Verwerkersovereenkomst (DPA)

Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de Servicevoorwaarden tussen jou ("Klant", de verwerkingsverantwoordelijke) en DocuTract ("DocuTract", de verwerker). Ze regelt de verwerking door DocuTract van persoonsgegevens die zijn opgenomen in de documenten, scans en sjablonen die je uploadt ("Persoonsgegevens van de Klant") en weerspiegelt de eisen van artikel 28 van de Algemene Verordening Gegevensbescherming van de EU (AVG/GDPR).

Rollen van de partijen

De Klant is de verwerkingsverantwoordelijke en bepaalt het doel en de middelen van de verwerking van Persoonsgegevens van de Klant. DocuTract is de verwerker en verwerkt Persoonsgegevens van de Klant uitsluitend op basis van gedocumenteerde instructies van de Klant, met inbegrip van instructies die worden gegeven via het normale gebruik van de dienst. Waar DocuTract optreedt als verwerkingsverantwoordelijke voor account- en factureringsgegevens, is in plaats daarvan het Privacybeleid van toepassing.

Onderwerp en duur

Het onderwerp is de verwerking die nodig is om DocuTract te leveren - het extraheren van velden uit geüploade scans en het genereren van ingevulde documenten. De verwerking duurt zolang de Servicevoorwaarden van kracht zijn en totdat Persoonsgegevens van de Klant overeenkomstig deze DPA zijn verwijderd.

Aard en doel van de verwerking

DocuTract verwerkt Persoonsgegevens van de Klant om geüploade bestanden te ontvangen, geautomatiseerde extractie uit te voeren, sjablonen in te vullen, uitvoerdocumenten te genereren, en die documenten en scans namens de Klant op te slaan.

Categorieën van gegevens en betrokkenen

De Klant bepaalt wat hij uploadt. Persoonsgegevens van de Klant kunnen identiteits-, contact-, identiteitsdocument-, financiële en andere gegevens omvatten die in de bronbestanden van de Klant staan. Betrokkenen kunnen onder meer de klanten, werknemers en wederpartijen van de Klant zijn, en alle personen die in de documenten van de Klant worden genoemd.

Bijzondere categorieën van gegevens

DocuTract is niet ontworpen voor bijzondere categorieën van persoonsgegevens (artikel 9 AVG, zoals gezondheidsgegevens) of voor gegevens over strafrechtelijke veroordelingen en strafbare feiten (artikel 10 AVG). De Klant uploadt zulke gegevens niet, tenzij hij een geldige rechtsgrond voor die verwerking heeft en DocuTract daarover vooraf schriftelijk heeft geïnformeerd, zodat de partijen aanvullende waarborgen kunnen overeenkomen.

Verplichtingen van DocuTract

DocuTract zal:

Persoonsgegevens van de Klant uitsluitend verwerken op basis van gedocumenteerde instructies van de Klant;
ervoor zorgen dat personen die gemachtigd zijn de gegevens te verwerken, tot geheimhouding zijn verplicht;
de hieronder beschreven technische en organisatorische maatregelen treffen;
Persoonsgegevens van de Klant niet gebruiken om machine-learningmodellen te trainen of voor enig ander doel dan het leveren van de dienst;
de Klant, rekening houdend met de aard van de verwerking, bijstaan bij verzoeken van betrokkenen en bij diens verplichtingen op het gebied van beveiliging, melding van inbreuken en gegevensbeschermingseffectbeoordeling.

Beveiligingsmaatregelen

DocuTract handhaaft passende technische en organisatorische maatregelen, waaronder versleuteling tijdens overdracht (TLS) en bij opslag (de database en de bestandsopslag worden versleuteld door hun aanbieders), toegangscontrole volgens het principe van minimale rechten en met authenticatie, tweestapsverificatie voor gebruikers (die de eigenaar van een werkruimte verplicht kan stellen) en verplichte tweestapsverificatie voor beheerders van DocuTract, privébestandsopslag die nooit openbaar toegankelijk is en alleen wordt ontsloten via kortlevende ondertekende URL's die beperkt zijn tot een werkruimte, logische scheiding van de gegevens van elke werkruimte, een toegangslogboek waaraan alleen kan worden toegevoegd, van wijzigingen in en het lezen van Persoonsgegevens van de Klant en van elke toegang door beheerders, PDF-opmaak op de eigen servers van DocuTract, en regelmatige evaluatie van deze maatregelen.

