Polityka prywatności

1. Czego dotyczy ten dokument

Polityka obejmuje wszystkie części serwisu eCMR One: publiczne strony informacyjne, darmowy generator CMR w formacie PDF, aplikację do prowadzenia przewozów oraz łącza do podpisu dokumentu. Nie obejmuje serwisów podmiotów trzecich, do których prowadzą łącza, w tym strony produktu eCMR Hub SDK.

Nie wyznaczyliśmy inspektora ochrony danych. We wszystkich sprawach dotyczących danych osobowych pisz na adres podany w tabeli powyżej.

2. Darmowy generator CMR (PDF)

Generator pod adresami /pl/generator i /en/generator działa w całości po stronie przeglądarki. Wypełnione pola — dane nadawcy, odbiorcy, przewoźnika, trasa, opis ładunku i uwagi — pozostają w pamięci otwartej karty. Plik PDF składany jest lokalnie z szablonu pobranego wcześniej jako zwykły plik statyczny.

Treści formularza nie wysyłamy na serwer, nie zapisujemy jej w bazie i nie mamy do niej wglądu. Odświeżenie lub zamknięcie karty usuwa wpisane dane. Nie musisz zakładać konta ani podawać adresu e-mail, aby skorzystać z generatora.

Do serwera trafiają wyłącznie standardowe żądania o pliki strony, opisane w punkcie o logach serwera.

3. Lokalna pamięć aplikacji

Aplikacja pod adresem /app wymaga logowania. Lokalna kopia szkiców, danych firmy i szablonów jest przechowywana w IndexedDB przeglądarki (ecmr-panel-v1), osobno dla każdego konta. Link do podpisu dokumentu można otworzyć bez konta.

Szkice utworzone we wcześniejszej wersji bez konta są kopiowane na konto przy logowaniu, bez nadpisywania istniejących dokumentów. Wyczyszczenie danych witryny usuwa lokalne kopie i niezapisane na serwerze zmiany.

4. Konto, logowanie i bezpieczeństwo dostępu

Założenie konta wymaga adresu e-mail i hasła. Przetwarzamy w związku z tym: adres e-mail, skrót hasła przechowywany przez Supabase Auth (hasło nie jest zapisywane w bazie w postaci jawnej), identyfikator konta i identyfikator odrębnego obszaru danych (tenant), znacznik potwierdzenia adresu, jednorazowe tokeny weryfikacji adresu i resetu hasła oraz rekordy sesji.

Logowanie obsługuje Supabase Auth na naszej infrastrukturze. Krótkotrwały token dostępu jest odnawiany w ramach sesji. Wylogowanie odwołuje bieżącą sesję, a odzyskanie hasła odwołuje dotychczasowe sesje konta. Serwer sprawdza, czy sesja nadal istnieje, także przed upływem ważności tokenu. Limity prób logowania ograniczają ataki siłowe.

Podstawa prawna: art. 6 ust. 1 lit. b RODO (wykonanie umowy o świadczenie usługi) dla obsługi konta oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes polegający na zabezpieczeniu serwisu) dla ograniczania prób logowania i unieważniania sesji.

5. Dokumenty przewozowe i dane osób trzecich

Po zalogowaniu szkice i wystawione dokumenty synchronizują się z serwerem. Zawierają dane, które sam wprowadzasz: nazwy i adresy nadawcy, odbiorcy i przewoźnika, miejsca załadunku i rozładunku, numery rejestracyjne pojazdów, opis i wagę ładunku, numery dokumentów, uwagi oraz imiona i nazwiska osób podpisujących.

W zakresie tej treści to Ty, właściciel konta, jesteś administratorem danych osobowych swoich kontrahentów i kierowców, a my działamy jako podmiot przetwarzający na Twoje polecenie. Warunki powierzenia, zgodne z art. 28 RODO, są w punkcie 11 Regulaminu. Inaczej jest z pakietem dowodowym dokumentu i podpisami złożonymi z linku: o ich zakresie, okresie przechowywania i niezmienialności decydujemy my. Rozkład ról opisuje punkt 6a.

Dane każdego konta są odseparowane na poziomie bazy danych przez zabezpieczenia wierszowe PostgreSQL (row-level security). Rola, z której korzysta aplikacja, nie jest właścicielem tabel, nie ma uprawnień administratora bazy ani prawa pomijania tych zabezpieczeń.

