Integritetspolicy

Personuppgiftsansvarig för behandlingen i den mening som avses i den allmänna dataskyddsförordningen (GDPR) och den österrikiska dataskyddslagen (DSG) är:

Capwork-plattformen drivs som en B2B-tjänst. Beroende på sammanhang åtar sig olika parter olika dataskyddsrättsliga roller enligt GDPR:

• Registrerad: slutkunden eller den fysiska person vars personuppgifter behandlas (t.ex. en person som bokar ett möte eller skickar en förfrågan).
• Personuppgiftsansvarig: det registrerade företaget som använder Capwork-plattformen. Den personuppgiftsansvarige bestämmer ändamål och medel för behandlingen och ansvarar för efterlevnad av GDPR gentemot sina slutkunder.
• Personuppgiftsbiträde: Capwork e.U. driver Capwork-plattformen som personuppgiftsbiträde på uppdrag av det registrerade företaget och behandlar personuppgifter uteslutande enligt den personuppgiftsansvariges instruktioner och personuppgiftsbiträdesavtalet.

Capwork e.U. är personuppgiftsansvarig endast för uppgifter som behandlas för egna ändamål (t.ex. hantering av plattformskonton, fakturering, plattformssäkerhet samt kontakt med företag via brev enligt avsnitt 11a). För alla slutkundsuppgifter som registrerade företag för in (t.ex. bokningsdetaljer, kundkommunikation, uppladdade dokument) är det registrerade företaget personuppgiftsansvarig och Capwork e.U. agerar uteslutande som personuppgiftsbiträde enligt art. 28 GDPR.

Vi samlar in och behandlar följande kategorier av personuppgifter:

• Kontouppgifter: e-postadress, lösenord (hashat), företagsnamn, plats
• Kontakt- och bokningsuppgifter: namn, telefonnummer, e-postadress och ett valfritt meddelande till företaget (vid bokning av möten)
• Betalningsuppgifter: kortinnehavarens namn, de sista fyra siffrorna i kortnumret (endast för identitetsverifiering)
• Användningsdata: bokningshistorik, kalenderinteraktioner, modulkonfigurationer, loggdata
• Tekniska uppgifter: IP-adress, webbläsartyp, enhetsinformation, tidsstämplar för åtkomst
• Slutkundsuppgifter: alla personuppgifter som registrerade företag för in i plattformen på uppdrag av sina kunder (t.ex. bokningsdetaljer, kontaktinformation, orderdata, kommunikation)
• Offentliggjorda företagsuppgifter: de uppgifter som ett registrerat företag gör offentligt tillgängliga efter att ha aktiverat sin kundportal (företagsnamn, beskrivning och bransch, adress, telefonnummer, webbplats, öppettider, tjänster och priser), de uppgifter om dess identitet som visas vid bokningar och offerter (namn eller firma, adress, kontaktuppgifter och i förekommande fall momsregistreringsnummer) samt uppgifterna på dess sida med juridisk information i kundportalen (därutöver t.ex. uppgifter ur handelsregistret, tillsynsmyndighet, kammare och yrkesregler, verksamhet och länken till dess integritetspolicy)
• Anmälningar enligt förordningen om digitala tjänster: anmälarens namn och e-postadress (frivilligt vid anmälningar som gäller material med sexuella övergrepp mot barn), den anmälda adressen och i förekommande fall det angivna innehållet, anmälans kategori och förklaring, språk, handläggningsstatus och beslut; dessutom, för att begränsa missbruk av anmälningsformuläret, IP-adressen och e-postadressen i hashad form som nyckel för en räknare
• Arbetsdokumentation, i den mån ett registrerat företag använder den: arbets-, rast- och körtider, besöksstatus, använt material, anteckningar och foton avseende dess medarbetare samt foton, platsanteckningar, underskrifter och arbetsrapporter avseende dess slutkunder (närmare information i avsnitt 11b)

Vi behandlar personuppgifter på följande rättsliga grunder enligt art. 6 GDPR:

• Art. 6.1 a GDPR — Samtycke: När du har lämnat uttryckligt samtycke till specifika behandlingsaktiviteter.
• Art. 6.1 b GDPR — Avtal: Behandling som är nödvändig för att fullgöra vårt tjänsteavtal med dig eller för att vidta åtgärder på din begäran innan avtalet ingås (t.ex. att skapa ditt konto och bekräfta din e-postadress vid registreringen).
• Art. 6.1 c GDPR — Rättslig förpliktelse: Behandling för att uppfylla österrikiska skatte- och handelsrättsliga bevarandekrav.
• Art. 6.1 f GDPR — Berättigat intresse: Behandling för bedrägeriförebyggande, plattformssäkerhet och tjänsteförbättring, förutsatt att våra intressen inte väger lägre än dina rättigheter.

