Tietojenkäsittelysopimus (DPA)

Tämä tietojenkäsittelysopimus (”DPA”) on osa sinun (”Asiakas”, rekisterinpitäjä) ja DocuTractin (”DocuTract”, käsittelijä) välisiä käyttöehtoja. Se sääntelee sitä, miten DocuTract käsittelee lataamiesi asiakirjojen, skannausten ja mallien sisältämiä henkilötietoja (”Asiakkaan henkilötiedot”), ja vastaa EU:n yleisen tietosuoja-asetuksen (GDPR) 28 artiklan vaatimuksia.

Osapuolten roolit

Asiakas on rekisterinpitäjä ja määrittää Asiakkaan henkilötietojen käsittelyn tarkoitukset ja keinot. DocuTract on käsittelijä ja käsittelee Asiakkaan henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti, mukaan lukien palvelun tavanomaisen käytön kautta annetut ohjeet. Kun DocuTract toimii rekisterinpitäjänä tili- ja laskutustietojen osalta, sovelletaan sen sijaan tietosuojaselostetta.

Käsittelyn kohde ja kesto

Käsittelyn kohteena on DocuTractin tarjoamiseksi tarpeellinen käsittely – kenttien poimiminen ladatuista skannauksista ja täytettyjen asiakirjojen luominen. Käsittely kestää käyttöehtojen voimassaoloajan ja siihen asti, kunnes Asiakkaan henkilötiedot on poistettu tämän DPA:n mukaisesti.

Käsittelyn luonne ja tarkoitus

DocuTract käsittelee Asiakkaan henkilötietoja vastaanottaakseen ladatut tiedostot, suorittaakseen automaattisen tietojen poiminnan, täyttääkseen mallit, luodakseen tulosasiakirjat sekä säilyttääkseen nämä asiakirjat ja skannaukset Asiakkaan puolesta.

Tietoryhmät ja rekisteröidyt

Asiakas päättää, mitä se lataa. Asiakkaan henkilötiedot voivat sisältää Asiakkaan lähdetiedostoissa olevia henkilöllisyys-, yhteys-, henkilöllisyysasiakirja-, talous- ja muita tietoja. Rekisteröityjä voivat olla Asiakkaan asiakkaat, työntekijät, sopimuskumppanit ja kaikki Asiakkaan asiakirjoissa mainitut henkilöt.

Erityiset henkilötietoryhmät

DocuTractia ei ole suunniteltu erityisiä henkilötietoryhmiä (GDPR:n 9 artikla, kuten terveystiedot) tai rikostuomioihin ja rikkomuksiin liittyviä tietoja (GDPR:n 10 artikla) varten. Asiakas ei lataa tällaisia tietoja, ellei sillä ole pätevää oikeusperustetta kyseiselle käsittelylle ja ellei se ole ilmoittanut asiasta DocuTractille kirjallisesti etukäteen, jotta osapuolet voivat sopia mahdollisista lisäsuojatoimista.

DocuTractin velvollisuudet

DocuTract:

käsittelee Asiakkaan henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti;
varmistaa, että tietoja käsittelemään valtuutetut henkilöt ovat sitoutuneet salassapitoon;
toteuttaa jäljempänä kuvatut tekniset ja organisatoriset toimenpiteet;
ei käytä Asiakkaan henkilötietoja koneoppimismallien kouluttamiseen tai mihinkään muuhun tarkoitukseen kuin palvelun tarjoamiseen;
avustaa Asiakasta käsittelyn luonne huomioon ottaen rekisteröityjen pyyntöjen käsittelyssä sekä Asiakkaan tietoturvaa, tietoturvaloukkauksista ilmoittamista ja vaikutustenarviointia koskevien velvoitteiden täyttämisessä.

Suojatoimet

DocuTract ylläpitää asianmukaisia teknisiä ja organisatorisia toimenpiteitä, mukaan lukien salaus siirron aikana (TLS) ja levossa (tietokannan ja tiedostotallennuksen salaavat niiden palveluntarjoajat), vähimpien oikeuksien periaatteeseen ja tunnistautumiseen perustuva pääsynhallinta, kaksivaiheinen tunnistautuminen käyttäjille (jonka työtilan omistaja voi tehdä pakolliseksi) ja pakollinen kaksivaiheinen tunnistautuminen DocuTractin ylläpitäjille, yksityinen tiedostotallennus, joka ei ole koskaan julkisesti saatavilla ja johon päästään vain lyhytikäisten, allekirjoitettujen ja työtilaan rajattujen URL-osoitteiden kautta, kunkin työtilan tietojen looginen erottelu, käyttöloki, johon voi vain lisätä merkintöjä ja johon kirjataan Asiakkaan henkilötietoihin tehdyt muutokset ja niiden lukemiset sekä jokainen ylläpitäjän pääsy, PDF-muunnos DocuTractin omilla palvelimilla sekä näiden toimenpiteiden säännöllinen tarkastelu.

