Zmluva o spracúvaní osobných údajov (DPA)

Táto Zmluva o spracúvaní osobných údajov („DPA“) je súčasťou Podmienok používania služby medzi vami („Zákazník“, prevádzkovateľ) a DocuTract („DocuTract“, sprostredkovateľ). Upravuje spracúvanie osobných údajov spoločnosťou DocuTract, ktoré sú obsiahnuté v dokumentoch, skenoch a šablónach, ktoré nahráte („Osobné údaje zákazníka“), a zohľadňuje požiadavky článku 28 všeobecného nariadenia EÚ o ochrane údajov (GDPR).

Úlohy zmluvných strán

Zákazník je prevádzkovateľ a určuje účely a prostriedky spracúvania Osobných údajov zákazníka. DocuTract je sprostredkovateľ a spracúva Osobné údaje zákazníka len na základe zdokumentovaných pokynov Zákazníka, vrátane pokynov daných bežným používaním služby. Ak DocuTract koná ako prevádzkovateľ údajov o účte a platbách, uplatňujú sa namiesto toho Zásady ochrany osobných údajov.

Predmet a doba trvania

Predmetom je spracúvanie nevyhnutné na poskytovanie DocuTract – vyťažovanie polí z nahraných skenov a generovanie vyplnených dokumentov. Spracúvanie trvá počas platnosti Podmienok používania služby a do odstránenia Osobných údajov zákazníka v súlade s touto DPA.

Povaha a účel spracúvania

DocuTract spracúva Osobné údaje zákazníka na prijímanie nahraných súborov, vykonávanie automatizovaného vyťažovania údajov, vypĺňanie šablón, generovanie výstupných dokumentov a ukladanie týchto dokumentov a skenov v mene Zákazníka.

Kategórie údajov a dotknutých osôb

Zákazník rozhoduje o tom, čo nahráva. Osobné údaje zákazníka môžu zahŕňať údaje o totožnosti, kontaktné údaje, údaje z dokladov totožnosti, finančné a iné údaje obsiahnuté v zdrojových súboroch Zákazníka. Dotknutými osobami môžu byť klienti Zákazníka, zamestnanci, zmluvné protistrany a akékoľvek fyzické osoby uvedené v dokumentoch Zákazníka.

Osobitné kategórie údajov

DocuTract nie je určený na osobitné kategórie osobných údajov (článok 9 GDPR, napríklad údaje týkajúce sa zdravia) ani na údaje týkajúce sa uznania viny za trestné činy a priestupky (článok 10 GDPR). Zákazník takéto údaje nenahrá, pokiaľ nemá platný právny základ na takéto spracúvanie a vopred o tom písomne neinformoval DocuTract, aby sa zmluvné strany mohli dohodnúť na akýchkoľvek dodatočných zárukách.

Povinnosti DocuTract

DocuTract bude:

spracúvať Osobné údaje zákazníka len na základe zdokumentovaných pokynov Zákazníka;
zabezpečovať, aby osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou;
uplatňovať technické a organizačné opatrenia opísané nižšie;
nepoužívať Osobné údaje zákazníka na trénovanie modelov strojového učenia ani na žiadny iný účel ako poskytovanie služby;
s prihliadnutím na povahu spracúvania pomáhať Zákazníkovi pri vybavovaní žiadostí dotknutých osôb a pri plnení jeho povinností v oblasti bezpečnosti, oznamovania porušení a posúdenia vplyvu.

Bezpečnostné opatrenia

DocuTract udržiava primerané technické a organizačné opatrenia vrátane šifrovania pri prenose (TLS) aj v úložisku (databázu a úložisko súborov šifrujú ich poskytovatelia), riadenia prístupu na základe najnižších oprávnení a overovania, dvojfaktorového overenia pre používateľov (ktoré môže vlastník pracovného priestoru nastaviť ako povinné) a povinného dvojfaktorového overenia pre správcov DocuTract, súkromného úložiska súborov, ktoré nikdy nie je verejne prístupné a sprístupňuje sa len cez krátkodobé podpísané URL obmedzené na pracovný priestor, logického oddelenia údajov každého pracovného priestoru, protokolu prístupov, do ktorého sa dá len pridávať, so zmenami a čítaním Osobných údajov zákazníka a s každým prístupom správcu, vytvárania PDF na vlastných serveroch DocuTract a pravidelného preskúmavania týchto opatrení.

