1. Osapuolet, roolit ja sopimus
Tämä DPA tehdään sähköisesti hyväksymistietueessa yksilöidyn asiakkaan ja Martin Schrammel AB:n, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Ruotsi, välillä. martin@accessibilitypdf.com. Tietue sisältää asiakkaan virallisen nimen, osoitteen ja maan, mahdollisen rekisteröintinumeron, edustajan, yhteyssähköpostin, roolin, hyväksymisajan ja asiakirjaversion. Nämä tiedot täydentävät alla olevan liitteen I. Toimittaja tarjoaa tämän DPA:n asettamalla sen saataville hyväksymistoiminnon yhteydessä. Edustaja hyväksyy sopimuksen asiakkaan puolesta merkitsemällä aktiivisesti valintaruudun, jota ei ole valittu etukäteen, ja lähettämällä lomakkeen.
Asiakas toimii rekisterinpitäjänä tai henkilötietojen käsittelijänä, joka käyttää meitä alikäsittelijänä rekisterinpitäjän valtuutuksella. Toimimme asiakirjojen sisältämien henkilötietojen käsittelijänä tai alikäsittelijänä. Omien yhteystieto-, sopimus-, laskutus- ja turvallisuustietojemme osalta toimimme rekisterinpitäjänä tietosuojaselosteen mukaisesti. Hyväksytty DPA kattaa sekä maksuttoman arvioinnin että maksullisen työn.
2. Dokumentoidut ohjeet
Käsittelemme asiakirjojen tietoja vain dokumentoitujen ohjeiden perusteella: säilytys, tekninen poiminta, tekoälyavusteinen työn laajuuden arviointi ja sääntöpohjainen tarjouksen laatiminen, ja tilauksen jälkeen tekoälyavusteinen saavutettavuuden parantaminen, tarkastus, toimitus, tuki ja poistaminen sovitun palvelun mukaisesti. Emme käytä tietoja mainontaan, mallien kouluttamiseen tai asiaan liittymättömään tuotekehitykseen. Lataustietue, palvelutilaus ja myöhemmät sovitut kirjalliset ohjeet muodostavat ohjeistuksen.
Ilmoitamme asiakkaalle viipymättä, jos katsomme ohjeen rikkovan sovellettavaa tietosuojalakia, ja keskeytämme kyseisen käsittelyn asian selvittämisen ajaksi. Jos laki edellyttää muuta käsittelyä, ilmoitamme siitä asiakkaalle etukäteen, ellei laki kiellä ilmoittamista tärkeään yleiseen etuun liittyvistä syistä.
3. Henkilöt ja turvallisuus
Vain valtuutetut henkilöt, joilla on salassapitovelvollisuus, saavat käyttää asiakirjojen tietoja. Ylläpidämme GDPR:n 32 artiklan mukaisia asianmukaisia teknisiä ja organisatorisia toimenpiteitä ottaen huomioon riskit, tekniikan tason ja tietojen luonteen. Liite II kuvaa palvelun suojatoimet. Tarkastamme käyttöoikeuksia säännöllisesti, testaamme palauttamista ja poistamista sekä korjaamme haavoittuvuuksia. Emme heikennä suojaa olennaisesti voimassa olevan toimeksiannon aikana.
4. Alikäsittelijät
Asiakas antaa yleisen kirjallisen luvan hyväksytyssä liitteessä III luetelluille palveluntarjoajille ja tarkoituksille. Asetamme niille tietosuojavelvoitteet, jotka takaavat 28 artiklan edellyttämän suojan, ja vastaamme edelleen näiden velvoitteiden täyttämisestä. Ilmoitamme vähintään 30 päivää etukäteen sopimuksen yhteyssähköpostiin suunnitellusta lisäyksestä tai vaihdosta, joka koskee asiakirjojen tietoja, jotta asiakas voi esittää perustellun tietosuojaan liittyvän vastalauseen.
