Privacybeleid

De verwerkingsverantwoordelijke voor de gegevensverwerking in de zin van de Algemene Verordening Gegevensbescherming (AVG) en de Oostenrijkse wet op de gegevensbescherming (DSG) is:

Het Capwork-platform wordt als B2B-dienst aangeboden. Afhankelijk van de context nemen verschillende partijen uiteenlopende gegevensbeschermingsrechtelijke rollen op zich op grond van de AVG:

• Betrokkene: de eindklant c.q. de natuurlijke persoon wiens persoonsgegevens worden verwerkt (bijv. een persoon die een afspraak boekt of een aanvraag verzendt).
• Verwerkingsverantwoordelijke: het geregistreerde bedrijf dat het Capwork-platform gebruikt. De verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking en is jegens zijn eindklanten verantwoordelijk voor de naleving van de AVG.
• Verwerker: Capwork e.U. exploiteert het Capwork-platform als verwerker in opdracht van het geregistreerde bedrijf en verwerkt persoonsgegevens uitsluitend volgens de instructies van de verwerkingsverantwoordelijke en de verwerkersovereenkomst.

Capwork e.U. is uitsluitend verwerkingsverantwoordelijke voor gegevens die voor eigen doeleinden worden verwerkt (bijv. beheer van platformaccounts, facturering, platformbeveiliging). Voor alle eindklantgegevens die door geregistreerde bedrijven worden ingevoerd (bijv. boekingsdetails, klantcommunicatie, geüploade documenten) is het geregistreerde bedrijf de verwerkingsverantwoordelijke en treedt Capwork e.U. uitsluitend op als verwerker op grond van art. 28 AVG.

Wij verzamelen en verwerken de volgende categorieën persoonsgegevens:

• Accountgegevens: e-mailadres, wachtwoord (gehasht), bedrijfsnaam, locatie
• Contactgegevens: naam, telefoonnummer, e-mailadres (bij het boeken van afspraken)
• Betalingsgegevens: naam van de kaarthouder, laatste vier cijfers van het kaartnummer (uitsluitend voor identiteitsverificatie)
• Gebruiksgegevens: boekingsgeschiedenis, agenda-interacties, moduleconfiguraties, loggegevens
• Technische gegevens: IP-adres, browsertype, apparaatinformatie, toegangsdata en -tijden
• Eindklantgegevens: alle persoonsgegevens die geregistreerde bedrijven namens hun klanten in het platform invoeren (bijv. boekingsdetails, contactgegevens, ordergegevens, communicatie)

Wij verwerken persoonsgegevens op de volgende rechtsgronden uit hoofde van art. 6 AVG:

• Art. 6 lid 1 sub a AVG — Toestemming: wanneer u uitdrukkelijke toestemming hebt gegeven voor specifieke verwerkingsactiviteiten.
• Art. 6 lid 1 sub b AVG — Overeenkomst: verwerking die noodzakelijk is voor de uitvoering van onze dienstverleningsovereenkomst met u.
• Art. 6 lid 1 sub c AVG — Wettelijke verplichting: verwerking die nodig is om te voldoen aan Oostenrijkse fiscaal- en handelsrechtelijke bewaarplichten.
• Art. 6 lid 1 sub f AVG — Gerechtvaardigd belang: verwerking ten behoeve van fraudepreventie, platformbeveiliging en dienstverbetering, voor zover onze belangen niet zwaarder wegen dan uw rechten.

Voor eindklantgegevens die namens geregistreerde bedrijven worden verwerkt, wordt de rechtsgrond bepaald door het betreffende bedrijf (verwerkingsverantwoordelijke) en vastgelegd in zijn eigen privacybeleid.

Uw persoonsgegevens worden verwerkt voor de volgende doeleinden:

• Aanbieden en exploiteren van het Capwork-platform en zijn modules (afspraken, orders, teambeheer, wagenpark, voorraad, financiën)
• Aanmaak van gebruikersaccounts, authenticatie en toegangsbeheer
• Verwerking van boekingen, orders en klantcommunicatie namens geregistreerde bedrijven
• AI-ondersteunde functies: bedrijfsgegevensgeneratie, business insights, documentscanning en feedbackanalyse
• Fraudepreventie, identiteitsverificatie en platformbeveiliging

Aangezien Capwork e.U. voor geregistreerde bedrijven als verwerker optreedt, wordt met elk geregistreerd bedrijf in het kader van het onboardingproces een verwerkersovereenkomst (Auftragsverarbeitungsvertrag, AVV) op grond van art. 28 AVG afgesloten.

