Politika privatnosti

Voditelj obrade osobnih podataka u smislu Opće uredbe o zaštiti podataka (GDPR) i austrijskog Zakona o zaštiti podataka (DSG) je:

Platforma Capwork djeluje kao B2B usluga. Ovisno o kontekstu, različite strane preuzimaju različite uloge u pogledu zaštite podataka prema GDPR-u:

• Ispitanik (Betroffene Person): Krajnji kupac ili fizička osoba čiji se osobni podaci obrađuju (npr. osoba koja rezervira termin ili šalje upit).
• Voditelj obrade (Data Controller): Registrirano poduzeće koje koristi platformu Capwork. Voditelj obrade određuje svrhe i sredstva obrade podataka i odgovoran je za usklađenost s GDPR-om prema svojim krajnjim kupcima.
• Izvršitelj obrade (Data Processor): Capwork e.U. upravlja platformom Capwork kao izvršitelj obrade u ime registriranog poduzeća i obrađuje osobne podatke isključivo prema uputama voditelja obrade i ugovoru o obradi podataka.

Capwork e.U. je voditelj obrade samo za podatke koji se obrađuju u vlastite svrhe (npr. upravljanje korisničkim računima platforme, naplata, sigurnost platforme te kontaktiranje tvrtki pismom prema odjeljku 11a). Za sve podatke krajnjih kupaca koje unose registrirana poduzeća (npr. pojedinosti rezervacija, komunikacija s kupcima, prenesene datoteke), voditelj obrade je registrirano poduzeće, a Capwork e.U. djeluje isključivo kao izvršitelj obrade prema čl. 28. GDPR-a.

Prikupljamo i obrađujemo sljedeće kategorije osobnih podataka:

• Podaci o računu: adresa e-pošte, lozinka (hashirana), naziv tvrtke, lokacija
• Kontaktni podaci i podaci o rezervaciji: ime, telefonski broj, adresa e-pošte i neobavezna napomena za tvrtku (pri rezervaciji termina)
• Podaci o plaćanju: ime vlasnika kartice, zadnje četiri znamenke broja kartice (samo za provjeru identiteta)
• Podaci o korištenju: povijest rezervacija, interakcije s kalendarom, konfiguracije modula, dnevnici (log)
• Tehnički podaci: IP adresa, vrsta preglednika, informacije o uređaju, vremenske oznake pristupa
• Podaci krajnjih kupaca: svi osobni podaci koje registrirana poduzeća unose u platformu u ime svojih kupaca (npr. pojedinosti rezervacija, kontaktni podaci, podaci o narudžbama, komunikacija)
• Objavljeni podaci o tvrtki: podaci koje registrirana tvrtka učini javno dostupnima nakon aktivacije svojeg portala za kupce (naziv tvrtke, opis i djelatnost, adresa, telefonski broj, internetska stranica, radno vrijeme, usluge i cijene), podaci o njezinu identitetu koji se prikazuju uz rezervacije i ponude (ime odnosno naziv tvrtke, adresa, podaci za kontakt i, prema potrebi, PDV identifikacijski broj) te podaci na njezinoj stranici impresuma u portalu za kupce (dodatno, primjerice, podaci iz sudskog registra, nadzorno tijelo, komora i strukovna pravila, predmet poslovanja i poveznica na njezinu politiku privatnosti)
• Obavijesti u skladu s Aktom o digitalnim uslugama: ime i adresa e-pošte osobe koja podnosi obavijest (dobrovoljno kod obavijesti o materijalu koji prikazuje seksualno zlostavljanje djece), prijavljena adresa i, prema potrebi, označeni sadržaj, kategorija i objašnjenje obavijesti, jezik, stanje obrade i odluka; osim toga, radi ograničavanja zlouporabe obrasca za podnošenje obavijesti, IP adresa i adresa e-pošte u hashiranom obliku kao ključ brojača
• Dokumentacija rada na terenu, ako je registrirano poduzeće koristi: vrijeme rada, stanki i vožnje, status posjeta, upotrijebljeni materijal, bilješke i fotografije njegovih zaposlenika te fotografije, bilješke o lokaciji, potpisi i izvješća o radu koji se odnose na njegove krajnje kupce (pojedinosti u odjeljku 11b)

