Політика конфіденційності

Контролером, відповідальним за обробку даних у розумінні Загального регламенту про захист даних (GDPR) та Закону Австрії про захист даних (DSG), є:

Платформа Capwork працює як B2B-сервіс. Залежно від контексту різні сторони виконують різні ролі у сфері захисту даних згідно з GDPR:

• Суб’єкт даних (Betroffene Person): кінцевий клієнт або фізична особа, чиї персональні дані обробляються (наприклад, особа, яка записується на прийом або надсилає запит).
• Контролер даних (Verantwortlicher): зареєстрований бізнес, який користується платформою Capwork. Контролер визначає цілі та засоби обробки даних і відповідає за дотримання GDPR щодо своїх кінцевих клієнтів.
• Обробник даних (Auftragsverarbeiter): Capwork e.U. експлуатує платформу Capwork як обробник даних від імені зареєстрованого бізнесу й обробляє персональні дані виключно відповідно до вказівок контролера та договору про обробку даних.

Capwork e.U. є контролером даних лише щодо даних, які обробляються для її власних цілей (наприклад, керування обліковими записами платформи, виставлення рахунків, безпека платформи та звернення до компаній листами згідно з розділом 11a). Щодо всіх даних кінцевих клієнтів, які вводять зареєстровані компанії (наприклад, дані бронювань, комунікація з клієнтами, завантажені документи), контролером даних є зареєстрований бізнес, а Capwork e.U. діє виключно як обробник даних відповідно до ст. 28 GDPR.

Ми збираємо та обробляємо такі категорії персональних даних:

• Дані облікового запису: адреса електронної пошти, пароль (у хешованому вигляді), назва компанії, місцезнаходження
• Контактні дані та дані запису: ім’я, номер телефону, адреса електронної пошти та необов’язкова примітка для бізнесу (під час запису на прийом)
• Платіжні дані: ім’я власника картки, останні чотири цифри номера картки (лише для перевірки особи)
• Дані про використання: історія бронювань, взаємодія з календарем, конфігурації модулів, дані журналів
• Технічні дані: IP-адреса, тип браузера, інформація про пристрій, часові позначки доступу
• Дані кінцевих клієнтів: будь-які персональні дані, які зареєстровані компанії вводять на платформу від імені своїх клієнтів (наприклад, дані бронювань, контактна інформація, дані замовлень, комунікація)
• Опубліковані дані компанії: відомості, які зареєстрована компанія робить загальнодоступними після активації свого клієнтського порталу (назва компанії, опис і галузь, адреса, номер телефону, вебсайт, години роботи, послуги та ціни), відомості про її особу, що показуються в бронюваннях і пропозиціях (ім’я або найменування підприємства, адреса, контактні дані та, за наявності, ідентифікаційний номер платника ПДВ), а також відомості на сторінці правової інформації (імпресуму) в клієнтському порталі (додатково, наприклад, дані торговельного реєстру, наглядовий орган, палата та професійні правила, предмет діяльності й посилання на її політику конфіденційності)
• Повідомлення відповідно до Закону про цифрові послуги: ім’я та адреса електронної пошти особи, що подає повідомлення (добровільно для повідомлень щодо матеріалів сексуального насильства над дітьми), повідомлена адреса та, за наявності, виявлений вміст, категорія та пояснення повідомлення, мова, стан обробки та рішення; крім того, для обмеження зловживань формою повідомлення — IP-адреса та адреса електронної пошти в хешованому вигляді як ключ лічильника
• Документація виїзних робіт, якщо зареєстрований бізнес її використовує: час роботи, перерв і час у дорозі, статус робіт, використані матеріали, нотатки та фотографії його працівників, а також фотографії, нотатки про об’єкт, підписи та звіти про роботу, що стосуються його кінцевих клієнтів (докладніше в розділі 11b)

Ми обробляємо персональні дані на таких правових підставах відповідно до ст. 6 GDPR:

