Informativa sulla privacy

Il titolare del trattamento dei dati ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e della legge austriaca sulla protezione dei dati (DSG) è:

La piattaforma Capwork è gestita come servizio B2B. A seconda del contesto, soggetti diversi assumono ruoli diversi in materia di protezione dei dati ai sensi del GDPR:

• Interessato (Betroffene Person): il cliente finale o la persona fisica i cui dati personali vengono trattati (ad es. una persona che prenota un appuntamento o invia una richiesta).
• Titolare del trattamento (Verantwortlicher): l'azienda registrata che utilizza la piattaforma Capwork. Il titolare del trattamento determina le finalità e i mezzi del trattamento e risponde del rispetto del GDPR nei confronti dei propri clienti finali.
• Responsabile del trattamento (Auftragsverarbeiter): Capwork e.U. gestisce la piattaforma Capwork quale responsabile del trattamento per conto dell'azienda registrata e tratta i dati personali esclusivamente secondo le istruzioni del titolare e l'AVV.

Capwork e.U. è titolare del trattamento solo per i dati trattati per proprie finalità (ad es. gestione degli account della piattaforma, fatturazione, sicurezza della piattaforma, nonché contatto con le aziende tramite lettera di cui alla sezione 11a). Per tutti i dati dei clienti finali inseriti dalle aziende registrate (ad es. dettagli di prenotazione, comunicazioni con i clienti, documenti caricati), l'azienda registrata è il titolare del trattamento e Capwork e.U. agisce esclusivamente come responsabile del trattamento ai sensi dell'art. 28 GDPR.

Raccogliamo e trattiamo le seguenti categorie di dati personali:

• Dati dell'account: indirizzo e-mail, password (con hash), ragione sociale, sede
• Dati di contatto e di prenotazione: nome, numero di telefono, indirizzo e-mail e una nota facoltativa per l'attività (in caso di prenotazione di appuntamenti)
• Dati di pagamento: nome del titolare della carta, ultime quattro cifre del numero di carta (solo ai fini della verifica dell'identità)
• Dati di utilizzo: cronologia delle prenotazioni, interazioni con il calendario, configurazioni dei moduli, dati di log
• Dati tecnici: indirizzo IP, tipo di browser, informazioni sul dispositivo, marche temporali di accesso
• Dati dei clienti finali: tutti i dati personali che le aziende registrate inseriscono nella piattaforma per conto dei propri clienti (ad es. dettagli di prenotazione, informazioni di contatto, dati di ordine, comunicazioni)
• Dati aziendali pubblicati: le informazioni che un'azienda registrata rende pubblicamente accessibili dopo aver attivato il proprio portale clienti (denominazione, descrizione e settore, indirizzo, numero di telefono, sito web, orari di apertura, prestazioni e prezzi), i dati relativi alla sua identità mostrati con prenotazioni e offerte (nome o ragione sociale, indirizzo, dati di contatto e, se del caso, numero di identificazione IVA) nonché le informazioni riportate nella sua pagina delle note legali nel portale clienti (inoltre, ad esempio, dati del registro delle imprese, autorità di vigilanza, camera e norme professionali, oggetto sociale e il link alla sua informativa sulla privacy)
• Segnalazioni ai sensi del regolamento sui servizi digitali: nome e indirizzo e-mail della persona che effettua la segnalazione (facoltativi per le segnalazioni relative a materiale pedopornografico), l'indirizzo segnalato e, se del caso, il contenuto indicato, la categoria e la spiegazione della segnalazione, la lingua, lo stato di elaborazione e la decisione; inoltre, per limitare l'uso improprio del modulo di segnalazione, l'indirizzo IP e l'indirizzo e-mail in forma hash come chiave di un contatore
• Documentazione degli interventi, nella misura in cui un'azienda registrata la utilizzi: tempi di lavoro, di pausa e di viaggio, stato degli interventi, materiale utilizzato, note e foto dei suoi collaboratori nonché foto, note sul luogo, firme e rapporti di intervento relativi ai suoi clienti finali (dettagli nella sezione 11b)