Osobne podatke obrađujemo na sljedećim pravnim osnovama prema čl. 6. GDPR-a:

• Čl. 6. st. 1. točka (a) GDPR-a — Privola: Kada ste dali izričitu privolu za određene aktivnosti obrade.
• Čl. 6. st. 1. točka (b) GDPR-a — Ugovor: Obrada koja je nužna za izvršavanje našeg ugovora o uslugama s vama ili za poduzimanje radnji na vaš zahtjev prije sklapanja ugovora (npr. izrada vašeg računa i potvrda vaše adrese e-pošte pri registraciji).
• Čl. 6. st. 1. točka (c) GDPR-a — Pravna obveza: Obrada potrebna radi ispunjavanja obveza čuvanja prema austrijskom poreznom i trgovačkom pravu.
• Čl. 6. st. 1. točka (f) GDPR-a — Legitimni interesi: Obrada radi sprječavanja prijevara, sigurnosti platforme i poboljšanja usluge, ako naši interesi nisu nadjačani vašim pravima.

Za podatke krajnjih kupaca koji se obrađuju u ime registriranih poduzeća, pravnu osnovu određuje odgovarajuće poduzeće (voditelj obrade) i dokumentira je u vlastitoj politici privatnosti.

Javni portal za kupce prema zadanim je postavkama deaktiviran. Podaci o tvrtki koji se ondje prikazuju objavljuju se isključivo na poticaj registrirane tvrtke, koja za to mora izričito aktivirati portal (§ 4 uvjeta); pravna je osnova članak 6. stavak 1. točka (b) OUZP-a. Tvrtka sama određuje koji se podaci prikazuju i može objavu u svakom trenutku ograničiti ili je deaktivacijom portala u cijelosti prekinuti.

Obavijesti o nezakonitom sadržaju u skladu s Aktom o digitalnim uslugama, odluke o njima i informiranje uključenih strana obrađujemo radi ispunjavanja naših pravnih obveza iz članaka 16. do 18. DSA-a (članak 6. stavak 1. točka (c) OUZP-a). Ograničavanje broja obavijesti po IP adresi i adresi e-pošte temelji se na našem legitimnom interesu za funkcionalan postupak obavješćivanja zaštićen od zlouporabe (članak 6. stavak 1. točka (f) OUZP-a). Identitet osobe koja podnosi obavijest ne otkrivamo dotičnoj tvrtki.

Vaši se osobni podaci obrađuju u sljedeće svrhe:

• Pružanje i upravljanje platformom Capwork i njezinim modulima (termini, narudžbe, upravljanje timom, vozni park, zalihe, financije)
• Izrada korisničkih računa, autentifikacija i upravljanje pristupom
• Obrada rezervacija, narudžbi i komunikacije s kupcima u ime registriranih poduzeća
• Dokumentiranje posjeta kod krajnjih kupaca, njihova preuzimanja i pritom utrošenog radnog vremena u ime registriranih poduzeća, ako ona koriste dokumentaciju rada na terenu (vidjeti odjeljak 11b)
• Značajke temeljene na AI-u: generiranje podataka o tvrtki, poslovni uvidi, skeniranje dokumenata i analiza povratnih informacija
• Sprječavanje prijevara, provjera identiteta i sigurnost platforme
• Vođenje javnog portala za kupce registrirane tvrtke, ako je ta tvrtka portal aktivirala
• Obrada obavijesti o nezakonitom sadržaju na portalima za kupce, odlučivanje o mjerama i informiranje uključenih strana u skladu s Aktom o digitalnim uslugama
• Mjerenje potječu li registracije od naših oglasa koje prikazuje Google – samo uz vašu privolu (vidjeti odjeljak 10)
• Korisnička podrška: odgovaranje na vaše upite i povratne informacije te pomoć pri postavljanju i korištenju platforme – i na našu inicijativu, porukama vlasniku računa u odjeljku za povratne informacije na platformi (čl. 6. st. 1. točka (b) GDPR-a). Ovim putem ne šaljemo promotivne sadržaje.

