Weryfikacja przewoźnika — warunki korzystania

Wersja z 4 października 2026 r. · English version

Ten dokument jest częścią Regulaminu NSRoute (rozdział „Carrier Verification”). Dla Użytkowników mających siedzibę lub miejsce zamieszkania w Polsce wiążąca jest wersja polska.

§ 1. Weryfikacja przewoźnika

1. Zakres usługi. Funkcja „Weryfikacja przewoźnika” na polecenie Użytkownika:
   1. pobiera w chwili zapytania dane z publicznych rejestrów i usług wskazanych w Załączniku nr 2 (m.in. VIES, Wykaz podatników VAT, KRS, KREPTD, rejestry państw członkowskich) oraz porównuje dane z indeksem oficjalnych list sankcyjnych UE, Wielkiej Brytanii i USA, aktualizowanym codziennie;
   2. zestawia wyniki z oświadczeniami Użytkownika (np. o polisie OC przewoźnika, oddzwonieniu, kontroli pojazdu), wyraźnie oznaczając je jako oświadczenia Użytkownika;
   3. ocenia zestawione dane według jawnych reguł opisanych w Załączniku nr 2 (wersja modelu jest podana w raporcie) i wskazuje elementy, których brakuje do listy kontrolnej;
   4. generuje raport (PDF, JSON) opatrzony podpisem elektronicznym NSRoute, który pozwala sprawdzić, że treść raportu nie została zmieniona po jego wygenerowaniu;
   5. na żądanie Użytkownika cyklicznie (co ok. 7 dni) sprawdza obserwowanych przewoźników i informuje o zmianach.
2. Zakres według planu. W planie FREE Użytkownik może wykonać 3 weryfikacje w miesiącu kalendarzowym; wynik jest wyświetlany na ekranie, bez podpisanego raportu (PDF, JSON), kopii odpowiedzi rejestrów i monitoringu. Weryfikacja, która nie została wykonana z powodu błędu, nie jest wliczana do limitu. W planach PRO i FLEET oraz w okresie próbnym weryfikacja jest bez limitu miesięcznego (z zastrzeżeniem technicznych limitów zapytań) i obejmuje podpisany raport, kopie odpowiedzi rejestrów, monitoring oraz import listy przewoźników. Przewoźnicy dodani do monitoringu wcześniej pozostają obserwowani.
3. Charakter wyniku. Raport jest zestawieniem informacji z rejestrów publicznych według stanu na chwilę zapytania oraz rekomendacją opartą na regułach. Raport nie jest:
   1. gwarancją ani zapewnieniem rzetelności, wypłacalności, uczciwości lub tożsamości przewoźnika;
   2. potwierdzeniem, opinią ani akceptacją jakiegokolwiek ubezpieczyciela, brokera lub organu; zgodność raportu z wymogami konkretnych warunków ubezpieczenia ocenia wyłącznie ubezpieczyciel;
   3. potwierdzeniem istnienia, ważności ani zakresu polisy OC przewoźnika; to można potwierdzić wyłącznie u ubezpieczyciela przewoźnika;
   4. decyzją o nawiązaniu lub odmowie współpracy; decyzję podejmuje Użytkownik i odpowiada za nią.
4. Dane źródłowe. NSRoute nie prowadzi rejestrów i nie odpowiada za prawdziwość, kompletność ani aktualność danych w nich zawartych ani za dostępność rejestrów. Brak odpowiedzi rejestru jest oznaczany w raporcie jako „brak danych” i nie jest wynikiem pozytywnym.
