Политика за поверителност

Администраторът, отговорен за обработката на данни по смисъла на Общия регламент относно защитата на данните (GDPR) и австрийския Закон за защита на данните (DSG), е:

Платформата Capwork работи като B2B услуга. В зависимост от контекста, различни страни поемат различни роли за защита на данните съгласно GDPR:

• Субект на данни (Betroffene Person): Крайният клиент или физическо лице, чиито лични данни се обработват (напр. лице, което резервира среща или изпраща запитване).
• Администратор на лични данни (Verantwortlicher): Регистрираният бизнес, който използва платформата Capwork. Администраторът определя целите и средствата на обработката на данни и е отговорен за спазването на GDPR спрямо своите крайни клиенти.
• Обработващ лични данни (Auftragsverarbeiter): Capwork e.U. управлява платформата Capwork като обработващ лични данни от името на регистрирания бизнес, обработвайки лични данни единствено съгласно инструкциите на администратора и споразумението за обработка на данни.

Capwork e.U. е администратор на данни само за данните, обработвани за собствени цели (напр. управление на акаунти на платформата, фактуриране, сигурност на платформата, както и осъществяване на контакт с фирми чрез писмо по Раздел 11a). За всички данни на крайни клиенти, въведени от регистрирани бизнеси (напр. детайли за резервации, комуникация с клиенти, качени документи), регистрираният бизнес е администраторът и Capwork e.U. действа изключително като обработващ лични данни съгласно чл. 28 GDPR.

Събираме и обработваме следните категории лични данни:

• Данни за акаунта: имейл адрес, парола (хеширана), име на компанията, местоположение
• Контактни данни и данни за резервацията: име, телефонен номер, имейл адрес и бележка за фирмата по избор (при резервация на срещи)
• Платежни данни: име на картодържателя, последните четири цифри на номера на картата (само за проверка на самоличността)
• Данни за ползване: история на резервациите, взаимодействия с календара, конфигурации на модули, логове
• Технически данни: IP адрес, тип браузър, информация за устройството, времеви маркери на достъпа
• Данни за крайни клиенти: всички лични данни, които регистрираните бизнеси въвеждат в платформата от името на своите клиенти (напр. детайли за резервации, информация за контакт, данни за поръчки, комуникация)
• Публикувани фирмени данни: данните, които регистрирана фирма прави публично достъпни след активиране на своя клиентски портал (наименование на фирмата, описание и отрасъл, адрес, телефонен номер, уебсайт, работно време, услуги и цени), показваните при резервации и оферти данни за нейната самоличност (име или фирма, адрес, данни за контакт и, когато е приложимо, идентификационен номер по ДДС), както и данните на нейната страница с правна информация (импресум) в клиентския портал (допълнително например данни от търговския регистър, надзорен орган, камара и професионални правила, предмет на дейност и връзката към нейната политика за поверителност)
• Уведомления съгласно Акта за цифровите услуги: име и имейл адрес на лицето, подало уведомлението (доброволно при уведомления, свързани с материали, съдържащи сексуално насилие над деца), докладваният адрес и, когато е приложимо, посоченото съдържание, категорията и обосновката на уведомлението, езикът, статусът на обработката и решението; освен това, за ограничаване на злоупотребите с формуляра за уведомяване, IP адресът и имейл адресът в хеширан вид като ключ на брояч
• Документация на теренната работа, доколкото регистрирана фирма я използва: работно време, време за почивка и за път, статус на посещението, използван материал, бележки и снимки на нейните служители, както и снимки, бележки за обекта, подписи и отчети за работата, свързани с нейните крайни клиенти (подробности в Раздел 11b)

Обработваме лични данни на следните правни основания съгласно чл. 6 GDPR:

• Чл. 6, пар. 1, б. а) GDPR — Съгласие: когато сте дали изрично съгласие за конкретни дейности по обработка.
• Чл. 6, пар. 1, б. б) GDPR — Договор: обработка, необходима за изпълнение на нашия договор за услуги с вас или за предприемане на стъпки по ваше искане преди сключването му (например създаването на вашия профил и потвърждаването на имейл адреса ви при регистрацията).
• Чл. 6, пар. 1, б. в) GDPR — Законово задължение: обработка, необходима за спазване на изискванията за съхранение по австрийското данъчно и търговско право.
• Чл. 6, пар. 1, б. е) GDPR — Легитимни интереси: обработка за предотвратяване на измами, сигурност на платформата и подобряване на услугата, когато нашите интереси не се надделяват от вашите права.

