Polityka prywatności CMRbox

Wersja: 2026-11-04

1. Kto przetwarza dane

CMRbox (cmrbox.pl) prowadzi AGERE - Krzysztof Blask, Aleja 400-lecia 70, 23-400 Biłgoraj, NIP 9181943358, REGON 060658566 (dalej: my, CMRbox). Kontakt we wszystkich sprawach danych osobowych: kontakt@cmrbox.pl. Nie wyznaczyliśmy inspektora ochrony danych.

W CMRbox występujemy w dwóch rolach:

• Jesteśmy administratorem danych osób odwiedzających stronę cmrbox.pl, danych Biur (naszych klientów) i osób, które je reprezentują lub kontaktują się z nami. Jako niezależny administrator, w ramach prawnie uzasadnionego interesu, prowadzimy też wspólną listę numerów wypisanych z otrzymywania SMS-ów oraz logi bezpieczeństwa systemu.
• W pozostałym zakresie jesteśmy podmiotem przetwarzającym (art. 28 RODO): dotyczy to danych kierowców (w tym numeru wskazanego przez Biuro), treści zleceń, zdjęć i dokumentów, danych odbiorców dokumentów i danych zawartych w dokumentach – przetwarzamy je w imieniu i na polecenie Biura, które z nas korzysta. Administratorem tych danych jest Biuro (przewoźnik lub spedytor), które poprosiło o dokumenty. Zasady opisuje Umowa powierzenia.

2. Informacja dla kierowców

Jeżeli na Twój numer przyszedł SMS od CMRbox z prośbą o zdjęcie CMR lub kwitu paletowego:

• Twój numer telefonu (i ewentualnie imię) podało nam biuro wskazane w SMS i na stronie zlecenia. To ono jest administratorem Twoich danych i decyduje, po co są przetwarzane – zwykle w celu rozliczenia przewozu. W sprawie swoich danych możesz zwrócić się bezpośrednio do tego biura (telefon biura jest na stronie zlecenia) albo do nas – przekażemy sprawę biuru.
• My przetwarzamy te dane tylko po to, żeby wysłać Ci SMS z linkiem, pokazać zlecenie, odebrać zdjęcia dokumentów i przekazać je biuru jako PDF.
• Na stronie „Moje zlecenia” pokazujemy Ci otwarte zlecenia skierowane na Twój numer przez różne biura korzystające z CMRbox (tylko nazwa biura, numer zlecenia, trasa i brakujące dokumenty). Biura nie widzą zleceń innych biur.
• W sekcji „Więcej opcji i pomoc” możesz zgłosić „To nie mój numer” (to biuro przestanie wysyłać Ci SMS-y) albo „Nie chcę SMS-ów z CMRbox” (nie wyślemy na Twój numer żadnych SMS-ów, od żadnego biura). Listę numerów wypisanych z SMS-ów prowadzimy jako administrator, na podstawie naszego prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) – żeby szanować Twoją decyzję niezależnie od biura. Tak samo zapisujemy datę Twojego potwierdzenia, że jesteś kierowcą zlecenia i akceptujesz regulamin.
• Automatyczna kontrola zdjęć: po zrobieniu zdjęcia jego pomniejszona kopia jest wysyłana do modelu sztucznej inteligencji Google (Gemini API), który wskazuje rogi kartki i sprawdza, czy zdjęcie jest ostre, czy dokument nie jest ucięty, czy w polu 24 CMR widać podpis i pieczątkę odbiorcy oraz czy na dokumencie są uwagi (np. o szkodzie). Wynik to tylko podpowiedź – możesz wysłać zdjęcie mimo uwag; nie podejmujemy na jego podstawie decyzji wobec Ciebie. Prostowanie i poprawa czytelności zdjęcia odbywają się na Twoim telefonie. Biuro widzi oryginalne zdjęcie, wyprostowaną kopię i wynik kontroli. Google może przetwarzać te dane poza Europejskim Obszarem Gospodarczym (patrz punkt 6).
• Nie wysyłamy reklam. Nie wysyłamy SMS-ów w godzinach ciszy nocnej ustawionych przez biuro (domyślnie 21:00–7:00 czasu polskiego).
• Na stronie zlecenia nie używamy Google Analytics ani plików cookies analitycznych.

