1. Aðilar, hlutverk og samningur
Þessi vinnslusamningur er gerður rafrænt milli viðskiptavinarins sem tilgreindur er í samþykkisskránni og Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Svíþjóð. martin@accessibilitypdf.com. Skráin inniheldur lögheiti viðskiptavinar, heimilisfang og land, valfrjálst skráningarnúmer, fulltrúa, tölvupóstfang tengiliðar, hlutverk, samþykkistíma og útgáfu skjals. Þessar upplýsingar fylla út viðauka I hér að neðan. Þjónustuaðilinn býður þennan DPA með því að gera hann aðgengilegan með samþykkisaðferðinni. Fulltrúinn samþykkir fyrir hönd viðskiptavinar með virkri merkingu í reit sem er ekki forvalinn og innsendingu.
Viðskiptavinurinn er ábyrgðaraðili, eða vinnsluaðili sem ræður okkur sem undirvinnsluaðila með heimild ábyrgðaraðilans. Við erum vinnsluaðili eða undirvinnsluaðili fyrir persónuupplýsingar í skjölum. Fyrir eigin samskipta-, samnings-, reiknings- og öryggisskrár erum við ábyrgðaraðili samkvæmt persónuverndarstefnunni. Eftir samþykki nær DPA bæði til gjaldfrjálsa matsins og greiddrar vinnu.
2. Skráð fyrirmæli
Við vinnum skjalagögn aðeins samkvæmt skráðum fyrirmælum: geymsla, tæknileg úrvinnsla, umfangsmat með gervigreindaraðstoð og tilboðsgerð samkvæmt föstum reglum, og eftir pöntun gervigreindaraðstoðuð aðgengislagfæring, yfirferð, afhending, stuðningur og eyðing samkvæmt umsaminni þjónustu. Við notum gögnin ekki í auglýsingar, líkanaþjálfun eða óskylda vöruþróun. Upphleðsluskráin, þjónustupöntunin og síðari samþykkt skrifleg fyrirmæli mynda fyrirmælin.
Við tilkynnum viðskiptavininum tafarlaust ef við teljum fyrirmæli brjóta gegn gildandi persónuverndarlögum og stöðvum viðkomandi vinnslu þar til málið hefur verið skýrt. Ef lög krefjast annarrar vinnslu upplýsum við viðskiptavininn fyrirfram nema lög banni það vegna mikilvægra almannahagsmuna.
3. Fólk og öryggi
Aðeins heimilaðir einstaklingar sem eru bundnir trúnaði mega fá aðgang að skjalagögnum. Við viðhöldum viðeigandi tæknilegum og skipulagslegum ráðstöfunum samkvæmt 32. grein GDPR, með tilliti til áhættu, tækniþróunar og eðlis gagna. Viðauki II lýsir ráðstöfunum þjónustunnar. Við endurskoðum aðgang reglulega, prófum endurheimt og eyðingu og bregðumst við veikleikum. Við drögum ekki verulega úr vernd meðan virkt verkefni stendur yfir.
4. Undirvinnsluaðilar
Viðskiptavinurinn veitir almenna skriflega heimild fyrir þjónustuaðilunum og tilganginum í samþykktum viðauka III. Við leggjum á þá persónuverndarskyldur sem veita þá vernd sem 28. grein krefst og berum áfram ábyrgð á því að þeir uppfylli þessar skyldur. Við sendum að minnsta kosti 30 daga fyrirvara á tölvupóstfang tengiliðar samningsins um fyrirhugaða viðbót eða skipti sem hafa áhrif á skjalagögn, svo hægt sé að setja fram rökstudda andstöðu á persónuverndargrundvelli.
Við vinnum með viðskiptavininum að lausn andstöðu, notum sanngjarnan valkost eða heimilum uppsögn viðkomandi ólokinnar vinnu án gjalds og endurgreiðum fyrirframgreiddan óafhentan hluta. Við sendum gögn viðskiptavinar ekki til umdeilds nýs þjónustuaðila meðan andstaðan er óleyst. Breytingar á samningum þjónustuaðila með styttri fyrirvara krefjast þess að við stöðvum viðkomandi vinnslu ef við getum ekki staðið við þessa skuldbindingu. Nýr listi á vefnum einn og sér kemur ekki í stað tilkynningar til fyrirliggjandi viðskiptavinar.
5. Flutningur milli landa
Þjónustan lofar ekki vinnslu eingöngu innan EES. Samþykktir þjónustuaðilar geta unnið gögn í Bandaríkjunum og öðrum löndum sem eru tilgreind í viðauka III. Fyrir flutning sem háður er takmörkunum tryggjum við viðeigandi ákvörðun um fullnægjandi vernd eða viðeigandi staðlaða samningsskilmála ESB frá 2021 (SCC), fyllum út nauðsynlega viðauka og metum viðtökuland og viðbótarráðstafanir þegar þörf er á. Við veitum upplýsingar um viðeigandi verndarráðstafanir og afrit þeirra eða leið til að nálgast þær sé þess óskað, með hóflegum afmáningum vegna annarra viðskiptavina eða öryggis.
