Privacybeleid
Laatst bijgewerkt: 20 oktober 2026
De juridisch bindende versie van dit Privacybeleid is de Duitse versie. Vertalingen naar andere talen worden uitsluitend als service aangeboden en zijn niet juridisch bindend.
1. Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke voor de gegevensverwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG) en de Oostenrijkse wet op de gegevensbescherming (DSG) is:
Capwork e.U.
Inhaber: Nikolas Kain
Am Europlatz 2, 1120 Wien
FN 677603a, Handelsgericht Wien
E-mail: office@capwork.io
2. Rollen en verantwoordelijkheden onder de AVG
Het Capwork-platform wordt als B2B-dienst aangeboden. Afhankelijk van de context nemen verschillende partijen uiteenlopende gegevensbeschermingsrechtelijke rollen op zich op grond van de AVG:
- Betrokkene: de eindklant c.q. de natuurlijke persoon wiens persoonsgegevens worden verwerkt (bijv. een persoon die een afspraak boekt of een aanvraag verzendt).
- Verwerkingsverantwoordelijke: het geregistreerde bedrijf dat het Capwork-platform gebruikt. De verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking en is jegens zijn eindklanten verantwoordelijk voor de naleving van de AVG.
- Verwerker: Capwork e.U. exploiteert het Capwork-platform als verwerker in opdracht van het geregistreerde bedrijf en verwerkt persoonsgegevens uitsluitend volgens de instructies van de verwerkingsverantwoordelijke en de verwerkersovereenkomst.
Capwork e.U. is uitsluitend verwerkingsverantwoordelijke voor gegevens die voor eigen doeleinden worden verwerkt (bijv. beheer van platformaccounts, facturering, platformbeveiliging en contact met bedrijven per brief op grond van paragraaf 11a). Voor alle eindklantgegevens die door geregistreerde bedrijven worden ingevoerd (bijv. boekingsdetails, klantcommunicatie, geüploade documenten) is het geregistreerde bedrijf de verwerkingsverantwoordelijke en treedt Capwork e.U. uitsluitend op als verwerker op grond van art. 28 AVG.
3. Soorten verwerkte persoonsgegevens
Wij verzamelen en verwerken de volgende categorieën persoonsgegevens:
- Accountgegevens: e-mailadres, wachtwoord (gehasht), bedrijfsnaam, locatie
- Contact- en boekingsgegevens: naam, telefoonnummer, e-mailadres en een optionele opmerking voor het bedrijf (bij het boeken van afspraken)
- Betalingsgegevens: naam van de kaarthouder, laatste vier cijfers van het kaartnummer (uitsluitend voor identiteitsverificatie)
- Gebruiksgegevens: boekingsgeschiedenis, agenda-interacties, moduleconfiguraties, loggegevens
- Technische gegevens: IP-adres, browsertype, apparaatinformatie, toegangsdata en -tijden
- Eindklantgegevens: alle persoonsgegevens die geregistreerde bedrijven namens hun klanten in het platform invoeren (bijv. boekingsdetails, contactgegevens, ordergegevens, communicatie)
- Gepubliceerde bedrijfsgegevens: de gegevens die een geregistreerd bedrijf na activering van zijn klantenportaal openbaar toegankelijk maakt (bedrijfsnaam, beschrijving en branche, adres, telefoonnummer, website, openingstijden, diensten en prijzen), de bij boekingen en offertes getoonde gegevens over zijn identiteit (naam of handelsnaam, adres, contactgegevens en, in voorkomend geval, btw-identificatienummer) en de gegevens op zijn pagina met juridische informatie in het klantenportaal (daarnaast bijvoorbeeld handelsregistergegevens, toezichthouder, kamer en beroepsregels, bedrijfsactiviteit en de link naar zijn privacyverklaring)
- Meldingen op grond van de digitaledienstenverordening: naam en e-mailadres van de melder (vrijwillig bij meldingen over materiaal van seksueel misbruik van kinderen), het gemelde adres en, in voorkomend geval, de aangeduide inhoud, categorie en toelichting van de melding, taal, behandelingsstatus en besluit; daarnaast, om misbruik van het meldingsformulier te beperken, het IP-adres en het e-mailadres in gehashte vorm als sleutel van een teller
- Documentatie van werkzaamheden op locatie, voor zover een geregistreerd bedrijf deze gebruikt: werk-, pauze- en reistijden, bezoekstatus, gebruikt materiaal, notities en foto's van zijn medewerkers alsmede foto's, locatienotities, handtekeningen en werkrapporten met betrekking tot zijn eindklanten (nadere informatie in paragraaf 11b)
4. Rechtsgronden voor de verwerking
Wij verwerken persoonsgegevens op de volgende rechtsgronden uit hoofde van art. 6 AVG:
- Art. 6 lid 1 sub a AVG — Toestemming: wanneer u uitdrukkelijke toestemming hebt gegeven voor specifieke verwerkingsactiviteiten.
