Pravilnik o zasebnosti

Upravljavec, odgovoren za obdelavo podatkov v smislu Splošne uredbe o varstvu podatkov (GDPR) in avstrijskega Zakona o varstvu podatkov (DSG), je:

Platforma Capwork deluje kot storitev B2B. Glede na kontekst prevzamejo različne stranke različne vloge v zvezi z varstvom podatkov po GDPR:

• Posameznik, na katerega se nanašajo osebni podatki (Betroffene Person): končna stranka oziroma fizična oseba, katere osebni podatki se obdelujejo (npr. oseba, ki rezervira termin ali pošlje poizvedbo).
• Upravljavec (Verantwortlicher): registrirano podjetje, ki uporablja platformo Capwork. Upravljavec določa namene in sredstva obdelave podatkov ter je do svojih končnih strank odgovoren za skladnost z GDPR.
• Obdelovalec (Auftragsverarbeiter): Capwork e.U. upravlja platformo Capwork kot obdelovalec v imenu registriranega podjetja in osebne podatke obdeluje izključno po navodilih upravljavca in v skladu s pogodbo o obdelavi podatkov.

Capwork e.U. je upravljavec le za podatke, ki se obdelujejo za lastne namene (npr. upravljanje računov platforme, obračun, varnost platforme ter kontaktiranje podjetij s pismom v skladu z razdelkom 11a). Za vse podatke končnih strank, ki jih vnesejo registrirana podjetja (npr. podrobnosti rezervacij, komunikacija s strankami, naloženi dokumenti), je upravljavec registrirano podjetje, Capwork e.U. pa deluje izključno kot obdelovalec v skladu s čl. 28 GDPR.

Zbiramo in obdelujemo naslednje kategorije osebnih podatkov:

• Podatki o računu: e-poštni naslov, geslo (zgoščeno), ime podjetja, lokacija
• Kontaktni podatki in podatki o rezervaciji: ime, telefonska številka, e-poštni naslov in neobvezna opomba za podjetje (pri rezervaciji terminov)
• Plačilni podatki: ime imetnika kartice, zadnje štiri številke kartice (samo za preverjanje istovetnosti)
• Podatki o uporabi: zgodovina rezervacij, interakcije s koledarjem, konfiguracije modulov, dnevniški podatki
• Tehnični podatki: IP naslov, vrsta brskalnika, informacije o napravi, časovni žigi dostopa
• Podatki končnih strank: vsi osebni podatki, ki jih registrirana podjetja v imenu svojih strank vnesejo v platformo (npr. podrobnosti rezervacij, kontaktni podatki, podatki o naročilih, komunikacija)
• Objavljeni podatki o podjetju: podatki, ki jih registrirano podjetje po aktivaciji svojega portala za stranke naredi javno dostopne (ime podjetja, opis in dejavnost, naslov, telefonska številka, spletna stran, odpiralni čas, storitve in cene), podatki o njegovi identiteti, prikazani pri rezervacijah in ponudbah (ime oziroma firma, naslov, kontaktni podatki in morebitna identifikacijska številka za DDV), ter podatki na njegovi strani s pravnim obvestilom v portalu za stranke (poleg tega na primer podatki iz sodnega registra, nadzorni organ, zbornica in poklicna pravila, dejavnost in povezava do njegove politike zasebnosti)
• Prijave po aktu o digitalnih storitvah: ime in e-poštni naslov osebe, ki vloži prijavo (pri prijavah v zvezi z gradivom s spolnimi zlorabami otrok prostovoljno), prijavljeni naslov in morebitna označena vsebina, kategorija in utemeljitev prijave, jezik, stanje obravnave in odločitev; poleg tega za omejevanje zlorab obrazca za prijavo IP naslov in e-poštni naslov v zgoščeni obliki kot ključ števca
• Dokumentacija dela na terenu, če jo registrirano podjetje uporablja: časi dela, odmorov in vožnje, status obiska, uporabljeni material, opombe in fotografije njegovih zaposlenih ter fotografije, opombe o lokaciji, podpisi in poročila o delu v zvezi z njegovimi končnimi strankami (podrobnosti v razdelku 11b)

