Pravilnik o zasebnosti

Upravljavec, odgovoren za obdelavo podatkov v smislu Splošne uredbe o varstvu podatkov (GDPR) in avstrijskega Zakona o varstvu podatkov (DSG), je:

Platforma Capwork deluje kot storitev B2B. Glede na kontekst prevzamejo različne stranke različne vloge v zvezi z varstvom podatkov po GDPR:

• Posameznik, na katerega se nanašajo osebni podatki (Betroffene Person): končna stranka oziroma fizična oseba, katere osebni podatki se obdelujejo (npr. oseba, ki rezervira termin ali pošlje poizvedbo).
• Upravljavec (Verantwortlicher): registrirano podjetje, ki uporablja platformo Capwork. Upravljavec določa namene in sredstva obdelave podatkov ter je do svojih končnih strank odgovoren za skladnost z GDPR.
• Obdelovalec (Auftragsverarbeiter): Capwork e.U. upravlja platformo Capwork kot obdelovalec v imenu registriranega podjetja in osebne podatke obdeluje izključno po navodilih upravljavca in v skladu s pogodbo o obdelavi podatkov.

Capwork e.U. je upravljavec le za podatke, ki se obdelujejo za lastne namene (npr. upravljanje računov platforme, obračun, varnost platforme). Za vse podatke končnih strank, ki jih vnesejo registrirana podjetja (npr. podrobnosti rezervacij, komunikacija s strankami, naloženi dokumenti), je upravljavec registrirano podjetje, Capwork e.U. pa deluje izključno kot obdelovalec v skladu s čl. 28 GDPR.

Zbiramo in obdelujemo naslednje kategorije osebnih podatkov:

• Podatki o računu: e-poštni naslov, geslo (zgoščeno), ime podjetja, lokacija
• Kontaktni podatki: ime, telefonska številka, e-poštni naslov (pri rezervaciji terminov)
• Plačilni podatki: ime imetnika kartice, zadnje štiri številke kartice (samo za preverjanje istovetnosti)
• Podatki o uporabi: zgodovina rezervacij, interakcije s koledarjem, konfiguracije modulov, dnevniški podatki
• Tehnični podatki: IP naslov, vrsta brskalnika, informacije o napravi, časovni žigi dostopa
• Podatki končnih strank: vsi osebni podatki, ki jih registrirana podjetja v imenu svojih strank vnesejo v platformo (npr. podrobnosti rezervacij, kontaktni podatki, podatki o naročilih, komunikacija)

Osebne podatke obdelujemo na naslednjih pravnih podlagah v skladu s čl. 6 GDPR:

• Čl. 6(1)(a) GDPR — Privolitev: kadar ste podali izrecno privolitev za določene dejavnosti obdelave.
• Čl. 6(1)(b) GDPR — Pogodba: obdelava, potrebna za izvajanje naše pogodbe o storitvah z vami.
• Čl. 6(1)(c) GDPR — Zakonska obveznost: obdelava, potrebna za izpolnjevanje obveznosti hrambe po avstrijskem davčnem in gospodarskem pravu.
• Čl. 6(1)(f) GDPR — Zakoniti interesi: obdelava za preprečevanje prevar, varnost platforme in izboljšanje storitev, kadar naši interesi niso prevladani z vašimi pravicami.

Za podatke končnih strank, ki se obdelujejo v imenu registriranih podjetij, pravno podlago določi ustrezno podjetje (upravljavec) in jo dokumentira v lastnem pravilniku o zasebnosti.

Vaši osebni podatki se obdelujejo za naslednje namene:

• Zagotavljanje in delovanje platforme Capwork in njenih modulov (termini, naročila, upravljanje ekipe, vozni park, zaloge, finance)
• Ustvarjanje uporabniških računov, preverjanje pristnosti in upravljanje dostopa
• Obdelava rezervacij, naročil in komunikacije s strankami v imenu registriranih podjetij
• Funkcije, podprte z UI: generiranje podatkov o podjetju, poslovni vpogledi, skeniranje dokumentov in analiza povratnih informacij
• Preprečevanje prevar, preverjanje istovetnosti in varnost platforme

Ker Capwork e.U. za registrirana podjetja deluje kot obdelovalec (Auftragsverarbeiter), se z vsakim registriranim podjetjem med postopkom uvedbe sklene Pogodba o obdelavi podatkov (Auftragsverarbeitungsvertrag, AVV) v skladu s čl. 28 GDPR.

