Politique de confidentialité

Le responsable du traitement des données au sens du Règlement général sur la protection des données (RGPD) et de la loi autrichienne sur la protection des données (DSG) est :

La plateforme Capwork est exploitée en tant que service B2B. Selon le contexte, différentes parties assument différents rôles au regard de la protection des données conformément au RGPD :

• Personne concernée (Betroffene Person) : le client final ou la personne physique dont les données à caractère personnel sont traitées (par ex. une personne qui prend un rendez-vous ou envoie une demande).
• Responsable du traitement (Verantwortlicher) : l'entreprise enregistrée qui utilise la plateforme Capwork. Le responsable du traitement détermine les finalités et les moyens du traitement des données et est responsable du respect du RGPD vis-à-vis de ses clients finaux.
• Sous-traitant (Auftragsverarbeiter) : Capwork e.U. exploite la plateforme Capwork en qualité de sous-traitant pour le compte de l'entreprise enregistrée et traite les données à caractère personnel exclusivement selon les instructions du responsable du traitement et le contrat de sous-traitance.

Capwork e.U. n'est responsable du traitement que pour les données traitées à ses propres fins (par ex. gestion des comptes de la plateforme, facturation, sécurité de la plateforme ainsi que prise de contact avec des entreprises par courrier conformément à la section 11a). Pour toutes les données des clients finaux saisies par les entreprises enregistrées (par ex. détails des réservations, communications avec les clients, documents téléversés), c'est l'entreprise enregistrée qui est responsable du traitement et Capwork e.U. agit exclusivement en qualité de sous-traitant au sens de l'art. 28 RGPD.

Nous collectons et traitons les catégories suivantes de données à caractère personnel :

• Données de compte : adresse e-mail, mot de passe (haché), nom de l'entreprise, localisation
• Données de contact et de réservation : nom, numéro de téléphone, adresse e-mail et une remarque facultative pour l'entreprise (lors des prises de rendez-vous)
• Données de paiement : nom du titulaire de la carte, quatre derniers chiffres du numéro de carte (uniquement à des fins de vérification d'identité)
• Données d'utilisation : historique des réservations, interactions avec le calendrier, configurations des modules, données de journalisation
• Données techniques : adresse IP, type de navigateur, informations sur l'appareil, horodatages des accès
• Données des clients finaux : toutes les données à caractère personnel que les entreprises enregistrées saisissent dans la plateforme pour le compte de leurs clients (par ex. détails des réservations, coordonnées, données de commandes, communications)
• Données d'entreprise publiées : les informations qu'une entreprise enregistrée rend publiquement accessibles après avoir activé son portail client (dénomination, description et secteur d'activité, adresse, numéro de téléphone, site web, horaires d'ouverture, prestations et prix), les informations relatives à son identité affichées lors des réservations et des offres (nom ou raison sociale, adresse, coordonnées et, le cas échéant, numéro d'identification TVA) ainsi que les informations figurant sur sa page de mentions légales dans le portail client (en outre, par exemple, données d'immatriculation au registre du commerce, autorité de contrôle, chambre et règles professionnelles, objet de l'entreprise et lien vers sa politique de confidentialité)
• Notifications au titre du règlement sur les services numériques : nom et adresse e-mail de la personne à l'origine de la notification (facultatifs pour les notifications concernant du matériel pédopornographique), l'adresse signalée et, le cas échéant, le contenu désigné, la catégorie et la motivation de la notification, la langue, l'état du traitement et la décision ; en outre, afin de limiter les abus du formulaire de notification, l'adresse IP et l'adresse e-mail sous forme hachée comme clé d'un compteur
• Documentation des interventions, dans la mesure où une entreprise enregistrée l'utilise : temps de travail, de pause et de trajet, statut des interventions, matériel utilisé, notes et photos de ses collaborateurs, ainsi que photos, notes sur les lieux, signatures et rapports d'intervention relatifs à ses clients finaux (détails à la section 11b)

Nous traitons les données à caractère personnel sur les bases juridiques suivantes conformément à l'art. 6 RGPD :

