1. Šalys, vaidmenys ir susitarimas
Ši DPA elektroniniu būdu sudaroma tarp priėmimo įraše nurodyto kliento ir Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Švedija. martin@accessibilitypdf.com. Įraše pateikiamas kliento juridinis pavadinimas, adresas ir šalis, neprivalomas registracijos numeris, atstovas, kontaktinis el. paštas, vaidmuo, priėmimo laikas ir dokumento versija. Šie duomenys papildo toliau pateiktą I priedą. Tiekėjas siūlo šią DPA pateikdamas ją kartu su priėmimo mechanizmu. Atstovas kliento vardu sutinka aktyviai pažymėdamas iš anksto nepažymėtą langelį ir pateikdamas formą.
Klientas veikia kaip duomenų valdytojas arba kaip duomenų tvarkytojas, turintis valdytojo leidimą pasitelkti mus kaip pagalbinį tvarkytoją. Dokumentuose esantiems asmens duomenims esame tvarkytojas arba pagalbinis tvarkytojas. Savo kontaktų, sutarčių, atsiskaitymo ir saugumo įrašams esame valdytojas pagal privatumo pranešimą. Priimta DPA apima nemokamą vertinimą ir mokamą darbą.
2. Dokumentuoti nurodymai
Dokumentų duomenis tvarkome tik pagal dokumentuotus nurodymus: saugojimas, techninis išgavimas, DI padedamas darbų apimties vertinimas ir taisyklėmis pagrįstas kainos pasiūlymas, o po užsakymo — DI padedamas prieinamumo pritaikymas, peržiūra, pristatymas, pagalba ir ištrynimas pagal sutartą paslaugą. Nenaudojame jų reklamai, modelių mokymui ar nesusijusiai produktų plėtrai. Nurodymus sudaro įkėlimo įrašas, paslaugos užsakymas ir vėliau sutarti rašytiniai nurodymai.
Nedelsdami informuojame klientą, jei manome, kad nurodymas pažeidžia taikomus duomenų apsaugos teisės aktus, ir sustabdome susijusį veiksmą, kol bus išsiaiškinta. Jei teisės aktai reikalauja kitokio tvarkymo, klientą informuojame iš anksto, nebent tai būtų draudžiama dėl svarbių viešojo intereso priežasčių.
3. Žmonės ir saugumas
Dokumentų duomenis gali pasiekti tik įgalioti asmenys, turintys konfidencialumo pareigą. Taikome tinkamas technines ir organizacines priemones pagal BDAR 32 straipsnį, atsižvelgdami į riziką, technikos lygį ir duomenų pobūdį. Paslaugos kontrolės priemonės užfiksuotos II priede. Reguliariai peržiūrime prieigą, tikriname atkūrimą ir ištrynimą bei šaliname pažeidžiamumus. Vykdydami aktyvų užsakymą iš esmės nemažiname apsaugos.
4. Pagalbiniai duomenų tvarkytojai
Klientas suteikia bendrą rašytinį leidimą priimtame III priede nurodytiems teikėjams ir tikslams. Nustatome duomenų apsaugos pareigas, užtikrinančias 28 straipsnyje reikalaujamą apsaugą, ir liekame atsakingi už jų vykdymą. Apie planuojamą papildymą ar pakeitimą, turintį įtakos dokumentų duomenims, bent prieš 30 dienų pranešame sutarties kontaktiniu el. paštu, suteikdami galimybę pateikti pagrįstą prieštaravimą dėl duomenų apsaugos.
Su klientu siekiame išspręsti prieštaravimą, pasirenkame pagrįstą alternatyvą arba leidžiame nemokamai nutraukti susijusį nebaigtą darbą ir grąžiname iš anksto apmokėtą nepristatytą dalį. Kol prieštaravimas neišspręstas, kliento duomenų ginčijamam naujam teikėjui neperduodame. Jei dėl teikėjo sutarties pakeitimų su trumpesniu įspėjimu negalime laikytis šio įsipareigojimo, turime sustabdyti susijusį tvarkymą. Vien naujas sąrašas svetainėje nepakeičia pranešimo esamam klientui.
5. Tarptautiniai perdavimai
Paslauga nežada duomenų tvarkymo tik EEE. Patvirtinti teikėjai gali tvarkyti duomenis JAV ir kitose III priede nurodytose šalyse. Prieš perdavimą, kuriam taikomi apribojimai, nustatome tinkamą sprendimo dėl tinkamumo pagrindą arba atitinkamas 2021 m. ES standartines sutarčių sąlygas (SCC), užpildome reikiamus priedus ir prireikus įvertiname paskirties šalį bei papildomas priemones. Paprašius pateikiame informaciją apie taikomas apsaugos priemones ir jų kopiją arba būdą ją gauti, proporcingai užtušuodami kitų klientų ar saugumo informaciją.
