Marrëveshje për Përpunimin e të Dhënave (DPA)

Objekti & Rolet e palëve

Kontrolluesi (Porositësi): klienti që përdor platformën dhe vendos mbi qëllimin dhe mjetet e përpunimit të të dhënave të vendosura.

Përpunuesi (i Porositur):

Përpunuesi përpunon të dhëna personale ekskluzivisht me porosi dhe sipas udhëzimit të Kontrolluesit (Nenet 28, 29 të GDPR-së).

Objekti, natyra dhe qëllimi i përpunimit

Objekti: Ofrimi i një platforme SaaS për menaxhimin, ruajtjen, kërkimin dhe përpunimin opsional të dokumenteve me ndihmën e Inteligjencës Artificiale (KI).

Natyra e përpunimit: Mbledhja, ruajtja, organizimi, indeksimi, kërkimi, shfaqja, transmetimi (te nën-ofruesit e zgjedhur), fshirja.

Qëllimi: Përmbushja e kontratës së përdorimit (AGB) — menaxhimi i dokumenteve dhe të dhënave të vendosura nga Kontrolluesi.

Kohëzgjatja: Për kohëzgjatjen e kontratës së përdorimit. Pas përfundimit zbatohet § 10 (Fshirja/Kthimi).

Lloji i të dhënave & Kategoritë e subjekteve

Kategoritë e të dhënave personale (të përcaktuara nga Kontrolluesi):

• Të dhëna bazë (emra, adresa, të dhëna kontakti)
• Përmbajtja e dokumenteve dhe teksti i nxjerrë prej tyre (OCR), metadata, etiketa
• Përmbajtja e komunikimit dhe e mesazheve (chat-i i ekipit)
• nëse është rasti, kategori të veçanta (Neni 9), nëse vendosen nga Kontrolluesi

Kategoritë e personave të prekur: Klientë, mandatues, punonjës, furnitorë dhe partnerë të tjerë biznesi të Kontrolluesit.

Detyrimi ndaj udhëzimeve

Përpunuesi i përpunon të dhënat ekskluzivisht sipas udhëzimit të dokumentuar të Kontrolluesit, përfshirë konfigurimin përmes platformës. Udhëzimet gojore konfirmohen menjëherë me shkrim (mjafton forma tekstuale).

Nëse Përpunuesi e konsideron një udhëzim si të paligjshëm, ai informon menjëherë Kontrolluesin (Neni 28 par. 3 germa h e GDPR-së).

Detyrimet e Përpunuesit

• Konfidencialiteti: personat e autorizuar për përpunim janë të detyruar të ruajnë konfidencialitetin (Neni 28 par. 3 germa b, Neni 29).
• Siguria: Zbatimi i masave sipas Nenit 32 të GDPR-së (§ 6).
• Nënkontraktorët: Përdorimi vetëm sipas § 7.
• Mbështetja: Bashkëpunimi për të drejtat e subjekteve dhe sigurinë (§ 8, § 9).
• Llogaridhënia: Ofrimi i dëshmive të nevojshme (§ 11).

Masat teknike-organizative (Neni 32)

• Enkriptimi: TLS/HTTPS gjatë transmetimit; kopje rezervë të enkriptuara.
• Ndarja e klientëve: bazë të dhënash e dedikuar për çdo kompani (Database-per-Tenant) — izolim i rreptë logjik.
• Kontrolli i qasjes: leje të bazuara në role, hash-im i fjalëkalimit (bcrypt), vërtetim me dy faktorë (2FA).
• Mbrojtja nga malware: kontroll antivirus (ClamAV) në çdo ngarkim.
• Rrjeti/Serveri: izolim i firewall-it dhe i kontejnerëve, qasje ekskluzivisht me çelës SSH, përditësime automatike sigurie.
• Disponueshmëria/Riatdhesueshmëria: kopje rezervë të enkriptuara në BE, ruajtje off-site e pandryshueshme (WORM).
• Regjistrimi: Audit-Logs të veprimeve të rëndësishme për sigurinë.

Nën-përpunuesit

Kontrolluesi miraton në mënyrë të përgjithshme përdorimin e nën-përpunuesve të mëposhtëm. Secili është i detyruar me kontratë (Neni 28):

• Hetzner Online GmbH (DE) — Hosting, ruajtje, kopje rezervë (BE). DPA
• Cloudflare — CDN, Tunnel, siguri. DPA
• Stripe — Përpunimi i pagesave. Mbrojtja e të dhënave
• Brevo — Dërgimi i e-mail-eve (transaksional). Kushtet
• OpenAI / Anthropic / Google — funksione opsionale të KI-së, vetëm kur aktivizohen, në modalitet API, pa trajnim (EU-US DPF / SCCs).

Mbështetja & Të drejtat e subjekteve

Përpunuesi e mbështet Kontrolluesin me masa të përshtatshme në përmbushjen e të drejtave të subjekteve (qasja, korrigjimi, fshirja, kufizimi, transportueshmëria e të dhënave, kundërshtimi — Nenet 15–21), si dhe në vlerësimet e ndikimit në mbrojtjen e të dhënave (Neni 35) dhe konsultimet (Neni 36).

Nëse një subjekt i të dhënave i drejtohet drejtpërdrejt Përpunuesit, ky e përcjell menjëherë kërkesën te Kontrolluesi.

Njoftimi i shkeljeve të mbrojtjes së të dhënave

Përpunuesi i njofton Kontrolluesit shkeljet e mbrojtjes së të dhënave personale menjëherë pasi merr dijeni (Neni 33 par. 2) dhe ofron mbështetje për detyrimet e njoftimit ndaj autoritetit mbikëqyrës (72 orë) dhe personave të prekur (Nenet 33, 34).

Fshirja & Kthimi pas përfundimit të kontratës

Pas përfundimit të kontratës së përdorimit, të dhënat e përpunuara, sipas zgjedhjes së Kontrolluesit, fshihen ose kthehen, dhe kopjet ekzistuese fshihen — brenda 30 ditësh, përveç rastit kur kundërshton një detyrim ligjor ruajtjeje (Neni 28 par. 3 germa g). Eksportimi i të dhënave është i mundur përmes platformës.

Dëshmitë & Të drejtat e kontrollit

Përpunuesi i vë në dispozicion Kontrolluesit të gjitha informacionet e nevojshme për të dëshmuar përmbushjen e detyrimeve sipas Nenit 28 dhe mundëson verifikime — përfshirë inspektime — nga Kontrolluesi ose një kontrollues i ngarkuar (Neni 28 par. 3 germa h), pas një njoftimi paraprak të arsyeshëm dhe pa cenuar funksionimin e klientëve të tjerë.

Përgjegjësia & Dispozitat përfundimtare

Zbatohet rregullimi i përgjegjësisë i Nenit 82 të GDPR-së. Plotësisht zbatohen dispozitat e përgjegjësisë të Kushteve të Përgjithshme të Përdorimit (AGB). Në rast mospërputhjesh midis kësaj DPA-je dhe AGB-së, për sa i përket përpunimit të të dhënave përparësi ka kjo DPA.

Zbatohet ligji gjerman. Ndryshimet kërkojnë formën tekstuale. Nëse një dispozitë është e pavlefshme, vlefshmëria e dispozitave të tjera mbetet e paprekur.