1. Parti, ruoli e accordo
Questo DPA è concluso elettronicamente tra il cliente identificato nella registrazione dell’accettazione e Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Svezia. martin@accessibilitypdf.com. La registrazione contiene denominazione legale, indirizzo e paese del cliente, eventuale numero di registrazione, rappresentante, e-mail di contatto, ruolo, momento dell’accettazione e versione del documento. Questi dati completano l’allegato I seguente. Il fornitore propone questo DPA rendendolo disponibile con il meccanismo di accettazione. Il rappresentante lo accetta per il cliente selezionando espressamente una casella non preselezionata e inviando il modulo.
Il cliente agisce come titolare del trattamento o come responsabile che ci incarica quale sub-responsabile con l’autorizzazione del titolare. Agiamo come responsabile o sub-responsabile per i dati personali contenuti nei documenti. Per i nostri dati di contatto, contrattuali, di fatturazione e di sicurezza agiamo come titolare secondo l’informativa privacy. Una volta accettato, il DPA copre sia la valutazione gratuita sia il lavoro a pagamento.
2. Istruzioni documentate
Trattiamo i dati dei documenti esclusivamente su istruzioni documentate: conservazione, estrazione tecnica, valutazione dell’ambito assistita da IA e preventivazione basata su regole, seguite dopo l’ordine da adattamento accessibile assistito da IA, revisione, consegna, assistenza e cancellazione secondo il servizio concordato. Non li utilizziamo per pubblicità, addestramento di modelli o sviluppo di prodotti estraneo all’incarico. La registrazione del caricamento, l’ordine e le successive istruzioni scritte concordate costituiscono le istruzioni.
Informiamo immediatamente il cliente se riteniamo che un’istruzione violi il diritto applicabile sulla protezione dei dati e sospendiamo l’operazione interessata in attesa di chiarimenti. Se la legge impone un altro trattamento, informiamo il cliente prima di eseguirlo, salvo divieto per rilevanti motivi di interesse pubblico.
3. Persone e sicurezza
Solo persone autorizzate e vincolate alla riservatezza possono accedere ai dati dei documenti. Manteniamo misure tecniche e organizzative adeguate ai sensi dell’articolo 32 GDPR, tenendo conto del rischio, dello stato dell’arte e della natura dei dati. L’allegato II documenta i controlli del servizio. Verifichiamo regolarmente gli accessi, testiamo ripristino e cancellazione e affrontiamo le vulnerabilità. Non riduciamo sostanzialmente la protezione durante un incarico attivo.
4. Sub-responsabili
Il cliente concede un’autorizzazione scritta generale per i fornitori e le finalità dell’allegato III accettato. Imponiamo obblighi di protezione dei dati che offrano le garanzie richieste dall’articolo 28 e restiamo responsabili del loro adempimento. Comunichiamo con almeno 30 giorni di anticipo all’e-mail contrattuale le aggiunte o sostituzioni previste che riguardano i dati dei documenti, consentendo un’opposizione motivata in materia di protezione dei dati.
Collaboriamo con il cliente per risolvere l’opposizione, ricorrere a un’alternativa ragionevole oppure consentire la cessazione gratuita del lavoro interessato non ancora concluso, rimborsando eventuali parti prepagate non consegnate. Non inviamo i suoi dati al nuovo fornitore contestato finché l’opposizione non è risolta. Modifiche ai contratti dei fornitori con preavviso più breve ci obbligano a sospendere il trattamento interessato se non possiamo mantenere questo impegno. Un nuovo elenco sul sito non sostituisce la comunicazione a un cliente esistente.
