1. Partijen, rollen en overeenkomst
Deze DPA wordt elektronisch gesloten tussen de klant in het acceptatieregister en Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Zweden. martin@accessibilitypdf.com. Het register bevat de officiële naam, het adres en land van de klant, eventueel registratienummer, vertegenwoordiger, contact-e-mail, rol, acceptatietijdstip en documentversie. Deze gegevens vullen bijlage I aan. De leverancier biedt deze DPA aan door deze met het acceptatiemechanisme beschikbaar te stellen. De vertegenwoordiger accepteert namens de klant door een standaard leeg selectievakje actief aan te vinken en te verzenden.
De klant handelt als verwerkingsverantwoordelijke, of als verwerker die ons met toestemming van de verantwoordelijke als subverwerker inschakelt. Voor persoonsgegevens in documenten handelen wij als verwerker of subverwerker. Voor onze eigen contact-, overeenkomst-, facturatie- en beveiligingsgegevens handelen wij als verantwoordelijke volgens de privacyverklaring. Na acceptatie geldt de DPA voor zowel de gratis beoordeling als het betaalde werk.
2. Gedocumenteerde instructies
Wij verwerken documentgegevens alleen op gedocumenteerde instructie: opslag, technische extractie, AI-ondersteunde beoordeling van de omvang en regelgebaseerde offerteberekening, na bestelling gevolgd door AI-ondersteunde toegankelijkheidsaanpassing, beoordeling, levering, ondersteuning en verwijdering volgens de afgesproken dienst. Wij gebruiken ze niet voor reclame, modeltraining of niet-gerelateerde productontwikkeling. Het uploadregister, de opdracht en latere overeengekomen schriftelijke instructies vormen de instructies.
Wij informeren de klant onmiddellijk als wij denken dat een instructie in strijd is met het toepasselijke gegevensbeschermingsrecht, en schorten de betreffende handeling op in afwachting van verduidelijking. Als de wet andere verwerking vereist, informeren wij de klant vooraf, tenzij de wet dit om zwaarwegende redenen van algemeen belang verbiedt.
3. Personen en beveiliging
Alleen bevoegde personen met een geheimhoudingsplicht mogen documentgegevens inzien. Wij handhaven passende technische en organisatorische maatregelen volgens artikel 32 AVG, rekening houdend met risico, stand van de techniek en aard van de gegevens. Bijlage II beschrijft de maatregelen van de dienst. Wij beoordelen regelmatig toegangsrechten, testen herstel en verwijdering en verhelpen kwetsbaarheden. Tijdens een lopende opdracht verlagen wij de bescherming niet wezenlijk.
4. Subverwerkers
De klant geeft algemene schriftelijke toestemming voor de aanbieders en doelen in de geaccepteerde bijlage III. Wij leggen verplichtingen op die de door artikel 28 vereiste bescherming bieden en blijven verantwoordelijk voor de nakoming daarvan. Een voorgenomen toevoeging of vervanging die documentgegevens raakt melden wij ten minste 30 dagen vooraf via het contactadres van de overeenkomst, met gelegenheid voor gemotiveerd bezwaar op gegevensbeschermingsgronden.
Wij werken met de klant aan een oplossing, gebruiken een redelijk alternatief of staan kosteloze beëindiging van getroffen, onafgemaakt werk toe met terugbetaling van vooruitbetaalde, niet-geleverde delen. Zolang het bezwaar niet is opgelost, sturen wij hun gegevens niet naar de betwiste nieuwe aanbieder. Contractwijzigingen van aanbieders met kortere aankondiging vereisen dat wij de betreffende verwerking pauzeren als wij deze toezegging niet kunnen handhaven. Een nieuwe lijst op de website vervangt niet de kennisgeving aan een bestaande klant.
5. Internationale doorgiften
De dienst belooft geen verwerking uitsluitend binnen de EER. Goedgekeurde aanbieders kunnen gegevens verwerken in de Verenigde Staten en andere landen uit bijlage III. Voor een doorgifte waarvoor beperkingen gelden stellen wij een toepasselijke adequaatheidsgrondslag of de relevante EU-standaardcontractbepalingen uit 2021 (SCC’s) vast, vullen wij de vereiste bijlagen in en beoordelen wij waar nodig de bestemming en aanvullende maatregelen. Op verzoek geven wij informatie over de waarborgen en een kopie of mogelijkheid om deze te verkrijgen, met evenredige afscherming ter bescherming van andere klanten of de beveiliging.
