Ta polityka wyjaśnia, jakie dane osobowe Torqua przetwarza jako administrator, w jakim celu, na jakiej podstawie i jak długo. Dane, które warsztat przechowuje o SWOICH klientach (karty klientów, pojazdy, wizyty, faktury…), Torqua przetwarza w imieniu tego warsztatu: administratorem jest warsztat, a zasady określa Umowa powierzenia przetwarzania danych. Jeśli jesteś klientem warsztatu i chcesz skorzystać ze swoich praw dotyczących tych danych, zwróć się do warsztatu; jeśli napiszesz do nas, przekażemy mu Twoją prośbę.
1. Administrator
- Właściciel: Roberto Joao Tiron Tiron — NIF 43945647F
- Siedziba: Calle Luis Alberdi 11 8E, 09007, Burgos, Espana
- E-mail w sprawach prywatności: info@torqua.app
- Inspektor ochrony danych: nie został wyznaczony. Torqua nie ma takiego obowiązku: nie należy do żadnego z podmiotów wymienionych w artykule 34 hiszpańskiej ustawy organicznej 3/2018 ani nie przetwarza na dużą skalę szczególnych kategorii danych (art. 37 RODO). Wszelkie pytania należy kierować na e-mail w sprawach prywatności.
2. Jakie dane przetwarzamy, w jakim celu i na jakiej podstawie
| Kto | Jakie dane | W jakim celu | Podstawa prawna (RODO art. 6) |
|---|---|---|---|
| Osoby pracujące w warsztacie (właściciel, recepcja, mechanicy) | Imię i nazwisko, e-mail, hasło (zaszyfrowane, nigdy jawnym tekstem), zdjęcie, jeśli zostanie dodane, język, rola, drugi składnik, jeśli zostanie włączony | Zapewnienie dostępu do panelu i funkcji danej roli | Wykonanie umowy z warsztatem (6.1.b) i jego prawnie uzasadniony interes w tym, by jego zespół mógł pracować (6.1.f) |
| Warsztat jako klient Torqua | Nazwa firmy, NIF, adres, e-mail i dane planu | Pobieranie opłaty za subskrypcję i wystawianie faktur | Umowa (6.1.b) i obowiązek prawny (6.1.c) |
| Warsztat jako klient Torqua | Karta lub inny środek płatności | Pobieranie opłat | Umowa (6.1.b). Dane karty otrzymuje bezpośrednio Stripe; Torqua ich nie widzi ani nie przechowuje, tylko markę karty, cztery ostatnie cyfry i datę ważności |
| Osoby z kontem w portalu (My Torqua) | E-mail, imię i nazwisko, hasło (zaszyfrowane) lub konto Google/Microsoft, zdjęcie profilowe, jeśli zostanie dodane, język | Umożliwienie logowania i wglądu w historię z każdym warsztatem, którego osoba jest klientem | Umowa (6.1.b): warunki akceptowane przy zakładaniu konta |
| Każdy, kto korzysta z usługi | Adres IP, przeglądarka, data i godzina logowań oraz operacji usuwania i wsparcia | Bezpieczeństwo: wykrywanie nieuprawnionego dostępu, ostrzeganie o nowych logowaniach, ograniczanie nadużyć i odtworzenie przebiegu incydentu | Prawnie uzasadniony interes w bezpieczeństwie usługi (6.1.f; motyw 49) |
| Osoby piszące do Torqua | To, co nam przekażą, i ich e-mail | Udzielenie odpowiedzi | Prawnie uzasadniony interes (6.1.f) lub, w przypadku klientów, umowa |
| Osoby korzystające z Asystenta AI w panelu | To, o co pytają, i to, co odpowiada | Umożliwienie ponownego wglądu oraz pokazanie administratorowi warsztatu, co zostało zrobione | Umowa z warsztatem (6.1.b) i prawnie uzasadniony interes w możliwości sprawdzenia, co zrobiło narzędzie automatyczne (6.1.f) |
| Osoby, które odpowiedzą STOP na wiadomość WhatsApp od Torqua | Numer telefonu komórkowego i data prośby | Niewysyłanie im więcej powiadomień od żadnego warsztatu, bo numer nadawcy jest wspólny dla wszystkich | Obowiązek uszanowania sprzeciwu (6.1.c, art. 21) |
| Osoby akceptujące te warunki lub warunki portalu | Jaka wersja została zaakceptowana, kiedy i z jakiego adresu IP | Możliwość wykazania, co zostało zaakceptowane, w razie sporu | Obowiązek wykazania (6.1.c, art. 7.1) i prawnie uzasadniony interes w obronie (6.1.f) |
Nie tworzymy profili marketingowych, nie sprzedajemy danych i w produkcie nie ma reklam. Na stronie ani w panelu nie ma narzędzi analitycznych podmiotów trzecich.
