Política de privacidad

El responsable del tratamiento de los datos en el sentido del Reglamento General de Protección de Datos (RGPD) y de la Ley austriaca de protección de datos (DSG) es:

La plataforma Capwork se opera como servicio B2B. En función del contexto, distintas partes asumen distintos roles en materia de protección de datos conforme al RGPD:

• Interesado (Betroffene Person): el cliente final o persona física cuyos datos personales se tratan (p. ej., una persona que reserva una cita o envía una consulta).
• Responsable del tratamiento (Verantwortlicher): la empresa registrada que utiliza la plataforma Capwork. El responsable del tratamiento determina los fines y los medios del tratamiento de los datos y es responsable del cumplimiento del RGPD frente a sus clientes finales.
• Encargado del tratamiento (Auftragsverarbeiter): Capwork e.U. opera la plataforma Capwork como encargado del tratamiento por cuenta de la empresa registrada y trata los datos personales exclusivamente siguiendo las instrucciones del responsable del tratamiento y el contrato de encargo del tratamiento.

Capwork e.U. solo es responsable del tratamiento respecto de los datos tratados para sus propios fines (p. ej., gestión de cuentas de la plataforma, facturación, seguridad de la plataforma y contacto con empresas por carta conforme a la sección 11a). Respecto de todos los datos de clientes finales introducidos por las empresas registradas (p. ej., datos de reserva, comunicaciones con clientes, documentos cargados), la empresa registrada es el responsable del tratamiento y Capwork e.U. actúa exclusivamente como encargado del tratamiento conforme al art. 28 RGPD.

Recopilamos y tratamos las siguientes categorías de datos personales:

• Datos de la cuenta: dirección de correo electrónico, contraseña (con hash), nombre de la empresa, ubicación
• Datos de contacto y de la reserva: nombre, número de teléfono, dirección de correo electrónico y una nota opcional para la empresa (al reservar citas)
• Datos de pago: nombre del titular de la tarjeta, cuatro últimos dígitos del número de tarjeta (únicamente a efectos de verificación de identidad)
• Datos de uso: historial de reservas, interacciones con el calendario, configuraciones de los módulos, datos de registro
• Datos técnicos: dirección IP, tipo de navegador, información del dispositivo, marcas de tiempo de acceso
• Datos de clientes finales: todos los datos personales que las empresas registradas introducen en la plataforma por cuenta de sus clientes (p. ej., datos de reservas, información de contacto, datos de pedidos, comunicaciones)
• Datos de empresa publicados: la información que una empresa registrada hace públicamente accesible tras activar su portal de clientes (denominación, descripción y sector, dirección, número de teléfono, sitio web, horario de apertura, servicios y precios), los datos relativos a su identidad que se muestran en las reservas y ofertas (nombre o razón social, dirección, datos de contacto y, en su caso, número de identificación a efectos del IVA), así como los datos de su página de aviso legal en el portal de clientes (además, por ejemplo, datos del registro mercantil, autoridad de supervisión, cámara y normas profesionales, objeto social y el enlace a su política de privacidad)
• Notificaciones conforme al Reglamento de Servicios Digitales: nombre y dirección de correo electrónico del notificante (facultativos en las notificaciones relativas a material de abuso sexual infantil), la dirección notificada y, en su caso, el contenido señalado, la categoría y la justificación de la notificación, el idioma, el estado de tramitación y la decisión; además, para limitar el uso abusivo del formulario de notificación, la dirección IP y la dirección de correo electrónico en forma de hash como clave de un contador
• Documentación de intervenciones, en la medida en que una empresa registrada la utilice: tiempos de trabajo, de pausa y de desplazamiento, estado de las intervenciones, material utilizado, notas y fotos de sus empleados, así como fotos, notas del lugar, firmas e informes de trabajo relativos a sus clientes finales (detalles en la sección 11b)

Tratamos los datos personales sobre las siguientes bases jurídicas conforme al art. 6 RGPD:

• Art. 6.1.a RGPD — Consentimiento: cuando usted haya otorgado un consentimiento explícito para actividades de tratamiento concretas.
• Art. 6.1.b RGPD — Contrato: tratamiento necesario para la ejecución de nuestro contrato de servicios con usted o para la aplicación, a petición suya, de medidas precontractuales (p. ej., la creación de su cuenta y la confirmación de su dirección de correo electrónico durante el registro).
• Art. 6.1.c RGPD — Obligación legal: tratamiento necesario para cumplir con las obligaciones de conservación previstas por la legislación fiscal y mercantil austriaca.
• Art. 6.1.f RGPD — Intereses legítimos: tratamiento con fines de prevención del fraude, seguridad de la plataforma y mejora del servicio, siempre que nuestros intereses no prevalezcan sobre sus derechos.

