Privaatsuspoliitika

Andmete töötlemise eest vastutav töötleja isikuandmete kaitse üldmääruse (GDPR) ja Austria andmekaitseseaduse (DSG) tähenduses on:

Capwork platvorm töötab B2B-teenusena. Sõltuvalt kontekstist võtavad erinevad pooled GDPR alusel erinevaid andmekaitsealaseid rolle:

• Andmesubjekt (Betroffene Person): lõppklient või füüsiline isik, kelle isikuandmeid töödeldakse (nt isik, kes broneerib aja või esitab päringu).
• Vastutav töötleja (Verantwortlicher): registreeritud ettevõte, kes kasutab Capwork platvormi. Vastutav töötleja määrab andmete töötlemise eesmärgid ja vahendid ning vastutab GDPR-i järgimise eest oma lõppklientide ees.
• Volitatud töötleja (Auftragsverarbeiter): Capwork e.U. käitab Capwork platvormi volitatud töötlejana registreeritud ettevõtte nimel, töödeldes isikuandmeid üksnes vastavalt vastutava töötleja juhistele ja andmetöötluse lepingule.

Capwork e.U. on vastutav töötleja ainult nende andmete osas, mida töödeldakse omaenda eesmärkidel (nt platvormi kontohaldus, arveldamine, platvormi turvalisus). Kõikide registreeritud ettevõtete sisestatud lõppklientide andmete (nt broneeringu üksikasjad, klientidega suhtlemine, üleslaaditud dokumendid) osas on vastutav töötleja registreeritud ettevõte ning Capwork e.U. tegutseb üksnes volitatud töötlejana GDPR artikli 28 kohaselt.

Kogume ja töötleme järgmisi isikuandmete kategooriaid:

• Kontoandmed: e-posti aadress, parool (räsitud), ettevõtte nimi, asukoht
• Kontaktandmed: nimi, telefoninumber, e-posti aadress (aegade broneerimisel)
• Makseandmed: kaardiomaniku nimi, kaardi numbri viimased neli numbrit (üksnes isikusamasuse kontrolliks)
• Kasutusandmed: broneerimisajalugu, kalendri interaktsioonid, moodulite konfiguratsioonid, logiandmed
• Tehnilised andmed: IP-aadress, brauseri tüüp, seadme teave, juurdepääsu ajatemplid
• Lõppklientide andmed: kõik isikuandmed, mida registreeritud ettevõtted sisestavad platvormile oma klientide nimel (nt broneeringu üksikasjad, kontaktteave, tellimuste andmed, kommunikatsioon)

Töötleme isikuandmeid järgmistel GDPR artikli 6 kohastel õiguslikel alustel:

• GDPR art 6 lg 1 p a — Nõusolek: kui olete andnud sõnaselge nõusoleku konkreetseteks töötlemistoiminguteks.
• GDPR art 6 lg 1 p b — Leping: töötlemine, mis on vajalik meie teenuselepingu täitmiseks teiega.
• GDPR art 6 lg 1 p c — Juriidiline kohustus: töötlemine, mis on vajalik Austria maksu- ja kaubandusõiguse säilitamiskohustuste täitmiseks.
• GDPR art 6 lg 1 p f — Õigustatud huvi: töötlemine pettuste ennetamiseks, platvormi turvalisuse ja teenuse parandamise huvides, kui meie huvid ei kaalu üles teie õigusi.

Registreeritud ettevõtete nimel töödeldavate lõppklientide andmete õigusliku aluse määrab vastav ettevõte (vastutav töötleja) ja see on dokumenteeritud nende oma privaatsuspoliitikas.

Teie isikuandmeid töödeldakse järgmistel eesmärkidel:

• Capwork platvormi ja selle moodulite (ajad, tellimused, meeskonna haldus, sõidukipark, ladu, rahandus) pakkumine ja käitamine
• Kasutajakontode loomine, autentimine ja juurdepääsu haldus
• Broneeringute, tellimuste ja klientidega suhtlemise töötlemine registreeritud ettevõtete nimel
• AI-põhised funktsioonid: ettevõtteandmete loomine, ärianalüüs, dokumentide skannimine ja tagasiside analüüs
• Pettuste ennetamine, isikusamasuse kontroll ja platvormi turvalisus

Kuna Capwork e.U. tegutseb registreeritud ettevõtetele volitatud töötlejana (Auftragsverarbeiter), sõlmitakse iga registreeritud ettevõttega sisseelamise protsessi käigus GDPR artikli 28 kohane andmetöötluse leping (Auftragsverarbeitungsvertrag, AVV).

