Protecția datelor (GDPR)

1. Cum îți exerciți drepturile

Drepturile tale (acces, rectificare, ștergere, restricționare, portabilitate, opoziție, retragerea consimțământului, intervenție umană) sunt descrise în secțiunea 13 din Politica de confidențialitate. Procedura este următoarea:

1. Trimite cererea la support@ogo.contact, cu subiectul „Date personale”, sau prin poștă la NIXAP DEVELOPMENT SRL, Bd. Mihail Kogălniceanu 13, birou 01, Brașov, România. Spune ce drept vrei să exerciți și în ce aplicație sau dispecerat ai folosit serviciul.
2. Identificare. Pentru datele din aplicații, trimite cererea de pe numărul de telefon al contului (prin SMS sau indicând numărul în e-mail); îți putem trimite un cod de confirmare pe acel număr. Nu cerem copii ale actelor de identitate decât dacă nu există altă cale de a verifica identitatea.
3. Confirmare. Confirmăm primirea cererii în cel mult 3 zile lucrătoare.
4. Transmitere către operator. Dacă datele aparțin unui dispecerat (comenzi, apeluri, cont de pasager sau de șofer), transmitem cererea dispeceratului în cel mult 5 zile lucrătoare și îl ajutăm tehnic să răspundă. Poți trimite cererea și direct dispeceratului, la datele de contact din aplicație.
5. Răspuns în cel mult o lună de la primire. Pentru cereri complexe sau numeroase, termenul poate fi prelungit cu două luni; te anunțăm în prima lună, cu motivul.
6. Gratuit. Nu percepem taxe. Pentru cereri vădit nefondate sau excesive, mai ales repetitive, putem percepe o taxă rezonabilă sau refuza cererea, cu motivare, conform art. 12 alin. (5) GDPR.

Dacă nu ești mulțumit de răspuns, te poți adresa ANSPDCP (datele de contact sunt în Politica de confidențialitate) sau instanțelor de judecată.

1.1 Ștergerea contului din aplicații

Contul de pasager poate fi șters din aplicație, din meniul de profil, sau prin cerere la adresa de mai sus. La ștergere sunt eliminate numărul de telefon, adresele salvate, cardurile salvate și token-ul de notificări. Istoricul comenzilor rămâne în evidențele dispeceratului, fără legătură cu contul, pe perioada impusă de legislația financiar-contabilă. Conturile de șofer și de dispecer se șterg la cererea dispeceratului care le-a creat.

2. Acordul de prelucrare a datelor pentru dispecerate

Pentru datele pasagerilor, apelanților, șoferilor și dispecerilor, dispeceratul este operator, iar NIXAP este persoană împuternicită. Prevederile de mai jos îndeplinesc cerințele art. 28 alin. (3) GDPR și fac parte din contractul de servicii dintre NIXAP și fiecare dispecerat.

2.1 Obiectul, durata și natura prelucrării

NIXAP prelucrează datele pe durata contractului de servicii, în scopul furnizării platformei OGO: preluarea și alocarea comenzilor, urmărirea mașinilor, comunicarea cu șoferii și pasagerii, rutarea și înregistrarea apelurilor, plățile cu cardul, rapoartele și, unde este activat, Dispecerul AI. Categoriile de date și de persoane vizate sunt cele din secțiunea 4 a Politicii de confidențialitate.

2.2 Obligațiile NIXAP

• Prelucrează datele doar pe baza instrucțiunilor documentate ale dispeceratului, inclusiv cele date prin setările dispeceratului, și informează dispeceratul dacă o instrucțiune încalcă GDPR.
• Se asigură că personalul cu acces la date este obligat la confidențialitate și instruit.
• Aplică măsurile de securitate din secțiunea 4 de mai jos și le actualizează în funcție de riscuri.
• Nu angajează alt subîmputernicit fără informarea prealabilă a dispeceratului; lista actuală este în secțiunea 3, iar orice adăugare este anunțată cu 30 de zile înainte, timp în care dispeceratul se poate opune motivat. Subîmputerniciții au obligații echivalente, stabilite prin contract.
• Ajută dispeceratul să răspundă cererilor persoanelor vizate, prin funcțiile de export și ștergere din dispecerat și prin suport direct.
• Ajută dispeceratul în privința securității, a notificării încălcărilor și a evaluărilor de impact (DPIA), ținând cont de informațiile de care dispune.
• Notifică dispeceratul fără întârziere nejustificată, și în cel mult 48 de ore de la constatare, orice încălcare a securității datelor, cu descrierea incidentului, a datelor afectate, a consecințelor probabile și a măsurilor luate.
• La încetarea contractului, exportă datele la cererea dispeceratului și le șterge în cel mult 90 de zile, cu excepția celor pe care legea obligă NIXAP să le păstreze.
• Pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 și permite audituri, inclusiv inspecții, efectuate de dispecerat sau de un auditor mandatat de el, cu preaviz rezonabil și fără a afecta securitatea celorlalte dispecerate.
• Nu transferă date în afara Spațiului Economic European decât cu garanțiile din capitolul V GDPR, descrise în secțiunea 3.

