Acuerdo de tratamiento de datos (DPA)

El presente Acuerdo de tratamiento de datos («DPA») forma parte de las Condiciones del servicio entre usted («Cliente», el responsable del tratamiento) y DocuTract («DocuTract», el encargado del tratamiento). Regula el tratamiento por parte de DocuTract de los datos personales contenidos en los documentos, escaneos y plantillas que usted sube («Datos Personales del Cliente») y refleja los requisitos del artículo 28 del Reglamento General de Protección de Datos de la UE (RGPD).

Funciones de las partes

El Cliente es el responsable del tratamiento y determina los fines y medios del tratamiento de los Datos Personales del Cliente. DocuTract es el encargado del tratamiento y trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluidas las que se dan mediante el uso normal del servicio. Cuando DocuTract actúa como responsable del tratamiento respecto a los datos de cuenta y de facturación, se aplica en su lugar la Política de privacidad.

Objeto y duración

El objeto es el tratamiento necesario para prestar DocuTract: extraer campos de los escaneos subidos y generar documentos rellenados. El tratamiento se mantiene durante la vigencia de las Condiciones del servicio y hasta que los Datos Personales del Cliente se eliminen de conformidad con este DPA.

Naturaleza y finalidad del tratamiento

DocuTract trata los Datos Personales del Cliente para recibir los archivos subidos, realizar la extracción automatizada, completar plantillas, generar los documentos resultantes y almacenar esos documentos y escaneos por cuenta del Cliente.

Categorías de datos y de interesados

El Cliente controla lo que sube. Los Datos Personales del Cliente pueden incluir datos de identidad, de contacto, de documentos de identificación, financieros y otros datos contenidos en los archivos de origen del Cliente. Los interesados pueden incluir a los clientes, empleados y contrapartes del Cliente y a cualquier persona física mencionada en los documentos del Cliente.

Categorías especiales de datos

DocuTract no está diseñado para categorías especiales de datos personales (artículo 9 del RGPD, como los datos relativos a la salud) ni para datos relativos a condenas e infracciones penales (artículo 10 del RGPD). El Cliente no subirá dichos datos salvo que disponga de una base jurídica válida para ese tratamiento y haya informado previamente a DocuTract por escrito, de modo que las partes puedan acordar las garantías adicionales que procedan.

Obligaciones de DocuTract

DocuTract:

tratará los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente;
garantizará que las personas autorizadas para tratar los datos estén sujetas a una obligación de confidencialidad;
aplicará las medidas técnicas y organizativas que se describen a continuación;
no utilizará los Datos Personales del Cliente para entrenar modelos de aprendizaje automático ni para ningún otro fin distinto de la prestación del servicio;
asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, en la atención de las solicitudes de los interesados y en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones y evaluación de impacto.

Medidas de seguridad

DocuTract mantiene medidas técnicas y organizativas apropiadas, entre ellas: cifrado en tránsito (TLS) y en reposo (la base de datos y el almacenamiento de archivos están cifrados por sus proveedores); controles de acceso basados en el principio de mínimo privilegio y con autenticación; autenticación en dos pasos para los usuarios (que el propietario de un espacio de trabajo puede hacer obligatoria) y autenticación en dos pasos obligatoria para los administradores de DocuTract; almacenamiento privado de archivos que nunca es accesible públicamente y que solo se expone mediante URL firmadas de corta duración limitadas a un espacio de trabajo; separación lógica de los datos de cada espacio de trabajo; un registro de accesos de solo anexión de las modificaciones y lecturas de los Datos Personales del Cliente y de cada acceso de los administradores; generación de PDF en los propios servidores de DocuTract; y revisión periódica de estas medidas.

Subencargados

El Cliente autoriza a DocuTract a recurrir a subencargados para prestar el servicio. DocuTract impone a cada subencargado obligaciones de protección de datos que no ofrecen menos protección que las de este DPA, y sigue siendo responsable de su cumplimiento. Los subencargados actuales son:

Anthropic Ireland, Limited (Irlanda): reconocimiento mediante IA del texto y los campos de los escaneos subidos y análisis de las plantillas subidas. Solo recibe el contenido de los archivos, sin nombres de archivo ni identificadores de cuenta. Anthropic almacena los datos en Estados Unidos, puede tratarlos en otros países en los que opera, conserva las entradas y salidas durante un máximo de 30 días y no las utiliza para entrenar modelos.
Hetzner Online GmbH (Alemania): alojamiento de servidores en un centro de datos en Falkenstein, Alemania: la aplicación, las colas de tareas y la generación de PDF.
Supabase, Inc. (Estados Unidos): base de datos, inicio de sesión de usuarios y almacenamiento privado de archivos (plantillas, escaneos y documentos generados), alojados en Irlanda (UE) y cifrados en reposo.
Stripe (Stripe, Inc. y sus filiales, incluida Stripe Payments Europe, Limited): facturación de suscripciones y pagos únicos (solo datos de cuenta y de facturación, nunca el contenido de los documentos).
Zone Media OÜ (Zone.eu, Estonia): el alojamiento de correo a través del cual DocuTract envía correos electrónicos, incluido el correo con los enlaces a un documento pagado (la dirección del destinatario, el asunto y el cuerpo; el documento en sí no se adjunta).
PostHog, Inc. (analítica de producto): analítica del sitio web respetuosa con la privacidad, alojada en la UE y activa solo con el consentimiento del visitante, con todo el texto y los datos introducidos ocultos. No trata el contenido de los documentos ni de los escaneos subidos.

DocuTract notificará con antelación cualquier incorporación o sustitución prevista de un subencargado para que el Cliente pueda oponerse por motivos razonables de protección de datos.

Transferencias internacionales

Algunos subencargados tratan Datos Personales del Cliente fuera del EEE, en particular Anthropic, que almacena datos en Estados Unidos, y Stripe, que está establecida en Estados Unidos. Supabase aloja nuestros datos en Irlanda, pero está establecida en Estados Unidos, por lo que el acceso remoto desde allí se trata como una transferencia. Para cada una de estas transferencias, DocuTract se basa en las Cláusulas Contractuales Tipo de la Comisión Europea incorporadas a las condiciones de tratamiento de datos del subencargado o, cuando exista, en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.), junto con las medidas técnicas descritas anteriormente.

Violación de la seguridad de los datos personales

DocuTract notificará al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente, junto con la información que el Cliente necesite razonablemente para cumplir sus propias obligaciones de notificación.

Devolución y eliminación

A la terminación del servicio, o previa solicitud por escrito del Cliente dirigida a legal@docutract.online, DocuTract eliminará o devolverá los Datos Personales del Cliente y eliminará las copias existentes en un plazo de 30 días, salvo que la ley exija su conservación. Las copias en poder de los subencargados se eliminan dentro de sus propios plazos de conservación (en el caso de Anthropic, hasta 30 días después del tratamiento).

Auditorías

DocuTract pone a disposición la información necesaria para demostrar el cumplimiento de este DPA y contribuirá a las auditorías, incluidas las inspecciones, que realice el Cliente o un auditor designado por él, con un preaviso razonable y con sujeción a obligaciones de confidencialidad.

Responsabilidad y prelación

En caso de conflicto entre este DPA y las Condiciones del servicio en materia de tratamiento de datos personales, prevalecerá este DPA. ¿Tiene preguntas sobre este DPA? Escriba a legal@docutract.online.