Oceń wpis  oddane głosy: 3 / 1

Troszkę w kontekście wycieku numerów kart płatniczych z Sony czekałem na rozwój wypadków z wdrażaniem systemu Wrocławskiego Roweru Miejskiego (Nextbike.pl). Mniejsza nawet o opóźniony start, bo przecież wiadomo, że w Polsce mało co udaje się ukończyć w założonym terminie. Pal licho nawet to, że się martwię, że rowery poginą albo zostaną raz-dwa zdewastowane -- a wyglądają one tak dziwacznie, że serwis na pewno nie będzie ani łatwy ani tani.

Moje poważne wątpliwości budzi jeden z zaproponowanych sposobów identyfikacji klienta. Nextbike zakłada, że klienci będą mogli wypożyczać rowery po zarejestrowaniu się w systemie, do czego będzie niezbędne podanie: numeru Wrocławskiej Karty Miejskiej (tak, tak), lub numeru elektronicznej legitymacji studenckiej (ELS), lub numeru telefonu komórkowego, lub numeru karty płatniczej (ust. 23 regulaminu; przy okazji dowiedziałem się, że AmEx też już ma swoje bezstykówki: ExpressPay).

z regulaminu Nextbike:
23. Podczas procesu rejestracji wymagane jest podanie danych osobowych, daty urodzenia, adresowych oraz kontaktowych tj. adres e-mail i numer telefonu komórkowego, numeru konta bankowego lub karty kredytowej, karty WKM lub elektronicznej legitymacji studenckiej (ELS).
78. Identyfikator klienta – to osobisty numer zapisany w wersji liczbowej, w postaci numeru karty Wrocławskiej Karty Miejskiej, numeru ELS, numeru karty płatniczej lub numeru telefonu komórkowego, które to numery klient zdefiniował podczas rejestracji w systemie Nextbike. Numery są traktowane równoważnie: (...)
d. Karta Płatnicza – karta emitowana przez organizacje płatnicze emitentów Visa International oraz Mastercard International oraz inna spełniająca wymagania dla uznania jej za elektroniczny instrument płatniczy w rozumieniu ustawy o elektronicznych instrumentach płatniczych. Terminale są przystosowane do współpracy z produktami z rodziny PayPass i ExpressPay.Zresztą sam w sobie regulaminowy opis usługi wskazuje, że dane użytkownika będą łączone z kartą kredytową ("Warunkiem korzystania z usług wypożyczania rowerów jest podanie przez Wypożyczającego przy rejestracji wymaganych danych osobowych oraz akceptacja warunków określonych w niniejszym regulaminie, dokonanie opłaty inicjalnej, wpłata kaucji, połączonych z identyfikacją numeru WKM lub/i danych połączonych z kartą kredytową" -- BTW co można powiedzieć o usługodawcy, który raz pisze o "karcie płatniczej", a innym razem -- całkowicie wymiennie -- o "karcie kredytowej"? Nb. regulamin pełen jest innego rodzaju niejasności, o czym więcej poniżej.)

Ja to rozumiem tak, że nie da się pojeździć Wrocławskim Rowerem Miejskim bez uprzedniego utworzenia konta użytkownika w systemie Nextbike, a tego się nie da zrobić bez pozostawienia swoich danych, przy czym jedną z tych danych może być numer karty płatniczej.

Już w tym miejscu każdy posiadacz każdej karty płatniczej powinien zobaczyć wielkie czerwony napis STOP! Pozwalanie na rejestrowanie numerów kart płatniczych usługodawcom tego rodzaju -- bez obrazy dla spółki Nextbike Polska sp. z o.o., ale podmiot, który powstał 27 sierpnia 2010 r. i ma kapitał zakładowy 5000 złotych (bo mniej być nie mogło...) z mojego punktu widzenia co do zasady nie jest na tyle wiarygodny, by gromadzić numery kart płatniczych.

Druga sprawa to kwestie przetwarzania danych osobowych użytkowników systemu: w formularzu rejestracyjnym brakuje tego wszystkiego, co powinno się tam znaleźć: nie wiemy komu powierzamy nasze dane i w jakim celu. A wbrew pozorom wcale nie jest to takie jasne -- ani bez znaczenia.

(Na marginesie, ale wcale nie jest to nieistotne: regulamin słowem nie wspomina czy w przypadku problemów z klientem jego karta zostanie obciążona np. opłatą za przetrzymanie wielocypedu lub dwutysięczną "wartością roweru" w przypadku kradzieży, zniszczenia (to też ciekawe: na oko ten ich rower nie mógł kosztować więcej niż powiedzmy 700 złotych...). W regulaminie jest tylko ładnie napisane o tym, że obciążenie karty jest jednym ze sposobów płatności za "usługi i produkty", w tym za wypożyczenie roweru (ust. 27-28 regulaminu), jednak już w przypadku zniszczenia roweru mowa jest po prostu o wystawieniu faktury lub rachunku (ust. 18 regulaminu -- w przypadku celowego zniszczenia sprzętu należy się jednak liczyć z obligatoryjnym wszczęciem postępowania sądowego -- ust. 20).
I jeszcze jedna uwaga: zgodnie z ust. 19 regulaminu wypożyczający ma także ponosić odpowiedzialność za "ewentualną kradzież i zniszczenia" roweru, a ja zachodzę w głowę czy to oznacza, że będzie się płaciło także za to, jeśli ktoś nam po prostu podprowadzi rowerek -- choćby i wskutek rozboju... Doprawdy, regulaminowi brak przejrzystości za grosz.)

I ostatni, wcale nie najmniej istotny temat: prawdę mówiąc nie wiadomo kto tak naprawdę będzie trzymał dane osobowe oraz dane kart płatniczych użytkowników. Podczas próby przejścia procedury rejestracji na stronie Nextbike.pl zostałem przekierowany na stronę https://Nextbike.net należącą do... Nextbike GmBH z siedzibą w Lipsku (Nextbike Polska wydaje się być tylko franczyzobiorcą tego niemieckiego przedsiębiorstwa).

Wydaje mi się, że oznacza to, że nasze dane mogą lądować właśnie w Nextbike GmBH, o czym usługodawca nawet półzdaniem nas nie informuje.