Datu apstrādes līgums (DPA)

Šis Datu apstrādes līgums ("DPA") ir daļa no Pakalpojuma noteikumiem, kas noslēgti starp jums ("Klients", pārzinis) un DocuTract ("DocuTract", apstrādātājs). Tas regulē, kā DocuTract apstrādā personas datus, kas ietverti jūsu augšupielādētajos dokumentos, skenējumos un veidnēs ("Klienta personas dati"), un atspoguļo ES Vispārīgās datu aizsardzības regulas (VDAR) 28. panta prasības.

Pušu lomas

Klients ir pārzinis un nosaka Klienta personas datu apstrādes nolūkus un līdzekļus. DocuTract ir apstrādātājs un apstrādā Klienta personas datus tikai saskaņā ar Klienta dokumentētiem norādījumiem, tostarp tiem, kas sniegti, parasti izmantojot pakalpojumu. Ja DocuTract darbojas kā pārzinis attiecībā uz konta un norēķinu datiem, tā vietā piemēro Privātuma politiku.

Priekšmets un ilgums

Priekšmets ir apstrāde, kas nepieciešama DocuTract nodrošināšanai - lauku iegūšana no augšupielādētiem skenējumiem un aizpildītu dokumentu ģenerēšana. Apstrāde ilgst Pakalpojuma noteikumu darbības laiku un līdz brīdim, kad Klienta personas dati tiek dzēsti saskaņā ar šo DPA.

Apstrādes raksturs un nolūks

DocuTract apstrādā Klienta personas datus, lai saņemtu augšupielādētos failus, veiktu automatizētu datu iegūšanu, aizpildītu veidnes, ģenerētu izvades dokumentus un glabātu šos dokumentus un skenējumus Klienta vārdā.

Datu un datu subjektu kategorijas

Klients kontrolē, ko tas augšupielādē. Klienta personas dati var ietvert identitātes, kontaktinformācijas, personu apliecinošu dokumentu, finanšu un citas ziņas, kas ietvertas Klienta avota failos. Datu subjekti var būt Klienta klienti, darbinieki, darījumu partneri un jebkuras personas, kas minētas Klienta dokumentos.

Īpašu kategoriju dati

DocuTract nav paredzēts īpašu kategoriju personas datiem (VDAR 9. pants, piemēram, veselības dati) vai datiem, kas saistīti ar sodāmību un noziedzīgiem nodarījumiem (VDAR 10. pants). Klients neaugšupielādēs šādus datus, ja vien tam nav derīga tiesiskā pamata šādai apstrādei un tas iepriekš rakstiski nav informējis DocuTract, lai puses varētu vienoties par papildu aizsardzības pasākumiem.

DocuTract pienākumi

DocuTract:

apstrādās Klienta personas datus tikai saskaņā ar Klienta dokumentētiem norādījumiem;
nodrošinās, ka personām, kuras pilnvarotas apstrādāt datus, ir saistoši konfidencialitātes pienākumi;
īstenos tālāk aprakstītos tehniskos un organizatoriskos pasākumus;
neizmantos Klienta personas datus mašīnmācīšanās modeļu apmācībai vai jebkādam citam nolūkam, izņemot pakalpojuma sniegšanu;
ņemot vērā apstrādes raksturu, palīdzēs Klientam atbildēt uz datu subjektu pieprasījumiem un izpildīt tā pienākumus attiecībā uz drošību, paziņošanu par pārkāpumiem un ietekmes novērtējumu.

Drošības pasākumi

DocuTract uztur atbilstošus tehniskos un organizatoriskos pasākumus, tostarp šifrēšanu pārsūtīšanas laikā (TLS) un glabāšanā (datubāzi un failu krātuvi šifrē to pakalpojumu sniedzēji), piekļuves kontroli pēc minimālo privilēģiju principa un autentifikāciju, divfaktoru autentifikāciju lietotājiem (ko darbvietas īpašnieks var padarīt obligātu) un obligātu divfaktoru autentifikāciju DocuTract administratoriem, privātu failu krātuvi, kas nekad nav publiski pieejama un ir pieejama tikai caur īslaicīgiem parakstītiem URL, kas attiecas uz konkrētu darbvietu, katras darbvietas datu loģisku nodalīšanu, tikai papildināmu piekļuves žurnālu par Klienta personas datu izmaiņām un lasīšanu un par katru administratora piekļuvi, PDF izveidi DocuTract pašu serveros un regulāru šo pasākumu pārskatīšanu.

