Informativa sulla privacy

Il titolare del trattamento dei dati ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e della legge austriaca sulla protezione dei dati (DSG) è:

La piattaforma Capwork è gestita come servizio B2B. A seconda del contesto, soggetti diversi assumono ruoli diversi in materia di protezione dei dati ai sensi del GDPR:

• Interessato (Betroffene Person): il cliente finale o la persona fisica i cui dati personali vengono trattati (ad es. una persona che prenota un appuntamento o invia una richiesta).
• Titolare del trattamento (Verantwortlicher): l'azienda registrata che utilizza la piattaforma Capwork. Il titolare del trattamento determina le finalità e i mezzi del trattamento e risponde del rispetto del GDPR nei confronti dei propri clienti finali.
• Responsabile del trattamento (Auftragsverarbeiter): Capwork e.U. gestisce la piattaforma Capwork quale responsabile del trattamento per conto dell'azienda registrata e tratta i dati personali esclusivamente secondo le istruzioni del titolare e l'AVV.

Capwork e.U. è titolare del trattamento solo per i dati trattati per proprie finalità (ad es. gestione degli account della piattaforma, fatturazione, sicurezza della piattaforma). Per tutti i dati dei clienti finali inseriti dalle aziende registrate (ad es. dettagli di prenotazione, comunicazioni con i clienti, documenti caricati), l'azienda registrata è il titolare del trattamento e Capwork e.U. agisce esclusivamente come responsabile del trattamento ai sensi dell'art. 28 GDPR.

Raccogliamo e trattiamo le seguenti categorie di dati personali:

• Dati dell'account: indirizzo e-mail, password (con hash), ragione sociale, sede
• Dati di contatto: nome, numero di telefono, indirizzo e-mail (in caso di prenotazione di appuntamenti)
• Dati di pagamento: nome del titolare della carta, ultime quattro cifre del numero di carta (solo ai fini della verifica dell'identità)
• Dati di utilizzo: cronologia delle prenotazioni, interazioni con il calendario, configurazioni dei moduli, dati di log
• Dati tecnici: indirizzo IP, tipo di browser, informazioni sul dispositivo, marche temporali di accesso
• Dati dei clienti finali: tutti i dati personali che le aziende registrate inseriscono nella piattaforma per conto dei propri clienti (ad es. dettagli di prenotazione, informazioni di contatto, dati di ordine, comunicazioni)

Trattiamo i dati personali sulle seguenti basi giuridiche ai sensi dell'art. 6 GDPR:

• Art. 6, par. 1, lett. a) GDPR — Consenso: qualora abbiate prestato un consenso esplicito per specifiche attività di trattamento.
• Art. 6, par. 1, lett. b) GDPR — Contratto: trattamento necessario all'esecuzione del nostro contratto di servizio con voi.
• Art. 6, par. 1, lett. c) GDPR — Obbligo di legge: trattamento necessario per adempiere agli obblighi di conservazione previsti dal diritto commerciale e tributario austriaco.
• Art. 6, par. 1, lett. f) GDPR — Legittimo interesse: trattamento per la prevenzione delle frodi, la sicurezza della piattaforma e il miglioramento del servizio, salvo che prevalgano i vostri diritti.

Per i dati dei clienti finali trattati per conto delle aziende registrate, la base giuridica è determinata dalla singola azienda (titolare del trattamento) ed è documentata nella sua informativa sulla privacy.

I vostri dati personali sono trattati per le seguenti finalità:

• Fornitura ed esercizio della piattaforma Capwork e dei suoi moduli (appuntamenti, ordini, gestione del team, parco veicoli, magazzino, finanze)
• Creazione di account utente, autenticazione e gestione degli accessi
• Gestione di prenotazioni, ordini e comunicazioni con i clienti per conto delle aziende registrate
• Funzionalità basate sull'IA: generazione di dati aziendali, business insights, scansione di documenti e analisi dei feedback
• Prevenzione delle frodi, verifica dell'identità e sicurezza della piattaforma

Poiché Capwork e.U. agisce come responsabile del trattamento (Auftragsverarbeiter) per le aziende registrate, con ciascuna azienda registrata viene concluso, nell'ambito del processo di onboarding, un accordo di trattamento dei dati (Auftragsverarbeitungsvertrag, AVV) ai sensi dell'art. 28 GDPR.

