Politică de confidențialitate

Operatorul prelucrării datelor în sensul Regulamentului general privind protecția datelor (GDPR) și al Legii austriece privind protecția datelor (DSG) este:

Platforma Capwork este exploatată ca serviciu B2B. În funcție de context, diferite părți își asumă roluri diferite în materie de protecție a datelor conform GDPR:

• Persoană vizată (Betroffene Person): clientul final sau persoana fizică ale cărei date cu caracter personal sunt prelucrate (de ex. o persoană care rezervă o programare sau trimite o solicitare).
• Operator (Verantwortlicher): societatea înregistrată care utilizează platforma Capwork. Operatorul stabilește scopurile și mijloacele prelucrării datelor și răspunde de respectarea GDPR față de clienții săi finali.
• Persoană împuternicită (Auftragsverarbeiter): Capwork e.U. exploatează platforma Capwork în calitate de persoană împuternicită, în numele societății înregistrate, și prelucrează datele cu caracter personal exclusiv conform instrucțiunilor operatorului și AVV.

Capwork e.U. este operator doar pentru datele prelucrate în scopuri proprii (de ex. gestionarea conturilor platformei, facturare, securitatea platformei și contactarea societăților prin scrisoare conform secțiunii 11a). Pentru toate datele clienților finali introduse de societățile înregistrate (de ex. detalii de rezervare, comunicări cu clienții, documente încărcate), societatea înregistrată este operatorul, iar Capwork e.U. acționează exclusiv ca persoană împuternicită conform art. 28 GDPR.

Colectăm și prelucrăm următoarele categorii de date cu caracter personal:

• Date de cont: adresă de e-mail, parolă (hash-uită), denumirea societății, localizare
• Date de contact și de rezervare: nume, număr de telefon, adresă de e-mail și o notă opțională pentru firmă (la efectuarea programărilor)
• Date de plată: numele titularului cardului, ultimele patru cifre ale numărului cardului (exclusiv în scopul verificării identității)
• Date de utilizare: istoricul rezervărilor, interacțiunile cu calendarul, configurațiile modulelor, date de jurnalizare
• Date tehnice: adresă IP, tipul browserului, informații despre dispozitiv, marcaje temporale ale accesului
• Date ale clienților finali: toate datele cu caracter personal pe care societățile înregistrate le introduc în platformă în numele clienților lor (de ex. detalii ale rezervărilor, informații de contact, date privind comenzile, comunicări)
• Date ale societății publicate: informațiile pe care o societate înregistrată le face accesibile public după activarea portalului său pentru clienți (denumire, descriere și domeniu de activitate, adresă, număr de telefon, site web, program de funcționare, servicii și prețuri), informațiile privind identitatea sa afișate la rezervări și oferte (nume sau denumire, adresă, date de contact și, după caz, cod de înregistrare în scopuri de TVA) și informațiile de pe pagina sa de informații legale din portalul pentru clienți (în plus, de exemplu, datele din registrul comerțului, autoritatea de supraveghere, camera și regulile profesionale, obiectul de activitate și linkul către politica sa de confidențialitate)
• Notificări în temeiul Regulamentului privind serviciile digitale: numele și adresa de e-mail ale persoanei care transmite notificarea (facultative în cazul notificărilor privind materiale care conțin abuz sexual asupra copiilor), adresa notificată și, după caz, conținutul indicat, categoria și justificarea notificării, limba, stadiul soluționării și decizia; în plus, pentru a limita utilizarea abuzivă a formularului de notificare, adresa IP și adresa de e-mail sub formă de hash, drept cheie a unui contor
• Documentarea lucrărilor, în măsura în care o societate înregistrată o utilizează: timpii de lucru, de pauză și de deplasare, starea lucrării, materialele utilizate, notele și fotografiile angajaților săi, precum și fotografiile, notele privind locația, semnăturile și rapoartele de lucru referitoare la clienții săi finali (detalii în secțiunea 11b)

Prelucrăm datele cu caracter personal în temeiul următoarelor baze juridice, conform art. 6 GDPR:

• Art. 6 alin. (1) lit. (a) GDPR — Consimțământ: atunci când ați acordat un consimțământ explicit pentru activități specifice de prelucrare.
• Art. 6 alin. (1) lit. (b) GDPR — Contract: prelucrarea necesară pentru executarea contractului nostru de servicii cu dumneavoastră sau pentru a face demersuri la cererea dumneavoastră înainte de încheierea acestuia (de exemplu, crearea contului dumneavoastră și confirmarea adresei dumneavoastră de e-mail la înregistrare).
• Art. 6 alin. (1) lit. (c) GDPR — Obligație legală: prelucrarea necesară pentru respectarea obligațiilor de păstrare prevăzute de dreptul comercial și fiscal austriac.
• Art. 6 alin. (1) lit. (f) GDPR — Interese legitime: prelucrare pentru prevenirea fraudelor, securitatea platformei și îmbunătățirea serviciului, cu condiția ca interesele noastre să nu fie depășite de drepturile dumneavoastră.

Pentru datele clienților finali prelucrate în numele societăților înregistrate, temeiul juridic este stabilit de societatea respectivă (operator) și documentat în propria sa politică de confidențialitate.

Portalul public pentru clienți este dezactivat în mod implicit. Datele societății afișate acolo sunt publicate exclusiv la inițiativa societății înregistrate, care trebuie să activeze în mod expres portalul în acest scop (§ 4 din condiții); temeiul juridic este art. 6 alin. (1) lit. (b) din RGPD. Societatea stabilește ea însăși ce date sunt afișate și poate oricând să limiteze publicarea sau să o înceteze complet prin dezactivarea portalului.

Prelucrăm notificările privind conținutul ilegal în temeiul Regulamentului privind serviciile digitale, deciziile luate cu privire la acestea și informarea părților implicate pentru a ne îndeplini obligațiile legale care ne revin în temeiul art. 16–18 din DSA (art. 6 alin. (1) lit. (c) din RGPD). Limitarea numărului de notificări per adresă IP și per adresă de e-mail se întemeiază pe interesul nostru legitim de a avea o procedură de notificare funcțională și protejată împotriva abuzurilor (art. 6 alin. (1) lit. (f) din RGPD). Nu comunicăm identitatea persoanei care a transmis notificarea societății vizate.

Datele dumneavoastră cu caracter personal sunt prelucrate în următoarele scopuri:

• Furnizarea și operarea platformei Capwork și a modulelor sale (programări, comenzi, gestionarea echipei, parc auto, stocuri, finanțe)
• Crearea conturilor de utilizator, autentificare și gestionarea accesului
• Prelucrarea rezervărilor, comenzilor și comunicărilor cu clienții în numele societăților înregistrate
• Documentarea lucrărilor efectuate la clienții finali, a recepției acestora și a timpului de lucru aferent, în numele societăților înregistrate, în măsura în care societățile respective utilizează documentarea lucrărilor (a se vedea secțiunea 11b)
• Funcționalități bazate pe IA: generarea de date ale societăților, business insights, scanarea documentelor și analiza feedbackului
• Prevenirea fraudelor, verificarea identității și securitatea platformei
• Operarea portalului public pentru clienți al unei societăți înregistrate, în măsura în care aceasta a activat portalul
• Gestionarea notificărilor privind conținutul ilegal din portalurile pentru clienți, luarea deciziilor privind măsurile și informarea părților implicate în temeiul Regulamentului privind serviciile digitale
• Măsurarea pentru a stabili dacă înregistrările provin din anunțurile noastre de pe Google — doar cu consimțământul dumneavoastră (a se vedea secțiunea 10)
• Relații cu clienții și asistență: răspunsuri la solicitările și feedbackul dumneavoastră și ajutor la configurarea și utilizarea platformei – inclusiv din proprie inițiativă, prin mesaje către titularul contului în secțiunea de feedback a platformei (art. 6 alin. (1) lit. (b) GDPR). Pe această cale nu trimitem conținut publicitar.

Întrucât Capwork e.U. acționează ca persoană împuternicită pentru societățile înregistrate, cu fiecare societate înregistrată se încheie, în cadrul procesului de onboarding, un contract de împuternicire (Auftragsverarbeitungsvertrag, AVV) conform art. 28 GDPR.