• Ст. 6(1)(a) GDPR — Згода: якщо ви надали явну згоду на певні види обробки.
• Ст. 6(1)(b) GDPR — Договір: обробка, необхідна для виконання нашого договору про надання послуг із вами або для вжиття заходів на ваш запит до його укладення (наприклад, створення вашого облікового запису та підтвердження вашої адреси електронної пошти під час реєстрації).
• Ст. 6(1)(c) GDPR — Юридичний обов’язок: обробка, необхідна для виконання вимог австрійського податкового та комерційного права щодо зберігання.
• Ст. 6(1)(f) GDPR — Законні інтереси: обробка з метою запобігання шахрайству, забезпечення безпеки платформи та покращення сервісу, якщо ваші права не переважають наші інтереси.

Щодо даних кінцевих клієнтів, які обробляються від імені зареєстрованих компаній, правову підставу визначає відповідний бізнес (контролер даних) і документує її у власній політиці конфіденційності.

Публічний клієнтський портал за замовчуванням вимкнено. Дані компанії, що там показуються, публікуються виключно з ініціативи зареєстрованої компанії, яка має для цього явно активувати портал (§ 4 умов); правовою підставою є ст. 6(1)(b) GDPR. Компанія сама визначає, які відомості показуються, і може будь-коли обмежити публікацію або повністю припинити її, вимкнувши портал.

Ми обробляємо повідомлення про незаконний вміст відповідно до Закону про цифрові послуги, рішення щодо них та інформацію, надану залученим сторонам, щоб виконати наші юридичні обов’язки згідно зі ст. 16–18 DSA (ст. 6(1)(c) GDPR). Обмеження кількості повідомлень на IP-адресу та адресу електронної пошти ґрунтується на нашому законному інтересі у функціонуючій процедурі повідомлень, захищеній від зловживань (ст. 6(1)(f) GDPR). Ми не розкриваємо особу заявника відповідній компанії.

Ваші персональні дані обробляються для таких цілей:

• Надання та експлуатація платформи Capwork і її модулів (записи, замовлення, керування командою, автопарк, склад, фінанси)
• Створення облікових записів користувачів, автентифікація та керування доступом
• Обробка бронювань, замовлень і комунікації з клієнтами від імені зареєстрованих компаній
• Документування виїзних робіт на об’єктах кінцевих клієнтів, їх приймання та витраченого на них робочого часу від імені зареєстрованих компаній, які користуються документацією виїзних робіт (див. розділ 11b)
• Функції на основі ШІ: генерування даних компанії, бізнес-аналітика, сканування документів та аналіз відгуків
• Запобігання шахрайству, перевірка особи та безпека платформи
• Експлуатація публічного клієнтського порталу зареєстрованої компанії, якщо ця компанія активувала портал
• Розгляд повідомлень про незаконний вміст у клієнтських порталах, ухвалення рішень щодо заходів та інформування залучених сторін відповідно до Закону про цифрові послуги
• Вимірювання того, чи є реєстрації — або вже відкриття форми реєстрації чи відвідування наших прикладів бізнесу — наслідком наших оголошень у Google, — лише з вашої згоди (див. розділ 10)
• Обслуговування клієнтів і підтримка: відповіді на ваші запити та відгуки й допомога в налаштуванні та використанні платформи — також із нашої власної ініціативи, через повідомлення власнику облікового запису в розділі відгуків платформи (ст. 6(1)(b) GDPR). Рекламу в такий спосіб ми не надсилаємо.

Оскільки Capwork e.U. діє як обробник даних (Auftragsverarbeiter) для зареєстрованих компаній, з кожною зареєстрованою компанією під час процесу підключення укладається Договір про обробку даних (Auftragsverarbeitungsvertrag, AVV) відповідно до ст. 28 GDPR.

AVV регулює:

• Предмет, тривалість, характер і мету обробки даних
• Види оброблюваних персональних даних і категорії суб’єктів даних
• Обов’язки та права контролера (зареєстрованого бізнесу)
• Технічні та організаційні заходи (TOM) для забезпечення безпеки даних (див. розділ 12)
• Залучення та авторизацію субобробників (див. розділ 8)
• Обов’язки щодо видалення або повернення даних після припинення договору

Зареєстрований бізнес (контролер даних) може будь-коли запросити копію AVV, звернувшись на адресу office@capwork.io.

