Política de privacidade

O responsável pelo tratamento dos dados na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD) e da Lei austríaca de proteção de dados (DSG) é:

A plataforma Capwork é explorada como serviço B2B. Consoante o contexto, diferentes partes assumem diferentes papéis em matéria de proteção de dados nos termos do RGPD:

• Titular dos dados (Betroffene Person): o cliente final ou a pessoa singular cujos dados pessoais são tratados (por ex. uma pessoa que marca um atendimento ou envia um pedido de informações).
• Responsável pelo tratamento (Verantwortlicher): a empresa registada que utiliza a plataforma Capwork. O responsável pelo tratamento determina as finalidades e os meios do tratamento dos dados e responde pelo cumprimento do RGPD perante os seus clientes finais.
• Subcontratante (Auftragsverarbeiter): a Capwork e.U. explora a plataforma Capwork como subcontratante por conta da empresa registada e trata os dados pessoais exclusivamente de acordo com as instruções do responsável pelo tratamento e o contrato de subcontratação.

A Capwork e.U. apenas é responsável pelo tratamento dos dados tratados para as suas próprias finalidades (por ex. gestão das contas da plataforma, faturação, segurança da plataforma e contacto com empresas por carta nos termos da secção 11a). No que respeita a todos os dados de clientes finais introduzidos pelas empresas registadas (por ex. detalhes de marcações, comunicações com clientes, documentos carregados), a empresa registada é o responsável pelo tratamento e a Capwork e.U. atua exclusivamente como subcontratante nos termos do art. 28.º do RGPD.

Recolhemos e tratamos as seguintes categorias de dados pessoais:

• Dados de conta: endereço de correio eletrónico, palavra-passe (com hash), nome da empresa, localização
• Dados de contacto e da marcação: nome, número de telefone, endereço de correio eletrónico e uma nota opcional para a empresa (nas marcações)
• Dados de pagamento: nome do titular do cartão, últimos quatro dígitos do número do cartão (apenas para fins de verificação de identidade)
• Dados de utilização: histórico de marcações, interações com o calendário, configurações dos módulos, dados de registo
• Dados técnicos: endereço IP, tipo de navegador, informações do dispositivo, marcas temporais de acesso
• Dados de clientes finais: todos os dados pessoais que as empresas registadas introduzem na plataforma por conta dos seus clientes (por ex. detalhes de marcações, informações de contacto, dados de encomendas, comunicações)
• Dados da empresa publicados: as informações que uma empresa registada torna publicamente acessíveis após ativar o seu portal de clientes (denominação, descrição e setor, endereço, número de telefone, sítio web, horário de funcionamento, serviços e preços), as informações sobre a sua identidade apresentadas nas marcações e nas ofertas (nome ou firma, endereço, dados de contacto e, se aplicável, número de identificação para efeitos de IVA) e as informações constantes da sua página de aviso legal no portal de clientes (adicionalmente, por exemplo, dados do registo comercial, autoridade de supervisão, câmara e regras profissionais, objeto social e a ligação para a sua política de privacidade)
• Notificações ao abrigo do Regulamento dos Serviços Digitais: nome e endereço de e-mail da pessoa que apresenta a notificação (facultativos nas notificações relativas a material de abuso sexual de crianças), o endereço notificado e, se aplicável, o conteúdo identificado, a categoria e a justificação da notificação, a língua, o estado de tratamento e a decisão; além disso, para limitar a utilização abusiva do formulário de notificação, o endereço IP e o endereço de e-mail em forma de hash como chave de um contador
• Documentação de intervenções, na medida em que uma empresa registada a utilize: tempos de trabalho, de pausa e de deslocação, estado das intervenções, material utilizado, notas e fotografias dos seus colaboradores, bem como fotografias, notas do local, assinaturas e relatórios de trabalho relativos aos seus clientes finais (pormenores na secção 11b)

