Privatlivspolitik

Dataansvarlig for databehandlingen i henhold til Databeskyttelsesforordningen (GDPR) og den østrigske databeskyttelseslov (DSG) er:

Capwork-platformen fungerer som en B2B-tjeneste. Afhængigt af konteksten påtager forskellige parter sig forskellige databeskyttelsesroller under GDPR:

• Registreret (Betroffene Person): Slutkunden eller den person, hvis personoplysninger behandles (f.eks. en person, der booker en aftale eller sender en forespørgsel).
• Dataansvarlig (Verantwortlicher): Den registrerede virksomhed, der bruger Capwork-platformen. Den dataansvarlige bestemmer formålene med og midlerne til databehandling og er ansvarlig for GDPR-overholdelse over for sine slutkunder.
• Databehandler (Auftragsverarbeiter): Capwork e.U. driver Capwork-platformen som databehandler på vegne af den registrerede virksomhed og behandler kun personoplysninger i henhold til den dataansvarliges instruktioner og databehandleraftalen.

Capwork e.U. er kun dataansvarlig for data, der behandles til egne formål (f.eks. platformskontoadministration, fakturering, platformssikkerhed samt kontakt til virksomheder pr. brev efter afsnit 11a). For alle slutkundedata, der indtastes af registrerede virksomheder (f.eks. bookingdetaljer, kundekommunikation, uploadede dokumenter), er den registrerede virksomhed den dataansvarlige, og Capwork e.U. handler udelukkende som databehandler i henhold til art. 28 GDPR.

Vi indsamler og behandler følgende kategorier af personoplysninger:

• Kontodata: e-mailadresse, adgangskode (hashet), virksomhedsnavn, lokation
• Kontakt- og bookingdata: navn, telefonnummer, e-mailadresse og en valgfri bemærkning til virksomheden (ved booking af aftaler)
• Betalingsdata: kortindehaverens navn, de sidste fire cifre af kortnummeret (udelukkende til identitetsverifikation)
• Brugsdata: bookinghistorik, kalenderinteraktioner, modulkonfigurationer, logdata
• Tekniske data: IP-adresse, browsertype, enhedsoplysninger, tidsstempler for adgang
• Slutkundedata: alle personoplysninger, som registrerede virksomheder indtaster i platformen på vegne af deres kunder (f.eks. bookingdetaljer, kontaktoplysninger, ordredata, kommunikation)
• Offentliggjorte virksomhedsoplysninger: de oplysninger, som en registreret virksomhed gør offentligt tilgængelige efter at have aktiveret sin kundeportal (virksomhedsnavn, beskrivelse og branche, adresse, telefonnummer, hjemmeside, åbningstider, ydelser og priser), de oplysninger om virksomhedens identitet, der vises ved bookinger og tilbud (navn eller firmanavn, adresse, kontaktoplysninger og i givet fald momsregistreringsnummer) samt oplysningerne på virksomhedens side med juridisk information (kolofon) i kundeportalen (derudover f.eks. oplysninger fra handelsregistret, tilsynsmyndighed, kammer og faglige regler, virksomhedens formål og linket til virksomhedens privatlivspolitik)
• Anmeldelser i henhold til forordningen om digitale tjenester: anmelderens navn og e-mailadresse (frivilligt ved anmeldelser vedrørende materiale med seksuelt misbrug af børn), den anmeldte adresse og i givet fald det angivne indhold, anmeldelsens kategori og forklaring, sprog, behandlingsstatus og afgørelse; for at begrænse misbrug af anmeldelsesformularen desuden IP-adressen og e-mailadressen i hashet form som nøgle for en tæller
• Arbejdsdokumentation, for så vidt en registreret virksomhed bruger den: arbejds-, pause- og køretider, besøgsstatus, anvendte materialer, noter og fotos vedrørende dens medarbejdere samt fotos, lokationsnoter, underskrifter og arbejdsrapporter vedrørende dens slutkunder (nærmere oplysninger i afsnit 11b)