Pyrimme ratkaisemaan vastalauseen yhdessä asiakkaan kanssa, käytämme kohtuullista vaihtoehtoa tai sallimme kyseisen keskeneräisen työn päättämisen veloituksetta ja palautamme mahdollisen ennakkoon maksetun, toimittamattoman osuuden. Emme ohjaa asiakkaan tietoja kiistanalaiselle uudelle palveluntarjoajalle vastalauseen ollessa ratkaisematta. Lyhyemmällä varoitusajalla tehdyt palveluntarjoajan sopimusmuutokset edellyttävät kyseisen käsittelyn keskeyttämistä, jos emme voi noudattaa tätä sitoumusta. Pelkkä uusi verkkosivuston luettelo ei korvaa ilmoitusta olemassa olevalle asiakkaalle.
5. Kansainväliset siirrot
Palvelu ei lupaa käsittelyä vain ETA-alueella. Hyväksytyt palveluntarjoajat voivat käsitellä tietoja Yhdysvalloissa ja muissa liitteessä III ilmoitetuissa maissa. Ennen siirtosäännösten piiriin kuuluvaa siirtoa varmistamme sovellettavan tietosuojan riittävyyteen perustuvan mekanismin tai asianmukaiset EU:n vuoden 2021 vakiosopimuslausekkeet (SCC), täytämme vaaditut liitteet ja arvioimme tarvittaessa kohdemaata ja täydentäviä toimenpiteitä. Pyynnöstä annamme tietoja sovellettavista suojatoimista sekä niiden kopion tai ohjeet niiden saamiseksi, tarvittaessa oikeasuhtaisin peitoin muiden asiakkaiden tai turvallisuuden suojaamiseksi.
Lataamisen valintaruutu ei merkitse GDPR:n 49 artiklan mukaista suostumusta eikä tee muuten lainvastaisesta siirrosta laillista. Asiakkaan ja toimittajan välistä suhdetta ETA-alueella säätelee tämä 28 artiklan mukainen DPA. Kun edelleen siirto edellyttää SCC-lausekkeita, asianmukaisen viejän ja tuojan tulee olla sidottuja soveltuvaan moduuliin, mukaan lukien moduuli 3 käsittelijöiden välisissä siirroissa, tai tulee olla voimassa oleva riittävyyteen perustuva siirtomekanismi. Mikään näihin ehtoihin erikseen laadittu SCC-teksti ei korvaa komission lausekkeita.
6. Avustaminen ja tietoturvaloukkaukset
Käsittelyn luonteen huomioon ottaen avustamme asiakasta pääsyä tietoihin, oikaisua, poistamista, rajoittamista, siirrettävyyttä ja vastustamista koskevissa pyynnöissä sekä 32–36 artiklan mukaisissa turvallisuusvelvoitteissa, vaikutustenarvioinneissa ja ennakkokuulemisessa. Välitämme suoraan rekisteröidyltä saadun pyynnön viipymättä emmekä vastaa asiakkaan puolesta ilman ohjetta tai lakisääteistä velvoitetta.
Ilmoitamme asiakkaalle ilman aiheetonta viivytystä saatuamme tietää sen tietoihin vaikuttavasta henkilötietojen tietoturvaloukkauksesta. Ensimmäistä ilmoitusta ei lykätä siihen asti, että kaikki seikat ovat tiedossa. Tietojen tarkentuessa ilmoitamme loukkauksen luonteen, henkilöiden ja tietueiden ryhmät ja arvioidut määrät, yhteystiedot, todennäköiset seuraukset, toteutetut tai ehdotetut toimet ja päivitykset. Säilytämme tarvittavan näytön, autamme haittojen rajoittamisessa ja asiakkaan ilmoituksissa sekä dokumentoimme toimintamme.
