1. Parter, roller og avtale
Denne databehandleravtalen inngås elektronisk mellom kunden som er angitt i godkjenningsposten, og Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Sverige. martin@accessibilitypdf.com. Posten inneholder kundens juridiske navn, adresse og land, eventuelt organisasjonsnummer, representant, kontaktadresse for e-post, rolle, godkjenningstidspunkt og dokumentversjon. Disse opplysningene utfyller vedlegg I nedenfor. Leverandøren tilbyr DPA-en ved å gjøre den tilgjengelig sammen med godkjenningsmekanismen. Representanten godtar på kundens vegne ved aktivt å krysse av i en rute som ikke er forhåndsvalgt, og sende inn skjemaet.
Kunden er behandlingsansvarlig, eller databehandler som engasjerer oss som underdatabehandler med tillatelse fra den behandlingsansvarlige. Vi er databehandler eller underdatabehandler for personopplysninger i dokumentene. For våre egne kontakt-, avtale-, fakturerings- og sikkerhetsregistre er vi behandlingsansvarlig etter personvernerklæringen. Når DPA-en er godtatt, dekker den både den gratis vurderingen og det betalte arbeidet.
2. Dokumenterte instrukser
Vi behandler dokumentopplysninger bare etter dokumenterte instrukser: lagring, teknisk uthenting, KI-assistert vurdering av omfanget og regelbasert pristilbud, etterfulgt av KI-assistert tilgjengelighetstilpasning etter bestilling, gjennomgang, levering, støtte og sletting innenfor den avtalte tjenesten. Vi bruker dem ikke til reklame, modelltrening eller uvedkommende produktutvikling. Opplastingsposten, bestillingen og senere avtalte skriftlige instrukser utgjør instruksene.
Vi varsler kunden umiddelbart hvis vi mener en instruks er i strid med gjeldende personvernlovgivning, og stanser den berørte behandlingen til forholdet er avklart. Hvis lovgivning krever annen behandling, informerer vi kunden på forhånd, med mindre loven forbyr dette av hensyn til viktige allmenne interesser.
3. Personell og sikkerhet
Bare autoriserte personer med taushetsplikt kan få tilgang til dokumentopplysninger. Vi opprettholder egnede tekniske og organisatoriske tiltak etter GDPR artikkel 32, med hensyn til risiko, teknisk utvikling og opplysningenes art. Vedlegg II beskriver tjenestens sikkerhetstiltak. Vi gjennomgår tilganger regelmessig, tester gjenoppretting og sletting og håndterer sårbarheter. Vi reduserer ikke beskyttelsen vesentlig under et aktivt oppdrag.
4. Underdatabehandlere
Kunden gir generell skriftlig tillatelse til leverandørene og formålene i det godkjente vedlegg III. Vi pålegger dem personvernforpliktelser som gir beskyttelsen artikkel 28 krever, og har fortsatt ansvar for at de oppfyller forpliktelsene. Vi varsler minst 30 dager på forhånd til avtalens kontaktadresse for e-post om planlagte tillegg eller utskiftninger som berører dokumentopplysninger, slik at kunden kan fremme en begrunnet personverninnsigelse.
Vi samarbeider med kunden for å løse en innsigelse, benytter et rimelig alternativ eller lar kunden avslutte berørt uferdig arbeid uten kostnad og få tilbakebetalt eventuelle forhåndsbetalte, ikke leverte deler. Vi sender ikke kundens opplysninger til en omstridt ny leverandør mens innsigelsen er uavklart. Hvis leverandøravtaler endres med kortere varsel og vi ikke kan opprettholde denne forpliktelsen, setter vi berørt behandling på pause. En ny liste på nettstedet erstatter ikke varsel til eksisterende kunder.
5. Internasjonale overføringer
Tjenesten lover ikke behandling utelukkende i EØS. Godkjente leverandører kan behandle opplysninger i USA og andre land som er oppført i vedlegg III. Før en overføring som krever særskilt overføringsgrunnlag, etablerer vi et aktuelt grunnlag i en beslutning om tilstrekkelig beskyttelsesnivå eller relevante standard personvernbestemmelser fra EU fra 2021 (SCC), utfyller nødvendige vedlegg og vurderer mottakerlandet og supplerende tiltak der det er nødvendig. På forespørsel gir vi informasjon om aktuelle garantier og en kopi eller informasjon om hvordan de kan innhentes, med forholdsmessige sladdinger av hensyn til andre kunder eller sikkerhet.