Tratamos dados pessoais com base nos seguintes fundamentos jurídicos nos termos do art. 6.º do RGPD:

• Art. 6.º, n.º 1, al. a) RGPD — Consentimento: quando nos tiver dado o consentimento explícito para atividades de tratamento específicas.
• Art. 6.º, n.º 1, al. b) RGPD — Contrato: tratamento necessário para a execução do nosso contrato de prestação de serviços consigo ou para diligências pré-contratuais a seu pedido (p. ex., a criação da sua conta e a confirmação do seu endereço de e-mail durante o registo).
• Art. 6.º, n.º 1, al. c) RGPD — Obrigação legal: tratamento necessário ao cumprimento das obrigações de conservação previstas no direito comercial e fiscal austríaco.
• Art. 6.º, n.º 1, al. f) RGPD — Interesses legítimos: tratamento para prevenção da fraude, segurança da plataforma e melhoria do serviço, desde que os nossos interesses não prevaleçam sobre os seus direitos.

Relativamente aos dados dos clientes finais tratados por conta de empresas registadas, o fundamento jurídico é determinado pela respetiva empresa (responsável pelo tratamento) e documentado na sua própria política de privacidade.

O portal público de clientes está desativado por predefinição. Os dados da empresa aí apresentados são publicados exclusivamente por iniciativa da empresa registada, que para o efeito tem de ativar expressamente o portal (§ 4 das condições); a base jurídica é o art. 6.º, n.º 1, alínea b), do RGPD. A empresa determina ela própria que dados são apresentados e pode a qualquer momento limitar a publicação ou pôr-lhe termo por completo desativando o portal.

Tratamos as notificações de conteúdos ilegais ao abrigo do Regulamento dos Serviços Digitais, as decisões sobre as mesmas e a informação das partes envolvidas para cumprir as nossas obrigações legais decorrentes dos artigos 16.º a 18.º do DSA (art. 6.º, n.º 1, alínea c), do RGPD). A limitação do número de notificações por endereço IP e por endereço de e-mail baseia-se no nosso interesse legítimo num procedimento de notificação funcional e protegido contra abusos (art. 6.º, n.º 1, alínea f), do RGPD). Não divulgamos a identidade da pessoa que apresentou a notificação à empresa em causa.

Os seus dados pessoais são tratados para as seguintes finalidades:

• Disponibilização e operação da plataforma Capwork e dos seus módulos (marcações, encomendas, gestão de equipa, frota, stocks, finanças)
• Criação de contas de utilizador, autenticação e gestão de acessos
• Processamento de marcações, encomendas e comunicações com clientes por conta de empresas registadas
• Documentação de intervenções junto dos clientes finais, da respetiva aceitação e dos tempos de trabalho nelas despendidos, por conta de empresas registadas, desde que estas utilizem a documentação de intervenções (ver secção 11b)
• Funcionalidades baseadas em IA: geração de dados de empresa, business insights, digitalização de documentos e análise de feedback
• Prevenção da fraude, verificação de identidade e segurança da plataforma
• Exploração do portal público de clientes de uma empresa registada, desde que esta tenha ativado o portal
• Tratamento de notificações de conteúdos ilegais em portais de clientes, decisão sobre medidas e informação das partes envolvidas ao abrigo do Regulamento dos Serviços Digitais
• Medição para determinar se os registos resultam dos nossos anúncios no Google — apenas com o seu consentimento (ver secção 10)
• Apoio ao cliente e suporte: resposta aos seus pedidos e comentários e ajuda na configuração e utilização da plataforma — também por nossa iniciativa, através de mensagens ao titular da conta na área de feedback da plataforma (art. 6.º, n.º 1, al. b) RGPD). Por esta via não enviamos conteúdos publicitários.

Uma vez que a Capwork e.U. atua como subcontratante para as empresas registadas, é celebrado com cada empresa registada, no âmbito do processo de onboarding, um contrato de subcontratação (Auftragsverarbeitungsvertrag, AVV) nos termos do art. 28.º do RGPD.

