1. Felek, szerepkörök és megállapodás
Ez a DPA elektronikusan jön létre az elfogadási nyilvántartásban azonosított ügyfél és a Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Svédország között. martin@accessibilitypdf.com. A nyilvántartás tartalmazza az ügyfél jogi nevét, címét és országát, opcionális nyilvántartási számát, képviselőjét, kapcsolattartói e-mail-címét, szerepkörét, az elfogadás idejét és a dokumentum verzióját. Ezek az adatok egészítik ki az alábbi I. mellékletet. A szolgáltató a DPA-t az elfogadási mechanizmussal együtt hozzáférhetővé téve ajánlja fel. A képviselő az ügyfél nevében egy alapértelmezetten üres jelölőnégyzet aktív bejelölésével és elküldésével fogadja el.
Az ügyfél adatkezelőként jár el, vagy olyan adatfeldolgozóként, aki az adatkezelő engedélyével további adatfeldolgozóként vesz igénybe minket. A dokumentumokban szereplő személyes adatok tekintetében adatfeldolgozóként vagy további adatfeldolgozóként járunk el. Saját kapcsolattartási, szerződéses, számlázási és biztonsági nyilvántartásainknál adatkezelők vagyunk az adatvédelmi tájékoztató szerint. Elfogadása után a DPA az ingyenes felmérésre és a fizetett munkára egyaránt vonatkozik.
2. Dokumentált utasítások
A dokumentumadatokat csak dokumentált utasítások alapján dolgozzuk fel: tárolás, műszaki kinyerés, MI-vel támogatott feladatkör-felmérés és szabályalapú ajánlatkészítés, majd megrendelés után MI-vel támogatott akadálymentesítés, felülvizsgálat, átadás, támogatás és törlés a megállapodott szolgáltatás keretében. Nem használjuk reklámozásra, modellbetanításra vagy nem kapcsolódó termékfejlesztésre. Az utasításokat a feltöltési nyilvántartás, a szolgáltatás megrendelése és a később egyeztetett írásbeli utasítások alkotják.
Azonnal értesítjük az ügyfelet, ha megítélésünk szerint egy utasítás sérti az alkalmazandó adatvédelmi jogot, és a tisztázásig felfüggesztjük az érintett műveletet. Ha jogszabály más feldolgozást ír elő, előzetesen tájékoztatjuk az ügyfelet, kivéve ha ezt fontos közérdekből jogszabály tiltja.
3. Személyek és biztonság
A dokumentumadatokhoz csak felhatalmazott, titoktartásra kötelezett személyek férhetnek hozzá. A GDPR 32. cikke szerinti megfelelő műszaki és szervezési intézkedéseket tartunk fenn, figyelembe véve a kockázatot, a technika állását és az adatok jellegét. A II. melléklet rögzíti a szolgáltatás ellenőrzéseit. Rendszeresen felülvizsgáljuk a hozzáféréseket, teszteljük a helyreállítást és törlést, valamint kezeljük a sérülékenységeket. Aktív megbízás alatt a védelmet nem csökkentjük lényegesen.
4. További adatfeldolgozók
Az ügyfél általános írásbeli felhatalmazást ad az elfogadott III. mellékletben szereplő szolgáltatókra és célokra. Olyan adatvédelmi kötelezettségeket írunk elő számukra, amelyek biztosítják a 28. cikkben megkövetelt védelmet, és felelősek maradunk e kötelezettségek teljesítéséért. A dokumentumadatokat érintő tervezett új szolgáltatóról vagy cseréről legalább 30 nappal előre értesítést küldünk a szerződés kapcsolattartói e-mail-címére, lehetővé téve az indokolt adatvédelmi kifogást.
Az ügyféllel együtt megoldjuk a kifogást, észszerű alternatívát választunk, vagy lehetővé tesszük az érintett befejezetlen munka díjmentes megszüntetését és az előre kifizetett, nem teljesített rész visszatérítését. Amíg a kifogás rendezetlen, az adatait nem továbbítjuk a vitatott új szolgáltatónak. A szolgáltatói szerződés rövidebb értesítési idejű változása esetén szüneteltetnünk kell az érintett feldolgozást, ha ezt a vállalást nem tudjuk tartani. Egy új weboldalas lista önmagában nem helyettesíti a meglévő ügyfél értesítését.
