Polityka prywatności

1. Kim jesteśmy

Serwis demurrit.eu oraz portal Demurrit Cargo Intelligence pod adresem cargo.demurrit.eu prowadzi:

UAB NVGroup

Numer rejestrowy: 149942553
Adres siedziby: Elektrinės g. 8, 03150 Vilnius, Litwa
Numer VAT: LT499425515
E-mail: info@demurrit.eu

Nie powołaliśmy inspektora ochrony danych, ponieważ nasza działalność nie spełnia przesłanek z art. 37 RODO. We wszystkich sprawach dotyczących ochrony danych prosimy pisać na info@demurrit.eu. Odpowiadamy w ciągu 30 dni, zwykle szybciej.

2. Kiedy jesteśmy administratorem, a kiedy podmiotem przetwarzającym

To najważniejsza część tej polityki.

Jesteśmy ADMINISTRATOREM w zakresie:

danych technicznych osób odwiedzających serwis;
zapytań, rezerwacji rozmów i korespondencji;
danych konta Cargo Intelligence (e-mail, imię i nazwisko, rola);
danych rozliczeniowych i księgowych.

Jesteśmy PODMIOTEM PRZETWARZAJĄCYM w zakresie dokumentów, które Państwo przesyłają: listów przewozowych CMR, paragonów paliwowych, kolejowych listów SMGS/CIM, konosamentów, faktur D&D i umów przewozu. Dane osobowe zawarte w tych dokumentach — imiona i nazwiska oraz podpisy kierowców, osoby kontaktowe, numery rejestracyjne pojazdów — należą do Państwa. To Państwo są ich administratorem; my przetwarzamy je wyłącznie na Państwa udokumentowane polecenie, na podstawie umowy powierzenia przetwarzania danych (DPA) zgodnie z art. 28 RODO, którą udostępniamy każdemu klientowi na życzenie.

Co to oznacza w praktyce. Jeżeli są Państwo kierowcą, spedytorem lub pracownikiem innej firmy, a Państwa dane trafiły do dokumentu przesłanego przez naszego klienta, prosimy o kontakt z tą firmą. Jeżeli zgłoszą się Państwo do nas, w ciągu 5 dni roboczych przekażemy żądanie właściwemu klientowi i poinformujemy Państwa o tym.

Odrębne ostrzeżenie dotyczące modułu Paliwo. Wykrywanie anomalii zużycia paliwa może stanowić monitoring pracowników. Klient jako administrator musi mieć ku temu podstawę prawną, poinformować pracowników oraz — w razie potrzeby — przeprowadzić ocenę skutków dla ochrony danych (DPIA). Nie wykonujemy takiej oceny za klienta, ale dostarczamy informacje techniczne niezbędne do jej sporządzenia.

3. Jakie dane przetwarzamy, na jakiej podstawie i jak długo

Kategoria	Dane	Podstawa prawna	Okres przechowywania
Odwiedziny serwisu	Adres IP, typ przeglądarki, czas żądania, odwiedzone strony (logi serwera)	Prawnie uzasadniony interes — bezpieczeństwo i działanie serwisu (art. 6 ust. 1 lit. f)	30 dni
Zapytania i rezerwacje rozmów	Imię i nazwisko, e-mail, telefon, firma, treść wiadomości	Działania przed zawarciem umowy (art. 6 ust. 1 lit. b)	24 miesiące od ostatniego kontaktu
Konto Cargo Intelligence	E-mail (identyfikator konta), imię i nazwisko, rola, skrót hasła, logi logowania, audyt działań	Wykonanie umowy (lit. b); logi bezpieczeństwa — uzasadniony interes (lit. f)	Przez okres istnienia konta + 90 dni; logi bezpieczeństwa 12 miesięcy
Przesłane dokumenty i dane wyodrębnione	Oryginały dokumentów i ich ustrukturyzowana treść	Przetwarzanie na polecenie klienta na podstawie DPA (art. 28)	Oryginał 12 miesięcy od przesłania; dane wyodrębnione przez czas aktywnej usługi, usuwane w ciągu 30 dni od jej zakończenia
Dokumenty kosztów podróży	Paragony i faktury za paliwo, faktury za opłaty drogowe, bilety promowe, dokumenty naprawcze	Przetwarzanie na polecenie klienta na podstawie DPA (art. 28)	5 lat od przesłania
Zgłoszenia celne i powiązane dokumenty	Zgłoszenia, dowody pochodzenia, decyzje celne	Przetwarzanie na polecenie klienta na podstawie DPA (art. 28)	40 miesięcy od przesłania
Akta audytu D&D	Faktury, wyciągi z umów, dane o ruchu kontenerów, korespondencja z przewoźnikiem	Wykonanie umowy (lit. b); ustalenie i dochodzenie roszczeń (lit. f)	5 lat od zamknięcia sprawy
Księgowość i rozliczenia	Faktury, dane płatnicze, numer VAT	Obowiązek prawny (art. 6 ust. 1 lit. c)	10 lat (litewskie przepisy o rachunkowości i podatkach)
Newsletter	Adres e-mail	Zgoda (art. 6 ust. 1 lit. a) lub uzasadniony interes wobec obecnych klientów	Do wycofania zgody

Nie przetwarzamy świadomie szczególnych kategorii danych w rozumieniu art. 9 RODO i prosimy o ich nieprzesyłanie.