Respecto de los datos de clientes finales tratados por cuenta de empresas registradas, la base jurídica la determina la empresa correspondiente (responsable del tratamiento) y queda documentada en su propia política de privacidad.

El portal público de clientes está desactivado por defecto. Los datos de empresa que allí se muestran se publican exclusivamente por iniciativa de la empresa registrada, que debe activar expresamente el portal a tal efecto (§ 4 de las condiciones); la base jurídica es el art. 6.1.b) RGPD. La empresa determina por sí misma qué datos se muestran y puede limitar la publicación en cualquier momento o ponerle fin por completo desactivando el portal.

Tratamos las notificaciones de contenidos ilícitos conforme al Reglamento de Servicios Digitales, las decisiones al respecto y la información a las partes implicadas para cumplir nuestras obligaciones legales derivadas de los arts. 16 a 18 DSA (art. 6.1.c RGPD). La limitación del número de notificaciones por dirección IP y dirección de correo electrónico se basa en nuestro interés legítimo en un procedimiento de notificación que funcione y esté protegido frente a abusos (art. 6.1.f RGPD). No comunicamos la identidad del notificante a la empresa afectada.

Sus datos personales se tratan con las siguientes finalidades:

• Prestación y operación de la plataforma Capwork y sus módulos (citas, pedidos, gestión de equipos, flota, inventario, finanzas)
• Creación de cuentas de usuario, autenticación y gestión de accesos
• Gestión de reservas, pedidos y comunicaciones con los clientes por cuenta de las empresas registradas
• Documentación de las intervenciones en las instalaciones de los clientes finales, de su aceptación y de los tiempos de trabajo empleados en ellas, por cuenta de empresas registradas, siempre que estas utilicen la documentación de intervenciones (véase la sección 11b)
• Funciones basadas en IA: generación de datos de empresa, business insights, escaneo de documentos y análisis de opiniones
• Prevención del fraude, verificación de identidad y seguridad de la plataforma
• Explotación del portal público de clientes de una empresa registrada, siempre que esta lo haya activado
• Tramitación de notificaciones de contenidos ilícitos en portales de clientes, decisión sobre medidas e información a las partes implicadas conforme al Reglamento de Servicios Digitales
• Medición para determinar si los registros proceden de nuestros anuncios en Google — solo con su consentimiento (véase la sección 10)
• Atención al cliente y soporte: respuesta a sus consultas y comentarios y ayuda con la configuración y el uso de la plataforma — también por iniciativa nuestra, mediante mensajes al titular de la cuenta en el área de comentarios de la plataforma (art. 6.1.b RGPD). Por esta vía no enviamos contenido publicitario.

Dado que Capwork e.U. actúa como encargado del tratamiento para las empresas registradas, se celebra con cada empresa registrada, en el marco del proceso de alta, un contrato de encargo del tratamiento (Auftragsverarbeitungsvertrag, AVV) conforme al art. 28 RGPD.

El contrato de encargo del tratamiento regula:

• El objeto, la duración, la naturaleza y la finalidad del tratamiento de los datos
• Los tipos de datos personales tratados y las categorías de interesados
• Las obligaciones y los derechos del responsable del tratamiento (empresa registrada)
• Las medidas técnicas y organizativas (TOMs) para garantizar la seguridad de los datos (véase la sección 12)
• El recurso a subencargados y su autorización (véase la sección 8)
• Las obligaciones de supresión o devolución de datos al finalizar el contrato

La empresa registrada (responsable del tratamiento) puede solicitar en cualquier momento una copia del contrato de encargo del tratamiento escribiendo a office@capwork.io.

Los datos personales se conservan únicamente durante el tiempo necesario para cumplir las finalidades descritas anteriormente o durante el tiempo que exija la ley. La legislación mercantil y fiscal austriaca (BAO, UGB) puede exigir la conservación de determinados datos durante un plazo de hasta 7 años.

Tras la resolución de la cuenta, sus datos personales se suprimirán en un plazo de 30 días, salvo que la ley imponga una conservación más prolongada. Los datos de clientes finales tratados por cuenta de empresas registradas se suprimirán o devolverán de conformidad con el contrato de encargo del tratamiento (AVV). Si durante el registro no confirma su dirección de correo electrónico y no se crea ninguna empresa, suprimimos la cuenta 30 días después del registro o, si es posterior, después de su último inicio de sesión.

