Integritetspolicy

Personuppgiftsansvarig för behandlingen i den mening som avses i den allmänna dataskyddsförordningen (GDPR) och den österrikiska dataskyddslagen (DSG) är:

Capwork-plattformen drivs som en B2B-tjänst. Beroende på sammanhang åtar sig olika parter olika dataskyddsrättsliga roller enligt GDPR:

• Registrerad: slutkunden eller den fysiska person vars personuppgifter behandlas (t.ex. en person som bokar ett möte eller skickar en förfrågan).
• Personuppgiftsansvarig: det registrerade företaget som använder Capwork-plattformen. Den personuppgiftsansvarige bestämmer ändamål och medel för behandlingen och ansvarar för efterlevnad av GDPR gentemot sina slutkunder.
• Personuppgiftsbiträde: Capwork e.U. driver Capwork-plattformen som personuppgiftsbiträde på uppdrag av det registrerade företaget och behandlar personuppgifter uteslutande enligt den personuppgiftsansvariges instruktioner och personuppgiftsbiträdesavtalet.

Capwork e.U. är personuppgiftsansvarig endast för uppgifter som behandlas för egna ändamål (t.ex. hantering av plattformskonton, fakturering, plattformssäkerhet). För alla slutkundsuppgifter som registrerade företag för in (t.ex. bokningsdetaljer, kundkommunikation, uppladdade dokument) är det registrerade företaget personuppgiftsansvarig och Capwork e.U. agerar uteslutande som personuppgiftsbiträde enligt art. 28 GDPR.

Vi samlar in och behandlar följande kategorier av personuppgifter:

• Kontouppgifter: e-postadress, lösenord (hashat), företagsnamn, plats
• Kontaktuppgifter: namn, telefonnummer, e-postadress (vid bokning av möten)
• Betalningsuppgifter: kortinnehavarens namn, de sista fyra siffrorna i kortnumret (endast för identitetsverifiering)
• Användningsdata: bokningshistorik, kalenderinteraktioner, modulkonfigurationer, loggdata
• Tekniska uppgifter: IP-adress, webbläsartyp, enhetsinformation, tidsstämplar för åtkomst
• Slutkundsuppgifter: alla personuppgifter som registrerade företag för in i plattformen på uppdrag av sina kunder (t.ex. bokningsdetaljer, kontaktinformation, orderdata, kommunikation)

Vi behandlar personuppgifter på följande rättsliga grunder enligt art. 6 GDPR:

• Art. 6.1 a GDPR — Samtycke: När du har lämnat uttryckligt samtycke till specifika behandlingsaktiviteter.
• Art. 6.1 b GDPR — Avtal: Behandling som är nödvändig för att fullgöra vårt tjänsteavtal med dig.
• Art. 6.1 c GDPR — Rättslig förpliktelse: Behandling för att uppfylla österrikiska skatte- och handelsrättsliga bevarandekrav.
• Art. 6.1 f GDPR — Berättigat intresse: Behandling för bedrägeriförebyggande, plattformssäkerhet och tjänsteförbättring, förutsatt att våra intressen inte väger lägre än dina rättigheter.

För slutkundsuppgifter som behandlas för registrerade företags räkning fastställs den rättsliga grunden av respektive företag (personuppgiftsansvarig) och dokumenteras i dess egen integritetspolicy.

Dina personuppgifter behandlas för följande ändamål:

• Tillhandahållande och drift av Capwork-plattformen och dess moduler (möten, order, teamhantering, fordonsflotta, lager, ekonomi)
• Skapande av användarkonton, autentisering och åtkomsthantering
• Hantering av bokningar, order och kundkommunikation på uppdrag av registrerade företag
• AI-understödda funktioner: generering av företagsdata, affärsinsikter, dokumentskanning och feedbackanalys
• Bedrägeriförebyggande, identitetsverifiering och plattformssäkerhet

Eftersom Capwork e.U. agerar som personuppgiftsbiträde för registrerade företag ingås ett personuppgiftsbiträdesavtal (Auftragsverarbeitungsvertrag, AVV) enligt art. 28 GDPR med varje registrerat företag under onboardingprocessen.

