POLITYKA PRYWATNOŚCI SERWISU FLEETFLOW

Załącznik numer 1 do Regulaminu świadczenia usług drogą elektroniczną w serwisie FleetFlow.

Wersja 1.1 z dnia 2026-09-16. Obowiązuje od dnia 16 września 2026 roku.

§ 1. Administrator danych osobowych

1. Administratorem danych osobowych w rozumieniu art. 4 punkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, zwanego dalej „RODO", jest VivaDrive Polska spółka z ograniczoną odpowiedzialnością z siedzibą w Warszawie, adres: ul. Dobra 56/66, 00-312 Warszawa, wpisana do rejestru przedsiębiorców Krajowego Rejestru Sądowego pod numerem KRS 0000789919, NIP 7010929600, REGON 383580710, zwana dalej „Administratorem".

2. Z Administratorem można skontaktować się w sprawach dotyczących ochrony danych osobowych pod adresem poczty elektronicznej rodo@vivadrive.ai oraz pod adresem korespondencyjnym wskazanym w ustępie 1.

3. Administrator nie wyznaczył inspektora ochrony danych. We wszystkich sprawach dotyczących przetwarzania danych osobowych należy kontaktować się pod adresem wskazanym w ustępie 2.

§ 2. Zakres zastosowania Polityki

1. Niniejsza Polityka opisuje przetwarzanie danych osobowych, wobec których Administrator występuje w roli administratora, to jest danych osób reprezentujących Usługobiorców, osób korzystających z Konta oraz osób odwiedzających Serwis.

2. Niniejsza Polityka nie znajduje zastosowania do danych osobowych wprowadzanych do Serwisu przez Usługobiorcę, w szczególności danych kierowców. W odniesieniu do tych danych administratorem pozostaje Usługobiorca, a Administrator występuje wyłącznie w roli podmiotu przetwarzającego, na zasadach określonych w Umowie powierzenia przetwarzania danych osobowych stanowiącej załącznik numer 2 do Regulaminu.

§ 3. Cele, podstawy prawne i okresy przetwarzania

1. Administrator przetwarza dane osobowe w następujących celach i na następujących podstawach prawnych:

   1. zawarcie i wykonanie umowy o świadczenie Usługi, w tym założenie i utrzymanie Konta, uwierzytelnianie Użytkowników oraz obsługa zgłoszeń - na podstawie art. 6 ustęp 1 litera b RODO, a w zakresie danych osób reprezentujących Usługobiorcę niebędących stroną umowy - na podstawie art. 6 ustęp 1 litera f RODO, przy czym prawnie uzasadnionym interesem jest wykonanie umowy zawartej z Usługobiorcą; zakres danych obejmuje imię, nazwisko, służbowy adres poczty elektronicznej, służbowy numer telefonu, stanowisko oraz dane identyfikacyjne Usługobiorcy; dane przetwarzane są przez czas obowiązywania umowy;

   2. rozliczenia i wystawianie dokumentów księgowych - na podstawie art. 6 ustęp 1 litera c RODO w związku z przepisami ustawy o rachunkowości oraz ustawy o podatku od towarów i usług; dane przetwarzane są przez okres pięciu lat liczonych od końca roku kalendarzowego, w którym upłynął termin płatności podatku;

   3. zapewnienie bezpieczeństwa Serwisu, w tym prowadzenie dzienników zdarzeń, wykrywanie nadużyć i przeciwdziałanie nieuprawnionemu dostępowi - na podstawie art. 6 ustęp 1 litera f RODO, przy czym prawnie uzasadnionym interesem jest zapewnienie bezpieczeństwa systemu teleinformatycznego i danych w nim zgromadzonych; dane przetwarzane są przez okres dwunastu miesięcy od zarejestrowania zdarzenia;

   4. rozpatrywanie reklamacji oraz ustalenie, dochodzenie i obrona roszczeń - na podstawie art. 6 ustęp 1 litera f RODO, przy czym prawnie uzasadnionym interesem jest możliwość obrony przed roszczeniami i ich dochodzenia; dane przetwarzane są do upływu terminu przedawnienia roszczeń;

   5. rozwój i poprawa jakości Serwisu, w tym analiza sposobu korzystania z funkcjonalności - na podstawie art. 6 ustęp 1 litera f RODO, przy czym prawnie uzasadnionym interesem jest doskonalenie świadczonej usługi; w celu tym Administrator wykorzystuje dane zagregowane, a dane pozwalające na identyfikację osoby przetwarzane są przez okres nie dłuższy niż dwanaście miesięcy;

   6. marketing bezpośredni własnych usług Administratora, w tym przesyłanie informacji handlowych na wskazany adres poczty elektronicznej - na podstawie art. 6 ustęp 1 litera f RODO, a w zakresie przesyłania informacji handlowych z użyciem telekomunikacyjnych urządzeń końcowych - na podstawie odrębnej zgody, o której mowa w art. 398 ustawy Prawo komunikacji elektronicznej; dane przetwarzane są do czasu wniesienia sprzeciwu albo cofnięcia zgody.