Vi behandler personoplysninger på følgende retsgrundlag i henhold til art. 6 GDPR:

• Art. 6, stk. 1, litra a GDPR — Samtykke: Når du har givet udtrykkeligt samtykke til bestemte behandlingsaktiviteter.
• Art. 6, stk. 1, litra b GDPR — Aftale: Behandling, der er nødvendig for opfyldelsen af vores serviceaftale med dig eller for at gennemføre foranstaltninger på din anmodning forud for indgåelsen af den (f.eks. oprettelsen af din konto og bekræftelsen af din e-mailadresse ved registreringen).
• Art. 6, stk. 1, litra c GDPR — Retlig forpligtelse: Behandling, der er nødvendig for at opfylde østrigske skatte- og handelsretlige opbevaringskrav.
• Art. 6, stk. 1, litra f GDPR — Legitime interesser: Behandling med henblik på forebyggelse af svig, platformssikkerhed og forbedring af tjenesten, såfremt vores interesser ikke tilsidesættes af dine rettigheder.

For slutkundedata, der behandles på vegne af registrerede virksomheder, bestemmes retsgrundlaget af den pågældende virksomhed (dataansvarlig) og dokumenteres i deres egen privatlivspolitik.

Den offentlige kundeportal er som udgangspunkt deaktiveret. De virksomhedsoplysninger, der vises der, offentliggøres udelukkende på foranledning af den registrerede virksomhed, som udtrykkeligt skal aktivere portalen hertil (§ 4 i betingelserne); retsgrundlaget er databeskyttelsesforordningens artikel 6, stk. 1, litra b. Virksomheden bestemmer selv, hvilke oplysninger der vises, og kan til enhver tid begrænse offentliggørelsen eller helt bringe den til ophør ved at deaktivere portalen.

Anmeldelser af ulovligt indhold i henhold til forordningen om digitale tjenester, afgørelserne herom og underretningen af de involverede parter behandler vi for at opfylde vores retlige forpligtelser efter art. 16-18 DSA (databeskyttelsesforordningens artikel 6, stk. 1, litra c). Begrænsningen af antallet af anmeldelser pr. IP-adresse og e-mailadresse er baseret på vores legitime interesse i en velfungerende anmeldelsesprocedure, der er beskyttet mod misbrug (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Vi videregiver ikke anmelderens identitet til den berørte virksomhed.

Dine personoplysninger behandles til følgende formål:

• Levering og drift af Capwork-platformen og dens moduler (aftaler, ordrer, teamstyring, bilpark, lager, økonomi)
• Oprettelse af brugerkonti, autentifikation og adgangsstyring
• Behandling af bookinger, ordrer og kundekommunikation på vegne af registrerede virksomheder
• Dokumentation af besøg hos slutkunder, godkendelsen heraf og den arbejdstid, der er medgået i den forbindelse, på vegne af registrerede virksomheder, for så vidt disse bruger arbejdsdokumentationen (se afsnit 11b)
• AI-understøttede funktioner: generering af virksomhedsdata, forretningsindsigt, dokumentscanning og feedbackanalyse
• Forebyggelse af svig, identitetsverifikation og platformssikkerhed
• Drift af en registreret virksomheds offentlige kundeportal, for så vidt virksomheden har aktiveret portalen
• Behandling af anmeldelser af ulovligt indhold på kundeportaler, afgørelse om foranstaltninger og underretning af de involverede parter i henhold til forordningen om digitale tjenester
• Måling af, om registreringer stammer fra vores annoncer hos Google — kun med dit samtykke (se afsnit 10)
• Kundeservice og support: besvarelse af dine henvendelser og din feedback samt hjælp til opsætning og brug af platformen – også på vores eget initiativ, via beskeder til kontoejeren i platformens feedbackområde (art. 6, stk. 1, litra b GDPR). Vi sender ikke reklame ad denne vej.

