Pogodba o obdelavi podatkov (DPA)

Ta pogodba o obdelavi podatkov („pogodba o obdelavi podatkov“) je sestavni del Pogojev uporabe med vami („stranka“, upravljavec) in družbo DocuTract („DocuTract“, obdelovalec). Ureja obdelavo osebnih podatkov, ki jo izvaja DocuTract in ki so vsebovani v dokumentih, skeniranih dokumentih in predlogah, ki jih naložite („osebni podatki stranke“), ter upošteva zahteve člena 28 Splošne uredbe EU o varstvu podatkov (GDPR).

Vloge pogodbenih strank

Stranka je upravljavec ter določa namene in sredstva obdelave osebnih podatkov stranke. DocuTract je obdelovalec in osebne podatke stranke obdeluje le po dokumentiranih navodilih stranke, vključno z navodili, danimi z običajno uporabo storitve. Kadar DocuTract deluje kot upravljavec podatkov o računu in obračunavanju, se namesto tega uporablja Politika zasebnosti.

Predmet in trajanje

Predmet je obdelava, potrebna za zagotavljanje storitve DocuTract – izluščevanje polj iz naloženih skeniranih dokumentov in ustvarjanje izpolnjenih dokumentov. Obdelava traja v času veljavnosti Pogojev uporabe in dokler osebni podatki stranke niso izbrisani v skladu s to pogodbo o obdelavi podatkov.

Narava in namen obdelave

DocuTract obdeluje osebne podatke stranke, da sprejema naložene datoteke, izvaja avtomatizirano izluščevanje podatkov, izpolnjuje predloge, ustvarja izhodne dokumente ter v imenu stranke hrani te dokumente in skenirane dokumente.

Vrste podatkov in posameznikov, na katere se nanašajo osebni podatki

Stranka nadzoruje, kaj naloži. Osebni podatki stranke lahko vključujejo identifikacijske in kontaktne podatke, podatke iz osebnih dokumentov, finančne podatke in druge podatke, vsebovane v izvornih datotekah stranke. Posamezniki, na katere se nanašajo osebni podatki, so lahko stranke, zaposleni in pogodbeni partnerji stranke ter vsi posamezniki, navedeni v dokumentih stranke.

Posebne vrste podatkov

DocuTract ni zasnovan za posebne vrste osebnih podatkov (člen 9 GDPR, na primer podatki o zdravju) ali za podatke v zvezi s kazenskimi obsodbami in kaznivimi dejanji (člen 10 GDPR). Stranka takih podatkov ne bo nalagala, razen če ima za tako obdelavo veljavno pravno podlago in je družbo DocuTract o tem vnaprej pisno obvestila, tako da se lahko pogodbeni stranki dogovorita o morebitnih dodatnih zaščitnih ukrepih.

Obveznosti družbe DocuTract

DocuTract bo:

obdeloval osebne podatke stranke le po dokumentiranih navodilih stranke;
zagotovil, da so osebe, pooblaščene za obdelavo podatkov, zavezane k zaupnosti;
izvajal tehnične in organizacijske ukrepe, opisane v nadaljevanju;
osebnih podatkov stranke ne bo uporabljal za učenje modelov strojnega učenja ali za kateri koli drug namen razen zagotavljanja storitve;
ob upoštevanju narave obdelave pomagal stranki pri obravnavi zahtev posameznikov, na katere se nanašajo osebni podatki, ter pri izpolnjevanju njenih obveznosti glede varnosti, uradnega obveščanja o kršitvah in ocene učinka.

Varnostni ukrepi

DocuTract vzdržuje ustrezne tehnične in organizacijske ukrepe, vključno s šifriranjem med prenosom (TLS) in v mirovanju (podatkovno zbirko in shrambo datotek šifrirajo njihovi ponudniki), nadzorom dostopa po načelu najmanjših pooblastil in s preverjanjem pristnosti, dvostopenjskim preverjanjem pristnosti za uporabnike (ki ga lahko lastnik delovnega prostora določi kot obvezno) in obveznim dvostopenjskim preverjanjem pristnosti za skrbnike DocuTract, zasebno shrambo datotek, ki ni nikoli javno dostopna in je izpostavljena le prek kratkotrajnih podpisanih URL-jev, omejenih na delovni prostor, logično ločitvijo podatkov vsakega delovnega prostora, dnevnikom dostopov, v katerega je mogoče le dodajati vnose in v katerem se beležijo spremembe in branja osebnih podatkov stranke ter vsak dostop skrbnika, upodabljanjem PDF na lastnih strežnikih družbe DocuTract in rednim pregledovanjem teh ukrepov.

