GDPR-etterlevelse — Fleet

Sist oppdatert: 12. april 2026

Denne siden forklarer hvordan MEKAVO LTD (som driver under navnet «Mekavo») overholder britisk personvernforordning (UK GDPR), Data Protection Act 2018 og EUs personvernforordning (EU GDPR) for Mekavo Fleet-produktet.

Bilparkdrift samler inn flere personopplysninger enn en enkelt kjøretøyeier — førerkort, ansattnumre, kjøretøytildelinger, inspeksjonsopptegnelser. Denne siden fastsetter hvem som er ansvarlig for hva. For fullstendige opplysninger om hvilke data som lagres og hvordan de brukes, vennligst les vår personvernerklæring for Fleet.

1. Vår forpliktelse til databeskyttelse

Mekavo Fleet er bygget med databeskyttelse i tankene fra første dag. Vi har implementert tekniske og organisatoriske tiltak som er egnet for behandling av ansatt- og kjøretøydata, inkludert:

• Dataminimering — vi ber bare om dataene bilparkoperatøren faktisk trenger (f.eks. førerkortutløp, ikke full fødselsdato med mindre operatøren krever det)
• Formålsbegrensning — sjåførdata brukes til bilparketterlevelse og sikkerhet, ikke til markedsføring
• Lagringsbegrensning — inspeksjonsopptegnelser og feilrapporter har konfigurerbare oppbevaringsvinduer
• Integritet og konfidensialitet — TLS under overføring, kryptering i ro, tilgangskontroller per bruker og per organisasjon
• Rollebaserte tillatelser — sjåfører ser kun sine tildelte kjøretøy; forvaltere ser sin organisasjon; administratorer ser alt
• Ansvarlighet — vi fører en intern oversikt over behandlingsaktiviteter (artikkel 30) og gjennomgår underdatabehandlere kvartalsvis

2. Behandlingsansvarlig vs. databehandler

Under GDPR har det betydning om du er behandlingsansvarlig (som bestemmer hvilke data som skal samles inn og hvorfor) eller databehandler (som behandler data etter andres instruksjoner). Mekavo Fleet befinner seg på begge sider avhengig av dataene:

Mekavo som behandlingsansvarlig

Vi er behandlingsansvarlige for data vi samler inn direkte fra bilparkoperatøren:

• Kontoregistrering for bilparkforvalteren og organisasjonseieren
• Fakturerings- og abonnementsopptegnelser (plan, antall kjøretøy, fakturaer)
• Supporthenvendelser og kommunikasjon
• Nettsteds- og dashbordanalyse (anonymisert)
• FCM-push-tokens og SMS-leveringslogger knyttet til Mekavo-brukerkontoer

Mekavo som databehandler

Når bilparkoperatøren lagrer data om sjåfører, kjøretøy og inspeksjoner i Mekavo Fleet, er bilparkoperatøren behandlingsansvarlig og Mekavo er databehandler. Dette omfatter:

• Sjåførenes førerkortnumre, kategorier og utløpsdatoer
• Ansattnumre og interne rolletildelinger
• Kjøretøyenes registreringsnumre, VIN, servicehistorikk og dokumenter
• Inspeksjonsopptegnelser inkludert bilder, GPS-koordinater og kilometeravlesninger
• Feilrapporter og etterlevelsesdashbord

Mekavo behandler disse dataene kun etter bilparkoperatørens instruksjoner, slik det er fastsatt i vår databehandleravtale (se avsnitt 7).

3. Behandlingsgrunnlag

Vi behandler personopplysninger på følgende rettslige grunnlag:

• Avtale (art. 6 (1) (b)): for å levere Fleet-tjenesten kunden har abonnert på
• Berettiget interesse (art. 6 (1) (f)): plattformsikkerhet, svindelforebygging, utvikling av funksjoner for bilparksikkerhet
• Rettslig forpliktelse (art. 6 (1) (c)): skatteopptegnelser, mva-meldinger (HMRC), oppbevaring av kjøretøyinspeksjoner der lokal lov krever det
• Samtykke (art. 6 (1) (a)): markedsførings-e-poster, ikke-essensielle informasjonskapsler, valgfrie produktprøver

Bilparkoperatøren er ansvarlig for å ha sitt eget behandlingsgrunnlag for behandling av ansatt-/sjåførdata (vanligvis arbeidsavtale, berettiget interesse i trafikksikkerhet eller rettslig forpliktelse til etterlevelsesinspeksjoner).

4. Sjåfør- og ansattdata

Fordi Fleet-produktet lagrer data om sjåfører som kanskje ikke er kontoinnehaveren, utviser vi ekstra forsiktighet:

• Førerkortnumre lagres kryptert i ro
• Sjåfører kan be om sin egen kopi av dataene som lagres om dem ved å kontakte bilparkoperatøren først, eller Mekavo direkte dersom operatøren ikke svarer
• Når en sjåfør slutter, er bilparkoperatøren ansvarlig for å fjerne dem — Mekavo tilbyr en «fjern teammedlem»-handling som umiddelbart deaktiverer tilgangen deres
• GPS-koordinater registrert under inspeksjoner oppbevares kun så lenge inspeksjonens revisjonsspor varer, ikke for sanntidssporing
• Mekavo tilbyr ikke kontinuerlig posisjonssporing av sjåfører. Dersom slik funksjonalitet innføres, vil den være basert på aktivt samtykke og dekkes av en egen databehandlingserklæring.

