Duomenų tvarkymo sutartis (DTS)

Ši Duomenų tvarkymo sutartis (toliau – DTS) yra sudedamoji Paslaugų teikimo sąlygų dalis, sudaryta tarp jūsų (toliau – Klientas, duomenų valdytojas) ir DocuTract (toliau – DocuTract, duomenų tvarkytojas). Ji reglamentuoja, kaip DocuTract tvarko asmens duomenis, esančius jūsų įkeliamuose dokumentuose, skenuose ir šablonuose (toliau – Kliento asmens duomenys), ir atspindi ES Bendrojo duomenų apsaugos reglamento (BDAR) 28 straipsnio reikalavimus.

Šalių vaidmenys

Klientas yra duomenų valdytojas ir nustato Kliento asmens duomenų tvarkymo tikslus ir priemones. DocuTract yra duomenų tvarkytojas ir tvarko Kliento asmens duomenis tik pagal dokumentais įformintus Kliento nurodymus, įskaitant nurodymus, duodamus įprastai naudojantis paslauga. Kai DocuTract veikia kaip paskyros ir atsiskaitymų duomenų valdytojas, vietoje šios DTS taikoma Privatumo politika.

Dalykas ir trukmė

Duomenų tvarkymo dalykas – tvarkymas, būtinas DocuTract paslaugai teikti, t. y. laukų išgavimas iš įkeltų skenų ir užpildytų dokumentų generavimas. Duomenys tvarkomi Paslaugų teikimo sąlygų galiojimo laikotarpiu ir tol, kol Kliento asmens duomenys bus ištrinti pagal šią DTS.

Duomenų tvarkymo pobūdis ir tikslas

DocuTract tvarko Kliento asmens duomenis Kliento vardu, kad gautų įkeltus failus, atliktų automatizuotą duomenų išgavimą, užpildytų šablonus, generuotų galutinius dokumentus ir saugotų tuos dokumentus bei skenus.

Duomenų ir duomenų subjektų kategorijos

Klientas kontroliuoja, ką įkelia. Kliento asmens duomenys gali apimti tapatybės, kontaktinius, asmens tapatybę patvirtinančių dokumentų, finansinius ir kitus duomenis, esančius Kliento šaltinių failuose. Duomenų subjektai gali būti Kliento klientai, darbuotojai, sandorio šalys ir bet kurie fiziniai asmenys, nurodyti Kliento dokumentuose.

Specialių kategorijų duomenys

DocuTract nėra skirtas specialių kategorijų asmens duomenims (BDAR 9 straipsnis, pavyzdžiui, sveikatos duomenys) arba duomenims apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas (BDAR 10 straipsnis) tvarkyti. Klientas tokių duomenų neįkels, nebent turi galiojantį teisinį pagrindą tokiam tvarkymui ir iš anksto raštu apie tai informavo DocuTract, kad šalys galėtų susitarti dėl papildomų apsaugos priemonių.

DocuTract įsipareigojimai

DocuTract:

tvarkys Kliento asmens duomenis tik pagal dokumentais įformintus Kliento nurodymus;
užtikrins, kad asmenys, įgalioti tvarkyti duomenis, būtų įsipareigoję laikytis konfidencialumo;
įgyvendins toliau aprašytas technines ir organizacines priemones;
nenaudos Kliento asmens duomenų mašininio mokymosi modeliams mokyti ar bet kokiu kitu tikslu, išskyrus paslaugos teikimą;
atsižvelgdamas į duomenų tvarkymo pobūdį, padės Klientui nagrinėti duomenų subjektų prašymus ir vykdyti jo prievoles, susijusias su saugumu, pranešimu apie pažeidimus ir poveikio vertinimu.

Saugumo priemonės

DocuTract taiko tinkamas technines ir organizacines priemones, įskaitant šifravimą perdavimo metu (TLS) ir saugojimo metu (duomenų bazę ir failų saugyklą šifruoja jų paslaugų teikėjai), prieigos kontrolę pagal mažiausių privilegijų principą ir autentifikavimą, dviejų veiksnių autentifikavimą naudotojams (kurį darbo erdvės savininkas gali padaryti privalomu) ir privalomą dviejų veiksnių autentifikavimą DocuTract administratoriams, privačią failų saugyklą, kuri niekada nėra viešai prieinama ir pasiekiama tik per trumpalaikius pasirašytus URL adresus, apribotus darbo erdve, loginį kiekvienos darbo erdvės duomenų atskyrimą, tik papildomą prieigos žurnalą, kuriame registruojami Kliento asmens duomenų pakeitimai bei skaitymai ir kiekviena administratoriaus prieiga, PDF failų generavimą DocuTract nuosavuose serveriuose ir reguliarią šių priemonių peržiūrą.

