1. Страни, роли и споразумение
Това DPA се сключва електронно между клиента, посочен в записа за приемане, и Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Швеция. martin@accessibilitypdf.com. Записът съдържа официалното име, адреса и държавата на клиента, незадължителен регистрационен номер, представител, имейл за контакт, роля, време на приемане и версия на документа. Тези данни допълват Приложение I по-долу. Доставчикът предлага DPA, като го предоставя заедно с механизма за приемане. Представителят го приема от името на клиента чрез активно отбелязване на поле, което не е предварително отметнато, и изпращане.
Клиентът действа като администратор или като обработващ, който ни ангажира като подизпълнител по обработването с разрешение от администратора. Ние сме обработващ или подизпълнител за личните данни в документите. За нашите собствени контактни, договорни, фактурни и защитни записи сме администратор съгласно уведомлението за поверителност. След приемането DPA обхваща безплатната оценка и платената работа.
2. Документирани инструкции
Обработваме данните в документите само по документирани инструкции: съхранение, техническо извличане, оценка на обхвата с ИИ и офериране по правила, а след поръчка — адаптиране за достъпност с помощта на ИИ, преглед, предаване, поддръжка и изтриване в рамките на договорената услуга. Не ги използваме за реклама, обучение на модели или несвързано продуктово развитие. Записът за качване, поръчката и последващите договорени писмени инструкции съставляват инструкциите.
Незабавно уведомяваме клиента, ако смятаме, че инструкция нарушава приложимото право за защита на данните, и спираме засегнатата операция до изясняване. Ако закон изисква друга обработка, уведомяваме клиента предварително, освен ако законът забранява това по важни съображения от обществен интерес.
3. Хора и сигурност
Достъп до данните имат само упълномощени лица, обвързани със задължение за поверителност. Поддържаме подходящи технически и организационни мерки по член 32 GDPR, отчитайки риска, технологичното развитие и естеството на данните. Приложение II описва мерките на услугата. Редовно преглеждаме достъпа, тестваме възстановяването и изтриването и отстраняваме уязвимости. Не намаляваме съществено защитата по време на действащ ангажимент.
4. Подизпълнители по обработването
Клиентът дава общо писмено разрешение за доставчиците и целите в приетото Приложение III. Налагаме задължения за защита на данните, осигуряващи изискваната по член 28 защита, и оставаме отговорни за изпълнението им. Даваме поне 30 дни предварително известие на контактния имейл по споразумението за планирано добавяне или замяна, засягащи данни от документи, с възможност за мотивирано възражение относно защитата на данните.
Работим с клиента за разрешаване на възражението, използваме разумна алтернатива или позволяваме прекратяване на засегнатата незавършена работа без такса и връщаме предплатената недоставена част. Не изпращаме негови данни на оспорен нов доставчик, докато възражението е нерешено. Промени в договорите на доставчици с по-кратко известие налагат да спрем засегнатата обработка, ако не можем да спазим този ангажимент. Нов списък на сайта сам по себе си не замества известие до съществуващ клиент.
5. Международно предаване
Услугата не обещава обработване само в ЕИП. Одобрени доставчици могат да обработват данни в САЩ и други държави от Приложение III. Преди ограничено предаване установяваме приложимо основание за адекватност или съответните стандартни договорни клаузи на ЕС от 2021 г. (SCC), попълваме необходимите приложения и при нужда оценяваме държавата получател и допълнителните мерки. При поискване даваме информация за приложимите гаранции и копие или начин за получаването им, с пропорционално заличаване за защита на други клиенти или сигурността.
Отметката при качване не е съгласие по член 49 GDPR и не може да узакони иначе незаконно предаване. Отношението между клиента и доставчика в ЕИП се урежда от това DPA по член 28. Когато последващо предаване изисква SCC, съответните износител и вносител трябва да са обвързани от приложимия модул, включително Модул 3 за предаване между обработващи, или да има валиден режим на адекватност. Специално написан SCC текст в тези условия не заменя клаузите на Комисията.
6. Съдействие и инциденти
С оглед естеството на обработката помагаме на клиента при искания за достъп, корекция, изтриване, ограничаване, преносимост и възражения, както и при задължения за сигурност, оценки на въздействието и предварителни консултации по членове 32–36. Незабавно препращаме искане, получено пряко от субект на данни, и не отговаряме от името на клиента без инструкция или законово изискване.
Уведомяваме клиента без ненужно забавяне, след като узнаем за нарушение на сигурността на лични данни, което го засяга. Първоначалното известие не се отлага до установяване на всички факти. При наличност даваме информация за естеството на нарушението, категориите и приблизителния брой лица и записи, контакти, вероятни последици, предприети или предложени действия и актуализации. Запазваме необходимите доказателства, съдействаме за ограничаване на вредите и уведомленията на клиента и документираме реакцията си.