Het uploadselectievakje vormt geen toestemming volgens artikel 49 AVG en kan een anderszins onrechtmatige doorgifte niet rechtmatig maken. De klant-leverancierrelatie binnen de EER valt onder deze DPA volgens artikel 28. Vereist een verdere doorgifte SCC’s, dan moeten de betreffende exporteur en importeur aan de toepasselijke module zijn gebonden, waaronder module 3 voor doorgiften tussen verwerkers, of moet een geldige adequaatheidsroute bestaan. Maatwerktekst in deze voorwaarden vervangt de bepalingen van de Commissie niet.
6. Bijstand en incidenten
Rekening houdend met de aard van de verwerking ondersteunen wij de klant bij verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar, en bij beveiligingsverplichtingen, effectbeoordelingen en voorafgaande raadpleging volgens artikelen 32–36. Verzoeken die wij rechtstreeks van betrokkenen ontvangen sturen wij snel door; wij antwoorden niet namens de klant tenzij dit is opgedragen of wettelijk vereist.
Wij informeren de klant zonder onredelijke vertraging zodra wij kennis krijgen van een inbreuk op persoonsgegevens die diens gegevens raakt. Een eerste melding wordt niet uitgesteld tot alle feiten bekend zijn. Naarmate informatie beschikbaar komt geven wij aard van de inbreuk, categorieën en geschatte aantallen personen en registraties, contactgegevens, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen en updates. Wij bewaren noodzakelijk bewijs, helpen bij beperking van de gevolgen en meldingen door de klant, en documenteren onze reactie.
7. Informatie, audits en kosten
Wij verstrekken informatie die nodig is om naleving van deze DPA aan te tonen en staan audits, inclusief inspecties, door de klant of diens aangestelde onafhankelijke auditor toe en werken eraan mee. Bestaande rapporten kunnen worden gebruikt als ze voldoende zijn. Redelijke aankondiging, vertrouwelijkheid en bescherming van andere klanten gelden zonder een effectieve audit, dringende incidentbeoordeling of toegang voor toezichthouders te verhinderen. Gebruikelijke bijstand en bewijs zijn inbegrepen. Redelijke kosten voor uitzonderlijk werk op verzoek van de klant spreken wij vooraf af; bijstand die nodig is door onze tekortkoming is gratis.
8. Teruggave, verwijdering en duur
Deze DPA begint bij acceptatie en blijft gelden zolang wij of onze subverwerkers documentgegevens van de klant verwerken. Bij beëindiging kan de klant teruggave of verwijdering verlangen; levering als download is de gebruikelijke teruggavemethode. Documenten zonder bestelling verlopen na 24 uur en worden in de volgende onderhoudsronde verwijderd. Niet-geverifieerde bestellingen verlopen na zeven dagen; geannuleerde bestellingen worden binnen één dag na annulering verwijderd. Onbetaalde voorbeelden verlopen na 30 dagen; documenten van betaalde bestellingen 30 dagen na betaling.
Wij verwijderen actieve dienstkopieën en geven de betrokken aanbieders opdracht hun kopieën te verwijderen, tenzij bewaring wettelijk vereist is. Afgezonderde back-ups en veiligheidsregistraties van aanbieders kunnen gedurende hun gedocumenteerde beperkte bewaartermijn blijven bestaan, alleen voor dat doel en met gecontroleerde toegang; wij melden wezenlijke uitzonderingen en bevestigen verwijdering op verzoek. Lokale werkkopieën worden na elke taak verwijderd, ook na mislukte taken. Een juridische bewaarplicht moet specifiek, gedocumenteerd en beperkt zijn; bewaarde gegevens mogen niet worden hergebruikt. De afzonderlijke overeenkomst- en financiële registraties in de privacyverklaring rechtvaardigen niet dat documentinhoud wordt bewaard.
