1. Strony, role i zawarcie umowy
Niniejsza DPA jest zawierana elektronicznie między klientem wskazanym w rejestrze akceptacji a Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Szwecja. martin@accessibilitypdf.com. Rejestr obejmuje prawną nazwę, adres i kraj klienta, opcjonalny numer rejestracyjny, przedstawiciela, e-mail kontaktowy, rolę, czas akceptacji i wersję dokumentu. Dane te uzupełniają załącznik I. Dostawca oferuje DPA, udostępniając ją z mechanizmem akceptacji. Przedstawiciel akceptuje ją za klienta, aktywnie zaznaczając domyślnie puste pole i wysyłając formularz.
Klient działa jako administrator albo jako podmiot przetwarzający angażujący nas jako dalszy podmiot przetwarzający za zgodą administratora. W odniesieniu do danych osobowych w dokumentach jesteśmy podmiotem przetwarzającym lub dalszym podmiotem przetwarzającym. Dla własnych danych kontaktowych, umownych, rozliczeniowych i bezpieczeństwa jesteśmy administratorem zgodnie z informacją o prywatności. Po zaakceptowaniu DPA obejmuje zarówno bezpłatną ocenę, jak i płatne prace.
2. Udokumentowane polecenia
Przetwarzamy dane dokumentów wyłącznie na udokumentowane polecenia: przechowywanie, ekstrakcję techniczną, ocenę zakresu wspomaganą AI i wycenę opartą na regułach, a po zamówieniu dostosowanie dostępności z pomocą AI, weryfikację, dostawę, wsparcie i usuwanie w ramach uzgodnionej usługi. Nie używamy ich do reklamy, trenowania modeli ani niezwiązanego rozwoju produktów. Rejestr przesłania, zamówienie i późniejsze uzgodnione pisemne polecenia stanowią instrukcje.
Niezwłocznie informujemy klienta, jeśli uznamy polecenie za sprzeczne z właściwym prawem ochrony danych, i wstrzymujemy daną operację do wyjaśnienia. Jeśli prawo wymaga innego przetwarzania, informujemy o nim wcześniej, chyba że prawo zabrania tego z ważnych względów interesu publicznego.
3. Osoby i bezpieczeństwo
Dostęp do danych dokumentów mają wyłącznie upoważnione osoby zobowiązane do poufności. Utrzymujemy odpowiednie środki techniczne i organizacyjne zgodnie z art. 32 RODO, z uwzględnieniem ryzyka, stanu wiedzy technicznej i charakteru danych. Załącznik II opisuje zabezpieczenia usługi. Regularnie sprawdzamy uprawnienia, testujemy odtwarzanie i usuwanie oraz usuwamy podatności. Nie obniżamy istotnie poziomu ochrony podczas aktywnego zlecenia.
4. Dalsze podmioty przetwarzające
Klient udziela ogólnej pisemnej zgody na dostawców i cele z zaakceptowanego załącznika III. Nakładamy obowiązki zapewniające ochronę wymaganą przez art. 28 i odpowiadamy za ich wykonanie. O planowanym dodaniu lub zastąpieniu dostawcy wpływającym na dane dokumentów zawiadamiamy co najmniej 30 dni wcześniej na adres kontaktowy umowy, umożliwiając uzasadniony sprzeciw dotyczący ochrony danych.
Współpracujemy z klientem w celu rozwiązania sprzeciwu, stosujemy rozsądną alternatywę albo umożliwiamy bezpłatne zakończenie objętych nim niedokończonych prac i zwrot przedpłaty za część niedostarczoną. Nie kierujemy danych klienta do kwestionowanego nowego dostawcy, dopóki sprzeciw nie zostanie rozwiązany. Zmiany umów dostawców z krótszym wyprzedzeniem wymagają wstrzymania danego przetwarzania, jeśli nie możemy dotrzymać tego zobowiązania. Nowa lista na stronie nie zastępuje zawiadomienia istniejącego klienta.