3. Jakie dane, w jakim celu i na jakiej podstawie (jako administrator)

Podanie danych przy zakładaniu konta jest warunkiem korzystania z usługi. Odpowiedzi rynkowe i zgoda na analitykę są dobrowolne.

4. Dane, które przetwarzamy w imieniu Biur (jako podmiot przetwarzający)

• Kierowcy: numer telefonu, imię lub opis wpisany przez biuro (np. numer rejestracyjny), zlecenia skierowane na ten numer, statusy SMS (wysłano, doręczono, błąd), zgłoszenia „To nie moje zlecenie” / „To nie mój numer”, czasy otwarcia linku i przesłania dokumentów.
• Dane zleceń: numer zlecenia, miejsca i adresy załadunku i rozładunku, daty, numer awizacji, towar, pojazd, uwagi biura oraz pliki dodane przez biuro dla kierowcy.
• Dokumenty: zdjęcia (oryginał i wyprostowana kopia, także odrzucone i poprawione wersje) i pliki PDF listów przewozowych CMR, kwitów paletowych i innych dokumentów oraz wyniki automatycznej kontroli zdjęć (rogi kartki, ostrość, ucięcie, podpis i pieczątka odbiorcy, uwagi). Mogą one zawierać dane osób trzecich, np. imiona i nazwiska, podpisy, pieczątki firm, numery rejestracyjne.
• Odbiorcy dokumentów: nazwy i adresy e-mail kontaktów zapisanych przez biuro, na które wysyłamy PDF-y.
• Zlecenia przekazane e-mailem: treść wiadomości i załączniki przekazane na adres biura w domenie zlecenia.cmrbox.pl.

Zakres poleceń biura i nasze obowiązki opisuje Umowa powierzenia.

5. Jak długo przechowujemy dane

• Dokumenty (zdjęcia, PDF-y) i pliki wiadomości e-mail ze zleceniami: 24 miesiące od otrzymania, potem są usuwane.
• Skróty NIP, numeru telefonu i adresu e-mail (zapobieganie nadużyciom okresu testowego): przez maksymalnie 12 miesięcy od usunięcia konta, potem są usuwane.
• Dane konta biura i dane zleceń: przez czas trwania umowy, a po jej zakończeniu – usuwamy je w terminie określonym w regulaminie i umowie powierzenia, chyba że przepisy wymagają dłuższego przechowywania.
• Dokumenty księgowe: przez okres wymagany przepisami podatkowymi (zwykle 5 lat od końca roku podatkowego).
• Lista numerów wypisanych z SMS-ów: dopóki właściciel numeru nie poprosi o zmianę (inaczej nie moglibyśmy uszanować wypisu).
• Wiadomości z formularza kontaktowego: 12 miesięcy od wysłania, potem są usuwane automatycznie.
• Korespondencja i dane do obrony roszczeń: do upływu okresu przedawnienia roszczeń.
• Logi techniczne i serwerowe (informacje o zdarzeniach systemowych, błędach, adresy IP): przechowujemy maksymalnie przez 30 dni. Podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na zapewnieniu bezpieczeństwa sieci, wykrywaniu nadużyć i diagnostyce awarii.
• Dane Google Analytics: 14 miesięcy; pliki cookies – jak w punkcie 8.

6. Komu przekazujemy dane (podmioty przetwarzające)

Korzystamy z usług zaufanych dostawców, którzy przetwarzają dane na nasze polecenie:

Dokumenty trafiają też do odbiorców wskazanych przez biuro (np. księgowość, zleceniodawca, firma faktoringowa) – na polecenie biura. Dane możemy udostępnić organom państwowym, gdy wymaga tego prawo.

Przekazywanie poza EOG: korzystając z infrastruktury dostawców takich jak Google LLC czy Cloudflare, Inc., dane mogą być przekazywane na serwery w Stanach Zjednoczonych. Podstawą jest decyzja wykonawcza Komisji Europejskiej dotycząca ram ochrony danych UE–USA (Data Privacy Framework) dla podmiotów wpisanych na listę Departamentu Handlu USA, a uzupełniająco standardowe klauzule umowne (SCC) będące częścią umów powierzenia (DPA) zawartych z dostawcami.

