikacji o dostawie. Na iPhonie o zgodę pyta system, a podczas przekazywania w tle iPhone pokazuje swój wskaźnik lokalizacji.

Jeśli nie zezwolisz na dostęp w tle, aplikacja działa dalej i przekazuje pozycję tylko wtedy, gdy jest otwarta na ekranie. Bez zgody na lokalizację dostawę również można zrealizować, ale gość nie zobaczy Cię na mapie. Uprawnienie można zmienić w każdej chwili w ustawieniach telefonu.

Gdy zamówienie jest w drodze, aplikacja co 45 sekund wysyła na serwer lokalu Twoją bieżącą pozycję i punkt dostawy, aby pokazać na karcie zamówienia odległość i czas do gościa. Przyciski „Trasa” i „Nawigacja” otwierają Google Maps z adresem gościa; aplikacja nie przekazuje tam Twojej pozycji, a nawigację dalej prowadzi Google według własnych zasad.

• Wykonanie umowy z Tobą (art. 11 ust. 1 pkt 3 ustawy Ukrainy nr 2297-VI; art. 6 ust. 1 lit. b RODO): konto i logowanie, zmiany, dostawy, lokalizacja podczas dostawy (aby gość widział Cię na mapie, a lokal śledził dostawę), czat z gościem, rozliczenia gotówkowe, napiwki i wypłaty.
• Wypełnienie obowiązku prawnego lokalu (art. 11 ust. 1 pkt 5 ustawy Ukrainy nr 2297-VI; art. 6 ust. 1 lit. c RODO): ewidencja gotówki, wypłat i napiwków, zapisy księgowe i podatkowe.
• Prawnie uzasadniony interes lokalu (art. 11 ust. 1 pkt 6 ustawy Ukrainy nr 2297-VI; art. 6 ust. 1 lit. f RODO): ochrona kont przed logowaniem osób nieuprawnionych, analiza awarii aplikacji, mapa kurierów z ostatnią znaną pozycją, historia tras do rozpatrywania skarg i sporów dotyczących dostaw, wskaźniki pracy kurierów.

Twoje dane widzą i otrzymują:

• Gość zamówienia, które wieziesz: Twoje imię i numer telefonu, gdy zamówienie jest przygotowywane i w drodze, aby mógł się z Tobą skontaktować; gdy zamówienie jest w drodze, również Twoją pozycję na mapie i czas przybycia. Po „Dostarczone”, anulowaniu lub „Niedoręczone” gość na stronie zamówienia nie widzi już ani Twojego imienia i telefonu, ani pozycji. Wiadomości na czacie zamówienia widzi ten gość.
• Personel lokalu, każdy w zakresie swojej roli: właściciel i menedżerowie widzą Twoje konto, zmiany, zamówienia, ruch podczas dostawy, historię tras, ostatnią znaną pozycję na mapie kurierów, wskaźniki pracy, rozliczenia i korespondencję na czatach zamówień; kelnerzy punktu, z którego wychodzi dostawa, widzą Twój ruch podczas dostawy i korespondencję na czatach jego zamówień; księgowy widzi zmiany i rozliczenia bez lokalizacji.
• Podmiot przetwarzający Complete solution s. r. o. (Słowacja, IČO 56 693 371), który przetwarza dane na podstawie umowy z administratorem: utrzymuje i obsługuje aplikację kuriera, stronę, panel administracyjny i kasę.
• Dostawcy hostingu i infrastruktury, na których serwerach dane są przechowywane lub przez które przechodzą: Railway Corp. (USA): część serwerowa i baza danych PostgreSQL, zadania planowe, nocna kopia zapasowa i cotygodniowe sprawdzenie, czy da się ją odtworzyć; Vercel Inc. (USA): panel administracyjny, w którym personel widzi Twoje dane, oraz strona; Cloudflare, Inc. (USA): proxy i DNS, przez które przechodzi połączenie z serwerem, oraz magazyn Cloudflare R2 na zaszyfrowane kopie zapasowe bazy. Przekazanie poza Ukrainę odbywa się do państw zapewniających odpowiednią ochronę (art. 29 ust. 3 Ustawy nr 2297-VI), a w pozostałych przypadkach na podstawie gwarancji umownych administratora (art. 29 ust. 4 pkt 5).
• Usługa Expo (USA): dostarczanie powiadomień push o nowych i odebranych zamówieniach oraz o wiadomościach gościa (identyfikator telefonu do powiadomień i treść powiadomienia) oraz pobieranie aktualizacji aplikacji (serwer aktualizacji otrzymuje dane techniczne żądania, w tym adres IP).
• Usługa monitorowania błędów Sentry, jeśli jest podłączona: dane techniczne o awariach aplikacji i serwera oraz o części żądań do serwera (model i system telefonu, wersja aplikacji, treść i stos błędu, adres żądania) oraz wewnętrzny identyfikator Twojego konta, bez imienia i numeru telefonu. Przed wysłaniem usuwane są hasła, tokeny, numery telefonów, współrzędne i treść żądań.
• Telegram: jeśli gość korzysta z bota lokalu w Telegramie, Twoje wiadomości na czacie zamówienia docierają do niego przez Telegram; oznaczenie „Niedoręczone” z powodem, Twoim komentarzem i wewnętrznym identyfikatorem konta może trafiać na służbowy czat wsparcia technicznego platformy w Telegramie.
• Anthropic PBC (USA), dostawca modelu językowego Claude, jeśli lokal podłączył asystenta AI w panelu administracyjnym: gdy właściciel pyta o pracę kurierów, model otrzymuje Twoje imię (bez nazwiska i numeru telefonu) i wskaźniki za okres: liczbę dostaw, ich sumę, średni czas dostawy i napiwki. Przekazanie poza Ukrainę odbywa się do państw zapewniających odpowiednią ochronę (art. 29 ust. 3 Ustawy nr 2297-VI), a w pozostałych przypadkach na podstawie gwarancji umownych administratora (art. 29 ust. 4 pkt 5).
• Usługa kartograficzna wyznaczania tras, jeśli lokal ją podłączył: Twoja pozycja i punkt dostawy, aby obliczyć czas przybycia.
• Usługi, które lokal sam podłączył do swojego systemu przez otwarte API (kasa, księgowość, CRM), jeśli lokal dał im dostęp do zamówień: Twoje imię w danych zamówienia, które dostarczasz.
• Google, tylko gdy otwierasz trasę przyciskiem „Trasa” lub „Nawigacja”: Google Maps otrzymuje adres gościa, a dalej przetwarza dane według własnych zasad.
• Organy państwowe, wyłącznie na podstawie żądań zgodnych z prawem.