5. Przekazywanie danych za granicę
Usługa nie gwarantuje przetwarzania wyłącznie w EOG. Zatwierdzeni dostawcy mogą przetwarzać dane w USA i innych krajach wskazanych w załączniku III. Przed przekazaniem objętym ograniczeniami ustalamy właściwą podstawę adekwatności albo odpowiednie standardowe klauzule umowne UE z 2021 r. (SCC), uzupełniamy wymagane załączniki oraz w razie potrzeby oceniamy kraj docelowy i środki uzupełniające. Na żądanie udostępniamy informacje o zabezpieczeniach i ich kopię lub sposób uzyskania, z proporcjonalnymi wyłączeniami chroniącymi innych klientów lub bezpieczeństwo.
Pole akceptacji przy przesyłaniu nie jest zgodą z art. 49 RODO i nie legalizuje przekazania, które byłoby bezprawne. Relację klient–dostawca w EOG reguluje niniejsza DPA na podstawie art. 28. Jeśli dalsze przekazanie wymaga SCC, eksporter i importer muszą być związani właściwym modułem, w tym modułem 3 dla przekazań między podmiotami przetwarzającymi, albo musi istnieć ważna podstawa adekwatności. Indywidualnie napisany tekst SCC w tych warunkach nie zastępuje klauzul Komisji.
6. Pomoc i incydenty
Uwzględniając charakter przetwarzania, pomagamy klientowi obsługiwać żądania dostępu, sprostowania, usunięcia, ograniczenia, przenoszenia i sprzeciwu oraz realizować obowiązki bezpieczeństwa, oceny skutków i uprzednich konsultacji z art. 32–36. Szybko przekazujemy żądania otrzymane bezpośrednio od osoby, której dane dotyczą, i nie odpowiadamy w imieniu klienta bez polecenia lub obowiązku prawnego.
Po stwierdzeniu naruszenia ochrony danych osobowych klienta zawiadamiamy go bez zbędnej zwłoki. Pierwszego zawiadomienia nie opóźniamy do ustalenia wszystkich faktów. W miarę dostępności informacji podajemy charakter naruszenia, kategorie i przybliżoną liczbę osób i rekordów, dane kontaktowe, prawdopodobne skutki, podjęte lub proponowane działania i aktualizacje. Zachowujemy potrzebne dowody, pomagamy ograniczać skutki i w zawiadomieniach klienta oraz dokumentujemy reakcję.
7. Informacje, audyty i koszty
Udostępniamy informacje niezbędne do wykazania zgodności z DPA oraz umożliwiamy audyty, w tym inspekcje, prowadzone przez klienta lub upoważnionego niezależnego audytora i współpracujemy przy nich. Można wykorzystać istniejące raporty, jeśli są wystarczające. Obowiązują rozsądne wyprzedzenie, poufność i ochrona innych klientów, bez utrudniania skutecznego audytu, pilnego badania incydentu lub dostępu organów. Zwykła pomoc i dowody są w cenie. Rozsądne opłaty za wyjątkowe prace żądane przez klienta uzgadniamy wcześniej; pomoc konieczna z powodu naszego naruszenia jest bezpłatna.
8. Zwrot, usuwanie i czas obowiązywania
DPA obowiązuje od akceptacji tak długo, jak my lub dalsze podmioty przetwarzamy dane dokumentów klienta. Po zakończeniu klient może żądać zwrotu lub usunięcia; zwykłym sposobem zwrotu jest udostępnienie do pobrania. Dokumenty bez zamówienia wygasają po 24 godzinach i są usuwane w następnym cyklu konserwacji. Niezweryfikowane zamówienia wygasają po siedmiu dniach; anulowane są usuwane w ciągu dnia od anulowania. Nieopłacone podglądy wygasają po 30 dniach; dokumenty opłaconych zamówień 30 dni po płatności.
Usuwamy aktywne kopie usługi i polecamy właściwym dostawcom usunięcie ich kopii, chyba że prawo wymaga przechowywania. Odizolowane kopie zapasowe i zapisy bezpieczeństwa dostawców mogą pozostać przez udokumentowany, ograniczony okres, z użyciem tylko do tego celu i kontrolowanym dostępem; ujawniamy istotne wyjątki i na żądanie potwierdzamy usunięcie. Lokalne kopie robocze usuwamy po każdym zadaniu, także nieudanym. Zachowanie danych ze względów prawnych musi być konkretne, udokumentowane i ograniczone; danych nie wolno ponownie wykorzystywać. Osobne zapisy umowne i finansowe z informacji o prywatności nie uzasadniają zachowania treści dokumentów.