AVV reguleerib:

• Andmetöötluse objekti, kestust, laadi ja eesmärki
• Töödeldavate isikuandmete liike ja andmesubjektide kategooriaid
• Vastutava töötleja (registreeritud ettevõte) kohustusi ja õigusi
• Tehnilisi ja korralduslikke meetmeid (TOM) andmete turvalisuse tagamiseks (vt punkt 13)
• Volitatud alltöötlejate kasutamist ja nende kinnitamist (vt punkt 9)
• Kohustusi andmete kustutamiseks või tagastamiseks lepingu lõppemisel

Registreeritud ettevõte (vastutav töötleja) võib igal ajal taotleda AVV koopiat, pöördudes aadressil office@capwork.io.

Isikuandmeid säilitatakse ainult nii kaua, kui see on vajalik ülalkirjeldatud eesmärkide täitmiseks või nii kaua, kui seadus seda nõuab. Austria kaubandus- ja maksuõigus (BAO, UGB) võib nõuda teatud andmete säilitamist kuni 7 aastat.

Pärast konto lõpetamist kustutatakse teie isikuandmed 30 päeva jooksul, välja arvatud juhul, kui seadus nõuab pikemat säilitamist. Registreeritud ettevõtete nimel töödeldavad lõppklientide andmed kustutatakse või tagastatakse vastavalt AVV-le.

Teie andmeid võidakse jagada järgmistele vastuvõtjate kategooriatele, kes tegutsevad GDPR artikli 28 kohaste volitatud alltöötlejatena (Unterauftragsverarbeiter):

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — taristu ja andmete salvestamine (ELi piirkond: europe-west1)
• Google Vertex AI (Google mudelid nagu Gemini ning partnerite mudelid Vertex Model Gardenist, nt Anthropic Claude; järeldamine toimub täielikult Google Cloudi kaudu EL-is) — tehisintellektil põhinevad funktsioonid nagu ettevõtte andmete genereerimine, insights, dokumentide skaneerimine, arvete töötlemine ja tellimuspäringute analüüs (volitatud alltöötleja)
• Twilio — SMS- ja WhatsApp-teavituste edastamine (volitatud alltöötleja)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — aadressiotsing, kaartide ja vahemaade kuvamine; laaditakse ka avalikul registreerimislehel, kusjuures teie IP-aadress edastatakse Google'ile
• Stripe Payments Europe, Ltd. — maksete töötlemine ja arveldamine (volitatud alltöötleja)
• Bird (Bird B.V., Holland) – tehingu-e-kirjade saatmine (allvolitatud töötleja)
• Google Workspace / Gmail (Google Ireland Limited) — platvormi e-kirjade saatmine registreeritud kasutajatele (nt tervitus- ja sisseelamissõnumid); töötlemine ELi piires (volitatud töötleja)

Kõik volitatud alltöötlejad on loetletud AVV-s ja seotud GDPR artikli 28 kohaste andmetöötluslepingutega. Registreeritud ettevõtet (vastutavat töötlejat) teavitatakse volitatud alltöötlejate muudatustest ning tal on õigus esitada vastuväiteid. Me ei müü teie isikuandmeid kolmandatele isikutele.

Mõned meie volitatud alltöötlejad haldavad servereid väljaspool Euroopa Majanduspiirkonda (EMP). Kui andmeid edastatakse kolmandatesse riikidesse (nt USA-sse), tagame asjakohased kaitsemeetmed, sealhulgas ELi tüüplepingutingimused (SCC) ja Euroopa Komisjoni piisavusotsused.

Google LLC ja Twilio Inc. osalevad ELi-USA andmekaitseraamistikus (EU-U.S. Data Privacy Framework), tagades seeläbi Euroopa Komisjoni poolt tunnustatud piisava andmekaitsetaseme. Edastamismehhanismid on dokumenteeritud AVV-s.

Capwork platvorm kasutab ainult tehniliselt vajalikke küpsiseid autentimiseks ja keeleeelistusteks. Jälgimis-, analüütika- ega reklaamiküpsiseid ei kasutata.

Küpsiste seadeid saate hallata oma brauseris. Vajalike küpsiste väljalülitamine võib mõjutada platvormi funktsionaalsust.

Mõõdame oma veebisaidi ja platvormi kasutamist privaatsussõbraliku, enda hallatava statistikasüsteemiga, mis töötab ilma küpsisteta ega salvesta teie seadmesse midagi. Meie serverid säilitavad ainult koondatud päevaseid loendusi (nt lehevaatamised lehe kohta); kasutajaprofiile ei looda ja andmeid kolmandate isikutega ei jagata. Unikaalsete külastajate loendamiseks teisendatakse IP-aadress ja brauseri identifikaator iga päev vahetuva võtme abil anonüümseks identifikaatoriks; IP-aadressi ennast ei salvestata kunagi ning identifikaator kustutatakse 48 tunni jooksul ja seda ei saa päevade vahel siduda. Kogu töötlemine toimub eranditult meie serverites EL-is (europe-west1). Õiguslik alus: meie õigustatud huvi mõista ja parandada oma teenuseid (isikuandmete kaitse üldmääruse art 6 lg 1 p f). Austame brauserisignaale „Do Not Track“ ja „Global Privacy Control“ — kui üks neist on sisse lülitatud, statistikat ei koguta. Lisaks loendame samal viisil üksikute funktsioonide kasutust (näiteks kui sageli teatud nuppu kasutatakse) ning ligikaudseid külastusnäitajaid (külastuse kohta vaadatud lehtede arv ja külastuse ligikaudne kestus). Ka need väärtused salvestatakse üksnes koondatud päevaloendustena ilma isikuviiteta ning selleks ei salvestata ega loeta teie seadmes jätkuvalt midagi.