Contractul de împuternicire reglementează:

• Obiectul, durata, natura și scopul prelucrării datelor
• Categoriile de date cu caracter personal prelucrate și categoriile de persoane vizate
• Obligațiile și drepturile operatorului (societatea înregistrată)
• Măsurile tehnice și organizatorice (TOM) pentru asigurarea securității datelor (a se vedea secțiunea 12)
• Recurgerea la subîmputerniciți și autorizarea acestora (a se vedea secțiunea 8)
• Obligațiile de ștergere sau restituire a datelor la încetarea contractului

Societatea înregistrată (operator) poate solicita oricând o copie a contractului de împuternicire la office@capwork.io.

Datele cu caracter personal sunt păstrate numai atât timp cât este necesar pentru îndeplinirea scopurilor descrise mai sus sau cât impune legea. Dreptul comercial și fiscal austriac (BAO, UGB) poate impune păstrarea anumitor date pentru până la 7 ani.

După încetarea contului, datele dumneavoastră cu caracter personal vor fi șterse în termen de 30 de zile, cu excepția cazului în care legea impune o păstrare mai îndelungată. Datele clienților finali prelucrate în numele societăților înregistrate vor fi șterse sau returnate în conformitate cu AVV. Dacă la înregistrare nu vă confirmați adresa de e-mail și nu este creată nicio societate, ștergem contul la 30 de zile după înregistrare sau, dacă este mai târziu, după ultima dumneavoastră autentificare.

Bird, furnizorul care livrează e-mailuri și SMS-uri tranzacționale clienților finali ai afacerilor înregistrate (de ex. confirmări de programare, mementouri și coduri de autentificare în portalul pentru clienți), păstrează conținutul mesajelor și datele de trafic pentru livrare și prevenirea abuzurilor: SMS până la 6 luni, e-mail 72 de ore. Subîmputerniciții proprii ai Bird includ furnizori din afara SEE, acoperiți de clauzele contractuale standard ale UE.

Ștergem notificările în temeiul Regulamentului privind serviciile digitale și evidențele privind restricționarea portalurilor pentru clienți la șapte ani după decizie, respectiv după ridicarea sau expirarea restricției; până atunci le păstrăm pentru a ne documenta deciziile și pentru a ne apăra împotriva unor pretenții (art. 6 alin. (1) lit. (f) din RGPD). Notificările asupra cărora nu s-a decis încă sunt păstrate până la luarea deciziei. Contoarele prin care limităm numărul de solicitări sunt șterse automat după expirarea intervalului lor de timp.

Datele dumneavoastră pot fi comunicate următoarelor categorii de destinatari, care acționează ca subîmputerniciți conform art. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastructură și stocare a datelor (regiune UE: europe-west1)
• Google Vertex AI (modele Google precum Gemini, precum și modele partenere din Vertex Model Garden, de ex. Anthropic Claude; inferența este realizată integral de Google Cloud în UE) — funcționalități bazate pe IA, cum ar fi generarea de date ale societăților, insights, scanarea documentelor, prelucrarea facturilor și analiza cererilor de comandă (subîmputernicit)
• Twilio — livrarea notificărilor prin SMS și WhatsApp (subîmputernicit)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — căutarea adreselor, afișarea hărților și a distanțelor; se încarcă și pe pagina publică de înregistrare, adresa dumneavoastră IP fiind transmisă către Google, precum și la deschiderea unei lucrări în vizualizarea lucrărilor („Lucrările mele”), care afișează imediat harta locului lucrării
• Stripe Payments Europe, Ltd. — procesarea plăților și facturarea (subîmputernicit)
• Bird (Bird B.V., Țările de Jos) – livrarea e-mailurilor și SMS-urilor tranzacționale în numele afacerilor înregistrate: confirmări de programare, mementouri, oferte de intervale mai devreme, coduri de autentificare pentru conturile de client din portalul pentru clienți și notificări privind lucrările (deplasare, întârziere, raport de lucru și link de confirmare); precum și trimiterea și primirea prin canalele de e-mail și SMS ale acestor afaceri, inclusiv SMS-uri pe un număr dedicat deținut de Capwork (subîmputernicit)
• Google Workspace / Gmail (Google Ireland Limited) — trimiterea e-mailurilor proprii ale Capwork: către utilizatorii înregistrați (de ex. mesaje de bun venit și de integrare, precum și expuneri de motive și comunicări privind restricționarea portalurilor pentru clienți) și către persoanele care raportează conținut ilegal (confirmare de primire și decizie); prelucrare în UE (persoană împuternicită)