Персональні дані зберігаються лише стільки, скільки необхідно для досягнення описаних вище цілей або скільки вимагає закон. Австрійське комерційне та податкове право (BAO, UGB) може вимагати зберігання певних даних до 7 років.

Після закриття облікового запису ваші персональні дані буде видалено протягом 30 днів, за винятком випадків, коли закон вимагає довшого зберігання. Дані кінцевих клієнтів, що обробляються від імені зареєстрованих компаній, видаляються або повертаються відповідно до AVV. Якщо ви не підтвердите адресу електронної пошти під час реєстрації і жодного бізнесу не буде створено, ми видаляємо обліковий запис через 30 днів після реєстрації або, якщо це пізніше, після вашого останнього входу.

Bird — провайдер, який доставляє транзакційні електронні листи та SMS кінцевим клієнтам зареєстрованих компаній (наприклад, підтвердження записів, нагадування та коди входу до клієнтського порталу), — зберігає вміст повідомлень і дані трафіку для доставки та запобігання зловживанням: SMS — до 6 місяців, електронні листи — 72 години. До власних субобробників Bird належать провайдери за межами ЄЕЗ, діяльність яких забезпечена Стандартними договірними положеннями ЄС.

Ми видаляємо повідомлення відповідно до Закону про цифрові послуги та записи про обмеження клієнтських порталів через сім років після ухвалення рішення або після скасування чи закінчення строку дії обмеження; до того часу ми зберігаємо їх, щоб документувати наші рішення та захищатися від претензій (ст. 6(1)(f) GDPR). Повідомлення, щодо яких рішення ще не ухвалено, зберігаються до ухвалення рішення. Лічильники, які ми використовуємо для обмеження кількості запитів, автоматично видаляються після завершення їхнього часового вікна.

Ваші дані можуть передаватися таким категоріям одержувачів, які діють як субобробники (Unterauftragsverarbeiter) відповідно до ст. 28 GDPR:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — інфраструктура та зберігання даних (регіон ЄС: europe-west1)
• Google Vertex AI (моделі Google, такі як Gemini, а також партнерські моделі з Vertex Model Garden, наприклад Anthropic Claude; інференс повністю виконує Google Cloud в ЄС) — функції на основі ШІ, як-от генерування даних компанії, аналітика, сканування документів, обробка рахунків і аналіз запитів на замовлення (субобробник)
• Twilio — доставка сповіщень через SMS і WhatsApp (субобробник)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — пошук адрес, відображення карти та відстаней; також завантажується на публічній сторінці реєстрації, передаючи вашу IP-адресу Google, а також коли в польовому режимі («Моя робота») відкривається робота, що одразу показує карту об’єкта
• Stripe Payments Europe, Ltd. — обробка платежів і виставлення рахунків (субобробник)
• Bird (Bird B.V., Нідерланди) – доставка транзакційних електронних листів і SMS від імені зареєстрованих компаній: підтвердження записів, нагадування, пропозиції раніших слотів, коди входу до клієнтських облікових записів у клієнтському порталі та сповіщення про виїзні роботи (в дорозі, запізнюємося, звіт про роботу та посилання для підтвердження); а також надсилання та отримання через власні канали електронної пошти та SMS цих компаній, зокрема SMS на виділений номер, що належить Capwork (субобробник)
• Google Workspace / Gmail (Google Ireland Limited) — надсилання власних електронних листів Capwork: зареєстрованим користувачам (наприклад, вітальні та ознайомчі повідомлення, а також обґрунтування рішень і сповіщення щодо обмежень клієнтських порталів) та особам, які повідомляють про незаконний вміст (підтвердження отримання та рішення); обробка в межах ЄС (обробник)
• Anthropic (Anthropic Ireland, Limited, Ірландія) — інструмент ШІ Claude Code, який ми використовуємо для експлуатації платформи, аналізу інцидентів і помилок, а також для її супроводу та розвитку; в окремих випадках можуть оброблятися й ваші персональні дані, наприклад із журналів або записів бази даних; зберігання у США, забезпечене Стандартними договірними положеннями ЄС; не використовуються для навчання моделей ШІ (субобробник)