AVV:n reglerar:

• Föremål, varaktighet, art och ändamål för behandlingen
• Kategorier av personuppgifter och kategorier av registrerade
• Den personuppgiftsansvariges (registrerat företag) skyldigheter och rättigheter
• Tekniska och organisatoriska åtgärder (TOM) för att säkerställa datasäkerheten (se avsnitt 13)
• Användning och godkännande av underbiträden (se avsnitt 9)
• Skyldigheter att radera eller återlämna uppgifter vid avtalets upphörande

Det registrerade företaget (personuppgiftsansvarig) kan när som helst begära en kopia av AVV:n via office@capwork.io.

Personuppgifter lagras endast så länge som är nödvändigt för de ovan beskrivna ändamålen eller så länge som lagen kräver. Österrikisk handels- och skatterätt (BAO, UGB) kan kräva lagring av vissa uppgifter i upp till 7 år.

Efter kontots uppsägning raderas dina personuppgifter inom 30 dagar, såvida inte längre lagring krävs enligt lag. Slutkundsuppgifter som behandlas för registrerade företags räkning raderas eller återlämnas i enlighet med AVV:n.

Dina uppgifter kan delas med följande kategorier av mottagare, som agerar som underbiträden enligt art. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — infrastruktur och datalagring (EU-region: europe-west1)
• Google Vertex AI (Google-modeller såsom Gemini samt partnermodeller från Vertex Model Garden, t.ex. Anthropic Claude; inferensen utförs helt av Google Cloud inom EU) — AI-understödda funktioner såsom generering av företagsdata, insikter, dokumentskanning, fakturabehandling och analys av orderförfrågningar (underbiträde)
• Twilio — leverans av sms- och WhatsApp-aviseringar (underbiträde)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — adressökning, kart- och avståndsvisning; läses även in på den offentliga registreringssidan, varvid din IP-adress överförs till Google
• Stripe Payments Europe, Ltd. — betalningshantering och fakturering (underbiträde)
• Bird (Bird B.V., Nederländerna) – utskick av transaktionell e-post (underbiträde)
• Google Workspace / Gmail (Google Ireland Limited) — utskick av plattforms-e-post till registrerade användare (t.ex. välkomst- och introduktionsmeddelanden); behandling inom EU (personuppgiftsbiträde)

Samtliga underbiträden anges i AVV:n och är bundna av personuppgiftsbiträdesavtal enligt art. 28 GDPR. Det registrerade företaget (personuppgiftsansvarig) informeras om ändringar av underbiträden och har rätt att göra invändningar. Vi säljer inte dina personuppgifter till tredje part.

Vissa av våra underbiträden driver servrar utanför Europeiska ekonomiska samarbetsområdet (EES). I den mån uppgifter överförs till tredjeländer (t.ex. USA) säkerställer vi lämpliga skyddsåtgärder, inklusive EU:s standardavtalsklausuler (SCC) och beslut om adekvat skyddsnivå från Europeiska kommissionen.

Google LLC och Twilio Inc. deltar i EU–U.S. Data Privacy Framework och tillhandahåller därmed en adekvat dataskyddsnivå, såsom den erkänts av Europeiska kommissionen. Överföringsmekanismerna dokumenteras i AVV:n.

Capwork-plattformen använder endast strikt nödvändiga cookies för autentisering och språkinställningar. Inga spårnings-, analys- eller reklamcookies används.

Du kan hantera cookie-inställningar i din webbläsare. Att inaktivera nödvändiga cookies kan påverka plattformens funktionalitet.

Vi mäter användningen av vår webbplats och plattform med ett integritetsvänligt, egenutvecklat statistiksystem som fungerar utan cookies och utan att lagra något på din enhet. Våra servrar sparar endast aggregerade dagliga räkningar (t.ex. sidvisningar per sida); inga användarprofiler skapas och inga uppgifter delas med tredje part. För att räkna unika besökare omvandlas IP-adressen och webbläsaridentifieraren till en anonym identifierare med hjälp av en nyckel som byts varje dag; själva IP-adressen lagras aldrig, och identifieraren raderas inom 48 timmar och kan inte kopplas mellan olika dagar. All behandling sker uteslutande på våra servrar i EU (europe-west1). Rättslig grund: vårt berättigade intresse av att förstå och förbättra våra tjänster (art. 6.1 f i GDPR). Vi respekterar webbläsarsignalerna “Do Not Track” och “Global Privacy Control” — om någon av dem är aktiverad samlas ingen statistik in. Dessutom räknar vi på samma sätt användningen av enskilda funktioner (t.ex. hur ofta en viss knapp används) samt grova besöksmått (antalet sidor som visas per besök och den ungefärliga besökstiden). Även dessa värden lagras endast som aggregerade dagliga räkningar utan personanknytning, och inget fortsätter att lagras på eller läsas från din enhet för detta ändamål.