För slutkundsuppgifter som behandlas för registrerade företags räkning fastställs den rättsliga grunden av respektive företag (personuppgiftsansvarig) och dokumenteras i dess egen integritetspolicy.

Den offentliga kundportalen är avaktiverad som standard. De företagsuppgifter som visas där offentliggörs uteslutande på det registrerade företagets initiativ, och företaget måste uttryckligen aktivera portalen för detta ändamål (§ 4 i villkoren); den rättsliga grunden är artikel 6.1 b i dataskyddsförordningen. Företaget bestämmer självt vilka uppgifter som visas och kan när som helst begränsa offentliggörandet eller helt avsluta det genom att avaktivera portalen.

Anmälningar av olagligt innehåll enligt förordningen om digitala tjänster, besluten om dem och informationen till de berörda parterna behandlar vi för att fullgöra våra rättsliga förpliktelser enligt art. 16–18 DSA (art. 6.1 c GDPR). Begränsningen av antalet anmälningar per IP-adress och e-postadress grundar sig på vårt berättigade intresse av ett fungerande anmälningsförfarande som är skyddat mot missbruk (art. 6.1 f GDPR). Anmälarens identitet lämnar vi inte ut till det berörda företaget.

Dina personuppgifter behandlas för följande ändamål:

• Tillhandahållande och drift av Capwork-plattformen och dess moduler (möten, order, teamhantering, fordonsflotta, lager, ekonomi)
• Skapande av användarkonton, autentisering och åtkomsthantering
• Hantering av bokningar, order och kundkommunikation på uppdrag av registrerade företag
• Dokumentation av besök hos slutkunder, godkännandet av dem och den arbetstid som lagts ned i samband med dem, på uppdrag av registrerade företag, i den mån dessa använder arbetsdokumentationen (se avsnitt 11b)
• AI-understödda funktioner: generering av företagsdata, affärsinsikter, dokumentskanning och feedbackanalys
• Bedrägeriförebyggande, identitetsverifiering och plattformssäkerhet
• Drift av ett registrerat företags offentliga kundportal, i den mån företaget har aktiverat portalen
• Hantering av anmälningar om olagligt innehåll i kundportaler, beslut om åtgärder och information till de berörda parterna enligt förordningen om digitala tjänster
• Mätning av om registreringar kommer från våra annonser hos Google — endast med ditt samtycke (se avsnitt 10)
• Kundtjänst och support: svar på dina förfrågningar och din återkoppling samt hjälp med att konfigurera och använda plattformen – även på vårt eget initiativ, genom meddelanden till kontoägaren i plattformens återkopplingsområde (art. 6.1 b GDPR). Vi skickar ingen reklam den här vägen.

Eftersom Capwork e.U. agerar som personuppgiftsbiträde för registrerade företag ingås ett personuppgiftsbiträdesavtal (Auftragsverarbeitungsvertrag, AVV) enligt art. 28 GDPR med varje registrerat företag under onboardingprocessen.

AVV:n reglerar:

• Föremål, varaktighet, art och ändamål för behandlingen
• Kategorier av personuppgifter och kategorier av registrerade
• Den personuppgiftsansvariges (registrerat företag) skyldigheter och rättigheter
• Tekniska och organisatoriska åtgärder (TOM) för att säkerställa datasäkerheten (se avsnitt 12)
• Användning och godkännande av underbiträden (se avsnitt 8)
• Skyldigheter att radera eller återlämna uppgifter vid avtalets upphörande

Det registrerade företaget (personuppgiftsansvarig) kan när som helst begära en kopia av AVV:n via office@capwork.io.

Personuppgifter lagras endast så länge som är nödvändigt för de ovan beskrivna ändamålen eller så länge som lagen kräver. Österrikisk handels- och skatterätt (BAO, UGB) kan kräva lagring av vissa uppgifter i upp till 7 år.

Efter kontots uppsägning raderas dina personuppgifter inom 30 dagar, såvida inte längre lagring krävs enligt lag. Slutkundsuppgifter som behandlas för registrerade företags räkning raderas eller återlämnas i enlighet med AVV:n. Om du inte bekräftar din e-postadress vid registreringen och inget företag skapas, raderar vi kontot 30 dagar efter registreringen eller, om det är senare, efter din senaste inloggning.