- Art. 6 lid 1 sub b AVG — Overeenkomst: verwerking die noodzakelijk is voor de uitvoering van onze dienstverleningsovereenkomst met u of om op uw verzoek vóór de sluiting daarvan maatregelen te nemen (bijv. het aanmaken van uw account en het bevestigen van uw e-mailadres bij de registratie).
- Art. 6 lid 1 sub c AVG — Wettelijke verplichting: verwerking die nodig is om te voldoen aan Oostenrijkse fiscaal- en handelsrechtelijke bewaarplichten.
- Art. 6 lid 1 sub f AVG — Gerechtvaardigd belang: verwerking ten behoeve van fraudepreventie, platformbeveiliging en dienstverbetering, voor zover onze belangen niet zwaarder wegen dan uw rechten.
Voor eindklantgegevens die namens geregistreerde bedrijven worden verwerkt, wordt de rechtsgrond bepaald door het betreffende bedrijf (verwerkingsverantwoordelijke) en vastgelegd in zijn eigen privacybeleid.
Het openbare klantenportaal is standaard gedeactiveerd. De daar getoonde bedrijfsgegevens worden uitsluitend op initiatief van het geregistreerde bedrijf gepubliceerd, dat het portaal daartoe uitdrukkelijk moet activeren (§ 4 van de voorwaarden); de rechtsgrondslag is art. 6, lid 1, onder b), AVG. Het bedrijf bepaalt zelf welke gegevens worden getoond en kan de publicatie te allen tijde beperken of volledig beëindigen door het portaal te deactiveren.
Meldingen van illegale inhoud op grond van de digitaledienstenverordening, de besluiten daarover en de informatie aan de betrokkenen verwerken wij om te voldoen aan onze wettelijke verplichtingen uit art. 16 tot en met 18 DSA (art. 6 lid 1 sub c AVG). De beperking van het aantal meldingen per IP-adres en e-mailadres berust op ons gerechtvaardigd belang bij een goed functionerende, tegen misbruik beschermde meldingsprocedure (art. 6 lid 1 sub f AVG). De identiteit van de melder geven wij niet door aan het betrokken bedrijf.
5. Doeleinden van de verwerking
Uw persoonsgegevens worden verwerkt voor de volgende doeleinden:
- Aanbieden en exploiteren van het Capwork-platform en zijn modules (afspraken, orders, teambeheer, wagenpark, voorraad, financiën)
- Aanmaak van gebruikersaccounts, authenticatie en toegangsbeheer
- Verwerking van boekingen, orders en klantcommunicatie namens geregistreerde bedrijven
- Documentatie van bezoeken bij eindklanten, de aftekening daarvan en de daarbij bestede werktijd namens geregistreerde bedrijven, voor zover deze de documentatie van werkzaamheden op locatie gebruiken (zie paragraaf 11b)
- AI-ondersteunde functies: bedrijfsgegevensgeneratie, business insights, documentscanning en feedbackanalyse
- Fraudepreventie, identiteitsverificatie en platformbeveiliging
- Exploitatie van het openbare klantenportaal van een geregistreerd bedrijf, voor zover dat bedrijf het portaal heeft geactiveerd
- Behandeling van meldingen van illegale inhoud in klantenportalen, besluitvorming over maatregelen en informeren van de betrokkenen op grond van de digitaledienstenverordening
- Meten of registraties voortkomen uit onze advertenties bij Google — alleen met uw toestemming (zie paragraaf 10)
- Klantenservice en support: beantwoorden van uw vragen en feedback en hulp bij het inrichten en gebruiken van het platform — ook op ons eigen initiatief, via berichten aan de accounthouder in het feedbackgedeelte van het platform (art. 6 lid 1 sub b AVG). Via deze weg sturen wij geen reclame.
6. Verwerkersovereenkomst (AVV)
Aangezien Capwork e.U. voor geregistreerde bedrijven als verwerker optreedt, wordt met elk geregistreerd bedrijf in het kader van het onboardingproces een verwerkersovereenkomst (Auftragsverarbeitungsvertrag, AVV) op grond van art. 28 AVG afgesloten.
