Politika privatnosti

Voditelj obrade osobnih podataka u smislu Opće uredbe o zaštiti podataka (GDPR) i austrijskog Zakona o zaštiti podataka (DSG) je:

Platforma Capwork djeluje kao B2B usluga. Ovisno o kontekstu, različite strane preuzimaju različite uloge u pogledu zaštite podataka prema GDPR-u:

• Ispitanik (Betroffene Person): Krajnji kupac ili fizička osoba čiji se osobni podaci obrađuju (npr. osoba koja rezervira termin ili šalje upit).
• Voditelj obrade (Data Controller): Registrirano poduzeće koje koristi platformu Capwork. Voditelj obrade određuje svrhe i sredstva obrade podataka i odgovoran je za usklađenost s GDPR-om prema svojim krajnjim kupcima.
• Izvršitelj obrade (Data Processor): Capwork e.U. upravlja platformom Capwork kao izvršitelj obrade u ime registriranog poduzeća i obrađuje osobne podatke isključivo prema uputama voditelja obrade i ugovoru o obradi podataka.

Capwork e.U. je voditelj obrade samo za podatke koji se obrađuju u vlastite svrhe (npr. upravljanje korisničkim računima platforme, naplata, sigurnost platforme). Za sve podatke krajnjih kupaca koje unose registrirana poduzeća (npr. pojedinosti rezervacija, komunikacija s kupcima, prenesene datoteke), voditelj obrade je registrirano poduzeće, a Capwork e.U. djeluje isključivo kao izvršitelj obrade prema čl. 28. GDPR-a.

Prikupljamo i obrađujemo sljedeće kategorije osobnih podataka:

• Podaci o računu: adresa e-pošte, lozinka (hashirana), naziv tvrtke, lokacija
• Kontaktni podaci: ime, telefonski broj, adresa e-pošte (pri rezervaciji termina)
• Podaci o plaćanju: ime vlasnika kartice, zadnje četiri znamenke broja kartice (samo za provjeru identiteta)
• Podaci o korištenju: povijest rezervacija, interakcije s kalendarom, konfiguracije modula, dnevnici (log)
• Tehnički podaci: IP adresa, vrsta preglednika, informacije o uređaju, vremenske oznake pristupa
• Podaci krajnjih kupaca: svi osobni podaci koje registrirana poduzeća unose u platformu u ime svojih kupaca (npr. pojedinosti rezervacija, kontaktni podaci, podaci o narudžbama, komunikacija)

Osobne podatke obrađujemo na sljedećim pravnim osnovama prema čl. 6. GDPR-a:

• Čl. 6. st. 1. točka (a) GDPR-a — Privola: Kada ste dali izričitu privolu za određene aktivnosti obrade.
• Čl. 6. st. 1. točka (b) GDPR-a — Ugovor: Obrada koja je nužna za izvršavanje našeg ugovora o uslugama s vama.
• Čl. 6. st. 1. točka (c) GDPR-a — Pravna obveza: Obrada potrebna radi ispunjavanja obveza čuvanja prema austrijskom poreznom i trgovačkom pravu.
• Čl. 6. st. 1. točka (f) GDPR-a — Legitimni interesi: Obrada radi sprječavanja prijevara, sigurnosti platforme i poboljšanja usluge, ako naši interesi nisu nadjačani vašim pravima.

Za podatke krajnjih kupaca koji se obrađuju u ime registriranih poduzeća, pravnu osnovu određuje odgovarajuće poduzeće (voditelj obrade) i dokumentira je u vlastitoj politici privatnosti.

Vaši se osobni podaci obrađuju u sljedeće svrhe:

• Pružanje i upravljanje platformom Capwork i njezinim modulima (termini, narudžbe, upravljanje timom, vozni park, zalihe, financije)
• Izrada korisničkih računa, autentifikacija i upravljanje pristupom
• Obrada rezervacija, narudžbi i komunikacije s kupcima u ime registriranih poduzeća
• Značajke temeljene na AI-u: generiranje podataka o tvrtki, poslovni uvidi, skeniranje dokumenata i analiza povratnih informacija
• Sprječavanje prijevara, provjera identiteta i sigurnost platforme

Budući da Capwork e.U. za registrirana poduzeća djeluje kao izvršitelj obrade (Auftragsverarbeiter), sa svakim registriranim poduzećem u sklopu postupka onboardinga sklapa se Ugovor o obradi podataka (Auftragsverarbeitungsvertrag, AVV) prema čl. 28. GDPR-a.