Trattiamo i dati personali sulle seguenti basi giuridiche ai sensi dell'art. 6 GDPR:

• Art. 6, par. 1, lett. a) GDPR — Consenso: qualora abbiate prestato un consenso esplicito per specifiche attività di trattamento.
• Art. 6, par. 1, lett. b) GDPR — Contratto: trattamento necessario all'esecuzione del nostro contratto di servizio con Lei o all'esecuzione di misure precontrattuali adottate su Sua richiesta (ad es. la creazione del Suo account e la conferma del Suo indirizzo e-mail durante la registrazione).
• Art. 6, par. 1, lett. c) GDPR — Obbligo di legge: trattamento necessario per adempiere agli obblighi di conservazione previsti dal diritto commerciale e tributario austriaco.
• Art. 6, par. 1, lett. f) GDPR — Legittimo interesse: trattamento per la prevenzione delle frodi, la sicurezza della piattaforma e il miglioramento del servizio, salvo che prevalgano i suoi diritti.

Per i dati dei clienti finali trattati per conto delle aziende registrate, la base giuridica è determinata dalla singola azienda (titolare del trattamento) ed è documentata nella sua informativa sulla privacy.

Il portale clienti pubblico è disattivato per impostazione predefinita. I dati aziendali ivi visualizzati sono pubblicati esclusivamente su iniziativa dell'azienda registrata, che a tal fine deve attivare espressamente il portale (§ 4 delle condizioni); la base giuridica è l'art. 6, par. 1, lett. b), GDPR. L'azienda stabilisce autonomamente quali dati vengono visualizzati e può limitare la pubblicazione in qualsiasi momento o farla cessare del tutto disattivando il portale.

Trattiamo le segnalazioni di contenuti illegali ai sensi del regolamento sui servizi digitali, le relative decisioni e l'informazione delle parti coinvolte per adempiere ai nostri obblighi di legge di cui agli artt. da 16 a 18 DSA (art. 6, par. 1, lett. c), GDPR). La limitazione del numero di segnalazioni per indirizzo IP e per indirizzo e-mail si basa sul nostro legittimo interesse a una procedura di segnalazione funzionante e protetta dagli abusi (art. 6, par. 1, lett. f), GDPR). Non comunichiamo l'identità della persona che effettua la segnalazione all'azienda interessata.

I suoi dati personali sono trattati per le seguenti finalità:

• Fornitura ed esercizio della piattaforma Capwork e dei suoi moduli (appuntamenti, ordini, gestione del team, parco veicoli, magazzino, finanze)
• Creazione di account utente, autenticazione e gestione degli accessi
• Gestione di prenotazioni, ordini e comunicazioni con i clienti per conto delle aziende registrate
• Documentazione degli interventi presso i clienti finali, della loro accettazione e dei relativi tempi di lavoro, per conto delle aziende registrate, qualora queste utilizzino la documentazione degli interventi (vedi sezione 11b)
• Funzionalità basate sull'IA: generazione di dati aziendali, business insights, scansione di documenti e analisi dei feedback
• Prevenzione delle frodi, verifica dell'identità e sicurezza della piattaforma
• Gestione del portale clienti pubblico di un'azienda registrata, qualora questa abbia attivato il portale
• Gestione delle segnalazioni di contenuti illegali nei portali clienti, decisione sulle misure e informazione delle parti coinvolte ai sensi del regolamento sui servizi digitali
• Misurazione volta a stabilire se le registrazioni derivano dai nostri annunci su Google — solo con il suo consenso (vedi sezione 10)
• Assistenza clienti e supporto: risposta alle sue richieste e ai suoi riscontri e aiuto nella configurazione e nell’uso della piattaforma — anche su nostra iniziativa, tramite messaggi al titolare dell’account nell’area feedback della piattaforma (art. 6, par. 1, lett. b) GDPR). Per questa via non inviamo contenuti pubblicitari.

Poiché Capwork e.U. agisce come responsabile del trattamento (Auftragsverarbeiter) per le aziende registrate, con ciascuna azienda registrata viene concluso, nell'ambito del processo di onboarding, un accordo di trattamento dei dati (Auftragsverarbeitungsvertrag, AVV) ai sensi dell'art. 28 GDPR.