De AVV regelt:
- Onderwerp, duur, aard en doel van de gegevensverwerking
- De categorieën persoonsgegevens en de categorieën betrokkenen
- De plichten en rechten van de verwerkingsverantwoordelijke (geregistreerd bedrijf)
- Technische en organisatorische maatregelen (TOM's) ter waarborging van de gegevensbeveiliging (zie paragraaf 12)
- De inzet en goedkeuring van subverwerkers (zie paragraaf 8)
- Verplichtingen inzake verwijdering of teruggave van gegevens bij beëindiging van de overeenkomst
Het geregistreerde bedrijf (verwerkingsverantwoordelijke) kan te allen tijde een kopie van de AVV opvragen via office@capwork.io.
7. Bewaartermijn
Persoonsgegevens worden slechts zolang bewaard als nodig is om de hierboven beschreven doeleinden te verwezenlijken of zolang dit wettelijk vereist is. Oostenrijks handels- en belastingrecht (BAO, UGB) kan een bewaring van bepaalde gegevens tot 7 jaar vereisen.
Na beëindiging van het account worden uw persoonsgegevens binnen 30 dagen verwijderd, tenzij een langere bewaring wettelijk verplicht is. Eindklantgegevens die namens geregistreerde bedrijven worden verwerkt, worden verwijderd of geretourneerd in overeenstemming met de AVV. Bevestigt u bij de registratie uw e-mailadres niet en wordt er geen bedrijf aangemaakt, dan verwijderen wij het account 30 dagen na de registratie of, indien later, na uw laatste aanmelding.
Bird, de provider die transactionele e-mails en sms bezorgt aan eindklanten van geregistreerde bedrijven (bijv. afspraakbevestigingen, herinneringen en inlogcodes voor het klantenportaal), bewaart berichtinhoud en verkeersgegevens voor bezorging en misbruikpreventie: sms tot 6 maanden, e-mail 72 uur. De eigen subverwerkers van Bird omvatten aanbieders buiten de EER, gedekt door de standaardcontractbepalingen van de EU.
Meldingen op grond van de digitaledienstenverordening en de registraties van beperkingen van klantenportalen verwijderen wij zeven jaar na het besluit respectievelijk na opheffing of afloop van de beperking; tot die tijd bewaren wij ze om onze besluiten te documenteren en ons tegen vorderingen te kunnen verweren (art. 6 lid 1 sub f AVG). Meldingen waarover nog niet is beslist, worden bewaard tot het besluit. De tellers waarmee wij het aantal verzoeken beperken, worden na afloop van hun tijdvenster automatisch verwijderd.
8. Ontvangers en subverwerkers
Uw gegevens kunnen worden gedeeld met de volgende categorieën ontvangers, die optreden als subverwerkers op grond van art. 28 AVG:
- Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastructuur en gegevensopslag (EU-regio: europe-west1)
- Google Vertex AI (Google-modellen zoals Gemini alsmede partnermodellen uit de Vertex Model Garden, bijv. Anthropic Claude; de inferentie wordt volledig door Google Cloud in de EU uitgevoerd) — AI-ondersteunde functies zoals bedrijfsgegevensgeneratie, insights, documentscanning, factuurverwerking en analyse van orderaanvragen (subverwerker)
- Twilio — aflevering van sms- en WhatsApp-meldingen (subverwerker)
- Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — adreszoekfunctie, kaart- en afstandsweergave; wordt ook op de openbare registratiepagina geladen, waarbij uw IP-adres aan Google wordt doorgegeven, en bij het openen van een bezoek in de bezoekweergave („Mijn bezoeken”), die de kaart van de werklocatie meteen toont
- Stripe Payments Europe, Ltd. — betalingsverwerking en facturering (subverwerker)
- Bird (Bird B.V., Nederland) – bezorging van transactionele e-mails en sms namens geregistreerde bedrijven: afspraakbevestigingen, herinneringen, aanbiedingen van eerdere tijdslots, inlogcodes voor klantaccounts in het klantenportaal en berichten over bezoeken (aankomst, vertraging, werkrapport en bevestigingslink); alsmede verzending en ontvangst via de e-mail- en sms-kanalen van die bedrijven, met inbegrip van sms via een door Capwork aangehouden specifiek nummer (subverwerker)
- Google Workspace / Gmail (Google Ireland Limited) — verzending van de eigen e-mails van Capwork: aan geregistreerde gebruikers (bijv. welkomst- en onboardingberichten alsmede motiveringen en kennisgevingen over beperkingen van klantenportalen) en aan personen die illegale inhoud melden (ontvangstbevestiging en besluit); verwerking binnen de EU (verwerker)
Alle subverwerkers zijn opgenomen in de AVV en zijn gebonden door verwerkersovereenkomsten op grond van art. 28 AVG. Het geregistreerde bedrijf (verwerkingsverantwoordelijke) wordt geïnformeerd over wijzigingen van subverwerkers en heeft een recht van bezwaar. Wij verkopen uw persoonsgegevens niet aan derden.