Samþykkisreiturinn við upphleðslu er ekki samþykki samkvæmt 49. grein GDPR og getur ekki gert annars ólögmætan flutning lögmætan. Samband viðskiptavinar og þjónustuaðila á EES fellur undir þennan DPA samkvæmt 28. grein. Þegar áframflutningur krefst SCC verða viðkomandi útflytjandi og innflytjandi að vera bundnir af viðeigandi hluta, þar á meðal hluta 3 fyrir flutning milli vinnsluaðila, eða gild ákvörðun um fullnægjandi vernd verður að eiga við. Sérsniðinn SCC-texti í þessum skilmálum kemur ekki í stað skilmála framkvæmdastjórnarinnar.
6. Aðstoð og atvik
Með tilliti til eðlis vinnslunnar aðstoðum við viðskiptavininn við beiðnir um aðgang, leiðréttingu, eyðingu, takmörkun, gagnaflutning og andmæli, sem og öryggisskyldur, mat á áhrifum og fyrirframsamráð samkvæmt 32.–36. grein. Við framsendum án tafar beiðni sem berst beint frá skráðum einstaklingi og svörum ekki fyrir hönd viðskiptavinar nema samkvæmt fyrirmælum eða lagaskyldu.
Við tilkynnum viðskiptavininum án ástæðulauss dráttar eftir að við verðum vör við öryggisbrest sem hefur áhrif á persónuupplýsingar hans. Fyrstu tilkynningu er ekki frestað þar til allar staðreyndir liggja fyrir. Þegar upplýsingar verða tiltækar veitum við lýsingu á eðli brotsins, flokkum og áætluðum fjölda einstaklinga og skráninga, samskiptaupplýsingum, líklegum afleiðingum, gerðum eða fyrirhuguðum ráðstöfunum og uppfærslum. Við varðveitum nauðsynleg sönnunargögn, aðstoðum við mótvægisaðgerðir og tilkynningar viðskiptavinarins og skráum viðbrögð okkar.
7. Upplýsingar, úttektir og kostnaður
Við veitum nauðsynlegar upplýsingar til að sýna fram á fylgni við þennan DPA og heimilum og stuðlum að úttektum, þar á meðal skoðunum, sem viðskiptavinurinn eða óháður úttektaraðili í umboði hans framkvæmir. Fyrirliggjandi skýrslur má nota þegar þær nægja. Hæfilegur fyrirvari, trúnaður og vernd annarra viðskiptavina gilda án þess að hindra árangursríka úttekt, brýna yfirferð atviks eða aðgang eftirlitsyfirvalda. Hefðbundin aðstoð og gögn eru innifalin. Við semjum fyrirfram um sanngjarnt gjald fyrir óvenjulega vinnu sem viðskiptavinur óskar eftir; aðstoð vegna brots af okkar hálfu er gjaldfrjáls.
8. Skil, eyðing og gildistími
Þessi DPA hefst við samþykki og heldur gildi meðan við eða undirvinnsluaðilar okkar vinnum skjalagögn viðskiptavinarins. Viðskiptavinurinn getur óskað eftir skilum eða eyðingu við lok samnings; afhending til niðurhals er venjuleg skilaaðferð. Skjöl án pöntunar renna út eftir 24 klukkustundir og eru eydd í næstu viðhaldslotu. Óstaðfestar pantanir renna út eftir sjö daga; afturkallaðar pantanir eru fjarlægðar innan eins dags. Ógreidd sýnishorn renna út eftir 30 daga; skjöl greiddra pantana renna út 30 dögum eftir greiðslu.
Við eyðum virkum þjónustueintökum og gefum viðkomandi þjónustuaðilum fyrirmæli um að eyða sínum eintökum, nema lög krefjist varðveislu. Einangruð öryggisafrit og öryggisskrár þjónustuaðila kunna að varðveitast í skráðan, takmarkaðan varðveislutíma viðkomandi aðila, með notkun bundna við þann tilgang og stýrðan aðgang; við upplýsum um verulegar undantekningar og staðfestum eyðingu sé þess óskað. Staðbundnum vinnueintökum er eytt eftir hvert verkefni, einnig verkefni sem mistakast. Varðveisla af lagalegum ástæðum verður að vera sértæk, skráð og takmörkuð; ekki má endurnýta varðveitt gögn. Sérstakar samnings- og fjárhagsskrár sem lýst er í persónuverndarstefnunni réttlæta ekki varðveislu innihalds skjalanna.