За данните на крайни клиенти, обработвани от името на регистрирани бизнеси, правното основание се определя от съответния бизнес (администратор на данни) и се документира в неговата собствена политика за поверителност.

Публичният клиентски портал е деактивиран по подразбиране. Показваните там фирмени данни се публикуват изключително по разпореждане на регистрираната фирма, която трябва изрично да активира портала за целта (§ 4 от ОУ); правното основание е чл. 6, пар. 1, буква б) ОРЗД. Фирмата сама определя кои данни се показват и може по всяко време да ограничи публикуването или изцяло да го прекрати, като деактивира портала.

Обработваме уведомленията за незаконно съдържание съгласно Акта за цифровите услуги, решенията по тях и информирането на участващите страни, за да изпълним правните си задължения по чл. 16 до 18 DSA (чл. 6, пар. 1, буква в) ОРЗД). Ограничаването на броя на уведомленията от един IP адрес и имейл адрес се основава на нашия легитимен интерес от функциониращ и защитен от злоупотреби процес за уведомяване (чл. 6, пар. 1, буква е) ОРЗД). Не разкриваме самоличността на лицето, подало уведомлението, на засегнатото предприятие.

Вашите лични данни се обработват за следните цели:

• Предоставяне и функциониране на платформата Capwork и нейните модули (срещи, поръчки, управление на екипа, автопарк, инвентар, финанси)
• Създаване на потребителски акаунти, удостоверяване и управление на достъпа
• Обработване на резервации, поръчки и комуникация с клиенти от името на регистрирани бизнеси
• Документиране на посещенията при крайните клиенти, на тяхното приемане и на изразходваното при това работно време от името на регистрирани фирми, доколкото те използват документацията на теренната работа (вж. Раздел 11b)
• Функции с ИИ: генериране на фирмени данни, бизнес анализи, сканиране на документи и анализ на обратна връзка
• Предотвратяване на измами, проверка на самоличността и сигурност на платформата
• Предоставяне на публичния клиентски портал на регистрирана фирма, доколкото тя е активирала портала
• Обработване на уведомления за незаконно съдържание в клиентски портали, вземане на решения относно мерки и информиране на участващите страни съгласно Акта за цифровите услуги
• Измерване дали регистрациите се дължат на нашите реклами в Google – само с вашето съгласие (вж. Раздел 10)
• Обслужване на клиенти и поддръжка: отговори на Вашите запитвания и обратна връзка и помощ при настройката и използването на платформата – включително по наша инициатива, чрез съобщения до собственика на акаунта в раздела за обратна връзка на платформата (чл. 6, пар. 1, б. б) GDPR). По този начин не изпращаме рекламно съдържание.

Тъй като Capwork e.U. действа като обработващ лични данни (Auftragsverarbeiter) за регистрирани бизнеси, Споразумение за обработка на данни (Auftragsverarbeitungsvertrag, AVV) съгласно чл. 28 GDPR се сключва с всеки регистриран бизнес по време на процеса на въвеждане.

AVV урежда:

• Предмета, продължителността, характера и целта на обработката на данни
• Видовете обработвани лични данни и категориите субекти на данни
• Задълженията и правата на администратора (регистриран бизнес)
• Технически и организационни мерки (TOMs) за гарантиране на сигурността на данните (вж. Раздел 12)
• Използването и упълномощаването на подобработващи (вж. Раздел 8)
• Задължения за изтриване или връщане на данни при прекратяване на договора

Регистрираният бизнес (администратор на данни) може да поиска копие от AVV по всяко време, като се свърже с office@capwork.io.

Личните данни се съхраняват само толкова дълго, колкото е необходимо за изпълнение на описаните по-горе цели или колкото се изисква от закона. Австрийското търговско и данъчно право (BAO, UGB) може да изисква съхранение на определени данни до 7 години.

След прекратяване на акаунта, вашите лични данни ще бъдат изтрити в рамките на 30 дни, освен ако по-дълго съхранение не е изискано по закон. Данните на крайни клиенти, обработвани от името на регистрирани бизнеси, ще бъдат изтрити или върнати в съответствие с AVV. Ако при регистрацията не потвърдите имейл адреса си и не бъде създаден бизнес, изтриваме акаунта 30 дни след регистрацията или, ако е по-късно, след последното ви влизане.

