Споразумение за обработване на данни (DPA)

Настоящото Споразумение за обработване на данни („DPA“) е част от Общите условия между вас („Клиентът“, администраторът) и DocuTract („DocuTract“, обработващият лични данни). То урежда обработването от DocuTract на лични данни, съдържащи се в документите, скановете и шаблоните, които качвате („Лични данни на Клиента“), и отразява изискванията на член 28 от Общия регламент на ЕС относно защитата на данните (GDPR).

Роли на страните

Клиентът е администраторът и определя целите и средствата за обработване на Личните данни на Клиента. DocuTract е обработващият лични данни и обработва Личните данни на Клиента само по документирани указания на Клиента, включително такива, дадени чрез обичайното използване на услугата. Когато DocuTract действа като администратор на данни за акаунта и плащанията, вместо това се прилага Политиката за поверителност.

Предмет и срок

Предметът е обработването, необходимо за предоставянето на DocuTract - извличане на полета от качени сканове и генериране на попълнени документи. Обработването продължава през срока на действие на Общите условия и докато Личните данни на Клиента бъдат изтрити в съответствие с настоящото DPA.

Естество и цел на обработването

DocuTract обработва Личните данни на Клиента, за да получава качени файлове, да извършва автоматизирано извличане на данни, да попълва шаблони, да генерира изходни документи и да съхранява тези документи и сканове от името на Клиента.

Категории данни и субекти на данните

Клиентът контролира какво качва. Личните данни на Клиента могат да включват данни за самоличност, данни за контакт, данни от документи за самоличност, финансови и други данни, съдържащи се в изходните файлове на Клиента. Субектите на данните могат да включват клиенти, служители, контрагенти на Клиента и всякакви физически лица, посочени в документите на Клиента.

Специални категории данни

DocuTract не е предназначен за специални категории лични данни (член 9 от GDPR, като например данни за здравословното състояние) или за данни, свързани с присъди и нарушения (член 10 от GDPR). Клиентът няма да качва такива данни, освен ако не разполага с валидно правно основание за това обработване и не е уведомил предварително DocuTract в писмена форма, така че страните да могат да договорят допълнителни гаранции.

Задължения на DocuTract

DocuTract:

обработва Личните данни на Клиента само по документирани указания на Клиента;
гарантира, че лицата, оправомощени да обработват данните, са обвързани със задължение за поверителност;
прилага техническите и организационните мерки, описани по-долу;
не използва Личните данни на Клиента за обучение на модели за машинно обучение или за каквато и да е цел, различна от предоставянето на услугата;
подпомага Клиента, като отчита естеството на обработването, при искания на субекти на данни и при изпълнението на задълженията му във връзка със сигурността, уведомяването за нарушения и оценката на въздействието.

Мерки за сигурност

DocuTract поддържа подходящи технически и организационни мерки, включително криптиране при пренос (TLS) и при съхранение (базата данни и хранилището за файлове са криптирани от техните доставчици), контрол на достъпа на принципа на най-малките привилегии и с удостоверяване, двуфакторно удостоверяване за потребителите (което собственикът на работно пространство може да направи задължително) и задължително двуфакторно удостоверяване за администраторите на DocuTract, частно хранилище за файлове, което никога не е публично достъпно и е достъпно само чрез краткотрайни подписани URL адреси, ограничени до работно пространство, логическо разделяне на данните на всяко работно пространство, журнал за достъп, в който записи само се добавят, за промените и прочитанията на Личните данни на Клиента и за всеки достъп от администратор, генериране на PDF на собствените сървъри на DocuTract и редовен преглед на тези мерки.

Подизпълнители

Клиентът разрешава на DocuTract да ангажира подизпълнители за предоставянето на услугата. DocuTract налага на всеки подизпълнител задължения за защита на данните, не по-малко защитни от тези в настоящото DPA, и остава отговорен за тяхното изпълнение. Настоящите подизпълнители са:

Anthropic Ireland, Limited (Ирландия) - разпознаване чрез AI на текст и полета в качени сканове и анализ на качени шаблони. Получава само съдържанието на файловете - без имена на файлове или идентификатори на акаунти. Anthropic съхранява данни в Съединените щати, може да ги обработва в други държави, в които извършва дейност, пази входните и изходните данни до 30 дни и не ги използва за обучение на модели.
Hetzner Online GmbH (Германия) - хостинг на сървъри в център за данни във Фалкенщайн, Германия: приложението, опашките със задачи и генерирането на PDF.
Supabase, Inc. (Съединените щати) - база данни, вход на потребители и частно хранилище за файлове (шаблони, сканове и генерирани документи), хоствани в Ирландия (ЕС) и криптирани при съхранение.
Stripe (Stripe, Inc. и свързаните с нея лица, включително Stripe Payments Europe, Limited) - таксуване на абонаменти и еднократни плащания (само данни за акаунта и плащанията, никога съдържание на документи).
Zone Media OÜ (Zone.eu, Естония) - пощенският хостинг, чрез който DocuTract изпраща имейли, включително имейла с линковете към платен документ (адресът на получателя, темата и текстът; самият документ не се прикачва).
PostHog, Inc. (продуктова аналитика) - щадяща поверителността аналитика на уебсайта, хоствана в ЕС и активна само със съгласието на посетителя, като всички текстове и въвеждания са маскирани. Тя не обработва съдържанието на качени документи или сканове.

DocuTract ще уведомява предварително за всяко планирано добавяне или замяна на подизпълнител, за да може Клиентът да възрази на разумни основания, свързани със защитата на данните.

Международни предавания

Някои подизпълнители обработват Лични данни на Клиента извън ЕИП - по-специално Anthropic, която съхранява данни в Съединените щати, и Stripe, която е установена в Съединените щати. Supabase хоства нашите данни в Ирландия, но е установена в Съединените щати, затова отдалеченият достъп оттам се третира като предаване. За всяко такова предаване DocuTract разчита на Стандартните договорни клаузи на Европейската комисия, включени в условията за обработване на данни на подизпълнителя, или, когато е налично, на решение относно адекватното ниво на защита (като Рамката за защита на личните данни между ЕС и САЩ - EU-US Data Privacy Framework), заедно с техническите мерки, посочени по-горе.

Нарушение на сигурността на личните данни

DocuTract ще уведоми Клиента без ненужно забавяне, след като узнае за нарушение на сигурността на личните данни, засягащо Лични данни на Клиента, като предостави информацията, от която Клиентът разумно се нуждае, за да изпълни собствените си задължения за уведомяване.

Връщане и изтриване

При прекратяване на услугата или по писмено искане на Клиента до legal@docutract.online DocuTract ще изтрие или върне Личните данни на Клиента и ще изтрие съществуващите копия в рамките на 30 дни, освен когато съхранението се изисква от закона. Копията, държани от подизпълнителите, се изтриват в рамките на собствените им срокове на съхранение (за Anthropic - до 30 дни след обработването).

Одити

DocuTract предоставя информацията, необходима за доказване на съответствието с настоящото DPA, и ще съдейства при одити, включително проверки, извършвани от Клиента или от одитор, упълномощен от него, при разумно предизвестие и при спазване на поверителността.

Отговорност и предимство

При противоречие между настоящото DPA и Общите условия по въпроса за обработването на лични данни предимство има настоящото DPA. Въпроси относно настоящото DPA? Пишете на legal@docutract.online.