Zásady ochrany osobních údajů

Správcem odpovědným za zpracování údajů ve smyslu Obecného nařízení o ochraně osobních údajů (GDPR) a rakouského zákona o ochraně osobních údajů (DSG) je:

Platforma Capwork funguje jako B2B služba. V závislosti na kontextu přebírají různé strany různé role v oblasti ochrany údajů podle GDPR:

• Subjekt údajů (Betroffene Person): Koncový zákazník nebo fyzická osoba, jejíž osobní údaje jsou zpracovávány (např. osoba rezervující termín nebo odesílající dotaz).
• Správce údajů (Verantwortlicher): Registrovaný podnik, který používá platformu Capwork. Správce určuje účely a prostředky zpracování údajů a je odpovědný za dodržování GDPR vůči svým koncovým zákazníkům.
• Zpracovatel údajů (Auftragsverarbeiter): Capwork e.U. provozuje platformu Capwork jako zpracovatel údajů jménem registrovaného podniku, přičemž zpracovává osobní údaje výhradně podle pokynů správce a smlouvy o zpracování údajů.

Capwork e.U. je správcem údajů pouze pro údaje zpracovávané pro vlastní účely (např. správa účtů platformy, fakturace, bezpečnost platformy a oslovování firem dopisem podle oddílu 11a). Pro veškeré údaje koncových zákazníků zadané registrovanými podniky (např. údaje o rezervacích, komunikace se zákazníky, nahrané dokumenty) je správcem údajů registrovaný podnik a Capwork e.U. jedná výhradně jako zpracovatel údajů podle čl. 28 GDPR.

Shromažďujeme a zpracováváme následující kategorie osobních údajů:

• Údaje o účtu: e-mailová adresa, heslo (v hashované podobě), název společnosti, lokalita
• Kontaktní a rezervační údaje: jméno, telefonní číslo, e-mailová adresa a nepovinná poznámka pro firmu (při rezervaci termínů)
• Platební údaje: jméno držitele karty, poslední čtyři číslice čísla karty (pouze pro ověření totožnosti)
• Údaje o užívání: historie rezervací, interakce s kalendářem, konfigurace modulů, údaje z protokolů
• Technické údaje: IP adresa, typ prohlížeče, informace o zařízení, časové značky přístupu
• Údaje koncových zákazníků: veškeré osobní údaje, které registrované podniky zadávají do platformy jménem svých zákazníků (např. údaje o rezervacích, kontaktní informace, údaje o objednávkách, komunikace)
• Zveřejněné firemní údaje: údaje, které registrovaná firma zpřístupní veřejnosti po aktivaci svého zákaznického portálu (název firmy, popis a obor, adresa, telefonní číslo, webové stránky, otevírací doba, služby a ceny), údaje o její totožnosti zobrazované u rezervací a nabídek (jméno nebo obchodní firma, adresa, kontaktní údaje a případně identifikační číslo pro DPH) a údaje na její stránce s právními informacemi (tiráži) v zákaznickém portálu (navíc např. údaje z obchodního rejstříku, dozorový orgán, komora a profesní předpisy, předmět podnikání a odkaz na její zásady ochrany osobních údajů)
• Oznámení podle aktu o digitálních službách: jméno a e-mailová adresa oznamovatele (u oznámení týkajících se materiálu zobrazujícího sexuální zneužívání dětí dobrovolné), nahlášená adresa a případně označený obsah, kategorie a zdůvodnění oznámení, jazyk, stav vyřízení a rozhodnutí; k omezení zneužívání formuláře pro oznámení dále IP adresa a e-mailová adresa v hašované podobě jako klíč počítadla
• Dokumentace návštěv, pokud ji registrovaný podnik používá: časy práce, přestávek a jízd, stav návštěvy, použitý materiál, poznámky a fotografie jeho zaměstnanců a dále fotografie, poznámky k místu, podpisy a pracovní výkazy týkající se jeho koncových zákazníků (podrobnosti viz oddíl 11b)