Bijlage I — Verwerkingsgegevens
Onderwerp: geüploade zakelijke PDF’s en afgeleide inhoud, toegankelijke PDF’s, paginavoorbeelden en beoordelingsrapporten. Doel: de gratis offerte en de bestelde toegankelijkheidsdienst. Aard: ontvangst, opslag, extractie, analyse, structurering, tekstalternatieven, vergelijking, beoordeling, overdracht en verwijdering. Frequentie: per geüpload document en bestelling. Duur: zoals bepaald in onderdeel 8.
Betrokkenen: auteurs, personeel, zakelijke contacten, klanten, leveranciers, ambtenaren en personen genoemd in gewone zakelijke publicaties. Gegevenstypen: namen, professionele contactgegevens, functies, verbondenheid aan organisaties, handtekeningen in gewone zakelijke publicaties en beroepsmatige biografische informatie die terloops in documenten voorkomt. Bijzondere categorieën, strafrechtelijke gegevens en andere volgens de dienstvoorwaarden uitgesloten gegevens zijn niet toegestaan. Vallen de beoogde betrokkenen of categorieën buiten deze omschrijving, neem dan vóór het uploaden contact op om een aanpassing af te spreken.
Het acceptatieregister identificeert de klant, vertegenwoordiger en AVG-rol. Martin Schrammel AB is de leverancier, met de contactgegevens uit onderdeel 1. Instructies en rechten en verplichtingen van de klant staan in onderdelen 2 en 6–8 en in de dienstvoorwaarden.
Bijlage II — Technische en organisatorische maatregelen
- HTTPS voor verbindingen met klanten en diensten. Documenten in private objectopslag met geautoriseerde toegang; geen openbare documentbucket of permanente openbare download-URL.
- Eigendomscontroles op de server; gehashte willekeurige toegangsgegevens, tijdelijk geldige e-mailverificatielinks en HttpOnly-sessiecookies. Aparte inloggegevens voor beheerders en productieprocessen.
- Uploadlimieten, servercontroles op formaat en paginatal, frequentielimieten en same-origin-controles voor wijzigende browserverzoeken. Documentinhoud geldt als niet-vertrouwde invoer.
- Tijdelijke reserveringen in de wachtrij en artefacten per poging voorkomen dat verouderde verwerkingen bestanden vrijgeven. Betaling wordt bevestigd via een geverifieerde webhook van de aanbieder voordat volledige bestanden worden geleverd.
- Technische validatie, onafhankelijke AI-beoordeling en een vastgelegde menselijke vrijgavebeslissing. Menselijke beoordeling blijft nodig voor semantische toegankelijkheid.
- Vastgestelde vervaltermijnen en geplande verwijdering; tijdelijke lokale werkmappen worden na elke taak verwijderd. Gesprekken bij aanbieders en resterende bewaring volgen gedocumenteerde verwijderinstructies.
- Vertrouwelijkheid, toegang met minimale rechten, incidentrespons, leverancierscontroles en controle van accountinstellingen. Er wordt niet beweerd dat AccessibilityPDF ISO 27001-gecertificeerd is of een SOC 2-verklaring heeft.
Deze maatregelen worden evenredig aan de afgesproken verwerking toegepast. Een wezenlijke wijziging of aanvullende eis moet vóór de betreffende verwerking worden afgesproken.
Bijlage III — Aanbieders en doorgiftewaarborgen
Het register van subverwerkers en doorgiften op /nl/subprocessors maakt deel uit van deze DPA. De volledige geaccepteerde tekst staat in de downloadbare overeenkomstkopie, zodat latere websitewijzigingen de geaccepteerde lijst niet veranderen. Aanbieders krijgen alleen gegevens die nodig zijn voor de betreffende taak; betalings- en e-mailaanbieders hebben de PDF-inhoud niet nodig. OpenAI ondersteunt de beoordeling van de omvang vóór een vaste offerte en toegankelijkheidsproductie en controle na een bestelling. Code berekent de voorlopige prijs en de bedragen van de vaste offerte. De beheerder kan Anthropic gebruiken voor ondersteunde aanpassing binnen dezelfde contractuele omvang.