1. Parties, rôles et accord
Ce DPA est conclu électroniquement entre le client identifié dans l’enregistrement d’acceptation et Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Suède. martin@accessibilitypdf.com. L’enregistrement contient la dénomination légale, l’adresse et le pays du client, son éventuel numéro d’immatriculation, son représentant, l’adresse e-mail de contact, son rôle, la date et l’heure d’acceptation et la version du document. Ces éléments complètent l’annexe I ci-dessous. Le prestataire propose ce DPA en le mettant à disposition avec le mécanisme d’acceptation. Le représentant l’accepte pour le client en cochant activement une case non cochée par défaut puis en validant.
Le client agit comme responsable du traitement ou comme sous-traitant nous engageant en tant que sous-traitant ultérieur avec l’autorisation du responsable du traitement. Nous agissons comme sous-traitant ou sous-traitant ultérieur pour les données personnelles contenues dans les documents. Pour nos propres données de contact, de contrat, de facturation et de sécurité, nous agissons comme responsable du traitement au titre de la politique de confidentialité. Une fois accepté, le DPA couvre l’évaluation gratuite et les prestations payantes.
2. Instructions documentées
Nous traitons les données des documents uniquement sur instructions documentées : stockage, extraction technique, évaluation du périmètre assistée par IA et devis fondé sur des règles, puis, après commande, adaptation à l’accessibilité assistée par IA, contrôle, livraison, assistance et suppression dans le cadre du service convenu. Nous ne les utilisons ni pour la publicité, ni pour entraîner des modèles, ni pour développer des produits sans rapport avec la prestation. L’enregistrement du dépôt, la commande et les instructions écrites ultérieures convenues constituent les instructions.
Nous informons immédiatement le client si nous estimons qu’une instruction enfreint le droit applicable à la protection des données, et suspendons l’opération concernée jusqu’à clarification. Si la loi impose un autre traitement, nous en informons le client au préalable, sauf si la loi l’interdit pour des motifs importants d’intérêt public.
3. Personnes et sécurité
Seules les personnes autorisées soumises à une obligation de confidentialité peuvent accéder aux données des documents. Nous maintenons des mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD, en tenant compte des risques, de l’état de l’art et de la nature des données. L’annexe II décrit les mesures de contrôle du service. Nous réexaminons régulièrement les accès, testons la restauration et la suppression et corrigeons les vulnérabilités. Nous ne réduisons pas substantiellement la protection pendant une prestation en cours.
4. Sous-traitants ultérieurs
Le client accorde une autorisation écrite générale pour les fournisseurs et les finalités figurant dans l’annexe III acceptée. Nous leur imposons des obligations de protection des données offrant les garanties exigées par l’article 28 et restons responsables de leur respect. Nous informons le client au moins 30 jours à l’avance, à l’adresse e-mail de contact contractuelle, de tout ajout ou remplacement envisagé touchant les données des documents, afin de lui permettre de formuler une objection motivée par la protection des données.
Nous travaillons avec le client pour résoudre l’objection, recourir à une solution alternative raisonnable ou permettre la résiliation sans frais des travaux concernés non achevés, avec remboursement de toute partie payée d’avance non livrée. Tant que l’objection n’est pas résolue, nous ne transmettons pas ses données au nouveau fournisseur contesté. Les modifications de contrats de fournisseurs annoncées dans un délai plus court nous obligent à suspendre le traitement concerné si nous ne pouvons pas maintenir cet engagement. Une nouvelle liste sur le site ne remplace pas la notification à un client existant.
5. Transferts internationaux
Le service ne promet pas un traitement exclusivement dans l’EEE. Les fournisseurs autorisés peuvent traiter des données aux États-Unis et dans les autres pays indiqués à l’annexe III. Avant un transfert soumis à restrictions, nous établissons une base d’adéquation applicable ou les clauses contractuelles types de l’UE de 2021 pertinentes (CCT/SCC), complétons les annexes requises et évaluons la destination ainsi que les mesures complémentaires nécessaires. Sur demande, nous fournissons des informations sur les garanties applicables ainsi qu’une copie ou un moyen de les obtenir, avec des occultations proportionnées pour protéger d’autres clients ou la sécurité.
La case d’acceptation au dépôt ne constitue pas un consentement au sens de l’article 49 du RGPD et ne peut rendre licite un transfert qui ne le serait pas autrement. La relation client-prestataire au sein de l’EEE est régie par ce DPA fondé sur l’article 28. Lorsqu’un transfert ultérieur nécessite des SCC, l’exportateur et l’importateur concernés doivent être liés par le module applicable, notamment le module 3 pour les transferts entre sous-traitants, ou bénéficier d’une base d’adéquation valable. Aucun texte de SCC rédigé sur mesure dans ces conditions ne remplace les clauses de la Commission.
6. Assistance et incidents
Compte tenu de la nature du traitement, nous aidons le client à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi qu’à respecter les obligations de sécurité, d’analyse d’impact et de consultation préalable prévues aux articles 32–36. Nous transmettons rapidement toute demande reçue directement d’une personne concernée et ne répondons pas au nom du client sans instruction ou obligation légale.
Nous notifions au client, sans retard injustifié, toute violation de données personnelles affectant ses données dès que nous en avons connaissance. La première notification n’est pas reportée jusqu’à ce que tous les faits soient connus. Au fur et à mesure des informations disponibles, nous communiquons la nature de la violation, les catégories et nombres approximatifs de personnes et d’enregistrements concernés, les coordonnées utiles, les conséquences probables, les mesures prises ou proposées et les mises à jour. Nous conservons les preuves nécessaires, aidons à atténuer les effets et à effectuer les notifications du client, et documentons notre réponse.