De AVV regelt:

• Onderwerp, duur, aard en doel van de gegevensverwerking
• De categorieën persoonsgegevens en de categorieën betrokkenen
• De plichten en rechten van de verwerkingsverantwoordelijke (geregistreerd bedrijf)
• Technische en organisatorische maatregelen (TOM's) ter waarborging van de gegevensbeveiliging (zie paragraaf 13)
• De inzet en goedkeuring van subverwerkers (zie paragraaf 9)
• Verplichtingen inzake verwijdering of teruggave van gegevens bij beëindiging van de overeenkomst

Het geregistreerde bedrijf (verwerkingsverantwoordelijke) kan te allen tijde een kopie van de AVV opvragen via office@capwork.io.

Persoonsgegevens worden slechts zolang bewaard als nodig is om de hierboven beschreven doeleinden te verwezenlijken of zolang dit wettelijk vereist is. Oostenrijks handels- en belastingrecht (BAO, UGB) kan een bewaring van bepaalde gegevens tot 7 jaar vereisen.

Na beëindiging van het account worden uw persoonsgegevens binnen 30 dagen verwijderd, tenzij een langere bewaring wettelijk verplicht is. Eindklantgegevens die namens geregistreerde bedrijven worden verwerkt, worden verwijderd of geretourneerd in overeenstemming met de AVV.

Uw gegevens kunnen worden gedeeld met de volgende categorieën ontvangers, die optreden als subverwerkers op grond van art. 28 AVG:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastructuur en gegevensopslag (EU-regio: europe-west1)
• Google Vertex AI (Google-modellen zoals Gemini alsmede partnermodellen uit de Vertex Model Garden, bijv. Anthropic Claude; de inferentie wordt volledig door Google Cloud in de EU uitgevoerd) — AI-ondersteunde functies zoals bedrijfsgegevensgeneratie, insights, documentscanning, factuurverwerking en analyse van orderaanvragen (subverwerker)
• Twilio — aflevering van sms- en WhatsApp-meldingen (subverwerker)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — adreszoekfunctie, kaart- en afstandsweergave; wordt ook op de openbare registratiepagina geladen, waarbij uw IP-adres aan Google wordt doorgegeven
• Stripe Payments Europe, Ltd. — betalingsverwerking en facturering (subverwerker)
• Bird (Bird B.V., Nederland) – verzending van transactionele e-mails (subverwerker)
• Google Workspace / Gmail (Google Ireland Limited) — verzending van platform-e-mails aan geregistreerde gebruikers (bijv. welkomst- en onboardingberichten); verwerking binnen de EU (verwerker)

Alle subverwerkers zijn opgenomen in de AVV en zijn gebonden door verwerkersovereenkomsten op grond van art. 28 AVG. Het geregistreerde bedrijf (verwerkingsverantwoordelijke) wordt geïnformeerd over wijzigingen van subverwerkers en heeft een recht van bezwaar. Wij verkopen uw persoonsgegevens niet aan derden.

Een aantal van onze subverwerkers exploiteert servers buiten de Europese Economische Ruimte (EER). Voor zover gegevens worden doorgegeven aan derde landen (bijv. de Verenigde Staten), zorgen wij voor passende waarborgen, waaronder EU-modelcontractbepalingen (SCC's) en adequaatheidsbesluiten van de Europese Commissie.

Google LLC en Twilio Inc. nemen deel aan het EU-U.S. Data Privacy Framework en bieden daarmee een passend beschermingsniveau zoals erkend door de Europese Commissie. De doorgiftemechanismen zijn vastgelegd in de AVV.

Het Capwork-platform gebruikt uitsluitend strikt noodzakelijke cookies voor authenticatie en taalvoorkeuren. Er worden geen tracking-, analyse- of advertentiecookies ingezet.

U kunt de cookie-instellingen in uw browser beheren. Het uitschakelen van noodzakelijke cookies kan de functionaliteit van het platform beïnvloeden.

Wij meten het gebruik van onze website en ons platform met een privacyvriendelijk, zelf beheerd statistieksysteem dat zonder cookies werkt en niets op uw apparaat opslaat. Onze servers bewaren uitsluitend geaggregeerde dagtellingen (bijv. paginaweergaven per pagina); er worden geen gebruikersprofielen aangemaakt en er worden geen gegevens met derden gedeeld. Om unieke bezoekers te tellen, worden het IP-adres en de browserkenmerken met een dagelijks wisselende sleutel omgezet in een anonieme identificator; het IP-adres zelf wordt nooit opgeslagen, en de identificator wordt binnen 48 uur verwijderd en kan niet over dagen heen worden gekoppeld. Alle verwerking vindt uitsluitend plaats op onze servers in de EU (europe-west1). Rechtsgrondslag: ons gerechtvaardigd belang om onze diensten te begrijpen en te verbeteren (art. 6 lid 1 sub f AVG). Wij respecteren de browsersignalen 'Do Not Track' en 'Global Privacy Control' — als een van beide is ingeschakeld, worden er geen statistieken verzameld. Daarnaast tellen wij op dezelfde manier het gebruik van afzonderlijke functies (bijvoorbeeld hoe vaak een bepaalde knop wordt gebruikt) en globale bezoekstatistieken (het aantal per bezoek bekeken pagina's en de geschatte bezoekduur). Ook deze waarden worden uitsluitend als geaggregeerde dagtellingen zonder persoonsgegevens opgeslagen en hiervoor wordt nog steeds niets op uw apparaat opgeslagen of uitgelezen.