Da Capwork e.U. fungerer som databehandler (Auftragsverarbeiter) for registrerede virksomheder, indgås en databehandleraftale (Auftragsverarbeitungsvertrag, AVV) i henhold til art. 28 GDPR med enhver registreret virksomhed under onboardingprocessen.

AVV regulerer:

• Emnet, varigheden, arten og formålet med databehandlingen
• Typerne af behandlede personoplysninger og kategorierne af registrerede
• Den dataansvarliges forpligtelser og rettigheder (registreret virksomhed)
• Tekniske og organisatoriske foranstaltninger (TOMs) til sikring af datasikkerhed (se afsnit 12)
• Brug og godkendelse af underdatabehandlere (se afsnit 8)
• Forpligtelser vedrørende sletning eller returnering af data ved kontraktens ophør

Den registrerede virksomhed (dataansvarlig) kan til enhver tid anmode om en kopi af AVV ved at kontakte office@capwork.io.

Personoplysninger opbevares kun så længe, det er nødvendigt for at opfylde de ovenfor beskrevne formål, eller så længe loven kræver det. Østrigsk handels- og skattelovgivning (BAO, UGB) kan kræve opbevaring af visse data i op til 7 år.

Ved kontolukning vil dine personoplysninger blive slettet inden for 30 dage, medmindre længere opbevaring er påkrævet ved lov. Slutkundedata behandlet på vegne af registrerede virksomheder vil blive slettet eller returneret i overensstemmelse med AVV. Hvis du ikke bekræfter din e-mailadresse ved registreringen, og der ikke oprettes en virksomhed, sletter vi kontoen 30 dage efter registreringen eller, hvis det er senere, efter dit seneste login.

Bird, der leverer transaktionelle e-mails og sms'er til slutkunder hos registrerede virksomheder (f.eks. aftalebekræftelser, påmindelser og login-koder til kundeportalen), opbevarer beskedindhold og trafikdata til levering og forebyggelse af misbrug: sms i op til 6 måneder, e-mail i 72 timer. Birds egne underdatabehandlere omfatter leverandører uden for EØS, dækket af EU's standardkontraktbestemmelser.

Anmeldelser i henhold til forordningen om digitale tjenester og registreringerne af begrænsninger af kundeportaler sletter vi syv år efter afgørelsen eller efter ophævelsen eller udløbet af begrænsningen; indtil da opbevarer vi dem for at dokumentere vores afgørelser og for at kunne forsvare os mod krav (databeskyttelsesforordningens artikel 6, stk. 1, litra f). Anmeldelser, der endnu ikke er afgjort, opbevares indtil afgørelsen. De tællere, som vi bruger til at begrænse antallet af forespørgsler, slettes automatisk, når deres tidsvindue er udløbet.

Dine data kan deles med følgende kategorier af modtagere, der fungerer som underdatabehandlere i henhold til art. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktur og datalagring (EU-region: europe-west1)
• Google Vertex AI (Google-modeller som Gemini samt partnermodeller fra Vertex Model Garden, f.eks. Anthropic Claude; inferens udføres udelukkende af Google Cloud i EU) — AI-baserede funktioner som generering af virksomhedsdata, insights, dokumentscanning, fakturabehandling og analyse af ordreforespørgsler (underdatabehandler)
• Twilio — levering af SMS- og WhatsApp-notifikationer (underdatabehandler)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — adressesøgning, kort- og afstandsvisning; indlæses også på den offentlige registreringsside, hvorved din IP-adresse overføres til Google, samt når et besøg åbnes i besøgsvisningen (“Mine besøg”), som viser kortet over arbejdsstedet med det samme
• Stripe Payments Europe, Ltd. — betalingsbehandling og fakturering (underdatabehandler)
• Bird (Bird B.V., Nederlandene) – levering af transaktionelle e-mails og sms på vegne af registrerede virksomheder: aftalebekræftelser, påmindelser, tilbud om tidligere tider, login-koder til kundekonti i kundeportalen og meddelelser om besøg (udkørsel, forsinkelse, arbejdsrapport og link til bekræftelse); desuden afsendelse og modtagelse på disse virksomheders e-mail- og sms-kanaler, herunder sms på et dedikeret nummer ejet af Capwork (underdatabehandler)
• Google Workspace / Gmail (Google Ireland Limited) — afsendelse af Capworks egne e-mails: til registrerede brugere (f.eks. velkomst- og onboardingbeskeder samt begrundelser og meddelelser om begrænsninger af kundeportaler) og til personer, der anmelder ulovligt indhold (bekræftelse på modtagelsen og afgørelse); behandling inden for EU (databehandler)

