/01 Administrator danych

Administratorem Twoich danych osobowych jest Onit Soft sp. z o.o. z siedzibą w Krakowie, ul. Fabryczna 20a, 31-553 Kraków, wpisana do KRS pod numerem 0001054906, NIP 6751787127, REGON 526210032.

Kontakt w sprawach ochrony danych: [email protected] lub korespondencyjnie na adres siedziby.

/02 Cele i podstawy przetwarzania

Twoje dane przetwarzamy w następujących celach i w oparciu o następujące podstawy prawne (art. 6 RODO):

• Odpowiedź na zapytanie z formularza kontaktowego - art. 6 ust. 1 lit. b (działania przed zawarciem umowy) lub lit. f (uzasadniony interes - prowadzenie korespondencji).
• Zawarcie i wykonanie umowy o świadczenie usług - art. 6 ust. 1 lit. b RODO.
• Wystawianie faktur i prowadzenie ksiąg rachunkowych - art. 6 ust. 1 lit. c (obowiązek prawny - ustawa o rachunkowości, ustawa o VAT).
• Marketing własnych usług (newsletter, oferta) - art. 6 ust. 1 lit. a (zgoda) lub lit. f (uzasadniony interes - marketing bezpośredni).
• Analityka strony i poprawa działania serwisu - art. 6 ust. 1 lit. a (zgoda na cookies analityczne).
• Dochodzenie lub obrona przed roszczeniami - art. 6 ust. 1 lit. f.

/03 Kategorie danych

W zależności od celu przetwarzamy:

• Dane identyfikacyjne i kontaktowe - imię, nazwisko, e-mail, numer telefonu, nazwa firmy, NIP.
• Dane korespondencji - treść wiadomości, załączniki, historia rozmów.
• Dane techniczne - adres IP, identyfikator sesji, dane z plików cookies, wersja przeglądarki, system operacyjny, ścieżka odwiedzin.
• Dane rozliczeniowe - w ramach umów: dane do faktury, numer rachunku, historia płatności.

Nie zbieramy świadomie danych szczególnych kategorii (art. 9 RODO) ani danych dzieci poniżej 16 roku życia.

/04 Odbiorcy danych

Twoje dane mogą być przekazywane:

• Dostawcom usług IT - hosting (np. Vercel, Cloudflare, AWS), poczta firmowa (Google Workspace), narzędzia komunikacji (Slack), repozytoria kodu (GitHub).
• Biuru rachunkowemu - w celu prowadzenia księgowości.
• Dostawcom narzędzi analitycznych i marketingowych - wyłącznie po wyrażeniu zgody na odpowiednie kategorie cookies (np. Google Analytics, Meta).
• Operatorom płatności i instytucjom finansowym - w ramach realizacji rozliczeń.
• Stripe Payments Europe Ltd. - obsługa płatności za abonamenty Sokar Logistics i Bobi oraz wystawianie faktur. Stripe przetwarza dane karty i rachunku bezpośrednio; my ich nie przechowujemy.
• Dostawcom modeli AI i komunikacji dla asystenta Bobi - Anthropic PBC i OpenAI (modele językowe i transkrypcja), Vapi i ElevenLabs (rozmowy głosowe i synteza mowy), Twilio (telefonia i SMS), Meta Platforms Ireland (WhatsApp Business). Otrzymują wyłącznie treść niezbędną do obsługi danego zapytania lub rozmowy.
• Organom publicznym - gdy obowiązek wynika z przepisów (np. KSeF, urzędy skarbowe).

Ze wszystkimi podmiotami, którym powierzamy dane, zawieramy umowy powierzenia przetwarzania (art. 28 RODO).