Osobní údaje zpracováváme na následujících právních základech podle čl. 6 GDPR:

• Čl. 6 odst. 1 písm. a) GDPR — Souhlas: pokud jste udělili výslovný souhlas s konkrétními činnostmi zpracování.
• Čl. 6 odst. 1 písm. b) GDPR — Smlouva: zpracování nezbytné pro plnění naší smlouvy o poskytování služeb s Vámi nebo pro provedení opatření přijatých před uzavřením smlouvy na Vaši žádost (např. založení Vašeho účtu a potvrzení Vaší e-mailové adresy při registraci).
• Čl. 6 odst. 1 písm. c) GDPR — Právní povinnost: zpracování nezbytné pro splnění povinností uchovávání údajů podle rakouského daňového a obchodního práva.
• Čl. 6 odst. 1 písm. f) GDPR — Oprávněné zájmy: zpracování pro prevenci podvodů, bezpečnost platformy a zlepšování služby, pokud naše zájmy nepřeváží Vaše práva.

Pro údaje koncových zákazníků zpracovávané jménem registrovaných podniků je právní základ určen příslušným podnikem (správcem údajů) a zdokumentován v jeho vlastních zásadách ochrany osobních údajů.

Veřejný zákaznický portál je ve výchozím nastavení deaktivován. Firemní údaje tam zobrazené se zveřejňují výlučně z podnětu registrované firmy, která k tomu musí portál výslovně aktivovat (§ 4 podmínek); právním základem je čl. 6 odst. 1 písm. b) GDPR. Firma sama určuje, které údaje se zobrazují, a může zveřejnění kdykoli omezit nebo je deaktivací portálu zcela ukončit.

Oznámení nezákonného obsahu podle aktu o digitálních službách, rozhodnutí o nich a informování zúčastněných zpracováváme ke splnění našich právních povinností podle čl. 16 až 18 DSA (čl. 6 odst. 1 písm. c) GDPR). Omezení počtu oznámení na IP adresu a e-mailovou adresu se zakládá na našem oprávněném zájmu na funkčním oznamovacím postupu chráněném proti zneužití (čl. 6 odst. 1 písm. f) GDPR). Totožnost oznamovatele dotčené firmě nesdělujeme.

Vaše osobní údaje jsou zpracovávány pro následující účely:

• Poskytování a provoz platformy Capwork a jejích modulů (termíny, objednávky, řízení týmu, vozový park, sklad, finance)
• Vytváření uživatelských účtů, autentizace a správa přístupu
• Zpracování rezervací, objednávek a komunikace se zákazníky jménem registrovaných podniků
• Dokumentace návštěv u koncových zákazníků, převzetí provedené práce a při nich odpracované pracovní doby, a to jménem registrovaných podniků, pokud tyto podniky dokumentaci návštěv používají (viz oddíl 11b)
• Funkce založené na AI: generování firemních údajů, obchodní analýzy, skenování dokumentů a analýza zpětné vazby
• Prevence podvodů, ověřování totožnosti a bezpečnost platformy
• Provoz veřejného zákaznického portálu registrované firmy, pokud tato firma portál aktivovala
• Vyřizování oznámení nezákonného obsahu v zákaznických portálech, rozhodování o opatřeních a informování zúčastněných podle aktu o digitálních službách
• Měření, zda registrace pocházejí z našich reklam zobrazených společností Google – pouze s vaším souhlasem (viz oddíl 10)
• Zákaznická péče a podpora: odpovídání na vaše dotazy a zpětnou vazbu a pomoc s nastavením a používáním platformy – i z naší iniciativy, prostřednictvím zpráv majiteli účtu v sekci zpětné vazby platformy (čl. 6 odst. 1 písm. b) GDPR). Reklamní obsah touto cestou nezasíláme.

Vzhledem k tomu, že Capwork e.U. jedná jako zpracovatel údajů (Auftragsverarbeiter) pro registrované podniky, je s každým registrovaným podnikem v průběhu procesu registrace uzavřena Smlouva o zpracování údajů (Auftragsverarbeitungsvertrag, AVV) podle čl. 28 GDPR.

