Smlouva o zpracování osobních údajů (DPA)

Tato Smlouva o zpracování osobních údajů („DPA“) je součástí Podmínek služby uzavřených mezi vámi („Zákazník“, správce) a DocuTract („DocuTract“, zpracovatel). Upravuje zpracování osobních údajů ze strany DocuTract obsažených v dokumentech, skenech a šablonách, které nahrajete („Osobní údaje Zákazníka“), a zohledňuje požadavky článku 28 obecného nařízení EU o ochraně osobních údajů (GDPR).

Role smluvních stran

Zákazník je správcem a určuje účely a prostředky zpracování Osobních údajů Zákazníka. DocuTract je zpracovatelem a zpracovává Osobní údaje Zákazníka pouze na základě doložených pokynů Zákazníka, včetně pokynů daných běžným používáním služby. Pokud DocuTract vystupuje jako správce údajů o účtu a fakturačních údajů, použijí se namísto toho Zásady ochrany osobních údajů.

Předmět a doba trvání

Předmětem je zpracování nezbytné k poskytování DocuTract – vytěžování polí z nahraných skenů a generování vyplněných dokumentů. Zpracování trvá po dobu platnosti Podmínek služby a až do výmazu Osobních údajů Zákazníka v souladu s touto DPA.

Povaha a účel zpracování

DocuTract zpracovává Osobní údaje Zákazníka za účelem přijímání nahraných souborů, provádění automatizovaného vytěžování, vyplňování šablon, generování výstupních dokumentů a ukládání těchto dokumentů a skenů jménem Zákazníka.

Kategorie údajů a subjektů údajů

Zákazník rozhoduje o tom, co nahraje. Osobní údaje Zákazníka mohou zahrnovat identifikační, kontaktní a finanční údaje, údaje z dokladů totožnosti a další údaje obsažené ve zdrojových souborech Zákazníka. Subjekty údajů mohou zahrnovat klienty, zaměstnance a protistrany Zákazníka a jakékoli fyzické osoby uvedené v dokumentech Zákazníka.

Zvláštní kategorie údajů

DocuTract není určen pro zvláštní kategorie osobních údajů (článek 9 GDPR, například údaje o zdravotním stavu) ani pro údaje týkající se rozsudků v trestních věcech a trestných činů (článek 10 GDPR). Zákazník takové údaje nenahraje, ledaže má pro takové zpracování platný právní základ a předem o tom DocuTract písemně informoval, aby se smluvní strany mohly dohodnout na případných dodatečných zárukách.

Povinnosti DocuTract

DocuTract bude:

zpracovávat Osobní údaje Zákazníka pouze na základě doložených pokynů Zákazníka;
zajišťovat, aby osoby oprávněné ke zpracování údajů byly vázány mlčenlivostí;
zavádět technická a organizační opatření popsaná níže;
nepoužívat Osobní údaje Zákazníka k trénování modelů strojového učení ani k jakémukoli jinému účelu než k poskytování služby;
s ohledem na povahu zpracování být Zákazníkovi nápomocen při vyřizování žádostí subjektů údajů a při plnění jeho povinností v oblasti zabezpečení, ohlašování porušení a posouzení vlivu.

Bezpečnostní opatření

DocuTract udržuje vhodná technická a organizační opatření, včetně šifrování při přenosu (TLS) i při uložení (databázi a úložiště souborů šifrují jejich poskytovatelé), řízení přístupu podle zásady nejnižších oprávnění a s ověřováním, dvoufázového ověření uživatelů (které může vlastník pracovního prostoru nastavit jako povinné) a povinného dvoufázového ověření správců DocuTract, soukromého úložiště souborů, které nikdy není veřejně přístupné a je zpřístupněno pouze prostřednictvím krátkodobých podepsaných URL omezených na pracovní prostor, logického oddělení údajů každého pracovního prostoru, protokolu přístupů, do kterého lze pouze přidávat a který zaznamenává změny a čtení Osobních údajů Zákazníka a každý přístup správců, vykreslování PDF na vlastních serverech DocuTract a pravidelného přezkumu těchto opatření.