O contrato de subcontratação regula:

• O objeto, a duração, a natureza e a finalidade do tratamento dos dados
• Os tipos de dados pessoais tratados e as categorias de titulares
• As obrigações e os direitos do responsável pelo tratamento (empresa registada)
• As medidas técnicas e organizativas (TOMs) para garantir a segurança dos dados (ver secção 12)
• O recurso e a autorização de subcontratantes ulteriores (ver secção 8)
• As obrigações de eliminação ou de devolução dos dados após a cessação do contrato

A empresa registada (responsável pelo tratamento) pode, a qualquer momento, solicitar uma cópia do contrato de subcontratação em office@capwork.io.

Os dados pessoais são conservados apenas pelo tempo necessário ao cumprimento das finalidades acima descritas ou pelo tempo exigido por lei. O direito comercial e fiscal austríaco (BAO, UGB) pode exigir a conservação de determinados dados por até 7 anos.

Após a cessação da conta, os seus dados pessoais serão eliminados no prazo de 30 dias, salvo quando a lei exija uma conservação mais longa. Os dados dos clientes finais tratados por conta de empresas registadas serão eliminados ou devolvidos em conformidade com o contrato de subcontratação (AVV). Se, durante o registo, não confirmar o seu endereço de e-mail e não for criada nenhuma empresa, eliminamos a conta 30 dias após o registo ou, se for posterior, após o seu último início de sessão.

A Bird, o fornecedor que entrega e-mails e SMS transacionais a clientes finais de empresas registadas (p. ex. confirmações de marcação, lembretes e códigos de início de sessão para o portal de clientes), conserva o conteúdo das mensagens e os dados de tráfego para entrega e prevenção de abusos: SMS até 6 meses, e-mail 72 horas. Os próprios subcontratantes da Bird incluem fornecedores fora do EEE, cobertos pelas cláusulas contratuais-tipo da UE.

Eliminamos as notificações ao abrigo do Regulamento dos Serviços Digitais e os registos das restrições de portais de clientes sete anos após a decisão ou após o levantamento ou o termo da restrição; até lá, conservamo-los para documentar as nossas decisões e para nos defendermos contra pretensões (art. 6.º, n.º 1, alínea f), do RGPD). As notificações ainda não decididas são conservadas até à decisão. Os contadores com que limitamos o número de pedidos são eliminados automaticamente após o termo da respetiva janela temporal.

Os seus dados podem ser comunicados às seguintes categorias de destinatários, que atuam como subcontratantes ulteriores nos termos do art. 28.º do RGPD:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infraestrutura e armazenamento de dados (região UE: europe-west1)
• Google Vertex AI (modelos da Google como o Gemini, bem como modelos de parceiros do Vertex Model Garden, por ex. Anthropic Claude; a inferência é efetuada integralmente pela Google Cloud na UE) — funcionalidades baseadas em IA, como a geração de dados de empresa, insights, digitalização de documentos, processamento de faturas e análise de solicitações de encomenda (subcontratante ulterior)
• Twilio — envio de notificações por SMS e WhatsApp (subcontratante ulterior)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — pesquisa de endereços, apresentação de mapas e distâncias; é também carregado na página pública de registo, sendo o seu endereço IP transmitido à Google, bem como ao abrir uma intervenção na vista de intervenções («As minhas intervenções»), que apresenta de imediato o mapa do local da intervenção
• Stripe Payments Europe, Ltd. — processamento de pagamentos e faturação (subcontratante ulterior)
• Bird (Bird B.V., Países Baixos) – envio de e-mails e SMS transacionais em nome das empresas registadas: confirmações de marcação, lembretes, ofertas de horários mais cedo, códigos de início de sessão para contas de cliente no portal de clientes e notificações sobre intervenções (deslocação, atraso, relatório de trabalho e ligação de confirmação); bem como envio e receção através dos canais de e-mail e SMS dessas empresas, incluindo SMS através de um número dedicado detido pela Capwork (subcontratante ulterior)
• Google Workspace / Gmail (Google Ireland Limited) — envio dos e-mails próprios da Capwork: a utilizadores registados (p. ex. mensagens de boas-vindas e de integração, bem como exposições de motivos e comunicações relativas a restrições de portais de clientes) e a pessoas que notificam conteúdos ilegais (aviso de receção e decisão); tratamento na UE (subcontratante)