Apakšapstrādātāji

Klients pilnvaro DocuTract piesaistīt apakšapstrādātājus pakalpojuma sniegšanai. DocuTract uzliek katram apakšapstrādātājam datu aizsardzības pienākumus, kas nav mazāk aizsargājoši par šajā DPA noteiktajiem, un joprojām ir atbildīgs par to izpildi. Pašreizējie apakšapstrādātāji ir:

Anthropic Ireland, Limited (Īrija) - teksta un lauku atpazīšana ar MI augšupielādētajos skenējumos un augšupielādēto veidņu analīze. Tas saņem tikai failu saturu - bez failu nosaukumiem vai konta identifikatoriem. Anthropic glabā datus Amerikas Savienotajās Valstīs, var apstrādāt tos citās valstīs, kurās darbojas, glabā ievaddatus un izvaddatus līdz 30 dienām un neizmanto tos modeļu apmācībai.
Hetzner Online GmbH (Vācija) - serveru mitināšana datu centrā Falkenšteinā, Vācijā: lietotne, uzdevumu rindas un PDF izveide.
Supabase, Inc. (Amerikas Savienotās Valstis) - datubāze, lietotāju pieteikšanās un privāta failu krātuve (veidnes, skenējumi un ģenerētie dokumenti), mitināta Īrijā (ES) un šifrēta glabāšanā.
Stripe (Stripe, Inc. un tā saistītie uzņēmumi, tostarp Stripe Payments Europe, Limited) - norēķini par abonementiem un vienreizēji maksājumi (tikai konta un norēķinu dati, nekad dokumentu saturs).
Zone Media OÜ (Zone.eu, Igaunija) - pasta mitināšana, caur kuru DocuTract sūta e-pastus, tostarp e-pastu ar saitēm uz apmaksātu dokumentu (saņēmēja adrese, temats un teksts; pats dokuments netiek pievienots).
PostHog, Inc. (produkta analītika) - privātumu saudzējoša vietnes analītika, mitināta ES un aktīva tikai ar apmeklētāja piekrišanu, ar visu tekstu un ievadi maskētu. Tas neapstrādā augšupielādēto dokumentu vai skenējumu saturu.

DocuTract iepriekš paziņos par jebkuru plānoto apakšapstrādātāja pievienošanu vai aizstāšanu, lai Klients varētu iebilst, pamatojoties uz saprātīgiem datu aizsardzības apsvērumiem.

Starptautiskā datu nosūtīšana

Daži apakšapstrādātāji apstrādā Klienta personas datus ārpus EEZ - jo īpaši Anthropic, kas glabā datus Amerikas Savienotajās Valstīs, un Stripe, kas ir reģistrēts Amerikas Savienotajās Valstīs. Supabase mitina mūsu datus Īrijā, taču ir reģistrēts Amerikas Savienotajās Valstīs, tāpēc attālināta piekļuve no turienes tiek uzskatīta par nosūtīšanu. Katrai šādai nosūtīšanai DocuTract paļaujas uz Eiropas Komisijas līguma standartklauzulām, kas iekļautas apakšapstrādātāja datu apstrādes noteikumos, vai, ja tāds ir pieejams, lēmumu par aizsardzības līmeņa pietiekamību (piemēram, ES un ASV Datu privātuma regulējumu), kopā ar iepriekš izklāstītajiem tehniskajiem pasākumiem.

Personas datu aizsardzības pārkāpums

DocuTract paziņos Klientam bez nepamatotas kavēšanās pēc tam, kad tam kļuvis zināms par personas datu aizsardzības pārkāpumu, kas skar Klienta personas datus, sniedzot informāciju, kas Klientam saprātīgi nepieciešama, lai izpildītu savus paziņošanas pienākumus.

Atdošana un dzēšana

Pēc pakalpojuma izbeigšanas vai pēc Klienta rakstiska pieprasījuma, kas nosūtīts uz legal@docutract.online, DocuTract dzēsīs vai atdos Klienta personas datus un 30 dienu laikā dzēsīs esošās kopijas, izņemot gadījumus, kad glabāšanu pieprasa likums. Apakšapstrādātāju glabātās kopijas tiek dzēstas to pašu glabāšanas termiņos (attiecībā uz Anthropic - līdz 30 dienām pēc apstrādes).

Revīzijas

DocuTract dara pieejamu informāciju, kas nepieciešama, lai pierādītu atbilstību šim DPA, un piedalīsies revīzijās, tostarp pārbaudēs, ko veic Klients vai tā pilnvarots revidents, ar saprātīgu iepriekšēju paziņojumu un ievērojot konfidencialitāti.

Atbildība un prioritāte

Ja rodas pretruna starp šo DPA un Pakalpojuma noteikumiem attiecībā uz personas datu apstrādi, noteicošs ir šis DPA. Jautājumi par šo DPA? Rakstiet uz legal@docutract.online.