Усіх субобробників перелічено в AVV, і вони зобов’язані договорами про обробку даних відповідно до ст. 28 GDPR. Зареєстрований бізнес (контролер даних) отримує інформацію про будь-які зміни субобробників і має право заперечити. Ми не продаємо ваші персональні дані третім особам.

Деякі з наших субобробників експлуатують сервери за межами Європейської економічної зони (ЄЕЗ). У разі передачі даних до третіх країн (наприклад, до Сполучених Штатів) ми забезпечуємо наявність належних гарантій, зокрема Стандартних договірних положень ЄС (SCC) і рішень Європейської комісії про адекватність.

Google LLC і Twilio Inc. беруть участь у Рамковій угоді про конфіденційність даних ЄС–США, яка забезпечує належний рівень захисту даних, визнаний Європейською комісією. Механізми передачі задокументовано в AVV. Для Anthropic Ireland, Limited (Claude Code) ми ґрунтуємо передачу до США та інших третіх країн на Стандартних договірних положеннях ЄС.

Без вашої згоди платформа Capwork використовує лише суворо необхідні файли cookie для автентифікації, мовних налаштувань і налаштувань відображення, які ви робите самі. У локальному сховищі вашого браузера ми також зберігаємо суворо необхідну інформацію, як-от вхід до клієнтського облікового запису в клієнтському порталі компанії (до 30 днів або до виходу), колірну схему та ваш вибір у банері cookie. Під час реєстрації там також зберігаються введені на той момент дані (ніколи не пароль) — до семи днів, щоб незавершену реєстрацію можна було продовжити. Файли cookie для відстеження, аналітики чи реклами не використовуються, за одним винятком: на наших власних інформаційних сторінках ви можете погодитися на вимірювання нашої реклами в Google (останній абзац цього розділу). Докладніше — у нашій Політиці щодо файлів cookie.

Ви можете керувати налаштуваннями файлів cookie у своєму браузері. Вимкнення необхідних файлів cookie може вплинути на функціональність платформи.

Ми вимірюємо використання нашого вебсайту та платформи за допомогою дружньої до конфіденційності системи статистики, розміщеної на наших власних серверах, яка працює без файлів cookie і нічого не зберігає на вашому пристрої. Наші сервери зберігають лише агреговані підрахунки: щоденні підсумки (наприклад, перегляди кожної сторінки) і, протягом 100 днів, кількість переглядів сторінок і нових врахованих відвідувачів за кожен 15-хвилинний інтервал доби; профілі користувачів не створюються, а дані не передаються третім особам. Для підрахунку унікальних відвідувачів IP-адреса та ідентифікатор браузера об’єднуються в анонімний ідентифікатор за допомогою ключа, що змінюється щодня; сама IP-адреса ніколи не зберігається, а ідентифікатор видаляється протягом 48 годин і не може бути пов’язаний між різними днями. Уся обробка відбувається виключно на наших серверах в ЄС (europe-west1). Правова підстава: наш законний інтерес у розумінні та покращенні наших послуг (ст. 6(1)(f) GDPR). Ми враховуємо сигнали браузера «Do Not Track» і «Global Privacy Control» — якщо будь-який із них увімкнено, статистика не збирається. Крім того, ми так само підраховуємо використання окремих функцій (наприклад, як часто використовується певна кнопка), а також загальні показники відвідувань (кількість переглянутих за відвідування сторінок, приблизну тривалість відвідування та наскільки було прокручено першу сторінку відвідування). Для відвідувань, що надходять через оголошення, ми додатково підраховуємо – так само лише агреговано й без ідентифікатора кліку оголошення – що відвідування надійшло через оголошення, яке з наших пошукових ключових слів збіглося та з якої сторінки почалося відвідування. Ці значення так само зберігаються лише як агреговані щоденні підрахунки без зв’язку з особою, і для цього на вашому пристрої більше нічого не зберігається і нічого з нього не зчитується.

