Σύμβαση επεξεργασίας δεδομένων (DPA)

Η παρούσα Σύμβαση Επεξεργασίας Δεδομένων («ΣΕΔ») αποτελεί μέρος των Όρων Παροχής Υπηρεσιών μεταξύ εσάς («Πελάτης», ο υπεύθυνος επεξεργασίας) και της DocuTract («DocuTract», ο εκτελών την επεξεργασία). Διέπει την επεξεργασία από την DocuTract των δεδομένων προσωπικού χαρακτήρα που περιέχονται στα έγγραφα, τις σαρώσεις και τα πρότυπα που ανεβάζετε («Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη») και αντανακλά τις απαιτήσεις του άρθρου 28 του Γενικού Κανονισμού για την Προστασία Δεδομένων της ΕΕ (ΓΚΠΔ / GDPR).

Ρόλοι των μερών

Ο Πελάτης είναι ο υπεύθυνος επεξεργασίας και καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη. Η DocuTract είναι ο εκτελών την επεξεργασία και επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει καταγεγραμμένων εντολών του Πελάτη, συμπεριλαμβανομένων εκείνων που δίνονται μέσω της συνήθους χρήσης της υπηρεσίας. Όπου η DocuTract ενεργεί ως υπεύθυνος επεξεργασίας για δεδομένα λογαριασμού και χρέωσης, εφαρμόζεται αντ' αυτής η Πολιτική Απορρήτου.

Αντικείμενο και διάρκεια

Αντικείμενο είναι η επεξεργασία που είναι αναγκαία για την παροχή της DocuTract - η εξαγωγή πεδίων από τις σαρώσεις που ανεβάζονται και η δημιουργία συμπληρωμένων εγγράφων. Η επεξεργασία διαρκεί για όσο ισχύουν οι Όροι Παροχής Υπηρεσιών και έως ότου τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη διαγραφούν σύμφωνα με την παρούσα ΣΕΔ.

Φύση και σκοπός της επεξεργασίας

Η DocuTract επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη προκειμένου να παραλαμβάνει τα αρχεία που ανεβάζονται, να εκτελεί αυτοματοποιημένη εξαγωγή δεδομένων, να συμπληρώνει πρότυπα, να δημιουργεί έγγραφα εξόδου και να αποθηκεύει τα έγγραφα και τις σαρώσεις αυτές για λογαριασμό του Πελάτη.

Κατηγορίες δεδομένων και υποκειμένων των δεδομένων

Ο Πελάτης ελέγχει τι ανεβάζει. Τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη ενδέχεται να περιλαμβάνουν στοιχεία ταυτότητας, στοιχεία επικοινωνίας, στοιχεία εγγράφων ταυτοποίησης, οικονομικά και άλλα στοιχεία που περιέχονται στα αρχεία πηγής του Πελάτη. Στα υποκείμενα των δεδομένων ενδέχεται να περιλαμβάνονται οι πελάτες, οι εργαζόμενοι, οι αντισυμβαλλόμενοι του Πελάτη και κάθε φυσικό πρόσωπο που κατονομάζεται στα έγγραφα του Πελάτη.

Ειδικές κατηγορίες δεδομένων

Η DocuTract δεν έχει σχεδιαστεί για ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα (άρθρο 9 ΓΚΠΔ, όπως δεδομένα που αφορούν την υγεία) ούτε για δεδομένα που αφορούν ποινικές καταδίκες και αδικήματα (άρθρο 10 ΓΚΠΔ). Ο Πελάτης δεν θα ανεβάζει τέτοια δεδομένα, εκτός εάν διαθέτει έγκυρη νομική βάση για την εν λόγω επεξεργασία και έχει ενημερώσει εγγράφως εκ των προτέρων την DocuTract, ώστε τα μέρη να μπορούν να συμφωνήσουν τυχόν πρόσθετες εγγυήσεις.

Υποχρεώσεις της DocuTract

Η DocuTract:

• επεξεργάζεται τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη μόνο βάσει καταγεγραμμένων εντολών του Πελάτη·
• διασφαλίζει ότι τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται τα δεδομένα δεσμεύονται από υποχρέωση εμπιστευτικότητας·
• εφαρμόζει τα τεχνικά και οργανωτικά μέτρα που περιγράφονται κατωτέρω·
• δεν χρησιμοποιεί τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη για την εκπαίδευση μοντέλων μηχανικής μάθησης ή για οποιονδήποτε σκοπό πέραν της παροχής της υπηρεσίας·
• συνδράμει τον Πελάτη, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, όσον αφορά τα αιτήματα των υποκειμένων των δεδομένων και τις υποχρεώσεις του σχετικά με την ασφάλεια, τη γνωστοποίηση παραβιάσεων και την εκτίμηση αντικτύπου.

