Tietosuojakäytäntö

Rekisterinpitäjä, joka vastaa tietojen käsittelystä yleisen tietosuoja-asetuksen (GDPR) ja Itävallan tietosuojalain (DSG) tarkoituksessa, on:

Capwork-alusta toimii B2B-palveluna. Asiayhteydestä riippuen eri osapuolet ottavat GDPR:n mukaisia eri tietosuojarooleja:

• Rekisteröity (Betroffene Person): loppuasiakas tai henkilö, jonka henkilötietoja käsitellään (esim. ajanvarauksen tekijä tai kyselyn lähettäjä).
• Rekisterinpitäjä (Verantwortlicher): Capwork-alustaa käyttävä rekisteröitynyt yritys. Rekisterinpitäjä määrittelee tietojenkäsittelyn tarkoitukset ja keinot ja vastaa GDPR:n noudattamisesta suhteessa loppuasiakkaisiinsa.
• Käsittelijä (Auftragsverarbeiter): Capwork e.U. ylläpitää Capwork-alustaa käsittelijänä rekisteröityneen yrityksen lukuun ja käsittelee henkilötietoja yksinomaan rekisterinpitäjän ohjeiden ja tietojenkäsittelysopimuksen mukaisesti.

Capwork e.U. on rekisterinpitäjä vain omia tarkoituksiaan varten käsiteltäville tiedoille (esim. alustan käyttäjätilien hallinta, laskutus, alustan turvallisuus). Kaikkien rekisteröityneiden yritysten syöttämien loppuasiakastietojen osalta (esim. varauksen tiedot, asiakasviestintä, ladatut asiakirjat) rekisteröitynyt yritys on rekisterinpitäjä ja Capwork e.U. toimii yksinomaan käsittelijänä GDPR:n 28 artiklan mukaisesti.

Keräämme ja käsittelemme seuraavia henkilötietoluokkia:

• Tilitiedot: sähköpostiosoite, salasana (tiivistettynä), yrityksen nimi, sijainti
• Yhteystiedot: nimi, puhelinnumero, sähköpostiosoite (ajanvarausten yhteydessä)
• Maksutiedot: kortinhaltijan nimi, kortin numeron neljä viimeistä numeroa (vain henkilöllisyyden varmentamiseksi)
• Käyttötiedot: varaushistoria, kalenterivuorovaikutukset, moduulikonfiguraatiot, lokitiedot
• Tekniset tiedot: IP-osoite, selaimen tyyppi, laitetiedot, pääsyn aikaleimat
• Loppuasiakastiedot: kaikki henkilötiedot, jotka rekisteröityneet yritykset syöttävät alustalle asiakkaidensa puolesta (esim. varauksen tiedot, yhteystiedot, tilaustiedot, viestintä)

Käsittelemme henkilötietoja GDPR:n 6 artiklan mukaisesti seuraavilla oikeusperusteilla:

• GDPR 6 art. 1 kohta a alakohta — Suostumus: kun olet antanut nimenomaisen suostumuksen tiettyihin käsittelytoimiin.
• GDPR 6 art. 1 kohta b alakohta — Sopimus: käsittely, joka on tarpeen kanssasi tehdyn palvelusopimuksen täyttämiseksi.
• GDPR 6 art. 1 kohta c alakohta — Lakisääteinen velvoite: käsittely, joka on tarpeen Itävallan vero- ja kauppaoikeudellisten säilytysvelvoitteiden täyttämiseksi.
• GDPR 6 art. 1 kohta f alakohta — Oikeutetut edut: käsittely petosten estämiseksi, alustan turvallisuuden varmistamiseksi ja palvelun parantamiseksi, kun etumme eivät väisty oikeuksiesi tieltä.

Rekisteröityneiden yritysten puolesta käsiteltävien loppuasiakastietojen osalta oikeusperusteen määrittää kyseinen yritys (rekisterinpitäjä), ja se dokumentoidaan sen omassa tietosuojakäytännössä.