Avkryssingen før opplasting er ikke samtykke etter GDPR artikkel 49 og kan ikke lovliggjøre en ellers ulovlig overføring. Forholdet mellom kunden og leverandøren i EØS reguleres av denne DPA-en etter artikkel 28. Når videreoverføring krever SCC, må eksportør og importør være bundet av riktig modul, inkludert modul 3 for overføringer mellom databehandlere, eller et gyldig grunnlag for tilstrekkelig beskyttelsesnivå må gjelde. Ingen egenformulert SCC-tekst i disse vilkårene erstatter Europakommisjonens bestemmelser.
6. Bistand og hendelser
Med hensyn til behandlingens art bistår vi kunden med krav om innsyn, retting, sletting, begrensning, dataportabilitet og innsigelser, samt sikkerhetsforpliktelser, konsekvensvurderinger og forhåndsdrøftelser etter artiklene 32–36. Vi videresender raskt henvendelser mottatt direkte fra en registrert og svarer ikke på kundens vegne uten instruks eller lovkrav.
Vi varsler kunden uten ugrunnet opphold etter å ha blitt kjent med et brudd på personopplysningssikkerheten som berører kundens opplysninger. Første varsel utsettes ikke til alle fakta er kjent. Etter hvert som informasjon blir tilgjengelig, oppgir vi bruddets art, kategorier og omtrentlige antall personer og oppføringer, kontaktinformasjon, sannsynlige følger, iverksatte eller foreslåtte tiltak og oppdateringer. Vi sikrer nødvendige bevis, bistår med skadebegrensning og kundens varslinger og dokumenterer håndteringen.
7. Informasjon, revisjoner og kostnader
Vi gir informasjon som er nødvendig for å dokumentere etterlevelse av denne DPA-en, og tillater og bidrar til revisjoner, inkludert inspeksjoner, utført av kunden eller en uavhengig revisor utpekt av kunden. Eksisterende rapporter kan brukes når de er tilstrekkelige. Rimelig varsel, fortrolighet og beskyttelse av andre kunder gjelder, uten å hindre effektiv revisjon, akutt hendelsesgjennomgang eller myndighetstilgang. Ordinær bistand og dokumentasjon er inkludert. Eventuelle rimelige kostnader for ekstraordinært arbeid som kunden ber om, avtales på forhånd; bistand som er nødvendig på grunn av vårt avtalebrudd, er gratis.
8. Tilbakelevering, sletting og varighet
Denne DPA-en gjelder fra godkjenning og så lenge vi eller våre underdatabehandlere behandler kundens dokumentopplysninger. Kunden kan be om tilbakelevering eller sletting ved avslutning; nedlastbar levering er den vanlige formen for tilbakelevering. Dokumenter uten bestilling utløper etter 24 timer og slettes ved neste vedlikeholdssyklus. Ubekreftede bestillinger utløper etter sju dager; avbestilte bestillinger fjernes innen én dag. Ubetalte forhåndsvisninger utløper etter 30 dager; dokumenter i betalte bestillinger utløper 30 dager etter betaling.
Vi sletter aktive tjenestekopier og instruerer aktuelle leverandører om å slette sine kopier, med mindre lovgivning krever oppbevaring. Isolerte sikkerhetskopier og leverandørenes sikkerhetsregistre kan bestå i leverandørens dokumenterte, begrensede oppbevaringsperiode, med bruk begrenset til dette formålet og kontrollert tilgang; vi opplyser om vesentlige unntak og bekrefter sletting på forespørsel. Lokale arbeidskopier fjernes etter hver jobb, også jobber som mislykkes. Oppbevaring av juridiske grunner må være konkret, dokumentert og tidsbegrenset; opplysningene kan ikke gjenbrukes. De separate avtale- og regnskapsregistrene i personvernerklæringen gir ikke grunnlag for å beholde dokumentinnholdet.