Budući da Capwork e.U. za registrirana poduzeća djeluje kao izvršitelj obrade (Auftragsverarbeiter), sa svakim registriranim poduzećem u sklopu postupka onboardinga sklapa se Ugovor o obradi podataka (Auftragsverarbeitungsvertrag, AVV) prema čl. 28. GDPR-a.

AVV uređuje:

• Predmet, trajanje, vrstu i svrhu obrade podataka
• Vrste osobnih podataka i kategorije ispitanika
• Obveze i prava voditelja obrade (registriranog poduzeća)
• Tehničke i organizacijske mjere (TOM) za osiguranje sigurnosti podataka (vidjeti odjeljak 12)
• Uporabu i odobrenje podizvršitelja obrade (vidjeti odjeljak 8)
• Obveze brisanja ili vraćanja podataka po prestanku ugovora

Registrirano poduzeće (voditelj obrade) može u bilo kojem trenutku zatražiti primjerak AVV-a slanjem zahtjeva na office@capwork.io.

Osobni podaci čuvaju se samo onoliko dugo koliko je potrebno za ispunjavanje gore navedenih svrha ili koliko je propisano zakonom. Austrijsko trgovačko i porezno pravo (BAO, UGB) može zahtijevati čuvanje određenih podataka do 7 godina.

Nakon raskida računa, vaši osobni podaci bit će izbrisani u roku od 30 dana, osim ako je dulje čuvanje propisano zakonom. Podaci krajnjih kupaca koji se obrađuju u ime registriranih poduzeća brišu se ili vraćaju u skladu s AVV-om. Ako pri registraciji ne potvrdite svoju adresu e-pošte i ne bude osnovano poduzeće, brišemo račun 30 dana nakon registracije ili, ako je kasnije, nakon vaše posljednje prijave.

Bird, pružatelj koji dostavlja transakcijske e-poruke i SMS-ove krajnjim kupcima registriranih tvrtki (npr. potvrde termina, podsjetnike i kodove za prijavu na portal za kupce), čuva sadržaj poruka i podatke o prometu radi dostave i sprječavanja zlouporabe: SMS do 6 mjeseci, e-pošta 72 sata. Vlastiti podizvršitelji obrade tvrtke Bird uključuju pružatelje izvan EGP-a, obuhvaćene standardnim ugovornim klauzulama EU-a.

Obavijesti u skladu s Aktom o digitalnim uslugama i evidencije o ograničenjima portala za kupce brišemo sedam godina nakon odluke odnosno nakon ukidanja ili isteka ograničenja; do tada ih čuvamo radi dokumentiranja naših odluka i obrane od potraživanja (članak 6. stavak 1. točka (f) OUZP-a). Obavijesti o kojima još nije odlučeno čuvaju se do donošenja odluke. Brojači kojima ograničavamo broj zahtjeva automatski se brišu nakon isteka njihova vremenskog okvira.

Vaši podaci mogu se dijeliti sa sljedećim kategorijama primatelja koji djeluju kao podizvršitelji obrade (Unterauftragsverarbeiter) prema čl. 28. GDPR-a:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktura i pohrana podataka (regija EU: europe-west1)
• Google Vertex AI (Google modeli poput Geminija te partnerski modeli iz Vertex Model Gardena, npr. Anthropic Claude; zaključivanje u cijelosti provodi Google Cloud u EU-u) — značajke temeljene na AI-u poput generiranja podataka o tvrtki, uvida, skeniranja dokumenata, obrade računa i analize zahtjeva za narudžbu (podizvršitelj obrade)
• Twilio — dostava SMS i WhatsApp obavijesti (podizvršitelj obrade)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — pretraživanje adresa, prikaz karata i udaljenosti; učitava se i na javnoj stranici za registraciju, pri čemu se vaša IP adresa prenosi Googleu, kao i pri otvaranju posjeta u prikazu za rad na terenu („Moji posjeti“), koji odmah prikazuje kartu mjesta rada
• Stripe Payments Europe, Ltd. — obrada plaćanja i naplata (podizvršitelj obrade)
• Bird (Bird B.V., Nizozemska) – dostava transakcijskih e-poruka i SMS-ova u ime registriranih tvrtki: potvrde termina, podsjetnici, ponude ranijih termina, kodovi za prijavu u korisničke račune kupaca na portalu za kupce i obavijesti o posjetima (dolazak, kašnjenje, izvješće o radu i poveznica za potvrdu); kao i slanje i primanje putem kanala e-pošte i SMS-a tih tvrtki, uključujući SMS preko namjenskog broja koji drži Capwork (podizvršitelj obrade)
• Google Workspace / Gmail (Google Ireland Limited) — slanje vlastite e-pošte Capworka: registriranim korisnicima (npr. poruke dobrodošlice i uvođenja te obrazloženja i priopćenja o ograničenjima portala za kupce) i osobama koje prijavljuju nezakonit sadržaj (potvrda primitka i odluka); obrada unutar EU-a (izvršitelj obrade)