Capwork-plattformen använder AI-tjänster via Google Vertex AI för funktioner som automatiserad generering av företagsdata, affärsinsiktsrapporter, skanning av fordonsdokument, fakturabehandling, feedbackanalys och analys av orderförfrågningar. Detta omfattar såväl Googles egna modeller (t.ex. Gemini) som partnermodeller som tillhandahålls via Vertex Model Garden (t.ex. Anthropic Claude); i båda fallen utförs inferensen uteslutande av Google Cloud inom EU. Google Vertex AI agerar som underbiträde enligt villkoren i AVV:n.

Uppgifter som skickas till AI-tjänster behandlas uteslutande enligt Google Clouds villkor för databehandling i Enterprise och med regionslåsning av behandlingen till EU. Personuppgifter som lämnas till AI-tjänster används inte för att träna, förbättra eller utveckla AI-modeller. Detta garanteras avtalsmässigt genom Google Clouds tilläggsvillkor för databehandling.

Allt AI-genererat innehåll markeras tydligt i användargränssnittet i enlighet med EU:s AI-förordning (art. 50). Inga automatiserade beslut med rättsliga eller liknande betydande följder fattas utan mänsklig översyn.

Du kan begära mänsklig omprövning av varje AI-genererat beslut som i väsentlig grad påverkar dig genom att kontakta oss på office@capwork.io.

Capwork e.U. genomför lämpliga tekniska och organisatoriska åtgärder enligt art. 32 GDPR för att säkerställa en säkerhetsnivå som är anpassad till risken. Dessa åtgärder omfattar:

• Kryptering av uppgifter i vila och vid överföring (TLS 1.2+, AES-256)
• Åtkomstkontroller och rollbaserad behörighetshantering (RBAC) med Firebase Authentication
• Infrastruktur som driftas på Google Cloud Platform inom EU (region europe-west1)
• Regelbundna säkerhetsgranskningar, indatavalidering (Zod-scheman) och rate limiting
• Loggning och granskningsspår för dataåtkomst och -ändringar
• Skydd mot prompt injection och AI-säkerhetsåtgärder för alla AI-behandlade uppgifter

En detaljerad beskrivning av TOM-åtgärderna är bifogad som bilaga till personuppgiftsbiträdesavtalet (AVV) och tillhandahålls på begäran.

Enligt GDPR har du följande rättigheter avseende dina personuppgifter:

• Rätt till tillgång (art. 15 GDPR): Du kan begära information om vilka personuppgifter vi har lagrade om dig.
• Rätt till rättelse (art. 16 GDPR): Du kan begära att felaktiga uppgifter rättas.
• Rätt till radering (art. 17 GDPR): Du kan begära att dina uppgifter raderas, med förbehåll för lagstadgade bevarandekrav.
• Rätt till begränsning av behandling (art. 18 GDPR): Du kan under vissa förutsättningar begära att behandlingen begränsas.
• Rätt till dataportabilitet (art. 20 GDPR): Du kan begära att få ut dina uppgifter i ett strukturerat, maskinläsbart format.
• Rätt att göra invändningar (art. 21 GDPR): Du kan när som helst invända mot behandling som grundas på berättigade intressen.

För att utöva dina rättigheter, kontakta oss på office@capwork.io. Vi svarar inom en månad i enlighet med art. 12 GDPR. Slutkunder hos registrerade företag bör först kontakta respektive företag (personuppgiftsansvarig) för att utöva sina rättigheter.

Om du anser att behandlingen av dina personuppgifter strider mot dataskyddslagstiftningen har du rätt att lämna in ett klagomål till den österrikiska dataskyddsmyndigheten (Österreichische Datenschutzbehörde):

Vi förbehåller oss rätten att uppdatera denna Integritetspolicy för att återspegla ändringar i våra behandlingsrutiner eller i de rättsliga kraven. Väsentliga ändringar meddelas registrerade användare via e-post. Den aktuella versionen finns alltid tillgänglig på denna sida.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-post: office@capwork.io