L'AVV disciplina:

• L'oggetto, la durata, la natura e la finalità del trattamento dei dati
• Le categorie di dati personali trattati e le categorie di interessati
• Gli obblighi e i diritti del titolare del trattamento (azienda registrata)
• Le misure tecniche e organizzative (TOM) a garanzia della sicurezza dei dati (vedi sezione 12)
• Il ricorso e l'autorizzazione di sub-responsabili del trattamento (vedi sezione 8)
• Gli obblighi di cancellazione o restituzione dei dati al termine del contratto

L'azienda registrata (titolare del trattamento) può, in qualsiasi momento, richiedere copia dell'AVV scrivendo a office@capwork.io.

I dati personali sono conservati solo per il tempo necessario alle finalità sopra descritte o imposto dalla legge. Il diritto commerciale e tributario austriaco (BAO, UGB) può imporre la conservazione di determinati dati fino a 7 anni.

Dopo la cessazione dell'account, i suoi dati personali saranno cancellati entro 30 giorni, salvo che la legge imponga una conservazione più lunga. I dati dei clienti finali trattati per conto delle aziende registrate saranno cancellati o restituiti conformemente all'AVV. Se durante la registrazione non conferma il suo indirizzo e-mail e non viene creata alcuna azienda, cancelliamo l'account 30 giorni dopo la registrazione o, se successivo, dopo il suo ultimo accesso.

Bird, il fornitore che recapita e-mail e SMS transazionali ai clienti finali delle aziende registrate (ad es. conferme di appuntamento, promemoria e codici di accesso al portale clienti), conserva il contenuto dei messaggi e i dati di traffico per il recapito e la prevenzione degli abusi: SMS fino a 6 mesi, e-mail 72 ore. I sub-responsabili di Bird includono fornitori al di fuori del SEE, coperti dalle clausole contrattuali standard dell’UE.

Cancelliamo le segnalazioni ai sensi del regolamento sui servizi digitali e le registrazioni relative alle limitazioni dei portali clienti sette anni dopo la decisione o dopo la revoca o la scadenza della limitazione; fino ad allora le conserviamo per documentare le nostre decisioni e per difenderci da eventuali pretese (art. 6, par. 1, lett. f), GDPR). Le segnalazioni non ancora decise sono conservate fino alla decisione. I contatori con cui limitiamo il numero di richieste vengono cancellati automaticamente allo scadere della rispettiva finestra temporale.

I suoi dati possono essere comunicati alle seguenti categorie di destinatari, che agiscono in qualità di sub-responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruttura e archiviazione dei dati (regione UE: europe-west1)
• Google Vertex AI (modelli Google come Gemini nonché modelli partner del Vertex Model Garden, ad es. Anthropic Claude; l'inferenza è eseguita interamente da Google Cloud nell'UE) — funzionalità basate sull'IA come la generazione di dati aziendali, gli insights, la scansione di documenti, l'elaborazione delle fatture e l'analisi delle richieste d'ordine (sub-responsabile del trattamento)
• Twilio — invio di notifiche via SMS e WhatsApp (sub-responsabile del trattamento)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — ricerca di indirizzi, visualizzazione di mappe e distanze; viene caricato anche nella pagina pubblica di registrazione, con trasmissione del suo indirizzo IP a Google, nonché all'apertura di un intervento nella vista degli interventi («I miei interventi»), che mostra subito la mappa del luogo dell'intervento
• Stripe Payments Europe, Ltd. — elaborazione dei pagamenti e fatturazione (sub-responsabile del trattamento)
• Bird (Bird B.V., Paesi Bassi) – invio di e-mail e SMS transazionali per conto delle aziende registrate: conferme di appuntamento, promemoria, offerte di orari anticipati, codici di accesso agli account cliente nel portale clienti e avvisi relativi agli interventi (tragitto, ritardo, rapporto di intervento e link di conferma); nonché invio e ricezione tramite i canali e-mail e SMS di tali aziende, compresi gli SMS su un numero dedicato detenuto da Capwork (sub-responsabile)
• Google Workspace / Gmail (Google Ireland Limited) — invio delle e-mail proprie di Capwork: agli utenti registrati (ad es. messaggi di benvenuto e di onboarding nonché motivazioni e comunicazioni relative alle limitazioni dei portali clienti) e alle persone che segnalano contenuti illegali (conferma di ricevimento e decisione); trattamento all’interno dell’UE (responsabile del trattamento)