2.3 Obligațiile dispeceratului

• Stabilește temeiul juridic al prelucrării și informează pasagerii, apelanții, șoferii și dispecerii, inclusiv despre înregistrarea apelurilor (mesaj la începutul apelului) și despre Dispecerul AI.
• Afișează în aplicația client propria notă de informare și datele de contact pentru cererile persoanelor vizate.
• Administrează conturile și drepturile de acces ale dispecerilor și șoferilor și le dezactivează la încetarea colaborării.
• Răspunde cererilor persoanelor vizate în termenele legale și folosește exporturile și ștergerile din platformă în acest scop.
• Stabilește perioadele de păstrare în limitele oferite de platformă și cere ștergerea când datele nu mai sunt necesare.
• Ține evidența activităților de prelucrare (art. 30 GDPR) și efectuează evaluări de impact unde sunt necesare; NIXAP pune la dispoziție documentația tehnică necesară.

3. Subîmputerniciți și transferuri

Pentru furnizorii care prelucrează date în Statele Unite ne bazăm pe decizia de adecvare a Comisiei Europene privind Cadrul UE-SUA pentru protecția datelor, pentru furnizorii certificați, și pe clauzele contractuale standard din Decizia (UE) 2021/914, cu măsuri suplimentare unde este cazul. Aplicațiile de navigație (Waze, Google Maps) nu sunt subîmputerniciți: șoferul alege să le folosească, iar adresa cursei este transmisă aplicației alese de pe telefonul lui.

4. Măsuri de securitate

Măsurile tehnice și organizatorice aplicate platformei, conform art. 32 GDPR:

• Criptare în tranzit pentru toate conexiunile aplicațiilor, dispeceratului și site-ului (TLS).
• Autentificare prin cod SMS pentru pasageri și șoferi, conturi nominale cu parolă pentru dispeceri, roluri și permisiuni în dispecerat.
• Separarea datelor fiecărui dispecerat la nivel logic: un dispecerat vede doar propriile comenzi, șoferi, apeluri și pasageri.
• Jurnalizare a accesului și a acțiunilor din dispecerat, păstrată 12 luni.
• Infrastructură în containere izolate, pe servere administrate de NIXAP, cu actualizări de securitate regulate, firewall și acces administrativ doar prin chei criptografice.
• Copii de siguranță periodice, criptate, testate pentru restaurare, suprascrise în cel mult 30 de zile.
• Date de card introduse doar în interfața furnizorului de plăți certificat PCI DSS; NIXAP nu stochează numărul complet al cardului.
• Minimizare: traseul GPS și rapoartele de erori sunt șterse automat după perioadele din Politica de confidențialitate.
• Personal cu obligații de confidențialitate și acces limitat la ce este necesar pentru suport.

5. Incidente de securitate

Dacă afli despre o posibilă încălcare a securității datelor din platformă (acces neautorizat, pierdere de date, vulnerabilitate), scrie-ne imediat la support@ogo.contact cu subiectul „Securitate”. Investigăm fiecare semnalare, informăm dispeceratele afectate în cel mult 48 de ore de la confirmare, notificăm ANSPDCP în cel mult 72 de ore atunci când încălcarea prezintă un risc pentru persoanele vizate și informăm direct persoanele afectate când riscul este ridicat, conform art. 33 și 34 GDPR. Semnalările de bună-credință ale cercetătorilor în securitate sunt binevenite și nu sunt urmărite în justiție.

6. Evaluări de impact

Pentru prelucrările cu risc potențial ridicat din platformă (localizarea continuă a șoferilor în tură, înregistrarea apelurilor și Dispecerul AI) menținem documentația tehnică necesară evaluărilor de impact asupra protecției datelor (art. 35 GDPR) și o punem la dispoziția dispeceratelor, la cerere, pentru propriile evaluări.

7. Evidența activităților de prelucrare

NIXAP ține evidența activităților de prelucrare efectuate ca operator și ca persoană împuternicită, conform art. 30 GDPR, și o pune la dispoziția ANSPDCP la cerere.

8. Legislația aplicabilă

• Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (GDPR).
• Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR.
• Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice.
• Legea nr. 365/2002 privind comerțul electronic.
• Legea nr. 38/2003 privind transportul în regim de taxi și în regim de închiriere.
• Legea contabilității nr. 82/1991 și Codul fiscal, pentru perioadele de păstrare a documentelor financiare.

9. Contact

Persoana responsabilă cu protecția datelor în cadrul NIXAP DEVELOPMENT SRL: support@ogo.contact, subiect „Date personale”. Autoritatea de supraveghere: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, www.dataprotection.ro, anspdcp@dataprotection.ro, +40 318 059 211.