Databehandleravtale (DPA)

Denne databehandleravtalen («DPA») er en del av vilkårene for bruk mellom deg («Kunden», den behandlingsansvarlige) og DocuTract («DocuTract», databehandleren). Den regulerer DocuTracts behandling av personopplysninger som finnes i dokumentene, skanningene og malene du laster opp («Kundens personopplysninger»), og gjenspeiler kravene i artikkel 28 i EUs personvernforordning (GDPR).

Partenes roller

Kunden er behandlingsansvarlig og fastsetter formålene med og midlene for behandlingen av Kundens personopplysninger. DocuTract er databehandler og behandler Kundens personopplysninger bare etter Kundens dokumenterte instrukser, også de som gis gjennom vanlig bruk av tjenesten. Der DocuTract er behandlingsansvarlig for konto- og faktureringsdata, gjelder personvernerklæringen i stedet.

Behandlingens gjenstand og varighet

Gjenstanden er den behandlingen som er nødvendig for å levere DocuTract - uttrekk av felt fra opplastede skanninger og generering av utfylte dokumenter. Behandlingen varer så lenge vilkårene for bruk gjelder, og inntil Kundens personopplysninger er slettet i samsvar med denne DPA-en.

Behandlingens art og formål

DocuTract behandler Kundens personopplysninger for å motta opplastede filer, utføre automatisert uttrekk, fylle ut maler, generere utdokumenter og lagre disse dokumentene og skanningene på Kundens vegne.

Kategorier av opplysninger og registrerte

Kunden bestemmer hva som lastes opp. Kundens personopplysninger kan omfatte identitets-, kontakt-, identitetsdokument-, finansielle og andre opplysninger som finnes i Kundens kildefiler. De registrerte kan omfatte Kundens klienter, ansatte, motparter og alle enkeltpersoner som er nevnt i Kundens dokumenter.

Særlige kategorier av opplysninger

DocuTract er ikke utformet for særlige kategorier av personopplysninger (GDPR artikkel 9, for eksempel helseopplysninger) eller for opplysninger om straffedommer og lovovertredelser (GDPR artikkel 10). Kunden skal ikke laste opp slike opplysninger med mindre Kunden har et gyldig behandlingsgrunnlag for denne behandlingen og har informert DocuTract skriftlig på forhånd, slik at partene kan avtale eventuelle ytterligere garantier.

DocuTracts forpliktelser

DocuTract skal:

behandle Kundens personopplysninger bare etter Kundens dokumenterte instrukser;
sørge for at personer som har tillatelse til å behandle opplysningene, er underlagt taushetsplikt;
gjennomføre de tekniske og organisatoriske tiltakene som er beskrevet nedenfor;
ikke bruke Kundens personopplysninger til å trene maskinlæringsmodeller eller til noe annet formål enn å levere tjenesten;
bistå Kunden, under hensyn til behandlingens art, med henvendelser fra registrerte og med Kundens forpliktelser knyttet til sikkerhet, varsling av brudd og vurdering av personvernkonsekvenser.

Sikkerhetstiltak

DocuTract opprettholder egnede tekniske og organisatoriske tiltak, herunder kryptering under overføring (TLS) og ved lagring (databasen og fillagringen er kryptert av leverandørene sine), tilgangskontroll med minste privilegium og autentisering, tofaktorautentisering for brukere (som en eier av et arbeidsområde kan gjøre obligatorisk) og obligatorisk tofaktorautentisering for DocuTracts administratorer, privat fillagring som aldri er offentlig tilgjengelig og bare eksponeres via kortlivede signerte URL-er avgrenset til et arbeidsområde, logisk atskillelse av dataene i hvert arbeidsområde, en tilgangslogg som bare kan legges til i, over endringer i og lesing av Kundens personopplysninger og over hver tilgang fra administratorer, PDF-generering på DocuTracts egne servere og regelmessig gjennomgang av disse tiltakene.