AVV upravuje:

• Předmět, dobu trvání, povahu a účel zpracování údajů
• Typy zpracovávaných osobních údajů a kategorie subjektů údajů
• Povinnosti a práva správce (registrovaný podnik)
• Technická a organizační opatření (TOMs) pro zajištění bezpečnosti údajů (viz oddíl 12)
• Využívání a schvalování dílčích zpracovatelů (viz oddíl 8)
• Povinnosti týkající se výmazu nebo vrácení údajů po ukončení smlouvy

Registrovaný podnik (správce údajů) může kdykoliv požádat o kopii AVV na adrese office@capwork.io.

Osobní údaje jsou uchovávány pouze po dobu nezbytně nutnou pro splnění výše popsaných účelů nebo po dobu vyžadovanou zákonem. Rakouské obchodní a daňové právo (BAO, UGB) může vyžadovat uchovávání určitých údajů až po dobu 7 let.

Po ukončení účtu budou Vaše osobní údaje vymazány do 30 dnů, pokud zákon nevyžaduje delší uchovávání. Údaje koncových zákazníků zpracovávané jménem registrovaných podniků budou vymazány nebo vráceny v souladu s AVV. Pokud při registraci nepotvrdíte svou e-mailovou adresu a nebude založen žádný podnik, smažeme účet 30 dnů po registraci, případně – je-li to později – po Vašem posledním přihlášení.

Bird, poskytovatel doručující transakční e-maily a SMS koncovým zákazníkům registrovaných firem (např. potvrzení termínů, připomínky a přihlašovací kódy pro zákaznický portál), uchovává obsah zpráv a provozní údaje pro doručení a prevenci zneužití: SMS až 6 měsíců, e-maily 72 hodin. Mezi vlastní dílčí zpracovatele společnosti Bird patří poskytovatelé mimo EHP, krytí standardními smluvními doložkami EU.

Oznámení podle aktu o digitálních službách a záznamy o omezeních zákaznických portálů mažeme sedm let po rozhodnutí, resp. po zrušení nebo uplynutí omezení; do té doby je uchováváme k dokumentaci našich rozhodnutí a k obraně proti nárokům (čl. 6 odst. 1 písm. f) GDPR). Dosud nerozhodnutá oznámení se uchovávají do rozhodnutí. Počítadla, jimiž omezujeme počet požadavků, se po uplynutí jejich časového okna automaticky mažou.

Vaše údaje mohou být sdíleny s následujícími kategoriemi příjemců, kteří jednají jako dílčí zpracovatelé (Unterauftragsverarbeiter) podle čl. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktura a ukládání dat (region EU: europe-west1)
• Google Vertex AI (modely Google jako Gemini i partnerské modely z Vertex Model Garden, např. Anthropic Claude; inference probíhá zcela prostřednictvím Google Cloud v EU) — funkce s umělou inteligencí jako generování firemních dat, insights, skenování dokumentů, zpracování faktur a analýza poptávek (dílčí zpracovatel)
• Twilio — doručování SMS a WhatsApp oznámení (dílčí zpracovatel)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — vyhledávání adres, zobrazení map a vzdáleností; načítá se také na veřejné registrační stránce, přičemž je vaše IP adresa předávána společnosti Google, a také při otevření návštěvy v zobrazení návštěv („Moje návštěvy“), které okamžitě zobrazuje mapu místa návštěvy
• Stripe Payments Europe, Ltd. — zpracování plateb a fakturace (dílčí zpracovatel)
• Bird (Bird B.V., Nizozemsko) – doručování transakčních e-mailů a SMS jménem registrovaných firem: potvrzení termínů, připomínky, nabídky dřívějších termínů, přihlašovací kódy k zákaznickým účtům v zákaznickém portálu a oznámení týkající se návštěv (cesta na místo, zpoždění, pracovní výkaz a odkaz k potvrzení); dále odesílání a příjem e-mailových a SMS kanálů těchto firem, včetně SMS na vyhrazeném čísle drženém společností Capwork (dílčí zpracovatel)
• Google Workspace / Gmail (Google Ireland Limited) — odesílání vlastních e-mailů společnosti Capwork: registrovaným uživatelům (např. uvítací a onboardingové zprávy a také odůvodnění a sdělení týkající se omezení zákaznických portálů) a osobám, které oznamují nezákonný obsah (potvrzení o přijetí a rozhodnutí); zpracování v rámci EU (zpracovatel)

