1. Parter, roller og aftale
Denne DPA indgås elektronisk mellem kunden identificeret i acceptregistreringen og Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Sverige. martin@accessibilitypdf.com. Registreringen indeholder kundens juridiske navn, adresse og land, eventuelt registreringsnummer, repræsentant, kontakt-e-mail, rolle, tidspunkt for accept og dokumentversion. Disse oplysninger udfylder bilag I nedenfor. Leverandøren tilbyder denne DPA ved at stille den til rådighed sammen med acceptfunktionen. Repræsentanten accepterer på kundens vegne med en aktiv afkrydsning i et felt, der ikke er markeret på forhånd, og ved at indsende formularen.
Kunden handler som dataansvarlig eller som databehandler, der med den dataansvarliges bemyndigelse bruger os som underdatabehandler. Vi er databehandler eller underdatabehandler for personoplysninger i dokumenter. For vores egne kontakt-, aftale-, fakturerings- og sikkerhedsoplysninger er vi dataansvarlige efter privatlivspolitikken. Når DPA'en er accepteret, omfatter den både den gratis vurdering og det betalte arbejde.
2. Dokumenterede instrukser
Vi behandler kun dokumentoplysninger efter dokumenterede instrukser: opbevaring, teknisk udtræk, AI-assisteret vurdering af opgavens omfang og regelbaseret tilbudsgivning, efterfulgt efter bestilling af AI-assisteret tilgængelighedstilpasning, gennemgang, levering, support og sletning inden for den aftalte tjeneste. Vi bruger ikke oplysningerne til reklame, modeltræning eller uvedkommende produktudvikling. Uploadregistreringen, bestillingen og efterfølgende aftalte skriftlige instrukser udgør instrukserne.
Vi underretter straks kunden, hvis vi mener, at en instruks strider mod gældende databeskyttelseslovgivning, og sætter den berørte behandling på pause, indtil forholdet er afklaret. Hvis lovgivningen kræver anden behandling, underretter vi kunden på forhånd, medmindre lovgivningen forbyder dette af hensyn til væsentlige samfundsinteresser.
3. Personer og sikkerhed
Kun bemyndigede personer med tavshedspligt må tilgå dokumentoplysninger. Vi opretholder passende tekniske og organisatoriske foranstaltninger efter GDPR artikel 32 under hensyntagen til risiko, det aktuelle tekniske niveau og oplysningernes karakter. Bilag II beskriver tjenestens kontroller. Vi gennemgår løbende adgangen, tester gendannelse og sletning og håndterer sårbarheder. Vi forringer ikke beskyttelsen væsentligt under et igangværende opdrag.
4. Underdatabehandlere
Kunden giver generel skriftlig bemyndigelse til de leverandører og formål, der fremgår af det accepterede bilag III. Vi pålægger dem databeskyttelsesforpligtelser, som yder den beskyttelse, artikel 28 kræver, og er fortsat ansvarlige for deres opfyldelse af disse forpligtelser. Vi varsler mindst 30 dage i forvejen via aftalens kontakt-e-mail om en planlagt tilføjelse eller udskiftning, som berører dokumentoplysninger, så kunden kan fremsætte en begrundet databeskyttelsesindsigelse.
Vi samarbejder med kunden om at løse indsigelsen, bruger et rimeligt alternativ eller giver mulighed for at opsige berørt, ufærdigt arbejde uden beregning og tilbagebetaler eventuelle forudbetalte, ikke-leverede dele. Vi sender ikke kundens oplysninger til en omstridt ny leverandør, mens indsigelsen er uafklaret. Leverandørændringer med kortere varsel kræver, at vi sætter den berørte behandling på pause, hvis vi ikke kan overholde denne forpligtelse. En ny liste på hjemmesiden erstatter ikke varsling til en eksisterende kunde.