/05 Transfer danych poza EOG

Dane klientów i użytkowników aplikacji Sokar Logistics i Bobi są przechowywane w Unii Europejskiej. Część dostawców (Google, Meta, Cloudflare, Anthropic, OpenAI, Vapi, ElevenLabs, Twilio) może przetwarzać przekazywane im fragmenty danych w krajach trzecich, głównie w USA. Transfery odbywają się na podstawie:

• Decyzji Komisji Europejskiej o adekwatnym poziomie ochrony (Data Privacy Framework - dla certyfikowanych dostawców z USA).
• Standardowych klauzul umownych (SCC) - w pozostałych przypadkach.

/06 Czas przechowywania

• Korespondencja z formularza kontaktowego - do 24 miesięcy od ostatniego kontaktu.
• Dane klientów i kontrahentów - przez okres trwania umowy + 6 lat po jej zakończeniu (art. 74 ustawy o rachunkowości).
• Dane do faktur i dokumenty księgowe - 5 lat liczone od końca roku rozliczeniowego.
• Newsletter i marketing - do momentu wycofania zgody.
• Cookies analityczne i marketingowe - zgodnie z polityką cookies (typowo do 13 miesięcy).

/07 Bezpieczeństwo danych - środki techniczne i organizacyjne

Zgodnie z art. 32 RODO stosujemy odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa adekwatny do ryzyka, w tym dla danych wrażliwych, gdyby były przetwarzane:

• Szyfrowanie w tranzycie - cała komunikacja ze stroną i z naszymi systemami odbywa się przez TLS 1.2/1.3 (HTTPS); wymuszamy HSTS i nowoczesne zestawy szyfrów.
• Szyfrowanie w spoczynku - dane przechowywane w infrastrukturze chmurowej (hosting, kopie zapasowe, poczta) są szyfrowane na poziomie dysku lub bazy (AES-256 lub równoważne).
• Pseudonimizacja i minimalizacja - tam gdzie to zasadne, ograniczamy identyfikowalność i przetwarzamy tylko dane niezbędne do danego celu.
• Kontrola dostępu - zasada najmniejszych uprawnień, indywidualne konta, uwierzytelnianie wieloskładnikowe (MFA) tam, gdzie jest dostępne, oraz logowanie zdarzeń dostępu.
• Polityki haseł i zarządzanie sekretami - silne hasła, menedżery haseł, rotacja kluczy API i sekretów; brak udostępniania danych logowania.
• Kopie zapasowe i ciągłość działania - regularne, szyfrowane kopie zapasowe oraz testowane procedury odtworzenia.
• Aktualizacje i zarządzanie podatnościami - bieżące łatanie systemów, monitorowanie zależności (CVE) i przegląd kodu pod kątem bezpieczeństwa.
• Bezpieczeństwo urządzeń i sieci - szyfrowanie dysków stacji roboczych, zapory sieciowe, oprogramowanie antymalware, ograniczenie dostępu zdalnego (VPN tam, gdzie wymagany).
• Środki organizacyjne - zobowiązania do poufności (NDA) z personelem i podwykonawcami, szkolenia z ochrony danych i bezpieczeństwa informacji, dokumentacja procesów (rejestr czynności przetwarzania, ocena ryzyka).
• Powierzenie danych - ze wszystkimi dostawcami (procesorami) zawieramy umowy powierzenia (art. 28 RODO) i weryfikujemy ich poziom bezpieczeństwa (np. ISO 27001, SOC 2, certyfikacja DPF).
• Reagowanie na incydenty - posiadamy procedurę zgłaszania naruszeń ochrony danych do Prezesa UODO w ciągu 72 godzin (art. 33 RODO) oraz, w uzasadnionych przypadkach, informowania osób, których dane dotyczą (art. 34 RODO).
• Dane wrażliwe (szczególne kategorie - art. 9 RODO) - świadomie nie zbieramy danych takich jak zdrowie, pochodzenie, dane biometryczne, orientacja seksualna, przekonania ani danych dzieci poniżej 16 r.ż. Jeśli mimo to otrzymamy je przypadkowo (np. w treści wiadomości), niezwłocznie je usuwamy lub przetwarzamy wyłącznie w niezbędnym zakresie i w ramach najwyższych zabezpieczeń.