Bird, leverantören som levererar transaktionella e-postmeddelanden och sms till registrerade företags slutkunder (t.ex. bokningsbekräftelser, påminnelser och inloggningskoder för kundportalen), sparar meddelandeinnehåll och trafikdata för leverans och missbruksförebyggande: sms i upp till 6 månader, e-post i 72 timmar. Birds egna underbiträden omfattar leverantörer utanför EES, täckta av EU:s standardavtalsklausuler.

Anmälningar enligt förordningen om digitala tjänster och dokumentationen av begränsningar av kundportaler raderar vi sju år efter beslutet respektive efter att begränsningen har hävts eller löpt ut; fram till dess bevarar vi dem för att dokumentera våra beslut och för att kunna försvara oss mot anspråk (art. 6.1 f GDPR). Anmälningar som ännu inte har avgjorts lagras till dess att beslut fattas. De räknare med vilka vi begränsar antalet förfrågningar raderas automatiskt när deras tidsfönster har löpt ut.

Dina uppgifter kan delas med följande kategorier av mottagare, som agerar som underbiträden enligt art. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktur och datalagring (EU-region: europe-west1)
• Google Vertex AI (Google-modeller såsom Gemini samt partnermodeller från Vertex Model Garden, t.ex. Anthropic Claude; inferensen utförs helt av Google Cloud inom EU) — AI-understödda funktioner såsom generering av företagsdata, insikter, dokumentskanning, fakturabehandling och analys av orderförfrågningar (underbiträde)
• Twilio — leverans av sms- och WhatsApp-aviseringar (underbiträde)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — adressökning, kart- och avståndsvisning; läses även in på den offentliga registreringssidan, varvid din IP-adress överförs till Google, samt när ett besök öppnas i besöksvyn (”Mina besök”), som visar kartan över arbetsplatsen direkt
• Stripe Payments Europe, Ltd. — betalningshantering och fakturering (underbiträde)
• Bird (Bird B.V., Nederländerna) – leverans av transaktionella e-postmeddelanden och sms för registrerade företags räkning: bokningsbekräftelser, påminnelser, erbjudanden om tidigare tider, inloggningskoder för kundkonton i kundportalen och meddelanden om besök (framkörning, försening, arbetsrapport och länk för bekräftelse); samt sändning och mottagning via dessa företags e-post- och sms-kanaler, inklusive sms via ett dedikerat nummer som innehas av Capwork (underbiträde)
• Google Workspace / Gmail (Google Ireland Limited) — utskick av Capworks egen e-post: till registrerade användare (t.ex. välkomst- och introduktionsmeddelanden samt motiveringar och meddelanden om begränsningar av kundportaler) och till personer som anmäler olagligt innehåll (mottagningsbekräftelse och beslut); behandling inom EU (personuppgiftsbiträde)

Samtliga underbiträden anges i AVV:n och är bundna av personuppgiftsbiträdesavtal enligt art. 28 GDPR. Det registrerade företaget (personuppgiftsansvarig) informeras om ändringar av underbiträden och har rätt att göra invändningar. Vi säljer inte dina personuppgifter till tredje part.

Vissa av våra underbiträden driver servrar utanför Europeiska ekonomiska samarbetsområdet (EES). I den mån uppgifter överförs till tredjeländer (t.ex. USA) säkerställer vi lämpliga skyddsåtgärder, inklusive EU:s standardavtalsklausuler (SCC) och beslut om adekvat skyddsnivå från Europeiska kommissionen.

Google LLC och Twilio Inc. deltar i EU–U.S. Data Privacy Framework och tillhandahåller därmed en adekvat dataskyddsnivå, såsom den erkänts av Europeiska kommissionen. Överföringsmekanismerna dokumenteras i AVV:n.

Utan ditt samtycke använder Capwork-plattformen endast strikt nödvändiga cookies för autentisering, språkinställningar och visningsinställningar som du själv gör. I din webbläsares lokala lagring sparar vi dessutom strikt nödvändiga uppgifter, till exempel inloggningen till ett kundkonto i ett företags kundportal (i upp till 30 dagar eller tills du loggar ut), färgläget och ditt val i cookiebannern. Medan du registrerar dig sparas dessutom de uppgifter som hittills angetts där i upp till sju dagar (aldrig lösenordet), så att en oavslutad registrering kan fortsättas. Inga spårnings-, analys- eller reklamcookies används, med ett undantag: på våra egna informationssidor kan du samtycka till mätningen av vår Google-reklam (sista stycket i detta avsnitt). Mer information finns i vår cookiepolicy.