Μέτρα ασφαλείας

Η DocuTract διατηρεί κατάλληλα τεχνικά και οργανωτικά μέτρα, συμπεριλαμβανομένων της κρυπτογράφησης κατά τη διαβίβαση (TLS) και κατά την αποθήκευση (η βάση δεδομένων και ο χώρος αποθήκευσης αρχείων κρυπτογραφούνται από τους παρόχους τους), ελέγχων πρόσβασης με βάση την αρχή των ελάχιστων προνομίων και με ταυτοποίηση, ελέγχου ταυτότητας δύο παραγόντων για τους χρήστες (τον οποίο ο κάτοχος ενός χώρου εργασίας μπορεί να καταστήσει υποχρεωτικό) και υποχρεωτικού ελέγχου ταυτότητας δύο παραγόντων για τους διαχειριστές της DocuTract, ιδιωτικού χώρου αποθήκευσης αρχείων που δεν είναι ποτέ δημόσια προσβάσιμος και εκτίθεται μόνο μέσω βραχύβιων υπογεγραμμένων διευθύνσεων URL που περιορίζονται σε έναν χώρο εργασίας, λογικού διαχωρισμού των δεδομένων κάθε χώρου εργασίας, αρχείου καταγραφής πρόσβασης στο οποίο επιτρέπεται μόνο η προσθήκη εγγραφών, για τις αλλαγές και τις αναγνώσεις των Δεδομένων Προσωπικού Χαρακτήρα του Πελάτη και για κάθε πρόσβαση διαχειριστή, απόδοσης (rendering) αρχείων PDF στους διακομιστές της ίδιας της DocuTract, καθώς και τακτικής επανεξέτασης των μέτρων αυτών.

Υποεκτελούντες την επεξεργασία

Ο Πελάτης εξουσιοδοτεί την DocuTract να προσλαμβάνει υποεκτελούντες την επεξεργασία για την παροχή της υπηρεσίας. Η DocuTract επιβάλλει σε κάθε υποεκτελούντα την επεξεργασία υποχρεώσεις προστασίας δεδομένων που δεν παρέχουν μικρότερη προστασία από εκείνες της παρούσας ΣΕΔ και παραμένει υπεύθυνη για την εκπλήρωσή τους. Οι τρέχοντες υποεκτελούντες την επεξεργασία είναι:

• Anthropic Ireland, Limited (Ιρλανδία) - αναγνώριση κειμένου και πεδίων με τεχνητή νοημοσύνη στις σαρώσεις που ανεβάζονται και ανάλυση των προτύπων που ανεβάζονται. Λαμβάνει μόνο το περιεχόμενο των αρχείων - όχι ονόματα αρχείων ή αναγνωριστικά λογαριασμών. Η Anthropic αποθηκεύει δεδομένα στις Ηνωμένες Πολιτείες, ενδέχεται να τα επεξεργάζεται σε άλλες χώρες όπου δραστηριοποιείται, διατηρεί τα δεδομένα εισόδου και εξόδου για έως 30 ημέρες και δεν τα χρησιμοποιεί για την εκπαίδευση μοντέλων.
• Hetzner Online GmbH (Γερμανία) - φιλοξενία διακομιστών σε κέντρο δεδομένων στο Falkenstein, Γερμανία: η εφαρμογή, οι ουρές εργασιών και η απόδοση αρχείων PDF.
• Supabase, Inc. (Ηνωμένες Πολιτείες) - βάση δεδομένων, σύνδεση χρηστών και ιδιωτικός χώρος αποθήκευσης αρχείων (πρότυπα, σαρώσεις και δημιουργημένα έγγραφα), με φιλοξενία στην Ιρλανδία (ΕΕ) και κρυπτογράφηση κατά την αποθήκευση.
• Stripe (Stripe, Inc. και οι συνδεδεμένες με αυτήν εταιρείες, συμπεριλαμβανομένης της Stripe Payments Europe, Limited) - χρέωση συνδρομών και εφάπαξ πληρωμές (μόνο δεδομένα λογαριασμού και χρέωσης, ποτέ περιεχόμενο εγγράφων).
• Zone Media OÜ (Zone.eu, Εσθονία) - η υπηρεσία φιλοξενίας ηλεκτρονικού ταχυδρομείου μέσω της οποίας η DocuTract αποστέλλει μηνύματα ηλεκτρονικού ταχυδρομείου, συμπεριλαμβανομένου του μηνύματος με τους συνδέσμους προς ένα εξοφλημένο έγγραφο (η διεύθυνση του παραλήπτη, το θέμα και το κυρίως κείμενο· το ίδιο το έγγραφο δεν επισυνάπτεται).
• PostHog, Inc. (ανάλυση χρήσης προϊόντος) - φιλική προς την ιδιωτικότητα ανάλυση επισκεψιμότητας ιστοτόπου, με φιλοξενία στην ΕΕ και ενεργή μόνο με τη συγκατάθεση του επισκέπτη, με απόκρυψη όλου του κειμένου και όλων των καταχωρίσεων. Δεν επεξεργάζεται το περιεχόμενο των εγγράφων ή των σαρώσεων που ανεβάζονται.

