Adatfeldolgozási megállapodás (DPA)

Jelen Adatfeldolgozási megállapodás („DPA”) az Ön („Ügyfél”, az adatkezelő) és a DocuTract („DocuTract”, az adatfeldolgozó) közötti Felhasználási feltételek részét képezi. Szabályozza, hogyan dolgozza fel a DocuTract az Ön által feltöltött dokumentumokban, szkenekben és sablonokban található személyes adatokat („Ügyféladatok”), és tükrözi az EU általános adatvédelmi rendelete (GDPR) 28. cikkének követelményeit.

A felek szerepe

Az Ügyfél az adatkezelő, és ő határozza meg az Ügyféladatok kezelésének céljait és eszközeit. A DocuTract az adatfeldolgozó, és az Ügyféladatokat kizárólag az Ügyfél dokumentált utasításai alapján dolgozza fel, ideértve a szolgáltatás rendes használata során adott utasításokat is. Ha a DocuTract a fiók- és számlázási adatok tekintetében adatkezelőként jár el, ehelyett az Adatvédelmi tájékoztató alkalmazandó.

Tárgy és időtartam

A megállapodás tárgya a DocuTract nyújtásához szükséges adatfeldolgozás - mezők kinyerése a feltöltött szkenekből és kitöltött dokumentumok generálása. Az adatfeldolgozás a Felhasználási feltételek hatálya alatt és addig tart, amíg az Ügyféladatokat a jelen DPA-nak megfelelően nem töröljük.

Az adatfeldolgozás jellege és célja

A DocuTract az Ügyféladatokat abból a célból dolgozza fel, hogy fogadja a feltöltött fájlokat, automatizált adatkinyerést végezzen, kitöltse a sablonokat, kimeneti dokumentumokat generáljon, és ezeket a dokumentumokat és szkeneket az Ügyfél nevében tárolja.

Az adatok és az érintettek kategóriái

Az Ügyfél határozza meg, mit tölt fel. Az Ügyféladatok tartalmazhatnak személyazonosító, kapcsolattartási, azonosító okmányokból származó, pénzügyi és egyéb, az Ügyfél forrásfájljaiban szereplő adatokat. Az érintettek köre kiterjedhet az Ügyfél ügyfeleire, munkavállalóira, szerződő partnereire és az Ügyfél dokumentumaiban megnevezett bármely természetes személyre.

A személyes adatok különleges kategóriái

A DocuTract nem a személyes adatok különleges kategóriáinak (GDPR 9. cikk, például egészségügyi adatok), illetve a büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó adatoknak (GDPR 10. cikk) a kezelésére készült. Az Ügyfél nem tölt fel ilyen adatokat, kivéve, ha az adatkezeléshez érvényes jogalappal rendelkezik, és erről előzetesen írásban tájékoztatta a DocuTractot, hogy a felek megállapodhassanak az esetleges további garanciákról.

A DocuTract kötelezettségei

A DocuTract:

• az Ügyféladatokat kizárólag az Ügyfél dokumentált utasításai alapján dolgozza fel;
• biztosítja, hogy az adatok feldolgozására feljogosított személyeket titoktartási kötelezettség terhelje;
• végrehajtja az alább ismertetett technikai és szervezési intézkedéseket;
• nem használja az Ügyféladatokat gépi tanulási modellek tanítására, sem a szolgáltatás nyújtásán kívüli más célra;
• az adatfeldolgozás jellegét figyelembe véve segíti az Ügyfelet az érintetti kérelmek teljesítésében, valamint a biztonsággal, az adatvédelmi incidensek bejelentésével és az adatvédelmi hatásvizsgálattal kapcsolatos kötelezettségeinek teljesítésében.

Biztonsági intézkedések

A DocuTract megfelelő technikai és szervezési intézkedéseket alkalmaz, ideértve a következőket: titkosítás átvitel közben (TLS) és tároláskor (az adatbázist és a fájltárolót szolgáltatóik titkosítják), a legkisebb jogosultság elvén alapuló, hitelesítéshez kötött hozzáférés-szabályozás, kétlépcsős azonosítás a felhasználók számára (amelyet a munkaterület tulajdonosa kötelezővé tehet) és kötelező kétlépcsős azonosítás a DocuTract adminisztrátorai számára, privát fájltárolás, amely soha nem érhető el nyilvánosan, és csak rövid élettartamú, aláírt, egy munkaterületre korlátozott URL-eken keresztül hozzáférhető, az egyes munkaterületek adatainak logikai elkülönítése, csak hozzáfűzhető hozzáférési napló az Ügyféladatok módosításáról és olvasásáról, valamint minden adminisztrátori hozzáférésről, PDF-előállítás a DocuTract saját szerverein, továbbá ezen intézkedések rendszeres felülvizsgálata.

