Acord de prelucrare a datelor (DPA)

Prezentul Acord de prelucrare a datelor („DPA”) face parte din Termenii de utilizare încheiați între dvs. („Clientul”, operatorul) și DocuTract („DocuTract”, persoana împuternicită de operator). Acesta reglementează prelucrarea de către DocuTract a datelor cu caracter personal conținute în documentele, scanările și șabloanele pe care le încărcați („Datele cu caracter personal ale Clientului”) și reflectă cerințele articolului 28 din Regulamentul general privind protecția datelor al UE (GDPR).

Rolurile părților

Clientul este operatorul și stabilește scopurile și mijloacele prelucrării Datelor cu caracter personal ale Clientului. DocuTract este persoana împuternicită de operator și prelucrează Datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv a celor date prin utilizarea normală a serviciului. Acolo unde DocuTract acționează ca operator pentru datele contului și datele de facturare, se aplică în schimb Politica de confidențialitate.

Obiectul și durata

Obiectul îl constituie prelucrarea necesară pentru furnizarea DocuTract – extragerea câmpurilor din scanările încărcate și generarea documentelor completate. Prelucrarea durează pe toată perioada de valabilitate a Termenilor de utilizare și până la ștergerea Datelor cu caracter personal ale Clientului în conformitate cu prezentul DPA.

Natura și scopul prelucrării

DocuTract prelucrează Datele cu caracter personal ale Clientului pentru a primi fișierele încărcate, a efectua extragerea automată, a completa șabloanele, a genera documentele rezultate și a stoca aceste documente și scanări în numele Clientului.

Categoriile de date și de persoane vizate

Clientul controlează ce încarcă. Datele cu caracter personal ale Clientului pot include date de identitate, de contact, date din documente de identificare, date financiare și alte date conținute în fișierele sursă ale Clientului. Persoanele vizate pot include clienții, angajații și contrapărțile Clientului, precum și orice persoane fizice numite în documentele Clientului.

Categorii speciale de date

DocuTract nu este conceput pentru categorii speciale de date cu caracter personal (articolul 9 din GDPR, cum ar fi datele privind sănătatea) sau pentru date privind condamnări penale și infracțiuni (articolul 10 din GDPR). Clientul nu va încărca astfel de date decât dacă are un temei juridic valabil pentru prelucrarea respectivă și a informat în prealabil DocuTract în scris, astfel încât părțile să poată conveni asupra unor garanții suplimentare.

Obligațiile DocuTract

DocuTract:

prelucrează Datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului;
se asigură că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
pune în aplicare măsurile tehnice și organizatorice descrise mai jos;
nu utilizează Datele cu caracter personal ale Clientului pentru antrenarea modelelor de învățare automată sau în orice alt scop decât furnizarea serviciului;
asistă Clientul, ținând seama de natura prelucrării, în ceea ce privește cererile persoanelor vizate și obligațiile acestuia privind securitatea, notificarea încălcărilor și evaluarea impactului.

Măsuri de securitate

DocuTract menține măsuri tehnice și organizatorice adecvate, inclusiv criptarea în tranzit (TLS) și în repaus (baza de date și spațiul de stocare a fișierelor sunt criptate de furnizorii acestora), controale de acces bazate pe principiul privilegiului minim și pe autentificare, autentificarea în doi pași pentru utilizatori (pe care proprietarul unui spațiu de lucru o poate face obligatorie) și autentificarea obligatorie în doi pași pentru administratorii DocuTract, stocarea privată a fișierelor, care nu este niciodată accesibilă public și este expusă doar prin URL-uri semnate, cu durată scurtă de valabilitate, limitate la un spațiu de lucru, separarea logică a datelor fiecărui spațiu de lucru, un jurnal de acces în care se pot doar adăuga înregistrări, pentru modificările și citirile Datelor cu caracter personal ale Clientului și pentru fiecare acces al unui administrator, generarea PDF-urilor pe serverele proprii ale DocuTract, precum și revizuirea periodică a acestor măsuri.