Du kan hantera cookie-inställningar i din webbläsare. Att inaktivera nödvändiga cookies kan påverka plattformens funktionalitet.

Vi mäter användningen av vår webbplats och plattform med ett integritetsvänligt, egenutvecklat statistiksystem som fungerar utan cookies och utan att lagra något på din enhet. Våra servrar sparar endast aggregerade räkningar: dagliga totaler (t.ex. sidvisningar per sida) och, under 100 dagar, antalet sidvisningar och nyräknade besökare per 15-minutersintervall under dygnet; inga användarprofiler skapas och inga uppgifter delas med tredje part. För att räkna unika besökare omvandlas IP-adressen och webbläsaridentifieraren till en anonym identifierare med hjälp av en nyckel som byts varje dag; själva IP-adressen lagras aldrig, och identifieraren raderas inom 48 timmar och kan inte kopplas mellan olika dagar. All behandling sker uteslutande på våra servrar i EU (europe-west1). Rättslig grund: vårt berättigade intresse av att förstå och förbättra våra tjänster (art. 6.1 f i GDPR). Vi respekterar webbläsarsignalerna “Do Not Track” och “Global Privacy Control” — om någon av dem är aktiverad samlas ingen statistik in. Dessutom räknar vi på samma sätt användningen av enskilda funktioner (t.ex. hur ofta en viss knapp används) samt grova besöksmått (antalet sidor som visas per besök och den ungefärliga besökstiden). Även dessa värden lagras endast som aggregerade dagliga räkningar utan personanknytning, och inget fortsätter att lagras på eller läsas från din enhet för detta ändamål.

På våra offentliga informationssidor på www.capwork.io (t.ex. startsidan, priser, lösningar, exempelföretaget, de juridiska texterna och den registrering som erbjuds där) använder vi konverteringsspårning i Google Ads från Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) — endast om du samtycker i cookiebannern. Syftet är att fastställa om en registrering hos Capwork kommer från ett klick på någon av våra annonser hos Google; personanpassad reklam och remarketing använder vi inte. Efter ditt samtycke laddar din webbläsare Google-taggen; Google behandlar då din IP-adress, webbläsar- och enhetsuppgifter, den besökta sidan, tidpunkten och en annons klick-id och lagrar cookies såsom ”_gcl_au” och ”_gcl_aw” (i upp till 90 dagar). En slutförd registrering rapporteras till Google utan namn, e-postadress eller företagsuppgifter. Den rättsliga grunden är ditt samtycke (art. 6.1 a i GDPR, § 165 st. 3 TKG 2021). Google behandlar uppgifterna som självständig personuppgiftsansvarig och kan överföra dem till USA; Google LLC är certifierat enligt EU-U.S. Data Privacy Framework. Utan ditt samtycke laddas Google-taggen inte. Du kan när som helst återkalla ditt samtycke med verkan för framtiden via ”Cookie-inställningar” i sidfoten på vår startsida eller i vår cookiepolicy; vi raderar då Google Ads-cookies på capwork.io. Ditt val sparar vi i din webbläsares lokala lagring, och efter tolv månader frågar vi igen. Som bevis på ditt samtycke sparar vi dessutom varje val i cookiebannern i tre år på våra servrar i EU — med ett slumpmässigt genererat samtyckes-ID, valet och det ersatta valet, bannerversionen, språket och tidpunkten, men utan din IP-adress; den rättsliga grunden är art. 6.1 c jämförd med art. 7.1 i GDPR. Bannern visar ditt samtyckes-ID under ”Cookie-inställningar”.

Capwork-plattformen använder AI-tjänster via Google Vertex AI för funktioner som automatiserad generering av företagsdata, affärsinsiktsrapporter, skanning av fordonsdokument och underlag, feedbackanalys, analys av orderförfrågningar och meddelanden, förslag och svarsutkast, automatisk översättning av innehåll samt generering av bildförslag för tjänster och produkter. Detta omfattar såväl Googles egna modeller (t.ex. Gemini) som partnermodeller som tillhandahålls via Vertex Model Garden (t.ex. Anthropic Claude); i båda fallen utförs inferensen uteslutande av Google Cloud inom EU. Google Vertex AI agerar som underbiträde enligt villkoren i AVV:n.

I den mån ett företag använder arbetsdokumentationen kan dess medarbetare diktera anteckningar: Google Vertex AI (Gemini) transkriberar inspelningen i EU och tar utifrån den fram ett utkast till rapporttexten. Capwork lagrar varken inspelningen eller transkriptionen (se avsnitt 11b).

