Umowa powierzenia przetwarzania danych (DPA)

Niniejsza Umowa powierzenia przetwarzania danych („Umowa powierzenia”, „DPA”) stanowi część Regulaminu świadczenia usług zawartego między Tobą („Klient”, administrator) a DocuTract („DocuTract”, podmiot przetwarzający). Reguluje ona przetwarzanie przez DocuTract danych osobowych zawartych w przesyłanych przez Ciebie dokumentach, skanach i szablonach („Dane Osobowe Klienta”) i odzwierciedla wymogi art. 28 ogólnego rozporządzenia UE o ochronie danych (RODO).

Role stron

Klient jest administratorem i określa cele i sposoby przetwarzania Danych Osobowych Klienta. DocuTract jest podmiotem przetwarzającym i przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, w tym polecenia wydawane w ramach zwykłego korzystania z usługi. W zakresie, w jakim DocuTract działa jako administrator danych konta i danych rozliczeniowych, zastosowanie ma natomiast Polityka prywatności.

Przedmiot i czas trwania

Przedmiotem jest przetwarzanie niezbędne do świadczenia usługi DocuTract – ekstrakcja pól z przesłanych skanów i generowanie wypełnionych dokumentów. Przetwarzanie trwa przez okres obowiązywania Regulaminu świadczenia usług oraz do czasu usunięcia Danych Osobowych Klienta zgodnie z niniejszą Umową powierzenia.

Charakter i cel przetwarzania

DocuTract przetwarza Dane Osobowe Klienta w celu odbierania przesłanych plików, przeprowadzania zautomatyzowanej ekstrakcji, wypełniania szablonów, generowania dokumentów wynikowych oraz przechowywania tych dokumentów i skanów w imieniu Klienta.

Kategorie danych i osób, których dane dotyczą

Klient decyduje o tym, co przesyła. Dane Osobowe Klienta mogą obejmować dane identyfikacyjne, dane kontaktowe, dane z dokumentów tożsamości, dane finansowe oraz inne informacje zawarte w plikach źródłowych Klienta. Osobami, których dane dotyczą, mogą być klienci Klienta, jego pracownicy, kontrahenci oraz wszelkie osoby fizyczne wymienione w dokumentach Klienta.

Szczególne kategorie danych

DocuTract nie jest przeznaczony do przetwarzania szczególnych kategorii danych osobowych (art. 9 RODO, np. danych dotyczących zdrowia) ani danych dotyczących wyroków skazujących i czynów zabronionych (art. 10 RODO). Klient nie będzie przesyłać takich danych, chyba że posiada ważną podstawę prawną ich przetwarzania i uprzednio poinformował o tym DocuTract na piśmie, tak aby strony mogły uzgodnić ewentualne dodatkowe zabezpieczenia.

Obowiązki DocuTract

DocuTract zobowiązuje się:

przetwarzać Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta;
zapewnić, aby osoby upoważnione do przetwarzania danych były zobowiązane do zachowania poufności;
wdrożyć opisane poniżej środki techniczne i organizacyjne;
nie wykorzystywać Danych Osobowych Klienta do trenowania modeli uczenia maszynowego ani w żadnym innym celu niż świadczenie usługi;
pomagać Klientowi, uwzględniając charakter przetwarzania, w realizacji żądań osób, których dane dotyczą, oraz w wywiązywaniu się z jego obowiązków w zakresie bezpieczeństwa, zgłaszania naruszeń i oceny skutków dla ochrony danych.

Środki bezpieczeństwa

DocuTract stosuje odpowiednie środki techniczne i organizacyjne, w tym szyfrowanie podczas przesyłania (TLS) i w spoczynku (baza danych i magazyn plików są szyfrowane przez ich dostawców), kontrolę dostępu zgodnie z zasadą minimalnych uprawnień i z uwierzytelnianiem, uwierzytelnianie dwuskładnikowe dla użytkowników (które właściciel przestrzeni roboczej może uczynić obowiązkowym) oraz obowiązkowe uwierzytelnianie dwuskładnikowe dla administratorów DocuTract, prywatny magazyn plików, który nigdy nie jest publicznie dostępny i jest udostępniany wyłącznie za pośrednictwem krótkotrwałych, podpisanych adresów URL ograniczonych do przestrzeni roboczej, logiczną separację danych każdej przestrzeni roboczej, dziennik dostępu, do którego można jedynie dopisywać wpisy, rejestrujący zmiany i odczyty Danych Osobowych Klienta oraz każdy dostęp administratora, renderowanie plików PDF na własnych serwerach DocuTract oraz regularny przegląd tych środków.