Bird, доставчикът, който доставя транзакционни имейли и SMS до крайните клиенти на регистрираните фирми (напр. потвърждения на срещи, напомняния и кодове за вход в клиентския портал), съхранява съдържанието на съобщенията и данните за трафика за доставка и предотвратяване на злоупотреби: SMS до 6 месеца, имейл 72 часа. Собствените подобработващи на Bird включват доставчици извън ЕИП, обхванати от стандартните договорни клаузи на ЕС.

Уведомленията съгласно Акта за цифровите услуги и записите за ограниченията на клиентски портали изтриваме седем години след решението, съответно след отмяната или изтичането на ограничението; дотогава ги съхраняваме, за да документираме решенията си и да се защитим срещу претенции (чл. 6, пар. 1, буква е) ОРЗД). Уведомленията, по които все още няма решение, се съхраняват до вземането на решение. Броячите, с които ограничаваме броя на заявките, се изтриват автоматично след изтичането на техния времеви прозорец.

Вашите данни могат да бъдат споделени със следните категории получатели, които действат като подобработващи (Unterauftragsverarbeiter) съгласно чл. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — инфраструктура и съхранение на данни (ЕС регион: europe-west1)
• Google Vertex AI (модели на Google като Gemini, както и партньорски модели от Vertex Model Garden, напр. Anthropic Claude; изводът се извършва изцяло от Google Cloud в ЕС) — функции с изкуствен интелект като генериране на фирмени данни, Insights, сканиране на документи, обработка на фактури и анализ на заявки за поръчки (подобработващ)
• Twilio — доставка на SMS и WhatsApp известия (подобработващ)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — търсене на адреси, показване на карти и разстояния; зарежда се и на публичната страница за регистрация, при което Вашият IP адрес се предава на Google, както и при отваряне на посещение в изгледа за теренна работа („Моите посещения“), който веднага показва картата на мястото на работа
• Stripe Payments Europe, Ltd. — обработка на плащания и фактуриране (подобработващ)
• Bird (Bird B.V., Нидерландия) – доставка на транзакционни имейли и SMS от името на регистрираните фирми: потвърждения на срещи, напомняния, предложения за по-ранни часове, кодове за вход в клиентски профили в клиентския портал и известия за посещения (пристигане, закъснение, отчет за работата и връзка за потвърждение); както и изпращане и получаване по имейл и SMS каналите на тези фирми, включително SMS през дедикиран номер, държан от Capwork (подобработващ)
• Google Workspace / Gmail (Google Ireland Limited) — изпращане на собствените имейли на Capwork: до регистрирани потребители (напр. приветствени съобщения и съобщения за въвеждане, както и изложения на причините и съобщения относно ограничения на клиентски портали) и до лица, които докладват незаконно съдържание (потвърждение за получаване и решение); обработване в рамките на ЕС (обработващ лични данни)

Всички подобработващи са изброени в AVV и са обвързани със споразумения за обработка на данни съгласно чл. 28 GDPR. Регистрираният бизнес (администратор на данни) се информира за промени в подобработващите и има право на възражение. Ние не продаваме вашите лични данни на трети лица.

Някои от нашите подобработващи управляват сървъри извън Европейското икономическо пространство (ЕИП). Когато данните се предават в трети държави (напр. САЩ), ние гарантираме подходящи защити, включително Стандартни договорни клаузи на ЕС (SCCs) и решения за адекватност на Европейската комисия.

Google LLC и Twilio Inc. участват в EU-U.S. Data Privacy Framework, осигурявайки адекватно ниво на защита на данните, признато от Европейската комисия. Механизмите за предаване са документирани в AVV.

Без вашето съгласие платформата Capwork използва само технически необходими бисквитки за удостоверяване, езикови настройки и направени от вас самите настройки на показването. В локалното хранилище на вашия браузър съхраняваме също технически необходими данни, например входа в клиентския профил в клиентския портал на дадена фирма (до 30 дни или до излизане от профила), цветовата схема и вашето решение в банера за бисквитки. Докато се регистрирате, там се съхраняват и въведените досега данни за до седем дни (никога паролата), за да може незавършена регистрация да бъде продължена. Не се използват бисквитки за проследяване, анализ или реклама, с едно изключение: на нашите собствени информационни страници можете да дадете съгласие за измерване на нашата реклама в Google (последният параграф на този раздел). Подробности ще намерите в нашата Политика за бисквитките.

Можете да управлявате настройките на бисквитките в своя браузър. Деактивирането на необходимите бисквитки може да повлияе на функционалността на платформата.