Henkilötietojasi käsitellään seuraaviin tarkoituksiin:

• Capwork-alustan ja sen moduulien (ajanvaraukset, tilaukset, tiimien hallinta, kalusto, varasto, talous) tarjoaminen ja ylläpito
• Käyttäjätilien luominen, todennus ja käyttöoikeuksien hallinta
• Varausten, tilausten ja asiakasviestinnän käsittely rekisteröityneiden yritysten puolesta
• Tekoälyä hyödyntävät ominaisuudet: yritystietojen luonti, liiketoimintanäkymät, asiakirjojen skannaus ja palautteen analysointi
• Petosten estäminen, henkilöllisyyden varmentaminen ja alustan turvallisuus

Koska Capwork e.U. toimii käsittelijänä (Auftragsverarbeiter) rekisteröityneille yrityksille, jokaisen rekisteröityneen yrityksen kanssa tehdään perehdyttämisprosessin aikana GDPR:n 28 artiklan mukainen tietojenkäsittelysopimus (Auftragsverarbeitungsvertrag, AVV).

AVV säätelee:

• Tietojenkäsittelyn kohdetta, kestoa, luonnetta ja tarkoitusta
• Käsiteltäviä henkilötietotyyppejä ja rekisteröityjen ryhmiä
• Rekisterinpitäjän (rekisteröitynyt yritys) velvollisuuksia ja oikeuksia
• Teknisiä ja organisatorisia toimenpiteitä (TOM) tietoturvan varmistamiseksi (ks. 13 kohta)
• Alikäsittelijöiden käyttöä ja valtuuttamista (ks. 9 kohta)
• Velvoitteita tietojen poistamisesta tai palauttamisesta sopimuksen päättyessä

Rekisteröitynyt yritys (rekisterinpitäjä) voi milloin tahansa pyytää kopion AVV:stä osoitteesta office@capwork.io.

Henkilötietoja säilytetään vain niin kauan kuin se on tarpeen edellä kuvattujen tarkoitusten toteuttamiseksi tai kuten laki edellyttää. Itävallan kauppa- ja vero-oikeus (BAO, UGB) voi edellyttää tiettyjen tietojen säilyttämistä jopa 7 vuotta.

Tilin päättymisen jälkeen henkilötietosi poistetaan 30 päivän kuluessa, jollei laki edellytä pidempää säilyttämistä. Rekisteröityneiden yritysten puolesta käsiteltävät loppuasiakastiedot poistetaan tai palautetaan AVV:n mukaisesti.

Tietojasi voidaan jakaa seuraaville vastaanottajaryhmille, jotka toimivat alikäsittelijöinä (Unterauftragsverarbeiter) GDPR:n 28 artiklan mukaisesti:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktuuri ja tietojen tallennus (EU-alue: europe-west1)
• Google Vertex AI (Google-mallit kuten Gemini sekä Vertex Model Gardenin kumppanimallit, esim. Anthropic Claude; päättely tapahtuu kokonaan Google Cloudissa EU:ssa) — tekoälyä hyödyntävät ominaisuudet, kuten yritystietojen luonti, näkymät, asiakirjojen skannaus, laskujen käsittely ja tilauspyyntöjen analysointi (alikäsittelijä)
• Twilio — SMS- ja WhatsApp-ilmoitusten toimitus (alikäsittelijä)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — osoitehaku, karttojen ja etäisyyksien näyttäminen; latautuu myös julkisella rekisteröitymissivulla, jolloin IP-osoitteesi siirtyy Googlelle
• Stripe Payments Europe, Ltd. — maksujen käsittely ja laskutus (alikäsittelijä)
• Bird (Bird B.V., Alankomaat) – tapahtumasähköpostien lähetys (alikäsittelijä)
• Google Workspace / Gmail (Google Ireland Limited) — alustan sähköpostien lähettäminen rekisteröityneille käyttäjille (esim. tervetulo- ja käyttöönottoviestit); käsittely EU:n alueella (henkilötietojen käsittelijä)

Kaikki alikäsittelijät on lueteltu AVV:ssä ja sitoutuvat GDPR:n 28 artiklan mukaisiin tietojenkäsittelysopimuksiin. Rekisteröityneelle yritykselle (rekisterinpitäjä) ilmoitetaan alikäsittelijöiden muutoksista ja sillä on oikeus vastustaa. Emme myy henkilötietojasi kolmansille osapuolille.