Svi podizvršitelji obrade navedeni su u AVV-u i vezani su ugovorima o obradi podataka prema čl. 28. GDPR-a. Registrirano poduzeće (voditelj obrade) obavještava se o svim promjenama podizvršitelja obrade i ima pravo prigovora. Vaše osobne podatke ne prodajemo trećim stranama.

Neki naši podizvršitelji obrade koriste poslužitelje izvan Europskog gospodarskog prostora (EGP). Ako se podaci prenose u treće zemlje (npr. SAD), osiguravamo odgovarajuće zaštitne mjere, uključujući standardne ugovorne klauzule EU-a (SUK) i odluke Europske komisije o primjerenosti.

Google LLC i Twilio Inc. sudjeluju u okviru EU-SAD za zaštitu privatnosti podataka (EU-U.S. Data Privacy Framework) i time pružaju odgovarajuću razinu zaštite podataka koju priznaje Europska komisija. Mehanizmi prijenosa dokumentirani su u AVV-u.

Bez vaše privole platforma Capwork koristi isključivo tehnički nužne kolačiće za autentifikaciju, postavke jezika i postavke prikaza koje sami odaberete. U lokalnoj pohrani vašeg preglednika osim toga pohranjujemo tehnički nužne podatke, primjerice prijavu u korisnički račun kupca na portalu za kupce neke tvrtke (do 30 dana ili do odjave), shemu boja i vašu odluku u banneru za kolačiće. Tijekom registracije ondje se također do sedam dana pohranjuju dosad uneseni podaci (nikada lozinka) kako bi se nedovršena registracija mogla nastaviti. Ne koriste se kolačići za praćenje, analitiku ili oglašavanje, uz jednu iznimku: na našim vlastitim informativnim stranicama možete dati privolu za mjerenje našeg oglašavanja putem Googlea (posljednji odlomak ovog odjeljka). Pojedinosti su navedene u našim Pravilima o kolačićima.

Postavke kolačića možete upravljati u svom pregledniku. Onemogućavanje nužnih kolačića može utjecati na funkcionalnost platforme.

Korištenje naše web-stranice i platforme mjerimo vlastitim statističkim sustavom koji poštuje privatnost, radi bez kolačića i ništa ne pohranjuje na vaš uređaj. Naši poslužitelji čuvaju samo agregirane brojke: dnevne zbrojeve (npr. prikaze po stranici) te, tijekom 100 dana, broj prikaza stranica i novo prebrojenih posjetitelja po svakom 15-minutnom intervalu dana; ne izrađuju se korisnički profili niti se podaci dijele s trećim stranama. Za brojanje jedinstvenih posjetitelja IP adresa i identifikator preglednika pretvaraju se u anonimni identifikator pomoću ključa koji se mijenja svakog dana; sama IP adresa nikada se ne pohranjuje, a identifikator se briše u roku od 48 sati i ne može se povezivati između dana. Sva obrada odvija se isključivo na našim poslužiteljima u EU-u (europe-west1). Pravna osnova: naš legitimni interes za razumijevanje i poboljšanje naših usluga (čl. 6. st. 1. t. f GDPR-a). Poštujemo signale preglednika „Do Not Track“ i „Global Privacy Control“ — ako je bilo koji od njih uključen, statistika se uopće ne prikuplja. Osim toga, na isti način brojimo korištenje pojedinih funkcija (primjerice koliko se često upotrebljava određeni gumb) te grube pokazatelje posjeta (broj stranica pregledanih po posjetu i približno trajanje posjeta). I te se vrijednosti pohranjuju isključivo kao agregirani dnevni brojevi bez ikakve poveznice s osobom, a u tu se svrhu na vašem uređaju i dalje ništa ne pohranjuje niti čita.