Środki te są okresowo weryfikowane i aktualizowane stosownie do zmieniających się zagrożeń i dobrych praktyk branżowych.

/08 Twoje prawa

Zgodnie z RODO przysługują Ci następujące prawa:

• Dostępu do swoich danych (art. 15).
• Sprostowania nieprawidłowych danych (art. 16).
• Usunięcia danych - „prawo do bycia zapomnianym" (art. 17).
• Ograniczenia przetwarzania (art. 18).
• Przenoszenia danych (art. 20).
• Sprzeciwu wobec przetwarzania w celach marketingu bezpośredniego (art. 21) - w każdej chwili, bez uzasadnienia.
• Wycofania zgody w dowolnym momencie - bez wpływu na zgodność z prawem przetwarzania, którego dokonano przed wycofaniem.

Aby skorzystać z dowolnego z tych praw, napisz na [email protected]. Odpowiadamy w terminie do 30 dni.

/09 Skarga do organu nadzorczego

Jeżeli uważasz, że przetwarzamy Twoje dane niezgodnie z prawem, masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl ).

/10 Pliki cookies

Szczegółowe informacje o plikach cookies, które stosujemy, oraz o sposobie zarządzania zgodami znajdziesz w naszej polityce cookies.

/11 Profilowanie i decyzje zautomatyzowane

Nie podejmujemy w stosunku do Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), które wywoływałyby wobec Ciebie skutki prawne lub w podobny sposób istotnie wpływały na Twoją sytuację (art. 22 RODO).

/12 Zmiany polityki

Zastrzegamy sobie prawo do okresowej aktualizacji niniejszej polityki. Każda zmiana zostanie opublikowana na tej stronie z nową datą „ostatniej aktualizacji". W przypadku istotnych zmian poinformujemy o tym osoby, których to dotyczy (np. mailowo).

/13 Przetwarzanie AI/ML i dane Google Workspace (Limited Use)

Nasza aplikacja udostępnia agenta logistycznego AI, który łączy się z kontem Gmail użytkownika za pośrednictwem Google OAuth (zakresy: gmail.readonly oraz gmail.send). Przy przetwarzaniu tych danych przestrzegamy Google API Services User Data Policy, w tym wymogów Limited Use dla interfejsów Workspace.

Wykorzystanie danych Google Workspace. Dane uzyskane z interfejsów Google Workspace (treść wiadomości Gmail, w tym ciało wiadomości, nagłówki, załączniki i metadane pobierane przez OAuth) są wykorzystywane wyłącznie do udostępniania i ulepszania funkcji aplikacji widocznych dla użytkownika - tj. odczytywania potwierdzeń zamówień, powiadomień o wysyłce i wiadomości od dostawców w celu koordynacji procesów logistycznych oraz wysyłania powiązanych wiadomości wychodzących w imieniu użytkownika. Nie wykorzystujemy danych Google Workspace do reklamy ani nie sprzedajemy ich i nie przekazujemy podmiotom trzecim w niezwiązanych celach.

Trenowanie modeli AI/ML. Nie wykorzystujemy danych Google Workspace - w tym treści wiadomości, nagłówków, załączników ani metadanych - do tworzenia, ulepszania, trenowania ani dostrajania (fine-tuning) jakichkolwiek uogólnionych ani niespersonalizowanych modeli AI/ML, zarówno własnych, jak i dostarczanych przez podmioty trzecie.

Zewnętrzny dostawca AI. Aby generować wyniki oparte na AI (np. wyodrębnianie informacji strukturalnych z wiadomości, redagowanie wiadomości wychodzących), przesyłamy wyłącznie minimalną niezbędną treść do Anthropic PBC, dostawcy dużego modelu językowego Claude (Sonnet) za pośrednictwem Anthropic API. Anthropic przetwarza te dane wyłącznie w celu zwrócenia odpowiedzi AI dla bieżącego żądania i, zgodnie ze swoimi Commercial Terms of Service oraz Usage Policies, domyślnie nie wykorzystuje danych wejściowych ani wyjściowych API do trenowania swoich modeli. Dane są przetwarzane w infrastrukturze Anthropic (głównie w Stanach Zjednoczonych) na podstawie standardowych klauzul umownych (SCC) oraz umowy powierzenia przetwarzania danych (DPA).