Osebne podatke obdelujemo na naslednjih pravnih podlagah v skladu s čl. 6 GDPR:

• Čl. 6(1)(a) GDPR — Privolitev: kadar ste podali izrecno privolitev za določene dejavnosti obdelave.
• Čl. 6(1)(b) GDPR — Pogodba: obdelava, potrebna za izvajanje naše pogodbe o storitvah z vami ali za izvedbo ukrepov na vašo zahtevo pred sklenitvijo pogodbe (npr. ustvarjanje vašega računa in potrditev vašega e-poštnega naslova pri registraciji).
• Čl. 6(1)(c) GDPR — Zakonska obveznost: obdelava, potrebna za izpolnjevanje obveznosti hrambe po avstrijskem davčnem in gospodarskem pravu.
• Čl. 6(1)(f) GDPR — Zakoniti interesi: obdelava za preprečevanje prevar, varnost platforme in izboljšanje storitev, kadar naši interesi niso prevladani z vašimi pravicami.

Za podatke končnih strank, ki se obdelujejo v imenu registriranih podjetij, pravno podlago določi ustrezno podjetje (upravljavec) in jo dokumentira v lastnem pravilniku o zasebnosti.

Javni portal za stranke je privzeto deaktiviran. Tam prikazani podatki o podjetju se objavijo izključno na pobudo registriranega podjetja, ki mora portal v ta namen izrecno aktivirati (§ 4 pogojev); pravna podlaga je člen 6(1)(b) Splošne uredbe o varstvu podatkov. Podjetje samo določi, kateri podatki so prikazani, in lahko objavo kadar koli omeji ali jo z deaktivacijo portala v celoti konča.

Prijave nezakonitih vsebin po aktu o digitalnih storitvah, odločitve o njih in obveščanje udeleženih obdelujemo za izpolnjevanje naših zakonskih obveznosti iz členov 16 do 18 DSA (čl. 6(1)(c) GDPR). Omejevanje števila prijav na IP naslov in e-poštni naslov temelji na našem zakonitem interesu za delujoč postopek prijave, zaščiten pred zlorabami (čl. 6(1)(f) GDPR). Identitete osebe, ki je vložila prijavo, zadevnemu podjetju ne razkrijemo.

Vaši osebni podatki se obdelujejo za naslednje namene:

• Zagotavljanje in delovanje platforme Capwork in njenih modulov (termini, naročila, upravljanje ekipe, vozni park, zaloge, finance)
• Ustvarjanje uporabniških računov, preverjanje pristnosti in upravljanje dostopa
• Obdelava rezervacij, naročil in komunikacije s strankami v imenu registriranih podjetij
• Dokumentiranje obiskov pri končnih strankah, njihovega prevzema in pri tem porabljenega delovnega časa v imenu registriranih podjetij, če ta uporabljajo dokumentacijo dela na terenu (glejte razdelek 11b)
• Funkcije, podprte z UI: generiranje podatkov o podjetju, poslovni vpogledi, skeniranje dokumentov in analiza povratnih informacij
• Preprečevanje prevar, preverjanje istovetnosti in varnost platforme
• Upravljanje javnega portala za stranke registriranega podjetja, če je to podjetje portal aktiviralo
• Obravnava prijav nezakonitih vsebin v portalih za stranke, odločanje o ukrepih in obveščanje udeleženih po aktu o digitalnih storitvah
• Merjenje, ali so registracije posledica naših oglasov, ki jih prikazuje Google – samo z vašo privolitvijo (glejte razdelek 10)
• Skrb za stranke in podpora: odgovarjanje na vaša vprašanja in povratne informacije ter pomoč pri nastavitvi in uporabi platforme – tudi na našo pobudo, s sporočili imetniku računa v razdelku za povratne informacije na platformi (čl. 6(1)(b) GDPR). Oglaševalskih vsebin po tej poti ne pošiljamo.

Ker Capwork e.U. za registrirana podjetja deluje kot obdelovalec (Auftragsverarbeiter), se z vsakim registriranim podjetjem med postopkom uvedbe sklene Pogodba o obdelavi podatkov (Auftragsverarbeitungsvertrag, AVV) v skladu s čl. 28 GDPR.

