DocuTract
Dansk
Log ind Få tidlig adgang

Databehandleraftale (DPA)

Senest opdateret:

Dette er en oversættelse af hensyn til læseren. Hvis den afviger fra den engelske version, har den engelske version forrang. Læs på engelsk

Denne Databehandleraftale (»DPA«) er en del af Servicevilkårene mellem dig (»Kunden«, den dataansvarlige) og DocuTract (»DocuTract«, databehandleren). Den regulerer DocuTracts behandling af personoplysninger, der er indeholdt i de dokumenter, scanninger og skabeloner, du uploader (»Kundens Personoplysninger«), og afspejler kravene i artikel 28 i EU's generelle forordning om databeskyttelse (GDPR).

Parternes roller

Kunden er dataansvarlig og fastlægger formålene med og midlerne til behandlingen af Kundens Personoplysninger. DocuTract er databehandler og behandler Kundens Personoplysninger kun efter Kundens dokumenterede instrukser, herunder instrukser givet gennem normal brug af tjenesten. Hvor DocuTract er dataansvarlig for konto- og betalingsdata, gælder Privatlivspolitikken i stedet.

Genstand og varighed

Genstanden er den behandling, der er nødvendig for at levere DocuTract - udtræk af felter fra uploadede scanninger og generering af udfyldte dokumenter. Behandlingen varer i Servicevilkårenes løbetid og indtil Kundens Personoplysninger er slettet i overensstemmelse med denne DPA.

Behandlingens karakter og formål

DocuTract behandler Kundens Personoplysninger for at modtage uploadede filer, foretage automatiseret udtræk, udfylde skabeloner, generere outputdokumenter og opbevare disse dokumenter og scanninger på Kundens vegne.

Kategorier af oplysninger og registrerede

Kunden bestemmer, hvad den uploader. Kundens Personoplysninger kan omfatte identitets-, kontakt-, identifikationsdokument-, finansielle og andre oplysninger indeholdt i Kundens kildefiler. De registrerede kan omfatte Kundens klienter, medarbejdere, modparter og alle personer, der er nævnt i Kundens dokumenter.

Særlige kategorier af oplysninger

DocuTract er ikke beregnet til særlige kategorier af personoplysninger (artikel 9 i GDPR, såsom helbredsoplysninger) eller til oplysninger om straffedomme og lovovertrædelser (artikel 10 i GDPR). Kunden uploader ikke sådanne oplysninger, medmindre den har et gyldigt retsgrundlag for behandlingen og forudgående skriftligt har informeret DocuTract, så parterne kan aftale eventuelle yderligere garantier.

DocuTracts forpligtelser

DocuTract vil:

  • kun behandle Kundens Personoplysninger efter Kundens dokumenterede instrukser;
  • sikre, at personer, der er autoriseret til at behandle oplysningerne, er underlagt fortrolighed;
  • gennemføre de tekniske og organisatoriske foranstaltninger, der er beskrevet nedenfor;
  • ikke bruge Kundens Personoplysninger til at træne maskinlæringsmodeller eller til noget andet formål end at levere tjenesten;
  • bistå Kunden, under hensyntagen til behandlingens karakter, med anmodninger fra registrerede og med Kundens forpligtelser vedrørende sikkerhed, anmeldelse af brud og konsekvensanalyser.

Sikkerhedsforanstaltninger

DocuTract opretholder passende tekniske og organisatoriske foranstaltninger, herunder kryptering under overførsel (TLS) og i hvile (databasen og fillageret krypteres af deres udbydere), adgangskontrol efter princippet om mindste privilegium og med godkendelse, totrinsgodkendelse for brugere (som ejeren af et arbejdsområde kan gøre obligatorisk) og obligatorisk totrinsgodkendelse for DocuTracts administratorer, privat fillager, som aldrig er offentligt tilgængeligt og kun eksponeres via kortlivede signerede URL'er afgrænset til et arbejdsområde, logisk adskillelse af hvert arbejdsområdes data, en adgangslog, hvor der kun kan tilføjes poster, over ændringer i og læsninger af Kundens Personoplysninger og over enhver adgang fra administratorer, PDF-gengivelse på DocuTracts egne servere samt regelmæssig gennemgang af disse foranstaltninger.