L'AVV disciplina:

• L'oggetto, la durata, la natura e la finalità del trattamento dei dati
• Le categorie di dati personali trattati e le categorie di interessati
• Gli obblighi e i diritti del titolare del trattamento (azienda registrata)
• Le misure tecniche e organizzative (TOM) a garanzia della sicurezza dei dati (vedi sezione 13)
• Il ricorso e l'autorizzazione di sub-responsabili del trattamento (vedi sezione 9)
• Gli obblighi di cancellazione o restituzione dei dati al termine del contratto

L'azienda registrata (titolare del trattamento) può, in qualsiasi momento, richiedere copia dell'AVV scrivendo a office@capwork.io.

I dati personali sono conservati solo per il tempo necessario alle finalità sopra descritte o imposto dalla legge. Il diritto commerciale e tributario austriaco (BAO, UGB) può imporre la conservazione di determinati dati fino a 7 anni.

Dopo la cessazione dell'account, i vostri dati personali saranno cancellati entro 30 giorni, salvo che la legge imponga una conservazione più lunga. I dati dei clienti finali trattati per conto delle aziende registrate saranno cancellati o restituiti conformemente all'AVV.

I vostri dati possono essere comunicati alle seguenti categorie di destinatari, che agiscono in qualità di sub-responsabili del trattamento ai sensi dell'art. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruttura e archiviazione dei dati (regione UE: europe-west1)
• Google Vertex AI (modelli Google come Gemini nonché modelli partner del Vertex Model Garden, ad es. Anthropic Claude; l'inferenza è eseguita interamente da Google Cloud nell'UE) — funzionalità basate sull'IA come la generazione di dati aziendali, gli insights, la scansione di documenti, l'elaborazione delle fatture e l'analisi delle richieste d'ordine (sub-responsabile del trattamento)
• Twilio — invio di notifiche via SMS e WhatsApp (sub-responsabile del trattamento)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — ricerca di indirizzi, visualizzazione di mappe e distanze; viene caricato anche nella pagina pubblica di registrazione, con trasmissione del vostro indirizzo IP a Google
• Stripe Payments Europe, Ltd. — elaborazione dei pagamenti e fatturazione (sub-responsabile del trattamento)
• Bird (Bird B.V., Paesi Bassi) – invio di email transazionali (sub-responsabile)
• Google Workspace / Gmail (Google Ireland Limited) — invio di e-mail della piattaforma agli utenti registrati (ad es. messaggi di benvenuto e di onboarding); trattamento all’interno dell’UE (responsabile del trattamento)

Tutti i sub-responsabili del trattamento sono elencati nell'AVV e sono vincolati da contratti di trattamento ai sensi dell'art. 28 GDPR. L'azienda registrata (titolare del trattamento) è informata di eventuali modifiche relative ai sub-responsabili del trattamento e ha diritto di opporsi. Non vendiamo i vostri dati personali a terzi.

Alcuni dei nostri sub-responsabili del trattamento utilizzano server situati al di fuori dello Spazio economico europeo (SEE). Qualora i dati siano trasferiti verso paesi terzi (ad es. gli Stati Uniti), ci assicuriamo che siano in essere garanzie adeguate, tra cui le clausole contrattuali tipo (SCC) dell'UE e le decisioni di adeguatezza della Commissione europea.

Google LLC e Twilio Inc. aderiscono all'EU-U.S. Data Privacy Framework, assicurando così un livello adeguato di protezione dei dati riconosciuto dalla Commissione europea. I meccanismi di trasferimento sono documentati nell'AVV.

La piattaforma Capwork utilizza esclusivamente cookie strettamente necessari per l'autenticazione e le preferenze linguistiche. Non vengono utilizzati cookie di tracciamento, analitici o pubblicitari.

È possibile gestire le impostazioni dei cookie nel proprio browser. La disattivazione dei cookie necessari può compromettere la funzionalità della piattaforma.

Misuriamo l'utilizzo del nostro sito web e della nostra piattaforma con un sistema di statistiche proprietario e rispettoso della privacy, che funziona senza cookie e senza memorizzare nulla sul suo dispositivo. I nostri server conservano soltanto conteggi giornalieri aggregati (ad es. visualizzazioni per pagina); non vengono creati profili utente né condivisi dati con terzi. Per contare i visitatori unici, l'indirizzo IP e l'identificativo del browser vengono combinati in un identificativo anonimo mediante una chiave che cambia ogni giorno; l'indirizzo IP non viene mai memorizzato e l'identificativo viene eliminato entro 48 ore e non può essere collegato tra giorni diversi. Tutto il trattamento avviene esclusivamente sui nostri server nell'UE (europe-west1). Base giuridica: il nostro legittimo interesse a comprendere e migliorare i nostri servizi (art. 6, par. 1, lett. f del GDPR). Rispettiamo i segnali del browser «Do Not Track» e «Global Privacy Control»: se uno di essi è attivo, non viene raccolta alcuna statistica. Inoltre, conteggiamo allo stesso modo l'utilizzo delle singole funzioni (ad esempio con quale frequenza viene premuto un determinato pulsante) e metriche di visita approssimative (il numero di pagine visualizzate per visita e la durata approssimativa della visita). Anche questi valori vengono memorizzati esclusivamente come conteggi giornalieri aggregati senza alcun riferimento personale e, a tale scopo, sul suo dispositivo non viene memorizzato né letto nulla.