AVV ureja:

• Predmet, trajanje, naravo in namen obdelave podatkov
• Vrste osebnih podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki
• Obveznosti in pravice upravljavca (registriranega podjetja)
• Tehnične in organizacijske ukrepe (TOM) za zagotavljanje varnosti podatkov (glejte razdelek 12)
• Uporabo in odobritev podobdelovalcev (glejte razdelek 8)
• Obveznosti glede izbrisa ali vrnitve podatkov ob prenehanju pogodbe

Registrirano podjetje (upravljavec) lahko kadar koli zahteva kopijo AVV, tako da se obrne na office@capwork.io.

Osebni podatki se hranijo le toliko časa, kolikor je potrebno za izpolnjevanje zgoraj opisanih namenov ali kot to zahteva zakon. Avstrijsko gospodarsko in davčno pravo (BAO, UGB) lahko zahteva hrambo določenih podatkov do 7 let.

Po prekinitvi računa bodo vaši osebni podatki izbrisani v 30 dneh, razen če zakon zahteva daljšo hrambo. Podatki končnih strank, ki se obdelujejo v imenu registriranih podjetij, bodo izbrisani ali vrnjeni v skladu z AVV. Če ob registraciji ne potrdite svojega e-poštnega naslova in ni ustvarjeno nobeno podjetje, račun izbrišemo 30 dni po registraciji ali, če je pozneje, po vaši zadnji prijavi.

Bird, ponudnik, ki dostavlja transakcijska e-poštna sporočila in SMS-e končnim strankam registriranih podjetij (npr. potrditve terminov, opomnike in kode za prijavo v portal za stranke), hrani vsebino sporočil in podatke o prometu za dostavo in preprečevanje zlorab: SMS do 6 mesecev, e-pošta 72 ur. Lastni podobdelovalci podjetja Bird vključujejo ponudnike zunaj EGP, zajete s standardnimi pogodbenimi klavzulami EU.

Prijave po aktu o digitalnih storitvah in evidence o omejitvah portalov za stranke izbrišemo sedem let po odločitvi oziroma po odpravi ali poteku omejitve; do takrat jih hranimo za dokumentiranje naših odločitev in za obrambo pred zahtevki (čl. 6(1)(f) GDPR). Prijave, o katerih še ni bilo odločeno, se hranijo do odločitve. Števci, s katerimi omejujemo število zahtev, se po poteku njihovega časovnega okna samodejno izbrišejo.

Vaši podatki se lahko delijo z naslednjimi kategorijami prejemnikov, ki delujejo kot podobdelovalci (Unterauftragsverarbeiter) v skladu s čl. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktura in hramba podatkov (regija EU: europe-west1)
• Google Vertex AI (modeli Google, kot je Gemini, ter partnerski modeli iz Vertex Model Garden, npr. Anthropic Claude; inferenco v celoti izvaja Google Cloud v EU) — funkcije, podprte z UI, kot so generiranje podatkov o podjetju, vpogledi, skeniranje dokumentov, obdelava računov in analiza povpraševanj za naročila (podobdelovalec)
• Twilio — dostava obvestil SMS in WhatsApp (podobdelovalec)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — iskanje naslovov, prikaz zemljevidov in razdalj; naloži se tudi na javni registracijski strani, pri čemer se vaš naslov IP posreduje Googlu, ter ob odprtju obiska v pogledu za delo na terenu („Moji obiski“), ki takoj prikaže zemljevid kraja dela
• Stripe Payments Europe, Ltd. — obdelava plačil in obračun (podobdelovalec)
• Bird (Bird B.V., Nizozemska) – dostava transakcijskih e-poštnih sporočil in SMS-ov v imenu registriranih podjetij: potrditve terminov, opomniki, ponudbe zgodnejših terminov, kode za prijavo v račune strank v portalu za stranke in obvestila o obiskih (prihod, zamuda, poročilo o delu in povezava za potrditev); ter pošiljanje in prejemanje prek e-poštnih in SMS-kanalov teh podjetij, vključno s SMS-i prek namenske številke, ki jo hrani Capwork (podobdelovalec)
• Google Workspace / Gmail (Google Ireland Limited) — pošiljanje lastne e-pošte družbe Capwork: registriranim uporabnikom (npr. pozdravna in uvajalna sporočila ter obrazložitve in obvestila o omejitvah portalov za stranke) in osebam, ki prijavijo nezakonite vsebine (potrdilo o prejemu in odločitev); obdelava znotraj EU (obdelovalec)

