1. Parter, roller och avtal
Detta DPA ingås elektroniskt mellan kunden i godkännandeposten och Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Sverige. martin@accessibilitypdf.com. Posten innehåller kundens juridiska namn, adress och land, eventuellt organisationsnummer, företrädare, kontaktmejl, roll, tidpunkt och avtalsversion. Uppgifterna kompletterar bilaga I. Leverantören erbjuder avtalet genom att tillhandahålla det tillsammans med godkännandefunktionen. Företrädaren godkänner för kundens räkning genom en aktiv kryssruta, som inte är förvald, och ett knapptryck.
Kunden är personuppgiftsansvarig eller ett personuppgiftsbiträde som anlitar oss som underbiträde med den ansvariges tillstånd. Vi är biträde eller underbiträde för personuppgifter i dokumenten. För egna kontakt-, avtals-, betalnings- och säkerhetsuppgifter är vi personuppgiftsansvariga enligt integritetspolicyn. När personuppgiftsbiträdesavtalet har godkänts omfattar det både den kostnadsfria bedömningen och betalt arbete.
2. Dokumenterade instruktioner
Vi behandlar dokumentdata endast enligt dokumenterade instruktioner: lagring, teknisk extraktion, AI-assisterad bedömning av om dokumentet ryms inom tjänsten och regelbaserad offertberäkning. Efter beställning tillkommer AI-assisterad tillgänglighetsanpassning, granskning, leverans, support och radering inom den avtalade tjänsten. Vi använder inte uppgifterna för reklam, modellträning eller orelaterad produktutveckling. Uppladdningsposten, beställningen och senare överenskomna skriftliga instruktioner utgör instruktionerna.
Vi informerar omedelbart kunden om vi bedömer att en instruktion strider mot tillämplig dataskyddslagstiftning och pausar berörd behandling i väntan på klargörande. Om lag kräver annan behandling informerar vi kunden före behandlingen, om inte lagen förbjuder det av viktiga allmänintressen.
3. Personal och säkerhet
Endast behöriga personer med sekretessförpliktelse får komma åt dokumentuppgifter. Vi upprätthåller lämpliga tekniska och organisatoriska åtgärder enligt GDPR artikel 32 med hänsyn till risk, teknisk utveckling och uppgifternas natur. Bilaga II beskriver tjänstens skydd. Vi följer regelbundet upp åtkomst, testar återställning och radering och hanterar sårbarheter. Skyddsnivån försämras inte väsentligt under ett pågående uppdrag.
4. Underbiträden
Kunden lämnar ett allmänt skriftligt tillstånd för leverantörerna och ändamålen i den godkända bilaga III. Vi ålägger dem dataskyddsskyldigheter med det skydd som artikel 28 kräver och ansvarar för att de fullgör dessa skyldigheter. Vi meddelar avsedd tillkomst eller ersättning av underbiträden som berör dokumentuppgifter minst 30 dagar i förväg via avtalets kontaktmejl, med möjlighet till en motiverad dataskyddsinvändning.
Vi försöker lösa invändningen, använda ett rimligt alternativ eller låta kunden avsluta berört ofärdigt arbete utan kostnad och få eventuell förskottsbetalning för ej levererat arbete återbetald. Uppgifter skickas inte till ett ifrågasatt nytt underbiträde medan invändningen är olöst. Om leverantörens avtalsändring ger kortare varsel pausar vi berörd behandling om vi inte kan uppfylla detta åtagande. En ny lista på webbplatsen ersätter inte information till befintliga kunder.
5. Överföringar till andra länder
Tjänsten utlovar inte behandling enbart inom EES. Godkända leverantörer kan behandla uppgifter i USA och andra länder som anges i bilaga III. Före en överföring som omfattas av GDPR:s överföringskrav säkerställer vi ett tillämpligt adekvansbeslut eller relevanta EU-standardavtalsklausuler från 2021 (SCC), fyller i nödvändiga bilagor och bedömer mottagarlandet och kompletterande skydd där det behövs. På begäran lämnar vi information om skyddet och en kopia eller anvisning för att få del av det, med proportionerliga maskningar för andra kunder eller säkerhet.
Kryssrutan vid uppladdning är inte samtycke enligt GDPR artikel 49 och gör inte en annars olaglig överföring tillåten. Förhållandet mellan kunden och leverantören inom EES regleras av detta DPA enligt artikel 28. När en vidareöverföring kräver SCC ska rätt exportör och importör omfattas av rätt modul, inklusive modul 3 för biträde till biträde, eller av en giltig adekvansgrund. Egenskriven SCC-text i dessa villkor ersätter inte kommissionens klausuler.
6. Bistånd och incidenter
Med hänsyn till behandlingens art hjälper vi kunden med begäranden om tillgång, rättelse, radering, begränsning, portabilitet och invändning samt säkerhet, konsekvensbedömning och förhandssamråd enligt artiklarna 32–36. En begäran direkt från en registrerad vidarebefordras skyndsamt. Vi svarar inte för kundens räkning utan instruktion eller lagkrav.
Vi underrättar kunden utan onödigt dröjsmål när vi får kännedom om en personuppgiftsincident som berör kundens uppgifter. Det första beskedet inväntar inte att alla fakta är klarlagda. Efter hand lämnar vi information om incidentens art, kategorier och ungefärligt antal berörda personer och poster, kontaktväg, sannolika följder, vidtagna eller föreslagna åtgärder och uppdateringar. Vi bevarar nödvändigt underlag, hjälper till med skadebegränsning och kundens anmälningar och dokumenterar hanteringen.
