Споразумение за обработване на данни
Как BlinkFix обработва лични данни от името на организации Enterprise, доставчици, компании за доставка и обекти.
Това е превод за удобство. Английската версия е обвързващата. Прочетете английската версия
Съдържание
1. Страни и обхват
1.1 Това Споразумение за обработване на данни („DPA“) е между BlinkFix Ltd (фирмен № 13505930), 27 Old Gloucester Street, London WC1N 3AX, Обединено кралство („BlinkFix“, „Обработващ орган“) и организацията, доставчика или компанията за доставка, която е приела Условия за Enterprise, или бизнеса, който е приел Търговски условия („Клиент“, „Администратор“).
1.2 То се прилага за лични данни, които BlinkFix обработва от името на Клиента при предоставяне на BlinkFix Enterprise или инструменти за Персонал и интеграции на обект („Лични данни на Клиента“). То е част от и се приема заедно с документа Условия за Enterprise или документа Търговски условия („Споразумението“).
1.3 Това не се прилага за лични данни, които BlinkFix обработва в качеството си на администратор, което е описано в Политика за поверителност. BlinkFix е администратор на, например: (a) профили в BlinkFix; (b) поръчки и плащания на клиент; (c) фактуриране, портфейл, изплащания и извлечения; (d) данните за доставка на поръчка (име, адрес, телефон, код за доставка) и записите за доставки, включително доставки от компания за доставка; (e) поръчка от доставчик, включително данните за доставка на купувача; (f) депозити за автомобили, включително искове, снимки и решения на BlinkFix; (g) ограничена информация, която BlinkFix предоставя на търговски партньор относно профилите, които е въвел; (h) собствената си проверка на документите, които компания за доставка качва, за да бъде одобрена. Когато BlinkFix предоставя такива данни на доставчик, компания за доставка или търговски партньор, за да може той да изпълни своята част, това предприятие ги получава като отделен администратор, единствено за тази цел, както гласят Общи условия за автопарк, раздел 16 от Условия за Enterprise и Условия за търговски партньори.
1.4 „UK GDPR“, „EU GDPR“ (Регламент (ЕС) 2016/679), „Закони за защита на данните“, „лични данни“, „обработване“, „администратор“, „обработващ орган“, „субект на данни“, „нарушение на сигурността на личните данни“ и „надзорен орган“ имат значенията, посочени в UK GDPR, Закона за защита на данните от 2018 г. (Data Protection Act 2018) и, където е приложимо, EU GDPR.
2. Подробности за обработването
| Елемент | Описание |
|---|---|
| Предмет | Предоставяне на BlinkFix Enterprise и инструменти за Персонал/интеграции съгласно Споразумението |
| Продължителност | Срокът на Споразумението плюс периода за изтриване в раздел 11 |
| Естество и цел | Хостинг, съхранение, организиране, показване, предаване (чат, излъчвания, известия, уебкукове и интеграции, които активирате), изчисляване (часове, бонуси, такси, продажби), експортиране и обработване с AI, когато притежател на място използва aI асистент или импортира меню или списък с продукти. За компания за доставка: съхранение на документите на нейните шофьори и записи за смени и напомняне преди изтичане на документ. За доставчик: съхранение на неговите продукти, поръчки и фактури |
| Категории субекти на данни | Притежатели на места, мениджъри и Персонал на Клиента; Персонал на обекти в организацията на Клиента; франчайзополучатели и техните контакти; бизнес контакти и доставчици на Клиента; Клиенти на обектите на Клиента, където Клиентът активира синхронизиране на контакти или експортиране; за компания за доставка – нейните шофьори и диспечери; за доставчик – неговият Персонал |
| Категории лични данни | Имена, служебен имейл, телефон, длъжности и роли, назначения към обект и регион, работно време и записи за влизане/излизане от работа и корекции, достъп до таблет в обекта, бонуси и плащания на бонуси, съобщения, файлове и приемане на документи, регистрационни файлове за достъп, push токени и имена на устройства, данни за контакт при импортиране, както и име, имейл и телефон на клиент, когато е активирано синхронизирането на контакти; за компания за доставка – имена и данни за контакт на нейните шофьори, свидетелство за управление, документи за застраховка и разрешителни, данни за превозното средство, смени и работно време; за доставчик – имена и служебен имейл на неговия персонал, както и данни за продукти и фактури, които той въвежда |
| Данни от специална категория | Не са предвидени. Клиентът не трябва да въвежда данни от специална категория (например данни за здравето) в Enterprise, освен ако не е строго необходимо и законосъобразно |
| Честота | Непрекъснато |
3. Инструкции на администратора
3.1 BlinkFix обработва личните данни на Клиента само въз основа на документирани инструкции на Клиента, включително по отношение на международни трансфери, освен ако не се изисква друго от законодателството на Обединеното кралство или ЕС, в който случай BlinkFix информира Клиента преди обработването, освен ако това законодателство не го забранява.