AVV ureja:

• Predmet, trajanje, naravo in namen obdelave podatkov
• Vrste osebnih podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki
• Obveznosti in pravice upravljavca (registriranega podjetja)
• Tehnične in organizacijske ukrepe (TOM) za zagotavljanje varnosti podatkov (glej razdelek 13)
• Uporabo in odobritev podobdelovalcev (glej razdelek 9)
• Obveznosti glede izbrisa ali vrnitve podatkov ob prenehanju pogodbe

Registrirano podjetje (upravljavec) lahko kadar koli zahteva kopijo AVV, tako da se obrne na office@capwork.io.

Osebni podatki se hranijo le toliko časa, kolikor je potrebno za izpolnjevanje zgoraj opisanih namenov ali kot to zahteva zakon. Avstrijsko gospodarsko in davčno pravo (BAO, UGB) lahko zahteva hrambo določenih podatkov do 7 let.

Po prekinitvi računa bodo vaši osebni podatki izbrisani v 30 dneh, razen če zakon zahteva daljšo hrambo. Podatki končnih strank, ki se obdelujejo v imenu registriranih podjetij, bodo izbrisani ali vrnjeni v skladu z AVV.

Vaši podatki se lahko delijo z naslednjimi kategorijami prejemnikov, ki delujejo kot podobdelovalci (Unterauftragsverarbeiter) v skladu s čl. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktura in hramba podatkov (regija EU: europe-west1)
• Google Vertex AI (modeli Google, kot je Gemini, ter partnerski modeli iz Vertex Model Garden, npr. Anthropic Claude; inferenco v celoti izvaja Google Cloud v EU) — funkcije, podprte z UI, kot so generiranje podatkov o podjetju, vpogledi, skeniranje dokumentov, obdelava računov in analiza povpraševanj za naročila (podobdelovalec)
• Twilio — dostava obvestil SMS in WhatsApp (podobdelovalec)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — iskanje naslovov, prikaz zemljevidov in razdalj; naloži se tudi na javni registracijski strani, pri čemer se vaš naslov IP posreduje Googlu
• Stripe Payments Europe, Ltd. — obdelava plačil in obračun (podobdelovalec)
• Bird (Bird B.V., Nizozemska) – pošiljanje transakcijske e-pošte (podobdelovalec)
• Google Workspace / Gmail (Google Ireland Limited) — pošiljanje e-pošte platforme registriranim uporabnikom (npr. pozdravna in uvajalna sporočila); obdelava znotraj EU (obdelovalec)

Vsi podobdelovalci so navedeni v AVV in so zavezani s pogodbami o obdelavi podatkov v skladu s čl. 28 GDPR. Registrirano podjetje (upravljavec) je obveščeno o spremembah podobdelovalcev in ima pravico do ugovora. Vaših osebnih podatkov ne prodajamo tretjim osebam.

Nekateri naši podobdelovalci upravljajo strežnike zunaj Evropskega gospodarskega prostora (EGP). Kadar se podatki prenašajo v tretje države (npr. ZDA), zagotovimo ustrezne zaščitne ukrepe, vključno s standardnimi pogodbenimi klavzulami EU (SPK) in sklepi Evropske komisije o ustreznosti.

Google LLC in Twilio Inc. sodelujeta v okviru EU-ZDA za varovanje zasebnosti podatkov (EU-U.S. Data Privacy Framework) in tako zagotavljata ustrezno raven varstva podatkov, kot jo priznava Evropska komisija. Mehanizmi prenosa so dokumentirani v AVV.

Platforma Capwork uporablja izključno tehnično nujne piškotke za preverjanje pristnosti in jezikovne nastavitve. Piškotki za sledenje, analitiko ali oglaševanje se ne uporabljajo.

Nastavitve piškotkov lahko urejate v svojem brskalniku. Onemogočanje nujnih piškotkov lahko vpliva na delovanje platforme.

Uporabo našega spletnega mesta in platforme merimo z lastnim, zasebnosti prijaznim statističnim sistemom, ki deluje brez piškotkov in ničesar ne shranjuje v vašo napravo. Naši strežniki hranijo le združene dnevne števce (npr. oglede posameznih strani); uporabniški profili se ne ustvarjajo in podatki se ne delijo s tretjimi osebami. Za štetje edinstvenih obiskovalcev se naslov IP in identifikator brskalnika s ključem, ki se menja vsak dan, pretvorita v anonimni identifikator; sam naslov IP se nikoli ne shrani, identifikator pa se izbriše v 48 urah in ga med dnevi ni mogoče povezovati. Vsa obdelava poteka izključno na naših strežnikih v EU (europe-west1). Pravna podlaga: naš zakoniti interes za razumevanje in izboljševanje naših storitev (čl. 6(1)(f) GDPR). Spoštujemo brskalniška signala „Do Not Track“ in „Global Privacy Control“ — če je kateri od njiju vklopljen, se statistika sploh ne zbira. Poleg tega na enak način štejemo uporabo posameznih funkcij (na primer kako pogosto se uporablja določen gumb) ter grobe kazalnike obiskov (število ogledanih strani na obisk in približno trajanje obiska). Tudi te vrednosti se shranjujejo izključno kot agregirani dnevni seštevki brez kakršne koli povezave z osebo, v ta namen pa se na vaši napravi še naprej nič ne shranjuje ali bere.