Η DocuTract θα ειδοποιεί εκ των προτέρων για κάθε σκοπούμενη προσθήκη ή αντικατάσταση υποεκτελούντος την επεξεργασία, ώστε ο Πελάτης να μπορεί να προβάλει αντιρρήσεις για εύλογους λόγους προστασίας δεδομένων.

Διεθνείς διαβιβάσεις

Ορισμένοι υποεκτελούντες την επεξεργασία επεξεργάζονται Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη εκτός του ΕΟΧ - ιδίως η Anthropic, η οποία αποθηκεύει δεδομένα στις Ηνωμένες Πολιτείες, και η Stripe, η οποία είναι εγκατεστημένη στις Ηνωμένες Πολιτείες. Η Supabase φιλοξενεί τα δεδομένα μας στην Ιρλανδία, αλλά είναι εγκατεστημένη στις Ηνωμένες Πολιτείες, και επομένως η απομακρυσμένη πρόσβαση από εκεί αντιμετωπίζεται ως διαβίβαση. Για κάθε τέτοια διαβίβαση η DocuTract βασίζεται στις Τυποποιημένες Συμβατικές Ρήτρες της Ευρωπαϊκής Επιτροπής που ενσωματώνονται στους όρους επεξεργασίας δεδομένων του υποεκτελούντος την επεξεργασία ή, όπου υπάρχει, σε απόφαση επάρκειας (όπως το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ / EU-US Data Privacy Framework), σε συνδυασμό με τα τεχνικά μέτρα που ορίζονται ανωτέρω.

Παραβίαση δεδομένων προσωπικού χαρακτήρα

Η DocuTract θα ενημερώνει τον Πελάτη χωρίς αδικαιολόγητη καθυστέρηση αφού λάβει γνώση παραβίασης δεδομένων προσωπικού χαρακτήρα που αφορά Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη, παρέχοντας τις πληροφορίες που ο Πελάτης ευλόγως χρειάζεται για να εκπληρώσει τις δικές του υποχρεώσεις γνωστοποίησης.

Επιστροφή και διαγραφή

Κατά τον τερματισμό της υπηρεσίας ή κατόπιν γραπτού αιτήματος του Πελάτη στη διεύθυνση legal@docutract.online, η DocuTract θα διαγράψει ή θα επιστρέψει τα Δεδομένα Προσωπικού Χαρακτήρα του Πελάτη και θα διαγράψει τα υφιστάμενα αντίγραφα εντός 30 ημερών, εκτός εάν η αποθήκευση απαιτείται από τον νόμο. Τα αντίγραφα που τηρούνται από υποεκτελούντες την επεξεργασία διαγράφονται εντός των δικών τους περιόδων διατήρησης (για την Anthropic, έως 30 ημέρες μετά την επεξεργασία).

Έλεγχοι

Η DocuTract θέτει στη διάθεση του Πελάτη τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με την παρούσα ΣΕΔ και συμβάλλει σε ελέγχους, συμπεριλαμβανομένων επιθεωρήσεων, που διενεργούνται από τον Πελάτη ή από ελεγκτή που αυτός εντέλλεται, κατόπιν εύλογης προειδοποίησης και υπό τον όρο τήρησης εμπιστευτικότητας.

Ευθύνη και υπεροχή

Σε περίπτωση σύγκρουσης μεταξύ της παρούσας ΣΕΔ και των Όρων Παροχής Υπηρεσιών ως προς το θέμα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, υπερισχύει η παρούσα ΣΕΔ. Έχετε ερωτήσεις σχετικά με την παρούσα ΣΕΔ; Γράψτε μας στη διεύθυνση legal@docutract.online.