Żadna decyzja wywołująca skutki prawne nie jest podejmowana w sposób zautomatyzowany (art. 22 RODO). Asystent AI w panelu tylko proponuje, a osoba z warsztatu zatwierdza. Jeśli warsztat włączy automatyczne odpowiedzi w WhatsAppie, są one oznaczone jako napisane przez AI (art. 50 europejskiego aktu w sprawie sztucznej inteligencji) i niczego o Tobie nie rozstrzygają: we wszystkim, co ważne, warsztat odpowiada Ci osobiście.
3. Konto w portalu i warsztaty
Konto w portalu jest jedno dla wszystkich warsztatów, ale każdy warsztat widzi tylko to, co jego klient ma z nim. Założenie konta nie daje żadnemu warsztatowi dostępu do Twoich danych: powiązanie z warsztatem powstaje dopiero wtedy, gdy istnieje prawdziwa relacja (prosisz o wizytę albo warsztat miał Cię już w swojej bazie klientów z tym samym adresem e-mail). Historia z jednym warsztatem nigdy nie miesza się z historią z innym.
Twoje powiadomienia, warsztat po warsztacie. Na stronie każdego warsztatu w Twoim portalu możesz udzielić lub cofnąć zgodę na powiadomienia przez WhatsApp i zrezygnować z przypomnień o przeglądzie technicznym (ITV) i serwisie. Każde przypomnienie zawiera też link do wypisania się bez logowania. Powiadomień o wizytach, kosztorysach i fakturach nie można wyłączyć, dopóki masz z danym warsztatem coś w toku: są częścią usługi zamówionej w tym warsztacie.
Jeśli odpowiesz STOP na wiadomość WhatsApp od Torqua, przestaniesz je otrzymywać od wszystkich warsztatów, bo numer jest ten sam. Aby znów je otrzymywać, odpowiedz w tym samym czacie.
4. Jak długo
| Co | Jak długo |
|---|---|
| Konta w panelu i w portalu | Dopóki są aktywne. Po usunięciu są kasowane |
| Dane warsztatu, który rezygnuje lub zostaje usunięty | 30 dni na zmianę decyzji; potem są kasowane |
| Kopie zapasowe | 30 dni; są zaszyfrowane |
| Rejestry logowań, dostępu wsparcia i audytu | 24 miesiące |
| Rejestry techniczne | 12 miesięcy |
| Wysłane już powiadomienia | 90 dni |
| Rozmowy z Asystentem AI | 90 dni |
| Numery, które poprosiły o STOP w WhatsAppie | Dopóki nie poproszą o ponowne otrzymywanie wiadomości |
| Wygasłe linki jednorazowe (odzyskiwanie hasła, zaproszenia, zatwierdzenia) | 30 dni po wygaśnięciu |
| Faktury wystawiane przez Torqua warsztatowi | 6 lat (hiszpański Kodeks handlowy, art. 30), zablokowane: używane tylko na żądanie warsztatu lub organu |
| Rejestr zaakceptowanych warunków | Przez cały czas trwania relacji i 6 lat dłużej, bo tyle może trwać dochodzenie roszczeń |
5. Komu są udostępniane
Tylko dostawcom niezbędnym do świadczenia usługi. Prawie wszyscy przetwarzają dane w imieniu Torqua, na podstawie umowy powierzenia. Stripe, Google i Microsoft są w swoim zakresie odrębnymi administratorami: Stripe — płatności i zapobiegania oszustwom; Google i Microsoft — logowania za pomocą ich konta, jeśli je wybierzesz.