Bird, el proveedor que entrega los correos y SMS transaccionales a los clientes finales de las empresas registradas (p. ej. confirmaciones de cita, recordatorios y códigos de inicio de sesión para el portal de clientes), conserva el contenido de los mensajes y los datos de tráfico para la entrega y la prevención de abusos: SMS hasta 6 meses, correos 72 horas. Los propios subencargados de Bird incluyen proveedores fuera del EEE, cubiertos por las cláusulas contractuales tipo de la UE.

Suprimimos las notificaciones conforme al Reglamento de Servicios Digitales y los registros sobre restricciones de portales de clientes siete años después de la decisión o del levantamiento o la expiración de la restricción; hasta entonces los conservamos para documentar nuestras decisiones y defendernos frente a reclamaciones (art. 6.1.f RGPD). Las notificaciones aún no resueltas se conservan hasta la decisión. Los contadores con los que limitamos el número de solicitudes se suprimen automáticamente una vez transcurrida su ventana temporal.

Sus datos pueden comunicarse a las siguientes categorías de destinatarios, que actúan como subencargados conforme al art. 28 RGPD:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infraestructura y almacenamiento de datos (región UE: europe-west1)
• Google Vertex AI (modelos de Google como Gemini, así como modelos de socios del Vertex Model Garden, p. ej. Anthropic Claude; la inferencia se realiza íntegramente por Google Cloud en la UE) — funciones basadas en IA como generación de datos de empresa, insights, escaneo de documentos, procesamiento de facturas y análisis de solicitudes de pedido (subencargado del tratamiento)
• Twilio — envío de notificaciones por SMS y WhatsApp (subencargado)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — búsqueda de direcciones, visualización de mapas y distancias; se carga también en la página pública de registro, transmitiéndose su dirección IP a Google, así como al abrir una intervención en la vista de intervenciones («Mis intervenciones»), que muestra de inmediato el mapa del lugar de la intervención
• Stripe Payments Europe, Ltd. — procesamiento de pagos y facturación (subencargado del tratamiento)
• Bird (Bird B.V., Países Bajos) – envío de correos electrónicos y SMS transaccionales en nombre de las empresas registradas: confirmaciones de cita, recordatorios, ofertas de horarios más tempranos, códigos de inicio de sesión para cuentas de cliente en el portal de clientes y notificaciones sobre intervenciones (desplazamiento, retraso, informe de trabajo y enlace de confirmación); además, envío y recepción a través de los canales de correo electrónico y SMS de dichas empresas, incluidos los SMS mediante un número dedicado mantenido por Capwork (subencargado)
• Google Workspace / Gmail (Google Ireland Limited) — envío de los correos propios de Capwork: a usuarios registrados (p. ej. mensajes de bienvenida y de incorporación, así como declaraciones de motivos y comunicaciones relativas a restricciones de portales de clientes) y a personas que notifican contenidos ilícitos (acuse de recibo y decisión); tratamiento dentro de la UE (encargado del tratamiento)

Todos los subencargados figuran en el AVV y están vinculados por contratos de encargo del tratamiento conforme al art. 28 RGPD. La empresa registrada (responsable del tratamiento) es informada de cualquier cambio en los subencargados y dispone de un derecho de oposición. No vendemos sus datos personales a terceros.

Algunos de nuestros subencargados operan servidores fuera del Espacio Económico Europeo (EEE). Cuando los datos se transfieren a terceros países (p. ej., Estados Unidos), garantizamos la aplicación de garantías adecuadas, incluidas las cláusulas contractuales tipo (CCT) de la UE y las decisiones de adecuación de la Comisión Europea.

Google LLC y Twilio Inc. participan en el EU-U.S. Data Privacy Framework, ofreciendo un nivel de protección de datos adecuado reconocido por la Comisión Europea. Los mecanismos de transferencia están documentados en el AVV.

Sin su consentimiento, la plataforma Capwork utiliza exclusivamente cookies estrictamente necesarias para la autenticación, las preferencias de idioma y los ajustes de visualización que usted mismo realiza. Además, en el almacenamiento local de su navegador guardamos información estrictamente necesaria, como el inicio de sesión en la cuenta de cliente en el portal de clientes de una empresa (hasta 30 días o hasta que cierre la sesión), el modo de color y su elección en el banner de cookies. Mientras se registra, también se guardan allí durante un máximo de siete días los datos introducidos hasta el momento (nunca la contraseña), para que pueda continuarse un registro sin terminar. No se utilizan cookies de seguimiento, analíticas ni publicitarias, con una excepción: en nuestras propias páginas informativas puede dar su consentimiento a la medición de nuestra publicidad en Google (último párrafo de esta sección). Encontrará más detalles en nuestra Política de cookies.