Alikäsittelijät

Asiakas valtuuttaa DocuTractin käyttämään alikäsittelijöitä palvelun tarjoamiseksi. DocuTract asettaa kullekin alikäsittelijälle tietosuojavelvoitteet, jotka suojaavat vähintään yhtä hyvin kuin tämän DPA:n velvoitteet, ja vastaa edelleen niiden suorituksesta. Nykyiset alikäsittelijät ovat:

Anthropic Ireland, Limited (Irlanti) – tekstin ja kenttien tekoälypohjainen tunnistus ladatuista skannauksista sekä ladattujen mallien analysointi. Se saa vain tiedostojen sisällön – ei tiedostonimiä eikä tilitunnisteita. Anthropic tallentaa tietoja Yhdysvalloissa, voi käsitellä niitä muissa maissa, joissa se toimii, säilyttää syötteet ja tulosteet enintään 30 päivää eikä käytä niitä mallien kouluttamiseen.
Hetzner Online GmbH (Saksa) – palvelinten ylläpito konesalissa Falkensteinissa, Saksassa: sovellus, työjonot ja PDF-muunnos.
Supabase, Inc. (Yhdysvallat) – tietokanta, käyttäjien kirjautuminen ja yksityinen tiedostotallennus (mallit, skannaukset ja luodut asiakirjat), sijainti Irlannissa (EU) ja salattu levossa.
Stripe (Stripe, Inc. ja sen konserniyhtiöt, mukaan lukien Stripe Payments Europe, Limited) – tilausten laskutus ja kertamaksut (vain tili- ja laskutustiedot, ei koskaan asiakirjojen sisältöä).
Zone Media OÜ (Zone.eu, Viro) – sähköpostipalvelu, jonka kautta DocuTract lähettää sähköpostia, mukaan lukien sähköposti, jossa on linkit maksettuun asiakirjaan (vastaanottajan osoite, aihe ja viestin sisältö; itse asiakirjaa ei liitetä).
PostHog, Inc. (tuoteanalytiikka) – yksityisyyttä kunnioittava verkkosivuston analytiikka, jota ylläpidetään EU:ssa ja joka on käytössä vain kävijän suostumuksella, ja kaikki teksti ja syötteet peitetään. Se ei käsittele ladattujen asiakirjojen tai skannausten sisältöä.

DocuTract ilmoittaa etukäteen kaikista suunnitelluista alikäsittelijöiden lisäyksistä tai vaihdoista, jotta Asiakas voi vastustaa niitä perustelluista tietosuojasyistä.

Kansainväliset siirrot

Jotkin alikäsittelijät käsittelevät Asiakkaan henkilötietoja ETA:n ulkopuolella – erityisesti Anthropic, joka tallentaa tietoja Yhdysvalloissa, ja Stripe, joka on sijoittautunut Yhdysvaltoihin. Supabase säilyttää tietojamme Irlannissa, mutta se on sijoittautunut Yhdysvaltoihin, joten sieltä tapahtuvaa etäkäyttöä pidetään siirtona. Jokaisessa tällaisessa siirrossa DocuTract nojaa alikäsittelijän tietojenkäsittelyehtoihin sisällytettyihin Euroopan komission vakiosopimuslausekkeisiin tai, mikäli saatavilla, tietosuojan riittävyyttä koskevaan päätökseen (kuten EU:n ja Yhdysvaltojen väliseen tietosuojakehykseen) sekä edellä kuvattuihin teknisiin toimenpiteisiin.

Henkilötietojen tietoturvaloukkaus

DocuTract ilmoittaa Asiakkaalle ilman aiheetonta viivytystä saatuaan tietää Asiakkaan henkilötietoihin kohdistuvasta henkilötietojen tietoturvaloukkauksesta ja antaa ne tiedot, joita Asiakas kohtuudella tarvitsee omien ilmoitusvelvoitteidensa täyttämiseen.

Palauttaminen ja poistaminen

Palvelun päättyessä tai Asiakkaan osoitteeseen legal@docutract.online lähettämästä kirjallisesta pyynnöstä DocuTract poistaa tai palauttaa Asiakkaan henkilötiedot ja poistaa olemassa olevat kopiot 30 päivän kuluessa, paitsi jos laki edellyttää tietojen säilyttämistä. Alikäsittelijöiden hallussa olevat kopiot poistetaan niiden omien säilytysaikojen kuluessa (Anthropicin osalta enintään 30 päivän kuluessa käsittelystä).

Auditoinnit

DocuTract antaa käyttöön tiedot, jotka ovat tarpeen tämän DPA:n noudattamisen osoittamiseksi, ja osallistuu Asiakkaan tai sen valtuuttaman tarkastajan suorittamiin auditointeihin, mukaan lukien tarkastukset, kohtuullisella ennakkoilmoituksella ja salassapitovelvollisuuden alaisina.

Vastuu ja etusijajärjestys

Jos tämän DPA:n ja käyttöehtojen välillä on ristiriita henkilötietojen käsittelyä koskevissa asioissa, tämä DPA on etusijalla. Onko sinulla kysyttävää tästä DPA:sta? Kirjoita osoitteeseen legal@docutract.online.