• Art. 6, § 1, point a) RGPD — Consentement : lorsque vous avez donné un consentement explicite à des activités de traitement déterminées.
• Art. 6, § 1, point b) RGPD — Contrat : traitement nécessaire à l'exécution de notre contrat de service avec vous ou à l'exécution de mesures précontractuelles prises à votre demande (par exemple la création de votre compte et la confirmation de votre adresse e-mail lors de l'inscription).
• Art. 6, § 1, point c) RGPD — Obligation légale : traitement nécessaire au respect des obligations de conservation prévues par le droit fiscal et commercial autrichien.
• Art. 6, § 1, point f) RGPD — Intérêts légitimes : traitement aux fins de prévention de la fraude, de sécurité de la plateforme et d'amélioration du service, lorsque nos intérêts ne sont pas supplantés par vos droits.

Pour les données des clients finaux traitées pour le compte d'entreprises enregistrées, la base juridique est déterminée par l'entreprise concernée (responsable du traitement) et documentée dans sa propre politique de confidentialité.

Le portail client public est désactivé par défaut. Les données d'entreprise qui y figurent sont publiées exclusivement à l'initiative de l'entreprise enregistrée, qui doit activer expressément le portail à cette fin (§ 4 des conditions) ; la base juridique est l'art. 6, § 1, point b), RGPD. L'entreprise détermine elle-même quelles informations sont affichées et peut à tout moment restreindre la publication ou y mettre fin entièrement en désactivant le portail.

Nous traitons les notifications de contenus illicites au titre du règlement sur les services numériques, les décisions y afférentes et l'information des parties concernées afin de respecter nos obligations légales découlant des art. 16 à 18 DSA (art. 6, § 1, point c), RGPD). La limitation du nombre de notifications par adresse IP et par adresse e-mail repose sur notre intérêt légitime à disposer d'une procédure de notification fonctionnelle et protégée contre les abus (art. 6, § 1, point f), RGPD). Nous ne communiquons pas l'identité de la personne à l'origine de la notification à l'entreprise concernée.

Vos données à caractère personnel sont traitées aux fins suivantes :

• Fourniture et exploitation de la plateforme Capwork et de ses modules (rendez-vous, commandes, gestion d'équipe, parc automobile, inventaire, finances)
• Création de comptes utilisateurs, authentification et gestion des accès
• Traitement des réservations, des commandes et des communications clients pour le compte d'entreprises enregistrées
• Documentation des interventions chez les clients finaux, de leur réception et du temps de travail effectué à cette occasion, pour le compte d'entreprises enregistrées, dès lors que celles-ci utilisent la documentation des interventions (voir section 11b)
• Fonctionnalités pilotées par l'IA : génération de données d'entreprise, business insights, scan de documents et analyse des retours
• Prévention de la fraude, vérification d'identité et sécurité de la plateforme
• Exploitation du portail client public d'une entreprise enregistrée, dès lors que celle-ci a activé le portail
• Traitement des notifications de contenus illicites dans les portails clients, décision sur les mesures et information des parties concernées au titre du règlement sur les services numériques
• Mesure visant à déterminer si des inscriptions résultent de nos annonces sur Google — uniquement avec votre consentement (voir section 10)
• Service client et assistance : réponse à vos demandes et retours, et aide à la configuration et à l’utilisation de la plateforme — y compris de notre propre initiative, par des messages adressés au titulaire du compte dans l’espace de feedback de la plateforme (art. 6, § 1, point b) RGPD). Nous n’envoyons pas de contenu publicitaire par ce biais.

Capwork e.U. intervenant en qualité de sous-traitant pour les entreprises enregistrées, un contrat de sous-traitance (Auftragsverarbeitungsvertrag, AVV) conforme à l'art. 28 RGPD est conclu avec chaque entreprise enregistrée dans le cadre du processus d'onboarding.

