Andmetöötlusleping (DPA)

Käesolev andmetöötlusleping („DPA“) on osa kasutustingimustest, mis on sõlmitud teie („Klient“, vastutav töötleja) ja DocuTracti („DocuTract“, volitatud töötleja) vahel. See reguleerib isikuandmete töötlemist DocuTracti poolt, mis sisalduvad teie üles laaditud dokumentides, skaneeringutes ja mallides („Kliendi isikuandmed“), ning kajastab ELi isikuandmete kaitse üldmääruse (GDPR) artikli 28 nõudeid.

Poolte rollid

Klient on vastutav töötleja ja määrab Kliendi isikuandmete töötlemise eesmärgid ja vahendid. DocuTract on volitatud töötleja ja töötleb Kliendi isikuandmeid üksnes Kliendi dokumenteeritud juhiste alusel, sealhulgas nende alusel, mis on antud teenuse tavapärase kasutamise kaudu. Kui DocuTract tegutseb konto- ja arveldusandmete puhul vastutava töötlejana, kohaldatakse selle asemel privaatsuspoliitikat.

Ese ja kestus

Lepingu esemeks on DocuTracti osutamiseks vajalik töötlemine - väljade väljalugemine üles laaditud skaneeringutest ja täidetud dokumentide loomine. Töötlemine kestab kasutustingimuste kehtivuse ajal ja kuni Kliendi isikuandmed on käesoleva DPA kohaselt kustutatud.

Töötlemise laad ja eesmärk

DocuTract töötleb Kliendi isikuandmeid, et võtta vastu üles laaditud faile, teha automaatset andmete väljalugemist, täita malle, luua väljunddokumente ning säilitada neid dokumente ja skaneeringuid Kliendi nimel.

Andmete ja andmesubjektide kategooriad

Klient kontrollib, mida ta üles laadib. Kliendi isikuandmed võivad sisaldada isiku-, kontakt-, isikut tõendavate dokumentide, finants- ja muid andmeid, mis sisalduvad Kliendi lähtefailides. Andmesubjektid võivad olla Kliendi kliendid, töötajad, lepingupartnerid ja kõik Kliendi dokumentides nimetatud isikud.

Isikuandmete eriliigid

DocuTract ei ole mõeldud isikuandmete eriliikide (GDPR artikkel 9, näiteks terviseandmed) ega süüdimõistvate kohtuotsuste ja süütegudega seotud andmete (GDPR artikkel 10) töötlemiseks. Klient ei lae selliseid andmeid üles, välja arvatud juhul, kui tal on selleks töötlemiseks kehtiv õiguslik alus ja ta on DocuTracti sellest eelnevalt kirjalikult teavitanud, et pooled saaksid kokku leppida täiendavates kaitsemeetmetes.

DocuTracti kohustused

DocuTract:

• töötleb Kliendi isikuandmeid üksnes Kliendi dokumenteeritud juhiste alusel;
• tagab, et andmeid töötlema volitatud isikud on seotud konfidentsiaalsuskohustusega;
• rakendab allpool kirjeldatud tehnilisi ja korralduslikke meetmeid;
• ei kasuta Kliendi isikuandmeid masinõppemudelite treenimiseks ega muul eesmärgil peale teenuse osutamise;
• abistab Klienti, võttes arvesse töötlemise laadi, andmesubjektide taotluste käsitlemisel ning tema turvalisuse, rikkumisest teavitamise ja mõjuhindamise kohustuste täitmisel.

Turvameetmed

DocuTract rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, sealhulgas krüpteerimine edastamisel (TLS) ja salvestatuna (andmebaasi ja failide salvestusruumi krüpteerivad nende pakkujad), minimaalsete õiguste põhimõttel põhinev ligipääsukontroll ja autentimine, kaheastmeline autentimine kasutajatele (mille tööruumi omanik saab muuta kohustuslikuks) ja kohustuslik kaheastmeline autentimine DocuTracti administraatoritele, privaatne failide salvestusruum, mis pole kunagi avalikult kättesaadav ja millele pääseb ligi ainult tööruumiga piiratud lühiajaliste allkirjastatud URL-ide kaudu, iga tööruumi andmete loogiline eraldamine, ainult lisamist võimaldav ligipääsulogi Kliendi isikuandmete muudatuste ja lugemiste ning iga administraatori ligipääsu kohta, PDF-i renderdamine DocuTracti enda serverites ja nende meetmete korrapärane ülevaatamine.