Ďalší sprostredkovatelia

Zákazník oprávňuje DocuTract zapojiť ďalších sprostredkovateľov na poskytovanie služby. DocuTract ukladá každému ďalšiemu sprostredkovateľovi povinnosti v oblasti ochrany údajov, ktoré nie sú menej prísne ako povinnosti v tejto DPA, a zostáva zodpovedný za ich plnenie. Súčasnými ďalšími sprostredkovateľmi sú:

Anthropic Ireland, Limited (Írsko) – rozpoznávanie textu a polí v nahraných skenoch pomocou AI a analýza nahraných šablón. Dostáva len obsah súborov – žiadne názvy súborov ani identifikátory účtov. Anthropic uchováva údaje v Spojených štátoch, môže ich spracúvať v ďalších krajinách, v ktorých pôsobí, uchováva vstupy a výstupy najviac 30 dní a nepoužíva ich na trénovanie modelov.
Hetzner Online GmbH (Nemecko) – hosting serverov v dátovom centre vo Falkensteine, Nemecko: aplikácia, fronty úloh a vytváranie PDF.
Supabase, Inc. (Spojené štáty) – databáza, prihlasovanie používateľov a súkromné úložisko súborov (šablóny, skeny a vygenerované dokumenty), s hostingom v Írsku (EÚ) a šifrované v úložisku.
Stripe (Stripe, Inc. a jej prepojené spoločnosti vrátane Stripe Payments Europe, Limited) – účtovanie predplatného a jednorazové platby (len údaje o účte a platbách, nikdy nie obsah dokumentov).
Zone Media OÜ (Zone.eu, Estónsko) – poštový hosting, cez ktorý DocuTract odosiela e-maily, vrátane e-mailu s odkazmi na zaplatený dokument (adresa príjemcu, predmet a telo správy; samotný dokument sa neprikladá).
PostHog, Inc. (produktová analytika) – analytika webu šetrná k súkromiu, s hostingom v EÚ a aktívna len so súhlasom návštevníka, pričom všetok text a vstupy sú maskované. Nespracúva obsah nahraných dokumentov ani skenov.

DocuTract vopred oznámi každé zamýšľané pridanie alebo nahradenie ďalšieho sprostredkovateľa, aby Zákazník mohol z odôvodnených dôvodov ochrany údajov namietať.

Medzinárodné prenosy

Niektorí ďalší sprostredkovatelia spracúvajú Osobné údaje zákazníka mimo EHP – najmä Anthropic, ktorý uchováva údaje v Spojených štátoch, a Stripe, ktorý je usadený v Spojených štátoch. Supabase hostí naše údaje v Írsku, ale je usadený v Spojených štátoch, preto sa vzdialený prístup odtiaľ považuje za prenos. Pri každom takomto prenose sa DocuTract opiera o štandardné zmluvné doložky Európskej komisie začlenené do podmienok spracúvania údajov ďalšieho sprostredkovateľa alebo, ak je k dispozícii, o rozhodnutie o primeranosti (napríklad rámec ochrany osobných údajov medzi EÚ a USA – EU-US Data Privacy Framework) spolu s technickými opatreniami uvedenými vyššie.

Porušenie ochrany osobných údajov

DocuTract upovedomí Zákazníka bez zbytočného odkladu po tom, ako sa dozvie o porušení ochrany osobných údajov, ktoré sa týka Osobných údajov zákazníka, a poskytne informácie, ktoré Zákazník odôvodnene potrebuje na splnenie vlastných oznamovacích povinností.

Vrátenie a vymazanie

Pri ukončení služby alebo na základe písomnej žiadosti Zákazníka zaslanej na legal@docutract.online DocuTract Osobné údaje zákazníka vymaže alebo vráti a existujúce kópie vymaže do 30 dní, okrem prípadov, keď uchovávanie vyžaduje zákon. Kópie u ďalších sprostredkovateľov sa vymažú v rámci ich vlastných lehôt uchovávania (pri Anthropic najviac 30 dní po spracovaní).

Audity

DocuTract poskytne informácie potrebné na preukázanie súladu s touto DPA a bude prispievať k auditom vrátane kontrol, ktoré vykoná Zákazník alebo ním poverený audítor, po primeranom predchádzajúcom oznámení a s podmienkou zachovania mlčanlivosti.

Zodpovednosť a prednosť

Ak vznikne rozpor medzi touto DPA a Podmienkami používania služby vo veci spracúvania osobných údajov, prednosť má táto DPA. Máte otázky k tejto DPA? Napíšte na legal@docutract.online.