Todos os subcontratantes ulteriores estão indicados no contrato de subcontratação (AVV) e estão vinculados por contratos de subcontratação nos termos do art. 28.º do RGPD. A empresa registada (responsável pelo tratamento) é informada sobre quaisquer alterações relativas aos subcontratantes ulteriores e dispõe de um direito de oposição. Não vendemos os seus dados pessoais a terceiros.

Alguns dos nossos subcontratantes ulteriores operam servidores fora do Espaço Económico Europeu (EEE). Sempre que sejam transferidos dados para países terceiros (por ex. os Estados Unidos), asseguramos garantias adequadas, incluindo cláusulas contratuais-tipo (CCT) da UE e decisões de adequação da Comissão Europeia.

A Google LLC e a Twilio Inc. participam no EU-U.S. Data Privacy Framework, proporcionando, assim, um nível adequado de proteção de dados, tal como reconhecido pela Comissão Europeia. Os mecanismos de transferência estão documentados no contrato de subcontratação (AVV).

Sem o seu consentimento, a plataforma Capwork utiliza exclusivamente cookies estritamente necessários para a autenticação, as preferências de idioma e as definições de apresentação por si escolhidas. No armazenamento local do seu navegador guardamos ainda informações estritamente necessárias, como o início de sessão numa conta de cliente no portal de clientes de uma empresa (até 30 dias ou até terminar a sessão), o esquema de cores e a sua escolha no banner de cookies. Durante o registo, os dados já introduzidos são aí também guardados durante, no máximo, sete dias (nunca a palavra-passe), para que um registo inacabado possa ser retomado. Não são utilizados cookies de rastreio, análise ou publicidade, com uma exceção: nas nossas próprias páginas informativas, pode consentir na medição da nossa publicidade no Google (último parágrafo desta secção). Os pormenores constam da nossa Política de Cookies.

Pode gerir as definições de cookies no seu navegador. A desativação dos cookies necessários pode afetar o funcionamento da plataforma.

Medimos a utilização do nosso website e da nossa plataforma com um sistema de estatísticas próprio e respeitador da privacidade, que funciona sem cookies e sem armazenar nada no seu dispositivo. Os nossos servidores guardam apenas contagens agregadas: totais diários (p. ex., visualizações por página) e, durante 100 dias, o número de visualizações de página e de visitantes recém-contados por intervalo de 15 minutos do dia; não são criados perfis de utilizador nem partilhados dados com terceiros. Para contar visitantes únicos, o endereço IP e o identificador do navegador são combinados num identificador anónimo através de uma chave que muda todos os dias; o endereço IP nunca é armazenado, e o identificador é eliminado no prazo de 48 horas, não podendo ser associado entre dias. Todo o tratamento decorre exclusivamente nos nossos servidores na UE (europe-west1). Base jurídica: o nosso interesse legítimo em compreender e melhorar os nossos serviços (art. 6.º, n.º 1, alínea f) do RGPD). Respeitamos os sinais do navegador «Do Not Track» e «Global Privacy Control» — se algum estiver ativado, não são recolhidas quaisquer estatísticas. Além disso, contamos da mesma forma a utilização de funções individuais (por exemplo, com que frequência um determinado botão é utilizado), bem como métricas de visita aproximadas (o número de páginas visualizadas por visita e a duração aproximada da visita). Estes valores são igualmente armazenados apenas como contagens diárias agregadas sem qualquer referência pessoal e, para esse efeito, nada continua a ser armazenado ou lido no seu dispositivo.