Toți subîmputerniciții sunt enumerați în AVV și sunt obligați prin contracte de prelucrare conforme cu art. 28 GDPR. Societatea înregistrată (operator) este informată cu privire la orice modificare referitoare la subîmputerniciți și are drept de opoziție. Nu vindem datele dumneavoastră cu caracter personal către terți.

Unii dintre subîmputerniciții noștri operează servere în afara Spațiului Economic European (SEE). În măsura în care datele sunt transferate către țări terțe (de ex. Statele Unite), ne asigurăm că sunt în vigoare garanții adecvate, inclusiv clauze contractuale standard (SCC) ale UE și decizii de adecvare ale Comisiei Europene.

Google LLC și Twilio Inc. participă la EU-U.S. Data Privacy Framework, asigurând astfel un nivel adecvat de protecție a datelor, recunoscut de Comisia Europeană. Mecanismele de transfer sunt documentate în AVV.

Fără consimțământul dumneavoastră, platforma Capwork utilizează exclusiv cookie-uri strict necesare pentru autentificare, preferințele de limbă și setările de afișare efectuate chiar de dumneavoastră. În stocarea locală a browserului dumneavoastră păstrăm, de asemenea, informații strict necesare, de exemplu autentificarea în contul de client din portalul pentru clienți al unei societăți (până la 30 de zile sau până la deconectare), schema de culori și alegerea dumneavoastră din bannerul de cookie-uri. În timpul înregistrării, datele introduse până atunci sunt păstrate acolo și timp de până la șapte zile (niciodată parola), pentru ca o înregistrare neterminată să poată fi continuată. Nu sunt utilizate cookie-uri de urmărire, de analiză sau publicitare, cu o excepție: pe propriile noastre pagini informative vă puteți exprima consimțământul pentru măsurarea publicității noastre pe Google (ultimul paragraf al acestei secțiuni). Detalii găsiți în Politica noastră privind modulele cookie.

Puteți gestiona setările cookie-urilor din browserul dumneavoastră. Dezactivarea cookie-urilor necesare poate afecta funcționalitatea platformei.

Măsurăm utilizarea site-ului și a platformei noastre cu un sistem propriu de statistici, prietenos cu confidențialitatea, care funcționează fără cookie-uri și fără a stoca nimic pe dispozitivul dumneavoastră. Serverele noastre păstrează doar numărători agregate: totaluri zilnice (de ex. afișări per pagină) și, timp de 100 de zile, numărul de afișări de pagină și de vizitatori nou-numărați per interval de 15 minute al zilei; nu se creează profiluri de utilizator și nu se partajează date cu terți. Pentru a număra vizitatorii unici, adresa IP și identificatorul browserului sunt transformate într-un identificator anonim printr-o cheie care se schimbă zilnic; adresa IP în sine nu este niciodată stocată, iar identificatorul este șters în termen de 48 de ore și nu poate fi corelat între zile. Întreaga prelucrare are loc exclusiv pe serverele noastre din UE (europe-west1). Temei juridic: interesul nostru legitim de a înțelege și de a ne îmbunătăți serviciile (art. 6 alin. 1 lit. f din RGPD). Respectăm semnalele de browser „Do Not Track” și „Global Privacy Control” — dacă oricare dintre ele este activat, nu se colectează nicio statistică. În plus, numărăm în același mod utilizarea funcțiilor individuale (de exemplu, cât de des este folosit un anumit buton), precum și indicatori aproximativi ai vizitelor (numărul de pagini vizualizate per vizită și durata aproximativă a vizitei). Și aceste valori sunt stocate exclusiv sub formă de numărători zilnice agregate, fără nicio referință personală, iar în acest scop nu se mai stochează și nu se mai citește nimic pe dispozitivul dumneavoastră.