Jotkin alikäsittelijöistämme ylläpitävät palvelimia Euroopan talousalueen (ETA) ulkopuolella. Siirrettäessä tietoja kolmansiin maihin (esim. Yhdysvaltoihin) varmistamme asianmukaiset suojatoimet, mukaan lukien EU:n vakiosopimuslausekkeet (SCC) ja Euroopan komission riittävyyspäätökset.

Google LLC ja Twilio Inc. ovat mukana EU:n ja Yhdysvaltojen tietosuojapuitteissa (EU-U.S. Data Privacy Framework), jolloin ne tarjoavat Euroopan komission tunnustamaa riittävää tietosuojan tasoa. Siirtomekanismit on dokumentoitu AVV:ssä.

Capwork-alusta käyttää ainoastaan teknisesti välttämättömiä evästeitä todennusta ja kieliasetuksia varten. Seuranta-, analytiikka- tai mainosevästeitä ei käytetä.

Voit hallita evästeasetuksia selaimessasi. Välttämättömien evästeiden poistaminen käytöstä voi vaikuttaa alustan toimintaan.

Mittaamme verkkosivustomme ja alustamme käyttöä yksityisyyttä kunnioittavalla, itse ylläpidetyllä tilastojärjestelmällä, joka toimii ilman evästeitä eikä tallenna mitään laitteellesi. Palvelimemme säilyttävät vain koostettuja päivittäisiä lukumääriä (esim. sivunäytöt sivua kohden); käyttäjäprofiileja ei luoda eikä tietoja jaeta kolmansille osapuolille. Yksittäisten kävijöiden laskemiseksi IP-osoite ja selaintunniste muunnetaan anonyymiksi tunnisteeksi päivittäin vaihtuvalla avaimella; itse IP-osoitetta ei koskaan tallenneta, ja tunniste poistetaan 48 tunnin kuluessa eikä sitä voida yhdistää eri päivien välillä. Kaikki käsittely tapahtuu yksinomaan palvelimillamme EU:ssa (europe-west1). Oikeusperuste: oikeutettu etumme ymmärtää ja parantaa palveluitamme (tietosuoja-asetuksen 6 artiklan 1 kohdan f alakohta). Kunnioitamme selaimen “Do Not Track”- ja “Global Privacy Control” -signaaleja — jos jompikumpi on käytössä, tilastoja ei kerätä lainkaan. Lisäksi laskemme samalla tavalla yksittäisten toimintojen käyttöä (esimerkiksi kuinka usein tiettyä painiketta käytetään) sekä karkeita käyntimittareita (käynnin aikana katseltujen sivujen määrä ja käynnin arvioitu kesto). Myös nämä arvot tallennetaan ainoastaan koostettuina päivittäisinä lukumäärinä ilman henkilöyhteyttä, eikä laitteellesi tallenneta tai siltä lueta tätä tarkoitusta varten edelleenkään mitään.

Capwork-alusta käyttää tekoälypalveluja Google Vertex AI:n kautta ominaisuuksiin, kuten automaattinen yritystietojen luonti, liiketoimintanäkymäraportit, ajoneuvoasiakirjojen skannaus, laskujen käsittely, palautteen analysointi ja tilauspyyntöjen analysointi. Tällöin käytetään sekä Googlen omia malleja (esim. Gemini) että Vertex Model Gardenin kautta tarjottavia kumppanimalleja (esim. Anthropic Claude); päättely tapahtuu molemmissa tapauksissa kokonaan Google Cloudissa EU:ssa. Google Vertex AI toimii alikäsittelijänä AVV:n määräysten mukaisesti.