5a. Opcjonalne śledzenie przewozu

Po uruchomieniu udostępniania przez kierowcę aplikacja mobilna zbiera pozycję GPS, czas pomiaru, dokładność, prędkość i kierunek również w tle. Dane trafiają do naszej bazy przez SDK Traccar. Przechowujemy również podane imię kierowcy, zmiany urządzenia oraz wyliczoną trasę, postoje i czasy. To dane operacyjne, odrębne od dowodów dokumentu CMR; nie stanowią ewidencji czasu pracy.

Firma widzi historię, a posiadacz linku odbiorcy wyłącznie bieżący podgląd przewozu. Kierowca lub firma może zakończyć udostępnianie. Kończy się ono również przy potwierdzeniu odbioru lub po siedmiu dniach. Szczegółowe pozycje usuwamy po 30 dniach od zakończenia sesji, podsumowania i zdarzenia po roku. Usunięcie ostatniego konta firmy usuwa jej dane śledzenia.

Telefon może przechować niewysłane punkty do odzyskania połączenia. Mapy są pobierane z OpenFreeMap, którego serwery otrzymują adres IP urządzenia i żądania obszaru mapy. Opcjonalny routing HERE, po włączeniu przez operatora, otrzymuje pozycję, cel i parametry pojazdu do oszacowania przyjazdu. Klucze linków i dane dokumentu nie są przekazywane tym usługom.

6. Podpisy i zgody składane na urządzeniu

Podpis na dokumencie składany jest kluczem wygenerowanym w Twojej przeglądarce. Klucz prywatny P-256 powstaje lokalnie, jest nieeksportowalny i nigdy nie opuszcza urządzenia.

Na serwer trafia sama podpisana asercja: identyfikator zgody, skrót wersji dokumentu, rola podpisującego, podane przez niego imię i nazwisko, treść oświadczenia, czas z zegara urządzenia, znormalizowany zapis kreski podpisu, zastrzeżenia odbiorcy (jeśli je wpisał) oraz klucz publiczny. Zapisujemy do tego własny czas odebrania. Rekordów zgód aplikacja nie może zmieniać ani usuwać.

Łącza do podpisu wydawane są jako tokeny o ograniczonym zakresie, przypisane do jednego dokumentu i jednej roli, ważne 7 dni; możesz je w każdej chwili unieważnić.

Przy podpisie nie zbieramy lokalizacji urządzenia. Podstawą przetwarzania danych podpisu jest art. 6 ust. 1 lit. f RODO: prawnie uzasadniony interes stron przewozu i nasz w udowodnieniu zawarcia i wykonania umowy przewozu oraz w ustaleniu, dochodzeniu lub obronie roszczeń. Osoba podpisująca z linku widzi skrót tych informacji na ekranie podpisu; to informacja, nie prośba o zgodę.

6a. Kto jest administratorem przy poszczególnych operacjach

„My” oznacza tu usługodawcę: Łukasza Pierę, prowadzącego działalność gospodarczą wskazaną w tabeli powyżej, który prowadzi serwis eCMR One. Rolę ustalamy osobno dla każdej operacji, zależnie od tego, kto decyduje o jej celu i istotnych sposobach:

• Konto kierowcy, wystawianie dokumentów przewozowych i ich treść, wysyłka linku do podpisu SMS-em lub e-mailem, opcjonalne śledzenie przewozu: administratorem jest firma prowadząca Konto, a my podmiotem przetwarzającym (art. 28 RODO).
• Pakiet dowodowy dokumentu, czyli zapisy zgód i podpisów z imieniem i nazwiskiem podpisującego, zapisem podpisu, kluczem publicznym urządzenia, czasem z urządzenia i czasem odebrania, skrótami dokumentu i PDF oraz znacznikami czasu, w tym podpisy złożone z linku przez osoby spoza Konta (np. magazyniera nadawcy lub odbiorcy, kierowcę): przetwarzamy go jako współadministrator razem z firmą, która wystawiła dokument i wysłała link (art. 26 RODO). To my ustalamy zakres tych danych, okres przechowywania i to, że rekordu nie da się zmienić ani usunąć z Konta.
• Bezpieczeństwo serwisu, logi serwera, obsługa Konta jako umowy z nami i rozliczenia: jesteśmy administratorem.