5. Dine rettigheter som registrert

Under GDPR har hver enkeltperson hvis data lagres i Mekavo Fleet følgende rettigheter:

• Rett til innsyn (art. 15): be om en kopi av personopplysningene som lagres
• Rett til retting (art. 16): rette uriktige data (f.eks. feil førerkortutløp)
• Rett til sletting (art. 17): be om sletting der behandlingsgrunnlaget ikke lenger gjelder
• Rett til begrensning av behandling (art. 18): begrense behandling mens en tvist løses
• Rett til dataportabilitet (art. 20): motta data i JSON- eller CSV-format
• Rett til å protestere (art. 21): protestere mot behandling basert på berettiget interesse eller direkte markedsføring
• Rett til ikke å være gjenstand for automatiserte avgjørelser (art. 22): Mekavo Fleet tar ikke fullt automatiserte avgjørelser om enkeltpersoner

6. Slik utøver du rettighetene dine

Der Mekavo er behandlingsansvarlig (kontoinnehavere, faktureringskontakter):

• Send e-post til med emnet «Fleet Data Subject Request»
• Oppgi fullt navn og e-postadressen på Mekavo-kontoen din
• Fortell oss hvilken rettighet du utøver, og om relevant, hvilke datapunkter

Der Mekavo er databehandler (sjåførdata lagret på vegne av en bilparkoperatør): kontakt arbeidsgiveren eller bilparkforvalteren din først — de er behandlingsansvarlige og må svare. Dersom de ikke svarer innen rimelig tid, kan du eskalere til oss, og vi vil videresende forespørselen og følge opp.

Vi svarer innen 30 dager, som kan forlenges med 60 dager for komplekse saker (vi vil informere deg hvis dette gjelder). Det er ingen gebyr med mindre forespørselen er åpenbart grunnløs eller overdreven.

7. Databehandleravtale

Hvert bilparkabonnement inkluderer en databehandleravtale (DPA) som regulerer hvordan Mekavo behandler sjåfør- og kjøretøydata på vegne av operatøren. Databehandleravtalen dekker:

• Omfang og formål med behandlingen
• Kategorier av registrerte (sjåfører, kjøretøybrukere, forvaltere)
• Kategorier av personopplysninger (navn, førerkort, tildelinger, inspeksjonsopptegnelser)
• Sikkerhetstiltak (kryptering, tilgangskontroll, revisjonslogging)
• Liste over underdatabehandlere (Stripe, Twilio, Anthropic, Firebase, AWS) og varsling om endringer
• Prosedyrer for varsling om datainnbrudd (72-timersvindu)
• Tilbakelevering eller sletting av data ved opphør

For å be om en kontrasignert kopi av databehandleravtalen, send e-post til .

8. Internasjonale dataoverføringer

De primære Mekavo Fleet-serverne er plassert i Storbritannia og EØS. Noen underdatabehandlere opererer fra utenfor disse regionene; der det er tilfelle, baserer vi oss på:

• Standard personvernbestemmelser (SCC) godkjent av Europakommisjonen
• Britisk avtale om internasjonal dataoverføring (IDTA) for overføringer fra Storbritannia
• Tilstrekkelighetsbeslutninger der destinasjonslandet har en slik

Den gjeldende listen over underdatabehandlere og deres lokasjoner er tilgjengelig i databehandleravtalen. Vesentlige endringer varsles minst 14 dager i forveien.

9. Håndtering av datainnbrudd

Dersom personopplysninger kompromitteres, vil Mekavo:

• Varsle den relevante tilsynsmyndigheten innen 72 timer etter å ha blitt klar over det (art. 33)
• Varsle berørte enkeltpersoner uten ugrunnet opphold dersom innbruddet medfører høy risiko (art. 34)
• Varsle bilparkoperatøren (som behandlingsansvarlig) med all informasjon som trengs for å oppfylle sine egne rapporteringsplikter
• Dokumentere innbruddet, virkningene og utbedringen i et internt innbruddsregister

10. Kontakt og klager

For alle Fleet-databeskyttelsessaker:

Databeskyttelsesteam
MEKAVO LTD (som driver under navnet Mekavo)
76 Letchworth Rd, Leicester, LE3 6FH, Storbritannia

E-post:

Hvis du er misfornøyd med svaret vårt, har du rett til å klage til din lokale tilsynsmyndighet:

• Storbritannia: Information Commissioner's Office (ICO) — ico.org.uk
• Irland: Data Protection Commission (DPC) — dataprotection.ie
• Spania: Agencia Española de Protección de Datos (AEPD) — aepd.es
• Tyskland: Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI) — bfdi.bund.de