Privatumo politika

Duomenų valdytojas, atsakingas už duomenų tvarkymą pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) ir Austrijos duomenų apsaugos įstatymą (DSG), yra:

Capwork platforma veikia kaip B2B paslauga. Priklausomai nuo konteksto, skirtingos šalys atlieka skirtingus duomenų apsaugos vaidmenis pagal BDAR:

• Duomenų subjektas: galutinis klientas arba fizinis asmuo, kurio asmens duomenys yra tvarkomi (pvz., asmuo, užsakantis susitikimą arba siunčiantis užklausą).
• Duomenų valdytojas (Data Controller): užsiregistravusi įmonė, kuri naudojasi Capwork platforma. Valdytojas nustato duomenų tvarkymo tikslus ir priemones ir yra atsakingas už BDAR laikymąsi savo galutinių klientų atžvilgiu.
• Duomenų tvarkytojas (Data Processor): Capwork e.U. eksploatuoja Capwork platformą kaip duomenų tvarkytojas užsiregistravusios įmonės vardu ir tvarko asmens duomenis tik pagal valdytojo nurodymus ir duomenų tvarkymo sutartį.

Capwork e.U. yra duomenų valdytojas tik tiems duomenims, kurie tvarkomi savais tikslais (pvz., platformos paskyrų administravimas, sąskaitų išrašymas, platformos saugumas). Visiems galutinių klientų duomenims, kuriuos į platformą įveda užsiregistravusios įmonės (pvz., rezervavimo duomenys, bendravimas su klientais, įkelti dokumentai), duomenų valdytojas yra užsiregistravusi įmonė, o Capwork e.U. veikia tik kaip duomenų tvarkytojas pagal BDAR 28 str.

Renkame ir tvarkome šias asmens duomenų kategorijas:

• Paskyros duomenys: el. pašto adresas, slaptažodis (maišytas), įmonės pavadinimas, vieta
• Kontaktiniai duomenys: vardas, telefono numeris, el. pašto adresas (susitarus dėl susitikimų)
• Mokėjimo duomenys: kortelės turėtojo vardas, paskutiniai keturi kortelės numerio skaitmenys (tik tapatybei patikrinti)
• Naudojimo duomenys: rezervavimo istorija, kalendoriaus sąveika, modulių konfigūracijos, žurnalų duomenys
• Techniniai duomenys: IP adresas, naršyklės tipas, įrenginio informacija, prieigos laiko žymės
• Galutinių klientų duomenys: visi asmens duomenys, kuriuos užsiregistravusios įmonės įveda į platformą savo klientų vardu (pvz., rezervavimo duomenys, kontaktinė informacija, užsakymų duomenys, susirašinėjimas)

Asmens duomenis tvarkome šiais teisiniais pagrindais pagal BDAR 6 str.:

• BDAR 6 str. 1 d. a p. – sutikimas: kai davėte aiškų sutikimą dėl konkrečių tvarkymo veiksmų.
• BDAR 6 str. 1 d. b p. – sutartis: tvarkymas, būtinas mūsų paslaugų sutarties su jumis vykdymui.
• BDAR 6 str. 1 d. c p. – teisinė prievolė: tvarkymas, būtinas vykdant mokesčių ir komercinės teisės saugojimo pareigas pagal Austrijos teisę.
• BDAR 6 str. 1 d. f p. – teisėti interesai: tvarkymas sukčiavimo prevencijai, platformos saugumui ir paslaugos tobulinimui, kai mūsų interesų nenusveria jūsų teisės.

Galutinių klientų duomenims, tvarkomiems užsiregistravusios įmonės vardu, teisinį pagrindą nustato atitinkama įmonė (duomenų valdytojas), ir jis yra nurodomas jos pačios privatumo politikoje.

Jūsų asmens duomenys tvarkomi šiais tikslais:

• Capwork platformos ir jos modulių (susitikimai, užsakymai, komandos valdymas, transporto parkas, inventorius, finansai) teikimas ir eksploatavimas
• Naudotojų paskyrų kūrimas, autentifikavimas ir prieigos valdymas
• Rezervavimų, užsakymų ir bendravimo su klientais tvarkymas užsiregistravusių įmonių vardu
• DI pagrįstos funkcijos: įmonės duomenų generavimas, verslo įžvalgos, dokumentų skenavimas ir atsiliepimų analizė
• Sukčiavimo prevencija, tapatybės patikrinimas ir platformos saugumas

Kadangi Capwork e.U. veikia kaip duomenų tvarkytojas užsiregistravusių įmonių vardu, su kiekviena užsiregistravusia įmone įdarbinimo proceso metu sudaroma duomenų tvarkymo sutartis (Auftragsverarbeitungsvertrag, AVV) pagal BDAR 28 str.