Alle underdatabehandlere er opført i AVV og er bundet af databehandleraftaler i henhold til art. 28 GDPR. Den registrerede virksomhed (dataansvarlig) informeres om ændringer af underdatabehandlere og har ret til at gøre indsigelse. Vi sælger ikke dine personoplysninger til tredjeparter.

Nogle af vores underdatabehandlere driver servere uden for Det Europæiske Økonomiske Samarbejdsområde (EØS). Når data overføres til tredjelande (f.eks. USA), sikrer vi passende garantier, herunder EU-standardkontraktbestemmelser (SCCs) og tilstrækkelighedsafgørelser fra Europa-Kommissionen.

Google LLC og Twilio Inc. deltager i EU-U.S. Data Privacy Framework og leverer et tilstrækkeligt databeskyttelsesniveau som anerkendt af Europa-Kommissionen. Overførselsmekanismer er dokumenteret i AVV.

Uden dit samtykke anvender Capwork-platformen udelukkende strengt nødvendige cookies til autentifikation, sprogindstillinger og visningsindstillinger, som du selv foretager. I din browsers lokale lagring gemmer vi desuden strengt nødvendige oplysninger, f.eks. login til kundekontoen i en virksomheds kundeportal (i op til 30 dage eller indtil du logger ud), farvetemaet og dit valg i cookiebanneret. Mens du registrerer dig, gemmes de hidtil indtastede oplysninger desuden der i op til syv dage (aldrig adgangskoden), så en ufærdig registrering kan fortsættes. Der anvendes ingen tracking-, analyse- eller reklamecookies, med én undtagelse: På vores egne informationssider kan du give samtykke til måling af vores Google-reklame (sidste stykke i dette afsnit). Nærmere oplysninger findes i vores cookiepolitik.

Du kan administrere cookie-indstillinger i din browser. Deaktivering af nødvendige cookies kan påvirke platformens funktionalitet.

Vi måler brugen af vores hjemmeside og platform med et privatlivsvenligt, selvhostet statistiksystem, der fungerer uden cookies og uden at gemme noget på din enhed. Vores servere gemmer kun aggregerede optællinger: daglige totaler (f.eks. sidevisninger pr. side) og — i 100 dage — antallet af sidevisninger og nyoptalte besøgende pr. 15-minutters interval af døgnet; der oprettes ingen brugerprofiler, og der deles ingen data med tredjeparter. For at tælle unikke besøgende omdannes IP-adressen og browserkendingen til en anonym identifikator ved hjælp af en nøgle, der skifter dagligt; selve IP-adressen gemmes aldrig, og identifikatoren slettes inden for 48 timer og kan ikke kobles på tværs af dage. Al behandling foregår udelukkende på vores servere i EU (europe-west1). Retsgrundlag: vores legitime interesse i at forstå og forbedre vores tjenester (art. 6, stk. 1, litra f i GDPR). Vi respekterer browsersignalerne “Do Not Track” og “Global Privacy Control” — hvis et af dem er aktiveret, indsamles der ingen statistik. Derudover tæller vi på samme måde brugen af enkelte funktioner (f.eks. hvor ofte en bestemt knap bruges) samt grove besøgstal (antallet af sider, der ses pr. besøg, og den omtrentlige besøgsvarighed). Disse værdier gemmes ligeledes kun som aggregerede daglige optællinger uden personhenføring, og der gemmes eller læses fortsat intet på din enhed til dette formål.