AVV uređuje:

• Predmet, trajanje, vrstu i svrhu obrade podataka
• Vrste osobnih podataka i kategorije ispitanika
• Obveze i prava voditelja obrade (registriranog poduzeća)
• Tehničke i organizacijske mjere (TOM) za osiguranje sigurnosti podataka (vidjeti odjeljak 13)
• Uporabu i odobrenje podizvršitelja obrade (vidjeti odjeljak 9)
• Obveze brisanja ili vraćanja podataka po prestanku ugovora

Registrirano poduzeće (voditelj obrade) može u bilo kojem trenutku zatražiti primjerak AVV-a slanjem zahtjeva na office@capwork.io.

Osobni podaci čuvaju se samo onoliko dugo koliko je potrebno za ispunjavanje gore navedenih svrha ili koliko je propisano zakonom. Austrijsko trgovačko i porezno pravo (BAO, UGB) može zahtijevati čuvanje određenih podataka do 7 godina.

Nakon raskida računa, vaši osobni podaci bit će izbrisani u roku od 30 dana, osim ako je dulje čuvanje propisano zakonom. Podaci krajnjih kupaca koji se obrađuju u ime registriranih poduzeća brišu se ili vraćaju u skladu s AVV-om.

Vaši podaci mogu se dijeliti sa sljedećim kategorijama primatelja koji djeluju kao podizvršitelji obrade (Unterauftragsverarbeiter) prema čl. 28. GDPR-a:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktura i pohrana podataka (regija EU: europe-west1)
• Google Vertex AI (Google modeli poput Geminija te partnerski modeli iz Vertex Model Gardena, npr. Anthropic Claude; zaključivanje u cijelosti provodi Google Cloud u EU-u) — značajke temeljene na AI-u poput generiranja podataka o tvrtki, uvida, skeniranja dokumenata, obrade računa i analize zahtjeva za narudžbu (podizvršitelj obrade)
• Twilio — dostava SMS i WhatsApp obavijesti (podizvršitelj obrade)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — pretraživanje adresa, prikaz karata i udaljenosti; učitava se i na javnoj stranici za registraciju, pri čemu se vaša IP adresa prenosi Googleu
• Stripe Payments Europe, Ltd. — obrada plaćanja i naplata (podizvršitelj obrade)
• Bird (Bird B.V., Nizozemska) – slanje transakcijske e-pošte (podizvršitelj obrade)
• Google Workspace / Gmail (Google Ireland Limited) — slanje e-pošte platforme registriranim korisnicima (npr. poruke dobrodošlice i uvođenja); obrada unutar EU-a (izvršitelj obrade)

Svi podizvršitelji obrade navedeni su u AVV-u i vezani su ugovorima o obradi podataka prema čl. 28. GDPR-a. Registrirano poduzeće (voditelj obrade) obavještava se o svim promjenama podizvršitelja obrade i ima pravo prigovora. Vaše osobne podatke ne prodajemo trećim stranama.

Neki naši podizvršitelji obrade koriste poslužitelje izvan Europskog gospodarskog prostora (EGP). Ako se podaci prenose u treće zemlje (npr. SAD), osiguravamo odgovarajuće zaštitne mjere, uključujući standardne ugovorne klauzule EU-a (SUK) i odluke Europske komisije o primjerenosti.

Google LLC i Twilio Inc. sudjeluju u okviru EU-SAD za zaštitu privatnosti podataka (EU-U.S. Data Privacy Framework) i time pružaju odgovarajuću razinu zaštite podataka koju priznaje Europska komisija. Mehanizmi prijenosa dokumentirani su u AVV-u.

Platforma Capwork koristi isključivo tehnički nužne kolačiće za autentifikaciju i postavke jezika. Ne koriste se kolačići za praćenje, analitiku ili oglašavanje.

Postavke kolačića možete upravljati u svom pregledniku. Onemogućavanje nužnih kolačića može utjecati na funkcionalnost platforme.

Korištenje naše web-stranice i platforme mjerimo vlastitim statističkim sustavom koji poštuje privatnost, radi bez kolačića i ništa ne pohranjuje na vaš uređaj. Naši poslužitelji čuvaju samo agregirane dnevne brojke (npr. prikaze po stranici); ne izrađuju se korisnički profili niti se podaci dijele s trećim stranama. Za brojanje jedinstvenih posjetitelja IP adresa i identifikator preglednika pretvaraju se u anonimni identifikator pomoću ključa koji se mijenja svakog dana; sama IP adresa nikada se ne pohranjuje, a identifikator se briše u roku od 48 sati i ne može se povezivati između dana. Sva obrada odvija se isključivo na našim poslužiteljima u EU-u (europe-west1). Pravna osnova: naš legitimni interes za razumijevanje i poboljšanje naših usluga (čl. 6. st. 1. t. f GDPR-a). Poštujemo signale preglednika „Do Not Track“ i „Global Privacy Control“ — ako je bilo koji od njih uključen, statistika se uopće ne prikuplja. Osim toga, na isti način brojimo korištenje pojedinih funkcija (primjerice koliko se često upotrebljava određeni gumb) te grube pokazatelje posjeta (broj stranica pregledanih po posjetu i približno trajanje posjeta). I te se vrijednosti pohranjuju isključivo kao agregirani dnevni brojevi bez ikakve poveznice s osobom, a u tu se svrhu na vašem uređaju i dalje ništa ne pohranjuje niti čita.