Vsi podobdelovalci so navedeni v AVV in so zavezani s pogodbami o obdelavi podatkov v skladu s čl. 28 GDPR. Registrirano podjetje (upravljavec) je obveščeno o spremembah podobdelovalcev in ima pravico do ugovora. Vaših osebnih podatkov ne prodajamo tretjim osebam.

Nekateri naši podobdelovalci upravljajo strežnike zunaj Evropskega gospodarskega prostora (EGP). Kadar se podatki prenašajo v tretje države (npr. ZDA), zagotovimo ustrezne zaščitne ukrepe, vključno s standardnimi pogodbenimi klavzulami EU (SPK) in sklepi Evropske komisije o ustreznosti.

Google LLC in Twilio Inc. sodelujeta v okviru EU-ZDA za varovanje zasebnosti podatkov (EU-U.S. Data Privacy Framework) in tako zagotavljata ustrezno raven varstva podatkov, kot jo priznava Evropska komisija. Mehanizmi prenosa so dokumentirani v AVV.

Brez vaše privolitve platforma Capwork uporablja izključno tehnično nujne piškotke za preverjanje pristnosti, jezikovne nastavitve in nastavitve prikaza, ki jih izberete sami. V lokalno shrambo vašega brskalnika poleg tega shranjujemo tehnično nujne podatke, na primer prijavo v račun stranke v portalu za stranke podjetja (do 30 dni ali do odjave), barvni način in vašo odločitev v pasici o piškotkih. Med registracijo se tam poleg tega do sedem dni shranjujejo doslej vneseni podatki (nikoli geslo), da je mogoče nedokončano registracijo nadaljevati. Piškotki za sledenje, analitiko ali oglaševanje se ne uporabljajo, z eno izjemo: na naših lastnih informativnih straneh lahko privolite v merjenje našega oglaševanja prek Googla (zadnji odstavek tega razdelka). Podrobnosti so navedene v našem Pravilniku o piškotkih.

Nastavitve piškotkov lahko urejate v svojem brskalniku. Onemogočanje nujnih piškotkov lahko vpliva na delovanje platforme.

Uporabo našega spletnega mesta in platforme merimo z lastnim, zasebnosti prijaznim statističnim sistemom, ki deluje brez piškotkov in ničesar ne shranjuje v vašo napravo. Naši strežniki hranijo le združene števce: dnevne seštevke (npr. oglede posameznih strani) in, za 100 dni, število ogledov strani ter na novo preštetih obiskovalcev v vsakem 15-minutnem intervalu dneva; uporabniški profili se ne ustvarjajo in podatki se ne delijo s tretjimi osebami. Za štetje edinstvenih obiskovalcev se naslov IP in identifikator brskalnika s ključem, ki se menja vsak dan, pretvorita v anonimni identifikator; sam naslov IP se nikoli ne shrani, identifikator pa se izbriše v 48 urah in ga med dnevi ni mogoče povezovati. Vsa obdelava poteka izključno na naših strežnikih v EU (europe-west1). Pravna podlaga: naš zakoniti interes za razumevanje in izboljševanje naših storitev (čl. 6(1)(f) GDPR). Spoštujemo brskalniška signala „Do Not Track“ in „Global Privacy Control“ — če je kateri od njiju vklopljen, se statistika sploh ne zbira. Poleg tega na enak način štejemo uporabo posameznih funkcij (na primer kako pogosto se uporablja določen gumb) ter grobe kazalnike obiskov (število ogledanih strani na obisk in približno trajanje obiska). Tudi te vrednosti se shranjujejo izključno kot agregirani dnevni seštevki brez kakršne koli povezave z osebo, v ta namen pa se na vaši napravi še naprej nič ne shranjuje ali bere.