Vedlegg I — Behandlingsopplysninger
Gjenstand: opplastede virksomhets-PDF-er og avledet innhold, tilgjengelige PDF-er, sideutdrag og kontrollrapporter. Formål: det gratis tilbudet og den bestilte tilgjengelighetstjenesten. Behandlingens art: mottak, lagring, uthenting, analyse, strukturering, tekstalternativer, sammenligning, gjennomgang, overføring og sletting. Hyppighet: per opplastet dokument og bestilling. Varighet: som angitt i punkt 8.
Registrerte: forfattere, ansatte, forretningskontakter, kunder, leverandører, offentlige tjenestepersoner og personer navngitt i vanlige virksomhetspublikasjoner. Opplysningstyper: navn, profesjonelle kontaktopplysninger, roller, tilknytninger, signaturer i vanlige virksomhetspublikasjoner og yrkesbiografiske opplysninger som tilfeldigvis finnes i dokumenter. Særlige kategorier, opplysninger om straffbare forhold og andre opplysninger som er utelukket etter tjenestevilkårene, er ikke tillatt. Hvis tiltenkte registrerte eller opplysningskategorier faller utenfor denne beskrivelsen, må du kontakte oss for en avtalt endring før opplasting.
Godkjenningsposten identifiserer kunden, representanten og rollen etter GDPR. Martin Schrammel AB er leverandør, med kontaktopplysninger i punkt 1. Instrukser og kundens rettigheter og plikter er beskrevet i punkt 2 og 6–8 og i tjenestevilkårene.
Vedlegg II — Tekniske og organisatoriske tiltak
- HTTPS for klient- og tjenestetilkoblinger. Dokumenter lagres i privat objektlagring med autorisert tilgang; ingen offentlig dokumentbøtte eller permanent offentlig nedlastingsadresse.
- Eierkontroller på serversiden; hashede tilfeldige tilgangsopplysninger, tidsbegrensede bekreftelseslenker i e-post og HttpOnly-øktinformasjonskapsler. Separate tilgangsopplysninger for administrator og produksjonsarbeider.
- Opplastingsgrenser, format- og sidekontroller på serversiden, forespørselsbegrensninger og same-origin-kontroller for nettleserhandlinger som endrer data. Dokumentinnhold behandles som ikke-klarert inndata.
- Tidsbegrenset reservasjon av køjobber og forsøksspesifikke filer hindrer at foreldet behandling frigir filer. Betaling bekreftes av en verifisert webhook fra leverandøren før komplette filer leveres.
- Teknisk validering, en uavhengig KI-gjennomgang og en dokumentert menneskelig leveransegodkjenning. Menneskelig gjennomgang er fortsatt nødvendig for semantisk tilgjengelighet.
- Fastlagte utløpstider og planlagt sletting; midlertidige lokale arbeidsmapper fjernes etter hver jobb. Samtaler hos leverandører og gjenværende oppbevaring følger dokumenterte sletteinstrukser.
- Fortrolighet, minst mulig tilgang, hendelseshåndtering, leverandørkontroller og gjennomgang av kontoinnstillinger. Det hevdes ikke at AccessibilityPDF er ISO 27001-sertifisert eller SOC 2-attestert.
Tiltakene anvendes i forhold til den avtalte behandlingen. Vesentlige endringer eller tilleggskrav må avtales før berørt behandling.
Vedlegg III — Leverandører og overføringsgarantier
Registeret over underdatabehandlere og overføringer på /nb/subprocessors inngår i denne DPA-en. Hele den godkjente teksten tas med i den nedlastbare avtalekopien, slik at senere nettstedendringer ikke endrer den godkjente listen. Leverandører mottar bare opplysningene de trenger til den angitte oppgaven; betalings- og e-postleverandører trenger ikke PDF-innholdet. OpenAI bistår med vurdering av omfanget før et fast tilbud og med tilgjengelighetsproduksjon og gjennomgang etter bestilling. Kode beregner den foreløpige prisen og beløpet i det faste tilbudet. Anthropic kan brukes av operatøren til assistert tilpasning innenfor samme avtalte omfang.