1. Partes, funciones y acuerdo
Este DPA se celebra electrónicamente entre el cliente identificado en el registro de aceptación y Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Suecia. martin@accessibilitypdf.com. El registro incluye la denominación legal, dirección y país del cliente, número de registro opcional, representante, correo de contacto, función, fecha y hora de aceptación y versión del documento. Estos datos completan el anexo I siguiente. El proveedor ofrece este DPA al ponerlo a disposición junto con el mecanismo de aceptación. El representante lo acepta en nombre del cliente marcando expresamente una casilla que no está seleccionada por defecto y enviando el formulario.
El cliente actúa como responsable del tratamiento, o como encargado que nos contrata como subencargado cuando dispone de autorización del responsable. Actuamos como encargado o subencargado para los datos personales contenidos en los documentos. Para nuestros propios registros de contacto, contratos, facturación y seguridad, actuamos como responsable del tratamiento conforme al aviso de privacidad. Una vez aceptado, el DPA cubre tanto la evaluación gratuita como el trabajo remunerado.
2. Instrucciones documentadas
Solo tratamos los datos de los documentos siguiendo instrucciones documentadas: almacenamiento, extracción técnica, evaluación del alcance asistida por IA y elaboración del presupuesto mediante reglas y, después del pedido, adaptación accesible asistida por IA, revisión, entrega, asistencia y supresión conforme al servicio acordado. No los utilizamos para publicidad, entrenamiento de modelos ni desarrollo de productos ajeno al encargo. El registro de carga, el pedido del servicio y las instrucciones escritas posteriores acordadas constituyen las instrucciones.
Informamos inmediatamente al cliente si consideramos que una instrucción infringe la normativa aplicable de protección de datos, y suspendemos la operación afectada hasta aclararlo. Si la ley exige otro tratamiento, informamos al cliente antes de realizarlo, salvo que lo prohíba por razones importantes de interés público.
3. Personas y seguridad
Solo pueden acceder a los datos de los documentos personas autorizadas sujetas a una obligación de confidencialidad. Mantenemos medidas técnicas y organizativas adecuadas conforme al artículo 32 del RGPD, considerando el riesgo, el estado de la técnica y la naturaleza de los datos. El anexo II recoge los controles del servicio. Revisamos periódicamente los accesos, probamos la recuperación y la supresión y resolvemos vulnerabilidades. No reducimos sustancialmente la protección durante un encargo activo.
4. Subencargados del tratamiento
El cliente concede autorización general por escrito para los proveedores y fines del anexo III aceptado. Les imponemos obligaciones de protección de datos que ofrecen las garantías exigidas por el artículo 28 y seguimos siendo responsables de su cumplimiento. Avisamos con al menos 30 días de antelación, al correo de contacto del acuerdo, de cualquier incorporación o sustitución prevista que afecte a los datos documentales, permitiendo una objeción motivada por razones de protección de datos.
Trabajamos con el cliente para resolver la objeción, utilizar una alternativa razonable o permitir la terminación sin coste de los trabajos afectados sin finalizar y el reembolso de cualquier parte pagada por adelantado y no entregada. No enviamos sus datos al nuevo proveedor cuestionado mientras la objeción siga sin resolverse. Los cambios en contratos de proveedores con un preaviso inferior nos obligan a suspender el tratamiento afectado si no podemos mantener este compromiso. Una nueva lista en el sitio no sustituye el aviso a un cliente existente.
5. Transferencias internacionales
El servicio no promete un tratamiento exclusivamente en el EEE. Los proveedores autorizados pueden tratar datos en Estados Unidos y en otros países indicados en el anexo III. Antes de una transferencia sujeta a restricciones, establecemos una base de adecuación aplicable o las cláusulas contractuales tipo de la UE de 2021 pertinentes (CCT/SCC), completamos los anexos necesarios y evaluamos el destino y las medidas complementarias cuando sea necesario. Facilitamos, previa solicitud, información sobre las garantías aplicables y una copia o un medio para obtenerlas, con las supresiones proporcionadas necesarias para proteger a otros clientes o la seguridad.
La casilla de carga no constituye consentimiento conforme al artículo 49 del RGPD ni puede legitimar una transferencia que de otro modo sería ilícita. La relación cliente-proveedor en el EEE se rige por este DPA del artículo 28. Si una transferencia ulterior requiere SCC, el exportador y el importador correspondientes deben estar sujetos al módulo aplicable, incluido el módulo 3 para transferencias entre encargados, o debe existir una vía de adecuación válida. Ningún texto de SCC redactado a medida en estas condiciones sustituye las cláusulas de la Comisión.
6. Asistencia e incidentes
Teniendo en cuenta la naturaleza del tratamiento, ayudamos al cliente con solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición, así como con obligaciones de seguridad, evaluaciones de impacto y consultas previas según los artículos 32–36. Remitimos sin demora las solicitudes recibidas directamente de un interesado y no respondemos en nombre del cliente salvo instrucción u obligación legal.
Notificamos al cliente sin dilación indebida tras conocer una violación de seguridad de datos personales que afecte a sus datos. El aviso inicial no se retrasa hasta conocer todos los hechos. A medida que disponemos de información, comunicamos la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, los datos de contacto, las consecuencias probables, las medidas adoptadas o propuestas y las actualizaciones. Conservamos las pruebas necesarias, ayudamos a mitigar los efectos y a realizar las notificaciones del cliente, y documentamos nuestra respuesta.