Zasadnicza treść uzgodnień współadministratorów dla pakietu dowodowego (art. 26 RODO):

• Usługodawca informuje osoby podpisujące o przetwarzaniu (ekran podpisu z linku i ta polityka).
• Usługodawca przyjmuje i rozpatruje żądania osób, których dane dotyczą, w sprawie pakietu dowodowego. Punktem kontaktowym jest adres do spraw danych osobowych z tabeli powyżej.
• Firma, która wysłała link, odpowiada za treść dokumentu przewozowego i za to, że mogła przekazać nam numer telefonu lub adres e-mail odbiorcy linku; żądania, które trafią do niej w sprawie pakietu dowodowego, przekazuje nam bez zbędnej zwłoki.
• Usługodawca odpowiada za bezpieczeństwo, integralność i okres przechowywania pakietu dowodowego oraz za zgłaszanie naruszeń, które go dotyczą.
• Niezależnie od tych uzgodnień możesz wykonywać swoje prawa wobec każdego z nas.

7. Wiadomości e-mail

Wysyłamy wyłącznie wiadomości niezbędne do obsługi konta: potwierdzenie adresu e-mail i reset hasła. Nie prowadzimy newslettera ani wysyłki marketingowej.

Wiadomości konta wysyła Supabase Auth przez skonfigurowanego dostawcę poczty. Potwierdzenie adresu i odzyskiwanie hasła wymagają dostarczenia wiadomości; w razie awarii wysyłki skontaktuj się ze wsparciem.

8. Logi serwera

Serwery obsługujące stronę i API rejestrują standardowe dane techniczne żądań: adres IP, datę i godzinę, adres zasobu, kod odpowiedzi, typ przeglądarki i identyfikator żądania. Służą one utrzymaniu usługi, diagnostyce awarii i wykrywaniu nadużyć.

Podstawa prawna: art. 6 ust. 1 lit. f RODO — prawnie uzasadniony interes polegający na zapewnieniu bezpieczeństwa i ciągłości działania serwisu.

9. Okresy przechowywania

• Treść formularza w darmowym generatorze — do odświeżenia lub zamknięcia karty; nigdy nie trafia na serwer.
• Szkice zapisane lokalnie bez konta — do czasu ich usunięcia lub wyczyszczenia danych witryny w przeglądarce.
• Dane konta i zsynchronizowane dokumenty — przez czas istnienia konta; po jego zamknięciu usuwamy je niezwłocznie, a z kopii zapasowych znikają wraz z ich rotacją, nie później niż w ciągu 30 dni.
• Dostęp w ramach sesji: do jej wygaśnięcia lub odwołania; token dostępu wygasa po godzinie i może być odświeżany w aktywnej sesji.
• Tokeny weryfikacji adresu, resetu hasła i łącza do podpisu — do wykorzystania lub upływu ich terminu ważności.
• Pakiet dowodowy (dokument, jego wersje i historia, zapisy zgód i podpisów): 6 lat od końca roku przewozu, liczonego jako rok ostatniego zdarzenia dokumentu, a w razie sporu dłużej, do jego zakończenia (blokada z powodu sporu). Baza wylicza tę datę dla każdego dokumentu; najwcześniejsze terminy przypadają na koniec 2032 roku.
• Numer telefonu lub adres e-mail, na który wysłano link do podpisu, razem z zapisem wysyłki: 37 dni od wysłania (link wygasa po 7 dniach, kolejne 30 dni służy wyjaśnieniu doręczenia), chyba że dokument jest objęty blokadą z powodu sporu. Numery, z których odpowiedziano STOP, przechowujemy, dopóki trzeba blokować na nie wysyłkę.
• Logi serwera — nie dłużej niż 12 miesięcy.
• Dane niezbędne do ustalenia, dochodzenia lub obrony roszczeń — do upływu terminu przedawnienia.

10. Odbiorcy danych

Danych nie sprzedajemy i nie udostępniamy do celów marketingowych. Korzystamy z dostawców, którzy przetwarzają dane wyłącznie na nasze polecenie, na podstawie umów powierzenia:

• dostawca hostingu części publicznej serwisu — Vercel Inc.;
• serwer aplikacji i baza danych — własna infrastruktura operatora; ruch do serwera obsługuje Cloudflare, Inc.;
• dostawca wysyłki wiadomości e-mail — Resend, Inc., wyłącznie gdy wysyłka jest włączona;
• dostawcy usług utrzymania i wsparcia technicznego, w zakresie niezbędnym do serwisowania systemu.

Dane możemy także ujawnić organom publicznym, jeżeli obowiązek taki wynika z przepisów prawa.