Pe paginile noastre informative publice de la www.capwork.io (de ex. pagina principală, prețuri, soluții, firma exemplu, textele juridice și înregistrarea oferită acolo) utilizăm urmărirea conversiilor Google Ads de la Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) — doar dacă vă exprimați acordul în bannerul de cookie-uri. Scopul este de a stabili dacă o înregistrare la Capwork provine dintr-un clic pe unul dintre anunțurile noastre de pe Google; nu folosim publicitate personalizată și nici remarketing. După exprimarea acordului, browserul dumneavoastră încarcă eticheta Google; în acest proces, Google prelucrează adresa dumneavoastră IP, informații despre browser și dispozitiv, pagina accesată, momentul accesării și identificatorul de clic al unui anunț și stochează cookie-uri precum „_gcl_au” și „_gcl_aw” (până la 90 de zile). O înregistrare finalizată este raportată către Google fără nume, adresă de e-mail sau date despre societate. Temeiul juridic este consimțământul dumneavoastră (art. 6 alin. 1 lit. a din RGPD și § 165 alin. 3 TKG 2021). Google prelucrează datele în calitate de operator independent și le poate transfera în SUA; Google LLC este certificată în cadrul EU-U.S. Data Privacy Framework. Fără consimțământul dumneavoastră, eticheta Google nu se încarcă. Vă puteți retrage oricând consimțământul, cu efect pentru viitor, prin „Setări cookie-uri” în subsolul paginii noastre principale sau în Politica noastră privind modulele cookie; în acest caz, ștergem cookie-urile Google Ads de pe capwork.io. Păstrăm alegerea dumneavoastră în stocarea locală a browserului și vă întrebăm din nou după douăsprezece luni. Pentru a dovedi consimțământul dumneavoastră, stocăm, de asemenea, fiecare alegere din bannerul de cookie-uri timp de trei ani pe serverele noastre din UE — cu un identificator de consimțământ generat aleatoriu, alegerea și alegerea înlocuită, versiunea bannerului, limba și momentul alegerii, dar fără adresa dumneavoastră IP; temeiul juridic este art. 6 alin. 1 lit. c coroborat cu art. 7 alin. 1 din RGPD. Bannerul vă afișează identificatorul de consimțământ la „Setări cookie-uri”.

Platforma Capwork utilizează servicii de IA prin Google Vertex AI pentru funcționalități precum generarea automată a datelor societăților, rapoartele de business insights, scanarea documentelor vehiculelor și a documentelor justificative, analiza feedbackului, analiza cererilor de comandă și a mesajelor, sugestiile și proiectele de răspuns, traducerea automată a conținutului, precum și generarea de propuneri de imagini pentru servicii și produse. În acest scop sunt utilizate atât modele proprii Google (de ex. Gemini), cât și modele partenere puse la dispoziție prin Vertex Model Garden (de ex. Anthropic Claude); în ambele cazuri, inferența este realizată integral de Google Cloud în UE. Google Vertex AI acționează ca subîmputernicit conform prevederilor AVV.

În măsura în care o societate utilizează documentarea lucrărilor, angajații săi pot dicta note: Google Vertex AI (Gemini) transcrie înregistrarea în UE și întocmește pe baza acesteia un proiect al textului raportului. Capwork nu stochează nici înregistrarea, nici transcrierea (a se vedea secțiunea 11b).

Datele trimise către serviciile de IA sunt prelucrate exclusiv în baza condițiilor Enterprise de prelucrare a datelor ale Google Cloud și cu fixarea regiunii de prelucrare pe UE. Datele cu caracter personal transmise către serviciile de IA nu sunt utilizate pentru antrenarea, îmbunătățirea sau dezvoltarea modelelor de IA. Acest lucru este garantat contractual prin addendumul Google Cloud privind prelucrarea datelor.