7. Informations, audits et frais
Nous fournissons les informations nécessaires pour démontrer le respect de ce DPA et permettons et facilitons les audits, y compris les inspections, réalisés par le client ou son auditeur indépendant mandaté. Des rapports existants peuvent être utilisés s’ils sont suffisants. Un préavis raisonnable, la confidentialité et la protection des autres clients s’appliquent sans empêcher un audit efficace, un examen urgent d’incident ou l’accès des autorités. L’assistance et les justificatifs habituels sont inclus. Toute facturation raisonnable de travaux exceptionnels demandés par le client est convenue à l’avance ; l’assistance rendue nécessaire par notre manquement est gratuite.
8. Restitution, suppression et durée
Ce DPA prend effet à l’acceptation et reste en vigueur tant que nous ou nos sous-traitants ultérieurs traitons les données documentaires du client. À la fin de la prestation, le client peut demander leur restitution ou leur suppression ; la livraison téléchargeable constitue le mode habituel de restitution. Les documents sans commande expirent après 24 heures et sont supprimés lors du prochain cycle de maintenance. Les commandes non vérifiées expirent après sept jours ; les commandes annulées sont supprimées dans un délai d’un jour après l’annulation. Les aperçus non payés expirent après 30 jours ; les documents des commandes payées expirent 30 jours après le paiement.
Nous supprimons les copies actives du service et demandons aux fournisseurs concernés de supprimer leurs copies, sauf obligation légale de conservation. Les sauvegardes isolées et les enregistrements de sécurité des fournisseurs peuvent subsister pendant leur durée documentée et limitée de conservation, avec un usage restreint à cette finalité et un accès contrôlé ; nous signalons les exceptions importantes et confirmons la suppression sur demande. Les copies de travail locales sont supprimées après chaque tâche, y compris les tâches échouées. Toute conservation à des fins juridiques doit être précise, documentée et limitée ; les données conservées ne peuvent être réutilisées. Les registres contractuels et financiers distincts décrits dans la politique de confidentialité ne justifient pas la conservation du contenu des documents.
Annexe I — Caractéristiques du traitement
Objet : PDF professionnels déposés et contenus dérivés, PDF accessibles, échantillons de pages et rapports de contrôle. Finalité : devis gratuit et service d’accessibilité commandé. Nature : réception, stockage, extraction, analyse, structuration, alternatives textuelles, comparaison, contrôle, transmission et suppression. Fréquence : par document déposé et commande. Durée : conformément à la section 8.
Personnes concernées : auteurs, personnel, contacts professionnels, clients, fournisseurs, agents publics et personnes mentionnées dans des publications professionnelles ordinaires. Types de données : noms, coordonnées professionnelles, fonctions, affiliations, signatures présentes dans des publications professionnelles ordinaires et informations biographiques professionnelles figurant incidemment dans les documents. Les catégories particulières, données pénales et autres données exclues par les conditions de service ne sont pas autorisées. Si les personnes ou catégories de données envisagées dépassent cette description, contactez-nous pour convenir d’un avenant avant le dépôt.
L’enregistrement d’acceptation identifie le client, son représentant et son rôle au titre du RGPD. Martin Schrammel AB est le prestataire, avec les coordonnées figurant à la section 1. Les instructions, droits et obligations du client sont décrits aux sections 2 et 6–8 ainsi que dans les conditions de service.
Annexe II — Mesures techniques et organisationnelles
- HTTPS pour les connexions des clients et du service. Documents conservés dans un stockage objet privé avec accès autorisé ; aucun compartiment public de documents ni URL publique permanente de téléchargement.
- Vérifications de propriété côté serveur ; identifiants d’accès aléatoires hachés, liens de vérification par e-mail à durée limitée et cookies de session HttpOnly. Identifiants distincts pour l’administration et les processus de production.
- Limites de dépôt, contrôles du format et du nombre de pages côté serveur, limitation de fréquence et vérifications de même origine pour les requêtes modificatrices du navigateur. Le contenu documentaire est traité comme une entrée non fiable.
- Réservations temporaires dans la file de traitement et artefacts propres à chaque tentative empêchant des traitements obsolètes de libérer des fichiers. Le paiement est confirmé par un webhook vérifié du prestataire avant la livraison des fichiers complets.
- Validation technique, contrôle indépendant par IA et décision de livraison humaine enregistrée. Un contrôle humain reste nécessaire pour l’accessibilité sémantique.
- Expiration définie et suppression planifiée ; les répertoires de travail locaux temporaires sont supprimés après chaque tâche. Les conversations conservées par les fournisseurs et les conservations résiduelles suivent des instructions de suppression documentées.
- Confidentialité, accès selon le moindre privilège, réponse aux incidents, vérification des fournisseurs et contrôle des paramètres des comptes. Aucune certification ISO 27001 ni attestation SOC 2 n’est revendiquée pour AccessibilityPDF.
Ces mesures sont appliquées proportionnellement au traitement convenu. Toute modification substantielle ou exigence supplémentaire doit être convenue avant le traitement concerné.
Annexe III — Fournisseurs et garanties de transfert
Le registre des sous-traitants ultérieurs et des transferts à l’adresse /fr/subprocessors fait partie de ce DPA. Son texte intégral accepté figure dans la copie téléchargeable de l’accord, afin que les modifications ultérieures du site ne changent pas la liste acceptée. Les fournisseurs ne reçoivent que les données nécessaires à la tâche concernée ; les prestataires de paiement et d’e-mail n’ont pas besoin du contenu des PDF. OpenAI assiste l’évaluation du périmètre avant un devis à prix fixe, ainsi que la production accessible et le contrôle après une commande. Le code calcule le prix provisoire et les montants du devis à prix fixe. Anthropic peut être utilisé par l’opérateur pour l’adaptation assistée dans le même périmètre contractuel.