7. Информация, одити и разходи
Предоставяме информацията, необходима за доказване на спазването на DPA, и позволяваме и подпомагаме одити, включително проверки, от клиента или упълномощен независим одитор. Съществуващи доклади могат да се използват, ако са достатъчни. Прилагат се разумно предизвестие, поверителност и защита на други клиенти, без да се възпрепятстват ефективен одит, спешен преглед на инцидент или регулаторен достъп. Стандартното съдействие и доказателства са включени. Предварително договаряме разумни такси за извънредна работа, поискана от клиента; съдействието, необходимо поради наше нарушение, е безплатно.
8. Връщане, изтриване и срок
DPA започва с приемането и действа, докато ние или нашите подизпълнители обработваме документни данни на клиента. При прекратяване клиентът може да поиска връщане или изтриване; обичайният начин за връщане е предоставяне за изтегляне. Документи без поръчка изтичат след 24 часа и се изтриват в следващия цикъл на поддръжка. Непотвърдени поръчки изтичат след седем дни; отменените се премахват до един ден от отказа. Неплатени образци изтичат след 30 дни; документи от платени поръчки изтичат 30 дни след плащане.
Изтриваме активните копия на услугата и инструктираме съответните доставчици да изтрият своите, освен когато законът изисква съхранение. Изолирани резервни копия и записи за сигурност могат да останат за документирания ограничен срок на доставчика, с употреба само за тази цел и контролиран достъп; съобщаваме съществените изключения и потвърждаваме изтриването при поискване. Локалните работни копия се премахват след всяка задача, включително неуспешните. Задържане по правни причини трябва да е конкретно, документирано и ограничено; данните не могат да се използват повторно. Отделните договорни и финансови записи в уведомлението за поверителност не оправдават запазване на съдържанието на документите.
Приложение I — Подробности за обработването
Предмет: качени бизнес PDF файлове и производно съдържание, достъпни PDF файлове, образци на страници и доклади за преглед. Цел: безплатната оферта и поръчаната услуга за достъпност. Естество: получаване, съхранение, извличане, анализ, структуриране, текстови алтернативи, сравнение, преглед, предаване и изтриване. Честота: за всеки качен документ и поръчка. Продължителност: съгласно раздел 8.
Субекти на данни: автори, служители, бизнес контакти, клиенти, доставчици, длъжностни лица и хора, посочени в обичайни бизнес публикации. Видове данни: имена, професионални контакти, роли, принадлежност, подписи в обичайни бизнес публикации и случайно съдържаща се професионална биографична информация. Специални категории, данни за престъпления и други изключени по условията данни не са разрешени. Ако предвидените субекти или категории са извън това описание, свържете се с нас за договорено изменение преди качване.
Записът за приемане идентифицира клиента, представителя и ролята по GDPR. Martin Schrammel AB е доставчикът с данните за контакт от раздел 1. Инструкциите и правата и задълженията на клиента са описани в раздели 2 и 6–8 и условията на услугата.
Приложение II — Технически и организационни мерки
- HTTPS за клиентските и служебните връзки. Документите се пазят в частно обектно хранилище с разрешен достъп; няма публично хранилище за документи или постоянен публичен URL за изтегляне.
- Сървърни проверки на собствеността; случайни данни за достъп, съхранени като хешове, ограничени във времето имейл връзки за потвърждение и HttpOnly сесийни бисквитки. Отделни идентификационни данни за администратор и производствен процес.
- Ограничения на качването, сървърни проверки на формата и страниците, ограничения на честотата и проверки за един и същ произход при промени от браузъра. Документното съдържание се третира като недоверен вход.
- Временни резервации на задачи в опашката и файлове, специфични за опита, не позволяват остаряла обработка да освобождава файлове. Плащането се потвърждава от проверен webhook на доставчика преди предоставяне на пълните файлове.
- Техническа валидация, независим преглед с ИИ и записано решение от човек за предаване. Човешки преглед остава необходим за семантичната достъпност.
- Определени срокове и планирано изтриване; временните локални работни папки се премахват след всяка задача. Разговорите при доставчици и остатъчното съхранение следват документирани инструкции за изтриване.
- Поверителност, минимални права за достъп, реакция при инцидент, проверки на доставчици и настройки на профили. Не се твърди, че AccessibilityPDF има сертификат ISO 27001 или атестация SOC 2.
Мерките се прилагат пропорционално на договорената обработка. Съществена промяна или допълнително изискване трябва да се договорят преди засегнатата обработка.
Приложение III — Доставчици и гаранции при предаване
Регистърът на подизпълнителите и предаванията на /bg/subprocessors е част от това DPA. Пълният му приет текст е включен в изтегляемото копие на споразумението, така че последващи промени на сайта не изменят приетия списък. Доставчиците получават само данните за конкретната задача; платежните и имейл доставчиците не се нуждаят от PDF съдържанието. OpenAI помага при оценката на обхвата преди фиксирана оферта и при адаптирането и прегледа след поръчка. Кодът изчислява предварителната цена и сумата на фиксираната оферта. Операторът може да използва Anthropic за подпомогнато адаптиране в същия договорен обхват.