Conținuturile generate de IA — de exemplu analize, sugestii, proiecte de răspuns, date extrase din documente, traduceri automate și imagini generate de IA — sunt marcate ca fiind generate de IA în interfața cu utilizatorul a platformei și în portalul pentru clienți, în conformitate cu Regulamentul UE privind IA (art. 50). Mesajele către clienți pe care o persoană le verifică pe baza unui proiect generat de IA și le trimite ea însăși nu sunt marcate separat pentru destinatar, deoarece sunt trimise sub control uman și sub responsabilitate editorială; mesajele generate de IA nu sunt trimise automat. Nu se iau decizii automatizate cu efecte juridice sau efecte similare semnificative fără supraveghere umană.

Puteți solicita revizuirea umană a oricărei decizii generate de IA care vă afectează în mod semnificativ, scriindu-ne la office@capwork.io.

Capwork e.U. implementează măsuri tehnice și organizatorice adecvate, conform art. 32 GDPR, pentru a asigura un nivel de securitate corespunzător riscului. Aceste măsuri includ:

• Criptarea datelor în repaus și în tranzit (TLS 1.2+, AES-256)
• Controale ale accesului și autorizare bazată pe roluri (RBAC) cu Firebase Authentication
• Găzduirea infrastructurii pe Google Cloud Platform în UE (regiunea europe-west1)
• Evaluări periodice de securitate, validarea intrărilor (scheme Zod) și limitarea ratei
• Jurnalizare și piste de audit pentru accesele și modificările datelor
• Prevenirea injecției de prompt și măsuri de securitate a IA pentru toate datele prelucrate de IA

O descriere detaliată a TOM este anexată la contractul de împuternicire (AVV) și este disponibilă la cerere.

În conformitate cu GDPR, beneficiați de următoarele drepturi cu privire la datele dumneavoastră cu caracter personal:

• Dreptul de acces (art. 15 GDPR): puteți solicita informații cu privire la datele cu caracter personal pe care le deținem despre dumneavoastră.
• Dreptul la rectificare (art. 16 GDPR): puteți solicita rectificarea datelor inexacte.
• Dreptul la ștergere (art. 17 GDPR): puteți solicita ștergerea datelor dumneavoastră, sub rezerva obligațiilor legale de păstrare.
• Dreptul la restricționarea prelucrării (art. 18 GDPR): puteți solicita, în anumite condiții, restricționarea prelucrării.
• Dreptul la portabilitatea datelor (art. 20 GDPR): puteți solicita datele dumneavoastră într-un format structurat și care poate fi citit automat.
• Dreptul de opoziție (art. 21 GDPR): vă puteți opune în orice moment prelucrării întemeiate pe interese legitime.

Pentru exercitarea drepturilor dumneavoastră, contactați-ne la office@capwork.io. Vom răspunde în termen de o lună, conform art. 12 GDPR. Clienții finali ai societăților înregistrate trebuie să se adreseze mai întâi societății respective (operator) pentru exercitarea drepturilor lor.

Pentru a vă proteja datele împotriva accesului neautorizat, verificăm identitatea oricărei persoane care depune o cerere de exercitare a drepturilor. Cererile efectuate dintr-un cont autentificat sunt considerate verificate. Cererile primite prin e-mail sunt confirmate printr-un link trimis la adresa de e-mail înregistrată în cont. În caz de îndoieli rezonabile cu privire la identitate (art. 12 alin. (6) GDPR), putem solicita dovezi de identitate suplimentare — de exemplu, o copie a unui act de identitate oficial cu fotografie —, pe care le ștergem după finalizarea verificării. Ștergerea integrală a unui cont al unei societăți poate fi solicitată exclusiv de titularul contului sau de o persoană administrativă autorizată; utilizatorii individuali își pot exercita drepturile doar cu privire la propriile date cu caracter personal.

Dacă apreciați că prelucrarea datelor dumneavoastră cu caracter personal încalcă legislația privind protecția datelor, aveți dreptul de a depune o plângere la Autoritatea austriacă pentru protecția datelor:

Ne rezervăm dreptul de a actualiza prezenta Politică de confidențialitate pentru a reflecta modificări în practicile noastre de prelucrare a datelor sau în cerințele legale. Modificările substanțiale vor fi comunicate utilizatorilor înregistrați prin e-mail. Versiunea curentă este disponibilă permanent pe această pagină.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-mail: office@capwork.io