Subprocesatori

Clientul autorizează DocuTract să recurgă la subprocesatori pentru furnizarea serviciului. DocuTract impune fiecărui subprocesator obligații de protecție a datelor care nu sunt mai puțin protectoare decât cele din prezentul DPA și rămâne răspunzătoare pentru îndeplinirea acestora. Subprocesatorii actuali sunt:

Anthropic Ireland, Limited (Irlanda) – recunoașterea prin AI a textului și a câmpurilor din scanările încărcate și analiza șabloanelor încărcate. Primește doar conținutul fișierelor – fără numele fișierelor sau identificatori de cont. Anthropic stochează datele în Statele Unite, le poate prelucra în alte țări în care își desfășoară activitatea, păstrează datele de intrare și de ieșire timp de cel mult 30 de zile și nu le folosește pentru antrenarea modelelor.
Hetzner Online GmbH (Germania) – găzduirea serverelor într-un centru de date din Falkenstein, Germania: aplicația, cozile de sarcini și generarea PDF-urilor.
Supabase, Inc. (Statele Unite) – baza de date, autentificarea utilizatorilor și stocarea privată a fișierelor (șabloane, scanări și documente generate), găzduite în Irlanda (UE) și criptate în repaus.
Stripe (Stripe, Inc. și afiliații săi, inclusiv Stripe Payments Europe, Limited) – facturarea abonamentelor și plățile unice (doar datele contului și de facturare, niciodată conținutul documentelor).
Zone Media OÜ (Zone.eu, Estonia) – serviciul de găzduire a e-mailului prin care DocuTract trimite e-mailuri, inclusiv e-mailul cu linkurile către un document plătit (adresa destinatarului, subiectul și corpul mesajului; documentul însuși nu este atașat).
PostHog, Inc. (analiză de produs) – analiză a site-ului web care respectă confidențialitatea, găzduită în UE și activă doar cu consimțământul vizitatorului, cu toate textele și datele introduse mascate. Nu prelucrează conținutul documentelor sau al scanărilor încărcate.

DocuTract va notifica în prealabil orice adăugare sau înlocuire intenționată a unui subprocesator, astfel încât Clientul să poată formula obiecții pe motive rezonabile legate de protecția datelor.

Transferuri internaționale

Unii subprocesatori prelucrează Datele cu caracter personal ale Clientului în afara SEE – în special Anthropic, care stochează date în Statele Unite, și Stripe, care este stabilită în Statele Unite. Supabase găzduiește datele noastre în Irlanda, dar este stabilită în Statele Unite, astfel încât accesul de la distanță de acolo este tratat ca un transfer. Pentru fiecare astfel de transfer, DocuTract se bazează pe clauzele contractuale standard ale Comisiei Europene, încorporate în condițiile de prelucrare a datelor ale subprocesatorului, sau, acolo unde este disponibilă, pe o decizie privind caracterul adecvat (cum ar fi Cadrul UE-SUA privind confidențialitatea datelor), împreună cu măsurile tehnice prezentate mai sus.

Încălcarea securității datelor cu caracter personal

DocuTract va notifica Clientul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele cu caracter personal ale Clientului, furnizând informațiile de care Clientul are în mod rezonabil nevoie pentru a-și îndeplini propriile obligații de notificare.

Returnarea și ștergerea

La încetarea serviciului sau la cererea scrisă a Clientului transmisă la legal@docutract.online, DocuTract va șterge sau va returna Datele cu caracter personal ale Clientului și va șterge copiile existente în termen de 30 de zile, cu excepția cazului în care stocarea este impusă de lege. Copiile deținute de subprocesatori sunt șterse în cadrul propriilor perioade de păstrare ale acestora (pentru Anthropic, cel mult 30 de zile de la prelucrare).

Audituri

DocuTract pune la dispoziție informațiile necesare pentru a demonstra respectarea prezentului DPA și va contribui la audituri, inclusiv la inspecții, efectuate de Client sau de un auditor mandatat de acesta, cu o notificare prealabilă rezonabilă și sub rezerva confidențialității.

Răspunderea și prioritatea

Dacă apare vreun conflict între prezentul DPA și Termenii de utilizare în ceea ce privește prelucrarea datelor cu caracter personal, prevalează prezentul DPA. Aveți întrebări despre prezentul DPA? Scrieți-ne la legal@docutract.online.