Podobdelovalci

Stranka pooblašča družbo DocuTract, da za zagotavljanje storitve vključi podobdelovalce. DocuTract vsakemu podobdelovalcu naloži obveznosti glede varstva podatkov, ki niso manj zaščitne od obveznosti iz te pogodbe o obdelavi podatkov, in ostaja odgovoren za njihovo izpolnjevanje. Trenutni podobdelovalci so:

Anthropic Ireland, Limited (Irska) – prepoznavanje besedila in polj v naloženih skeniranih dokumentih ter analiza naloženih predlog z umetno inteligenco. Prejme le vsebino datotek – brez imen datotek ali identifikatorjev računov. Anthropic hrani podatke v Združenih državah Amerike, lahko jih obdeluje v drugih državah, v katerih posluje, vhodne in izhodne podatke hrani največ 30 dni in jih ne uporablja za učenje modelov.
Hetzner Online GmbH (Nemčija) – gostovanje strežnikov v podatkovnem centru v Falkensteinu v Nemčiji: aplikacija, čakalne vrste opravil in upodabljanje PDF.
Supabase, Inc. (Združene države Amerike) – podatkovna zbirka, prijava uporabnikov in zasebna shramba datotek (predloge, skenirani dokumenti in ustvarjeni dokumenti), gostovano na Irskem (EU) in šifrirano v mirovanju.
Stripe (Stripe, Inc. in njegove povezane družbe, vključno s Stripe Payments Europe, Limited) – obračunavanje naročnin in enkratna plačila (le podatki o računu in obračunavanju, nikoli vsebina dokumentov).
Zone Media OÜ (Zone.eu, Estonija) – gostovanje e-pošte, prek katerega DocuTract pošilja e-poštna sporočila, vključno s sporočilom s povezavami do plačanega dokumenta (naslov prejemnika, zadeva in besedilo sporočila; sam dokument ni priložen).
PostHog, Inc. (analitika izdelka) – analitika spletnega mesta, ki spoštuje zasebnost, gostovana v EU in aktivna le s privolitvijo obiskovalca, pri čemer sta vse besedilo in vsi vnosi zakriti. Ne obdeluje vsebine naloženih dokumentov ali skeniranih dokumentov.

DocuTract bo vnaprej obvestil o vsaki nameravani dodaji ali zamenjavi podobdelovalca, da lahko stranka iz utemeljenih razlogov, povezanih z varstvom podatkov, temu ugovarja.

Mednarodni prenosi

Nekateri podobdelovalci obdelujejo osebne podatke stranke zunaj EGP – zlasti Anthropic, ki hrani podatke v Združenih državah Amerike, in Stripe, ki ima sedež v Združenih državah Amerike. Supabase gostuje naše podatke na Irskem, vendar ima sedež v Združenih državah Amerike, zato se oddaljeni dostop od tam obravnava kot prenos. Za vsak tak prenos se DocuTract opira na standardna pogodbena določila Evropske komisije, vključena v pogoje obdelave podatkov podobdelovalca, ali, kadar je na voljo, na odločitev o ustreznosti (kot je okvir EU-ZDA za zasebnost podatkov), skupaj s tehničnimi ukrepi, navedenimi zgoraj.

Kršitev varnosti osebnih podatkov

DocuTract bo stranko o kršitvi varnosti osebnih podatkov, ki zadeva osebne podatke stranke, obvestil brez nepotrebnega odlašanja, potem ko se z njo seznani, in ji posredoval informacije, ki jih stranka razumno potrebuje za izpolnitev svojih obveznosti uradnega obveščanja.

Vračilo in izbris

Ob prenehanju storitve ali na pisno zahtevo stranke, poslano na legal@docutract.online, bo DocuTract osebne podatke stranke izbrisal ali vrnil in izbrisal obstoječe kopije v 30 dneh, razen kadar zakon zahteva njihovo hrambo. Kopije pri podobdelovalcih se izbrišejo v okviru njihovih lastnih obdobij hrambe (za Anthropic največ 30 dni po obdelavi).

Revizije

DocuTract daje na voljo informacije, potrebne za dokazovanje skladnosti s to pogodbo o obdelavi podatkov, in bo prispeval k revizijam, vključno s pregledi, ki jih izvaja stranka ali revizor, ki ga stranka pooblasti, ob razumnem predhodnem obvestilu in ob upoštevanju zaupnosti.

Odgovornost in prednost

Če pride do nasprotja med to pogodbo o obdelavi podatkov in Pogoji uporabe glede obdelave osebnih podatkov, prevlada ta pogodba o obdelavi podatkov. Imate vprašanja o tej pogodbi o obdelavi podatkov? Pišite nam na legal@docutract.online.