Le contrat de sous-traitance régit :

• L'objet, la durée, la nature et la finalité du traitement des données
• Les catégories de données à caractère personnel et les catégories de personnes concernées
• Les obligations et les droits du responsable du traitement (entreprise enregistrée)
• Les mesures techniques et organisationnelles (TOMs) garantissant la sécurité des données (voir section 12)
• Le recours et l'autorisation relatifs aux sous-traitants ultérieurs (voir section 8)
• Les obligations de suppression ou de restitution des données à la fin du contrat

L'entreprise enregistrée (responsable du traitement) peut à tout moment demander une copie du contrat de sous-traitance en écrivant à office@capwork.io.

Les données à caractère personnel ne sont conservées que le temps nécessaire aux finalités décrites ci-dessus ou imposé par la loi. Le droit commercial et fiscal autrichien (BAO, UGB) peut exiger la conservation de certaines données pendant une durée pouvant aller jusqu'à 7 ans.

Après la résiliation du compte, vos données à caractère personnel seront supprimées dans un délai de 30 jours, sauf si une conservation plus longue est imposée par la loi. Les données des clients finaux traitées pour le compte d'entreprises enregistrées seront supprimées ou restituées conformément au contrat de sous-traitance (AVV). Si vous ne confirmez pas votre adresse e-mail lors de l'inscription et qu'aucune entreprise n'est créée, nous supprimons le compte 30 jours après l'inscription ou, si elle est postérieure, après votre dernière connexion.

Bird, le fournisseur qui achemine les e-mails et SMS transactionnels destinés aux clients finaux des entreprises enregistrées (p. ex. confirmations de rendez-vous, rappels et codes de connexion au portail client), conserve le contenu des messages et les données de trafic à des fins d’acheminement et de prévention des abus : SMS jusqu’à 6 mois, e-mails 72 heures. Les propres sous-traitants de Bird comprennent des prestataires hors EEE, couverts par les clauses contractuelles types de l’UE.

Nous supprimons les notifications au titre du règlement sur les services numériques et les enregistrements relatifs aux restrictions de portails clients sept ans après la décision ou après la levée ou l'expiration de la restriction ; jusque-là, nous les conservons afin de documenter nos décisions et de nous défendre contre des réclamations (art. 6, § 1, point f), RGPD). Les notifications non encore tranchées sont conservées jusqu'à la décision. Les compteurs au moyen desquels nous limitons le nombre de requêtes sont supprimés automatiquement à l'expiration de leur fenêtre temporelle.

Vos données peuvent être communiquées aux catégories suivantes de destinataires, qui interviennent en qualité de sous-traitants ultérieurs au sens de l'art. 28 RGPD :

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastructure et stockage des données (région UE : europe-west1)
• Google Vertex AI (modèles Google tels que Gemini ainsi que des modèles partenaires du Vertex Model Garden, par ex. Anthropic Claude ; l'inférence est entièrement réalisée par Google Cloud dans l'UE) — fonctionnalités pilotées par l'IA telles que la génération de données d'entreprise, les insights, le scan de documents, le traitement des factures et l'analyse des demandes de commande (sous-traitant ultérieur)
• Twilio — envoi de notifications par SMS et WhatsApp (sous-traitant ultérieur)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — recherche d'adresses, affichage de cartes et de distances ; se charge également sur la page publique d'inscription, votre adresse IP étant alors transmise à Google, ainsi qu'à l'ouverture d'une intervention dans la vue des interventions (« Mes interventions »), qui affiche immédiatement la carte du lieu d'intervention
• Stripe Payments Europe, Ltd. — traitement des paiements et facturation (sous-traitant ultérieur)
• Bird (Bird B.V., Pays-Bas) – envoi d’e-mails et de SMS transactionnels pour le compte des entreprises inscrites : confirmations de rendez-vous, rappels, offres de créneaux plus tôt, codes de connexion aux comptes clients dans le portail client et notifications relatives aux interventions (trajet, retard, rapport d’intervention et lien de confirmation) ; ainsi qu’envoi et réception via les canaux e-mail et SMS de ces entreprises, y compris les SMS sur un numéro dédié détenu par Capwork (sous-traitant ultérieur)
• Google Workspace / Gmail (Google Ireland Limited) — envoi des propres e-mails de Capwork : aux utilisateurs enregistrés (p. ex. messages de bienvenue et d’intégration ainsi qu’exposés des motifs et communications relatifs aux restrictions de portails clients) et aux personnes qui signalent des contenus illicites (accusé de réception et décision) ; traitement au sein de l’UE (sous-traitant)