AVV reglamentuoja:

• duomenų tvarkymo dalyką, trukmę, pobūdį ir tikslą
• tvarkomų asmens duomenų rūšis ir duomenų subjektų kategorijas
• duomenų valdytojo (užsiregistravusios įmonės) pareigas ir teises
• technines ir organizacines priemones (TOMs), skirtas duomenų saugumui užtikrinti (žr. 13 skyrių)
• subtvarkytojų pasitelkimą ir patvirtinimą (žr. 9 skyrių)
• pareigas dėl duomenų ištrynimo ar grąžinimo nutraukus sutartį

Užsiregistravusi įmonė (duomenų valdytojas) bet kuriuo metu gali paprašyti AVV kopijos adresu office@capwork.io.

Asmens duomenys saugomi tik tiek, kiek būtina pirmiau aprašytiems tikslams pasiekti arba kiek reikalauja įstatymai. Austrijos prekybos ir mokesčių teisė (BAO, UGB) gali reikalauti tam tikrų duomenų saugojimo iki 7 metų.

Nutraukus paskyrą, jūsų asmens duomenys ištrinami per 30 dienų, nebent įstatymai reikalauja ilgesnio saugojimo. Galutinių klientų duomenys, tvarkomi užsiregistravusios įmonės vardu, ištrinami arba grąžinami pagal AVV.

Jūsų duomenys gali būti perduoti šių kategorijų gavėjams, veikiantiems kaip subtvarkytojai pagal BDAR 28 str.:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) – infrastruktūra ir duomenų saugojimas (ES regionas: europe-west1)
• Google Vertex AI (Google modeliai, pvz., Gemini, taip pat partnerių modeliai iš Vertex Model Garden, pvz., Anthropic Claude; inferencija visiškai vykdoma Google Cloud ES) — DI pagrįstos funkcijos, tokios kaip įmonės duomenų generavimas, įžvalgos, dokumentų skenavimas, sąskaitų faktūrų apdorojimas ir užsakymų užklausų analizė (subtvarkytojas)
• Twilio – SMS ir WhatsApp pranešimų pristatymas (subtvarkytojas)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — adresų paieška, žemėlapių ir atstumų rodymas; įkeliama ir viešame registracijos puslapyje, o jūsų IP adresas perduodamas Google
• Stripe Payments Europe, Ltd. — mokėjimų apdorojimas ir atsiskaitymas (subtvarkytojas)
• Bird (Bird B.V., Nyderlandai) – operacinių el. laiškų siuntimas (tolesnis duomenų tvarkytojas)
• Google Workspace / Gmail (Google Ireland Limited) — platformos el. laiškų siuntimas registruotiems naudotojams (pvz., pasveikinimo ir supažindinimo žinutės); tvarkymas ES teritorijoje (duomenų tvarkytojas)

Visi subtvarkytojai yra nurodyti AVV ir yra saistomi duomenų tvarkymo sutarčių pagal BDAR 28 str. Užsiregistravusi įmonė (duomenų valdytojas) informuojama apie subtvarkytojų pakeitimus ir turi teisę nesutikti. Jūsų asmens duomenų neparduodame tretiesiems asmenims.

Kai kurie mūsų subtvarkytojai eksploatuoja serverius už Europos ekonominės erdvės (EEE) ribų. Jei duomenys perduodami į trečiąsias šalis (pvz., JAV), užtikriname tinkamas garantijas, įskaitant ES standartines sutartines sąlygas (SCC) ir Europos Komisijos tinkamumo sprendimus.

Google LLC ir Twilio Inc. dalyvauja ES ir JAV duomenų privatumo sistemoje (EU-U.S. Data Privacy Framework) ir taip užtikrina pakankamą duomenų apsaugos lygį, kaip pripažino Europos Komisija. Perdavimo mechanizmai dokumentuojami AVV.

Capwork platforma naudoja tik techniškai būtinus slapukus autentifikacijai ir kalbos nustatymams. Stebėjimo, analizės ar reklamos slapukų nenaudojame.

Slapukų nustatymus galite tvarkyti savo naršyklėje. Būtinų slapukų išjungimas gali paveikti platformos funkcionalumą.

Mūsų svetainės ir platformos naudojimą matuojame privatumui palankia, pačių valdoma statistikos sistema, kuri veikia be slapukų ir nieko neišsaugo jūsų įrenginyje. Mūsų serveriai saugo tik apibendrintus dienos skaičius (pvz., puslapių peržiūras pagal puslapį); naudotojų profiliai nekuriami, o duomenys tretiesiems asmenims neperduodami. Unikaliems lankytojams skaičiuoti IP adresas ir naršyklės identifikatorius kasdien keičiamu raktu paverčiami anoniminiu identifikatoriumi; pats IP adresas niekada nesaugomas, o identifikatorius ištrinamas per 48 valandas ir jo negalima susieti tarp skirtingų dienų. Visas tvarkymas vyksta išimtinai mūsų serveriuose ES (europe-west1). Teisinis pagrindas: mūsų teisėtas interesas suprasti ir tobulinti savo paslaugas (BDAR 6 str. 1 d. f p.). Gerbiame naršyklės signalus „Do Not Track“ ir „Global Privacy Control“ — jei kuris nors iš jų įjungtas, statistika visai nerenkama. Be to, tokiu pat būdu skaičiuojame atskirų funkcijų naudojimą (pavyzdžiui, kaip dažnai naudojamas tam tikras mygtukas) ir apytiksles apsilankymų metrikas (per apsilankymą peržiūrėtų puslapių skaičių ir apytikslę apsilankymo trukmę). Šios reikšmės taip pat saugomos tik kaip apibendrinti dienos skaičiavimai be jokios sąsajos su asmeniu, o tam jūsų įrenginyje ir toliau niekas nesaugoma ir neskaitoma.