Przegląd przez ludzi. Nie zezwalamy na odczyt danych Google Workspace przez ludzi, chyba że (a) posiadamy konkretną zgodę użytkownika, (b) jest to niezbędne dla celów bezpieczeństwa (np. badanie nadużyć), (c) w celu spełnienia wymogów prawa, lub (d) dane zostały zagregowane i zanonimizowane i są wykorzystywane do wewnętrznych celów operacyjnych.

Przechowywanie i retencja. Treść wiadomości pobierana z Gmaila (ciało wiadomości, nagłówki, załączniki i metadane) jest tymczasowo buforowana w bazie danych naszej aplikacji ze względów wydajnościowych i niezawodnościowych - aby zmniejszyć opóźnienia, uniknąć przekroczenia limitów Gmail API (rate limits) oraz zapewnić responsywne interakcje podczas przeglądania ostatniej aktywności przez użytkownika. Bufor (cache) nie jest długoterminowym archiwum skrzynki użytkownika; Gmail pozostaje autorytatywnym źródłem prawdy (source of truth).

Bufor jest przechowywany w bazie danych PostgreSQL hostowanej w Amazon Web Services (AWS) w Unii Europejskiej (region: eu-central-1, Frankfurt), szyfrowanej w spoczynku algorytmem AES-256 i chronionej środkami kontroli dostępu opisanymi w sekcji /07.

Zasady buforowania:

• Buforowana treść wiadomości ma czas życia (TTL) wynoszący 90 dni od daty oryginalnej wiadomości, po czym jest automatycznie usuwana z naszej bazy danych.
• Bufor jest okresowo synchronizowany z Gmailem: jeżeli użytkownik usunie wiadomość w Gmailu, odpowiadający jej wpis w buforze zostanie usunięty podczas kolejnego cyklu synchronizacji.
• Gdy użytkownik rozłączy integrację z Gmailem w aplikacji, token odświeżający OAuth (refresh token) zostaje unieważniony, a cała buforowana treść Gmail tego użytkownika jest natychmiast usuwana.
• Gdy użytkownik usunie swoje konto, cała buforowana treść Gmail jest natychmiast usuwana.
• Użytkownik może w dowolnym momencie zażądać natychmiastowego usunięcia danych na podstawie art. 17 RODO, pisząc na adres [email protected].

Tokeny uwierzytelniające (OAuth refresh tokens) są przechowywane w postaci zaszyfrowanej (encryption at rest) oraz unieważniane i usuwane w momencie rozłączenia integracji przez użytkownika lub usunięcia jego konta.

/14 Aplikacje Sokar Logistics i Bobi

Ta sekcja dotyczy osób korzystających z aplikacji Sokar Logistics (system TMS) i Bobi (asystent AI), w tym z portalu zespołu, aplikacji mobilnej, kanału WhatsApp i połączeń głosowych.

Konta użytkowników. Jako administrator przetwarzamy dane kont: imię, nazwisko, e-mail, telefon, nazwę firmy i NIP, rolę w zespole, dziennik logowań i aktywności oraz dane rozliczeniowe zespołu. Podstawą jest umowa (art. 6 ust. 1 lit. b RODO) oraz obowiązki prawne (lit. c). Dane kont przechowujemy przez okres umowy i 6 lat po jej zakończeniu.

Dane operacyjne firmy. Zlecenia, kontrahenci, kierowcy, pojazdy, numery licencji transportowych, dokumenty, treść rozmów asystenta, nagrania i transkrypcje rozmów głosowych oraz wiadomości WhatsApp to dane, których administratorem jest firma korzystająca z aplikacji (nasz Klient). Przetwarzamy je na jej polecenie jako podmiot przetwarzający, na zasadach z Umowy powierzenia przetwarzania danych. Z pytaniami o te dane zwróć się do firmy, która korzysta z aplikacji.