Tutti i sub-responsabili del trattamento sono elencati nell'AVV e sono vincolati da contratti di trattamento ai sensi dell'art. 28 GDPR. L'azienda registrata (titolare del trattamento) è informata di eventuali modifiche relative ai sub-responsabili del trattamento e ha diritto di opporsi. Non vendiamo i suoi dati personali a terzi.

Alcuni dei nostri sub-responsabili del trattamento utilizzano server situati al di fuori dello Spazio economico europeo (SEE). Qualora i dati siano trasferiti verso paesi terzi (ad es. gli Stati Uniti), ci assicuriamo che siano in essere garanzie adeguate, tra cui le clausole contrattuali tipo (SCC) dell'UE e le decisioni di adeguatezza della Commissione europea.

Google LLC e Twilio Inc. aderiscono all'EU-U.S. Data Privacy Framework, assicurando così un livello adeguato di protezione dei dati riconosciuto dalla Commissione europea. I meccanismi di trasferimento sono documentati nell'AVV.

Senza il suo consenso, la piattaforma Capwork utilizza esclusivamente cookie strettamente necessari per l'autenticazione, le preferenze linguistiche e le impostazioni di visualizzazione da Lei effettuate. Nell'archiviazione locale del suo browser memorizziamo inoltre informazioni strettamente necessarie, come l'accesso all'account cliente nel portale clienti di un'azienda (fino a 30 giorni o fino alla disconnessione), lo schema di colori e la sua scelta nel banner dei cookie. Durante la registrazione vi vengono inoltre conservati per un massimo di sette giorni i dati inseriti fino a quel momento (mai la password), affinché una registrazione non completata possa essere proseguita. Non vengono utilizzati cookie di tracciamento, analitici o pubblicitari, con un'eccezione: sulle nostre pagine informative può acconsentire alla misurazione della nostra pubblicità su Google (ultimo paragrafo della presente sezione). Maggiori dettagli sono disponibili nella nostra Informativa sui cookie.

È possibile gestire le impostazioni dei cookie nel proprio browser. La disattivazione dei cookie necessari può compromettere la funzionalità della piattaforma.

Misuriamo l'utilizzo del nostro sito web e della nostra piattaforma con un sistema di statistiche proprietario e rispettoso della privacy, che funziona senza cookie e senza memorizzare nulla sul suo dispositivo. I nostri server conservano soltanto conteggi aggregati: totali giornalieri (ad es. visualizzazioni per pagina) e, per 100 giorni, il numero di visualizzazioni di pagina e di visitatori conteggiati come nuovi per ogni intervallo di 15 minuti della giornata; non vengono creati profili utente né condivisi dati con terzi. Per contare i visitatori unici, l'indirizzo IP e l'identificativo del browser vengono combinati in un identificativo anonimo mediante una chiave che cambia ogni giorno; l'indirizzo IP non viene mai memorizzato e l'identificativo viene eliminato entro 48 ore e non può essere collegato tra giorni diversi. Tutto il trattamento avviene esclusivamente sui nostri server nell'UE (europe-west1). Base giuridica: il nostro legittimo interesse a comprendere e migliorare i nostri servizi (art. 6, par. 1, lett. f del GDPR). Rispettiamo i segnali del browser «Do Not Track» e «Global Privacy Control»: se uno di essi è attivo, non viene raccolta alcuna statistica. Inoltre, conteggiamo allo stesso modo l'utilizzo delle singole funzioni (ad esempio con quale frequenza viene premuto un determinato pulsante) e metriche di visita approssimative (il numero di pagine visualizzate per visita e la durata approssimativa della visita). Anche questi valori vengono memorizzati esclusivamente come conteggi giornalieri aggregati senza alcun riferimento personale e, a tale scopo, sul suo dispositivo non viene memorizzato né letto nulla.