På vores offentlige informationssider på www.capwork.io (f.eks. forsiden, priser, løsninger, eksempelvirksomheden, de juridiske tekster og den registrering, der tilbydes dér) anvender vi konverteringssporing i Google Ads fra Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) — kun hvis du giver samtykke i cookiebanneret. Formålet er at fastslå, om en registrering hos Capwork stammer fra et klik på en af vores annoncer hos Google; personaliseret reklame og remarketing bruger vi ikke. Efter dit samtykke indlæser din browser Google-tagget; Google behandler i den forbindelse din IP-adresse, browser- og enhedsoplysninger, den besøgte side, tidspunktet og en annonces klik-id og gemmer cookies som “_gcl_au” og “_gcl_aw” (i op til 90 dage). En gennemført registrering meldes til Google uden navn, e-mailadresse eller virksomhedsoplysninger. Retsgrundlaget er dit samtykke (art. 6, stk. 1, litra a i GDPR, § 165, stk. 3, TKG 2021). Google behandler dataene som selvstændig dataansvarlig og kan overføre dem til USA; Google LLC er certificeret under EU-U.S. Data Privacy Framework. Uden dit samtykke indlæses Google-tagget ikke. Du kan til enhver tid trække dit samtykke tilbage med virkning for fremtiden via “Cookie-indstillinger” i sidefoden på vores forside eller i vores cookiepolitik; vi sletter derefter Google Ads-cookies på capwork.io. Dit valg gemmer vi i din browsers lokale lagring, og efter tolv måneder spørger vi igen. For at dokumentere dit samtykke gemmer vi desuden hvert valg i cookiebanneret i tre år på vores servere i EU — med et tilfældigt genereret samtykke-ID, valget og det erstattede valg, bannerversionen, sproget og tidspunktet, men uden din IP-adresse; retsgrundlaget er art. 6, stk. 1, litra c, jf. art. 7, stk. 1, i GDPR. Banneret viser dig dit samtykke-ID under “Cookie-indstillinger”.

Capwork-platformen anvender AI-tjenester via Google Vertex AI til funktioner som automatiseret generering af virksomhedsdata, business insights-rapporter, scanning af køretøjsdokumenter og bilag, feedbackanalyse, analyse af ordreforespørgsler og beskeder, forslag og svarudkast, automatisk oversættelse af indhold samt generering af billedforslag til ydelser og produkter. Hertil anvendes både Googles egne modeller (f.eks. Gemini) og partnermodeller, der stilles til rådighed via Vertex Model Garden (f.eks. Anthropic Claude); i begge tilfælde udføres inferens udelukkende af Google Cloud i EU. Google Vertex AI fungerer som underdatabehandler i henhold til bestemmelserne i AVV'en.

For så vidt en virksomhed bruger arbejdsdokumentationen, kan dens medarbejdere diktere noter: Google Vertex AI (Gemini) transskriberer optagelsen i EU og udarbejder på grundlag heraf et udkast til rapportteksten. Capwork gemmer hverken optagelsen eller transskriptionen (se afsnit 11b).

Data, der sendes til AI-tjenester, behandles udelukkende under Google Clouds Enterprise-databehandlingsvilkår og med regionfastlåsning til EU. Personoplysninger, der sendes til AI-tjenester, anvendes ikke til at træne, forbedre eller udvikle AI-modeller. Dette er kontraktligt garanteret gennem Google Clouds databehandlingstillæg.

AI-genereret indhold – f.eks. analyser, forslag, svarudkast, data udtrukket fra dokumenter, automatiske oversættelser og AI-genererede billeder – mærkes som AI-genereret i platformens brugergrænseflade og i kundeportalen i overensstemmelse med EU AI Act (art. 50). Beskeder til kunder, som en person gennemgår på grundlag af et AI-udkast og selv sender, mærkes ikke særskilt hos modtageren, da de sendes under menneskelig kontrol og redaktionelt ansvar; AI-genererede beskeder sendes ikke automatisk. Der træffes ingen automatiserede beslutninger med juridiske eller tilsvarende væsentlige virkninger uden menneskelig kontrol.