Nas nossas páginas informativas públicas em www.capwork.io (p. ex., página inicial, preços, soluções, empresa de exemplo, textos jurídicos e o registo aí disponibilizado) utilizamos o acompanhamento de conversões do Google Ads da Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) — apenas se der o seu acordo no banner de cookies. A finalidade é determinar se um registo na Capwork resulta de um clique num dos nossos anúncios no Google; não utilizamos publicidade personalizada nem remarketing. Após o seu acordo, o seu navegador carrega a etiqueta Google; neste processo, a Google trata o seu endereço IP, informações do navegador e do dispositivo, a página visitada, a data e hora e o identificador de clique de um anúncio, e armazena cookies como «_gcl_au» e «_gcl_aw» (até 90 dias). Um registo concluído é comunicado à Google sem nome, endereço de e-mail ou dados da empresa. A base jurídica é o seu consentimento (art. 6.º, n.º 1, alínea a) do RGPD e § 165 n.º 3 TKG 2021). A Google trata os dados na qualidade de responsável pelo tratamento independente e pode transferi-los para os EUA; a Google LLC está certificada ao abrigo do EU-U.S. Data Privacy Framework. Sem o seu consentimento, a etiqueta Google não é carregada. Pode retirar o seu consentimento a qualquer momento, com efeitos para o futuro, através de «Definições de cookies» no rodapé da nossa página inicial ou na nossa Política de Cookies; nesse caso, eliminamos os cookies do Google Ads em capwork.io. Guardamos a sua escolha no armazenamento local do seu navegador e voltamos a perguntar-lhe após doze meses. Para demonstrar o seu consentimento, guardamos ainda cada escolha feita no banner de cookies durante três anos nos nossos servidores na UE — com um identificador de consentimento gerado aleatoriamente, a escolha e a escolha substituída, a versão do banner, o idioma e a data e hora, mas sem o seu endereço IP; a base jurídica é o art. 6.º, n.º 1, alínea c), em conjugação com o art. 7.º, n.º 1, do RGPD. O banner mostra-lhe o identificador de consentimento em «Definições de cookies».

A plataforma Capwork utiliza serviços de IA através do Google Vertex AI para funcionalidades como a geração automática de dados de empresa, os relatórios de business insights, a digitalização de documentos de veículos e de comprovativos, a análise de feedback, a análise de solicitações de encomenda e de mensagens, as sugestões e os rascunhos de resposta, a tradução automática de conteúdos e a geração de sugestões de imagens para serviços e produtos. São utilizados tanto modelos próprios da Google (por ex. Gemini) como modelos de parceiros disponibilizados através do Vertex Model Garden (por ex. Anthropic Claude); em ambos os casos a inferência é efetuada integralmente pela Google Cloud na UE. O Google Vertex AI atua como subcontratante ulterior nos termos do AVV.

Na medida em que uma empresa utilize a documentação de intervenções, os seus colaboradores podem ditar notas: o Google Vertex AI (Gemini) transcreve a gravação na UE e elabora, a partir dela, um rascunho do texto do relatório. A Capwork não armazena a gravação nem a transcrição (ver secção 11b).

Os dados enviados aos serviços de IA são tratados exclusivamente ao abrigo das condições Enterprise de tratamento de dados da Google Cloud e com Region-Pinning no espaço da UE. Os dados pessoais transmitidos aos serviços de IA não são utilizados para treinar, melhorar ou desenvolver modelos de IA. Tal é garantido contratualmente através do adendo de tratamento de dados da Google Cloud.