Podmioty podprzetwarzające

Klient upoważnia DocuTract do korzystania z usług podmiotów podprzetwarzających w celu świadczenia usługi. DocuTract nakłada na każdy podmiot podprzetwarzający obowiązki w zakresie ochrony danych zapewniające ochronę nie mniejszą niż przewidziana w niniejszej Umowie powierzenia i pozostaje odpowiedzialny za ich wykonanie. Aktualne podmioty podprzetwarzające to:

Anthropic Ireland, Limited (Irlandia) – rozpoznawanie przez AI tekstu i pól w przesłanych skanach oraz analiza przesłanych szablonów. Otrzymuje wyłącznie zawartość plików – bez nazw plików ani identyfikatorów kont. Anthropic przechowuje dane w Stanach Zjednoczonych, może przetwarzać je w innych państwach, w których prowadzi działalność, przechowuje dane wejściowe i wyjściowe przez okres do 30 dni i nie wykorzystuje ich do trenowania modeli.
Hetzner Online GmbH (Niemcy) – hosting serwerów w centrum danych w Falkenstein, Niemcy: aplikacja, kolejki zadań i renderowanie plików PDF.
Supabase, Inc. (Stany Zjednoczone) – baza danych, logowanie użytkowników i prywatny magazyn plików (szablony, skany i wygenerowane dokumenty), hostowane w Irlandii (UE) i szyfrowane w spoczynku.
Stripe (Stripe, Inc. i podmioty z nią powiązane, w tym Stripe Payments Europe, Limited) – rozliczanie subskrypcji i płatności jednorazowe (wyłącznie dane konta i dane rozliczeniowe, nigdy treść dokumentów).
Zone Media OÜ (Zone.eu, Estonia) – hosting poczty, za pośrednictwem którego DocuTract wysyła wiadomości e-mail, w tym wiadomość z linkami do opłaconego dokumentu (adres odbiorcy, temat i treść wiadomości; sam dokument nie jest załączany).
PostHog, Inc. (analityka produktowa) – przyjazna dla prywatności analityka strony internetowej, hostowana w UE i aktywna wyłącznie za zgodą odwiedzającego, z maskowaniem całego tekstu i wprowadzanych danych. Nie przetwarza treści przesłanych dokumentów ani skanów.

DocuTract z wyprzedzeniem powiadomi o każdym zamierzonym dodaniu lub zastąpieniu podmiotu podprzetwarzającego, aby Klient mógł wnieść sprzeciw z uzasadnionych przyczyn związanych z ochroną danych.

Przekazywanie danych do państw trzecich

Niektóre podmioty podprzetwarzające przetwarzają Dane Osobowe Klienta poza EOG – w szczególności Anthropic, który przechowuje dane w Stanach Zjednoczonych, oraz Stripe, który ma siedzibę w Stanach Zjednoczonych. Supabase przechowuje nasze dane w Irlandii, ale ma siedzibę w Stanach Zjednoczonych, dlatego zdalny dostęp z tego państwa traktowany jest jako przekazanie danych. W przypadku każdego takiego przekazania DocuTract opiera się na standardowych klauzulach umownych Komisji Europejskiej włączonych do warunków przetwarzania danych danego podmiotu podprzetwarzającego lub, o ile jest to możliwe, na decyzji stwierdzającej odpowiedni stopień ochrony (takiej jak EU-US Data Privacy Framework), w połączeniu z opisanymi powyżej środkami technicznymi.

Naruszenie ochrony danych osobowych

DocuTract powiadomi Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych dotyczącego Danych Osobowych Klienta, przekazując informacje, których Klient w uzasadniony sposób potrzebuje do wywiązania się z własnych obowiązków w zakresie zgłaszania naruszeń.

Zwrot i usunięcie danych

Po zakończeniu świadczenia usługi lub na pisemne żądanie Klienta skierowane na adres legal@docutract.online DocuTract usunie lub zwróci Dane Osobowe Klienta oraz usunie istniejące kopie w ciągu 30 dni, chyba że przepisy prawa wymagają ich przechowywania. Kopie przechowywane przez podmioty podprzetwarzające są usuwane w ramach ich własnych okresów przechowywania (w przypadku Anthropic – do 30 dni od przetworzenia).

Audyty

DocuTract udostępnia informacje niezbędne do wykazania przestrzegania niniejszej Umowy powierzenia i umożliwia przeprowadzanie audytów, w tym inspekcji, przez Klienta lub upoważnionego przez niego audytora, z zachowaniem rozsądnego terminu uprzedzenia i z zastrzeżeniem zachowania poufności.

Odpowiedzialność i pierwszeństwo

W przypadku sprzeczności między niniejszą Umową powierzenia a Regulaminem świadczenia usług w zakresie przetwarzania danych osobowych pierwszeństwo ma niniejsza Umowa powierzenia. Masz pytania dotyczące niniejszej Umowy powierzenia? Napisz na adres legal@docutract.online.