Všichni dílčí zpracovatelé jsou uvedeni v AVV a jsou vázáni smlouvami o zpracování údajů podle čl. 28 GDPR. Registrovaný podnik (správce údajů) je informován o změnách dílčích zpracovatelů a má právo podat námitku. Vaše osobní údaje neprodáváme třetím stranám.

Někteří naši dílčí zpracovatelé provozují servery mimo Evropský hospodářský prostor (EHP). Pokud jsou údaje přenášeny do třetích zemí (např. USA), zajišťujeme odpovídající záruky, včetně standardních smluvních doložek EU (SCCs) a rozhodnutí o přiměřenosti Evropské komise.

Google LLC a Twilio Inc. se účastní EU-U.S. Data Privacy Framework a poskytují přiměřenou úroveň ochrany údajů uznanou Evropskou komisí. Mechanismy přenosu jsou zdokumentovány v AVV.

Bez vašeho souhlasu používá platforma Capwork výhradně technicky nezbytné cookies pro autentizaci, jazyková nastavení a nastavení zobrazení, která si sami provedete. V místním úložišti vašeho prohlížeče dále ukládáme technicky nezbytné údaje, například přihlášení k zákaznickému účtu v zákaznickém portálu firmy (až 30 dnů nebo do odhlášení), barevné schéma a vaše rozhodnutí v banneru o souborech cookie. Během registrace se tam navíc až na sedm dní ukládají dosud zadané údaje (nikdy heslo), aby bylo možné v nedokončené registraci pokračovat. Nepoužíváme žádné sledovací, analytické ani reklamní cookies, s jednou výjimkou: na našich vlastních informačních stránkách můžete udělit souhlas s měřením naší reklamy zobrazované společností Google (poslední odstavec tohoto oddílu). Podrobnosti najdete v našich zásadách používání souborů cookie.

Nastavení cookies můžete spravovat ve svém prohlížeči. Vypnutí nezbytných cookies může ovlivnit funkčnost platformy.

Používání našich webových stránek a platformy měříme pomocí vlastního statistického systému šetrného k soukromí, který funguje bez souborů cookie a nic neukládá do vašeho zařízení. Naše servery uchovávají pouze agregované počty: denní součty (např. zobrazení jednotlivých stránek) a — po dobu 100 dnů — počet zobrazení stránek a nově započtených návštěvníků za každý 15minutový interval dne; nevytváříme uživatelské profily ani nepředáváme data třetím stranám. Pro počítání unikátních návštěvníků se IP adresa a identifikátor prohlížeče převádějí pomocí denně měněného klíče na anonymní identifikátor; samotná IP adresa se nikdy neukládá a identifikátor je do 48 hodin smazán a nelze jej propojit mezi jednotlivými dny. Veškeré zpracování probíhá výhradně na našich serverech v EU (europe-west1). Právní základ: náš oprávněný zájem na analýze a zlepšování našich služeb (čl. 6 odst. 1 písm. f GDPR). Respektujeme signály prohlížeče „Do Not Track“ a „Global Privacy Control“ — je-li některý z nich zapnutý, žádné statistiky se neshromažďují. Kromě toho stejným způsobem počítáme využití jednotlivých funkcí (například jak často je použito určité tlačítko) a hrubé metriky návštěv (počet zobrazených stránek za návštěvu a přibližnou délku návštěvy). I tyto hodnoty se ukládají výhradně jako agregované denní počty bez vazby na osobu a za tímto účelem se ve vašem zařízení nadále nic neukládá ani nečte.