Viðauki I — Upplýsingar um vinnslu
Viðfangsefni: upphlaðin PDF-skjöl fyrirtækja og afleitt efni, aðgengileg PDF-skjöl, síðusýnishorn og yfirferðarskýrslur. Tilgangur: gjaldfrjálst tilboð og pöntuð aðgengisþjónusta. Eðli vinnslu: móttaka, geymsla, útdráttur, greining, skipulagning, textavalkostir, samanburður, yfirferð, flutningur og eyðing. Tíðni: fyrir hvert upphlaðið skjal og pöntun. Gildistími: eins og fram kemur í 8. kafla.
Skráðir einstaklingar: höfundar, starfsfólk, viðskiptatengiliðir, viðskiptavinir, birgjar, opinberir starfsmenn og fólk sem nefnt er í venjulegu útgefnu efni fyrirtækja. Gagnategundir: nöfn, samskiptaupplýsingar í starfi, hlutverk, tengsl, undirskriftir í venjulegu útgefnu efni fyrirtækja og upplýsingar um starfsferil sem tilfallandi eru í skjölum. Viðkvæmar persónuupplýsingar, upplýsingar um refsiverð brot og önnur gögn sem þjónustuskilmálar útiloka eru ekki heimil. Ef fyrirhugaðir skráðir einstaklingar eða gagnategundir falla utan þessarar lýsingar skal hafa samband vegna umsaminna breytinga fyrir upphleðslu.
Samþykkisskráin auðkennir viðskiptavininn, fulltrúa hans og hlutverk samkvæmt GDPR. Martin Schrammel AB er þjónustuaðilinn, með samskiptaupplýsingum í 1. kafla. Fyrirmæli og réttindi og skyldur viðskiptavinar eru lýst í köflum 2 og 6–8 og í þjónustuskilmálunum.
Viðauki II — Tæknilegar og skipulagslegar ráðstafanir
- HTTPS fyrir tengingar viðskiptavina og þjónustu. Skjöl geymd í einkarekinni hlutageymslu með heimiluðum aðgangi; engin opin skjalageymsla eða varanlegt opinbert niðurhalsfang.
- Eignarhald sannreynt á þjóni; tilviljanakennd aðgangsauðkenni geymd sem tætigildi, tímabundnir staðfestingartenglar í tölvupósti og HttpOnly-setuvafrakökur. Aðskilin aðgangsauðkenni fyrir stjórnanda og vinnsluþjón.
- Takmörk á upphleðslu, sannprófun sniðs og blaðsíðufjölda á þjóni, takmörkun beiðna og athugun á sama uppruna fyrir aðgerðir vafra sem breyta gögnum. Innihald skjala er meðhöndlað sem ótraust inntak.
- Tímabundin frátekt verka í biðröð og skrár bundnar við hverja tilraun koma í veg fyrir að úrelt vinnsla afhendi skrár. Greiðsla er staðfest með sannreyndum vefkrók frá þjónustuaðila áður en heildarskjöl eru afhent.
- Tæknileg sannprófun, sjálfstæð yfirferð gervigreindar og skráð afhendingarsamþykki einstaklings. Mannleg yfirferð er áfram nauðsynleg fyrir merkingarlegt aðgengi.
- Skilgreindir gildistímar og skipulögð eyðing; tímabundnar staðbundnar vinnumöppur eru fjarlægðar eftir hvert verkefni. Samtöl hjá þjónustuaðilum og varðveisla sem eftir stendur fylgja skráðum eyðingarfyrirmælum.
- Trúnaður, lágmarksaðgangur, viðbrögð við atvikum, athuganir á birgjum og yfirferð reikningsstillinga. Ekki er fullyrt að AccessibilityPDF sé ISO 27001-vottað eða hafi SOC 2-staðfestingu.
Þessar ráðstafanir gilda í samræmi við umsamið umfang vinnslu. Semja verður um verulega breytingu eða viðbótarkröfu áður en viðkomandi vinnsla hefst.
Viðauki III — Þjónustuaðilar og vernd við flutning
Skrá undirvinnsluaðila og gagnaflutninga á /is/subprocessors er hluti þessa DPA. Allur samþykkti textinn fylgir samningsafritinu sem hægt er að sækja, þannig að síðari vefbreytingar breyta ekki samþykkta listanum. Þjónustuaðilar fá aðeins gögnin sem þarf fyrir tilgreint verkefni; greiðslu- og tölvupóstþjónustuaðilar þurfa ekki innihald PDF-skjalanna. OpenAI aðstoðar við umfangsmat áður en fast tilboð er gefið og við aðgengisvinnslu og yfirferð eftir pöntun. Forritskóði reiknar bráðabirgðaverðið og fjárhæð fasta tilboðsins. Rekstraraðilinn getur notað Anthropic til aðstoðar við lagfæringar innan sama samningsbundna umfangs.