4. Gdzie przechowywane są dane

Większość danych jest przetwarzana na terenie Unii Europejskiej — nasze serwery znajdują się w centrum danych netcup GmbH w Norymberdze, w Niemczech. W dwóch konkretnych przypadkach dane są przekazywane poza UE/EOG:

Do wysyłki e-maili i szyfrowanych kopii zapasowych korzystamy z Proton AG (Szwajcaria) — przekazanie opiera się na decyzji Komisji Europejskiej o adekwatności dla Szwajcarii (art. 45 RODO), więc dodatkowe zabezpieczenia nie są wymagane.
Do automatycznego wyodrębniania danych z dokumentów (rozpoznawanie oparte na AI) treść dokumentów jest wysyłana do Anthropic PBC (USA) — przekazanie opiera się na standardowych klauzulach umownych UE (art. 46 RODO) zawartych w warunkach przetwarzania danych Anthropic.

Podmioty podprzetwarzające:

Podmiot	Cel	Lokalizacja	Podstawa przekazania
netcup GmbH	Serwery, przechowywanie, kopie zapasowe	Niemcy (UE)	—
Proton AG	E-maile, szyfrowane kopie zapasowe	Szwajcaria	Decyzja o adekwatności na mocy art. 45 RODO
Anthropic PBC	Wyodrębnianie danych z dokumentów (AI)	USA	Standardowe klauzule umowne na mocy art. 46 RODO

Nie korzystamy z pośrednika płatności — faktury regulowane są przelewem bankowym.

Aktualna lista podmiotów podprzetwarzających stanowi załącznik do DPA. O zamiarze skorzystania z nowego podmiotu podprzetwarzającego informujemy klientów co najmniej 30 dni wcześniej.

5. Przetwarzanie automatyczne i sztuczna inteligencja

Do wyodrębniania danych z dokumentów wykorzystujemy automatyczne systemy rozpoznawania. Nie jest to zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 RODO: system nie podejmuje decyzji wywołujących skutki prawne, lecz proponuje ustrukturyzowane dane, które człowiek zatwierdza lub koryguje. Treść roszczenia D&D ostatecznie zatwierdza nasz pracownik.

Państwa dokumentów nie wykorzystujemy do trenowania modeli sztucznej inteligencji ani nie przekazujemy ich w tym celu podmiotom trzecim.

6. Komu udostępniamy dane

Podmiotom podprzetwarzającym (pkt 4) — wyłącznie w zakresie niezbędnym do świadczenia usługi.
Przewoźnikom i ich pełnomocnikom — w postępowaniu reklamacyjnym D&D, wyłącznie dokumenty wskazane przez klienta.
Organom uprawnionym na podstawie przepisów prawa — administracji skarbowej, sądom, organom ścigania.
Doradcom zawodowym (audytorom, prawnikom) — z zachowaniem poufności.

Nie sprzedajemy danych i nie wykorzystujemy ich do celów reklamowych.

7. Państwa prawa

Przysługuje Państwu prawo: dostępu do danych; sprostowania; usunięcia; ograniczenia przetwarzania; przenoszenia danych; sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie; wycofania zgody w dowolnym momencie.

Żądania prosimy kierować na info@demurrit.eu. Możemy poprosić o potwierdzenie tożsamości. Odpowiadamy w ciągu miesiąca; w sprawach złożonych termin może zostać przedłużony o kolejne dwa miesiące, o czym Państwa poinformujemy.

8. Skargi

Jeżeli uważają Państwo, że naruszyliśmy Państwa prawa, prosimy najpierw o kontakt z nami. Przysługuje Państwu również prawo wniesienia skargi do organu nadzorczego:

Prezes Urzędu Ochrony Danych Osobowych

ul. Stawki 2, 00-193 Warszawa
uodo.gov.pl

Naszym wiodącym organem nadzorczym jest litewski Państwowy Inspektorat Ochrony Danych (Valstybinė duomenų apsaugos inspekcija, Wilno). Skargę można wnieść do każdego z nich.

9. Bezpieczeństwo

Stosujemy szyfrowanie TLS w transmisji, szyfrowanie danych w spoczynku, kontrolę dostępu opartą na rolach, uwierzytelnianie dwuskładnikowe dla kont administracyjnych, audyt działań oraz regularne kopie zapasowe (przechowywane 30 dni). O naruszeniu ochrony danych osobowych zawiadamiamy organ nadzorczy w ciągu 72 godzin, a klientów bez zbędnej zwłoki, jeżeli naruszenie może powodować wysokie ryzyko dla ich praw.

10. Osoby małoletnie

Usługi przeznaczone są wyłącznie dla klientów biznesowych. Nie przetwarzamy świadomie danych osób poniżej 16. roku życia.

11. Zmiany polityki

Możemy zmieniać niniejszą politykę. O istotnych zmianach informujemy zarejestrowanych użytkowników pocztą elektroniczną co najmniej 30 dni wcześniej. Data obowiązywania jest zawsze podana na górze strony.