Alamtöötlejad

Klient volitab DocuTracti kaasama teenuse osutamiseks alamtöötlejaid. DocuTract paneb igale alamtöötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui käesolevas DPA-s sätestatud, ja vastutab jätkuvalt nende tegevuse eest. Praegused alamtöötlejad on:

• Anthropic Ireland, Limited (Iirimaa) - teksti ja väljade AI-põhine tuvastamine üles laaditud skaneeringutes ja üles laaditud mallide analüüs. See saab ainult failide sisu - mitte failinimesid ega kontotunnuseid. Anthropic salvestab andmeid Ameerika Ühendriikides, võib neid töödelda teistes riikides, kus ta tegutseb, säilitab sisendeid ja väljundeid kuni 30 päeva ning ei kasuta neid mudelite treenimiseks.
• Hetzner Online GmbH (Saksamaa) - serverite majutus andmekeskuses Falkensteinis, Saksamaal: rakendus, tööjärjekorrad ja PDF-i renderdamine.
• Supabase, Inc. (Ameerika Ühendriigid) - andmebaas, kasutajate sisselogimine ja privaatne failide salvestusruum (mallid, skaneeringud ja loodud dokumendid), majutatud Iirimaal (EL) ja salvestatuna krüpteeritud.
• Stripe (Stripe, Inc. ja selle sidusettevõtjad, sealhulgas Stripe Payments Europe, Limited) - tellimuste arveldamine ja ühekordsed maksed (ainult konto- ja arveldusandmed, mitte kunagi dokumentide sisu).
• Zone Media OÜ (Zone.eu, Eesti) - e-posti majutus, mille kaudu DocuTract e-kirju saadab, sealhulgas e-kirja tasutud dokumendi linkidega (saaja aadress, teema ja sisu; dokumenti ennast ei lisata).
• PostHog, Inc. (tooteanalüütika) - privaatsust austav veebisaidi analüütika, majutatud EL-is ja aktiivne ainult külastaja nõusolekul, kusjuures kogu tekst ja sisestused on varjatud. See ei töötle üles laaditud dokumentide ega skaneeringute sisu.

DocuTract teatab eelnevalt igast kavandatavast alamtöötleja lisamisest või asendamisest, et Klient saaks mõistlikel andmekaitselistel põhjustel vastuväiteid esitada.

Rahvusvahelised edastused

Mõned alamtöötlejad töötlevad Kliendi isikuandmeid väljaspool EMP-d - eelkõige Anthropic, mis salvestab andmeid Ameerika Ühendriikides, ja Stripe, mis on asutatud Ameerika Ühendriikides. Supabase majutab meie andmeid Iirimaal, kuid on asutatud Ameerika Ühendriikides, mistõttu sealt toimuvat kaugligipääsu käsitletakse edastusena. Iga sellise edastuse puhul tugineb DocuTract Euroopa Komisjoni lepingu tüüptingimustele, mis on lisatud alamtöötleja andmetöötlustingimustesse, või, kui see on olemas, kaitse piisavuse otsusele (näiteks ELi-USA andmekaitseraamistik), koos eespool kirjeldatud tehniliste meetmetega.

Isikuandmetega seotud rikkumine

DocuTract teavitab Klienti põhjendamatu viivituseta pärast seda, kui ta on saanud teada Kliendi isikuandmeid mõjutavast isikuandmetega seotud rikkumisest, esitades teabe, mida Klient mõistlikult vajab oma teavitamiskohustuste täitmiseks.

Tagastamine ja kustutamine

Teenuse lõpetamisel või Kliendi kirjaliku taotluse alusel aadressile legal@docutract.online kustutab või tagastab DocuTract Kliendi isikuandmed ja kustutab olemasolevad koopiad 30 päeva jooksul, välja arvatud juhul, kui säilitamist nõuab seadus. Alamtöötlejate käes olevad koopiad kustutatakse nende enda säilitustähtaegade jooksul (Anthropicu puhul kuni 30 päeva pärast töötlemist).

Auditid

DocuTract teeb kättesaadavaks teabe, mis on vajalik käesoleva DPA järgimise tõendamiseks, ja aitab kaasa auditite, sealhulgas kontrollide läbiviimisele, mida teeb Klient või tema volitatud audiitor, mõistliku etteteatamisega ja konfidentsiaalsust järgides.

Vastutus ja ülimuslikkus

Kui käesoleva DPA ja kasutustingimuste vahel tekib isikuandmete töötlemise küsimuses vastuolu, on ülimuslik käesolev DPA. Küsimusi selle DPA kohta? Kirjutage aadressil legal@docutract.online.