9. Internationale doorgiften van gegevens
Een aantal van onze subverwerkers exploiteert servers buiten de Europese Economische Ruimte (EER). Voor zover gegevens worden doorgegeven aan derde landen (bijv. de Verenigde Staten), zorgen wij voor passende waarborgen, waaronder EU-modelcontractbepalingen (SCC's) en adequaatheidsbesluiten van de Europese Commissie.
Google LLC en Twilio Inc. nemen deel aan het EU-U.S. Data Privacy Framework en bieden daarmee een passend beschermingsniveau zoals erkend door de Europese Commissie. De doorgiftemechanismen zijn vastgelegd in de AVV.
10. Cookies, lokale opslag, gebruiksstatistieken en advertentiemeting
Zonder uw toestemming gebruikt het Capwork-platform uitsluitend strikt noodzakelijke cookies voor authenticatie, taalvoorkeuren en weergave-instellingen die u zelf kiest. In de lokale opslag van uw browser slaan wij daarnaast strikt noodzakelijke gegevens op, zoals het inloggen op een klantaccount in het klantenportaal van een bedrijf (tot 30 dagen of tot u uitlogt), de kleurweergave en uw keuze in de cookiebanner. Tijdens uw registratie worden daar bovendien de tot dan toe ingevulde gegevens maximaal zeven dagen bewaard (nooit het wachtwoord), zodat een onvoltooide registratie kan worden voortgezet. Er worden geen tracking-, analyse- of advertentiecookies ingezet, met één uitzondering: op onze eigen informatiepagina's kunt u toestemming geven voor het meten van onze Google-advertenties (laatste alinea van deze paragraaf). Meer informatie vindt u in ons cookiebeleid.
U kunt de cookie-instellingen in uw browser beheren. Het uitschakelen van noodzakelijke cookies kan de functionaliteit van het platform beïnvloeden.
Wij meten het gebruik van onze website en ons platform met een privacyvriendelijk, zelf beheerd statistieksysteem dat zonder cookies werkt en niets op uw apparaat opslaat. Onze servers bewaren uitsluitend geaggregeerde tellingen: dagtotalen (bijv. paginaweergaven per pagina) en — gedurende 100 dagen — het aantal paginaweergaven en nieuw getelde bezoekers per interval van 15 minuten van de dag; er worden geen gebruikersprofielen aangemaakt en er worden geen gegevens met derden gedeeld. Om unieke bezoekers te tellen, worden het IP-adres en de browserkenmerken met een dagelijks wisselende sleutel omgezet in een anonieme identificator; het IP-adres zelf wordt nooit opgeslagen, en de identificator wordt binnen 48 uur verwijderd en kan niet over dagen heen worden gekoppeld. Alle verwerking vindt uitsluitend plaats op onze servers in de EU (europe-west1). Rechtsgrondslag: ons gerechtvaardigd belang om onze diensten te begrijpen en te verbeteren (art. 6 lid 1 sub f AVG). Wij respecteren de browsersignalen 'Do Not Track' en 'Global Privacy Control' — als een van beide is ingeschakeld, worden er geen statistieken verzameld. Daarnaast tellen wij op dezelfde manier het gebruik van afzonderlijke functies (bijvoorbeeld hoe vaak een bepaalde knop wordt gebruikt) en globale bezoekstatistieken (het aantal per bezoek bekeken pagina's en de geschatte bezoekduur). Ook deze waarden worden uitsluitend als geaggregeerde dagtellingen zonder persoonsgegevens opgeslagen en hiervoor wordt nog steeds niets op uw apparaat opgeslagen of uitgelezen.