Измерваме използването на нашия уебсайт и платформа със собствена, щадяща поверителността статистическа система, която работи без бисквитки и без да съхранява каквото и да е на вашето устройство. Нашите сървъри пазят само агрегирани бройки: дневни суми (напр. показвания на страница) и — за 100 дни — броя на показванията на страници и на новопреброените посетители за всеки 15-минутен интервал от денонощието; не се създават потребителски профили и не се споделят данни с трети страни. За преброяване на уникалните посетители IP адресът и идентификаторът на браузъра се преобразуват в анонимен идентификатор чрез ключ, който се сменя всеки ден; самият IP адрес никога не се съхранява, а идентификаторът се изтрива в рамките на 48 часа и не може да бъде свързан между отделни дни. Цялата обработка се извършва изключително на нашите сървъри в ЕС (europe-west1). Правно основание: нашият легитимен интерес да разбираме и подобряваме услугите си (чл. 6, пар. 1, б. „е“ от ОРЗД). Зачитаме сигналите на браузъра „Do Not Track“ и „Global Privacy Control“ — ако някой от тях е активиран, не се събира никаква статистика. Освен това по същия начин отчитаме използването на отделни функции (например колко често се използва определен бутон), както и груби показатели за посещенията (броя на разгледаните страници на посещение и приблизителната продължителност на посещението). Тези стойности също се съхраняват единствено като агрегирани дневни преброявания без каквато и да е връзка с конкретно лице, като за целта на устройството ви продължава да не се съхранява и да не се разчита нищо.

На нашите публични информационни страници на адрес www.capwork.io (напр. началната страница, цени, решения, примерната фирма, правните текстове и предлаганата там регистрация) използваме проследяването на реализации на Google Ads на Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ирландия) – само ако дадете съгласие в банера за бисквитки. Целта е да се установи дали регистрация в Capwork се дължи на кликване върху някоя от нашите реклами в Google; не използваме персонализирана реклама и ремаркетинг. След вашето съгласие браузърът ви зарежда маркера на Google; при това Google обработва вашия IP адрес, данни за браузъра и устройството, посетената страница, часа и идентификатора на кликването върху реклама и съхранява бисквитки като „_gcl_au“ и „_gcl_aw“ (до 90 дни). Завършената регистрация се съобщава на Google без име, имейл адрес или данни за фирмата. Правното основание е вашето съгласие (чл. 6, пар. 1, б. а) GDPR, § 165, ал. 3 TKG 2021). Google обработва данните като самостоятелен администратор на лични данни и може да ги предава в САЩ; дружеството Google LLC е сертифицирано по EU-U.S. Data Privacy Framework. Без вашето съгласие маркерът на Google не се зарежда. Можете по всяко време да оттеглите съгласието си с действие занапред чрез бутона „Настройки на бисквитките“ в долния колонтитул на началната ни страница или в нашата Политика за бисквитките; тогава изтриваме бисквитките на Google Ads в домейна capwork.io. Съхраняваме решението ви в локалното хранилище на вашия браузър и след дванадесет месеца ви питаме отново. За да докажем съгласието ви, освен това съхраняваме всяко решение в банера за бисквитки в продължение на три години на нашите сървъри в ЕС – със случайно генериран идентификатор на съгласието, решението и замененото решение, версията на банера, езика и момента, но без вашия IP адрес; правното основание е чл. 6, пар. 1, б. в) във връзка с чл. 7, пар. 1 GDPR. Банерът, който отваряте чрез бутона „Настройки на бисквитките“, ви показва идентификатора на съгласието.

Платформата Capwork използва услуги с изкуствен интелект чрез Google Vertex AI за функции като автоматично генериране на фирмени данни, отчети с бизнес Insights, сканиране на документи за превозни средства и на разходни документи, анализ на обратна връзка, анализ на заявки за поръчки и на съобщения, предложения и чернови на отговори, автоматичен превод на съдържание, както и генериране на предложения за изображения за услуги и продукти. При това се използват както собствени модели на Google (напр. Gemini), така и партньорски модели, предоставяни чрез Vertex Model Garden (напр. Anthropic Claude); и в двата случая изводът се извършва изцяло от Google Cloud в ЕС. Google Vertex AI действа като подобработващ съгласно разпоредбите на AVV.

Доколкото дадена фирма използва документацията на теренната работа, нейните служители могат да диктуват бележки: Google Vertex AI (Gemini) транскрибира записа в ЕС и въз основа на него изготвя чернова на текста на отчета. Capwork не съхранява нито записа, нито транскрипцията (вж. Раздел 11b).