7. Twoje prawa

Masz prawo do: dostępu do swoich danych i otrzymania ich kopii, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych (gdy przetwarzamy je na podstawie umowy lub zgody), sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie, a także do cofnięcia zgody w dowolnym momencie (bez wpływu na zgodność z prawem przetwarzania przed jej cofnięciem).

Aby skorzystać z praw, napisz na kontakt@cmrbox.pl. Odpowiemy w ciągu miesiąca. Jeżeli sprawa dotyczy danych, które przetwarzamy w imieniu biura (np. danych kierowcy lub dokumentów), przekażemy ją biuru i pomożemy mu odpowiedzieć.

Masz też prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl).

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowania, które wywoływałyby skutki prawne.

8. Pliki cookies i pamięć przeglądarki

Strony publiczne (strona główna, pomoc, kontakt, regulamin, polityka prywatności, umowa powierzenia):

• Przy pierwszej wizycie pokazujemy baner z wyborem „Akceptuję” lub „Odrzucam”. Oba przyciski są tak samo widoczne.
• Dopiero po akceptacji ładujemy Google Analytics 4. Ustawia ono pliki cookies:
  • _ga – odróżnia przeglądarki (losowy identyfikator), ważny do 2 lat;
  • _ga_<ID> – przechowuje stan sesji, ważny do 2 lat.
• W Google Analytics wyłączyliśmy sygnały Google i personalizację reklam, skracamy adres IP, nie wysyłamy imion, adresów e-mail ani identyfikatorów kont. Mierzymy odsłony stron publicznych i kliknięcia w przyciski rejestracji.
• Twój wybór zapisujemy w pamięci przeglądarki (localStorage, klucz cmrbox.cookie-consent) – to niezbędne, żeby nie pytać przy każdej wizycie.
• Zmiana lub wycofanie zgody: kliknij „Ustawienia cookies” w stopce strony i wybierz „Odrzucam”. Usuniemy wtedy pliki cookies _ga i _ga_* i wyłączymy pomiar. Możesz też usunąć pliki cookies w ustawieniach przeglądarki.

Własne statystyki (bez cookies). Na stronach publicznych liczymy odwiedziny we własnym systemie, niezależnie od Google Analytics i bez zgody na cookies, bo nie zapisujemy żadnych plików cookies ani danych osobowych: nie zapisujemy adresu IP ani danych przeglądarki; zapisujemy odwiedzoną stronę, domenę strony odsyłającej, tagi UTM, typ urządzenia (telefon, tablet, komputer) i losowy identyfikator sesji, który znika po zamknięciu karty. W pamięci przeglądarki trzymamy tylko ten identyfikator (sessionStorage) i znacznik „odwiedzał już stronę” (localStorage, wartość tak/nie). Gdy zakładasz konto, identyfikator sesji trafia do danych konta, żebyśmy wiedzieli, skąd przyszła rejestracja. Roboty i zapytania z adresów panelu i stron kierowców nie są zapisywane. Nie śledzimy użytkowników między różnymi witrynami. Statystyki kasujemy po 400 dniach. Zapis i odczyt informacji w urządzeniu użytkownika (sessionStorage, localStorage) dotyczy art. 399 Prawa komunikacji elektronicznej; uznajemy, że ten pomiar własnej witryny, bez danych osobowych, służy utrzymaniu i poprawie działania usługi.

Panel biura (cmrbox.pl/app) i strona zlecenia dla kierowcy (cmrbox.pl/d/…): nie używamy tu Google Analytics ani cookies analitycznych. Panel zapisuje w pamięci przeglądarki dane sesji logowania (niezbędne do działania konta).

9. Bezpieczeństwo

Stosujemy m.in.: szyfrowane połączenia (HTTPS), oddzielenie danych każdego biura na poziomie bazy danych, prywatne przechowywanie plików z krótkotrwałymi linkami do pobrania, długie losowe linki dla kierowców, które wygasają, oraz pokazywanie kierowcy tylko danych potrzebnych do zlecenia. Szczegóły – w Umowie powierzenia.

10. Zmiany polityki

Gdy zmienimy politykę, opublikujemy nową wersję na tej stronie z nową datą wersji. O istotnych zmianach poinformujemy biura e-mailem.