11. Przekazywanie danych poza EOG

Część dostawców infrastruktury ma siedzibę w Stanach Zjednoczonych. Przekazanie danych odbywa się na podstawie decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU–US Data Privacy Framework) albo standardowych klauzul umownych, z dodatkowymi środkami technicznymi, w tym szyfrowaniem transmisji.

Kopię zastosowanych zabezpieczeń udostępniamy na wniosek skierowany na adres do spraw danych osobowych.

12. Pliki cookie i pamięć przeglądarki

Nie korzystamy z analityki, reklamy ani śledzenia użytkowników między serwisami. Używamy wyłącznie plików niezbędnych do działania usługi, dlatego nie wyświetlamy banera zgody na pliki cookie.

• sb-…-auth-token: cookie sesji Supabase, niekiedy podzielone na kilka części. Przechowuje tokeny potrzebne do logowania i odświeżenia sesji; odczytuje je także kod aplikacji w przeglądarce. Ma SameSite=Lax i odnawiany okres przechowywania do 400 dni. Samo zachowane cookie nie daje dostępu po odwołaniu sesji na serwerze.
• ecmr_locale, ecmr-app-language i ecmr-app-theme: zapamiętanie wybranego języka stron, języka aplikacji i motywu.
• IndexedDB ecmr-panel-v1: lokalne szkice, dane firmy i klucz podpisu. Szkice, dokumenty, kontrahenci, pojazdy, szablony i wybory domyślne konta synchronizują się z serwerem. Lokalna kopia pozwala pracować bez internetu; prywatny klucz podpisu pozostaje wyłącznie na urządzeniu.
• Pamięć podręczna service workera — wyłącznie publiczne pliki statyczne potrzebne do formularza i generowania PDF. Nigdy nie zapisuje HTML aplikacji ani odpowiedzi API.

Pliki cookie i pamięć witryny możesz w każdej chwili usunąć w ustawieniach przeglądarki. Usunięcie danych witryny kasuje także szkice zapisane lokalnie.

13. Twoje prawa

Masz prawo do: dostępu do swoich danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

Kopię danych z aplikacji możesz też pobrać samodzielnie w dowolnej chwili — służy do tego eksport kopii danych w widoku listy przewozów.

Wniosek złóż na adres do spraw danych osobowych. Odpowiadamy bez zbędnej zwłoki, nie później niż w ciągu miesiąca. Przysługuje Ci również skarga do Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.

Jeżeli Twoje dane znalazły się w treści dokumentu przewozowego wystawionego przez naszego użytkownika, administratorem tych danych jest ten użytkownik i to do niego należy kierować wniosek; na prośbę wskażemy właściwy kontakt. Wnioski dotyczące pakietu dowodowego, w tym podpisu złożonego z linku, przyjmujemy sami (punkt 6a). Prawo do usunięcia nie obejmuje danych potrzebnych do ustalenia, dochodzenia lub obrony roszczeń.

14. Dobrowolność podania danych

Podanie danych jest dobrowolne, ale niezbędne do skorzystania z wybranych funkcji. Bez adresu e-mail i hasła nie założysz konta ani nie zsynchronizujesz dokumentów między urządzeniami. Z generatora CMR możesz korzystać bez konta; treść formularza nie jest przekazywana na serwer.

15. Brak profilowania

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywoływałyby skutki prawne lub w podobny sposób istotnie na Ciebie wpływały.

16. Bezpieczeństwo

Stosujemy środki techniczne i organizacyjne odpowiednie do ryzyka: szyfrowanie transmisji (HTTPS), bezpieczne przechowywanie skrótów haseł, weryfikację tokenów i aktywnych sesji, separację danych kont na poziomie bazy, kontrolę uprawnień do operacji, limity wielkości żądań oraz ograniczenie uprawnień ról bazodanowych.

Serwis znajduje się w fazie testów. Mimo stosowanych zabezpieczeń nie zalecamy powierzania mu jedynych kopii dokumentów o krytycznym znaczeniu — korzystaj z eksportu kopii danych.

17. Zmiany polityki

Politykę możemy zmieniać, gdy zmieni się sposób działania serwisu lub obowiązujące przepisy. Nowa wersja obowiązuje od dnia opublikowania na tej stronie. O istotnych zmianach dotyczących posiadaczy kont informujemy z wyprzedzeniem pocztą elektroniczną.