Rozmowy z asystentem. Bobi przedstawia się jako asystent AI. Rozmowy głosowe są nagrywane, a rozmówca jest o tym informowany na początku rozmowy i może odmówić, kończąc rozmowę. Nagrania i transkrypcje są dostępne wyłącznie firmie, na której polecenie prowadzona była rozmowa, oraz podprzetwarzającym z Umowy powierzenia.

Zawarcie umowy online. Przy akceptacji dokumentów umownych i zakupie planu zapisujemy dowód akceptacji: dane osoby akceptującej, datę, adres IP, identyfikator przeglądarki i identyfikator sesji płatności. Dane te przechowujemy przez okres umowy i 6 lat po jej zakończeniu w celu wykazania zawarcia umowy.

Płatności. Płatności za plany obsługuje Stripe. Dane karty podajesz bezpośrednio Stripe; my otrzymujemy identyfikator płatności, status i dane do faktury.

/01 Data Controller

The controller of your personal data is Onit Soft sp. z o.o., headquartered in Kraków, Fabryczna 20a, 31-553 Kraków, Poland, registered under KRS 0001054906, NIP 6751787127, REGON 526210032.

Contact for data protection matters: [email protected] or via post at the registered address.

/02 Purposes and legal bases

We process your data for the following purposes and on the following legal bases (Art. 6 GDPR):

• Responding to inquiries from the contact form - Art. 6(1)(b) (pre-contract steps) or (f) (legitimate interest - correspondence).
• Concluding and performing service contracts - Art. 6(1)(b).
• Issuing invoices and accounting - Art. 6(1)(c) (legal obligation - Polish accounting and VAT acts).
• Marketing of our own services (newsletter, offers) - Art. 6(1)(a) (consent) or (f) (legitimate interest - direct marketing).
• Site analytics and service improvement - Art. 6(1)(a) (consent for analytics cookies).
• Pursuing or defending against claims - Art. 6(1)(f).

/03 Categories of data

Depending on the purpose, we process:

• Identification and contact data - name, email, phone number, company name, tax ID.
• Correspondence data - message content, attachments, conversation history.
• Technical data - IP address, session identifier, cookie data, browser version, OS, browsing path.
• Billing data (under contracts) - invoice details, bank account, payment history.

We do not knowingly collect special category data (Art. 9 GDPR) or data of children under 16.

/04 Recipients

Your data may be shared with:

• IT service providers - hosting (Vercel, Cloudflare, AWS), business email (Google Workspace), communication tools (Slack), code repositories (GitHub).
• Accounting firm - for bookkeeping.
• Analytics and marketing tool providers - only after consent for the relevant cookie categories (Google Analytics, Meta, etc.).
• Payment operators and financial institutions - for settlement.
• Stripe Payments Europe Ltd. - payment processing and invoicing for Sokar Logistics and Bobi subscriptions. Stripe handles card and bank details directly; we do not store them.
• AI model and communication providers for the Bobi assistant - Anthropic PBC and OpenAI (language models and transcription), Vapi and ElevenLabs (voice calls and speech synthesis), Twilio (telephony and SMS), Meta Platforms Ireland (WhatsApp Business). They receive only the content necessary to handle a given request or conversation.
• Public authorities - when required by law (e.g. KSeF, tax offices).

We sign data processing agreements (Art. 28 GDPR) with all entities to which we entrust data.

/05 Transfers outside the EEA

Customer and user data of the Sokar Logistics and Bobi applications is stored in the European Union. Some providers (Google, Meta, Cloudflare, Anthropic, OpenAI, Vapi, ElevenLabs, Twilio) may process the fragments of data sent to them in third countries, mainly the USA. Transfers are based on:

• European Commission adequacy decisions (Data Privacy Framework - for certified US providers).
• Standard Contractual Clauses (SCCs) - in other cases.