Įkėlimo žymimasis langelis nėra sutikimas pagal BDAR 49 straipsnį ir negali įteisinti kitaip neteisėto perdavimo. Kliento ir tiekėjo santykį EEE reglamentuoja ši 28 straipsnio DPA. Kai tolesniam perdavimui reikia SCC, atitinkamas eksportuotojas ir importuotojas turi būti saistomi taikomo modulio, įskaitant 3 modulį tvarkytojų tarpusavio perdavimams, arba turi galioti tinkamas sprendimo dėl tinkamumo pagrindas. Joks specialiai sukurtas SCC tekstas šiose sąlygose nepakeičia Komisijos sąlygų.
6. Pagalba ir incidentai
Atsižvelgdami į tvarkymo pobūdį, padedame klientui įvykdyti prieigos, taisymo, ištrynimo, apribojimo, perkeliamumo ir prieštaravimo prašymus, taip pat saugumo pareigas, poveikio vertinimus ir išankstines konsultacijas pagal 32–36 straipsnius. Tiesiogiai iš duomenų subjekto gautą prašymą skubiai persiunčiame ir kliento vardu neatsakome be nurodymo ar teisės aktų reikalavimo.
Sužinoję apie kliento duomenis paveikusį asmens duomenų saugumo pažeidimą, pranešame klientui nepagrįstai nedelsdami. Pirminio pranešimo neatidedame, kol paaiškės visi faktai. Informacijai atsirandant pateikiame pažeidimo pobūdį, asmenų ir įrašų kategorijas bei apytikslius skaičius, kontaktinius duomenis, tikėtinas pasekmes, atliktus ar siūlomus veiksmus ir atnaujinimus. Išsaugome būtinus įrodymus, padedame mažinti žalą ir rengti kliento pranešimus bei dokumentuojame savo atsaką.
7. Informacija, auditai ir išlaidos
Pateikiame informaciją, būtiną įrodyti šios DPA laikymąsi, ir leidžiame bei padedame atlikti auditus, įskaitant patikrinimus, kuriuos vykdo klientas ar jo įgaliotas nepriklausomas auditorius. Kai pakanka, galima naudoti esamas ataskaitas. Taikomas protingas įspėjimo terminas, konfidencialumas ir kitų klientų apsauga, nekliudant veiksmingam auditui, skubiai incidento peržiūrai ar priežiūros institucijų prieigai. Įprasta pagalba ir įrodymai įskaičiuoti. Dėl pagrįsto mokesčio už išimtinį kliento prašomą darbą susitariame iš anksto; dėl mūsų pažeidimo reikalinga pagalba nemokama.
8. Grąžinimas, ištrynimas ir trukmė
Ši DPA įsigalioja priėmus ir galioja tol, kol mes ar mūsų pagalbiniai tvarkytojai tvarkome kliento dokumentų duomenis. Nutraukus sutartį klientas gali prašyti grąžinti arba ištrinti duomenis; įprastas grąžinimo būdas — pristatymas atsisiuntimui. Neužsakytų dokumentų terminas baigiasi po 24 valandų, ir jie ištrinami per kitą priežiūros ciklą. Nepatvirtintų užsakymų terminas baigiasi po septynių dienų; atšaukti užsakymai pašalinami per vieną dieną nuo atšaukimo. Neapmokėti pavyzdžiai nustoja galioti po 30 dienų; apmokėtų užsakymų dokumentai — po 30 dienų nuo mokėjimo.
Ištriname aktyvias paslaugos kopijas ir nurodome atitinkamiems teikėjams ištrinti jų kopijas, nebent saugoti reikalauja teisės aktai. Izoliuotos atsarginės kopijos ir teikėjų saugumo įrašai gali išlikti dokumentuotą, ribotą teikėjo saugojimo laiką, naudojimą apribojant tuo tikslu ir kontroliuojant prieigą; atskleidžiame esmines išimtis ir paprašius patvirtiname ištrynimą. Vietinės darbinės kopijos pašalinamos po kiekvieno darbo, įskaitant nepavykusius darbus. Teisinis saugojimo reikalavimas turi būti konkretus, dokumentuotas ir ribotas; saugomų duomenų negalima naudoti pakartotinai. Privatumo pranešime aprašyti atskiri sutarčių ir finansiniai įrašai nepateisina dokumentų turinio saugojimo.