Na naših javnih informativnih straneh na naslovu www.capwork.io (npr. domača stran, cene, rešitve, vzorčno podjetje, pravna besedila in registracija, ki je tam na voljo) uporabljamo sledenje konverzijam Google Ads podjetja Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irska) – samo, če v pasici o piškotkih podate privolitev. Namen je ugotoviti, ali je registracija pri Capwork posledica klika na enega od naših oglasov, ki jih prikazuje Google; personaliziranega oglaševanja in remarketinga ne uporabljamo. Po vaši privolitvi vaš brskalnik naloži oznako Google; Google pri tem obdeluje vaš naslov IP, podatke o brskalniku in napravi, obiskano stran, čas in identifikator klika na oglas ter shranjuje piškotke, kot sta „_gcl_au“ in „_gcl_aw“ (do 90 dni). Dokončana registracija se Googlu sporoči brez imena, e-poštnega naslova ali podatkov o podjetju. Pravna podlaga je vaša privolitev (čl. 6(1)(a) GDPR, § 165 odst. 3 TKG 2021). Google obdeluje podatke kot samostojni upravljavec in jih lahko prenese v ZDA; družba Google LLC je certificirana v okviru EU-U.S. Data Privacy Framework. Brez vaše privolitve se oznaka Google ne naloži. Svojo privolitev lahko kadar koli z učinkom za naprej prekličete z gumbom „Nastavitve piškotkov“ v nogi naše domače strani ali v našem Pravilniku o piškotkih; piškotke Google Ads v domeni capwork.io nato izbrišemo. Vašo odločitev shranimo v lokalno shrambo vašega brskalnika in vas po dvanajstih mesecih vprašamo znova. Za dokazovanje vaše privolitve poleg tega vsako odločitev v pasici o piškotkih tri leta hranimo na naših strežnikih v EU – z naključno ustvarjenim ID-jem privolitve, odločitvijo in nadomeščeno odločitvijo, različico pasice, jezikom in časom, vendar brez vašega naslova IP; pravna podlaga je čl. 6(1)(c) v povezavi s čl. 7(1) GDPR. ID privolitve vam prikaže pasica, ki jo odprete z gumbom „Nastavitve piškotkov“.

Platforma Capwork uporablja storitve UI prek Google Vertex AI za funkcije, kot so avtomatsko generiranje podatkov o podjetju, poročila o poslovnih vpogledih, skeniranje dokumentov vozil in potrdil, analiza povratnih informacij, analiza povpraševanj za naročila in sporočil, predlogi in osnutki odgovorov, samodejno prevajanje vsebin ter ustvarjanje predlogov slik za storitve in izdelke. Pri tem se uporabljajo tako lastni modeli Google (npr. Gemini) kot tudi partnerski modeli, ki so na voljo prek Vertex Model Garden (npr. Anthropic Claude); v obeh primerih inferenco v celoti izvaja Google Cloud v EU. Google Vertex AI deluje kot podobdelovalec pod pogoji AVV.

Če podjetje uporablja dokumentacijo dela na terenu, lahko njegovi zaposleni narekujejo opombe: Google Vertex AI (Gemini) v EU prepiše posnetek in iz njega pripravi osnutek besedila poročila. Capwork ne shranjuje niti posnetka niti prepisa (glejte razdelek 11b).

Podatki, poslani storitvam UI, se obdelujejo izključno v skladu z Enterprise pogoji obdelave podatkov Google Clouda in s pripenjanjem regije obdelave na EU. Osebni podatki, poslani storitvam UI, se ne uporabljajo za usposabljanje, izboljšanje ali razvoj modelov UI. To je pogodbeno zagotovljeno z dodatkom Google Clouda o obdelavi podatkov.

Vsebine, ki jih ustvari UI – na primer analize, predlogi, osnutki odgovorov, podatki, izluščeni iz dokumentov, samodejni prevodi in slike, ustvarjene z UI –, so v uporabniškem vmesniku platforme in v portalu za stranke označene kot ustvarjene z UI v skladu z Aktom EU o umetni inteligenci (čl. 50). Sporočila strankam, ki jih oseba pregleda na podlagi osnutka UI in jih sama pošlje, pri prejemniku niso posebej označena, saj so poslana pod človeškim nadzorom in z uredniško odgovornostjo; sporočila, ki jih ustvari UI, se ne pošiljajo samodejno. Brez človeškega nadzora se ne sprejemajo avtomatizirane odločitve s pravnimi ali podobno pomembnimi učinki.

