Zásady ochrany osobních údajů

Správcem odpovědným za zpracování údajů ve smyslu Obecného nařízení o ochraně osobních údajů (GDPR) a rakouského zákona o ochraně osobních údajů (DSG) je:

Platforma Capwork funguje jako B2B služba. V závislosti na kontextu přebírají různé strany různé role v oblasti ochrany údajů podle GDPR:

• Subjekt údajů (Betroffene Person): Koncový zákazník nebo fyzická osoba, jejíž osobní údaje jsou zpracovávány (např. osoba rezervující schůzku nebo odesílající dotaz).
• Správce údajů (Verantwortlicher): Registrovaný podnik, který používá platformu Capwork. Správce určuje účely a prostředky zpracování údajů a je odpovědný za dodržování GDPR vůči svým koncovým zákazníkům.
• Zpracovatel údajů (Auftragsverarbeiter): Capwork e.U. provozuje platformu Capwork jako zpracovatel údajů jménem registrovaného podniku, přičemž zpracovává osobní údaje výhradně podle pokynů správce a smlouvy o zpracování údajů.

Capwork e.U. je správcem údajů pouze pro údaje zpracovávané pro vlastní účely (např. správa účtů platformy, fakturace, bezpečnost platformy). Pro veškeré údaje koncových zákazníků zadané registrovanými podniky (např. údaje o rezervacích, komunikace se zákazníky, nahrané dokumenty) je správcem údajů registrovaný podnik a Capwork e.U. jedná výhradně jako zpracovatel údajů podle čl. 28 GDPR.

Shromažďujeme a zpracováváme následující kategorie osobních údajů:

• Údaje o účtu: e-mailová adresa, heslo (v hashované podobě), název společnosti, lokalita
• Kontaktní údaje: jméno, telefonní číslo, e-mailová adresa (při rezervaci schůzek)
• Platební údaje: jméno držitele karty, poslední čtyři číslice čísla karty (pouze pro ověření totožnosti)
• Údaje o užívání: historie rezervací, interakce s kalendářem, konfigurace modulů, údaje z protokolů
• Technické údaje: IP adresa, typ prohlížeče, informace o zařízení, časové značky přístupu
• Údaje koncových zákazníků: veškeré osobní údaje, které registrované podniky zadávají do platformy jménem svých zákazníků (např. údaje o rezervacích, kontaktní informace, údaje o objednávkách, komunikace)

Osobní údaje zpracováváme na následujících právních základech podle čl. 6 GDPR:

• Čl. 6 odst. 1 písm. a) GDPR — Souhlas: pokud jste udělil/a výslovný souhlas s konkrétními činnostmi zpracování.
• Čl. 6 odst. 1 písm. b) GDPR — Smlouva: zpracování nezbytné pro plnění naší smlouvy o poskytování služeb s Vámi.
• Čl. 6 odst. 1 písm. c) GDPR — Právní povinnost: zpracování nezbytné pro splnění povinností uchovávání údajů podle rakouského daňového a obchodního práva.
• Čl. 6 odst. 1 písm. f) GDPR — Oprávněné zájmy: zpracování pro prevenci podvodů, bezpečnost platformy a zlepšování služby, pokud naše zájmy nepřeváží Vaše práva.

Pro údaje koncových zákazníků zpracovávané jménem registrovaných podniků je právní základ určen příslušným podnikem (správcem údajů) a zdokumentován v jeho vlastních zásadách ochrany osobních údajů.

Vaše osobní údaje jsou zpracovávány pro následující účely:

• Poskytování a provoz platformy Capwork a jejích modulů (schůzky, objednávky, řízení týmu, vozový park, sklad, finance)
• Vytváření uživatelských účtů, autentizace a správa přístupu
• Zpracování rezervací, objednávek a komunikace se zákazníky jménem registrovaných podniků
• Funkce založené na AI: generování firemních údajů, obchodní analýzy, skenování dokumentů a analýza zpětné vazby
• Prevence podvodů, ověřování totožnosti a bezpečnost platformy

Vzhledem k tomu, že Capwork e.U. jedná jako zpracovatel údajů (Auftragsverarbeiter) pro registrované podniky, je s každým registrovaným podnikem v průběhu procesu registrace uzavřena Smlouva o zpracování údajů (Auftragsverarbeitungsvertrag, AVV) podle čl. 28 GDPR.