Na našich veřejných informačních stránkách na adrese www.capwork.io (např. hlavní stránka, ceny, řešení, ukázková firma, právní texty a registrace, která je tam nabízena) používáme sledování konverzí Google Ads společnosti Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irsko) – pouze tehdy, když v banneru o souborech cookie udělíte souhlas. Účelem je zjistit, zda registrace u Capwork pochází z kliknutí na některou z našich reklam zobrazených společností Google; personalizovanou reklamu ani remarketing nepoužíváme. Po vašem souhlasu načte váš prohlížeč značku Google; Google přitom zpracovává vaši IP adresu, údaje o prohlížeči a zařízení, navštívenou stránku, čas a identifikátor kliknutí na reklamu a ukládá soubory cookie jako „_gcl_au“ a „_gcl_aw“ (až na 90 dnů). Dokončená registrace se společnosti Google oznamuje bez jména, e-mailové adresy nebo údajů o firmě. Právním základem je váš souhlas (čl. 6 odst. 1 písm. a) GDPR, § 165 odst. 3 TKG 2021). Google zpracovává údaje jako samostatný správce údajů a může je předávat do USA; společnost Google LLC je certifikována podle EU-U.S. Data Privacy Framework. Bez vašeho souhlasu se značka Google nenačte. Svůj souhlas můžete kdykoli s účinkem do budoucna odvolat pomocí tlačítka „Nastavení souborů cookie“ v zápatí naší hlavní stránky nebo v našich zásadách používání souborů cookie; soubory cookie Google Ads v doméně capwork.io pak smažeme. Vaše rozhodnutí ukládáme v místním úložišti vašeho prohlížeče a po dvanácti měsících se zeptáme znovu. Pro prokázání vašeho souhlasu navíc ukládáme každé rozhodnutí v banneru o souborech cookie po dobu tří let na našich serverech v EU – s náhodně vygenerovaným ID souhlasu, rozhodnutím a nahrazeným rozhodnutím, verzí banneru, jazykem a časem, avšak bez vaší IP adresy; právním základem je čl. 6 odst. 1 písm. c) ve spojení s čl. 7 odst. 1 GDPR. ID souhlasu vám zobrazí banner, který otevřete pomocí tlačítka „Nastavení souborů cookie“.

Platforma Capwork využívá služby umělé inteligence prostřednictvím Google Vertex AI pro funkce jako automatické generování firemních dat, reporty business insights, skenování dokumentů vozidel a účetních dokladů, analýzu zpětné vazby, analýzu poptávek a zpráv, návrhy a koncepty odpovědí, automatický překlad obsahu a generování návrhů obrázků pro služby a produkty. Přitom se používají jak vlastní modely Google (např. Gemini), tak partnerské modely poskytované prostřednictvím Vertex Model Garden (např. Anthropic Claude); v obou případech probíhá inference zcela prostřednictvím Google Cloud v EU. Google Vertex AI působí jako dílčí zpracovatel podle ustanovení AVV.

Pokud podnik používá dokumentaci návštěv, mohou jeho zaměstnanci diktovat poznámky: Google Vertex AI (Gemini) přepíše nahrávku v EU a vytvoří z ní koncept textu pracovního výkazu. Capwork neukládá nahrávku ani přepis (viz oddíl 11b).

Data odesílaná do služeb umělé inteligence jsou zpracovávána výhradně podle podmínek Enterprise pro zpracování dat od Google Cloud a s ukotvením regionu na EU. Osobní údaje předávané službám umělé inteligence se nepoužívají k trénování, zlepšování ani vývoji modelů umělé inteligence. To je smluvně zaručeno dodatkem o zpracování dat od Google Cloud.

