Ugovor o obradi podataka (DPA)

Ovaj Ugovor o obradi podataka („DPA“) sastavni je dio Uvjeta korištenja usluge između vas („Korisnik“, voditelj obrade) i DocuTracta („DocuTract“, izvršitelj obrade). Njime se uređuje DocuTractova obrada osobnih podataka sadržanih u dokumentima, skenovima i predlošcima koje učitate („Osobni podaci Korisnika“) i odražavaju se zahtjevi članka 28. Opće uredbe EU-a o zaštiti podataka (GDPR).

Uloge strana

Korisnik je voditelj obrade i određuje svrhe i sredstva obrade Osobnih podataka Korisnika. DocuTract je izvršitelj obrade i obrađuje Osobne podatke Korisnika isključivo prema dokumentiranim uputama Korisnika, uključujući upute dane uobičajenim korištenjem usluge. Kad DocuTract djeluje kao voditelj obrade za podatke o računu i naplati, umjesto toga primjenjuju se Pravila privatnosti.

Predmet i trajanje

Predmet je obrada potrebna za pružanje usluge DocuTract - izdvajanje polja iz učitanih skenova i generiranje ispunjenih dokumenata. Obrada traje tijekom razdoblja važenja Uvjeta korištenja usluge i dok se Osobni podaci Korisnika ne izbrišu u skladu s ovim DPA-om.

Priroda i svrha obrade

DocuTract obrađuje Osobne podatke Korisnika radi primanja učitanih datoteka, provođenja automatiziranog izdvajanja podataka, popunjavanja predložaka, generiranja izlaznih dokumenata te pohrane tih dokumenata i skenova u ime Korisnika.

Kategorije podataka i ispitanika

Korisnik određuje što učitava. Osobni podaci Korisnika mogu uključivati podatke o identitetu, kontaktne podatke, podatke iz identifikacijskih isprava, financijske i druge podatke sadržane u Korisnikovim izvornim datotekama. Ispitanici mogu uključivati Korisnikove klijente, zaposlenike, ugovorne strane i sve pojedince navedene u Korisnikovim dokumentima.

Posebne kategorije podataka

DocuTract nije namijenjen posebnim kategorijama osobnih podataka (članak 9. GDPR-a, kao što su podaci o zdravlju) ni podacima koji se odnose na kaznene osude i kažnjiva djela (članak 10. GDPR-a). Korisnik neće učitavati takve podatke osim ako za tu obradu ima valjanu pravnu osnovu i o tome je unaprijed pisanim putem obavijestio DocuTract, kako bi se strane mogle dogovoriti o eventualnim dodatnim zaštitnim mjerama.

Obveze DocuTracta

DocuTract će:

obrađivati Osobne podatke Korisnika isključivo prema dokumentiranim uputama Korisnika;
osigurati da su osobe ovlaštene za obradu podataka obvezane na povjerljivost;
provoditi tehničke i organizacijske mjere opisane u nastavku;
ne koristiti Osobne podatke Korisnika za treniranje modela strojnog učenja ni u bilo koju drugu svrhu osim pružanja usluge;
pomagati Korisniku, uzimajući u obzir prirodu obrade, u vezi sa zahtjevima ispitanika te s njegovim obvezama u pogledu sigurnosti, izvješćivanja o povredama i procjene učinka.

Sigurnosne mjere

DocuTract provodi odgovarajuće tehničke i organizacijske mjere, uključujući šifriranje u prijenosu (TLS) i u pohrani (bazu podataka i pohranu datoteka šifriraju njihovi pružatelji), kontrole pristupa prema načelu najmanjih ovlasti i uz autentifikaciju, dvofaktorsku autentifikaciju za korisnike (koju vlasnik radnog prostora može učiniti obveznom) i obveznu dvofaktorsku autentifikaciju za administratore DocuTracta, privatnu pohranu datoteka koja nikad nije javno dostupna i izložena je samo putem kratkotrajnih potpisanih URL-ova ograničenih na radni prostor, logičko odvajanje podataka svakog radnog prostora, zapisnik pristupa u koji se može samo dodavati, a u kojem se bilježe izmjene i čitanja Osobnih podataka Korisnika te svaki pristup administratora, izradu PDF-a na vlastitim poslužiteljima DocuTracta te redovito preispitivanje tih mjera.