7. Información, auditorías y costes
Facilitamos la información necesaria para demostrar el cumplimiento de este DPA y permitimos y contribuimos a auditorías, incluidas inspecciones, realizadas por el cliente o su auditor independiente designado. Pueden utilizarse informes existentes si son suficientes. Se aplican un preaviso razonable, la confidencialidad y las garantías para otros clientes, sin impedir una auditoría efectiva, una revisión urgente de incidentes ni el acceso de las autoridades. La asistencia y las pruebas habituales están incluidas. Cualquier cargo razonable por trabajos excepcionales solicitados por el cliente se acuerda previamente; la asistencia necesaria por un incumplimiento nuestro es gratuita.
8. Devolución, supresión y duración
Este DPA comienza con la aceptación y continúa mientras nosotros o nuestros subencargados tratemos datos documentales del cliente. Al terminar, el cliente puede solicitar su devolución o supresión; la entrega descargable es el método habitual de devolución. Los documentos sin pedido caducan a las 24 horas y se eliminan en el siguiente ciclo de mantenimiento. Los pedidos no verificados caducan a los siete días; los cancelados se eliminan en el plazo de un día desde la cancelación. Las vistas previas no pagadas caducan a los 30 días; los documentos de pedidos pagados, a los 30 días desde el pago.
Eliminamos las copias activas del servicio e indicamos a los proveedores pertinentes que eliminen las suyas, salvo conservación exigida por ley. Las copias de seguridad aisladas y los registros de seguridad de los proveedores pueden persistir durante su periodo documentado y limitado de conservación, con uso restringido a ese fin y acceso controlado; comunicamos las excepciones importantes y confirmamos la supresión cuando se solicita. Las copias locales de trabajo se eliminan después de cada tarea, incluidas las fallidas. Una conservación por motivos jurídicos debe ser específica, documentada y limitada; los datos conservados no pueden reutilizarse. Los registros contractuales y financieros separados descritos en el aviso de privacidad no justifican conservar el contenido de los documentos.
Anexo I — Detalles del tratamiento
Objeto: PDF empresariales cargados y contenido derivado, PDF accesibles, muestras de páginas e informes de revisión. Finalidad: el presupuesto gratuito y el servicio de accesibilidad contratado. Naturaleza: recepción, almacenamiento, extracción, análisis, estructuración, alternativas textuales, comparación, revisión, transmisión y supresión. Frecuencia: por documento cargado y pedido. Duración: según la sección 8.
Interesados: autores, personal, contactos comerciales, clientes, proveedores, funcionarios y personas mencionadas en publicaciones empresariales habituales. Tipos de datos: nombres, datos de contacto profesionales, funciones, afiliaciones, firmas presentes en publicaciones empresariales habituales e información biográfica profesional que aparezca incidentalmente en los documentos. No se autorizan las categorías especiales, los datos penales ni otros datos excluidos por las condiciones del servicio. Si los interesados o las categorías previstas quedan fuera de esta descripción, contacte con nosotros para acordar una modificación antes de cargar archivos.
El registro de aceptación identifica al cliente, su representante y su función conforme al RGPD. Martin Schrammel AB es el proveedor, con los datos de contacto de la sección 1. Las instrucciones y los derechos y obligaciones del cliente se describen en las secciones 2 y 6–8 y en las condiciones del servicio.
Anexo II — Medidas técnicas y organizativas
- HTTPS para las conexiones de clientes y del servicio. Documentos en almacenamiento privado de objetos con acceso autorizado; sin contenedores públicos de documentos ni URL públicas permanentes de descarga.
- Comprobaciones de propiedad en el servidor; credenciales de acceso aleatorias con hash, enlaces de verificación por correo con caducidad y cookies de sesión HttpOnly. Credenciales separadas para administradores y procesos de producción.
- Límites de carga, comprobaciones de formato y páginas en el servidor, límites de frecuencia y comprobaciones de mismo origen para solicitudes modificadoras del navegador. El contenido documental se trata como entrada no fiable.
- Reservas temporales en la cola y artefactos específicos de cada intento impiden que procesos obsoletos liberen archivos. El pago se confirma mediante un webhook verificado del proveedor antes de entregar los archivos completos.
- Validación técnica, revisión independiente por IA y decisión humana de entrega registrada. La revisión humana sigue siendo necesaria para la accesibilidad semántica.
- Caducidad definida y supresión programada; los directorios locales temporales de trabajo se eliminan después de cada tarea. Las conversaciones y la conservación residual de los proveedores siguen instrucciones de supresión documentadas.
- Confidencialidad, acceso con privilegios mínimos, respuesta a incidentes, comprobaciones de proveedores y revisión de la configuración de las cuentas. No se afirma que AccessibilityPDF tenga certificación ISO 27001 ni atestación SOC 2.
Estas medidas se aplican proporcionalmente al tratamiento acordado. Cualquier cambio sustancial o requisito adicional debe acordarse antes del tratamiento afectado.
Anexo III — Proveedores y garantías de transferencia
El registro de subencargados y transferencias en /es/subprocessors forma parte de este DPA. Su texto íntegro aceptado se incluye en la copia descargable del acuerdo, de modo que los cambios posteriores del sitio no alteren la lista aceptada. Los proveedores solo reciben los datos necesarios para la tarea indicada; los proveedores de pagos y correo no necesitan el contenido del PDF. OpenAI ayuda en la evaluación del alcance antes de un presupuesto fijo y en la producción accesible y revisión después de un pedido. El código calcula el precio provisional y los importes del presupuesto fijo. El operador puede utilizar Anthropic para la adaptación asistida dentro del mismo alcance contratado.