На наших публічних інформаційних сторінках на www.capwork.io (наприклад, головна сторінка, ціни, рішення, приклад бізнесу, правові тексти та запропонована там реєстрація) ми використовуємо відстеження конверсій Google Ads від Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ірландія) — лише якщо ви погоджуєтеся в банері cookie. Мета — визначити, чи є реєстрація в Capwork — або вже відкриття форми реєстрації чи відвідування наших прикладів бізнесу — наслідком кліку на одне з наших оголошень у Google; персоналізовану рекламу чи ремаркетинг ми не використовуємо. Після вашої згоди ваш браузер завантажує тег Google; Google обробляє вашу IP-адресу, інформацію про браузер і пристрій, відвідану сторінку, час та ідентифікатор кліку оголошення, а також зберігає файли cookie, як-от «_gcl_au» і «_gcl_aw» (до 90 днів). Про завершену реєстрацію, відкриття форми реєстрації та відвідування наших прикладів бізнесу Google повідомляється без імені, адреси електронної пошти чи даних компанії. Правовою підставою є ваша згода (ст. 6(1)(a) GDPR, § 165(3) TKG 2021). Google обробляє дані як незалежний контролер і може передавати їх до США; Google LLC сертифікована відповідно до Рамкової угоди про конфіденційність даних ЄС–США. Без вашої згоди тег Google не завантажується. Ви можете будь-коли відкликати свою згоду з дією на майбутнє через «Налаштування cookie» у нижньому колонтитулі нашої головної сторінки або в нашій Політиці щодо файлів cookie; тоді ми видаляємо файли cookie Google Ads на capwork.io. Ми зберігаємо ваш вибір у локальному сховищі вашого браузера і запитуємо знову через дванадцять місяців. Щоб підтвердити вашу згоду, ми також зберігаємо кожен вибір у банері cookie протягом трьох років на наших серверах в ЄС — із випадково згенерованим ідентифікатором згоди, вибором і вибором, який він замінив, версією банера, мовою та часом, але без вашої IP-адреси; правовою підставою є ст. 6(1)(c) у поєднанні зі ст. 7(1) GDPR. Банер показує вам ідентифікатор згоди в розділі «Налаштування cookie».

Платформа Capwork використовує сервіси ШІ через Google Vertex AI для таких функцій, як автоматичне генерування даних компанії, звіти бізнес-аналітики, сканування документів на транспортні засоби та чеків, аналіз відгуків, аналіз запитів на замовлення та повідомлень, пропозиції та чернетки відповідей, автоматичний переклад вмісту, а також генерування пропозицій зображень для послуг і товарів, транспортних засобів, матеріалів та інструментів. Це охоплює як власні моделі Google (наприклад, Gemini), так і партнерські моделі, що надаються через Vertex Model Garden (наприклад, Anthropic Claude); в обох випадках інференс повністю виконує Google Cloud в ЄС. Google Vertex AI діє як субобробник на умовах AVV.

Якщо бізнес використовує документацію виїзних робіт, його працівники можуть надиктовувати нотатки: Google Vertex AI (Gemini) транскрибує запис в ЄС і перетворює його на чернетку тексту звіту. Capwork не зберігає ні запис, ні транскрипт (див. розділ 11b).

Дані, що надсилаються до сервісів ШІ, обробляються виключно на корпоративних умовах обробки даних Google Cloud і з прив’язкою до регіону ЄС. Персональні дані, передані сервісам ШІ, не використовуються для навчання, покращення чи розроблення моделей ШІ. Це гарантовано договором через додаток Google Cloud про обробку даних.