Duomenų subtvarkytojai

Klientas leidžia DocuTract pasitelkti duomenų subtvarkytojus paslaugai teikti. DocuTract kiekvienam duomenų subtvarkytojui nustato duomenų apsaugos įpareigojimus, užtikrinančius ne mažesnę apsaugą nei numatytoji šioje DTS, ir lieka atsakingas už jų vykdymą. Dabartiniai duomenų subtvarkytojai:

Anthropic Ireland, Limited (Airija) – įkeltų skenų teksto ir laukų atpažinimas DI priemonėmis bei įkeltų šablonų analizė. Jis gauna tik failų turinį – jokių failų pavadinimų ar paskyros identifikatorių. Anthropic saugo duomenis Jungtinėse Amerikos Valstijose, gali juos tvarkyti kitose šalyse, kuriose vykdo veiklą, įvesties ir išvesties duomenis saugo iki 30 dienų ir nenaudoja jų modeliams mokyti.
Hetzner Online GmbH (Vokietija) – serverių talpinimas duomenų centre Falkenstein (Vokietija): programa, užduočių eilės ir PDF failų generavimas.
Supabase, Inc. (Jungtinės Amerikos Valstijos) – duomenų bazė, naudotojų prisijungimas ir privati failų saugykla (šablonai, skenai ir sugeneruoti dokumentai), talpinami Airijoje (ES) ir šifruojami saugojimo metu.
Stripe (Stripe, Inc. ir su ja susijusios bendrovės, įskaitant Stripe Payments Europe, Limited) – atsiskaitymai už prenumeratas ir vienkartiniai mokėjimai (tik paskyros ir atsiskaitymų duomenys, niekada – dokumentų turinys).
Zone Media OÜ (Zone.eu, Estija) – el. pašto talpinimo paslauga, per kurią DocuTract siunčia el. laiškus, įskaitant el. laišką su nuorodomis į apmokėtą dokumentą (gavėjo adresas, tema ir laiško tekstas; pats dokumentas neprisegamas).
PostHog, Inc. (produkto analitika) – privatumą tausojanti svetainės analitika, talpinama ES ir veikianti tik lankytojui davus sutikimą, maskuojant visą tekstą ir įvestus duomenis. Ji netvarko įkeltų dokumentų ar skenų turinio.

DocuTract iš anksto praneš apie bet kokį ketinamą duomenų subtvarkytojo pridėjimą arba pakeitimą, kad Klientas galėtų pareikšti prieštaravimą dėl pagrįstų duomenų apsaugos priežasčių.

Tarptautinis duomenų perdavimas

Kai kurie duomenų subtvarkytojai tvarko Kliento asmens duomenis už EEE ribų – visų pirma Anthropic, kuris saugo duomenis Jungtinėse Amerikos Valstijose, ir Stripe, kuris yra įsisteigęs Jungtinėse Amerikos Valstijose. Supabase mūsų duomenis talpina Airijoje, tačiau yra įsisteigęs Jungtinėse Amerikos Valstijose, todėl nuotolinė prieiga iš ten laikoma duomenų perdavimu. Kiekvienam tokiam perdavimui DocuTract taiko Europos Komisijos standartines sutarčių sąlygas, įtrauktas į duomenų subtvarkytojo duomenų tvarkymo sąlygas, arba, kai įmanoma, sprendimą dėl tinkamumo (pavyzdžiui, ES ir JAV duomenų privatumo sistemą) kartu su pirmiau nurodytomis techninėmis priemonėmis.

Asmens duomenų saugumo pažeidimas

Sužinojęs apie asmens duomenų saugumo pažeidimą, susijusį su Kliento asmens duomenimis, DocuTract nepagrįstai nedelsdamas praneš apie tai Klientui ir pateiks informaciją, kurios Klientui pagrįstai reikia savo paties pranešimo prievolėms įvykdyti.

Grąžinimas ir ištrynimas

Nutraukus paslaugos teikimą arba Klientui pateikus rašytinį prašymą adresu legal@docutract.online, DocuTract ištrins arba grąžins Kliento asmens duomenis ir ištrins esamas jų kopijas per 30 dienų, išskyrus atvejus, kai saugoti duomenis reikalaujama pagal įstatymus. Duomenų subtvarkytojų turimos kopijos ištrinamos per jų nustatytus saugojimo terminus (Anthropic atveju – ne vėliau kaip per 30 dienų po tvarkymo).

Auditai

DocuTract pateikia informaciją, būtiną šios DTS laikymuisi įrodyti, ir prisideda prie auditų, įskaitant patikrinimus, kuriuos atlieka Klientas arba jo įgaliotas auditorius, jei apie tai pranešama per protingą terminą ir laikomasi konfidencialumo.

Atsakomybė ir viršenybė

Jei šios DTS ir Paslaugų teikimo sąlygų nuostatos dėl asmens duomenų tvarkymo prieštarauja viena kitai, viršenybę turi ši DTS. Turite klausimų dėl šios DTS? Rašykite adresu legal@docutract.online.