I priedas — Tvarkymo duomenys
Dalykas: įkelti verslo PDF ir išvestinis turinys, prieinami PDF, puslapių pavyzdžiai ir peržiūros ataskaitos. Tikslas: nemokamas pasiūlymas ir užsakyta prieinamumo paslauga. Pobūdis: gavimas, saugojimas, išgavimas, analizė, struktūravimas, tekstinės alternatyvos, palyginimas, peržiūra, perdavimas ir ištrynimas. Dažnumas: kiekvienam įkeltam dokumentui ir užsakymui. Trukmė: pagal 8 skyrių.
Duomenų subjektai: autoriai, darbuotojai, verslo kontaktai, klientai, tiekėjai, pareigūnai ir įprastose verslo publikacijose nurodyti asmenys. Duomenų rūšys: vardai, profesiniai kontaktiniai duomenys, pareigos, ryšiai su organizacijomis, įprastose verslo publikacijose esantys parašai ir dokumentuose atsitiktinai pasitaikanti profesinė biografinė informacija. Specialių kategorijų, nusikalstamų veikų ir kiti pagal paslaugos sąlygas neleidžiami duomenys nėra leidžiami. Jei numatomi subjektai ar kategorijos nepatenka į šį aprašą, prieš įkeldami susisiekite dėl sutarto pakeitimo.
Priėmimo įrašas identifikuoja klientą, jo atstovą ir BDAR vaidmenį. Tiekėjas yra Martin Schrammel AB, kurio kontaktai pateikti 1 skyriuje. Nurodymai ir kliento teisės bei pareigos aprašytos 2, 6–8 skyriuose ir paslaugos sąlygose.
II priedas — Techninės ir organizacinės priemonės
- HTTPS klientų ir paslaugų ryšiams. Dokumentai saugomi privačioje objektų saugykloje su įgaliota prieiga; nėra viešos dokumentų saugyklos ar nuolatinio viešo atsisiuntimo URL.
- Serverio pusėje tikrinama failų priklausomybė; saugomos atsitiktinių prieigos duomenų maišos, naudojamos riboto galiojimo el. pašto patvirtinimo nuorodos ir HttpOnly sesijų slapukai. Atskiri administratoriaus ir gamybos proceso prisijungimo duomenys.
- Įkėlimo ribos, serverio pusės formato ir puslapių patikros, užklausų dažnio ribos ir tos pačios kilmės patikros naršyklės keitimo užklausoms. Dokumentų turinys laikomas nepatikima įvestimi.
- Terminuoti eilės užduočių priskyrimai ir atskiri kiekvieno bandymo rezultatai neleidžia pasenusiam procesui išleisti failų. Prieš pristatant visus failus mokėjimą patvirtina patikrintas teikėjo webhook pranešimas.
- Techninis tikrinimas, nepriklausoma DI peržiūra ir užfiksuotas žmogaus sprendimas leisti pristatyti. Semantiniam prieinamumui žmogaus peržiūra tebėra būtina.
- Nustatyti galiojimo terminai ir planinis ištrynimas; laikini vietiniai darbo aplankai pašalinami po kiekvieno darbo. Teikėjų pokalbiai ir likutinis saugojimas valdomi pagal dokumentuotus ištrynimo nurodymus.
- Konfidencialumas, mažiausių būtinų teisių prieiga, reagavimas į incidentus, tiekėjų patikros ir paskyrų nustatymų peržiūra. Neteigiama, kad AccessibilityPDF turi ISO 27001 sertifikatą ar SOC 2 patvirtinimą.
Šios priemonės taikomos proporcingai sutartam tvarkymui. Dėl esminio pakeitimo ar papildomo reikalavimo būtina susitarti prieš atitinkamą tvarkymą.
III priedas — Teikėjai ir perdavimo apsaugos priemonės
Pagalbinių tvarkytojų ir perdavimų registras adresu /lt/subprocessors yra šios DPA dalis. Visas priimtas jo tekstas įtraukiamas į atsisiunčiamą sutarties kopiją, todėl vėlesni svetainės pakeitimai nekeičia priimto sąrašo. Teikėjai gauna tik konkrečiai užduočiai reikalingus duomenis; mokėjimų ir el. pašto teikėjams PDF turinio nereikia. OpenAI padeda vertinti darbų apimtį prieš fiksuotą pasiūlymą, o po užsakymo — pritaikyti prieinamumą ir peržiūrėti rezultatą. Programinis kodas apskaičiuoja preliminarią kainą ir fiksuoto pasiūlymo sumas. Vykdytojas gali naudoti Anthropic pritaikymui padėti pagal tą pačią sutartą apimtį.