Соглашение об обработке данных (DPA)

Настоящее Соглашение об обработке данных («DPA») является частью Условий использования между вами («Заказчик», контролер) и DocuTract («DocuTract», процессор). Оно регулирует обработку DocuTract персональных данных, содержащихся в документах, сканах и шаблонах, которые вы загружаете («Персональные данные Заказчика»), и отражает требования статьи 28 Общего регламента ЕС о защите данных (GDPR).

Роли сторон

Заказчик является контролером и определяет цели и средства обработки Персональных данных Заказчика. DocuTract является процессором и обрабатывает Персональные данные Заказчика исключительно по задокументированным инструкциям Заказчика, в том числе тем, которые передаются посредством обычного использования сервиса. Там, где DocuTract действует как контролер в отношении данных учётной записи и биллинга, вместо настоящего DPA применяется Политика конфиденциальности.

Предмет и срок

Предметом является обработка, необходимая для предоставления DocuTract - извлечение полей из загруженных сканов и генерация заполненных документов. Обработка длится в течение срока действия Условий использования и до тех пор, пока Персональные данные Заказчика не будут удалены в соответствии с настоящим DPA.

Характер и цель обработки

DocuTract обрабатывает Персональные данные Заказчика для принятия загруженных файлов, выполнения автоматического извлечения, заполнения шаблонов, генерации выходных документов и хранения этих документов и сканов от имени Заказчика.

Категории данных и субъектов данных

Заказчик контролирует то, что загружает. Персональные данные Заказчика могут включать сведения о личности, контактные, документально-идентификационные, финансовые и иные данные, содержащиеся в исходных файлах Заказчика. Субъектами данных могут быть клиенты, работники, контрагенты Заказчика и любые лица, упомянутые в документах Заказчика.

Обязательства DocuTract

DocuTract обязуется:

• обрабатывать Персональные данные Заказчика исключительно по задокументированным инструкциям Заказчика;
• обеспечить, чтобы лица, уполномоченные обрабатывать данные, были связаны обязательствами конфиденциальности;
• внедрять технические и организационные меры, описанные ниже;
• не использовать Персональные данные Заказчика для обучения моделей машинного обучения или в любых иных целях, помимо предоставления сервиса;
• оказывать Заказчику, с учётом характера обработки, содействие в исполнении запросов субъектов данных и его обязательств в области безопасности, уведомления о нарушениях и оценки воздействия.

Меры безопасности

DocuTract поддерживает надлежащие технические и организационные меры, включая шифрование при передаче (TLS) и хранении, контроль доступа по принципу наименьших привилегий с аутентификацией, закрытое хранилище файлов, доступное только по кратковременным подписанным ссылкам в рамках рабочего пространства, сетевую изоляцию между рабочими пространствами, журналирование и мониторинг, а также регулярный пересмотр указанных мер.

Субпроцессоры

Заказчик уполномочивает DocuTract привлекать субпроцессоров для предоставления сервиса. DocuTract возлагает на каждого субпроцессора обязательства по защите данных не менее строгие, чем предусмотренные настоящим DPA, и сохраняет ответственность за их исполнение. Текущие субпроцессоры:

• Облачный хостинг - хостинг приложения и базы данных в выбранном Заказчиком регионе ЕС или США.
• Провайдер извлечения из документов - автоматические OCR и извлечение полей из загруженных сканов.
• Аутентификация и хранение файлов - вход и закрытое хранение сканов и результатов.
• Платёжный провайдер - биллинг подписок и выставление счетов (только данные учётной записи/биллинга).
• Сервис рендеринга документов - преобразование сгенерированных документов в PDF.

DocuTract заблаговременно уведомит о любом планируемом добавлении или замене субпроцессора, чтобы Заказчик мог возразить на обоснованных основаниях защиты данных.

Международные передачи

Когда Персональные данные Заказчика передаются за пределы ЕЭП, DocuTract опирается на надлежащие гарантии, такие как Стандартные договорные положения Европейской Комиссии, в сочетании с техническими мерами, изложенными выше.

Нарушение защиты персональных данных

DocuTract уведомит Заказчика без неоправданной задержки после того, как узнает о нарушении защиты персональных данных, затрагивающем Персональные данные Заказчика, предоставив информацию, обоснованно необходимую Заказчику для исполнения его собственных обязательств по уведомлению.

Возврат и удаление

После прекращения сервиса или по запросу Заказчика DocuTract удалит или вернёт Персональные данные Заказчика и удалит имеющиеся копии в течение 30 дней, за исключением случаев, когда хранение требуется законодательством.

Аудиты

DocuTract предоставляет информацию, необходимую для подтверждения соблюдения настоящего DPA, и содействует аудитам, включая проверки, проводимые Заказчиком или уполномоченным им аудитором, с разумным предварительным уведомлением и при условии соблюдения конфиденциальности.

Ответственность и приоритет

В случае возникновения противоречия между настоящим DPA и Условиями использования по предмету обработки персональных данных преимущественную силу имеет настоящее DPA. Есть вопросы по настоящему DPA? Напишите на legal@docutract.online.