Угода про обробку даних (DPA)

Ця Угода про обробку даних («DPA») є частиною Умов використання між вами («Замовник», контролер) і DocuTract («DocuTract», процесор). Вона регулює обробку DocuTract персональних даних, що містяться в документах, сканах і шаблонах, які ви завантажуєте («Персональні дані Замовника»), і відображає вимоги статті 28 Загального регламенту ЄС про захист даних (GDPR).

Ролі сторін

Замовник є контролером і визначає цілі та засоби обробки Персональних даних Замовника. DocuTract є процесором і обробляє Персональні дані Замовника лише за задокументованими вказівками Замовника, зокрема тими, що надаються через звичайне користування сервісом. Там, де DocuTract діє як контролер щодо даних облікового запису й білінгу, натомість застосовується Політика конфіденційності.

Предмет і тривалість

Предметом є обробка, необхідна для надання DocuTract — вилучення полів із завантажених сканів і генерація заповнених документів. Обробка триває протягом строку дії Умов використання та доти, доки Персональні дані Замовника не буде видалено згідно з цією DPA.

Характер і мета обробки

DocuTract обробляє Персональні дані Замовника, щоб приймати завантажені файли, виконувати автоматичне вилучення, заповнювати шаблони, генерувати вихідні документи та зберігати ці документи й скани від імені Замовника.

Категорії даних і суб'єктів даних

Замовник контролює те, що завантажує. Персональні дані Замовника можуть включати дані про особу, контактні, документально-ідентифікаційні, фінансові та інші відомості, що містяться у вихідних файлах Замовника. Суб'єктами даних можуть бути клієнти, працівники, контрагенти Замовника та будь-які особи, названі в документах Замовника.

Обов'язки DocuTract

DocuTract зобов'язується:

обробляти Персональні дані Замовника лише за задокументованими вказівками Замовника;
забезпечити, щоб особи, уповноважені обробляти дані, були зв'язані конфіденційністю;
впроваджувати технічні й організаційні заходи, описані нижче;
не використовувати Персональні дані Замовника для навчання моделей машинного навчання чи для будь-якої іншої мети, окрім надання сервісу;
допомагати Замовнику, з огляду на характер обробки, із запитами суб'єктів даних та з його обов'язками щодо безпеки, повідомлення про порушення й оцінювання впливу.

Заходи безпеки

DocuTract підтримує належні технічні й організаційні заходи, зокрема шифрування під час передачі (TLS) та зберігання, контроль доступу за принципом найменших привілеїв із автентифікацією, приватне сховище файлів, доступне лише за короткочасними підписаними посиланнями в межах робочого простору, мережеву ізоляцію між робочими просторами, журналювання й моніторинг, а також регулярний перегляд цих заходів.

Субпроцесори

Замовник уповноважує DocuTract залучати субпроцесорів для надання сервісу. DocuTract покладає на кожного субпроцесора зобов'язання щодо захисту даних, не менш суворі, ніж у цій DPA, і залишається відповідальним за їхню роботу. Поточні субпроцесори:

Хмарний хостинг — хостинг застосунку й бази даних у вибраному Замовником регіоні ЄС чи США.
Провайдер вилучення з документів — автоматичні OCR і вилучення полів із завантажених сканів.
Автентифікація та зберігання файлів — вхід і приватне зберігання сканів та результатів.
Платіжний провайдер — білінг підписок і виставлення рахунків (лише дані облікового запису/білінгу).
Сервіс рендерингу документів — перетворення згенерованих документів на PDF.

DocuTract завчасно повідомлятиме про будь-яке заплановане додавання чи заміну субпроцесора, щоб Замовник міг заперечити на обґрунтованих підставах захисту даних.

Міжнародні передачі

Коли Персональні дані Замовника передаються за межі ЄЕП, DocuTract спирається на належні гарантії, як-от Стандартні договірні положення Європейської Комісії, разом із викладеними вище технічними заходами.

Порушення захисту персональних даних

DocuTract повідомлятиме Замовника без невиправданої затримки після того, як дізнається про порушення захисту персональних даних, що стосується Персональних даних Замовника, надаючи інформацію, обґрунтовано потрібну Замовнику для виконання його власних обов'язків щодо повідомлення.

Повернення та видалення

Після припинення сервісу або на запит Замовника DocuTract видалить чи поверне Персональні дані Замовника й видалить наявні копії протягом 30 днів, окрім випадків, коли зберігання вимагається законом.

Аудити

DocuTract надає інформацію, необхідну для підтвердження дотримання цієї DPA, і сприятиме аудитам, зокрема перевіркам, які проводить Замовник або вповноважений ним аудитор, із розумним повідомленням і за умови конфіденційності.

Відповідальність і пріоритет

Якщо виникає суперечність між цією DPA та Умовами використання щодо предмета обробки персональних даних, переважну силу має ця DPA. Маєте запитання щодо цієї DPA? Напишіть на legal@docutract.online.