Tous les sous-traitants ultérieurs sont énumérés dans le contrat de sous-traitance (AVV) et sont liés par des contrats de sous-traitance conformes à l'art. 28 RGPD. L'entreprise enregistrée (responsable du traitement) est informée de toute modification relative aux sous-traitants ultérieurs et dispose d'un droit d'opposition. Nous ne vendons pas vos données à caractère personnel à des tiers.

Certains de nos sous-traitants ultérieurs exploitent des serveurs situés en dehors de l'Espace économique européen (EEE). Dans la mesure où des données sont transférées vers des pays tiers (par ex. les États-Unis), nous veillons à la mise en place de garanties appropriées, notamment les clauses contractuelles types (CCT) de l'UE et les décisions d'adéquation de la Commission européenne.

Google LLC et Twilio Inc. participent au EU-U.S. Data Privacy Framework et offrent ainsi un niveau de protection des données adéquat, tel que reconnu par la Commission européenne. Les mécanismes de transfert sont documentés dans le contrat de sous-traitance (AVV).

Sans votre consentement, la plateforme Capwork n'utilise que des cookies strictement nécessaires pour l'authentification, les préférences linguistiques et les paramètres d'affichage que vous définissez vous-même. Nous enregistrons en outre dans le stockage local de votre navigateur des informations strictement nécessaires, telles que la connexion au compte client dans le portail client d'une entreprise (pendant 30 jours au maximum ou jusqu'à la déconnexion), le thème de couleurs et votre choix dans la bannière de cookies. Pendant votre inscription, les informations déjà saisies y sont également conservées pendant sept jours au maximum (jamais le mot de passe), afin qu’une inscription inachevée puisse être poursuivie. Aucun cookie de suivi, d'analyse ou de publicité n'est utilisé, à une exception près : sur nos propres pages d'information, vous pouvez consentir à la mesure de nos publicités sur Google (dernier paragraphe de la présente section). Vous trouverez plus de détails dans notre politique relative aux cookies.

Vous pouvez gérer les paramètres des cookies dans votre navigateur. La désactivation des cookies nécessaires peut altérer le fonctionnement de la plateforme.

Nous mesurons l'utilisation de notre site web et de notre plateforme à l'aide d'un système de statistiques auto-hébergé et respectueux de la vie privée, qui fonctionne sans cookies et sans rien enregistrer sur votre appareil. Nos serveurs ne conservent que des comptages agrégés : des totaux journaliers (p. ex. le nombre de pages vues par page) ainsi que, pendant 100 jours, le nombre de pages vues et de visiteurs nouvellement comptabilisés par intervalle de 15 minutes de la journée ; aucun profil d'utilisateur n'est créé et aucune donnée n'est transmise à des tiers. Pour compter les visiteurs uniques, l'adresse IP et l'identifiant du navigateur sont combinés en un identifiant anonyme au moyen d'une clé qui change chaque jour ; l'adresse IP elle-même n'est jamais enregistrée, et l'identifiant est supprimé sous 48 heures et ne peut pas être relié d'un jour à l'autre. L'ensemble du traitement a lieu exclusivement sur nos serveurs dans l'UE (europe-west1). Base juridique : notre intérêt légitime à comprendre et à améliorer nos services (art. 6, par. 1, point f) du RGPD). Nous respectons les signaux de navigateur « Do Not Track » et « Global Privacy Control » — si l'un d'eux est activé, aucune statistique n'est collectée. En outre, nous comptabilisons de la même manière l'utilisation de fonctions individuelles (par exemple, la fréquence d'utilisation d'un bouton donné) ainsi que des indicateurs de visite approximatifs (le nombre de pages consultées par visite et la durée approximative de la visite). Ces valeurs sont elles aussi enregistrées uniquement sous forme de comptages journaliers agrégés, sans aucune référence personnelle, et rien n'est stocké ni lu sur votre appareil à cette fin.