Podizvršitelji obrade

Korisnik ovlašćuje DocuTract da angažira podizvršitelje obrade radi pružanja usluge. DocuTract svakom podizvršitelju obrade nameće obveze zaštite podataka koje nisu manje zaštitne od onih u ovom DPA-u i ostaje odgovoran za njihovo izvršavanje. Trenutačni podizvršitelji obrade su:

Anthropic Ireland, Limited (Irska) - AI prepoznavanje teksta i polja u učitanim skenovima te analiza učitanih predložaka. Prima samo sadržaj datoteka - bez naziva datoteka ili identifikatora računa. Anthropic pohranjuje podatke u Sjedinjenim Američkim Državama, može ih obrađivati u drugim zemljama u kojima posluje, čuva ulazne i izlazne podatke do 30 dana i ne koristi ih za treniranje modela.
Hetzner Online GmbH (Njemačka) - smještaj poslužitelja u podatkovnom centru u Falkensteinu, Njemačka: aplikacija, redovi zadataka i izrada PDF-a.
Supabase, Inc. (Sjedinjene Američke Države) - baza podataka, prijava korisnika i privatna pohrana datoteka (predlošci, skenovi i generirani dokumenti), smješteni u Irskoj (EU) i šifrirani u pohrani.
Stripe (Stripe, Inc. i s njim povezana društva, uključujući Stripe Payments Europe, Limited) - naplata pretplata i jednokratna plaćanja (samo podaci o računu i naplati, nikad sadržaj dokumenata).
Zone Media OÜ (Zone.eu, Estonija) - usluga e-pošte putem koje DocuTract šalje e-poruke, uključujući e-poruku s poveznicama na plaćeni dokument (adresa primatelja, predmet i tijelo poruke; sam dokument nije priložen).
PostHog, Inc. (analitika proizvoda) - analitika web-stranice koja poštuje privatnost, smještena u EU-u i aktivna samo uz privolu posjetitelja, uz skrivanje svog teksta i unosa. Ne obrađuje sadržaj učitanih dokumenata ili skenova.

DocuTract će unaprijed obavijestiti o svakom namjeravanom dodavanju ili zamjeni podizvršitelja obrade kako bi Korisnik mogao uložiti prigovor iz opravdanih razloga zaštite podataka.

Međunarodni prijenosi

Neki podizvršitelji obrade obrađuju Osobne podatke Korisnika izvan EGP-a - osobito Anthropic, koji pohranjuje podatke u Sjedinjenim Američkim Državama, i Stripe, koji ima poslovni nastan u Sjedinjenim Američkim Državama. Supabase naše podatke smješta u Irskoj, ali ima poslovni nastan u Sjedinjenim Američkim Državama, pa se daljinski pristup odande smatra prijenosom. Za svaki takav prijenos DocuTract se oslanja na standardne ugovorne klauzule Europske komisije uključene u uvjete obrade podataka podizvršitelja obrade ili, kad je dostupna, na odluku o primjerenosti (kao što je Okvir EU-a i SAD-a za privatnost podataka), zajedno s gore navedenim tehničkim mjerama.

Povreda osobnih podataka

DocuTract će bez nepotrebnog odgađanja obavijestiti Korisnika nakon što sazna za povredu osobnih podataka koja utječe na Osobne podatke Korisnika, uz informacije koje su Korisniku razumno potrebne za ispunjavanje vlastitih obveza izvješćivanja.

Vraćanje i brisanje

Po prestanku pružanja usluge ili na pisani zahtjev Korisnika upućen na legal@docutract.online, DocuTract će izbrisati ili vratiti Osobne podatke Korisnika i izbrisati postojeće kopije u roku od 30 dana, osim ako zakon nalaže njihovu pohranu. Kopije koje drže podizvršitelji obrade brišu se u okviru njihovih vlastitih rokova čuvanja (za Anthropic, do 30 dana nakon obrade).

Revizije

DocuTract stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti s ovim DPA-om i doprinosi revizijama, uključujući inspekcije, koje provodi Korisnik ili revizor kojeg on ovlasti, uz razumnu prethodnu obavijest i uz obvezu povjerljivosti.

Odgovornost i prednost

Ako dođe do sukoba između ovog DPA-a i Uvjeta korištenja usluge u pogledu obrade osobnih podataka, prednost ima ovaj DPA. Imate pitanja o ovom DPA-u? Pišite na legal@docutract.online.