5. Internationale overførsler
Tjenesten lover ikke behandling udelukkende inden for EØS. Godkendte leverandører kan behandle oplysninger i USA og andre lande, der fremgår af bilag III. Før en overførsel, der er omfattet af overførselsreglerne, sikrer vi et relevant tilstrækkelighedsgrundlag eller de relevante EU-standardkontraktbestemmelser fra 2021 (SCC), udfylder de nødvendige bilag og vurderer modtagerlandet og eventuelle supplerende foranstaltninger. På anmodning giver vi oplysninger om de gældende garantier og en kopi eller anvisning til at få dem med forholdsmæssige overstregninger af hensyn til andre kunder eller sikkerhed.
Afkrydsningen ved upload udgør ikke samtykke efter GDPR artikel 49 og kan ikke lovliggøre en ellers ulovlig overførsel. Forholdet mellem kunden og leverandøren i EØS reguleres af denne DPA efter artikel 28. Når en videreoverførsel kræver SCC, skal den relevante eksportør og importør være bundet af det gældende modul, herunder modul 3 for overførsler mellem databehandlere, eller der skal foreligge et gyldigt tilstrækkelighedsgrundlag. Særligt formuleret SCC-tekst i disse vilkår erstatter ikke Kommissionens bestemmelser.
6. Bistand og hændelser
Under hensyntagen til behandlingens karakter hjælper vi kunden med anmodninger om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelser samt med sikkerhedsforpligtelser, konsekvensanalyser og forudgående høring efter artikel 32–36. Vi videresender straks en anmodning modtaget direkte fra en registreret og besvarer den ikke på kundens vegne uden instruks eller lovkrav.
Vi underretter kunden uden unødig forsinkelse, når vi bliver bekendt med et brud på persondatasikkerheden, som berører kundens oplysninger. Den første underretning udsættes ikke, indtil alle fakta er kendt. Efterhånden som oplysninger bliver tilgængelige, beskriver vi bruddets karakter, kategorier og omtrentlige antal personer og registreringer, kontaktoplysninger, sandsynlige følger, gennemførte eller foreslåede tiltag og opdateringer. Vi sikrer nødvendig dokumentation, hjælper med at begrænse skaden og med kundens underretninger og dokumenterer vores håndtering.
7. Oplysninger, revision og omkostninger
Vi stiller de oplysninger til rådighed, som er nødvendige for at dokumentere overholdelse af denne DPA, og giver mulighed for og bidrager til revision, herunder inspektion, foretaget af kunden eller en uafhængig revisor bemyndiget af kunden. Eksisterende rapporter kan bruges, når de er tilstrækkelige. Rimeligt varsel, fortrolighed og hensyn til andre kunder gælder uden at hindre effektiv revision, akut gennemgang af hændelser eller myndighedsadgang. Almindelig bistand og dokumentation er inkluderet. Et rimeligt vederlag for ekstraordinært arbejde efter kundens ønske aftales på forhånd; bistand, der er nødvendig på grund af vores misligholdelse, er gratis.
8. Tilbagelevering, sletning og varighed
Denne DPA begynder ved accept og gælder, så længe vi eller vores underdatabehandlere behandler kundens dokumentoplysninger. Kunden kan anmode om tilbagelevering eller sletning ved ophør; levering via download er den sædvanlige tilbageleveringsmetode. Dokumenter uden bestilling udløber efter 24 timer og slettes ved næste vedligeholdelseskørsel. Ubekræftede bestillinger udløber efter syv dage; annullerede bestillinger fjernes inden for én dag efter annulleringen. Ubetalte prøver udløber efter 30 dage; dokumenter i betalte bestillinger udløber 30 dage efter betaling.
Vi sletter aktive tjenestekopier og instruerer de relevante leverandører om at slette deres kopier, medmindre opbevaring er lovpligtig. Isolerede sikkerhedskopier og leverandørers sikkerhedsregistreringer kan bestå i leverandørens dokumenterede, begrænsede opbevaringsperiode med anvendelsen begrænset til dette formål og kontrolleret adgang; vi oplyser om væsentlige undtagelser og bekræfter sletning på anmodning. Lokale arbejdskopier slettes efter hvert arbejde, også mislykkede arbejder. Opbevaring af juridiske hensyn skal være specifik, dokumenteret og begrænset; de opbevarede oplysninger må ikke genbruges. De særskilte aftale- og regnskabsoplysninger beskrevet i privatlivspolitikken begrunder ikke opbevaring af dokumentindholdet.