Underdatabehandlere

Kunden gir DocuTract tillatelse til å engasjere underdatabehandlere for å levere tjenesten. DocuTract pålegger hver underdatabehandler personvernforpliktelser som ikke gir mindre beskyttelse enn denne DPA-en, og forblir ansvarlig for deres oppfyllelse. De nåværende underdatabehandlerne er:

Anthropic Ireland, Limited (Irland) - AI-gjenkjenning av tekst og felt i opplastede skanninger og analyse av opplastede maler. Den mottar bare filinnholdet - ingen filnavn eller kontoidentifikatorer. Anthropic lagrer data i USA, kan behandle dem i andre land der selskapet har virksomhet, oppbevarer inndata og utdata i opptil 30 dager og bruker dem ikke til å trene modeller.
Hetzner Online GmbH (Tyskland) - serverhosting i et datasenter i Falkenstein, Tyskland: applikasjonen, jobbkøene og PDF-generering.
Supabase, Inc. (USA) - database, brukerinnlogging og privat fillagring (maler, skanninger og genererte dokumenter), driftet i Irland (EU) og kryptert ved lagring.
Stripe (Stripe, Inc. og tilknyttede selskaper, herunder Stripe Payments Europe, Limited) - abonnementsfakturering og engangsbetalinger (bare konto- og faktureringsdata, aldri dokumentinnhold).
Zone Media OÜ (Zone.eu, Estland) - e-posthostingen DocuTract sender e-post gjennom, inkludert e-posten med lenkene til et betalt dokument (mottakerens adresse, emnet og innholdet; selve dokumentet legges ikke ved).
PostHog, Inc. (produktanalyse) - personvernvennlig analyse av nettstedet, driftet i EU og aktiv bare med den besøkendes samtykke, med all tekst og alle inndata maskert. Den behandler ikke innholdet i opplastede dokumenter eller skanninger.

DocuTract skal på forhånd varsle om enhver planlagt tilføyelse eller utskifting av en underdatabehandler, slik at Kunden kan protestere av rimelige personverngrunner.

Internasjonale overføringer

Noen underdatabehandlere behandler Kundens personopplysninger utenfor EØS - særlig Anthropic, som lagrer data i USA, og Stripe, som er etablert i USA. Supabase lagrer dataene våre i Irland, men er etablert i USA, så fjerntilgang derfra behandles som en overføring. For hver slik overføring bygger DocuTract på EU-kommisjonens standardkontraktsbestemmelser, innarbeidet i underdatabehandlerens databehandlingsvilkår, eller, der det finnes, en beslutning om tilstrekkelig beskyttelsesnivå (for eksempel EU-US Data Privacy Framework), sammen med de tekniske tiltakene som er beskrevet ovenfor.

Brudd på personopplysningssikkerheten

DocuTract skal varsle Kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører Kundens personopplysninger, med den informasjonen Kunden med rimelighet trenger for å oppfylle sine egne varslingsplikter.

Tilbakelevering og sletting

Ved opphør av tjenesten, eller etter skriftlig anmodning fra Kunden til legal@docutract.online, skal DocuTract slette eller tilbakelevere Kundens personopplysninger og slette eksisterende kopier innen 30 dager, med mindre lagring er påkrevd etter lov. Kopier hos underdatabehandlere slettes innen deres egne oppbevaringsperioder (for Anthropic opptil 30 dager etter behandlingen).

Revisjoner

DocuTract stiller til rådighet den informasjonen som er nødvendig for å påvise overholdelse av denne DPA-en, og skal bidra til revisjoner, herunder inspeksjoner, som utføres av Kunden eller en revisor Kunden har gitt fullmakt, etter rimelig varsel og underlagt taushetsplikt.

Ansvar og rangordning

Dersom det oppstår motstrid mellom denne DPA-en og vilkårene for bruk når det gjelder behandling av personopplysninger, har denne DPA-en forrang. Spørsmål om denne DPA-en? Skriv til legal@docutract.online.