5. Trasferimenti internazionali
Il servizio non promette un trattamento esclusivamente nel SEE. I fornitori autorizzati possono trattare dati negli Stati Uniti e negli altri paesi indicati nell’allegato III. Prima di un trasferimento soggetto a restrizioni, stabiliamo una base di adeguatezza applicabile o le pertinenti clausole contrattuali standard UE del 2021 (SCC), completiamo gli allegati necessari e valutiamo la destinazione e le misure supplementari ove necessario. Su richiesta forniamo informazioni sulle garanzie applicabili e una copia o un modo per ottenerle, con oscuramenti proporzionati per proteggere altri clienti o la sicurezza.
La casella di caricamento non costituisce consenso ai sensi dell’articolo 49 GDPR e non può rendere lecito un trasferimento altrimenti illecito. Il rapporto cliente-fornitore nel SEE è disciplinato da questo DPA ai sensi dell’articolo 28. Quando un trasferimento successivo richiede SCC, esportatore e importatore devono essere vincolati al modulo applicabile, incluso il modulo 3 per i trasferimenti tra responsabili, oppure deve sussistere una valida base di adeguatezza. Nessun testo SCC personalizzato contenuto in queste condizioni sostituisce le clausole della Commissione.
6. Assistenza e incidenti
Considerata la natura del trattamento, assistiamo il cliente nelle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché negli obblighi di sicurezza, nelle valutazioni d’impatto e nelle consultazioni preventive ai sensi degli articoli 32–36. Inoltriamo tempestivamente le richieste ricevute direttamente dagli interessati e non rispondiamo per conto del cliente salvo istruzione o obbligo di legge.
Notifichiamo al cliente senza ingiustificato ritardo quando veniamo a conoscenza di una violazione dei dati personali che riguarda i suoi dati. La prima comunicazione non viene rinviata fino alla conoscenza di tutti i fatti. Man mano che le informazioni diventano disponibili, comunichiamo natura della violazione, categorie e numero approssimativo di persone e registrazioni coinvolte, contatti, probabili conseguenze, azioni adottate o proposte e aggiornamenti. Conserviamo le prove necessarie, aiutiamo a mitigare gli effetti e nelle notifiche del cliente e documentiamo la nostra risposta.
7. Informazioni, audit e costi
Forniamo le informazioni necessarie a dimostrare il rispetto di questo DPA e consentiamo e contribuiamo agli audit, comprese le ispezioni, del cliente o del revisore indipendente da esso incaricato. Possono essere utilizzati rapporti esistenti se sufficienti. Si applicano un preavviso ragionevole, la riservatezza e garanzie per altri clienti, senza impedire audit efficaci, verifiche urgenti di incidenti o accesso delle autorità. Assistenza e prove ordinarie sono incluse. Concordiamo preventivamente eventuali costi ragionevoli per lavori eccezionali richiesti dal cliente; l’assistenza necessaria per un nostro inadempimento è gratuita.
8. Restituzione, cancellazione e durata
Questo DPA decorre dall’accettazione e dura finché noi o i nostri sub-responsabili trattiamo i dati documentali del cliente. Alla cessazione il cliente può richiederne restituzione o cancellazione; la consegna scaricabile è la modalità ordinaria di restituzione. I documenti senza ordine scadono dopo 24 ore e vengono cancellati nel successivo ciclo di manutenzione. Gli ordini non verificati scadono dopo sette giorni; quelli annullati vengono rimossi entro un giorno dall’annullamento. Le anteprime non pagate scadono dopo 30 giorni; i documenti degli ordini pagati dopo 30 giorni dal pagamento.
Cancelliamo le copie attive del servizio e ordiniamo ai fornitori pertinenti di eliminare le proprie, salvo conservazione imposta dalla legge. Backup isolati e registri di sicurezza dei fornitori possono permanere per il loro periodo documentato e limitato, con uso ristretto a tale finalità e accesso controllato; comunichiamo le eccezioni rilevanti e confermiamo la cancellazione su richiesta. Le copie locali di lavoro vengono rimosse dopo ogni attività, anche se fallita. La conservazione per esigenze legali deve essere specifica, documentata e limitata; i dati conservati non possono essere riutilizzati. I registri contrattuali e finanziari separati descritti nell’informativa privacy non giustificano la conservazione del contenuto dei documenti.