Platforma Capwork uporablja storitve UI prek Google Vertex AI za funkcije, kot so avtomatsko generiranje podatkov o podjetju, poročila o poslovnih vpogledih, skeniranje dokumentov vozil, obdelava računov, analiza povratnih informacij in analiza povpraševanj za naročila. Pri tem se uporabljajo tako lastni modeli Google (npr. Gemini) kot tudi partnerski modeli, ki so na voljo prek Vertex Model Garden (npr. Anthropic Claude); v obeh primerih inferenco v celoti izvaja Google Cloud v EU. Google Vertex AI deluje kot podobdelovalec pod pogoji AVV.

Podatki, poslani storitvam UI, se obdelujejo izključno v skladu z Enterprise pogoji obdelave podatkov Google Clouda in s pripenjanjem regije obdelave na EU. Osebni podatki, poslani storitvam UI, se ne uporabljajo za usposabljanje, izboljšanje ali razvoj modelov UI. To je pogodbeno zagotovljeno z dodatkom Google Clouda o obdelavi podatkov.

Vse vsebine, ki jih ustvari UI, so v uporabniškem vmesniku jasno označene v skladu z Aktom EU o umetni inteligenci (čl. 50). Brez človeškega nadzora se ne sprejemajo avtomatizirane odločitve s pravnimi ali podobno pomembnimi učinki.

Človeški pregled katere koli z UI generirane odločitve, ki vas bistveno zadeva, lahko zahtevate na office@capwork.io.

Capwork e.U. izvaja ustrezne tehnične in organizacijske ukrepe v skladu s čl. 32 GDPR za zagotavljanje ravni varnosti, primerne tveganju. Ti ukrepi vključujejo:

• Šifriranje podatkov v mirovanju in med prenosom (TLS 1.2+, AES-256)
• Nadzor dostopa in avtorizacijo, ki temelji na vlogah (RBAC), s Firebase Authentication
• Gostovanje infrastrukture na Google Cloud Platform znotraj EU (regija europe-west1)
• Redna varnostna preverjanja, potrjevanje vhodnih podatkov (sheme Zod) in omejevanje števila zahtev
• Beleženje in revizijske sledi za dostope in spremembe podatkov
• Preprečevanje prompt injection napadov in varnostni ukrepi za UI za vse podatke, ki jih obdeluje UI

Podroben opis TOM je priložen Pogodbi o obdelavi podatkov (AVV) in je na voljo na zahtevo.

V skladu z GDPR imate v zvezi s svojimi osebnimi podatki naslednje pravice:

• Pravica do dostopa (čl. 15 GDPR): Lahko zahtevate informacije o tem, katere osebne podatke o vas hranimo.
• Pravica do popravka (čl. 16 GDPR): Lahko zahtevate popravek netočnih podatkov.
• Pravica do izbrisa (čl. 17 GDPR): Lahko zahtevate izbris svojih podatkov, ob upoštevanju zakonskih obveznosti hrambe.
• Pravica do omejitve obdelave (čl. 18 GDPR): Pod določenimi pogoji lahko zahtevate omejitev obdelave.
• Pravica do prenosljivosti podatkov (čl. 20 GDPR): Lahko zahtevate svoje podatke v strukturirani, strojno berljivi obliki.
• Pravica do ugovora (čl. 21 GDPR): Kadar koli lahko ugovarjate obdelavi, ki temelji na zakonitih interesih.

Za uveljavljanje svojih pravic se obrnite na office@capwork.io. Odgovorili bomo v enem mesecu, kot zahteva čl. 12 GDPR. Končne stranke registriranih podjetij naj se najprej obrnejo na ustrezno podjetje (upravljavca) za uveljavljanje svojih pravic.

Če menite, da obdelava vaših osebnih podatkov krši predpise o varstvu podatkov, imate pravico vložiti pritožbo pri Avstrijskem nadzornem organu za varstvo podatkov:

Pridržujemo si pravico do posodobitve tega Pravilnika o zasebnosti, da bi odražal spremembe naših praks obdelave podatkov ali zakonskih zahtev. O bistvenih spremembah bomo registrirane uporabnike obvestili po e-pošti. Trenutna različica je vedno na voljo na tej strani.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-pošta: office@capwork.io