Subverwerkers

De Klant machtigt DocuTract om subverwerkers in te schakelen voor het leveren van de dienst. DocuTract legt elke subverwerker verplichtingen inzake gegevensbescherming op die niet minder beschermend zijn dan die in deze DPA, en blijft verantwoordelijk voor hun nakoming. De huidige subverwerkers zijn:

Anthropic Ireland, Limited (Ierland) - AI-herkenning van tekst en velden in geüploade scans en analyse van geüploade sjablonen. Het ontvangt alleen de inhoud van bestanden - geen bestandsnamen of account-ID's. Anthropic slaat gegevens op in de Verenigde Staten, kan ze verwerken in andere landen waar het actief is, bewaart invoer en uitvoer maximaal 30 dagen en gebruikt ze niet om modellen te trainen.
Hetzner Online GmbH (Duitsland) - serverhosting in een datacenter in Falkenstein, Duitsland: de applicatie, takenwachtrijen en PDF-opmaak.
Supabase, Inc. (Verenigde Staten) - database, inloggen van gebruikers en privébestandsopslag (sjablonen, scans en gegenereerde documenten), gehost in Ierland (EU) en versleuteld bij opslag.
Stripe (Stripe, Inc. en gelieerde ondernemingen, waaronder Stripe Payments Europe, Limited) - facturering van abonnementen en eenmalige betalingen (alleen account- en factureringsgegevens, nooit de inhoud van documenten).
Zone Media OÜ (Zone.eu, Estland) - de mailhosting waarmee DocuTract e-mail verstuurt, waaronder de e-mail met de links naar een betaald document (het adres van de ontvanger, het onderwerp en de tekst; het document zelf wordt niet bijgevoegd).
PostHog, Inc. (productanalyse) - privacyvriendelijke websiteanalyse, gehost in de EU en alleen actief met toestemming van de bezoeker, waarbij alle tekst en invoer wordt gemaskeerd. Het verwerkt niet de inhoud van geüploade documenten of scans.

DocuTract kondigt elke voorgenomen toevoeging of vervanging van een subverwerker vooraf aan, zodat de Klant op redelijke gronden van gegevensbescherming bezwaar kan maken.

Internationale doorgiften

Sommige subverwerkers verwerken Persoonsgegevens van de Klant buiten de EER - in het bijzonder Anthropic, dat gegevens opslaat in de Verenigde Staten, en Stripe, dat gevestigd is in de Verenigde Staten. Supabase host onze gegevens in Ierland, maar is gevestigd in de Verenigde Staten, dus toegang op afstand vanuit dat land wordt als doorgifte behandeld. Voor elke zulke doorgifte baseert DocuTract zich op de standaardcontractbepalingen van de Europese Commissie die zijn opgenomen in de verwerkingsvoorwaarden van de subverwerker of, waar beschikbaar, op een adequaatheidsbesluit (zoals het EU-US Data Privacy Framework), samen met de hierboven beschreven technische maatregelen.

Inbreuk in verband met persoonsgegevens

DocuTract stelt de Klant zonder onredelijke vertraging op de hoogte nadat het kennis heeft genomen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant treft, met de informatie die de Klant redelijkerwijs nodig heeft om aan zijn eigen meldingsplichten te voldoen.

Teruggave en verwijdering

Bij beëindiging van de dienst, of op schriftelijk verzoek van de Klant aan legal@docutract.online, verwijdert DocuTract Persoonsgegevens van de Klant of geeft het deze terug, en verwijdert het bestaande kopieën binnen 30 dagen, behalve waar opslag wettelijk verplicht is. Kopieën bij subverwerkers worden verwijderd binnen hun eigen bewaartermijnen (voor Anthropic maximaal 30 dagen na de verwerking).

Audits

DocuTract stelt de informatie beschikbaar die nodig is om aan te tonen dat aan deze DPA wordt voldaan, en draagt bij aan audits, waaronder inspecties, uitgevoerd door de Klant of een door hem gemachtigde auditor, na een redelijke aankondiging en met inachtneming van geheimhouding.

Aansprakelijkheid en voorrang

Als er op het gebied van de verwerking van persoonsgegevens een tegenstrijdigheid ontstaat tussen deze DPA en de Servicevoorwaarden, heeft deze DPA voorrang. Vragen over deze DPA? Schrijf naar legal@docutract.online.