Sur nos pages d'information publiques à l'adresse www.capwork.io (p. ex. page d'accueil, tarifs, solutions, entreprise d'exemple, textes juridiques et l'inscription qui y est proposée), nous utilisons le suivi des conversions Google Ads de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande) — uniquement si vous donnez votre accord dans la bannière de cookies. La finalité est de déterminer si une inscription à Capwork résulte d'un clic sur l'une de nos annonces sur Google ; nous n'utilisons ni la publicité personnalisée ni le remarketing. Après votre accord, votre navigateur charge la balise Google ; Google traite à cette occasion votre adresse IP, des informations relatives à votre navigateur et à votre appareil, la page consultée, la date et l'heure ainsi que l'identifiant de clic d'une annonce, et enregistre des cookies tels que « _gcl_au » et « _gcl_aw » (pendant 90 jours au maximum). Une inscription finalisée est signalée à Google sans nom, adresse e-mail ni informations sur l'entreprise. La base juridique est votre consentement (art. 6, par. 1, point a) du RGPD et § 165, al. 3, TKG 2021). Google traite les données en qualité de responsable du traitement indépendant et peut les transférer vers les États-Unis ; Google LLC est certifiée au titre du EU-U.S. Data Privacy Framework. Sans votre consentement, la balise Google n'est pas chargée. Vous pouvez retirer votre consentement à tout moment, avec effet pour l'avenir, via « Paramètres des cookies » dans le pied de page de notre page d'accueil ou dans notre politique relative aux cookies ; nous supprimons alors les cookies Google Ads sur capwork.io. Nous enregistrons votre choix dans le stockage local de votre navigateur et vous interrogeons à nouveau au bout de douze mois. Afin de démontrer votre consentement, nous enregistrons en outre chaque choix effectué dans la bannière de cookies pendant trois ans sur nos serveurs dans l'UE — avec un identifiant de consentement généré aléatoirement, le choix et le choix remplacé, la version de la bannière, la langue ainsi que la date et l'heure, mais sans votre adresse IP ; la base juridique est l'art. 6, par. 1, point c), en liaison avec l'art. 7, par. 1, du RGPD. La bannière vous indique l'identifiant de consentement sous « Paramètres des cookies ».

La plateforme Capwork utilise des services d'IA via Google Vertex AI pour des fonctionnalités telles que la génération automatique de données d'entreprise, les rapports de business insights, le scan de documents de véhicules et de justificatifs, l'analyse des retours, l'analyse des demandes de commande et des messages, les suggestions et brouillons de réponse, la traduction automatique de contenus ainsi que la génération de propositions d'images pour les prestations et les produits. Elle recourt à la fois aux modèles propres de Google (par ex. Gemini) et aux modèles partenaires fournis via le Vertex Model Garden (par ex. Anthropic Claude) ; dans les deux cas, l'inférence est entièrement réalisée par Google Cloud dans l'UE. Google Vertex AI intervient en qualité de sous-traitant ultérieur conformément aux dispositions de l'AVV.

Dans la mesure où une entreprise utilise la documentation des interventions, ses collaborateurs peuvent dicter des notes : Google Vertex AI (Gemini) transcrit l'enregistrement dans l'UE et en tire un brouillon du texte du rapport. Capwork ne conserve ni l'enregistrement ni la transcription (voir section 11b).

Les données envoyées aux services d'IA sont traitées exclusivement selon les conditions Entreprise de traitement des données de Google Cloud et avec un Region-Pinning sur l'espace de l'UE. Les données à caractère personnel transmises aux services d'IA ne sont pas utilisées pour entraîner, améliorer ou développer des modèles d'IA. Cela est garanti contractuellement par l'avenant de traitement des données de Google Cloud.