5. Kontrola sankcyjna. Polega na porównaniu nazwy podmiotu z listami sankcyjnymi wskazanymi w Załączniku nr 2. Nie obejmuje beneficjentów rzeczywistych, wspólników, członków organów ani innych list, w szczególności polskiej listy prowadzonej przez ministra właściwego do spraw wewnętrznych. Dopasowanie nazwy może być fałszywe (zbieżność nazw), a brak dopasowania nie oznacza, że podmiot nie podlega sankcjom. Obowiązki wynikające z przepisów sankcyjnych ciążą na Użytkowniku.
6. Obowiązki Użytkownika. Użytkownik:
   1. wprowadza dane zgodnie z prawdą, a w polu „numer VAT pytającego” wyłącznie własny numer VAT;
   2. korzysta z funkcji wyłącznie w celu oceny przewoźników i kontrahentów, z którymi zamierza współpracować lub współpracuje; nie wolno jej używać do masowego pobierania danych, budowania baz danych ani publikowania wyników;
   3. jest administratorem danych przewoźników i wykonuje wobec nich obowiązki wynikające z RODO; zasady powierzenia określa Załącznik nr 1;
   4. samodzielnie przechowuje pobrane raporty; NSRoute ich nie przechowuje i nie może ich odtworzyć.
7. Weryfikacja autentyczności. NSRoute udostępnia bezpłatną usługę sprawdzenia podpisu raportu, także osobom bez konta. Pozytywny wynik oznacza wyłącznie, że raport w tej postaci wygenerował NSRoute i że nie został zmieniony. Nie potwierdza prawdziwości danych źródłowych. NSRoute dokłada starań, by usługa sprawdzania była dostępna przez cały okres działania serwisu, i nie wycofuje kluczy, którymi podpisano wcześniejsze raporty.
8. Odpowiedzialność.
   1. NSRoute odpowiada za należyte wykonanie usługi opisanej w ust. 1, w szczególności za prawidłowe przeniesienie do raportu danych otrzymanych z rejestrów i za działanie reguł zgodnie z ich opisem.
   2. Wobec Użytkowników, którzy są przedsiębiorcami i nie korzystają z ochrony przewidzianej dla konsumentów (w tym z art. 385⁵ Kodeksu cywilnego), łączna odpowiedzialność NSRoute z tytułu funkcji „Weryfikacja przewoźnika” jest ograniczona do wysokości wynagrodzenia zapłaconego przez Użytkownika za ostatnie 12 miesięcy i obejmuje wyłącznie szkodę rzeczywistą (bez utraconych korzyści). NSRoute nie odpowiada wobec nich za szkody wynikające z treści danych źródłowych, niedostępności rejestrów oraz decyzji Użytkownika o wyborze przewoźnika.
   3. Ograniczenia z lit. b nie dotyczą szkody wyrządzonej umyślnie lub przez rażące niedbalstwo, szkody na osobie ani odpowiedzialności, której nie można wyłączyć lub ograniczyć na podstawie bezwzględnie obowiązujących przepisów, w tym przepisów o ochronie konsumentów i art. 82 RODO.
   4. Wobec konsumentów i osób, o których mowa w art. 385⁵ Kodeksu cywilnego, NSRoute odpowiada na zasadach ogólnych.
9. Zmiany źródeł. NSRoute może dodawać, zmieniać lub wyłączać źródła danych i reguły, w szczególności gdy organ zmieni lub wyłączy usługę. Aktualny wykaz i wersja reguł są podawane w Załączniku nr 2 i w każdym raporcie.