AVV upravuje:

• Předmět, dobu trvání, povahu a účel zpracování údajů
• Typy zpracovávaných osobních údajů a kategorie subjektů údajů
• Povinnosti a práva správce (registrovaný podnik)
• Technická a organizační opatření (TOMs) pro zajištění bezpečnosti údajů (viz oddíl 13)
• Využívání a schvalování dílčích zpracovatelů (viz oddíl 9)
• Povinnosti týkající se výmazu nebo vrácení údajů po ukončení smlouvy

Registrovaný podnik (správce údajů) může kdykoliv požádat o kopii AVV na adrese office@capwork.io.

Osobní údaje jsou uchovávány pouze po dobu nezbytně nutnou pro splnění výše popsaných účelů nebo po dobu vyžadovanou zákonem. Rakouské obchodní a daňové právo (BAO, UGB) může vyžadovat uchovávání určitých údajů až po dobu 7 let.

Po ukončení účtu budou Vaše osobní údaje vymazány do 30 dnů, pokud zákon nevyžaduje delší uchovávání. Údaje koncových zákazníků zpracovávané jménem registrovaných podniků budou vymazány nebo vráceny v souladu s AVV.

Vaše údaje mohou být sdíleny s následujícími kategoriemi příjemců, kteří jednají jako dílčí zpracovatelé (Unterauftragsverarbeiter) podle čl. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktura a ukládání dat (region EU: europe-west1)
• Google Vertex AI (modely Google jako Gemini i partnerské modely z Vertex Model Garden, např. Anthropic Claude; inference probíhá zcela prostřednictvím Google Cloud v EU) — funkce s umělou inteligencí jako generování firemních dat, insights, skenování dokumentů, zpracování faktur a analýza poptávek (dílčí zpracovatel)
• Twilio — doručování SMS a WhatsApp oznámení (dílčí zpracovatel)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — vyhledávání adres, zobrazení map a vzdáleností; načítá se také na veřejné registrační stránce, přičemž je vaše IP adresa předávána společnosti Google
• Stripe Payments Europe, Ltd. — zpracování plateb a fakturace (dílčí zpracovatel)
• Bird (Bird B.V., Nizozemsko) – odesílání transakčních e-mailů (další zpracovatel)
• Google Workspace / Gmail (Google Ireland Limited) — odesílání e-mailů platformy registrovaným uživatelům (např. uvítací a onboardingové zprávy); zpracování v rámci EU (zpracovatel)

Všichni dílčí zpracovatelé jsou uvedeni v AVV a jsou vázáni smlouvami o zpracování údajů podle čl. 28 GDPR. Registrovaný podnik (správce údajů) je informován o změnách dílčích zpracovatelů a má právo podat námitku. Vaše osobní údaje neprodáváme třetím stranám.

Někteří naši dílčí zpracovatelé provozují servery mimo Evropský hospodářský prostor (EHP). Pokud jsou údaje přenášeny do třetích zemí (např. USA), zajišťujeme odpovídající záruky, včetně standardních smluvních doložek EU (SCCs) a rozhodnutí o přiměřenosti Evropské komise.

Google LLC a Twilio Inc. se účastní EU-U.S. Data Privacy Framework a poskytují přiměřenou úroveň ochrany údajů uznanou Evropskou komisí. Mechanismy přenosu jsou zdokumentovány v AVV.

Platforma Capwork používá výhradně technicky nezbytné cookies pro autentizaci a jazyková nastavení. Nepoužíváme žádné sledovací, analytické ani reklamní cookies.

Nastavení cookies můžete spravovat ve svém prohlížeči. Vypnutí nezbytných cookies může ovlivnit funkčnost platformy.

Používání našich webových stránek a platformy měříme pomocí vlastního statistického systému šetrného k soukromí, který funguje bez souborů cookie a nic neukládá do vašeho zařízení. Naše servery uchovávají pouze agregované denní počty (např. zobrazení jednotlivých stránek); nevytváříme uživatelské profily ani nepředáváme data třetím stranám. Pro počítání unikátních návštěvníků se IP adresa a identifikátor prohlížeče převádějí pomocí denně měněného klíče na anonymní identifikátor; samotná IP adresa se nikdy neukládá a identifikátor je do 48 hodin smazán a nelze jej propojit mezi jednotlivými dny. Veškeré zpracování probíhá výhradně na našich serverech v EU (europe-west1). Právní základ: náš oprávněný zájem na analýze a zlepšování našich služeb (čl. 6 odst. 1 písm. f GDPR). Respektujeme signály prohlížeče „Do Not Track“ a „Global Privacy Control“ — je-li některý z nich zapnutý, žádné statistiky se neshromažďují. Kromě toho stejným způsobem počítáme využití jednotlivých funkcí (například jak často je použito určité tlačítko) a hrubé metriky návštěv (počet zobrazených stránek za návštěvu a přibližnou délku návštěvy). I tyto hodnoty se ukládají výhradně jako agregované denní počty bez vazby na osobu a za tímto účelem se ve vašem zařízení nadále nic neukládá ani nečte.