Op onze openbare informatiepagina's op www.capwork.io (bijv. de startpagina, prijzen, oplossingen, het voorbeeldbedrijf, de juridische teksten en de daar aangeboden registratie) gebruiken wij de conversietracking van Google Ads van Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ierland) — alleen als u in de cookiebanner toestemming geeft. Het doel is vast te stellen of een registratie bij Capwork voortkomt uit een klik op een van onze advertenties bij Google; gepersonaliseerde advertenties en remarketing gebruiken wij niet. Na uw toestemming laadt uw browser de Google-tag; Google verwerkt daarbij uw IP-adres, browser- en apparaatinformatie, de bezochte pagina, het tijdstip en de klik-ID van een advertentie en slaat cookies op zoals „_gcl_au” en „_gcl_aw” (tot 90 dagen). Een voltooide registratie wordt zonder naam, e-mailadres of bedrijfsgegevens aan Google gemeld. De rechtsgrond is uw toestemming (art. 6 lid 1 sub a AVG, § 165 lid 3 TKG 2021). Google verwerkt de gegevens als zelfstandige verwerkingsverantwoordelijke en kan ze doorgeven aan de Verenigde Staten; Google LLC is gecertificeerd onder het EU-U.S. Data Privacy Framework. Zonder uw toestemming wordt de Google-tag niet geladen. U kunt uw toestemming te allen tijde met ingang voor de toekomst intrekken via „Cookie-instellingen” in de voettekst van onze startpagina of in ons cookiebeleid; wij verwijderen dan de Google Ads-cookies op capwork.io. Uw keuze slaan wij op in de lokale opslag van uw browser en na twaalf maanden vragen wij het opnieuw. Om uw toestemming te kunnen aantonen, slaan wij bovendien elke keuze in de cookiebanner drie jaar lang op onze servers in de EU op — met een willekeurig gegenereerde toestemmings-ID, de keuze en de vervangen keuze, de bannerversie, de taal en het tijdstip, maar zonder uw IP-adres; de rechtsgrond is art. 6 lid 1 sub c juncto art. 7 lid 1 AVG. De banner toont u de toestemmings-ID onder „Cookie-instellingen”.
11. Gebruik van kunstmatige intelligentie
Het Capwork-platform gebruikt AI-diensten via Google Vertex AI voor functies zoals geautomatiseerde bedrijfsgegevensgeneratie, business-insightsrapporten, het scannen van voertuigdocumenten en bonnen, feedbackanalyse, de analyse van orderaanvragen en berichten, suggesties en conceptantwoorden, de automatische vertaling van inhoud en het genereren van afbeeldingsvoorstellen voor diensten en producten. Daarbij worden zowel Google-eigen modellen (bijv. Gemini) als via de Vertex Model Garden aangeboden partnermodellen (bijv. Anthropic Claude) ingezet; in beide gevallen wordt de inferentie volledig door Google Cloud in de EU uitgevoerd. Google Vertex AI treedt op als subverwerker onder de bepalingen van de AVV.
Voor zover een bedrijf de documentatie van werkzaamheden op locatie gebruikt, kunnen zijn medewerkers notities dicteren: Google Vertex AI (Gemini) transcribeert de opname in de EU en stelt op basis daarvan een concept voor de rapporttekst op. Capwork slaat noch de opname noch de transcriptie op (zie paragraaf 11b).
Gegevens die naar AI-diensten worden verzonden, worden uitsluitend verwerkt onder de Enterprise-gegevensverwerkingsvoorwaarden van Google Cloud en met Region-Pinning op de EU-ruimte. Persoonsgegevens die aan AI-diensten worden verstrekt, worden niet gebruikt om AI-modellen te trainen, te verbeteren of te ontwikkelen. Dit wordt contractueel gegarandeerd via het Cloud Data Processing Addendum van Google.
Door AI gegenereerde inhoud — zoals analyses, suggesties, conceptantwoorden, uit documenten uitgelezen gegevens, automatische vertalingen en door AI gegenereerde afbeeldingen — wordt in de gebruikersinterface van het platform en in het klantenportaal conform de EU AI Act (art. 50) als door AI gegenereerd gemarkeerd. Berichten aan klanten die een persoon op basis van een AI-concept controleert en zelf verzendt, worden bij de ontvanger niet afzonderlijk gemarkeerd, omdat zij onder menselijke controle en redactionele verantwoordelijkheid worden verzonden; door AI gegenereerde berichten worden niet automatisch verzonden. Er worden geen geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen genomen zonder menselijk toezicht.
U kunt via office@capwork.io verzoeken om menselijke herbeoordeling van een door AI gegenereerde beslissing die u in aanzienlijke mate treft.
11a. Contact met bedrijven per brief
Capwork e.U. schrijft geselecteerde bedrijven per post aan om hun Capwork voor te stellen met een speciaal voor hen voorbereide demo. Voor deze verwerking is Capwork e.U. de verwerkingsverantwoordelijke. Het gaat om ondernemers met een eenmanszaak en om de persoon die een aangeschreven bedrijf in zijn juridische informatie (Impressum) vermeldt als eigenaar of bestuurder. Aangezien wij deze gegevens niet bij u zelf verzamelen, informeren wij u hier overeenkomstig art. 14 AVG.