Dílčí zpracovatelé

Zákazník opravňuje DocuTract zapojit k poskytování služby dílčí zpracovatele. DocuTract ukládá každému dílčímu zpracovateli povinnosti v oblasti ochrany údajů, které neposkytují nižší ochranu než povinnosti v této DPA, a nadále odpovídá za jejich plnění. Současnými dílčími zpracovateli jsou:

Anthropic Ireland, Limited (Irsko) – rozpoznávání textu a polí v nahraných skenech pomocí AI a analýza nahraných šablon. Dostává pouze obsah souborů – žádné názvy souborů ani identifikátory účtů. Anthropic ukládá údaje ve Spojených státech, může je zpracovávat v dalších zemích, kde působí, uchovává vstupy a výstupy až 30 dní a nepoužívá je k trénování modelů.
Hetzner Online GmbH (Německo) – hosting serverů v datovém centru ve Falkensteinu, Německo: aplikace, fronty úloh a vykreslování PDF.
Supabase, Inc. (Spojené státy) – databáze, přihlašování uživatelů a soukromé úložiště souborů (šablony, skeny a vygenerované dokumenty), hostované v Irsku (EU) a šifrované při uložení.
Stripe (Stripe, Inc. a jeho přidružené společnosti, včetně Stripe Payments Europe, Limited) – účtování předplatného a jednorázové platby (pouze údaje o účtu a fakturační údaje, nikdy obsah dokumentů).
Zone Media OÜ (Zone.eu, Estonsko) – poštovní hosting, přes který DocuTract odesílá e-maily, včetně e-mailu s odkazy na zaplacený dokument (adresa příjemce, předmět a text; samotný dokument se nepřikládá).
PostHog, Inc. (produktová analytika) – analytika webu šetrná k soukromí, hostovaná v EU a aktivní pouze se souhlasem návštěvníka, se skrytím veškerého textu a zadaných údajů. Nezpracovává obsah nahraných dokumentů ani skenů.

DocuTract předem oznámí jakékoli zamýšlené přidání nebo nahrazení dílčího zpracovatele, aby Zákazník mohl vznést námitku z oprávněných důvodů týkajících se ochrany údajů.

Mezinárodní předávání

Někteří dílčí zpracovatelé zpracovávají Osobní údaje Zákazníka mimo EHP – zejména Anthropic, který ukládá údaje ve Spojených státech, a Stripe, který je usazen ve Spojených státech. Supabase hostuje naše údaje v Irsku, ale je usazen ve Spojených státech, proto se vzdálený přístup odtud považuje za předání. U každého takového předání se DocuTract opírá o standardní smluvní doložky Evropské komise začleněné do podmínek zpracování údajů dílčího zpracovatele nebo, pokud je k dispozici, o rozhodnutí o odpovídající ochraně (například EU-US Data Privacy Framework, rámec EU-USA pro ochranu osobních údajů), spolu s výše uvedenými technickými opatřeními.

Porušení zabezpečení osobních údajů

DocuTract Zákazníkovi oznámí bez zbytečného odkladu poté, co se dozví o porušení zabezpečení osobních údajů týkajícím se Osobních údajů Zákazníka, s informacemi, které Zákazník důvodně potřebuje ke splnění svých vlastních oznamovacích povinností.

Vrácení a výmaz

Při ukončení služby nebo na písemnou žádost Zákazníka zaslanou na adresu legal@docutract.online DocuTract Osobní údaje Zákazníka vymaže nebo vrátí a vymaže existující kopie do 30 dní, s výjimkou případů, kdy uložení vyžaduje zákon. Kopie uchovávané dílčími zpracovateli se mažou v rámci jejich vlastních lhůt pro uchovávání (u Anthropic až 30 dní po zpracování).

Audity

DocuTract zpřístupní informace nezbytné k doložení souladu s touto DPA a přispěje k auditům, včetně inspekcí, prováděným Zákazníkem nebo auditorem, kterého Zákazník pověří, po přiměřeném předchozím oznámení a za podmínky zachování mlčenlivosti.

Odpovědnost a přednost

Pokud mezi touto DPA a Podmínkami služby vznikne jakýkoli rozpor v otázce zpracování osobních údajů, má přednost tato DPA. Máte dotazy k této DPA? Napište na legal@docutract.online.