Capwork platforma naudoja DI paslaugas per Google Vertex AI tokioms funkcijoms kaip automatinis įmonės duomenų generavimas, verslo įžvalgų ataskaitos, transporto priemonių dokumentų skenavimas, sąskaitų faktūrų apdorojimas, atsiliepimų analizė ir užsakymų užklausų analizė. Naudojami tiek nuosavi Google modeliai (pvz., Gemini), tiek per Vertex Model Garden teikiami partnerių modeliai (pvz., Anthropic Claude); abiem atvejais inferencija visiškai vykdoma Google Cloud ES. Google Vertex AI veikia kaip subtvarkytojas pagal AVV nuostatas.

DI paslaugoms siunčiami duomenys tvarkomi išimtinai pagal Google Cloud Enterprise duomenų tvarkymo sąlygas ir su Region-Pinning į ES erdvę. DI paslaugoms perduodami asmens duomenys nenaudojami DI modeliams mokyti, tobulinti ar kurti. Tai sutartiškai garantuojama Google Cloud duomenų tvarkymo priedu.

Visas DI sugeneruotas turinys vartotojo sąsajoje aiškiai pažymėtas pagal ES DI aktą (50 str.). Automatizuoti sprendimai, turintys teisinių ar panašiai reikšmingų pasekmių, nepriimami be žmogaus priežiūros.

Jūs galite prašyti, kad bet kurį DI sugeneruotą sprendimą, kuris jus reikšmingai paveikia, peržiūrėtų žmogus, susisiekę adresu office@capwork.io.

Capwork e.U. įgyvendina tinkamas technines ir organizacines priemones pagal BDAR 32 str., kad užtikrintų rizikai proporcingą saugumo lygį. Šios priemonės apima:

• Duomenų šifravimą saugojimo ir perdavimo metu (TLS 1.2+, AES-256)
• Prieigos kontrolę ir vaidmenimis grindžiamą autorizaciją (RBAC) su Firebase Authentication
• Infrastruktūros talpinimą Google Cloud Platform ES viduje (regionas europe-west1)
• Reguliarius saugumo patikrinimus, įvesties validavimą (Zod schemos) ir dažnio ribojimą
• Prieigos prie duomenų ir jų keitimo žurnalus bei audito pėdsakus
• Greitojo įvedimo (prompt injection) prevenciją ir DI saugos priemones visiems DI tvarkomiems duomenims

Išsamus TOMs aprašymas pridedamas prie duomenų tvarkymo sutarties (AVV) kaip priedas ir pateikiamas paprašius.

Pagal BDAR jūs turite šias teises dėl savo asmens duomenų:

• Teisė susipažinti (BDAR 15 str.): galite reikalauti informacijos, kokius jūsų asmens duomenis esame saugoję.
• Teisė ištaisyti (BDAR 16 str.): galite reikalauti netikslių duomenų ištaisymo.
• Teisė ištrinti (BDAR 17 str.): galite reikalauti savo duomenų ištrynimo, atsižvelgiant į teisines saugojimo pareigas.
• Teisė apriboti tvarkymą (BDAR 18 str.): tam tikromis sąlygomis galite reikalauti apriboti tvarkymą.
• Teisė į duomenų perkeliamumą (BDAR 20 str.): galite reikalauti savo duomenų struktūriniu, kompiuterio skaitomu formatu.
• Teisė nesutikti (BDAR 21 str.): bet kada galite nesutikti su tvarkymu, grindžiamu teisėtais interesais.

Kad pasinaudotumėte savo teisėmis, susisiekite adresu office@capwork.io. Atsakysime per vieną mėnesį pagal BDAR 12 str. Užsiregistravusių įmonių galutiniai klientai, norėdami pasinaudoti savo teisėmis, pirmiausia turėtų kreiptis į atitinkamą įmonę (duomenų valdytoją).

Jei manote, kad jūsų asmens duomenų tvarkymas pažeidžia duomenų apsaugos teisę, turite teisę pateikti skundą Austrijos duomenų apsaugos institucijai:

Pasiliekame teisę atnaujinti šią Privatumo politiką, kad ji atspindėtų pokyčius mūsų duomenų tvarkymo praktikoje ar teisiniuose reikalavimuose. Apie esminius pakeitimus užsiregistravusiems naudotojams pranešime el. paštu. Aktuali versija visada pasiekiama šiame puslapyje.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

El. paštas: office@capwork.io