Platforma Capwork koristi AI usluge putem Google Vertex AI-a za značajke poput automatskog generiranja podataka o tvrtki, izvješća poslovnih uvida, skeniranja dokumenata vozila, obrade računa, analize povratnih informacija i analize zahtjeva za narudžbu. Pritom se koriste kako Googleovi vlastiti modeli (npr. Gemini) tako i partnerski modeli koji se pružaju putem Vertex Model Gardena (npr. Anthropic Claude); u oba slučaja zaključivanje u cijelosti provodi Google Cloud u EU-u. Google Vertex AI djeluje kao podizvršitelj obrade u skladu s odredbama AVV-a.

Podaci poslani AI uslugama obrađuju se isključivo prema Enterprise uvjetima obrade podataka Google Clouda i uz Region-Pinning na područje EU-a. Osobni podaci poslani AI uslugama ne koriste se za treniranje, poboljšavanje ili razvoj AI modela. To je ugovorno zajamčeno dodatkom Google Clouda o obradi podataka.

Svi sadržaji koje generira AI jasno su označeni u korisničkom sučelju u skladu s Aktom EU-a o umjetnoj inteligenciji (čl. 50.). Ne donose se automatizirane odluke s pravnim ili sličnim značajnim učincima bez ljudskog nadzora.

Možete zatražiti ljudsku provjeru svake odluke generirane AI-em koja vas značajno pogađa slanjem poruke na office@capwork.io.

Capwork e.U. provodi odgovarajuće tehničke i organizacijske mjere prema čl. 32. GDPR-a kako bi osigurao razinu sigurnosti primjerenu riziku. Te mjere uključuju:

• Enkripciju podataka u mirovanju i tijekom prijenosa (TLS 1.2+, AES-256)
• Kontrole pristupa i autorizaciju temeljenu na ulogama (RBAC) pomoću Firebase Authentication
• Hosting infrastrukture na Google Cloud Platformu unutar EU-a (regija europe-west1)
• Redovite sigurnosne provjere, validaciju ulaznih podataka (Zod sheme) i ograničavanje broja zahtjeva
• Zapisnike i revizijske tragove pristupa i izmjena podataka
• Sprječavanje prompt injection napada i sigurnosne mjere za AI za sve podatke koje obrađuje AI

Detaljan opis TOM-ova priložen je Ugovoru o obradi podataka (AVV) i dostupan je na zahtjev.

Prema GDPR-u, imate sljedeća prava u vezi s vašim osobnim podacima:

• Pravo na pristup (čl. 15. GDPR-a): Možete zatražiti informacije o tome koje osobne podatke o vama čuvamo.
• Pravo na ispravak (čl. 16. GDPR-a): Možete zatražiti ispravak netočnih podataka.
• Pravo na brisanje (čl. 17. GDPR-a): Možete zatražiti brisanje svojih podataka, u skladu sa zakonskim obvezama čuvanja.
• Pravo na ograničenje obrade (čl. 18. GDPR-a): Pod određenim uvjetima možete zatražiti ograničenje obrade.
• Pravo na prenosivost podataka (čl. 20. GDPR-a): Možete zatražiti svoje podatke u strukturiranom, strojno čitljivom formatu.
• Pravo na prigovor (čl. 21. GDPR-a): U svakom trenutku možete prigovoriti obradi temeljenoj na legitimnim interesima.

Za ostvarivanje svojih prava kontaktirajte nas na office@capwork.io. Odgovorit ćemo u roku od mjesec dana u skladu s čl. 12. GDPR-a. Krajnji kupci registriranih poduzeća trebali bi se najprije obratiti odgovarajućem poduzeću (voditelju obrade) radi ostvarivanja svojih prava.

Ako smatrate da obrada vaših osobnih podataka krši propise o zaštiti podataka, imate pravo podnijeti pritužbu Austrijskom nadzornom tijelu za zaštitu podataka:

Zadržavamo pravo ažuriranja ove Politike privatnosti radi odražavanja promjena u našim praksama obrade podataka ili zakonskim zahtjevima. O bitnim promjenama obavijestit ćemo registrirane korisnike e-poštom. Aktualna verzija je uvijek dostupna na ovoj stranici.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-pošta: office@capwork.io