Platforma Capwork využívá služby umělé inteligence prostřednictvím Google Vertex AI pro funkce jako automatické generování firemních dat, reporty business insights, skenování dokumentů vozidel, zpracování faktur, analýzu zpětné vazby a analýzu poptávek. Přitom se používají jak vlastní modely Google (např. Gemini), tak partnerské modely poskytované prostřednictvím Vertex Model Garden (např. Anthropic Claude); v obou případech probíhá inference zcela prostřednictvím Google Cloud v EU. Google Vertex AI působí jako dílčí zpracovatel podle ustanovení AVV.

Data odesílaná do služeb umělé inteligence jsou zpracovávána výhradně podle podmínek Enterprise pro zpracování dat od Google Cloud a s ukotvením regionu na EU. Osobní údaje předávané službám umělé inteligence se nepoužívají k trénování, zlepšování ani vývoji modelů umělé inteligence. To je smluvně zaručeno dodatkem o zpracování dat od Google Cloud.

Veškerý obsah generovaný AI je jasně označen v uživatelském rozhraní v souladu s EU AI Act (čl. 50). Žádná automatizovaná rozhodnutí s právními nebo obdobně významnými účinky nejsou činěna bez lidského dohledu.

Můžete požádat o lidský přezkum jakéhokoli rozhodnutí generovaného AI, které vás významně ovlivňuje, kontaktováním nás na office@capwork.io.

Capwork e.U. zavádí přiměřená technická a organizační opatření podle čl. 32 GDPR k zajištění úrovně bezpečnosti odpovídající riziku. Tato opatření zahrnují:

• Šifrování dat v klidu a při přenosu (TLS 1.2+, AES-256)
• Řízení přístupu a autorizace na základě rolí (RBAC) s Firebase Authentication
• Infrastruktura hostovaná na Google Cloud Platform v rámci EU (region europe-west1)
• Pravidelné bezpečnostní hodnocení, validace vstupů (schémata Zod) a omezení rychlosti
• Protokolování a auditní záznamy přístupu k údajům a jejich úprav
• Prevence prompt injection a bezpečnostní opatření AI pro všechna data zpracovávaná AI

Podrobný popis TOMs je přílohou Smlouvy o zpracování údajů (AVV) a je k dispozici na vyžádání.

Podle GDPR máte ve vztahu ke svým osobním údajům následující práva:

• Právo na přístup (čl. 15 GDPR): Můžete požádat o informace o tom, jaké osobní údaje o Vás uchováváme.
• Právo na opravu (čl. 16 GDPR): Můžete požádat o opravu nesprávných údajů.
• Právo na výmaz (čl. 17 GDPR): Můžete požádat o výmaz svých údajů s výhradou zákonných povinností uchovávání.
• Právo na omezení zpracování (čl. 18 GDPR): Za určitých podmínek můžete požádat o omezení zpracování.
• Právo na přenositelnost údajů (čl. 20 GDPR): Můžete požádat o své údaje ve strukturovaném, strojově čitelném formátu.
• Právo vznést námitku (čl. 21 GDPR): Kdykoli můžete vznést námitku proti zpracování založenému na oprávněných zájmech.

Pro uplatnění svých práv nás kontaktujte na office@capwork.io. Odpovíme do jednoho měsíce, jak vyžaduje čl. 12 GDPR. Koncoví zákazníci registrovaných podniků by měli nejprve kontaktovat příslušný podnik (správce údajů) pro uplatnění svých práv.

Pokud se domníváte, že zpracování Vašich osobních údajů porušuje právo na ochranu osobních údajů, máte právo podat stížnost u rakouského úřadu pro ochranu osobních údajů (Österreichische Datenschutzbehörde):

Vyhrazujeme si právo aktualizovat tyto Zásady ochrany osobních údajů tak, aby odrážely změny v našich postupech zpracování údajů nebo v právních požadavcích. O podstatných změnách budou registrovaní uživatelé informováni e-mailem. Aktuální znění je vždy k dispozici na této stránce.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io