/06 Retention period

• Contact form correspondence - up to 24 months from last contact.
• Client and contractor data - for the duration of the contract + 6 years after (Polish accounting act).
• Invoices and accounting documents - 5 years from the end of the tax year.
• Newsletter and marketing - until consent is withdrawn.
• Analytics and marketing cookies - per the cookie policy (typically up to 13 months).

/07 Data security - technical and organisational measures

In line with Art. 32 GDPR we apply technical and organisational measures appropriate to the risk, including for sensitive data should it ever be processed:

• Encryption in transit - all communication with the website and our systems uses TLS 1.2/1.3 (HTTPS); we enforce HSTS and modern cipher suites.
• Encryption at rest - data stored in cloud infrastructure (hosting, backups, mail) is encrypted at the disk or database layer (AES-256 or equivalent).
• Pseudonymisation and minimisation - where reasonable, we limit identifiability and process only data necessary for the given purpose.
• Access control - principle of least privilege, individual accounts, multi-factor authentication (MFA) where available, and access logging.
• Password and secret management - strong passwords, password managers, rotation of API keys and secrets; no sharing of credentials.
• Backups and continuity - regular, encrypted backups and tested recovery procedures.
• Patching and vulnerability management - ongoing system patching, dependency monitoring (CVEs) and security review of code.
• Endpoint and network security - workstation disk encryption, firewalls, anti-malware software, restricted remote access (VPN where required).
• Organisational measures - confidentiality (NDA) commitments with staff and subcontractors, data protection and information security training, documented processes (record of processing activities, risk assessment).
• Processor due diligence - we sign data processing agreements (Art. 28 GDPR) with all providers and verify their security posture (e.g. ISO 27001, SOC 2, DPF certification).
• Incident response - we maintain a procedure for reporting personal data breaches to the President of UODO within 72 hours (Art. 33 GDPR) and, where required, notifying affected individuals (Art. 34 GDPR).
• Sensitive data (special categories - Art. 9 GDPR) - we do not knowingly collect health, racial/ethnic, biometric, sexual orientation, belief data or data of children under 16. If we receive such data accidentally (e.g. inside a message body), we delete it promptly or process it only to the necessary extent under the highest safeguards.

These measures are reviewed and updated periodically in line with evolving threats and industry good practice.

/08 Your rights

Under GDPR you have the right to:

• Access your data (Art. 15).
• Rectify inaccurate data (Art. 16).
• Erasure - "right to be forgotten" (Art. 17).
• Restrict processing (Art. 18).
• Data portability (Art. 20).
• Object to processing for direct marketing (Art. 21) - at any time, without justification.
• Withdraw consent at any time - without affecting the lawfulness of processing prior to withdrawal.

To exercise any of these rights, write to [email protected]. We respond within 30 days.

/09 Complaint to a supervisory authority

If you believe we process your data unlawfully, you have the right to lodge a complaint with the President of the Polish Personal Data Protection Office (UODO, Stawki 2, 00-193 Warsaw, uodo.gov.pl ).

/10 Cookies

Detailed information about the cookies we use and how to manage consent is available in our cookie policy.

/11 Profiling and automated decisions

We do not make decisions about you based solely on automated processing (including profiling) that would produce legal effects or similarly significantly affect you (Art. 22 GDPR).

/12 Changes to this policy

We may update this policy from time to time. Each change will be published on this page with a new "last updated" date. For material changes, we will inform affected persons (e.g. by email).

/13 AI/ML processing and Google Workspace data (Limited Use)

Our application provides an AI logistics agent that connects to the user's Gmail account via Google OAuth (scopes: gmail.readonly and gmail.send). When processing this data, we comply with the Google API Services User Data Policy, including the Limited Use requirements for Workspace APIs.