2. Podanie danych osobowych jest dobrowolne, przy czym podanie danych wskazanych w formularzu rejestracyjnym jako obowiązkowe jest warunkiem zawarcia umowy. Niepodanie tych danych uniemożliwia założenie Konta.

3. Poza danymi podanymi bezpośrednio przez osobę, której dane dotyczą, Administrator przetwarza:

   1. dane otrzymane od Usługobiorcy albo od osoby zarządzającej jego Kontem - w przypadku Użytkowników, których dostęp do Serwisu zakłada pracodawca albo zleceniodawca; są to imię, nazwisko, służbowy adres poczty elektronicznej, służbowy numer telefonu oraz zakres uprawnień w Serwisie;
   2. dane wytwarzane w toku korzystania z Serwisu - adres IP, identyfikator sesji, dane urządzenia i przeglądarki, historia logowań oraz dzienniki aktywności w zakresie niezbędnym do celów wskazanych w ustępie 1 punkt 3;
   3. treść korespondencji kierowanej do Administratora, w tym zgłoszeń serwisowych i reklamacyjnych.

4. Administrator informuje osoby, o których mowa w ustępie 3 punkt 1, o przetwarzaniu ich danych przy pierwszym logowaniu do Serwisu, zgodnie z art. 14 RODO. Obowiązek poinformowania tych osób o powierzeniu ich danych do Serwisu przez Usługobiorcę spoczywa na Usługobiorcy.

§ 4. Odbiorcy danych osobowych

1. Odbiorców danych należy odczytywać w dwóch warstwach, odpowiadających dwóm rolom, w których występuje VivaDrive Polska sp. z o.o.:

   1. podmioty przetwarzające dane, dla których VivaDrive jest administratorem - to jest dane opisane w niniejszej Polityce; podstawą jest umowa powierzenia zawarta przez Administratora z każdym z tych podmiotów, spełniająca wymogi art. 28 RODO;
   2. dalsze podmioty przetwarzające, z których VivaDrive korzysta przetwarzając dane powierzone przez Usługobiorcę - to jest dane kierowców i pozostałe dane wprowadzone do Serwisu; administratorem tych danych jest Usługobiorca, a zasady korzystania z dalszych podmiotów przetwarzających określa § 4 Umowy powierzenia przetwarzania danych osobowych.

2. Poniższa lista obejmuje obie warstwy, ze wskazaniem roli. Na dzień wejścia w życie niniejszej Polityki są to:

   Podmiot	Czynność	Warstwa	Lokalizacja przetwarzania
   Google (podmiot będący stroną umowy o świadczenie usług Google Cloud)	hosting Serwisu i baz danych	obie	Unia Europejska
   Google (modele Gemini)	przetwarzanie zapytań kierowanych do Asystenta oraz odczyt dokumentów	obie	Unia Europejska
   Stripe Payments Europe Limited	obsługa płatności kartą płatniczą; w zakresie wykrywania nadużyć i obowiązków regulacyjnych Stripe występuje jako odrębny administrator	wyłącznie warstwa pierwsza	Unia Europejska, z transferami do Stanów Zjednoczonych
   Mailgun Technologies, Inc.	wysyłka wiadomości transakcyjnych i powiadomień	obie	Stany Zjednoczone albo Unia Europejska, zależnie od regionu konta
   Hetzner Online GmbH	infrastruktura pomocnicza	wyłącznie warstwa pierwsza	Republika Federalna Niemiec

3. Aktualna lista podmiotów przetwarzających dostępna jest pod adresem fleetflow.vivadrive.ai/podprocesorzy. Administrator informuje o zamiarze powierzenia przetwarzania nowemu podmiotowi z wyprzedzeniem umożliwiającym wniesienie sprzeciwu, zgodnie z Umową powierzenia przetwarzania danych osobowych.

4. Dane osobowe mogą być udostępniane podmiotom uprawnionym do ich otrzymania na podstawie przepisów prawa, a także doradcom prawnym, podatkowym i księgowym Administratora, w zakresie niezbędnym do świadczenia przez nich usług.

5. Administrator nie sprzedaje danych osobowych ani nie udostępnia ich podmiotom trzecim w celach marketingowych tych podmiotów.

§ 5. Przekazywanie danych poza Europejski Obszar Gospodarczy

1. Co do zasady dane osobowe przetwarzane są na terytorium Europejskiego Obszaru Gospodarczego.

2. W zakresie, w jakim przetwarzanie danych przez podmioty wskazane w § 4 ustęp 1 wiąże się z przekazaniem danych poza Europejski Obszar Gospodarczy, przekazanie następuje na podstawie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony, w szczególności decyzji wykonawczej dotyczącej Ram Ochrony Danych UE-USA, albo na podstawie standardowych klauzul umownych przyjętych przez Komisję Europejską, wraz z dodatkowymi środkami zabezpieczającymi.