Вміст, згенерований ШІ, — як-от аналізи, пропозиції, чернетки відповідей, дані, витягнуті з документів, автоматичні переклади та згенеровані ШІ зображення, — позначається як згенерований ШІ в інтерфейсі платформи та в клієнтському порталі відповідно до Акта ЄС про штучний інтелект (ст. 50). Повідомлення клієнтам, які особа перевіряє на основі чернетки ШІ та надсилає сама, окремо для одержувача не позначаються, оскільки вони надсилаються під контролем людини та з її редакційною відповідальністю; згенеровані ШІ повідомлення автоматично не надсилаються. Жодних автоматизованих рішень із юридичними чи подібними суттєвими наслідками не ухвалюється без нагляду людини.

Ви можете вимагати перегляду людиною будь-якого згенерованого ШІ рішення, яке суттєво на вас впливає, звернувшись до нас на адресу office@capwork.io.

Capwork e.U. вживає належних технічних та організаційних заходів відповідно до ст. 32 GDPR, щоб забезпечити рівень безпеки, відповідний ризику. Ці заходи включають:

• Шифрування даних під час зберігання та передачі (TLS 1.2+, AES-256)
• Контроль доступу та рольову авторизацію (RBAC) з Firebase Authentication
• Інфраструктуру, розміщену на Google Cloud Platform в ЄС (регіон europe-west1)
• Регулярні оцінки безпеки, перевірку вхідних даних (схеми Zod) та обмеження частоти запитів
• Журналювання та аудиторські сліди доступу до даних і їх змін
• Запобігання ін’єкціям промптів і заходи безпеки ШІ для всіх даних, оброблюваних ШІ

Детальний опис TOM додається до Договору про обробку даних (AVV) і надається на запит.

Згідно з GDPR ви маєте такі права щодо своїх персональних даних:

• Право на доступ (ст. 15 GDPR): ви можете запитати інформацію про те, які ваші персональні дані ми зберігаємо.
• Право на виправлення (ст. 16 GDPR): ви можете вимагати виправлення неточних даних.
• Право на видалення (ст. 17 GDPR): ви можете вимагати видалення своїх даних з урахуванням законодавчих обов’язків щодо зберігання.
• Право на обмеження обробки (ст. 18 GDPR): ви можете вимагати обмеження обробки за певних умов.
• Право на перенесення даних (ст. 20 GDPR): ви можете запитати свої дані в структурованому, машинозчитуваному форматі.
• Право на заперечення (ст. 21 GDPR): ви можете будь-коли заперечити проти обробки, що ґрунтується на законних інтересах.

Щоб скористатися своїми правами, зверніться до нас на адресу office@capwork.io. Ми відповімо протягом одного місяця, як того вимагає ст. 12 GDPR. Кінцеві клієнти зареєстрованих компаній для реалізації своїх прав мають спершу звертатися до відповідного бізнесу (контролера даних).

Щоб захистити ваші дані від несанкціонованого доступу, ми перевіряємо особу кожного, хто подає запит щодо прав. Запити, подані з облікового запису, у який виконано вхід, вважаються перевіреними. Запити, надіслані електронною поштою, підтверджуються за посиланням, надісланим на адресу електронної пошти, зареєстровану в обліковому записі. Якщо залишаються обґрунтовані сумніви (ст. 12(6) GDPR), ми можемо запросити додатковий доказ особи — наприклад, копію виданого державою документа з фотографією, — який ми видаляємо після завершення перевірки. Повного видалення облікового запису компанії може вимагати лише власник облікового запису або уповноважений адміністратор; окремі користувачі можуть реалізовувати права лише щодо власних персональних даних.

Якщо ви вважаєте, що обробка ваших персональних даних порушує законодавство про захист даних, ви маєте право подати скаргу до Австрійського органу з питань захисту даних:

Ми залишаємо за собою право оновлювати цю Політику конфіденційності, щоб відобразити зміни в нашій практиці обробки даних або в законодавчих вимогах. Про суттєві зміни зареєстрованих користувачів буде повідомлено електронною поштою. Актуальна версія завжди доступна на цій сторінці.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

Електронна пошта: office@capwork.io