Use of Google Workspace data. Data obtained from Google Workspace APIs (Gmail content, including message bodies, headers, attachments and metadata accessed via OAuth) is used solely to provide and improve user-facing features of the application - i.e. reading order confirmations, shipping notifications and supplier emails to coordinate logistics workflows, and sending related outbound emails on the user's behalf. We do not use Google Workspace data for advertising, and we do not sell or transfer it to third parties for unrelated purposes.

AI/ML model training. We do not use Google Workspace data - including email content, headers, attachments or metadata - to develop, improve, train or fine-tune any generalised or non-personalised AI/ML models, whether our own or those of any third party.

Third-party AI provider. To generate AI-driven outputs (e.g. extracting structured information from emails, drafting outbound messages), we send only the minimum necessary text to Anthropic PBC, which provides the Claude (Sonnet) large language model via the Anthropic API. Anthropic processes this data solely to return the AI response for the current request and, under its Commercial Terms of Service and Usage Policies, does not use API inputs or outputs to train its models by default. Data is processed in Anthropic's infrastructure (primarily in the United States) under Standard Contractual Clauses and a data processing agreement.

Human review. We do not allow humans to read Google Workspace data unless (a) we have the user's specific consent, (b) it is necessary for security purposes (e.g. investigating abuse), (c) to comply with applicable law, or (d) the data has been aggregated and anonymised and is used for internal operations.

Storage and retention. Email content retrieved from Gmail (message bodies, headers, attachments and metadata) is temporarily cached in our application database for performance and reliability reasons - to reduce latency, avoid hitting Gmail API rate limits, and provide responsive interactions when the user reviews recent activity. The cache is not intended as a long-term archive of the user's mailbox; Gmail remains the authoritative source of truth.

The cache is stored in a PostgreSQL database hosted on Amazon Web Services (AWS) in the European Union (region: eu-central-1, Frankfurt), encrypted at rest using AES-256, and protected by the access controls described in section /07.

Cache rules:

• Cached email content has a time-to-live (TTL) of 90 days from the original message date, after which it is automatically purged from our database.
• The cache is periodically synchronised with Gmail: if a message is deleted by the user in Gmail, the corresponding cache entry is removed during the next synchronisation cycle.
• When the user disconnects the Gmail integration in the application, the OAuth refresh token is revoked and all cached Gmail content for that user is purged immediately.
• When the user deletes their account, all cached Gmail content is purged immediately.
• The user may at any time request immediate deletion under Art. 17 GDPR by writing to [email protected].

Authentication tokens (OAuth refresh tokens) are stored encrypted at rest and are revoked and deleted upon user disconnection or account deletion.

/14 The Sokar Logistics and Bobi applications

This section applies to people using the Sokar Logistics TMS and the Bobi AI assistant, including the team portal, the mobile application, the WhatsApp channel and voice calls.

User accounts. As controller we process account data: name, e-mail, phone, company name and tax ID, team role, login and activity log, and the team’s billing details. The legal basis is the contract (Art. 6(1)(b) GDPR) and legal obligations (Art. 6(1)(c)). Account data is kept for the term of the contract and 6 years after it ends.

Company operational data. Orders, business partners, drivers, vehicles, transport licence numbers, documents, assistant conversations, voice recordings and transcripts and WhatsApp messages are data controlled by the company using the application (our Customer). We process them on its instructions as a processor, under the Data Processing Agreement. For questions about this data, contact the company that uses the application.

Conversations with the assistant. Bobi introduces itself as an AI assistant. Voice calls are recorded; the other party is informed at the start of the call and may decline by ending it. Recordings and transcripts are available only to the company on whose instructions the call was made and to the sub-processors listed in the Data Processing Agreement.

Online contract conclusion. When contract documents are accepted and a plan is purchased, we store the evidence of acceptance: the accepting person’s details, date, IP address, browser identifier and payment session id. We keep it for the term of the contract and 6 years after it ends to prove the conclusion of the contract.

Payments. Plan payments are processed by Stripe. Card details are entered directly with Stripe; we receive the payment identifier, status and invoice details.