Lokal nie sprzedaje Twoich danych osobowych.

Okresy przechowywania:

• Dziennik trasy (punkt co 30 sekund, gdy aplikacja przekazuje pozycję): 30 dni, potem punkty usuwa codzienne zadanie czyszczenia bazy.
• Ostatnia znana pozycja (współrzędne i czas): przechowywana w Twoim profilu kuriera bez określonego terminu. Zastępuje ją pozycja z następnej dostawy; ani zakończenie zmiany, ani wylogowanie, ani dezaktywacja konta obecnie jej nie usuwają.
• Konto i profil (imię, telefon, język, punkty, warunki wynagrodzenia): bez określonego terminu, dopóki lokal nie usunie konta. Dezaktywacja konta nie usuwa danych. Całkowicie usunąć konto można tylko wtedy, gdy nie ma przy nim zmian, przekazań gotówki, wypłat ani napiwków; w przeciwnym razie pozostaje dezaktywowane, ponieważ lokal przechowuje te zapisy jako księgowe.
• Zmiany, przekazania gotówki, napiwki i wypłaty: bez określonego terminu, jako dokumenty księgowe lokalu.
• Korespondencja na czacie zamówienia: 12 miesięcy lub krócej, jeśli gość tego zamówienia poprosi o usunięcie swoich danych.
• Dziennik działań (na przykład oznaczenie „Niedoręczone” z Twoim komentarzem): po 3 latach z wpisu usuwane są dane o tym, kto działał, oraz szczegóły; sam wpis pozostaje.
• Statystyka służbowa (kiedy odbierano Ci zamówienia i z jakiego powodu zamówienie nie zostało doręczone) z identyfikatorem konta: bez określonego terminu.
• Identyfikator powiadomień push: do wylogowania się z konta w telefonie; dezaktywacja konta go nie usuwa.
• W telefonie dane logowania i profil są przechowywane w bezpiecznym magazynie systemu i usuwane po wylogowaniu; wybrany język pozostaje.

Zaszyfrowane kopie zapasowe bazy przechowują dane jeszcze do 30 dni (kopie dzienne) i do 12 miesięcy (kopie miesięczne), dopóki kopia nie zostanie usunięta; kopie są potrzebne wyłącznie do odtworzenia bazy po awarii.

Aplikacja łączy się z serwerem wyłącznie przez szyfrowane połączenie (HTTPS i bezpieczny WebSocket). Serwer przechowuje hasło tylko w postaci skrótu (hasha), a dane logowania w telefonie są przechowywane w bezpiecznym magazynie systemu. Personel widzi Twoje dane tylko w zakresie swojej roli i punktów lokalu. Wylogowanie usuwa dane logowania z telefonu, a jeśli telefon ma połączenie, kończy też sesję na serwerze. Aby zakończyć wszystkie sesje, także tę, z której wylogowano się bez połączenia, poproś administratora o zmianę hasła.

Zgodnie z art. 8 ustawy Ukrainy „O ochronie danych osobowych” masz prawo wiedzieć, jakie Twoje dane są przetwarzane, skąd pochodzą, gdzie są przechowywane i komu są przekazywane; uzyskać do nich dostęp; żądać poprawienia nieprawidłowych danych i usunięcia danych przetwarzanych niezgodnie z prawem lub już niepotrzebnych; sprzeciwić się przetwarzaniu; złożyć skargę do Pełnomocnika Rady Najwyższej Ukrainy ds. Praw Człowieka lub do sądu.

Poprawić imię lub numer telefonu, zmienić hasło lub dezaktywować konto może administrator lokalu. Język zmieniasz samodzielnie w aplikacji, a dostęp do lokalizacji w ustawieniach telefonu.

Z każdym żądaniem dotyczącym Twoich danych zwracaj się do lokalu na adres hello@poligon.vitrina.cafe lub przez inne kontakty z sekcji 9. Zapisów, które lokal musi przechowywać zgodnie z prawem (ewidencja gotówki, wypłat i napiwków), nie usuwa się na żądanie.

W sprawach przetwarzania Twoich danych osobowych kontaktuj się:

Nową wersję polityki lokal publikuje na tej stronie; datę ostatniej aktualizacji podano na górze.