Sulle nostre pagine informative pubbliche all'indirizzo www.capwork.io (ad es. pagina iniziale, prezzi, soluzioni, azienda di esempio, testi legali e la registrazione ivi offerta) utilizziamo il monitoraggio delle conversioni di Google Ads di Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda) — solo se acconsente nel banner dei cookie. La finalità è stabilire se una registrazione a Capwork deriva da un clic su uno dei nostri annunci su Google; non utilizziamo pubblicità personalizzata né remarketing. Una volta prestato il consenso, il suo browser carica il tag Google; in tale contesto Google tratta il suo indirizzo IP, informazioni sul browser e sul dispositivo, la pagina visitata, la data e l'ora e l'identificativo di clic di un annuncio, e memorizza cookie come «_gcl_au» e «_gcl_aw» (fino a 90 giorni). Una registrazione completata viene comunicata a Google senza nome, indirizzo e-mail o dati aziendali. La base giuridica è il suo consenso (art. 6, par. 1, lett. a del GDPR e § 165, comma 3, TKG 2021). Google tratta i dati in qualità di titolare autonomo del trattamento e può trasferirli negli Stati Uniti; Google LLC è certificata ai sensi dell'EU-U.S. Data Privacy Framework. Senza il suo consenso il tag Google non viene caricato. Può revocare il suo consenso in qualsiasi momento con effetto per il futuro tramite «Impostazioni dei cookie» nel piè di pagina della nostra pagina iniziale o nella nostra Informativa sui cookie; in tal caso cancelliamo i cookie di Google Ads su capwork.io. Memorizziamo la sua scelta nell'archiviazione locale del suo browser e dopo dodici mesi Le chiediamo nuovamente di scegliere. Per dimostrare il suo consenso memorizziamo inoltre ogni scelta effettuata nel banner dei cookie per tre anni sui nostri server nell'UE — con un identificativo del consenso generato casualmente, la scelta e la scelta sostituita, la versione del banner, la lingua e la data e l'ora, ma senza il suo indirizzo IP; la base giuridica è l'art. 6, par. 1, lett. c in combinato disposto con l'art. 7, par. 1 del GDPR. Il banner Le mostra l'identificativo del consenso alla voce «Impostazioni dei cookie».

La piattaforma Capwork utilizza servizi di IA tramite Google Vertex AI per funzionalità quali la generazione automatica di dati aziendali, i report di business insights, la scansione di documenti dei veicoli e di ricevute, l'analisi dei feedback, l'analisi delle richieste d'ordine e dei messaggi, i suggerimenti e le bozze di risposta, la traduzione automatica dei contenuti nonché la generazione di proposte di immagini per prestazioni e prodotti. A tal fine vengono impiegati sia i modelli propri di Google (ad es. Gemini) sia i modelli partner forniti tramite il Vertex Model Garden (ad es. Anthropic Claude); in entrambi i casi l'inferenza è eseguita interamente da Google Cloud nell'UE. Google Vertex AI agisce come sub-responsabile del trattamento in conformità alle disposizioni dell'AVV.

Nella misura in cui un'azienda utilizzi la documentazione degli interventi, i suoi collaboratori possono dettare note: Google Vertex AI (Gemini) trascrive la registrazione nell'UE e ne ricava una bozza del testo del rapporto. Capwork non memorizza né la registrazione né la trascrizione (vedi sezione 11b).

I dati inviati ai servizi di IA sono trattati esclusivamente in base alle condizioni Enterprise di trattamento dei dati di Google Cloud e con Region-Pinning sull'area dell'UE. I dati personali inviati ai servizi di IA non vengono utilizzati per addestrare, migliorare o sviluppare modelli di IA. Ciò è contrattualmente garantito dall'addendum sul trattamento dei dati di Google Cloud.