Na našim javnim informativnim stranicama na adresi www.capwork.io (npr. početna stranica, cijene, rješenja, primjer tvrtke, pravni tekstovi i registracija koja se ondje nudi) upotrebljavamo praćenje konverzija usluge Google Ads tvrtke Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irska) – samo ako u banneru za kolačiće date privolu. Svrha je utvrditi potječe li registracija na platformi Capwork od klika na jedan od naših oglasa koje prikazuje Google; personalizirano oglašavanje i remarketing ne upotrebljavamo. Nakon vaše privole vaš preglednik učitava Google oznaku; Google pritom obrađuje vašu IP adresu, podatke o pregledniku i uređaju, posjećenu stranicu, vrijeme i identifikator klika na oglas te pohranjuje kolačiće kao što su „_gcl_au“ i „_gcl_aw“ (do 90 dana). Dovršena registracija javlja se Googleu bez imena, adrese e-pošte ili podataka o tvrtki. Pravna osnova je vaša privola (čl. 6. st. 1. točka (a) GDPR-a, § 165 st. 3 TKG 2021). Google obrađuje podatke kao samostalni voditelj obrade i može ih prenositi u SAD; društvo Google LLC certificirano je u okviru EU-U.S. Data Privacy Framework. Bez vaše privole Google oznaka se ne učitava. Svoju privolu možete u svakom trenutku s učinkom za budućnost povući putem gumba „Postavke kolačića“ u podnožju naše početne stranice ili u našim Pravilima o kolačićima; tada brišemo kolačiće usluge Google Ads na domeni capwork.io. Vašu odluku pohranjujemo u lokalnoj pohrani vašeg preglednika i nakon dvanaest mjeseci ponovno vas pitamo. Radi dokazivanja vaše privole osim toga svaku odluku u banneru za kolačiće pohranjujemo tri godine na našim poslužiteljima u EU-u – s nasumično generiranim ID-om privole, odlukom i zamijenjenom odlukom, verzijom bannera, jezikom i vremenom, ali bez vaše IP adrese; pravna osnova je čl. 6. st. 1. točka (c) u vezi s čl. 7. st. 1. GDPR-a. ID privole prikazuje vam banner koji otvarate putem gumba „Postavke kolačića“.

Platforma Capwork koristi AI usluge putem Google Vertex AI-a za značajke poput automatskog generiranja podataka o tvrtki, izvješća poslovnih uvida, skeniranja dokumenata vozila i računa, analize povratnih informacija, analize zahtjeva za narudžbu i poruka, prijedloga i nacrta odgovora, automatskog prevođenja sadržaja te generiranja prijedloga slika za usluge i proizvode. Pritom se koriste kako Googleovi vlastiti modeli (npr. Gemini) tako i partnerski modeli koji se pružaju putem Vertex Model Gardena (npr. Anthropic Claude); u oba slučaja zaključivanje u cijelosti provodi Google Cloud u EU-u. Google Vertex AI djeluje kao podizvršitelj obrade u skladu s odredbama AVV-a.

Ako poduzeće koristi dokumentaciju rada na terenu, njegovi zaposlenici mogu diktirati bilješke: Google Vertex AI (Gemini) transkribira snimku u EU-u i na temelju nje izrađuje nacrt teksta izvješća. Capwork ne pohranjuje ni snimku ni transkripciju (vidjeti odjeljak 11b).

Podaci poslani AI uslugama obrađuju se isključivo prema Enterprise uvjetima obrade podataka Google Clouda i uz Region-Pinning na područje EU-a. Osobni podaci poslani AI uslugama ne koriste se za treniranje, poboljšavanje ili razvoj AI modela. To je ugovorno zajamčeno dodatkom Google Clouda o obradi podataka.