Het Capwork-platform gebruikt AI-diensten via Google Vertex AI voor functies zoals geautomatiseerde bedrijfsgegevensgeneratie, business-insightsrapporten, het scannen van voertuigdocumenten, factuurverwerking, feedbackanalyse en de analyse van orderaanvragen. Daarbij worden zowel Google-eigen modellen (bijv. Gemini) als via de Vertex Model Garden aangeboden partnermodellen (bijv. Anthropic Claude) ingezet; in beide gevallen wordt de inferentie volledig door Google Cloud in de EU uitgevoerd. Google Vertex AI treedt op als subverwerker onder de bepalingen van de AVV.

Gegevens die naar AI-diensten worden verzonden, worden uitsluitend verwerkt onder de Enterprise-gegevensverwerkingsvoorwaarden van Google Cloud en met Region-Pinning op de EU-ruimte. Persoonsgegevens die aan AI-diensten worden verstrekt, worden niet gebruikt om AI-modellen te trainen, te verbeteren of te ontwikkelen. Dit wordt contractueel gegarandeerd via het Cloud Data Processing Addendum van Google.

Alle door AI gegenereerde inhoud wordt duidelijk in de gebruikersinterface gemarkeerd conform de EU AI Act (art. 50). Er worden geen geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen genomen zonder menselijk toezicht.

U kunt via office@capwork.io verzoeken om menselijke herbeoordeling van een door AI gegenereerde beslissing die u in aanzienlijke mate treft.

Capwork e.U. implementeert passende technische en organisatorische maatregelen op grond van art. 32 AVG om een op het risico afgestemd beveiligingsniveau te waarborgen. Deze maatregelen omvatten:

• Versleuteling van gegevens in rust en tijdens de overdracht (TLS 1.2+, AES-256)
• Toegangscontroles en rolgebaseerde autorisatie (RBAC) met Firebase Authentication
• Infrastructuur gehost op Google Cloud Platform binnen de EU (regio europe-west1)
• Regelmatige beveiligingsbeoordelingen, invoervalidatie (Zod-schema's) en rate limiting
• Logging en audit trails voor gegevenstoegang en -wijzigingen
• Prompt-injection-preventie en AI-beveiligingsmaatregelen voor alle door AI verwerkte gegevens

Een gedetailleerde beschrijving van de TOM's is als bijlage aan de verwerkersovereenkomst (AVV) gehecht en op aanvraag beschikbaar.

Op grond van de AVG heeft u met betrekking tot uw persoonsgegevens de volgende rechten:

• Recht op inzage (art. 15 AVG): u kunt informatie opvragen over welke persoonsgegevens wij van u hebben opgeslagen.
• Recht op rectificatie (art. 16 AVG): u kunt verzoeken om correctie van onjuiste gegevens.
• Recht op wissing (art. 17 AVG): u kunt verzoeken om verwijdering van uw gegevens, behoudens wettelijke bewaarplichten.
• Recht op beperking van de verwerking (art. 18 AVG): u kunt onder bepaalde voorwaarden verzoeken de verwerking te beperken.
• Recht op gegevensoverdraagbaarheid (art. 20 AVG): u kunt uw gegevens opvragen in een gestructureerd, machineleesbaar formaat.
• Recht van bezwaar (art. 21 AVG): u kunt te allen tijde bezwaar maken tegen de verwerking op basis van gerechtvaardigde belangen.

Neem voor de uitoefening van uw rechten contact met ons op via office@capwork.io. Wij reageren binnen één maand conform art. 12 AVG. Eindklanten van geregistreerde bedrijven dienen zich voor de uitoefening van hun rechten eerst tot het betreffende bedrijf (verwerkingsverantwoordelijke) te wenden.

Als u van mening bent dat de verwerking van uw persoonsgegevens in strijd is met het gegevensbeschermingsrecht, heeft u het recht een klacht in te dienen bij de Oostenrijkse gegevensbeschermingsautoriteit (Österreichische Datenschutzbehörde):

Wij behouden ons het recht voor dit Privacybeleid te actualiseren om wijzigingen in onze verwerkingspraktijken of wettelijke vereisten te weerspiegelen. Wezenlijke wijzigingen worden per e-mail aan geregistreerde gebruikers meegedeeld. De actuele versie is te allen tijde op deze pagina beschikbaar.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io