I contenuti generati dall'IA — ad esempio analisi, suggerimenti, bozze di risposta, dati estratti da documenti, traduzioni automatiche e immagini generate dall'IA — sono contrassegnati come generati dall'IA nell'interfaccia utente della piattaforma e nel portale clienti in conformità al regolamento UE sull'IA (art. 50). I messaggi ai clienti che una persona verifica sulla base di una bozza dell'IA e invia personalmente non sono contrassegnati separatamente presso il destinatario, poiché sono inviati sotto controllo umano e con responsabilità editoriale; i messaggi generati dall'IA non vengono inviati automaticamente. Non vengono assunte decisioni automatizzate che producano effetti giuridici o effetti analogamente significativi senza supervisione umana.

Può richiedere la revisione umana di qualsiasi decisione generata dall'IA che La riguardi in modo significativo contattandoci all'indirizzo office@capwork.io.

Capwork e.U. adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR per garantire un livello di sicurezza adeguato al rischio. Tali misure comprendono:

• Cifratura dei dati a riposo e in transito (TLS 1.2+, AES-256)
• Controlli degli accessi e autorizzazione basata sui ruoli (RBAC) con Firebase Authentication
• Hosting dell'infrastruttura su Google Cloud Platform all'interno dell'UE (regione europe-west1)
• Revisioni periodiche di sicurezza, validazione degli input (schemi Zod) e rate limiting
• Registrazione e audit trail degli accessi e delle modifiche dei dati
• Prevenzione del prompt injection e misure di sicurezza dell'IA per tutti i dati trattati tramite IA

Una descrizione dettagliata delle TOM è allegata all'AVV ed è disponibile su richiesta.

Ai sensi del GDPR Le spettano i seguenti diritti in relazione ai suoi dati personali:

• Diritto di accesso (art. 15 GDPR): può chiedere informazioni sui dati personali che La riguardano e che deteniamo.
• Diritto di rettifica (art. 16 GDPR): può chiedere la rettifica di dati inesatti.
• Diritto alla cancellazione (art. 17 GDPR): può chiedere la cancellazione dei suoi dati, fatti salvi gli obblighi di legge di conservazione.
• Diritto alla limitazione del trattamento (art. 18 GDPR): può chiedere, a determinate condizioni, la limitazione del trattamento.
• Diritto alla portabilità dei dati (art. 20 GDPR): può chiedere i suoi dati in un formato strutturato e leggibile da dispositivo automatico.
• Diritto di opposizione (art. 21 GDPR): può opporsi in qualsiasi momento al trattamento fondato sul legittimo interesse.

Per esercitare i suoi diritti ci contatti all'indirizzo office@capwork.io. Risponderemo entro un mese, come previsto dall'art. 12 GDPR. I clienti finali delle aziende registrate devono rivolgersi in primo luogo alla rispettiva azienda (titolare del trattamento) per esercitare i propri diritti.

Al fine di proteggere i suoi dati da accessi non autorizzati, verifichiamo l'identità di chiunque presenti una richiesta di esercizio dei propri diritti. Le richieste provenienti da un account autenticato sono considerate verificate. Le richieste ricevute per e-mail sono confermate tramite un link inviato all'indirizzo e-mail registrato sull'account. In caso di dubbi ragionevoli sull'identità (art. 12, par. 6, GDPR) possiamo richiedere ulteriori prove di identità — ad es. la copia di un documento di identità ufficiale con fotografia —, che verranno cancellate al termine della verifica. La cancellazione integrale di un account aziendale può essere richiesta esclusivamente dal titolare dell'account o da una persona amministrativa autorizzata; i singoli utenti possono esercitare i propri diritti unicamente in relazione ai propri dati personali.

Qualora ritenga che il trattamento dei suoi dati personali violi la normativa in materia di protezione dei dati, ha il diritto di proporre reclamo all'Autorità austriaca per la protezione dei dati:

Ci riserviamo il diritto di aggiornare la presente Informativa sulla privacy per riflettere modifiche delle nostre prassi di trattamento dei dati o dei requisiti di legge. Le modifiche sostanziali saranno comunicate agli utenti registrati via e-mail. La versione in vigore è sempre disponibile su questa pagina.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io