Załącznik I — Szczegóły przetwarzania
Przedmiot: przesłane biznesowe PDF i treści pochodne, dostępne PDF, próbki stron i raporty z weryfikacji. Cel: bezpłatna wycena i zamówiona usługa dostępności. Charakter: odbiór, przechowywanie, ekstrakcja, analiza, strukturyzacja, alternatywy tekstowe, porównanie, weryfikacja, przekazywanie i usuwanie. Częstotliwość: na przesłany dokument i zamówienie. Czas: według punktu 8.
Osoby: autorzy, personel, kontakty zawodowe, klienci, dostawcy, urzędnicy i osoby wymienione w zwykłych publikacjach biznesowych. Rodzaje danych: imiona i nazwiska, zawodowe dane kontaktowe, role, przynależność organizacyjna, podpisy w zwykłych publikacjach biznesowych i zawodowe informacje biograficzne przypadkowo zawarte w dokumentach. Szczególne kategorie, dane karne i inne wyłączone warunkami usługi są niedozwolone. Jeśli planowane osoby lub kategorie wykraczają poza ten opis, przed przesłaniem skontaktuj się z nami w celu uzgodnienia zmiany.
Rejestr akceptacji identyfikuje klienta, przedstawiciela i rolę według RODO. Dostawcą jest Martin Schrammel AB, z danymi kontaktowymi w punkcie 1. Polecenia oraz prawa i obowiązki klienta opisują punkty 2 i 6–8 oraz warunki usługi.
Załącznik II — Środki techniczne i organizacyjne
- HTTPS dla połączeń klientów i usługi. Dokumenty w prywatnej pamięci obiektowej z autoryzowanym dostępem; brak publicznego zasobnika dokumentów i stałych publicznych adresów pobierania.
- Serwerowe kontrole własności; haszowane losowe dane dostępowe, terminowe odnośniki weryfikacyjne e-mail i ciasteczka sesji HttpOnly. Oddzielne dane dostępowe administratora i procesów produkcyjnych.
- Limity przesyłania, serwerowe kontrole formatu i stron, ograniczenia częstotliwości i sprawdzanie tego samego pochodzenia dla żądań przeglądarki zmieniających dane. Treść dokumentu jest traktowana jako niezaufane wejście.
- Czasowe rezerwacje kolejki i artefakty przypisane do prób zapobiegają udostępnieniu plików przez nieaktualne procesy. Płatność potwierdza zweryfikowany webhook dostawcy przed przekazaniem pełnych plików.
- Walidacja techniczna, niezależna weryfikacja AI i odnotowana decyzja człowieka o wydaniu. Dla dostępności semantycznej nadal potrzebna jest weryfikacja ludzka.
- Określone terminy wygaśnięcia i zaplanowane usuwanie; lokalne katalogi tymczasowe są usuwane po każdym zadaniu. Rozmowy u dostawców i pozostała retencja podlegają udokumentowanym poleceniom usuwania.
- Poufność, dostęp z minimalnymi uprawnieniami, reagowanie na incydenty, kontrole dostawców i ustawień kont. Nie deklarujemy certyfikacji ISO 27001 ani atestacji SOC 2 dla AccessibilityPDF.
Środki stosuje się proporcjonalnie do uzgodnionego przetwarzania. Istotna zmiana lub dodatkowe wymaganie musi być uzgodnione przed danym przetwarzaniem.
Załącznik III — Dostawcy i zabezpieczenia przekazywania
Rejestr dalszych podmiotów przetwarzających i przekazywania na /pl/subprocessors jest częścią DPA. Pełny zaakceptowany tekst znajduje się w pobieralnej kopii umowy, więc późniejsze zmiany witryny nie zmieniają przyjętej listy. Dostawcy otrzymują tylko dane potrzebne do zadania; dostawcy płatności i e-mail nie potrzebują treści PDF. OpenAI wspomaga ocenę zakresu przed stałą ofertą oraz tworzenie dostępnego dokumentu i weryfikację po zamówieniu. Kod oblicza cenę wstępną i kwoty stałej oferty. Operator może użyć Anthropic do wspomaganego dostosowania w tym samym zakresie umownym.