Underdatabehandlere

Kunden giver DocuTract tilladelse til at benytte underdatabehandlere til at levere tjenesten. DocuTract pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end forpligtelserne i denne DPA, og forbliver ansvarlig for deres opfyldelse. De nuværende underdatabehandlere er:

  • Anthropic Ireland, Limited (Irland) - AI-genkendelse af tekst og felter i uploadede scanninger og analyse af uploadede skabeloner. Den modtager kun filernes indhold - ingen filnavne eller kontoidentifikatorer. Anthropic opbevarer data i USA, kan behandle dem i andre lande, hvor den opererer, opbevarer input og output i op til 30 dage og bruger dem ikke til at træne modeller.
  • Hetzner Online GmbH (Tyskland) - serverhosting i et datacenter i Falkenstein, Tyskland: applikationen, jobkøer og PDF-gengivelse.
  • Supabase, Inc. (USA) - database, brugerlogin og privat fillager (skabeloner, scanninger og genererede dokumenter), hostet i Irland (EU) og krypteret i hvile.
  • Stripe (Stripe, Inc. og dets tilknyttede selskaber, herunder Stripe Payments Europe, Limited) - abonnementsafregning og engangsbetalinger (kun konto- og betalingsdata, aldrig dokumentindhold).
  • Zone Media OÜ (Zone.eu, Estland) - den mailhosting, som DocuTract sender e-mail igennem, herunder e-mailen med linkene til et betalt dokument (modtagerens adresse, emne og brødtekst; selve dokumentet vedhæftes ikke).
  • PostHog, Inc. (produktanalyse) - privatlivsvenlig analyse af webstedet, hostet i EU og kun aktiv med den besøgendes samtykke, med al tekst og alle indtastninger maskeret. Den behandler ikke indholdet af uploadede dokumenter eller scanninger.

DocuTract giver forudgående meddelelse om enhver påtænkt tilføjelse eller udskiftning af en underdatabehandler, så Kunden kan gøre indsigelse af rimelige databeskyttelsesmæssige grunde.

Internationale overførsler

Nogle underdatabehandlere behandler Kundens Personoplysninger uden for EØS - navnlig Anthropic, som opbevarer data i USA, og Stripe, som er etableret i USA. Supabase hoster vores data i Irland, men er etableret i USA, så fjernadgang derfra behandles som en overførsel. For hver sådan overførsel baserer DocuTract sig på Europa-Kommissionens standardkontraktbestemmelser, som er indarbejdet i underdatabehandlerens databehandlingsvilkår, eller, hvor det er muligt, en tilstrækkelighedsafgørelse (såsom EU-US Data Privacy Framework) sammen med de tekniske foranstaltninger, der er beskrevet ovenfor.

Brud på persondatasikkerheden

DocuTract underretter Kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden, der berører Kundens Personoplysninger, med de oplysninger, som Kunden med rimelighed har brug for til at opfylde sine egne anmeldelsesforpligtelser.

Tilbagelevering og sletning

Ved tjenestens ophør eller på Kundens skriftlige anmodning til legal@docutract.online sletter eller tilbageleverer DocuTract Kundens Personoplysninger og sletter eksisterende kopier inden for 30 dage, medmindre opbevaring er påkrævet ved lov. Kopier, som underdatabehandlere opbevarer, slettes inden for deres egne opbevaringsperioder (for Anthropic op til 30 dage efter behandlingen).

Revision

DocuTract stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne DPA, og bidrager til revisioner, herunder inspektioner, foretaget af Kunden eller en revisor, som Kunden har bemyndiget, med rimeligt varsel og under forudsætning af fortrolighed.

Ansvar og forrang

Hvis der opstår en konflikt mellem denne DPA og Servicevilkårene vedrørende behandling af personoplysninger, har denne DPA forrang. Spørgsmål om denne DPA? Skriv til legal@docutract.online.