7. Tiedot, tarkastukset ja kustannukset
Annamme tämän DPA:n noudattamisen osoittamiseen tarvittavat tiedot ja mahdollistamme asiakkaan tai sen valtuuttaman riippumattoman tarkastajan tekemät auditoinnit, mukaan lukien tarkastuskäynnit, sekä osallistumme niihin. Olemassa olevia raportteja voidaan käyttää, jos ne ovat riittäviä. Kohtuullinen ennakkoilmoitus, salassapito ja muiden asiakkaiden suojatoimet koskevat tarkastuksia estämättä tehokasta auditointia, kiireellistä tapahtuman selvittämistä tai viranomaisen pääsyä tietoihin. Tavanomainen avustaminen ja dokumentaatio sisältyvät palveluun. Sovimme poikkeuksellisesta asiakkaan pyytämästä työstä mahdollisesti perittävän kohtuullisen maksun etukäteen; omasta rikkomuksestamme johtuva avustaminen on maksutonta.
8. Palauttaminen, poistaminen ja kesto
Tämä DPA tulee voimaan hyväksymishetkellä ja jatkuu niin kauan kuin me tai alikäsittelijämme käsittelemme asiakkaan asiakirjatietoja. Asiakas voi päättymisen yhteydessä pyytää tietojen palauttamista tai poistamista; toimitus ladattavana tiedostona on tavallinen palautustapa. Tilaamattomat asiakirjat vanhenevat 24 tunnin kuluttua ja poistetaan seuraavan ylläpitoajon yhteydessä. Vahvistamattomat tilaukset vanhenevat seitsemän päivän kuluttua; perutut tilaukset poistetaan yhden päivän kuluessa peruutuksesta. Maksamattomat näytteet vanhenevat 30 päivän kuluttua; maksettujen tilausten asiakirjat vanhenevat 30 päivää maksamisesta.
Poistamme aktiiviset palvelukopiot ja ohjeistamme asiaankuuluvat palveluntarjoajat poistamaan kopionsa, ellei laki edellytä säilyttämistä. Eristetyt varmuuskopiot ja palveluntarjoajien turvallisuustiedot voivat säilyä palveluntarjoajan dokumentoidun, rajallisen säilytysajan. Käyttö on rajattu kyseiseen tarkoitukseen ja pääsyä valvotaan; ilmoitamme olennaisista poikkeuksista ja vahvistamme poistamisen pyynnöstä. Paikalliset työkopiot poistetaan jokaisen työn jälkeen, myös epäonnistuneiden töiden. Oikeudelliseen tarpeeseen perustuvan säilytyksen tulee olla yksilöityä, dokumentoitua ja rajattua; säilytettyjä tietoja ei saa käyttää uudelleen. Tietosuojaselosteessa kuvatut erilliset sopimus- ja taloustiedot eivät oikeuta säilyttämään asiakirjojen sisältöä.
Liite I — Käsittelyn yksityiskohdat
Kohde: ladatut yritysten PDF-asiakirjat ja niistä johdettu sisältö, saavutettavat PDF:t, sivunäytteet ja tarkastusraportit. Tarkoitus: maksuton tarjous ja tilattu saavutettavuuspalvelu. Luonne: vastaanotto, säilytys, poiminta, analyysi, jäsentäminen, tekstivastineet, vertailu, tarkastus, siirto ja poistaminen. Toistuvuus: ladattua asiakirjaa ja tilausta kohden. Kesto: kohdan 8 mukaisesti.
Rekisteröidyt: kirjoittajat, työntekijät, liike-elämän yhteyshenkilöt, asiakkaat, toimittajat, viranhaltijat ja tavallisissa yritysjulkaisuissa mainitut henkilöt. Tietotyypit: nimet, ammatilliset yhteystiedot, roolit, yhteydet organisaatioihin, tavanomaisissa yritysjulkaisuissa esiintyvät allekirjoitukset ja asiakirjoihin satunnaisesti sisältyvät ammatilliset elämäkertatiedot. Erityiset henkilötietoryhmät, rikostiedot ja muut palveluehdoissa poissuljetut tiedot eivät ole sallittuja. Jos tarkoitetut rekisteröidyt tai tietoryhmät eivät sisälly tähän kuvaukseen, ota yhteyttä sopimusmuutoksesta sopimiseksi ennen lataamista.