Os conteúdos gerados por IA — como análises, sugestões, rascunhos de resposta, dados extraídos de documentos, traduções automáticas e imagens geradas por IA — são identificados como gerados por IA na interface do utilizador da plataforma e no portal de clientes, em conformidade com o Regulamento da UE sobre IA (art. 50.º). As mensagens a clientes que uma pessoa revê com base num rascunho de IA e envia ela própria não são identificadas separadamente junto do destinatário, uma vez que são enviadas sob controlo humano e responsabilidade editorial; as mensagens geradas por IA não são enviadas automaticamente. Não são tomadas decisões automatizadas com efeitos jurídicos ou efeitos semelhantemente significativos sem supervisão humana.

Pode solicitar a revisão humana de qualquer decisão gerada por IA que o afete significativamente, contactando-nos em office@capwork.io.

A Capwork e.U. implementa medidas técnicas e organizativas adequadas nos termos do art. 32.º do RGPD para assegurar um nível de segurança adequado ao risco. Estas medidas incluem:

• Cifragem dos dados em repouso e em trânsito (TLS 1.2+, AES-256)
• Controlos de acesso e autorização baseada em funções (RBAC) com Firebase Authentication
• Alojamento da infraestrutura na Google Cloud Platform dentro da UE (região europe-west1)
• Revisões de segurança periódicas, validação de entradas (esquemas Zod) e limitação de taxa
• Registo e trilhas de auditoria dos acessos e modificações de dados
• Prevenção de injeção de prompt e medidas de segurança da IA para todos os dados tratados pela IA

Uma descrição detalhada das TOMs figura como anexo ao contrato de subcontratação (AVV) e está disponível mediante pedido.

Nos termos do RGPD, assistem-lhe os seguintes direitos em relação aos seus dados pessoais:

• Direito de acesso (art. 15.º RGPD): pode solicitar informação sobre que dados pessoais temos a seu respeito.
• Direito de retificação (art. 16.º RGPD): pode solicitar a retificação de dados inexatos.
• Direito ao apagamento (art. 17.º RGPD): pode solicitar o apagamento dos seus dados, sem prejuízo das obrigações legais de conservação.
• Direito à limitação do tratamento (art. 18.º RGPD): pode, em determinadas condições, solicitar a limitação do tratamento.
• Direito à portabilidade dos dados (art. 20.º RGPD): pode solicitar os seus dados num formato estruturado e legível por máquina.
• Direito de oposição (art. 21.º RGPD): pode opor-se a qualquer momento ao tratamento baseado em interesses legítimos.

Para exercer os seus direitos, contacte-nos em office@capwork.io. Responderemos no prazo de um mês, em conformidade com o art. 12.º do RGPD. Os clientes finais das empresas registadas devem contactar, em primeiro lugar, a respetiva empresa (responsável pelo tratamento) para exercer os seus direitos.

A fim de proteger os seus dados contra acessos não autorizados, verificamos a identidade de qualquer pessoa que apresente um pedido de exercício dos seus direitos. Os pedidos efetuados a partir de uma conta com sessão iniciada são considerados verificados. Os pedidos recebidos por correio eletrónico são confirmados através de uma ligação enviada para o endereço de correio eletrónico registado na conta. Em caso de dúvidas razoáveis quanto à identidade (art. 12.º, n.º 6, do RGPD), podemos solicitar comprovativos de identidade adicionais — por exemplo, a cópia de um documento oficial de identificação com fotografia — que eliminaremos após concluída a verificação. A eliminação integral de uma conta de empresa só pode ser solicitada pelo titular da conta ou por uma pessoa administrativa autorizada; os utilizadores individuais só podem exercer os seus direitos relativamente aos seus próprios dados pessoais.

Se considerar que o tratamento dos seus dados pessoais viola a legislação em matéria de proteção de dados, tem o direito de apresentar uma reclamação junto da Autoridade austríaca de proteção de dados:

Reservamo-nos o direito de atualizar a presente Política de privacidade para refletir alterações nas nossas práticas de tratamento de dados ou nos requisitos legais. As alterações substanciais serão comunicadas por correio eletrónico aos utilizadores registados. A versão em vigor está permanentemente disponível nesta página.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

Correio eletrónico: office@capwork.io