Allegato I — Dettagli del trattamento
Oggetto: PDF aziendali caricati e contenuti derivati, PDF accessibili, campioni di pagine e rapporti di revisione. Finalità: preventivo gratuito e servizio di accessibilità ordinato. Natura: ricezione, conservazione, estrazione, analisi, strutturazione, alternative testuali, confronto, revisione, trasmissione e cancellazione. Frequenza: per documento caricato e ordine. Durata: secondo la sezione 8.
Interessati: autori, personale, contatti professionali, clienti, fornitori, funzionari e persone citate in normali pubblicazioni aziendali. Tipi di dati: nomi, recapiti professionali, ruoli, affiliazioni, firme presenti in normali pubblicazioni aziendali e informazioni biografiche professionali incidentalmente presenti nei documenti. Categorie particolari, dati relativi a reati e altri dati esclusi dalle condizioni del servizio non sono autorizzati. Se gli interessati o le categorie previste esulano da questa descrizione, contattaci per concordare una modifica prima del caricamento.
La registrazione dell’accettazione identifica cliente, rappresentante e ruolo GDPR. Martin Schrammel AB è il fornitore, con i contatti della sezione 1. Le istruzioni e i diritti e obblighi del cliente sono descritti nelle sezioni 2 e 6–8 e nelle condizioni del servizio.
Allegato II — Misure tecniche e organizzative
- HTTPS per le connessioni dei clienti e del servizio. Documenti in archiviazione privata a oggetti con accesso autorizzato; nessun bucket pubblico di documenti o URL pubblico permanente di download.
- Controlli di titolarità lato server; credenziali casuali di accesso memorizzate come hash, link e-mail di verifica a scadenza e cookie di sessione HttpOnly. Credenziali distinte per amministratori e processi di produzione.
- Limiti di caricamento, controlli server su formato e pagine, limiti di frequenza e controlli same-origin per richieste modificative dal browser. Il contenuto documentale è trattato come input non attendibile.
- Prenotazioni temporanee nella coda e artefatti specifici di ogni tentativo impediscono il rilascio di file da elaborazioni obsolete. Il pagamento è confermato tramite un webhook verificato del fornitore prima della consegna dei file completi.
- Validazione tecnica, revisione indipendente mediante IA e decisione umana di rilascio registrata. La revisione umana resta necessaria per l’accessibilità semantica.
- Scadenze definite e cancellazione programmata; le cartelle temporanee locali di lavoro vengono eliminate dopo ogni attività. Conversazioni presso i fornitori e conservazione residua seguono istruzioni documentate di cancellazione.
- Riservatezza, accesso con privilegi minimi, risposta agli incidenti, controlli sui fornitori e verifica delle impostazioni degli account. Non si afferma che AccessibilityPDF sia certificato ISO 27001 o attestato SOC 2.
Queste misure si applicano in proporzione al trattamento concordato. Una modifica sostanziale o un requisito aggiuntivo deve essere concordato prima del trattamento interessato.
Allegato III — Fornitori e garanzie di trasferimento
Il registro dei sub-responsabili e dei trasferimenti su /it/subprocessors è parte di questo DPA. Il testo completo accettato è incluso nella copia scaricabile dell’accordo, così che modifiche successive al sito non alterino l’elenco accettato. I fornitori ricevono solo i dati necessari per il compito specifico; i fornitori di pagamenti ed e-mail non necessitano dei contenuti PDF. OpenAI assiste la valutazione dell’ambito prima di un preventivo fisso e la produzione accessibile e la revisione dopo un ordine. Il codice calcola il prezzo preliminare e gli importi del preventivo fisso. Anthropic può essere utilizzato dall’operatore per l’adattamento assistito nello stesso ambito contrattuale.