Daarbij verwerken wij de volgende gegevens:
- naam, adres, website en telefoonnummer van het bedrijf;
- naam, aanhef en academische titels van de contactpersoon, voor zover deze openbaar zijn vermeld;
- openbare informatie over het bedrijf, zoals diensten, prijzen, openingstijden en hoe klanten op dit moment afspraken maken of bestellen, alsmede daaruit opgestelde notities voor de brief;
- hoe vaak uw persoonlijke demolink is geopend en wanneer voor het eerst en voor het laatst;
- in voorkomend geval uw bezwaar tegen het contact.
De gegevens zijn afkomstig uit openbaar toegankelijke bronnen: de website van het bedrijf, inclusief de juridische informatie, openbare zoekresultaten, de vermelding van het bedrijf op Google Maps en openbare bedrijvengidsen.
Wij verwerken de gegevens om het bedrijf per brief een aanbod te sturen, daarvoor een persoonlijke demo voor te bereiden en vast te stellen of de demo is geopend. De rechtsgrond is ons gerechtvaardigd belang bij direct marketing gericht op bedrijven (art. 6 lid 1 sub f AVG in samenhang met overweging 47).
De openbare bronnen analyseren wij met Google Vertex AI (Gemini) in de EU; daaruit ontstaan de demogegevens, de gegevens over de contactpersoon en de notities voor de brief. De brieftekst stellen wij op met ondersteuning van Anthropic Claude. Elke brief wordt vóór verzending door een mens gecontroleerd; er worden geen geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen genomen.
De ontvangers van deze gegevens zijn de volgende verwerkers:
- Google Cloud Platform, Google Vertex AI en Google Maps Platform — opslag, AI-analyse en opvragen van de openbare bedrijfsvermelding; verwerking in de EU;
- Anthropic PBC (VS) — ondersteuning bij het opstellen van de briefteksten; de doorgifte naar de VS is gewaarborgd door EU-modelcontractbepalingen;
- Google Workspace (Google Ireland Limited) — e-mailpostvak office@capwork.io, waarin bezwaren binnenkomen; verwerking in de EU;
- Österreichische Post AG — afdrukken, kuverteren en bezorgen van de brieven via de dienst EinfachBrief.
Wij verwijderen de gegevens uiterlijk twaalf maanden nadat ze zijn verzameld. Als het bedrijf zich bij Capwork registreert, gelden vanaf dat moment de bepalingen van dit Privacybeleid voor platformaccounts. Na een bezwaar verwijderen wij onmiddellijk de gegevens over de contactpersoon, de notities, de website, het telefoonnummer en de demo; tot het verstrijken van de twaalf maanden blijven alleen de bedrijfsnaam, het adres, het aantal keren dat de demo is geopend en het tijdstip van het bezwaar opgeslagen. Om het bedrijf niet opnieuw aan te schrijven, slaan wij daarna blijvend een onomkeerbare hashwaarde van de bedrijfsnaam en de postcode op.
U kunt te allen tijde zonder opgave van redenen bezwaar maken tegen het contact (art. 21 lid 2 en 3 AVG): via „Neem geen contact meer met mij op” op uw persoonlijke demopagina of per e-mail aan office@capwork.io. Uw overige rechten op grond van paragraaf 13 blijven onverlet.
De persoonlijke demopagina is alleen bereikbaar via de link in de brief. Deze toont uitsluitend informatie over het bedrijf en verzonnen voorbeeldmedewerkers, nooit de contactpersoon.
11b. Documentatie van werkzaamheden op locatie in de module Orders
Geregistreerde bedrijven kunnen in de module Orders het werk van hun medewerkers bij de eindklant documenteren („Mijn bezoeken”). Voor zover een bedrijf deze functie gebruikt, verwerkt Capwork e.U. de hieronder vermelde gegevens als verwerker in opdracht van het bedrijf (paragrafen 2 en 6). Verwerkingsverantwoordelijke is het bedrijf: het informeert zijn medewerkers en eindklanten over deze verwerking, en verzoeken met betrekking tot hun rechten worden eveneens tot het bedrijf gericht (paragraaf 13).