Puede gestionar la configuración de cookies en su navegador. La desactivación de las cookies necesarias puede afectar al funcionamiento de la plataforma.

Medimos el uso de nuestro sitio web y de nuestra plataforma con un sistema de estadísticas propio y respetuoso con la privacidad, que funciona sin cookies y sin almacenar nada en su dispositivo. Nuestros servidores solo conservan recuentos agregados: totales diarios (p. ej., páginas vistas por página) y, durante 100 días, el número de páginas vistas y de visitantes recién contabilizados por cada intervalo de 15 minutos del día; no se crean perfiles de usuario ni se comparten datos con terceros. Para contar visitantes únicos, la dirección IP y el identificador del navegador se combinan en un identificador anónimo mediante una clave que cambia cada día; la dirección IP nunca se almacena, y el identificador se elimina en un plazo de 48 horas y no puede vincularse entre días. Todo el tratamiento se realiza exclusivamente en nuestros servidores en la UE (europe-west1). Base jurídica: nuestro interés legítimo en comprender y mejorar nuestros servicios (art. 6, apdo. 1, letra f del RGPD). Respetamos las señales del navegador «Do Not Track» y «Global Privacy Control»: si alguna está activada, no se recopila ninguna estadística. Además, contamos del mismo modo el uso de funciones concretas (por ejemplo, con qué frecuencia se pulsa un botón determinado), así como métricas de visita aproximadas (el número de páginas vistas por visita y la duración aproximada de la visita). Estos valores también se almacenan únicamente como recuentos diarios agregados sin referencia personal, y para ello no se sigue almacenando ni leyendo nada en su dispositivo.

En nuestras páginas informativas públicas en www.capwork.io (p. ej., página de inicio, precios, soluciones, empresa de ejemplo, textos legales y el registro que allí se ofrece) utilizamos el seguimiento de conversiones de Google Ads de Google Ireland Limited (Gordon House, Barrow Street, Dublín 4, Irlanda), solo si usted da su conformidad en el banner de cookies. La finalidad es determinar si un registro en Capwork procede de un clic en uno de nuestros anuncios en Google; no utilizamos publicidad personalizada ni remarketing. Tras su aceptación, su navegador carga la etiqueta de Google; Google trata su dirección IP, información del navegador y del dispositivo, la página visitada, la fecha y hora y el identificador de clic de un anuncio, y almacena cookies como «_gcl_au» y «_gcl_aw» (hasta 90 días). Un registro completado se comunica a Google sin nombre, dirección de correo electrónico ni datos de la empresa. La base jurídica es su consentimiento (art. 6, apdo. 1, letra a del RGPD y § 165, apdo. 3, TKG 2021). Google trata los datos como responsable del tratamiento independiente y puede transferirlos a Estados Unidos; Google LLC está certificada conforme al EU-U.S. Data Privacy Framework. Sin su consentimiento, la etiqueta de Google no se carga. Puede retirar su consentimiento en cualquier momento con efectos para el futuro a través de «Configuración de cookies» en el pie de página de nuestra página de inicio o en nuestra Política de cookies; en ese caso, eliminamos las cookies de Google Ads en capwork.io. Guardamos su elección en el almacenamiento local de su navegador y volvemos a preguntarle transcurridos doce meses. Para demostrar su consentimiento, almacenamos además cada elección realizada en el banner de cookies durante tres años en nuestros servidores en la UE, con un identificador de consentimiento generado aleatoriamente, la elección y la elección sustituida, la versión del banner, el idioma y la fecha y hora, pero sin su dirección IP; la base jurídica es el art. 6, apdo. 1, letra c, en relación con el art. 7, apdo. 1, del RGPD. El banner le muestra el identificador de consentimiento en «Configuración de cookies».

La plataforma Capwork utiliza servicios de IA a través de Google Vertex AI para funciones como la generación automática de datos de empresa, informes de business insights, escaneo de documentos de vehículos y de recibos, análisis de comentarios, análisis de solicitudes de pedido y de mensajes, sugerencias y borradores de respuesta, la traducción automática de contenidos y la generación de propuestas de imágenes para servicios y productos. Para ello se emplean tanto modelos propios de Google (p. ej. Gemini) como modelos de socios proporcionados a través del Vertex Model Garden (p. ej. Anthropic Claude); en ambos casos la inferencia se realiza íntegramente por Google Cloud en la UE. Google Vertex AI actúa como subencargado del tratamiento conforme a las disposiciones del AVV.

En la medida en que una empresa utilice la documentación de intervenciones, sus empleados pueden dictar notas: Google Vertex AI (Gemini) transcribe la grabación en la UE y elabora a partir de ella un borrador del texto del informe. Capwork no almacena ni la grabación ni la transcripción (véase la sección 11b).