La piattaforma Capwork utilizza servizi di IA tramite Google Vertex AI per funzionalità quali la generazione automatica di dati aziendali, i report di business insights, la scansione di documenti dei veicoli, l'elaborazione delle fatture, l'analisi dei feedback e l'analisi delle richieste d'ordine. A tal fine vengono impiegati sia i modelli propri di Google (ad es. Gemini) sia i modelli partner forniti tramite il Vertex Model Garden (ad es. Anthropic Claude); in entrambi i casi l'inferenza è eseguita interamente da Google Cloud nell'UE. Google Vertex AI agisce come sub-responsabile del trattamento in conformità alle disposizioni dell'AVV.

I dati inviati ai servizi di IA sono trattati esclusivamente in base alle condizioni Enterprise di trattamento dei dati di Google Cloud e con Region-Pinning sull'area dell'UE. I dati personali inviati ai servizi di IA non vengono utilizzati per addestrare, migliorare o sviluppare modelli di IA. Ciò è contrattualmente garantito dall'addendum sul trattamento dei dati di Google Cloud.

Tutti i contenuti generati dall'IA sono chiaramente contrassegnati nell'interfaccia utente in conformità al regolamento UE sull'IA (art. 50). Non vengono assunte decisioni automatizzate che producano effetti giuridici o effetti analogamente significativi senza supervisione umana.

Potete richiedere la revisione umana di qualsiasi decisione generata dall'IA che vi riguardi in modo significativo contattandoci all'indirizzo office@capwork.io.

Capwork e.U. adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR per garantire un livello di sicurezza adeguato al rischio. Tali misure comprendono:

• Cifratura dei dati a riposo e in transito (TLS 1.2+, AES-256)
• Controlli degli accessi e autorizzazione basata sui ruoli (RBAC) con Firebase Authentication
• Hosting dell'infrastruttura su Google Cloud Platform all'interno dell'UE (regione europe-west1)
• Revisioni periodiche di sicurezza, validazione degli input (schemi Zod) e rate limiting
• Registrazione e audit trail degli accessi e delle modifiche dei dati
• Prevenzione del prompt injection e misure di sicurezza dell'IA per tutti i dati trattati tramite IA

Una descrizione dettagliata delle TOM è allegata all'AVV ed è disponibile su richiesta.

Ai sensi del GDPR vi spettano i seguenti diritti in relazione ai vostri dati personali:

• Diritto di accesso (art. 15 GDPR): potete chiedere informazioni sui dati personali che vi riguardano e che deteniamo.
• Diritto di rettifica (art. 16 GDPR): potete chiedere la rettifica di dati inesatti.
• Diritto alla cancellazione (art. 17 GDPR): potete chiedere la cancellazione dei vostri dati, fatti salvi gli obblighi di legge di conservazione.
• Diritto alla limitazione del trattamento (art. 18 GDPR): potete chiedere, a determinate condizioni, la limitazione del trattamento.
• Diritto alla portabilità dei dati (art. 20 GDPR): potete chiedere i vostri dati in un formato strutturato e leggibile da dispositivo automatico.
• Diritto di opposizione (art. 21 GDPR): potete opporvi in qualsiasi momento al trattamento fondato sul legittimo interesse.

Per esercitare i vostri diritti contattateci all'indirizzo office@capwork.io. Risponderemo entro un mese, come previsto dall'art. 12 GDPR. I clienti finali delle aziende registrate devono rivolgersi in primo luogo alla rispettiva azienda (titolare del trattamento) per esercitare i propri diritti.

Qualora riteniate che il trattamento dei vostri dati personali violi la normativa in materia di protezione dei dati, avete il diritto di proporre reclamo all'Autorità austriaca per la protezione dei dati:

Ci riserviamo il diritto di aggiornare la presente Informativa sulla privacy per riflettere modifiche delle nostre prassi di trattamento dei dati o dei requisiti di legge. Le modifiche sostanziali saranno comunicate agli utenti registrati via e-mail. La versione in vigore è sempre disponibile su questa pagina.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io