Załącznik nr 1. Umowa powierzenia przetwarzania danych osobowych

Umowa jest zawierana w formie elektronicznej przez akceptację Regulaminu i obowiązuje w zakresie funkcji „Weryfikacja przewoźnika”.

§ 1. Strony i przedmiot

1. Administratorem jest Użytkownik NSRoute, który korzysta z funkcji „Weryfikacja przewoźnika” („Administrator”).
2. Podmiotem przetwarzającym jest Maciej Bryś, prowadzący jednoosobową działalność gospodarczą (marka NoStressStudio), ul. Ignacego Paderewskiego 1F/9, 35-328 Rzeszów, NIP 8133422595, operator serwisu NSRoute („Przetwarzający”).
3. Administrator powierza Przetwarzającemu przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia funkcji „Weryfikacja przewoźnika” opisanej w § 1 powyżej.

§ 2. Charakter, cel, rodzaj danych, kategorie osób, czas

1. Cel: weryfikacja tożsamości, statusu rejestrowego, podatkowego, licencyjnego i sankcyjnego przewoźników lub kontrahentów wskazanych przez Administratora oraz, na żądanie Administratora, cykliczne monitorowanie zmian.
2. Charakter: pobieranie danych z rejestrów publicznych i list sankcyjnych, zestawienie, ocena według jawnych reguł, wygenerowanie i podpisanie raportu, a w monitoringu przechowywanie identyfikatorów i skrótów wartości oraz ich porównywanie.
3. Kategorie osób: przewoźnicy i kontrahenci będący osobami fizycznymi prowadzącymi działalność gospodarczą; osoby zarządzające transportem, członkowie organów i reprezentanci przewoźników; beneficjenci rzeczywiści przewoźników (CRBR); osoby kontaktowe wskazane przez Administratora.
4. Rodzaje danych: numery identyfikacyjne (VAT, NIP, REGON, KRS, numer licencji), firma, adres siedziby, status w rejestrach, imiona i nazwiska osób zarządzających transportem i reprezentantów, obywatelstwo i kraj zamieszkania beneficjentów rzeczywistych (CRBR — numery PESEL i daty urodzenia są usuwane z kopii odpowiedzi, a raport zawiera tylko liczby i kody krajów), numery rachunków bankowych wskazane do sprawdzenia, dane kontaktowe (domena, telefon) wskazane przez Administratora. Nie przetwarza się danych szczególnych kategorii ani danych, o których mowa w art. 10 RODO.
5. Czas: wynik weryfikacji jest przetwarzany wyłącznie przez czas wykonania zapytania i nie jest przechowywany. Dane monitoringu (numer VAT, ewentualnie numer rejestrowy lub licencji, daty sprawdzeń, wynik i skróty SHA-256 wartości z rejestrów) są przechowywane do ich usunięcia przez Administratora lub do usunięcia konta, a alerty o zmianach do 180 dni.

§ 3. Obowiązki Przetwarzającego

1. Przetwarzający przetwarza dane wyłącznie na udokumentowane polecenie Administratora. Poleceniem jest w szczególności uruchomienie weryfikacji, dodanie przewoźnika do monitoringu oraz akceptacja Regulaminu. Jeżeli obowiązek przetwarzania wynika z prawa Unii lub prawa polskiego, Przetwarzający informuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo tego zabrania.
2. Przetwarzający nie wykorzystuje danych do celów własnych, w szczególności nie łączy wyników weryfikacji różnych Administratorów i nie tworzy z nich zbiorów, statystyk ani ocen udostępnianych innym podmiotom.
3. Przetwarzający zapewnia, że osoby upoważnione do przetwarzania zobowiązały się do zachowania tajemnicy.
4. Przetwarzający stosuje środki, o których mowa w art. 32 RODO, w szczególności: szyfrowanie transmisji (TLS), brak zapisu wyników weryfikacji, pseudonimizację danych monitoringu (skróty SHA-256 zamiast wartości), izolację danych monitoringu dla każdego konta, kontrolę dostępu, limity zapytań oraz wzajemne uwierzytelnienie z rejestrem KREPTD.
5. Przetwarzający pomaga Administratorowi, w miarę możliwości, w realizacji praw osób, których dane dotyczą, oraz obowiązków z art. 32–36 RODO, uwzględniając charakter przetwarzania i dostępne mu informacje.
6. Przetwarzający zgłasza Administratorowi naruszenie ochrony danych osobowych bez zbędnej zwłoki po jego stwierdzeniu, na adres e-mail przypisany do konta.
7. Po zakończeniu świadczenia usługi (usunięcie konta, rezygnacja z monitoringu) Przetwarzający usuwa dane monitoringu. Administrator może je wcześniej przejrzeć w aplikacji. Usunięcie następuje niezwłocznie po żądaniu, a kopie techniczne u dostawcy infrastruktury wygasają zgodnie z jego cyklem retencji.
8. Przetwarzający udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO i umożliwia audyt — w pierwszej kolejności przez udostępnienie dokumentacji i odpowiedzi na pytania na piśmie, a audyt na miejscu po uprzedzeniu z 14-dniowym wyprzedzeniem, w godzinach pracy i na koszt Administratora. Przetwarzający niezwłocznie informuje Administratora, jeżeli jego zdaniem polecenie narusza RODO.

§ 4. Dalsze powierzenie

1. Administrator udziela ogólnej zgody na dalsze powierzenie następującym podmiotom: Cloudflare, Inc. (hosting, przechowywanie danych monitoringu w Unii Europejskiej) oraz Oracle (serwer pośredniczący w zapytaniach do rejestru KREPTD, region Frankfurt, UE).
2. O zamiarze dodania lub zmiany dalszego przetwarzającego Przetwarzający informuje z co najmniej 14-dniowym wyprzedzeniem (e-mail lub komunikat w aplikacji). Administrator może zgłosić sprzeciw, a jeśli strony się nie porozumieją, wyłączyć monitoring lub wypowiedzieć umowę bez dodatkowych kosztów.
3. Przetwarzający nakłada na dalszych przetwarzających te same obowiązki ochrony danych i odpowiada za ich działania jak za własne.
4. Przekazanie danych poza Europejski Obszar Gospodarczy odbywa się wyłącznie na podstawie mechanizmów z rozdziału V RODO (decyzja stwierdzająca odpowiedni stopień ochrony, w tym EU-US Data Privacy Framework, lub standardowe klauzule umowne).