5. Nemzetközi adattovábbítás
A szolgáltatás nem ígér kizárólag EGT-n belüli feldolgozást. A jóváhagyott szolgáltatók az Egyesült Államokban és a III. mellékletben szereplő más országokban is feldolgozhatnak adatokat. Korlátozott adattovábbítás előtt alkalmazható megfelelőségi alapot vagy a megfelelő 2021-es uniós általános szerződési feltételeket (SCC) biztosítjuk, kitöltjük a szükséges mellékleteket, és szükség esetén értékeljük a célországot és a kiegészítő intézkedéseket. Kérésre tájékoztatást adunk az alkalmazandó garanciákról, valamint másolatot vagy beszerzési lehetőséget biztosítunk, más ügyfelek és a biztonság védelméhez arányos kitakarásokkal.
A feltöltési jelölőnégyzet nem a GDPR 49. cikke szerinti hozzájárulás, és nem tehet jogszerűvé egy egyébként jogellenes továbbítást. Az ügyfél és a szolgáltató EGT-n belüli kapcsolatát ez a 28. cikk szerinti DPA szabályozza. Ha a további továbbítás SCC-t igényel, az érintett exportőrnek és importőrnek a megfelelő modulhoz kell kötődnie, beleértve az adatfeldolgozók közötti továbbítás 3. modulját, vagy érvényes megfelelőségi megoldásnak kell alkalmazhatónak lennie. A feltételek egyedi SCC-szövege nem helyettesíti a Bizottság rendelkezéseit.
6. Segítségnyújtás és incidensek
A feldolgozás jellegére tekintettel segítjük az ügyfelet a hozzáférési, helyesbítési, törlési, korlátozási, hordozhatósági és tiltakozási kérelmekben, továbbá a 32–36. cikk szerinti biztonsági kötelezettségekben, hatásvizsgálatokban és előzetes konzultációban. Az érintettől közvetlenül kapott kérelmet haladéktalanul továbbítjuk, és az ügyfél nevében csak utasítás vagy jogszabály alapján válaszolunk.
Indokolatlan késedelem nélkül értesítjük az ügyfelet, miután tudomást szereztünk az adatait érintő adatvédelmi incidensről. Az első értesítést nem halasztjuk addig, amíg minden tény ismertté válik. Az információk rendelkezésre állásával közöljük az incidens jellegét, az érintett személyek és nyilvántartások kategóriáit és hozzávetőleges számát, az elérhetőségeket, várható következményeket, a megtett vagy javasolt lépéseket és frissítéseket. Megőrizzük a szükséges bizonyítékokat, segítünk a kárenyhítésben és az ügyfél értesítéseiben, és dokumentáljuk a válaszlépéseinket.
7. Információk, ellenőrzések és költségek
Megadjuk a DPA-nak való megfelelés bizonyításához szükséges információkat, és lehetővé tesszük, illetve segítjük az ügyfél vagy az általa megbízott független auditor ellenőrzéseit, beleértve a helyszíni vizsgálatokat. Meglévő jelentések is használhatók, ha elegendők. Észszerű előzetes értesítés, titoktartás és a többi ügyfél védelme alkalmazandó úgy, hogy ne akadályozza a hatékony ellenőrzést, sürgős incidensvizsgálatot vagy hatósági hozzáférést. A szokásos segítség és bizonyítékok díjmentesek. Az ügyfél által kért rendkívüli munka észszerű díjáról előzetesen megállapodunk; a saját szerződésszegésünk miatt szükséges segítség ingyenes.
8. Visszaadás, törlés és időtartam
A DPA az elfogadással lép hatályba, és addig tart, amíg mi vagy további adatfeldolgozóink kezeljük az ügyfél dokumentumadatait. Megszűnéskor az ügyfél visszaadást vagy törlést kérhet; a visszaadás szokásos módja a letölthető átadás. A meg nem rendelt dokumentumok 24 óra után lejárnak, és a következő karbantartási ciklusban törlődnek. A nem megerősített megrendelések hét nap után lejárnak; a lemondott megrendeléseket egy napon belül eltávolítjuk. A kifizetetlen előnézetek 30 nap után lejárnak; a kifizetett megrendelések dokumentumai a fizetéstől számított 30 nap után járnak le.
Töröljük az aktív szolgáltatási másolatokat, és utasítjuk az érintett szolgáltatókat saját másolataik törlésére, kivéve ha jogszabály megőrzést követel. Az elkülönített biztonsági másolatok és szolgáltatói biztonsági nyilvántartások a dokumentált, korlátozott megőrzési ideig fennmaradhatnak, az adott célra korlátozott használattal és szabályozott hozzáféréssel; a lényeges kivételeket közöljük, és kérésre megerősítjük a törlést. A helyi munkamásolatokat minden munka után eltávolítjuk, a sikertelen munkákat is beleértve. Jogi okú megőrzés csak konkrét, dokumentált és korlátozott lehet; a megőrzött adatok nem használhatók újra. Az adatvédelmi tájékoztató külön szerződéses és pénzügyi nyilvántartásai nem indokolják a dokumentumtartalom megőrzését.