Alvállalkozó adatfeldolgozók

Az Ügyfél felhatalmazza a DocuTractot, hogy a szolgáltatás nyújtásához alvállalkozó adatfeldolgozókat vegyen igénybe. A DocuTract minden alvállalkozó adatfeldolgozóra legalább a jelen DPA-ban foglaltakkal azonos védelmet nyújtó adatvédelmi kötelezettségeket ró, és felelős azok teljesítéséért. A jelenlegi alvállalkozó adatfeldolgozók:

• Anthropic Ireland, Limited (Írország) - a feltöltött szkenekben lévő szöveg és mezők AI-alapú felismerése, valamint a feltöltött sablonok elemzése. Kizárólag a fájlok tartalmát kapja meg - fájlneveket vagy fiókazonosítókat nem. Az Anthropic az adatokat az Egyesült Államokban tárolja, azokat más olyan országokban is feldolgozhatja, ahol tevékenységet folytat, a bemeneteket és kimeneteket legfeljebb 30 napig őrzi meg, és nem használja őket modellek tanítására.
• Hetzner Online GmbH (Németország) - szerver-tárhely egy németországi, falkensteini adatközpontban: az alkalmazás, a feladatsorok és a PDF-előállítás.
• Supabase, Inc. (Egyesült Államok) - adatbázis, felhasználói bejelentkezés és privát fájltárolás (sablonok, szkenek és generált dokumentumok), írországi (EU) tárhellyel, tároláskor titkosítva.
• Stripe (Stripe, Inc. és kapcsolt vállalkozásai, ideértve a Stripe Payments Europe, Limited társaságot) - előfizetések számlázása és egyszeri fizetések (kizárólag fiók- és számlázási adatok, soha nem dokumentumtartalom).
• Zone Media OÜ (Zone.eu, Észtország) - az a levelezési tárhely, amelyen keresztül a DocuTract az e-maileket küldi, ideértve a kifizetett dokumentumra mutató linkeket tartalmazó e-mailt is (a címzett címe, a tárgy és a levél törzse; magát a dokumentumot nem csatoljuk).
• PostHog, Inc. (termékanalitika) - adatvédelembarát weboldal-analitika, EU-beli tárhellyel, amely csak a látogató hozzájárulásával aktív, minden szöveg és bevitel elfedésével. A feltöltött dokumentumok vagy szkenek tartalmát nem dolgozza fel.

A DocuTract előzetesen értesíti az Ügyfelet bármely alvállalkozó adatfeldolgozó tervezett bevonásáról vagy cseréjéről, hogy az Ügyfél észszerű adatvédelmi okokból kifogást emelhessen.

Nemzetközi adattovábbítás

Egyes alvállalkozó adatfeldolgozók az EGT-n kívül dolgozzák fel az Ügyféladatokat - különösen az Anthropic, amely az Egyesült Államokban tárol adatokat, és a Stripe, amelynek székhelye az Egyesült Államokban van. A Supabase Írországban tárolja adatainkat, de székhelye az Egyesült Államokban van, ezért az onnan történő távoli hozzáférést adattovábbításnak tekintjük. Minden ilyen adattovábbítás esetében a DocuTract az Európai Bizottság általános szerződési feltételeire támaszkodik, amelyek az alvállalkozó adatfeldolgozó adatfeldolgozási feltételeinek részét képezik, vagy, ahol rendelkezésre áll, megfelelőségi határozatra (például az EU–USA adatvédelmi keretre), a fent ismertetett technikai intézkedésekkel együtt.

Adatvédelmi incidens

A DocuTract az Ügyféladatokat érintő adatvédelmi incidensről való tudomásszerzést követően indokolatlan késedelem nélkül értesíti az Ügyfelet, megadva azokat az információkat, amelyekre az Ügyfélnek saját bejelentési kötelezettségei teljesítéséhez észszerűen szüksége van.

Visszaadás és törlés

A szolgáltatás megszűnésekor, vagy az Ügyfél legal@docutract.online címre küldött írásbeli kérésére a DocuTract 30 napon belül törli vagy visszaadja az Ügyféladatokat, és törli a meglévő másolatokat, kivéve, ha a tárolást jogszabály írja elő. Az alvállalkozó adatfeldolgozóknál lévő másolatok azok saját megőrzési időtartamán belül törlődnek (az Anthropic esetében legfeljebb 30 nappal a feldolgozást követően).

Auditok

A DocuTract rendelkezésre bocsátja a jelen DPA-nak való megfelelés igazolásához szükséges információkat, és észszerű előzetes értesítés mellett, titoktartás mellett közreműködik az Ügyfél vagy az általa megbízott auditor által végzett auditokban, ideértve a helyszíni ellenőrzéseket is.

Felelősség és elsőbbség

Ha a személyes adatok kezelése tekintetében ellentmondás merül fel a jelen DPA és a Felhasználási feltételek között, a jelen DPA az irányadó. Kérdése van a jelen DPA-val kapcsolatban? Írjon a legal@docutract.online címre.