Los datos enviados a los servicios de IA se tratan exclusivamente conforme a las condiciones Enterprise de tratamiento de datos de Google Cloud y con fijación de región a la UE. Los datos personales transmitidos a los servicios de IA no se utilizan para entrenar, mejorar o desarrollar modelos de IA. Esto se garantiza contractualmente mediante el anexo de tratamiento de datos de Google Cloud.

Los contenidos generados por IA —como análisis, sugerencias, borradores de respuesta, datos extraídos de documentos, traducciones automáticas e imágenes generadas por IA— se identifican como generados por IA en la interfaz de usuario de la plataforma y en el portal de clientes de conformidad con el Reglamento de IA de la UE (art. 50). Los mensajes a clientes que una persona revisa sobre la base de un borrador de IA y envía ella misma no se identifican por separado ante el destinatario, ya que se envían bajo control humano y responsabilidad editorial; los mensajes generados por IA no se envían automáticamente. No se adoptan decisiones automatizadas con efectos jurídicos o similarmente significativos sin supervisión humana.

Puede solicitar la revisión humana de cualquier decisión generada por IA que le afecte significativamente dirigiéndose a office@capwork.io.

Capwork e.U. implanta medidas técnicas y organizativas adecuadas conforme al art. 32 RGPD para garantizar un nivel de seguridad adecuado al riesgo. Estas medidas incluyen:

• Cifrado de los datos en reposo y en tránsito (TLS 1.2+, AES-256)
• Controles de acceso y autorización basada en roles (RBAC) con Firebase Authentication
• Alojamiento de la infraestructura en Google Cloud Platform dentro de la UE (región europe-west1)
• Revisiones periódicas de seguridad, validación de entradas (esquemas Zod) y limitación de tasa
• Registro y pistas de auditoría de los accesos y modificaciones de datos
• Prevención de inyecciones de prompt y medidas de seguridad de IA para todos los datos procesados por IA

Una descripción detallada de las TOMs figura como anexo del contrato de encargo del tratamiento (AVV) y está disponible previa solicitud.

Conforme al RGPD, le asisten los siguientes derechos respecto de sus datos personales:

• Derecho de acceso (art. 15 RGPD): puede solicitar información sobre qué datos personales conservamos sobre usted.
• Derecho de rectificación (art. 16 RGPD): puede solicitar la rectificación de datos inexactos.
• Derecho de supresión (art. 17 RGPD): puede solicitar la supresión de sus datos, con sujeción a las obligaciones legales de conservación.
• Derecho a la limitación del tratamiento (art. 18 RGPD): puede solicitar, bajo ciertas condiciones, la limitación del tratamiento.
• Derecho a la portabilidad de los datos (art. 20 RGPD): puede solicitar sus datos en un formato estructurado y legible por máquina.
• Derecho de oposición (art. 21 RGPD): puede oponerse en cualquier momento al tratamiento basado en intereses legítimos.

Para ejercer sus derechos, póngase en contacto con nosotros en office@capwork.io. Responderemos en el plazo de un mes, conforme al art. 12 RGPD. Los clientes finales de empresas registradas deberán dirigirse en primer lugar a la empresa correspondiente (responsable del tratamiento) para ejercer sus derechos.

Con el fin de proteger sus datos frente a accesos no autorizados, verificamos la identidad de toda persona que presente una solicitud de ejercicio de derechos. Las solicitudes realizadas desde una cuenta con sesión iniciada las consideramos verificadas. Las solicitudes recibidas por correo electrónico se confirman mediante un enlace enviado a la dirección de correo electrónico registrada en la cuenta. En caso de duda razonable sobre la identidad (art. 12, apartado 6 RGPD), podemos solicitar justificantes de identidad adicionales —por ejemplo, la copia de un documento oficial de identidad con fotografía—, que eliminaremos una vez concluida la verificación. La supresión completa de una cuenta de empresa solo puede ser solicitada por el titular de la cuenta o por una persona administrativa autorizada; los usuarios individuales solo pueden ejercer sus derechos respecto de sus propios datos personales.

Si considera que el tratamiento de sus datos personales infringe la normativa de protección de datos, tiene derecho a presentar una reclamación ante la Autoridad austriaca de protección de datos:

Nos reservamos el derecho a actualizar esta Política de privacidad para reflejar los cambios en nuestras prácticas de tratamiento de datos o en los requisitos legales. Los cambios sustanciales se comunicarán por correo electrónico a los usuarios registrados. La versión vigente está disponible en todo momento en esta página.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

Correo electrónico: office@capwork.io