Du kan anmode om menneskelig gennemgang af enhver AI-genereret beslutning, der påvirker dig væsentligt, ved at kontakte os på office@capwork.io.

Capwork e.U. implementerer passende tekniske og organisatoriske foranstaltninger i henhold til art. 32 GDPR for at sikre et sikkerhedsniveau, der er passende i forhold til risikoen. Disse foranstaltninger omfatter:

• Kryptering af data i hvile og under overførsel (TLS 1.2+, AES-256)
• Adgangskontrol og rollebaseret autorisation (RBAC) med Firebase Authentication
• Infrastruktur hostet på Google Cloud Platform inden for EU (region europe-west1)
• Regelmæssige sikkerhedsvurderinger, inputvalidering (Zod-skemaer) og hastighedsbegrænsning
• Logning og revisionsspor for dataadgang og ændringer
• Prompt injection-forebyggelse og AI-sikkerhedsforanstaltninger for alle AI-behandlede data

En detaljeret beskrivelse af TOMs er vedlagt databehandleraftalen (AVV) og er tilgængelig efter anmodning.

I henhold til GDPR har du følgende rettigheder vedrørende dine personoplysninger:

• Ret til indsigt (art. 15 GDPR): Du kan anmode om oplysninger om, hvilke personoplysninger vi har registreret om dig.
• Ret til berigtigelse (art. 16 GDPR): Du kan anmode om berigtigelse af urigtige oplysninger.
• Ret til sletning (art. 17 GDPR): Du kan anmode om sletning af dine oplysninger med forbehold for lovbestemte opbevaringspligter.
• Ret til begrænsning af behandling (art. 18 GDPR): Du kan under visse betingelser anmode om, at behandlingen begrænses.
• Ret til dataportabilitet (art. 20 GDPR): Du kan anmode om at få udleveret dine oplysninger i et struktureret, maskinlæsbart format.
• Ret til indsigelse (art. 21 GDPR): Du kan til enhver tid gøre indsigelse mod behandling på grundlag af legitime interesser.

For at udøve dine rettigheder kan du kontakte os på office@capwork.io. Vi svarer inden for en måned som krævet i art. 12 GDPR. Slutkunder af registrerede virksomheder bør først kontakte den pågældende virksomhed (dataansvarlig) for at udøve deres rettigheder.

For at beskytte dine data mod uautoriseret adgang verificerer vi identiteten på enhver, der indsender en anmodning om udøvelse af rettigheder. Anmodninger indsendt fra en indlogget konto behandles som verificerede. Anmodninger indsendt via e-mail bekræftes via et link sendt til den e-mailadresse, der er registreret på kontoen. Ved rimelig tvivl om identiteten (art. 12, stk. 6 GDPR) kan vi anmode om yderligere identitetsbevis — såsom en kopi af et offentligt udstedt billed-ID — som vi sletter, når verifikationen er afsluttet. Fuldstændig sletning af en virksomhedskonto kan kun anmodes af kontoejeren eller en autoriseret administrator; individuelle brugere kan kun udøve rettigheder vedrørende deres egne personoplysninger.

Hvis du mener, at behandlingen af dine personoplysninger er i strid med databeskyttelseslovgivningen, har du ret til at indgive en klage til den østrigske databeskyttelsesmyndighed (Österreichische Datenschutzbehörde):

Vi forbeholder os ret til at opdatere denne Privatlivspolitik for at afspejle ændringer i vores databehandlingspraksis eller retlige krav. Væsentlige ændringer meddeles registrerede brugere via e-mail. Den aktuelle version er altid tilgængelig på denne side.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io