7. Information, granskning och kostnader
Vi lämnar information som behövs för att visa att avtalet följs och tillåter och bidrar till revisioner, inklusive inspektioner, av kunden eller en oberoende revisor som kunden utser. Befintliga rapporter kan användas där de räcker. Rimligt varsel, sekretess och skydd för andra kunder får krävas utan att hindra effektiv revision, brådskande incidentgranskning eller myndighetsåtkomst. Vanligt bistånd och underlag ingår. Skäliga kostnader för extraordinärt arbete på kundens begäran avtalas i förväg. Bistånd till följd av vårt avtalsbrott är kostnadsfritt.
8. Återlämnande, radering och giltighet
DPA börjar gälla vid godkännandet och fortsätter så länge vi eller våra underbiträden behandlar kundens dokumentuppgifter. Kunden får begära återlämnande eller radering vid avslut. Nedladdning är det vanliga sättet att återlämna resultat. Dokument utan beställning går ut efter 24 timmar och raderas vid nästa underhållskörning. Overifierade beställningar går ut efter sju dagar. Avbrutna beställningar raderas inom ett dygn. Obetalda prov går ut efter 30 dagar. Betalda dokument går ut 30 dagar efter betalningen.
Vi raderar aktiva tjänstekopior och instruerar berörda leverantörer att radera sina kopior, om inte lag kräver fortsatt lagring. Avskilda säkerhetskopior och säkerhetsuppgifter hos leverantörer kan finnas kvar under leverantörens dokumenterade, begränsade lagringstid, med användning begränsad till ändamålet och skyddad åtkomst. Vi redovisar väsentliga undantag och bekräftar radering på begäran. Lokala arbetskopior tas bort efter varje jobb, även misslyckade jobb. Ett rättsligt bevarandekrav ska vara specifikt, dokumenterat och tidsbegränsat. Bevarade uppgifter får inte återanvändas. Separata avtals- och ekonomiposter enligt integritetspolicyn motiverar inte fortsatt lagring av dokumentinnehållet.
Bilaga I — Behandlingen
Föremål: uppladdade verksamhetsdokument i PDF och extraherat innehåll, tillgängliga PDF:er, sidprov och kontrollrapporter. Ändamål: kostnadsfri offert och beställd tillgänglighetstjänst. Art: mottagande, lagring, extraktion, analys, strukturering, alternativtext, jämförelse, granskning, överföring och radering. Frekvens: per uppladdat dokument och beställning. Varaktighet: enligt punkt 8.
Registrerade: författare, anställda, affärskontakter, kunder, leverantörer, tjänstepersoner och personer i vanliga verksamhetspublikationer. Uppgiftstyper: namn, yrkesmässiga kontaktuppgifter, roller, organisationstillhörighet, namnteckningar i vanliga verksamhetspublikationer och yrkesbiografiska uppgifter som förekommer i dokument. Känsliga uppgifter, uppgifter om lagöverträdelser och övriga uppgifter som undantas i tjänstevillkoren är inte tillåtna. Om registrerade eller uppgiftstyper faller utanför beskrivningen ska en ändring avtalas före uppladdning.
Godkännandeposten identifierar kunden, företrädaren och GDPR-rollen. Leverantören är Martin Schrammel AB med kontaktuppgifter enligt punkt 1. Instruktioner och kundens rättigheter och skyldigheter finns i punkterna 2, 6–8 och tjänstevillkoren.
Bilaga II — Tekniska och organisatoriska åtgärder
- HTTPS för anslutningar till tjänsten. Privat objektlagring med behörighetskontroll, utan publik dokumentbehållare eller permanent offentlig nedladdningslänk.
- Ägarkontroll på servern, hashade slumpmässiga åtkomstuppgifter, tidsbegränsade verifieringslänkar och HttpOnly-sessionskakor. Separata behörigheter för administratör och produktionsarbetare.
- Uppladdningsgränser, kontroll av format och sidantal på servern, hastighetsbegränsning och kontroll av ursprung vid ändringar från webbläsaren. Dokumentinnehåll behandlas som opålitlig indata.
- Tidsbegränsade jobb och filer som kopplas till respektive körning hindrar inaktuella körningar från att släppa resultat. Bekräftad betalningshändelse krävs före leverans av hela filen.
- Teknisk validering, separat AI-granskning och dokumenterat mänskligt leveransbeslut. Mänsklig granskning behövs fortsatt för semantisk tillgänglighet.
- Fastställda utgångstider och schemalagd radering. Tillfälliga lokala arbetsmappar tas bort efter varje jobb. Leverantörernas konversationer och kvarstående lagring omfattas av dokumenterade raderingsinstruktioner.
- Sekretess, minsta nödvändiga åtkomst, incidentrutin, leverantörskontroller och uppföljning av kontoinställningar. AccessibilityPDF uppger inte att tjänsten är ISO 27001-certifierad eller SOC 2-granskad.
Åtgärderna tillämpas proportionerligt till den avtalade behandlingen. Väsentliga ändringar eller ytterligare krav ska avtalas före berörd behandling.
Bilaga III — Leverantörer och överföringsskydd
Registret över underleverantörer och överföringar på /sv/subprocessors ingår i detta DPA. Hela den godkända texten ingår i den nedladdningsbara avtalskopian. Senare webbändringar ändrar därför inte den godkända listan. Leverantörer får endast de uppgifter som behövs för uppgiften. Betalnings- och mejlleverantörer behöver inte PDF-innehållet. OpenAI hjälper till att bedöma omfattningen före en fast offert samt med tillgänglighetsanpassning och granskning efter beställning. Kod beräknar beloppen för det preliminära priset och den fasta offerten. Anthropic kan användas av operatören för AI-stödd anpassning inom samma avtalade omfattning.