Данните, изпращани към услугите с изкуствен интелект, се обработват изключително съгласно Enterprise условията за обработване на данни на Google Cloud и с фиксиране на региона към ЕС. Личните данни, предавани към услугите с изкуствен интелект, не се използват за обучение, подобряване или разработване на модели с изкуствен интелект. Това е гарантирано договорно чрез добавката за обработване на данни на Google Cloud.

Съдържанието, генерирано от ИИ – например анализи, предложения, чернови на отговори, данни, извлечени от документи, автоматични преводи и изображения, генерирани от ИИ – се обозначава като генерирано от ИИ в потребителския интерфейс на платформата и в клиентския портал в съответствие с EU AI Act (чл. 50). Съобщенията до клиенти, които човек проверява въз основа на чернова, създадена от ИИ, и изпраща сам, не се обозначават отделно при получателя, тъй като се изпращат под човешки контрол и с редакционна отговорност; съобщенията, генерирани от ИИ, не се изпращат автоматично. Не се вземат автоматизирани решения с правно или подобно значимо въздействие без човешки надзор.

Можете да поискате човешка проверка на всяко решение, генерирано от ИИ, което ви засяга значително, като се свържете с нас на office@capwork.io.

Capwork e.U. прилага подходящи технически и организационни мерки съгласно чл. 32 GDPR, за да гарантира ниво на сигурност, съответстващо на риска. Тези мерки включват:

• Криптиране на данните в покой и при пренос (TLS 1.2+, AES-256)
• Контрол на достъпа и ролева авторизация (RBAC) с Firebase Authentication
• Инфраструктура, хоствана на Google Cloud Platform в рамките на ЕС (регион europe-west1)
• Редовни оценки на сигурността, валидиране на входни данни (Zod схеми) и ограничаване на заявките
• Регистриране и одитни следи за достъп до данни и модификации
• Предотвратяване на prompt injection и мерки за сигурност на ИИ за всички данни, обработвани от ИИ

Подробно описание на TOMs е приложено към Споразумението за обработка на данни (AVV) и е достъпно при поискване.

Съгласно GDPR имате следните права по отношение на вашите лични данни:

• Право на достъп (чл. 15 GDPR): Можете да поискате информация за това какви лични данни съхраняваме за вас.
• Право на коригиране (чл. 16 GDPR): Можете да поискате коригиране на неточни данни.
• Право на изтриване (чл. 17 GDPR): Можете да поискате изтриване на вашите данни, при спазване на законовите задължения за съхранение.
• Право на ограничаване на обработката (чл. 18 GDPR): При определени условия можете да поискате ограничаване на обработката.
• Право на преносимост на данните (чл. 20 GDPR): Можете да поискате вашите данни в структуриран, машинночетим формат.
• Право на възражение (чл. 21 GDPR): По всяко време можете да възразите срещу обработка, основана на легитимни интереси.

За да упражните правата си, свържете се с нас на office@capwork.io. Ще отговорим в рамките на един месец, както се изисква от чл. 12 GDPR. Крайните клиенти на регистрирани бизнеси трябва първо да се свържат със съответния бизнес (администратор на данни), за да упражнят правата си.

За да защитим данните Ви от неоторизиран достъп, проверяваме самоличността на всяко лице, което подава искане за упражняване на права. Искания, подадени от акаунт с активна сесия, се считат за проверени. Искания, изпратени по имейл, се потвърждават чрез връзка, изпратена до имейл адреса, регистриран в акаунта. При основателни съмнения относно самоличността (чл. 12, параграф 6 GDPR) може да поискаме допълнителни доказателства за самоличност — например копие на официален документ за самоличност със снимка — които изтриваме след приключване на проверката. Пълното изтриване на фирмен акаунт може да бъде поискано само от собственика на акаунта или от упълномощен администратор; отделните потребители могат да упражняват права само по отношение на собствените си лични данни.

Ако смятате, че обработката на вашите лични данни нарушава правото за защита на данните, имате право да подадете жалба до Австрийския орган за защита на данните:

Запазваме си правото да актуализираме тази Политика за поверителност, за да отразим промени в нашите практики за обработка на данни или правни изисквания. За съществени промени регистрираните потребители ще бъдат уведомени по имейл. Текущата версия винаги е достъпна на тази страница.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

Имейл: office@capwork.io