Sadržaji koje generira AI – primjerice analize, prijedlozi, nacrti odgovora, podaci očitani iz dokumenata, automatski prijevodi i slike koje generira AI – označeni su kao sadržaji generirani AI-em u korisničkom sučelju platforme i na portalu za kupce u skladu s Aktom EU-a o umjetnoj inteligenciji (čl. 50.). Poruke kupcima koje osoba provjeri na temelju nacrta koji je izradio AI i sama pošalje ne označavaju se posebno kod primatelja jer se šalju pod ljudskom kontrolom i uz uredničku odgovornost; poruke koje generira AI ne šalju se automatski. Ne donose se automatizirane odluke s pravnim ili sličnim značajnim učincima bez ljudskog nadzora.

Možete zatražiti ljudsku provjeru svake odluke generirane AI-em koja vas značajno pogađa slanjem poruke na office@capwork.io.

Capwork e.U. provodi odgovarajuće tehničke i organizacijske mjere prema čl. 32. GDPR-a kako bi osigurao razinu sigurnosti primjerenu riziku. Te mjere uključuju:

• Enkripciju podataka u mirovanju i tijekom prijenosa (TLS 1.2+, AES-256)
• Kontrole pristupa i autorizaciju temeljenu na ulogama (RBAC) pomoću Firebase Authentication
• Hosting infrastrukture na Google Cloud Platformu unutar EU-a (regija europe-west1)
• Redovite sigurnosne provjere, validaciju ulaznih podataka (Zod sheme) i ograničavanje broja zahtjeva
• Zapisnike i revizijske tragove pristupa i izmjena podataka
• Sprječavanje prompt injection napada i sigurnosne mjere za AI za sve podatke koje obrađuje AI

Detaljan opis TOM-ova priložen je Ugovoru o obradi podataka (AVV) i dostupan je na zahtjev.

Prema GDPR-u, imate sljedeća prava u vezi s vašim osobnim podacima:

• Pravo na pristup (čl. 15. GDPR-a): Možete zatražiti informacije o tome koje osobne podatke o vama čuvamo.
• Pravo na ispravak (čl. 16. GDPR-a): Možete zatražiti ispravak netočnih podataka.
• Pravo na brisanje (čl. 17. GDPR-a): Možete zatražiti brisanje svojih podataka, u skladu sa zakonskim obvezama čuvanja.
• Pravo na ograničenje obrade (čl. 18. GDPR-a): Pod određenim uvjetima možete zatražiti ograničenje obrade.
• Pravo na prenosivost podataka (čl. 20. GDPR-a): Možete zatražiti svoje podatke u strukturiranom, strojno čitljivom formatu.
• Pravo na prigovor (čl. 21. GDPR-a): U svakom trenutku možete prigovoriti obradi temeljenoj na legitimnim interesima.

Za ostvarivanje svojih prava kontaktirajte nas na office@capwork.io. Odgovorit ćemo u roku od mjesec dana u skladu s čl. 12. GDPR-a. Krajnji kupci registriranih poduzeća trebali bi se najprije obratiti odgovarajućem poduzeću (voditelju obrade) radi ostvarivanja svojih prava.

Kako bismo zaštitili vaše podatke od neovlaštenog pristupa, provjeravamo identitet svake osobe koja podnese zahtjev za ostvarivanje prava. Zahtjevi podneseni s prijavljenog računa smatraju se provjerenima. Zahtjevi poslani e-poštom potvrđuju se putem poveznice poslane na adresu e-pošte registriranu na računu. U slučaju osnovane sumnje u identitet (čl. 12. st. 6. GDPR-a) možemo zatražiti dodatni dokaz identiteta — primjerice presliku službenog osobnog dokumenta s fotografijom — koji brišemo nakon završene provjere. Potpuno brisanje poslovnog računa može zatražiti samo vlasnik računa ili ovlašteni administrator; pojedini korisnici mogu ostvarivati prava samo u vezi s vlastitim osobnim podacima.

Ako smatrate da obrada vaših osobnih podataka krši propise o zaštiti podataka, imate pravo podnijeti pritužbu Austrijskom nadzornom tijelu za zaštitu podataka:

Zadržavamo pravo ažuriranja ove Politike privatnosti radi odražavanja promjena u našim praksama obrade podataka ili zakonskim zahtjevima. O bitnim promjenama obavijestit ćemo registrirane korisnike e-poštom. Aktualna verzija je uvijek dostupna na ovoj stranici.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-pošta: office@capwork.io