Capworki platvorm kasutab tehisintellekti teenuseid Google Vertex AI kaudu selliste funktsioonide jaoks nagu ettevõtte andmete automaatne genereerimine, business insights aruanded, sõidukidokumentide skaneerimine, arvete töötlemine, tagasiside analüüs ja tellimuspäringute analüüs. Sealjuures kasutatakse nii Google enda mudeleid (nt Gemini) kui ka partnerite mudeleid, mida pakutakse Vertex Model Gardeni kaudu (nt Anthropic Claude); mõlemal juhul toimub järeldamine täielikult Google Cloudi kaudu EL-is. Google Vertex AI tegutseb volitatud alltöötlejana vastavalt AVV sätetele.

Tehisintellekti teenustele saadetavaid andmeid töödeldakse eranditult Google Cloudi Enterprise andmetöötlustingimuste alusel ja piirkonna kinnistamisega EL-i. Tehisintellekti teenustele edastatavaid isikuandmeid ei kasutata tehisintellekti mudelite treenimiseks, täiustamiseks ega arendamiseks. See on lepinguliselt tagatud Google Cloudi andmetöötluse lisaga.

Kogu AI loodud sisu on kasutajaliideses selgelt märgistatud kooskõlas ELi tehisintellekti määrusega (art 50). Inimese järelevalveta ei tehta automatiseeritud otsuseid, millel on õiguslikud või samalaadselt olulised tagajärjed.

Te võite taotleda iga teid oluliselt puudutava AI loodud otsuse inimlikku läbivaatamist, võttes meiega ühendust aadressil office@capwork.io.

Capwork e.U. rakendab GDPR artikli 32 kohaseid asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada riskile vastav turvalisuse tase. Need meetmed hõlmavad:

• Andmete krüpteerimine puhke- ja edastusolekus (TLS 1.2+, AES-256)
• Juurdepääsu kontroll ja rollipõhine volituste haldus (RBAC) Firebase Authenticationiga
• Taristu majutus Google Cloud Platformis ELi piires (europe-west1 piirkond)
• Regulaarsed turvaauditid, sisendvalideerimine (Zod skeemid) ja päringute kiiruse piiramine
• Logimine ja audititrükised andmetele juurdepääsu ja muudatuste kohta
• Prompt injection'i ärahoidmine ja AI turvameetmed kõigi AI-ga töödeldavate andmete puhul

TOM-i üksikasjalik kirjeldus on lisatud andmetöötluse lepingule (AVV) ning on saadaval nõudmisel.

GDPR alusel on teil seoses oma isikuandmetega järgmised õigused:

• Juurdepääsuõigus (GDPR art 15): võite küsida teavet selle kohta, milliseid teie isikuandmeid me säilitame.
• Parandamisõigus (GDPR art 16): võite taotleda ebaõigete andmete parandamist.
• Kustutamisõigus (GDPR art 17): võite taotleda oma andmete kustutamist, arvestades seadusest tulenevaid säilitamiskohustusi.
• Töötlemise piiramise õigus (GDPR art 18): teatud tingimustel võite taotleda töötlemise piiramist.
• Andmete ülekandmise õigus (GDPR art 20): võite küsida oma andmeid struktureeritud, masinloetavas vormingus.
• Vastuväite esitamise õigus (GDPR art 21): võite igal ajal esitada vastuväiteid õigustatud huvil põhineva töötlemise suhtes.

Oma õiguste teostamiseks võtke meiega ühendust aadressil office@capwork.io. Vastame ühe kuu jooksul vastavalt GDPR artiklile 12. Registreeritud ettevõtete lõppkliendid peaksid oma õiguste teostamiseks esmalt pöörduma vastava ettevõtte (vastutava töötleja) poole.

Kui leiate, et teie isikuandmete töötlemine rikub andmekaitseõigust, on teil õigus esitada kaebus Austria andmekaitseasutusele:

Jätame endale õiguse käesolevat privaatsuspoliitikat ajakohastada, et kajastada meie andmetöötluspraktika või õiguslike nõuete muudatusi. Olulistest muudatustest teavitatakse registreeritud kasutajaid e-posti teel. Ajakohane versioon on alati saadaval sellel lehel.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-post: office@capwork.io