§ 5. Organy prowadzące rejestry

Organy prowadzące rejestry publiczne i listy sankcyjne (np. Komisja Europejska, Ministerstwo Finansów, Główny Inspektor Transportu Drogowego) nie są dalszymi przetwarzającymi — są odrębnymi administratorami danych udostępnianych w rejestrach. Przetwarzający przekazuje im wyłącznie dane potrzebne do zapytania (identyfikator sprawdzanego podmiotu, a w VIES także numer VAT Administratora jako pytającego).

§ 6. Obowiązki Administratora

1. Administrator oświadcza, że ma podstawę prawną przetwarzania danych przewoźników (np. art. 6 ust. 1 lit. f RODO) i że wykona wobec nich obowiązek informacyjny (art. 14 RODO).
2. Administrator wpisuje w polu „numer VAT pytającego” wyłącznie własny numer VAT.
3. Administrator odpowiada za przechowywanie i dalsze wykorzystanie raportów (PDF, JSON) pobranych z NSRoute.

§ 7. Postanowienia końcowe

Umowa obowiązuje przez czas korzystania z funkcji. W sprawach nieuregulowanych stosuje się RODO, Regulamin i prawo polskie. Odpowiedzialność stron za naruszenie przepisów o ochronie danych wynika z art. 82 RODO. Ograniczenia odpowiedzialności z Regulaminu nie mają zastosowania w zakresie, w jakim byłyby sprzeczne z art. 82 RODO.

Załącznik nr 2. Źródła danych i reguły

Stan na 3 października 2026 r. Wersja modelu oceny: nsroute-carrier-risk-2026.10.3 (podawana w każdym raporcie).

Rejestry sprawdzane automatycznie

Dla pozostałych krajów raport oznacza kontrolę jako „brak danych” i wskazuje oficjalną wyszukiwarkę; Użytkownik może dołączyć ręczne potwierdzenie, które jest oznaczane jako jego oświadczenie.

Listy sankcyjne

• UE — skonsolidowana lista osób, grup i podmiotów objętych sankcjami finansowymi (FSF);
• Wielka Brytania — UK Sanctions List (FCDO);
• USA — OFAC Specially Designated Nationals (SDN) wraz z nazwami alternatywnymi.

Indeks jest odświeżany codziennie. Jeśli indeks listy UE jest starszy niż 2 dni (UK i USA — 7 dni), wynik kontroli sankcyjnej jest oznaczany jako „brak danych”. Porównywana jest nazwa podmiotu: dopasowanie dokładne do listy UE lub Wielkiej Brytanii oznacza wstrzymanie zlecenia do czasu porównania identyfikatorów; dopasowanie wyłącznie do listy USA oraz dopasowanie nazwy bez formy prawnej są ostrzeżeniem wymagającym ręcznego sprawdzenia (sankcje USA nie zawsze wiążą firmy z UE).

Reguły STOP

Raport otrzymuje decyzję „STOP”, gdy m.in.: nazwa dokładnie odpowiada wpisowi na liście sankcyjnej UE lub Wielkiej Brytanii; VIES lub rejestr wskazuje nieaktywny VAT, likwidację, upadłość albo wykreślenie; przewoźnik ma status nierzetelnego płatnika VAT (CZ); rejestr nie potwierdza ważnej licencji na przewóz rzeczy; rachunek nie widnieje na Białej Liście (PL) lub w rejestrze ADIS (CZ); polisa OC przewoźnika nie obejmuje daty załadunku; oddzwonienie nie potwierdziło kontaktu; pojazd nie odpowiada zleceniu; przedsiębiorstwo ma siedzibę w Rosji lub na Białorusi (zakaz przewozów drogowych w UE: rozp. 833/2014 zm. 2022/576; rozp. 765/2006 zm. 2022/577). Decyzja STOP jest rekomendacją wymagającą decyzji Użytkownika.

Sygnały kanału kontaktu

Raport porównuje kanał kontaktu z danymi niezależnymi: domenę e-mail ze stroną firmy (w tym domeny łudząco podobne) i jej wiek (RDAP), typ i kraj numeru telefonu (klasyfikacja offline na podstawie planów numeracji — numery internetowe VoIP, o podwyższonej opłacie i usługowe obniżają ocenę), kraj rachunku bankowego względem kraju siedziby przewoźnika oraz źródło numeru użytego do oddzwonienia.