Človeški pregled katere koli z UI generirane odločitve, ki vas bistveno zadeva, lahko zahtevate na office@capwork.io.

Capwork e.U. izvaja ustrezne tehnične in organizacijske ukrepe v skladu s čl. 32 GDPR za zagotavljanje ravni varnosti, primerne tveganju. Ti ukrepi vključujejo:

• Šifriranje podatkov v mirovanju in med prenosom (TLS 1.2+, AES-256)
• Nadzor dostopa in avtorizacijo, ki temelji na vlogah (RBAC), s Firebase Authentication
• Gostovanje infrastrukture na Google Cloud Platform znotraj EU (regija europe-west1)
• Redna varnostna preverjanja, potrjevanje vhodnih podatkov (sheme Zod) in omejevanje števila zahtev
• Beleženje in revizijske sledi za dostope in spremembe podatkov
• Preprečevanje prompt injection napadov in varnostni ukrepi za UI za vse podatke, ki jih obdeluje UI

Podroben opis TOM je priložen Pogodbi o obdelavi podatkov (AVV) in je na voljo na zahtevo.

V skladu z GDPR imate v zvezi s svojimi osebnimi podatki naslednje pravice:

• Pravica do dostopa (čl. 15 GDPR): Lahko zahtevate informacije o tem, katere osebne podatke o vas hranimo.
• Pravica do popravka (čl. 16 GDPR): Lahko zahtevate popravek netočnih podatkov.
• Pravica do izbrisa (čl. 17 GDPR): Lahko zahtevate izbris svojih podatkov, ob upoštevanju zakonskih obveznosti hrambe.
• Pravica do omejitve obdelave (čl. 18 GDPR): Pod določenimi pogoji lahko zahtevate omejitev obdelave.
• Pravica do prenosljivosti podatkov (čl. 20 GDPR): Lahko zahtevate svoje podatke v strukturirani, strojno berljivi obliki.
• Pravica do ugovora (čl. 21 GDPR): Kadar koli lahko ugovarjate obdelavi, ki temelji na zakonitih interesih.

Za uveljavljanje svojih pravic se obrnite na office@capwork.io. Odgovorili bomo v enem mesecu, kot zahteva čl. 12 GDPR. Končne stranke registriranih podjetij naj se najprej obrnejo na ustrezno podjetje (upravljavca) za uveljavljanje svojih pravic.

Da bi vaše podatke zavarovali pred nepooblaščenim dostopom, preverjamo istovetnost vsake osebe, ki vloži zahtevo za uveljavljanje pravic. Zahteve, oddane iz prijavljenega računa, obravnavamo kot preverjene. Zahteve, poslane po e-pošti, potrjujemo prek povezave, poslane na e-poštni naslov, registriran pri računu. V primeru utemeljenega dvoma o istovetnosti (člen 12(6) GDPR) lahko zahtevamo dodatna dokazila o istovetnosti — na primer kopijo uradnega osebnega dokumenta s fotografijo —, ki jih po zaključeni preveritvi izbrišemo. Popoln izbris podjetniškega računa lahko zahteva izključno lastnik računa ali pooblaščeni skrbnik; posamezni uporabniki lahko uveljavljajo pravice le v zvezi s svojimi osebnimi podatki.

Če menite, da obdelava vaših osebnih podatkov krši predpise o varstvu podatkov, imate pravico vložiti pritožbo pri Avstrijskem nadzornem organu za varstvo podatkov:

Pridržujemo si pravico do posodobitve tega Pravilnika o zasebnosti, da bi odražal spremembe naših praks obdelave podatkov ali zakonskih zahtev. O bistvenih spremembah bomo registrirane uporabnike obvestili po e-pošti. Trenutna različica je vedno na voljo na tej strani.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-pošta: office@capwork.io