I. melléklet — A feldolgozás részletei
Tárgy: feltöltött üzleti PDF-ek és származtatott tartalmak, akadálymentes PDF-ek, oldalminták és felülvizsgálati jelentések. Cél: az ingyenes ajánlat és a megrendelt akadálymentesítési szolgáltatás. Jelleg: átvétel, tárolás, kinyerés, elemzés, strukturálás, szöveges alternatívák, összehasonlítás, felülvizsgálat, továbbítás és törlés. Gyakoriság: feltöltött dokumentumonként és megrendelésenként. Időtartam: a 8. szakasz szerint.
Érintettek: szerzők, munkatársak, üzleti kapcsolatok, ügyfelek, beszállítók, tisztviselők és a szokásos üzleti kiadványokban megnevezett személyek. Adattípusok: nevek, szakmai elérhetőségek, szerepkörök, kapcsolódások, szokásos üzleti kiadványokban megjelenő aláírások és dokumentumokban mellékesen szereplő szakmai életrajzi adatok. A különleges, büntetőjogi és a szolgáltatási feltételekben kizárt más adatok nem engedélyezettek. Ha a tervezett érintettek vagy kategóriák eltérnek ettől a leírástól, feltöltés előtt kérjen egyeztetett módosítást.
Az elfogadási nyilvántartás azonosítja az ügyfelet, képviselőjét és GDPR-szerepkörét. A szolgáltató a Martin Schrammel AB, az 1. szakaszban szereplő elérhetőségekkel. Az utasításokat és az ügyfél jogait, kötelezettségeit a 2., 6–8. szakasz és a szolgáltatási feltételek írják le.
II. melléklet — Műszaki és szervezési intézkedések
- HTTPS az ügyfél- és szolgáltatási kapcsolatokhoz. Dokumentumok tárolása privát objektumtárolóban, engedélyezett hozzáféréssel; nincs nyilvános dokumentumtároló vagy állandó nyilvános letöltési URL.
- Szerveroldali tulajdonosi ellenőrzések; véletlenszerű hozzáférési adatok lenyomatként tárolva, időkorlátos e-mail-megerősítő hivatkozások és HttpOnly munkamenetsütik. Külön hitelesítő adatok az adminisztrátornak és a feldolgozó folyamatnak.
- Feltöltési korlátok, szerveroldali formátum- és oldalszám-ellenőrzések, gyakoriságkorlátozás és azonos eredet ellenőrzése a böngészőből érkező módosításoknál. A dokumentum tartalma nem megbízható bemenetként kezelendő.
- Időkorlátos munkafoglalások és próbálkozásonként külön állományok akadályozzák meg az elavult feldolgozásból származó fájlkiadást. A fizetést ellenőrzött szolgáltatói webhook erősíti meg a teljes fájlok átadása előtt.
- Műszaki validáció, független MI-felülvizsgálat és rögzített emberi kiadási döntés. A szemantikai akadálymentességhez továbbra is szükséges emberi felülvizsgálat.
- Meghatározott lejárat és ütemezett törlés; az ideiglenes helyi munkakönyvtárak minden munka után törlődnek. A szolgáltatói beszélgetésekre és fennmaradó megőrzésre dokumentált törlési utasítások érvényesek.
- Titoktartás, minimális jogosultság, incidenskezelés, szolgáltatói ellenőrzések és fiókbeállítások felülvizsgálata. Nem állítjuk, hogy az AccessibilityPDF ISO 27001-tanúsítvánnyal vagy SOC 2-igazolással rendelkezik.
Az intézkedések a megállapodott feldolgozáshoz arányosan alkalmazandók. Lényeges változásról vagy többletkövetelményről az érintett feldolgozás előtt meg kell állapodni.
III. melléklet — Szolgáltatók és adattovábbítási garanciák
A /hu/subprocessors oldalon található további adatfeldolgozói és adattovábbítási nyilvántartás e DPA része. Teljes elfogadott szövegét a letölthető szerződésmásolat tartalmazza, így a későbbi weboldalváltozások nem módosítják az elfogadott listát. A szolgáltatók csak a megadott feladathoz szükséges adatokat kapják; a fizetési és e-mail-szolgáltatóknak nincs szükségük a PDF-tartalomra. Az OpenAI a fix ajánlat előtti feladatkör-felmérést, valamint a megrendelés utáni akadálymentesítési munkát és felülvizsgálatot segíti. Az előzetes ár és a fix ajánlat összegét kód számolja ki. Az üzemeltető az Anthropicot is használhatja azonos szerződéses feladatkörű támogatott átalakításra.