Beneficjenci rzeczywiści

Dla spółek wpisanych do KRS raport sprawdza w CRBR obywatelstwo i kraj zamieszkania beneficjentów rzeczywistych. Beneficjent z udziałami, który ma obywatelstwo Rosji lub Białorusi, przy spółce założonej po 8 kwietnia 2022 r. (lub o nieznanej dacie założenia) powoduje STOP — art. 3l rozporządzenia Rady (UE) nr 833/2014 i odpowiedni przepis rozporządzenia Rady (WE) nr 765/2006 zakazują takim przedsiębiorstwom przewozu drogowego towarów w UE. Przy spółce starszej, przy powiązaniu bez udziałów lub tylko przez kraj zamieszkania raport daje ostrzeżenie. Brak zgłoszenia w CRBR daje ostrzeżenie. Dla przewoźników z Ukrainy te same informacje pochodzą z rejestru ЄДР; ponieważ art. 3l dotyczy przedsiębiorstw z siedzibą w UE, beneficjent z Rosji lub Białorusi daje tam ostrzeżenie, a nie STOP.

Z pełnego odpisu KRS raport pokazuje aktualny zarząd, wspólników i zmiany z ostatnich 12 miesięcy. API KRS maskuje imiona, nazwiska i PESEL osób fizycznych — raport pokazuje je w tej samej, zamaskowanej postaci. Zmiana zarządu w ostatnich 6 miesiącach połączona ze zmianą wspólników, adresu lub nazwy daje ostrzeżenie (typowy wzorzec przejętej spółki), nie STOP. Raport porównuje też nazwę firmy (a w Polsce kod pocztowy siedziby) między odpowiedziami rejestrów; wyraźna rozbieżność daje ostrzeżenie. Brak na Białej Liście VAT nie oznacza, że firma nie istnieje: jednoosobowe działalności zwolnione z VAT nie figurują na tej liście, dlatego raport sprawdza je w CEIDG, a gdy CEIDG nie jest dostępne — prosi o potwierdzenie statusu w CEIDG.

Tryb wzmożony

Przy ładunku wysokiej wartości, towarze szczególnie narażonym na kradzież, presji czasu lub nowym przewoźniku (bez historii zleceń) raport wymaga dodatkowo: potwierdzenia polisy bezpośrednio u ubezpieczyciela, kontroli pojazdu i kierowcy przy załadunku oraz zatwierdzenia przez drugą osobę.

Minimalne kontrole przed zleceniem

Tożsamość potwierdzona w rejestrze · aktywny numer VAT · ważna licencja lub zezwolenie na przewóz rzeczy · polisa OC przewoźnika ważna, z sumą nie niższą niż wartość ładunku i zakresem obejmującym trasę · kontakt potwierdzony oddzwonieniem na numer z niezależnego źródła · kontrola sankcyjna bez trafień.

Podpis i znacznik czasu

Raport jest podpisany kluczem NSRoute (HMAC-SHA256) oraz podpisem klucza publicznego Ed25519. Klucze publiczne są publikowane pod adresem api.nsroute.com/.well-known/nsroute-report-keys.json i nie są usuwane, dzięki czemu podpis można sprawdzić bez udziału NSRoute (podpisywany jest tekst nsroute-carrier-report-v1: + skrót SHA-256 raportu). Jeżeli włączono znacznik czasu RFC 3161, raport zawiera token wystawiony przez dostawcę usługi zaufania nad skrótem raportu (do dostawcy trafia wyłącznie skrót).

Monitoring

Obserwowani przewoźnicy są sprawdzani ponownie co ok. 7 dni (do 50 przewoźników na konto); dane monitoringu są przechowywane w Unii Europejskiej. Wspólny limit zapytań do KREPTD (GITD: 120 na godzinę) ma pierwszeństwo dla weryfikacji ręcznych — gdy jest wykorzystany, kontrola licencji jest oznaczana jako „brak danych”. Przechowywane są wyłącznie identyfikatory wpisane przez Użytkownika, daty, wynik i skróty SHA-256 wartości z rejestrów; alerty zawierają nazwy zmienionych pól (bez wartości) i są przechowywane 180 dni.

Maciej Bryś (JDG), marka NoStressStudio · ul. Ignacego Paderewskiego 1F/9, 35-328 Rzeszów · NIP 8133422595 · [email protected]