Uppgifter som skickas till AI-tjänster behandlas uteslutande enligt Google Clouds villkor för databehandling i Enterprise och med regionslåsning av behandlingen till EU. Personuppgifter som lämnas till AI-tjänster används inte för att träna, förbättra eller utveckla AI-modeller. Detta garanteras avtalsmässigt genom Google Clouds tilläggsvillkor för databehandling.

AI-genererat innehåll – till exempel analyser, förslag, svarsutkast, uppgifter som extraherats ur dokument, automatiska översättningar och AI-genererade bilder – märks som AI-genererat i plattformens användargränssnitt och i kundportalen i enlighet med EU:s AI-förordning (art. 50). Meddelanden till kunder som en person granskar utifrån ett AI-utkast och själv skickar märks inte särskilt hos mottagaren, eftersom de skickas under mänsklig kontroll och redaktionellt ansvar; AI-genererade meddelanden skickas inte automatiskt. Inga automatiserade beslut med rättsliga eller liknande betydande följder fattas utan mänsklig översyn.

Du kan begära mänsklig omprövning av varje AI-genererat beslut som i väsentlig grad påverkar dig genom att kontakta oss på office@capwork.io.

Capwork e.U. genomför lämpliga tekniska och organisatoriska åtgärder enligt art. 32 GDPR för att säkerställa en säkerhetsnivå som är anpassad till risken. Dessa åtgärder omfattar:

• Kryptering av uppgifter i vila och vid överföring (TLS 1.2+, AES-256)
• Åtkomstkontroller och rollbaserad behörighetshantering (RBAC) med Firebase Authentication
• Infrastruktur som driftas på Google Cloud Platform inom EU (region europe-west1)
• Regelbundna säkerhetsgranskningar, indatavalidering (Zod-scheman) och rate limiting
• Loggning och granskningsspår för dataåtkomst och -ändringar
• Skydd mot prompt injection och AI-säkerhetsåtgärder för alla AI-behandlade uppgifter

En detaljerad beskrivning av TOM-åtgärderna är bifogad som bilaga till personuppgiftsbiträdesavtalet (AVV) och tillhandahålls på begäran.

Enligt GDPR har du följande rättigheter avseende dina personuppgifter:

• Rätt till tillgång (art. 15 GDPR): Du kan begära information om vilka personuppgifter vi har lagrade om dig.
• Rätt till rättelse (art. 16 GDPR): Du kan begära att felaktiga uppgifter rättas.
• Rätt till radering (art. 17 GDPR): Du kan begära att dina uppgifter raderas, med förbehåll för lagstadgade bevarandekrav.
• Rätt till begränsning av behandling (art. 18 GDPR): Du kan under vissa förutsättningar begära att behandlingen begränsas.
• Rätt till dataportabilitet (art. 20 GDPR): Du kan begära att få ut dina uppgifter i ett strukturerat, maskinläsbart format.
• Rätt att göra invändningar (art. 21 GDPR): Du kan när som helst invända mot behandling som grundas på berättigade intressen.

För att utöva dina rättigheter, kontakta oss på office@capwork.io. Vi svarar inom en månad i enlighet med art. 12 GDPR. Slutkunder hos registrerade företag bör först kontakta respektive företag (personuppgiftsansvarig) för att utöva sina rättigheter.

För att skydda dina uppgifter mot obehörig åtkomst verifierar vi identiteten hos var och en som lämnar in en begäran om utövande av rättigheter. Begäranden som görs från ett inloggat konto behandlas som verifierade. Begäranden som lämnas in via e-post bekräftas via en länk som skickas till den e-postadress som är registrerad på kontot. Om det kvarstår rimligt tvivel om identiteten (art. 12.6 GDPR) kan vi begära ytterligare identitetsbevis — såsom en kopia av en statlig foto-ID-handling —, vilken vi raderar när verifieringen är slutförd. Fullständig radering av ett företagskonto kan endast begäras av kontoinnehavaren eller en behörig administratör; enskilda användare kan endast utöva rättigheter i fråga om sina egna personuppgifter.

Om du anser att behandlingen av dina personuppgifter strider mot dataskyddslagstiftningen har du rätt att lämna in ett klagomål till den österrikiska dataskyddsmyndigheten (Österreichische Datenschutzbehörde):

Vi förbehåller oss rätten att uppdatera denna Integritetspolicy för att återspegla ändringar i våra behandlingsrutiner eller i de rättsliga kraven. Väsentliga ändringar meddelas registrerade användare via e-post. Den aktuella versionen finns alltid tillgänglig på denna sida.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-post: office@capwork.io