3. Kopię zastosowanych zabezpieczeń można uzyskać kontaktując się z Administratorem pod adresem wskazanym w § 1 ustęp 2.

§ 6. Uprawnienia osób, których dane dotyczą

1. Osobie, której dane dotyczą, przysługuje prawo:

   1. dostępu do danych oraz otrzymania ich kopii, na podstawie art. 15 RODO;
   2. sprostowania danych nieprawidłowych oraz uzupełnienia danych niekompletnych, na podstawie art. 16 RODO;
   3. usunięcia danych, na podstawie art. 17 RODO;
   4. ograniczenia przetwarzania, na podstawie art. 18 RODO;
   5. przenoszenia danych przetwarzanych na podstawie umowy lub zgody, na podstawie art. 20 RODO;
   6. wniesienia sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie Administratora, na podstawie art. 21 RODO, przy czym w przypadku przetwarzania na potrzeby marketingu bezpośredniego sprzeciw jest bezwarunkowy;
   7. cofnięcia zgody w dowolnym momencie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej cofnięciem.

2. W celu skorzystania z uprawnień należy skontaktować się z Administratorem pod adresem wskazanym w § 1 ustęp 2. Administrator udziela odpowiedzi bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania, z zastrzeżeniem możliwości przedłużenia tego terminu o dwa miesiące w przypadkach określonych w art. 12 ustęp 3 RODO.

3. Osobie, której dane dotyczą, przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych, ulica Stawki 2, 00-193 Warszawa.

§ 7. Zautomatyzowane podejmowanie decyzji i profilowanie

1. Administrator nie podejmuje wobec osób, których dane dotyczą, decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby wobec tych osób skutki prawne lub w podobny sposób istotnie na nie wpływały.

2. Serwis wykorzystuje modele językowe do analizy danych wprowadzonych przez Usługobiorcę oraz do udzielania odpowiedzi na pytania Użytkowników. Wyniki tej analizy mają charakter informacyjny i nie zastępują decyzji człowieka. Reguły wykrywania nieprawidłowości w transakcjach paliwowych są regułami liczbowymi, których działanie jest opisane w Serwisie, a wskazanie transakcji przez system nie stanowi stwierdzenia nadużycia.

§ 8. Bezpieczeństwo danych

1. Administrator stosuje środki techniczne i organizacyjne odpowiadające ryzyku naruszenia praw i wolności osób, których dane dotyczą, w szczególności:

   1. szyfrowanie transmisji danych przy użyciu protokołu TLS;
   2. drugi etap logowania (kod jednorazowy albo aplikacja uwierzytelniająca), włączony domyślnie dla każdego nowego Użytkownika;
   3. rozdzielenie danych poszczególnych Usługobiorców na poziomie logicznym, uniemożliwiające dostęp do danych jednego Usługobiorcy z Konta innego Usługobiorcy;
   4. kontrolę dostępu opartą na rolach oraz rejestrowanie operacji na danych;
   5. wykonywanie kopii zapasowych oraz testowanie procedury odtworzenia danych.

2. Administrator prowadzi rejestr czynności przetwarzania, a w zakresie, w jakim występuje jako podmiot przetwarzający - rejestr wszystkich kategorii czynności przetwarzania, zgodnie z art. 30 RODO, a także procedurę postępowania w przypadku naruszenia ochrony danych osobowych, obejmującą zawiadomienie organu nadzorczego w terminie wskazanym w art. 33 RODO.

§ 9. Pliki cookies

1. Serwis wykorzystuje pliki cookies, to jest niewielkie pliki tekstowe zapisywane na urządzeniu końcowym Użytkownika.

2. Przechowywanie informacji na urządzeniu końcowym Użytkownika i dostęp do nich reguluje art. 399 ustawy Prawo komunikacji elektronicznej. Administrator wykorzystuje:

   1. pliki niezbędne do prawidłowego funkcjonowania Serwisu, w tym pliki sesyjne służące utrzymaniu stanu zalogowania - ich stosowanie nie wymaga zgody Użytkownika, zgodnie z art. 399 ustęp 3 ustawy Prawo komunikacji elektronicznej;
   2. pliki analityczne, służące badaniu sposobu korzystania z Serwisu - ich stosowanie wymaga zgody Użytkownika wyrażonej za pośrednictwem mechanizmu dostępnego w Serwisie.

3. Użytkownik może w każdym czasie zmienić ustawienia dotyczące plików cookies w swojej przeglądarce internetowej, przy czym wyłączenie plików niezbędnych może uniemożliwić korzystanie z Serwisu.

§ 10. Zmiana Polityki

1. Administrator może dokonać zmiany niniejszej Polityki, w szczególności w razie zmiany przepisów prawa, zmiany zakresu przetwarzania danych albo zmiany listy podmiotów przetwarzających.

2. O zmianie Polityki Administrator informuje przez zamieszczenie zmienionej treści w Serwisie wraz ze wskazaniem daty wejścia zmiany w życie, a w przypadku zmian istotnych - również na adres poczty elektronicznej przypisany do Konta, z wyprzedzeniem nie krótszym niż czternaście dni.

3. Poprzednie wersje Polityki są archiwizowane i udostępniane na żądanie.