Bilag I — Oplysninger om behandlingen
Genstand: uploadede PDF'er fra virksomheden og afledt indhold, tilgængelige PDF'er, sideprøver og gennemgangsrapporter. Formål: det gratis tilbud og den bestilte tilgængelighedstjeneste. Karakter: modtagelse, opbevaring, udtræk, analyse, strukturering, tekstalternativer, sammenligning, gennemgang, overførsel og sletning. Hyppighed: pr. uploadet dokument og bestilling. Varighed: som angivet i punkt 8.
Registrerede: forfattere, medarbejdere, forretningskontakter, kunder, leverandører, embedsmænd og personer nævnt i almindelige virksomhedspublikationer. Oplysningstyper: navne, professionelle kontaktoplysninger, roller, tilknytninger, underskrifter i almindelige virksomhedspublikationer og professionelle biografiske oplysninger, der tilfældigt indgår i dokumenterne. Særlige kategorier, oplysninger om strafbare forhold og andre udelukkede oplysninger efter servicevilkårene er ikke tilladt. Hvis de påtænkte registrerede eller oplysningskategorier ligger uden for denne beskrivelse, skal du kontakte os om en aftalt ændring før upload.
Acceptregistreringen identificerer kunden, dennes repræsentant og GDPR-rolle. Martin Schrammel AB er leverandøren med kontaktoplysningerne i punkt 1. Instrukser og kundens rettigheder og forpligtelser beskrives i punkt 2, 6–8 og servicevilkårene.
Bilag II — Tekniske og organisatoriske foranstaltninger
- HTTPS til forbindelser fra klienter og mellem tjenester. Dokumenter opbevares i privat objektlagring med bemyndiget adgang; ingen offentlig dokumentbeholder eller permanent offentlig downloadadresse.
- Kontrol af ejerskab på serveren; hashede tilfældige adgangsoplysninger, tidsbegrænsede e-mailbekræftelseslinks og HttpOnly-sessionscookies. Særskilte adgangsoplysninger til administrator og produktionsproces.
- Uploadgrænser, kontrol af format og sideantal på serveren, begrænsning af anmodningshyppighed og kontrol af samme oprindelse for ændringer fra browseren. Dokumentindhold behandles som upålideligt input.
- Tidsbegrænsede køreservationer og filer knyttet til det konkrete behandlingsforsøg forhindrer forældede processer i at frigive filer. Betaling bekræftes med en verificeret webhook fra betalingsleverandøren, før komplette filer udleveres.
- Teknisk validering, en uafhængig AI-gennemgang og en registreret menneskelig beslutning om frigivelse. Menneskelig gennemgang er fortsat nødvendig for semantisk tilgængelighed.
- Fastlagt udløb og planlagt sletning; midlertidige lokale arbejdsmapper slettes efter hvert arbejde. Samtaler hos leverandører og resterende opbevaring følger dokumenterede sletteinstrukser.
- Fortrolighed, mindst mulige adgangsrettigheder, hændelseshåndtering, leverandørkontrol og gennemgang af kontoindstillinger. Ingen påstand om, at AccessibilityPDF er ISO 27001-certificeret eller SOC 2-attesteret.
Disse foranstaltninger anvendes i forhold til den aftalte behandling. En væsentlig ændring eller et yderligere krav skal aftales før den berørte behandling.
Bilag III — Leverandører og overførselsgarantier
Registeret over underdatabehandlere og overførsler på /da/subprocessors indgår i denne DPA. Den fulde accepterede tekst indgår i den downloadbare aftalekopi, så senere hjemmesideændringer ikke ændrer den accepterede liste. Leverandører modtager kun de oplysninger, de har brug for til den angivne opgave; betalings- og e-mailleverandører behøver ikke PDF-indholdet. OpenAI hjælper med at vurdere opgavens omfang før et fast tilbud og med tilgængelighedsproduktion og gennemgang efter bestilling. Kode beregner den foreløbige pris og beløbene i det faste tilbud. Anthropic kan bruges af operatøren til assisteret tilpasning inden for samme aftalte omfang.