Obsah generovaný AI – například analýzy, návrhy, koncepty odpovědí, údaje vytěžené z dokumentů, automatické překlady a obrázky vytvořené AI – je v uživatelském rozhraní platformy a v zákaznickém portálu označen jako generovaný AI v souladu s EU AI Act (čl. 50). Zprávy zákazníkům, které osoba zkontroluje na základě konceptu vytvořeného AI a sama odešle, nejsou u příjemce zvlášť označeny, protože jsou odesílány pod lidskou kontrolou a na redakční odpovědnost; zprávy generované AI se neodesílají automaticky. Žádná automatizovaná rozhodnutí s právními nebo obdobně významnými účinky nejsou činěna bez lidského dohledu.

Můžete požádat o lidský přezkum jakéhokoli rozhodnutí generovaného AI, které vás významně ovlivňuje, kontaktováním nás na office@capwork.io.

Capwork e.U. zavádí přiměřená technická a organizační opatření podle čl. 32 GDPR k zajištění úrovně bezpečnosti odpovídající riziku. Tato opatření zahrnují:

• Šifrování dat v klidu a při přenosu (TLS 1.2+, AES-256)
• Řízení přístupu a autorizace na základě rolí (RBAC) s Firebase Authentication
• Infrastruktura hostovaná na Google Cloud Platform v rámci EU (region europe-west1)
• Pravidelné bezpečnostní hodnocení, validace vstupů (schémata Zod) a omezení rychlosti
• Protokolování a auditní záznamy přístupu k údajům a jejich úprav
• Prevence prompt injection a bezpečnostní opatření AI pro všechna data zpracovávaná AI

Podrobný popis TOMs je přílohou Smlouvy o zpracování údajů (AVV) a je k dispozici na vyžádání.

Podle GDPR máte ve vztahu ke svým osobním údajům následující práva:

• Právo na přístup (čl. 15 GDPR): Můžete požádat o informace o tom, jaké osobní údaje o Vás uchováváme.
• Právo na opravu (čl. 16 GDPR): Můžete požádat o opravu nesprávných údajů.
• Právo na výmaz (čl. 17 GDPR): Můžete požádat o výmaz svých údajů s výhradou zákonných povinností uchovávání.
• Právo na omezení zpracování (čl. 18 GDPR): Za určitých podmínek můžete požádat o omezení zpracování.
• Právo na přenositelnost údajů (čl. 20 GDPR): Můžete požádat o své údaje ve strukturovaném, strojově čitelném formátu.
• Právo vznést námitku (čl. 21 GDPR): Kdykoli můžete vznést námitku proti zpracování založenému na oprávněných zájmech.

Pro uplatnění svých práv nás kontaktujte na office@capwork.io. Odpovíme do jednoho měsíce, jak vyžaduje čl. 12 GDPR. Koncoví zákazníci registrovaných podniků by měli nejprve kontaktovat příslušný podnik (správce údajů) pro uplatnění svých práv.

Abychom chránili Vaše údaje před neoprávněným přístupem, ověřujeme totožnost každé osoby, která uplatňuje žádost o výkon práv. Žádosti podané z přihlášeného účtu považujeme za ověřené. Žádosti zaslané e-mailem potvrzujeme prostřednictvím odkazu zaslaného na e-mailovou adresu registrovanou u účtu. V případě důvodných pochybností o totožnosti (čl. 12 odst. 6 GDPR) můžeme požádat o další doklady totožnosti — například kopii úředního průkazu totožnosti s fotografií —, které po dokončení ověření vymažeme. Úplné smazání firemního účtu může požadovat pouze vlastník účtu nebo pověřený administrátor; jednotliví uživatelé mohou uplatňovat práva pouze ve vztahu ke svým vlastním osobním údajům.

Pokud se domníváte, že zpracování Vašich osobních údajů porušuje právo na ochranu osobních údajů, máte právo podat stížnost u rakouského úřadu pro ochranu osobních údajů (Österreichische Datenschutzbehörde):

Vyhrazujeme si právo aktualizovat tyto Zásady ochrany osobních údajů tak, aby odrážely změny v našich postupech zpracování údajů nebo v právních požadavcích. O podstatných změnách budou registrovaní uživatelé informováni e-mailem. Aktuální znění je vždy k dispozici na této stránce.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io