Hyväksymistietue yksilöi asiakkaan, sen edustajan ja GDPR-roolin. Martin Schrammel AB on toimittaja, jonka yhteystiedot ovat kohdassa 1. Ohjeet sekä asiakkaan oikeudet ja velvollisuudet kuvataan kohdissa 2 ja 6–8 sekä palveluehdoissa.
Liite II — Tekniset ja organisatoriset toimenpiteet
- HTTPS asiakas- ja palveluyhteyksissä. Asiakirjat säilytetään yksityisessä objektitallennuksessa valtuutetuin käyttöoikeuksin; ei julkista asiakirjasäiliötä tai pysyvää julkista latausosoitetta.
- Omistajuuden tarkistukset palvelimella; satunnaisten pääsytunnusten tiivisteet, määräaikaiset sähköpostin vahvistuslinkit ja HttpOnly-istuntoevästeet. Erilliset tunnukset ylläpitäjälle ja tuotantoprosessille.
- Latausrajat, palvelimen tiedostomuoto- ja sivutarkistukset, pyyntömäärien rajoitukset ja saman alkuperän tarkistukset selaimesta tehtäville muutoksille. Asiakirjan sisältöä käsitellään epäluotettavana syötteenä.
- Jonon määräaikaiset käsittelyvaraukset ja käsittely-yrityskohtaiset tulostiedostot estävät vanhentuneita käsittelyjä vapauttamasta tiedostoja. Maksu vahvistetaan palveluntarjoajan varmennetulla webhook-ilmoituksella ennen täydellisten tiedostojen toimitusta.
- Tekninen validointi, riippumaton tekoälyn tekemä tarkastus ja kirjattu ihmisen hyväksymispäätös. Ihmisen tarkastus on edelleen välttämätön semanttiselle saavutettavuudelle.
- Määritellyt vanhenemisajat ja ajastettu poistaminen; väliaikaiset paikalliset työhakemistot poistetaan jokaisen työn jälkeen. Palveluntarjoajien keskustelut ja jäljelle jäävä säilytys noudattavat dokumentoituja poisto-ohjeita.
- Salassapito, vähimmät tarvittavat käyttöoikeudet, poikkeamien hallinta, toimittajien tarkistukset ja tiliasetusten arviointi. Emme väitä, että AccessibilityPDF olisi ISO 27001 -sertifioitu tai SOC 2 -varmennettu.
Näitä toimenpiteitä sovelletaan suhteessa sovittuun käsittelyyn. Olennaisesta muutoksesta tai lisävaatimuksesta on sovittava ennen kyseistä käsittelyä.
Liite III — Palveluntarjoajat ja siirtojen suojatoimet
Alikäsittelijöiden ja siirtojen rekisteri osoitteessa /fi/subprocessors on osa tätä DPA:ta. Sen koko hyväksytty teksti sisältyy ladattavaan sopimuskopioon, joten myöhemmät verkkosivustomuutokset eivät muuta hyväksyttyä luetteloa. Palveluntarjoajat saavat vain määriteltyyn tehtävään tarvittavat tiedot; maksu- ja sähköpostipalveluntarjoajat eivät tarvitse PDF:n sisältöä. OpenAI avustaa työn laajuuden arviointia ennen kiinteää tarjousta sekä saavutettavuustyötä ja tarkastusta tilauksen jälkeen. Ohjelmakoodi laskee alustavan hinnan ja kiinteän tarjouksen summat. Palvelun ylläpitäjä voi käyttää Anthropicia avustettuun mukauttamiseen saman sovitun laajuuden puitteissa.