Over de medewerkers van het bedrijf worden de volgende gegevens verwerkt:
- werk-, pauze- en reistijden per bezoek, die automatisch worden overgenomen in de tijdregistratie van de persoon in Capwork;
- de bezoekstatus (onderweg, ter plaatse, gepauzeerd, afgerond, vertraagd), die zichtbaar is voor andere leden van het bedrijf die toegang hebben tot de Teamweek; via de link voor het volgen van de order ziet de eindklant de stand van zijn bezoeken (bijv. gepland, onderweg, in uitvoering, afgerond) zonder namen van de medewerkers, en de aangekondigde aankomsttijd en een vertraging alleen als de medewerkers hem daarover informeren;
- gebruikt materiaal, notities en foto's, alsmede de vermelding wie wat wanneer heeft gedocumenteerd; het werkrapport dat de eindklant ontvangt, vermeldt de ingezette medewerkers bij naam en hun werk-, pauze- en reistijden bij dit bezoek.
Over de eindklanten van het bedrijf worden de volgende gegevens verwerkt:
- foto's van de werklocatie en de ruimten, die medewerkers maken of die de eindklant via de link voor het volgen van de order (maximaal tien per order, tot 30 dagen na afronding van het werk) of via het aanvraagformulier uploadt;
- locatienotities die per klantadres worden opgeslagen (bijv. toegangscodes, parkeermogelijkheden, ligging van installaties);
- bij de aftekening de naam en handtekening van de ondertekenaar alsmede het ondertekende werkrapport (samenvatting en PDF); de handtekening wordt opgeslagen als vectorpad zonder biometrische kenmerken, dus zonder schrijfdruk, schrijfsnelheid en tijdsverloop;
- bij een bevestiging via een link bovendien het IP-adres, de browseridentificatie (user agent) en het tijdstip van de bevestiging, het gedeeltelijk gemaskeerde e-mailadres waarnaar de link is verzonden, en tot de bevestiging de ter bevestiging verzonden samenvatting; de link is maximaal 14 dagen geldig, en van de code in de link slaat Capwork alleen een controlewaarde (hash) op;
- het mobiele telefoonnummer of e-mailadres waarnaar berichten over de aankomst en over vertragingen, het werkrapport en de bevestigingslink worden verzonden – via Bird per sms vanaf de platformafzender „Capwork” of per e-mail. Verzendt het bedrijf het rapport naar een ander e-mailadres, dan wordt dit alleen in het verzendbewijs van het bericht opgeslagen. Elk bericht verschijnt in het communicatiegedeelte en in de klantgeschiedenis van het bedrijf.
De handtekening bij de aftekening en de bevestiging via een link (ingetypte naam, toestemming en desgewenst een handtekening) zijn gewone elektronische handtekeningen in de zin van art. 3, punt 10, van de eIDAS-verordening en dienen als bewijs van de aftekening; de eenmalige code in de link toont aan dat de bevestiging is gegeven via de link die naar het opgegeven adres is verzonden.
Medewerkers kunnen een notitie dicteren. De opname wordt naar Google Vertex AI (Gemini) in de EU verzonden, uitsluitend om deze te transcriberen en een concept voor de rapporttekst op te stellen; Capwork slaat noch de opname noch de transcriptie op. Het concept wordt als door AI gegenereerd gemarkeerd en pas gebruikt nadat de persoon het heeft gecontroleerd en zo nodig bewerkt.
Om de aankomst op de werklocatie te herkennen, evalueert de bezoekweergave de locatie van het apparaat uitsluitend op het apparaat zelf; de locatie wordt noch aan Capwork doorgegeven noch door Capwork opgeslagen. De browser vraagt pas om toegang tot locatie en microfoon wanneer de betreffende functie wordt gebruikt. Om ervoor te zorgen dat de bezoekweergave ook zonder netwerkverbinding werkt, slaat zij bezoekgegevens, nog niet verzonden wijzigingen en nog niet geüploade foto's op in de lokale database van de browser (IndexedDB); meer informatie vindt u in ons cookiebeleid.
Foto's, handtekeningen en werkrapporten worden in Google Cloud Storage in de EU (regio europe-west1) opgeslagen zolang de order bestaat. Zij worden na het einde van de overeenkomst samen met de overige gegevens van het bedrijf verwijderd (paragraaf 7), en eerder indien het bedrijf daartoe instructie geeft; niet-voltooide uploads van de eindklant worden verwijderd. Uploads, bevestigingen en downloads van het rapport via de link voor het volgen van de order zijn in aantal beperkt; de tellers die daarvoor worden gebruikt, bevatten de link en het IP-adres alleen als controlewaarde (hash) en verlopen met hun tijdvenster. Verzoekt een eindklant om verwijdering van zijn gegevens, dan worden de foto's, de handtekening, de naam van de ondertekenaar, de bewijzen van een bevestiging via een link, de notities, de locatienotities, het werkrapport (PDF) en een nog openstaand bevestigingsverzoek met de bijbehorende samenvatting verwijderd; bewaard blijft een anoniem bewijs (datum, bezoek, controlesom), zodat de ordergeschiedenis laat zien dat er een aftekening heeft plaatsgevonden.