Les contenus générés par l'IA — tels que les analyses, suggestions, brouillons de réponse, données extraites de documents, traductions automatiques et images générées par l'IA — sont signalés comme générés par l'IA dans l'interface utilisateur de la plateforme et dans le portail client conformément au règlement européen sur l'IA (art. 50). Les messages adressés aux clients qu'une personne vérifie sur la base d'un brouillon de l'IA et envoie elle-même ne font pas l'objet d'un signalement distinct auprès du destinataire, car ils sont envoyés sous contrôle humain et sous responsabilité éditoriale ; les messages générés par l'IA ne sont pas envoyés automatiquement. Aucune décision automatisée produisant des effets juridiques ou significatifs similaires n'est prise sans supervision humaine.

Vous pouvez demander un examen humain de toute décision générée par l'IA qui vous concerne de manière significative en nous écrivant à office@capwork.io.

Capwork e.U. met en œuvre des mesures techniques et organisationnelles appropriées conformément à l'art. 32 RGPD afin d'assurer un niveau de sécurité adapté au risque. Ces mesures comprennent :

• Chiffrement des données au repos et en transit (TLS 1.2+, AES-256)
• Contrôles d'accès et autorisation fondée sur les rôles (RBAC) avec Firebase Authentication
• Hébergement de l'infrastructure sur Google Cloud Platform dans l'UE (région europe-west1)
• Audits de sécurité réguliers, validation des entrées (schémas Zod) et limitation de débit
• Journalisation et pistes d'audit des accès aux données et de leurs modifications
• Prévention des injections de prompt et mesures de sécurité IA pour toutes les données traitées par IA

Une description détaillée des mesures techniques et organisationnelles figure en annexe du contrat de sous-traitance (AVV) et est disponible sur demande.

Conformément au RGPD, vous disposez des droits suivants concernant vos données à caractère personnel :

• Droit d'accès (art. 15 RGPD) : vous pouvez demander à obtenir des informations sur les données à caractère personnel que nous détenons sur vous.
• Droit de rectification (art. 16 RGPD) : vous pouvez demander la rectification de données inexactes.
• Droit à l'effacement (art. 17 RGPD) : vous pouvez demander l'effacement de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18 RGPD) : vous pouvez demander la limitation du traitement dans certaines conditions.
• Droit à la portabilité (art. 20 RGPD) : vous pouvez demander à recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21 RGPD) : vous pouvez vous opposer à tout moment au traitement fondé sur des intérêts légitimes.

Pour exercer vos droits, contactez-nous à l'adresse office@capwork.io. Nous répondrons dans un délai d'un mois, conformément à l'art. 12 RGPD. Les clients finaux des entreprises enregistrées doivent d'abord s'adresser à l'entreprise concernée (responsable du traitement) pour exercer leurs droits.

Afin de protéger vos données contre tout accès non autorisé, nous vérifions l'identité de toute personne soumettant une demande d'exercice de ses droits. Les demandes effectuées depuis un compte connecté sont considérées comme vérifiées. Les demandes transmises par courrier électronique sont confirmées via un lien envoyé à l'adresse électronique enregistrée sur le compte. En cas de doute raisonnable sur l'identité (art. 12, paragraphe 6 RGPD), nous pouvons demander des justificatifs d'identité supplémentaires — tels qu'une copie d'une pièce d'identité officielle avec photo —, que nous supprimons une fois la vérification terminée. La suppression complète d'un compte d'entreprise ne peut être demandée que par le titulaire du compte ou par un administrateur autorisé ; les utilisateurs individuels ne peuvent exercer leurs droits qu'à l'égard de leurs propres données à caractère personnel.

Si vous considérez que le traitement de vos données à caractère personnel enfreint la législation relative à la protection des données, vous avez le droit d'introduire une réclamation auprès de l'autorité autrichienne de protection des données :

Nous nous réservons le droit de mettre à jour la présente Politique de confidentialité afin de refléter les évolutions de nos pratiques de traitement des données ou des exigences légales. Les modifications substantielles seront communiquées aux utilisateurs enregistrés par courrier électronique. La version en vigueur est à tout moment accessible sur cette page.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io