Tekoälypalveluille lähetetyt tiedot käsitellään yksinomaan Google Cloudin Enterprise-tietojenkäsittelyehtojen mukaisesti ja Region-Pinning-menetelmällä EU-alueelle. Tekoälypalveluille lähetettyjä henkilötietoja ei käytetä tekoälymallien koulutukseen, parantamiseen tai kehittämiseen. Tämä on sopimuksellisesti taattu Google Cloudin tietojenkäsittelyn lisäsopimuksella.

Kaikki tekoälyn tuottama sisältö on selkeästi merkitty käyttöliittymässä EU:n tekoälyasetuksen (50 artikla) mukaisesti. Ilman ihmisen valvontaa ei tehdä automatisoituja päätöksiä, joilla on oikeudellisia tai vastaavia merkittäviä vaikutuksia.

Voit pyytää ihmisen tekemää tarkastusta mistä tahansa sinua merkittävästi koskevasta tekoälyn tuottamasta päätöksestä ottamalla yhteyttä osoitteeseen office@capwork.io.

Capwork e.U. toteuttaa GDPR:n 32 artiklan mukaisia asianmukaisia teknisiä ja organisatorisia toimenpiteitä riskiin suhteutetun turvallisuustason varmistamiseksi. Nämä toimenpiteet sisältävät:

• Tietojen salaaminen levossa ja siirrossa (TLS 1.2+, AES-256)
• Pääsynvalvonta ja roolipohjainen käyttöoikeuksien hallinta (RBAC) Firebase Authenticationin avulla
• Infrastruktuurin ylläpito Google Cloud Platformilla EU:n sisällä (europe-west1-alue)
• Säännölliset turvallisuusarvioinnit, syötteiden validointi (Zod-skeemat) ja pyyntöjen rajoittaminen
• Lokit ja audit trail -kirjaukset tietojen käytöstä ja muutoksista
• Prompt injection -estot ja tekoälyn turvatoimet kaikkien tekoälyn käsittelemien tietojen osalta

Yksityiskohtainen kuvaus TOM-toimenpiteistä on tietojenkäsittelysopimuksen (AVV) liitteenä ja saatavilla pyynnöstä.

GDPR:n mukaan sinulla on seuraavat oikeudet henkilötietojesi osalta:

• Oikeus saada pääsy tietoihin (GDPR 15 art.): Voit pyytää tietoa siitä, mitä henkilötietoja sinusta on tallennettu.
• Oikeus tietojen oikaisuun (GDPR 16 art.): Voit pyytää virheellisten tietojen oikaisemista.
• Oikeus tietojen poistamiseen (GDPR 17 art.): Voit pyytää tietojesi poistamista lakisääteisten säilytysvelvoitteiden rajoissa.
• Oikeus käsittelyn rajoittamiseen (GDPR 18 art.): Voit pyytää käsittelyn rajoittamista tietyin edellytyksin.
• Oikeus siirtää tiedot järjestelmästä toiseen (GDPR 20 art.): Voit pyytää tietojasi jäsennellyssä, koneellisesti luettavassa muodossa.
• Vastustamisoikeus (GDPR 21 art.): Voit milloin tahansa vastustaa oikeutettuihin etuihin perustuvaa käsittelyä.

Käyttääksesi oikeuksiasi ota meihin yhteyttä osoitteessa office@capwork.io. Vastaamme kuukauden kuluessa GDPR:n 12 artiklan mukaisesti. Rekisteröityneiden yritysten loppuasiakkaiden tulee ottaa yhteyttä ensin kyseiseen yritykseen (rekisterinpitäjä) oikeuksiensa käyttämiseksi.

Jos katsot, että henkilötietojesi käsittely rikkoo tietosuojalainsäädäntöä, sinulla on oikeus tehdä valitus Itävallan tietosuojaviranomaiselle:

Pidätämme oikeuden päivittää tätä tietosuojakäytäntöä vastaamaan muutoksia tietojenkäsittelykäytännöissämme tai lakisääteisissä vaatimuksissa. Olennaisista muutoksista ilmoitetaan rekisteröityneille käyttäjille sähköpostitse. Ajantasainen versio on aina saatavilla tällä sivulla.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

Sähköposti: office@capwork.io