12. Technische en organisatorische maatregelen (TOM's)
Capwork e.U. implementeert passende technische en organisatorische maatregelen op grond van art. 32 AVG om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen omvatten:
- Versleuteling van gegevens in rust en tijdens de overdracht (TLS 1.2+, AES-256)
- Toegangscontroles en rolgebaseerde autorisatie (RBAC) met Firebase Authentication
- Infrastructuur gehost op Google Cloud Platform binnen de EU (regio europe-west1)
- Regelmatige beveiligingsbeoordelingen, invoervalidatie (Zod-schema's) en rate limiting
- Logging en audit trails voor gegevenstoegang en -wijzigingen
- Prompt-injection-preventie en AI-beveiligingsmaatregelen voor alle door AI verwerkte gegevens
Een gedetailleerde beschrijving van de TOM's is als bijlage aan de verwerkersovereenkomst (AVV) gehecht en op aanvraag beschikbaar.
13. Uw rechten
Op grond van de AVG heeft u met betrekking tot uw persoonsgegevens de volgende rechten:
- Recht op inzage (art. 15 AVG): u kunt informatie opvragen over welke persoonsgegevens wij van u hebben opgeslagen.
- Recht op rectificatie (art. 16 AVG): u kunt verzoeken om correctie van onjuiste gegevens.
- Recht op wissing (art. 17 AVG): u kunt verzoeken om verwijdering van uw gegevens, behoudens wettelijke bewaarplichten.
- Recht op beperking van de verwerking (art. 18 AVG): u kunt onder bepaalde voorwaarden verzoeken de verwerking te beperken.
- Recht op gegevensoverdraagbaarheid (art. 20 AVG): u kunt uw gegevens opvragen in een gestructureerd, machineleesbaar formaat.
- Recht van bezwaar (art. 21 AVG): u kunt te allen tijde bezwaar maken tegen de verwerking op basis van gerechtvaardigde belangen.
Neem voor de uitoefening van uw rechten contact met ons op via office@capwork.io. Wij reageren binnen één maand conform art. 12 AVG. Eindklanten van geregistreerde bedrijven dienen zich voor de uitoefening van hun rechten eerst tot het betreffende bedrijf (verwerkingsverantwoordelijke) te wenden.
Om uw gegevens te beschermen tegen ongeoorloofde toegang, verifiëren wij de identiteit van eenieder die een verzoek tot uitoefening van rechten indient. Verzoeken die vanuit een ingelogd account worden ingediend, worden als geverifieerd beschouwd. Verzoeken die per e-mail worden ingediend, worden bevestigd via een link die wordt verzonden naar het op het account geregistreerde e-mailadres. Bij redelijke twijfel over de identiteit (art. 12, lid 6 AVG) kunnen wij om aanvullend identiteitsbewijs vragen — bijvoorbeeld een kopie van een door de overheid uitgegeven identiteitsbewijs met pasfoto —, dat wij verwijderen zodra de verificatie is afgerond. Volledige verwijdering van een bedrijfsaccount kan uitsluitend worden aangevraagd door de accounthouder of een geautoriseerde beheerder; individuele gebruikers kunnen uitsluitend rechten uitoefenen met betrekking tot hun eigen persoonsgegevens.
14. Toezichthoudende autoriteit
Als u van mening bent dat de verwerking van uw persoonsgegevens in strijd is met het gegevensbeschermingsrecht, heeft u het recht een klacht in te dienen bij de Oostenrijkse gegevensbeschermingsautoriteit (Österreichische Datenschutzbehörde):
15. Wijzigingen van dit Privacybeleid
Wij behouden ons het recht voor dit Privacybeleid te actualiseren om wijzigingen in onze verwerkingspraktijken of wettelijke vereisten te weerspiegelen. Wezenlijke wijzigingen worden per e-mail aan geregistreerde gebruikers meegedeeld. De actuele versie is te allen tijde op deze pagina beschikbaar.
16. Contact
Capwork e.U.
Inhaber: Nikolas Kain
Am Europlatz 2, 1120 Wien
FN 677603a, Handelsgericht Wien
E-mail: office@capwork.io