| Dostawca | Do czego | Gdzie |
|---|---|---|
| Supabase | Baza danych, logowanie i przechowywanie zdjęć | UE (Niemcy) |
| Render | Serwer aplikacji | UE (Frankfurt) |
| Cloudflare | Hosting stron, sieć dostarczania treści, weryfikacja antybotowa (Turnstile) i zaszyfrowane kopie zapasowe | Sieć globalna; kopie zapasowe w UE |
| Stripe | Pobieranie opłat za subskrypcję i doładowania salda | UE (Irlandia) / USA |
| Resend | Wysyłanie e-maili | USA |
| GitHub | Zaszyfrowane kopie zapasowe | USA |
| Sentry (Functional Software) | Rejestr błędów aplikacji, aby je naprawiać. Otrzymuje błąd bez danych osoby: adresy e-mail, numery rejestracyjne, telefony, numery dokumentów i adresy IP są zaczerniane przed wysłaniem | UE (Niemcy) |
| Anthropic | Asystent AI w panelu, wersje robocze odpowiedzi na wiadomości WhatsApp od klientów i tłumaczenie strony warsztatu, tylko jeśli warsztat ma je włączone. Nie trenuje na tych danych i usuwa je w ciągu 30 dni | USA |
| Meta Platforms (WhatsApp) | Powiadomienia WhatsApp do osób, które wyraziły zgodę, oraz wiadomości, które te osoby piszą na ten numer. Działa jako podmiot przetwarzający, przechowuje wiadomości najwyżej 30 dni i nie używa ich do reklam | UE / USA |
| APIVehículo | Dane techniczne pojazdu na podstawie numeru rejestracyjnego; otrzymuje tylko numer rejestracyjny, bez imienia i nazwiska ani innych danych osoby | Hiszpania |
| NHTSA (vPIC, administracja USA) | Dekodowanie numeru VIN spoza Hiszpanii i Portugalii; to publiczna, otwarta usługa, która otrzymuje tylko numer VIN, bez żadnych innych danych | USA |
| Google, Microsoft | Logowanie za pomocą ich konta, tylko jeśli osoba to wybierze | USA |
Gdy dostawca przetwarza dane poza Europejskim Obszarem Gospodarczym, transfer ma swoje zabezpieczenie:
- Ramy ochrony danych UE–USA (decyzja (UE) 2023/1795): Cloudflare, Resend, GitHub, Stripe, Google i Microsoft.
- Standardowe klauzule umowne Komisji (decyzja (UE) 2021/914): Supabase, Render, Anthropic i Sentry.
- Aneks Meta dotyczący transferów z Regionu Europejskiego, dla WhatsAppa.
Baza danych i serwer aplikacji znajdują się w Unii Europejskiej.
Ponadto, gdy wymaga tego prawo: hiszpańskiej administracji skarbowej (faktury warsztatu są do niej przesyłane przez VERI*FACTU, bo to obowiązek warsztatu, a nie Torqua), sądom i organom.
6. Twoje prawa
Możesz zażądać dostępu, sprostowania, usunięcia, wnieść sprzeciw, zażądać ograniczenia przetwarzania i przenoszenia danych, pisząc na info@torqua.app. Odpowiemy w terminie jednego miesiąca przewidzianym w RODO, który można przedłużyć o dwa kolejne, jeśli żądanie jest złożone — wtedy Cię o tym poinformujemy. Jeśli odpowiedź Cię nie zadowoli, możesz złożyć skargę do organu w swoim kraju: w Hiszpanii do Agencia Española de Protección de Datos (www.aepd.es); w Portugalii do Comissão Nacional de Proteção de Dados (www.cnpd.pt).
Część można zrobić w samym produkcie: zmienić swoje dane i zdjęcie, usunąć konto w portalu bezpośrednio w portalu lub pobrać klientów i magazyn warsztatu. Jeśli pracujesz w warsztacie i chcesz usunąć swoje konto w panelu, poproś o to jego administratora lub napisz do nas.
Co można usunąć, a czego nie
Prawie wszystko jest naprawdę usuwane. Czego nie, i dlaczego:
- Faktur i ich zapisów podatkowych: prawo nakazuje je przechowywać (sześć lat w Hiszpanii, dziesięć w Portugalii). Pozostają zablokowane i prawo do usunięcia ich nie obejmuje (art. 17 ust. 3 lit. b RODO).
- Tego, co już wyszło z Torqua: e-maila lub wiadomości WhatsApp, które już do Ciebie dotarły, ani zapisu, który jest już w hiszpańskiej administracji skarbowej.
- Tego, co Stripe przechowuje o płatności: jest odrębnym administratorem i ma własne obowiązki.
- Twojego numeru, jeśli na Twoją prośbę wypisano go z WhatsAppa (BAJA): tylko to zapobiega ponownemu wysyłaniu Ci wiadomości. Zostaje usunięty, jeśli poprosisz o ponowne zapisanie (ALTA).
- Kopii zapasowych: nie edytuje się ich pojedynczo; to, co usunięto, znika z nich po ich wygaśnięciu, w ciągu 30 dni.
7. Bezpieczeństwo
Dane są przesyłane w postaci zaszyfrowanej (TLS) i przechowywane w postaci zaszyfrowanej. Każdy warsztat jest odizolowany od pozostałych w samej bazie danych, a nie tylko w aplikacji. Hasła nie są przechowywane jawnym tekstem, dostęp administracyjny obsługuje drugi składnik, a dostęp zespołu wsparcia do warsztatu jest rejestrowany.
8. Zmiany
Jeśli ta polityka zmieni się w sposób, który Cię dotyczy, powiadomimy Cię o tym wcześniej e-mailem lub w produkcie.