3.2 Споразумението, този DPA и използването и конфигурирането на услугата от страна на Клиента (включително настройки, интеграции и действия на неговите администратори) представляват пълните инструкции на Клиента. Допълнителни инструкции трябва да бъдат в писмена форма и в съответствие със Споразумението.
3.3 BlinkFix незабавно уведомява Клиента, ако според него дадена инструкция нарушава законите за защита на данните.
3.4 Клиентът носи отговорност за законосъобразността на обработването, което възлага, за наличието на правно основание и за предоставянето на субектите на данни на изискваната информация.
4. Поверителност
BlinkFix гарантира, че всеки, когото упълномощава да обработва лични данни на Клиента, е обвързан със задължение за поверителност и има достъп до тях само доколкото е необходимо за предоставяне на услугата, за оказване на поддръжка на Клиента по негово искане, за обработка на сигнали и злоупотреби или за спазване на закона.
5. Сигурност
BlinkFix прилага подходящи технически и организационни мерки за защита на личните данни на Клиента (член 32 от ОРЗД на Обединеното кралство/ЕС), включително:
- криптиране при пренос (TLS) за целия трафик и криптиране в покой, осигурено от Google Cloud (нашите сървъри и дискове с бази данни) и Cloudflare (файлове и архиви);
- пароли и ПИН кодове, съхранявани само като хешове; тайни за интеграция, съхранявани криптирани; API ключове с ограничен обхват и възможност за отмяна; подписани уебкуки (webhooks);
- контрол на достъпа по сесия и роля; достъп на персонала до производствени данни, ограничен до лицата, които се нуждаят от него; регистриране на достъпа на персонала до чувствителни елементи;
- разделяне на данните на клиентите по организация в приложението;
- ограничаване на честотата на заявките (rate limiting) и защита срещу злоупотреби;
- ежедневни архиви на нашата база данни с непрекъснати регистрационни файлове за промените, съхранявани в отделно хранилище за архиви за 7 дни, и процес за тяхното възстановяване;
- редовен преглед на мерките при промяна на услугата.
Клиентът носи отговорност за собствената си сигурност, включително управлението на сесиите, запазването на поверителността на идентификационните данни и API ключовете, както и за осигуряването на системите, които свързва.
6. Подизпълнители
6.1 Клиентът дава на BlinkFix общо разрешение за ангажиране на подпроцесори в списъка Подизпълнители.
6.2 BlinkFix уведомява Клиента най-малко 30 дни предварително за нов или заместващ подизпълнител чрез актуализиране на списъка и изпращане на имейл до администраторите или собствениците на акаунта на Клиента. Клиентът може да възрази на разумни основания, свързани със защитата на данните, в рамките на този период. Страните ще обсъдят възражението добросъвестно; ако то не може да бъде разрешено, Клиентът може да прекрати засегнатата услуга и да получи възстановяване на предплатените такси за оставащия период.
6.3 BlinkFix налага на всеки подизпълнител задължения за защита на данните, които не са по-малко защитни от тези в този DPA, и остава отговорен за тяхното изпълнение.
7. Международни трансфери
7.1 Основният хостинг на BlinkFix, включително неговата база данни, е в Google Cloud във Франкфурт, Германия (ЕС). Архивите на базата данни се съхраняват в Cloudflare R2. Имейл сървърът на BlinkFix е в Канада. Някои подизпълнители, включително AI услугата, обработват данни в САЩ или другаде, както е посочено в списъка.
7.2 Когато лични данни на Клиента се прехвърлят извън Обединеното кралство или ЕИП в държава без решение за адекватност, BlinkFix осигурява подходящи предпазни мерки: Рамката за защита на личните данни между ЕС и САЩ и нейното разширение за Обединеното кралство за сертифицирани получатели или стандартните договорни клаузи на Европейската комисия (Решение 2021/914, модул 3 „обработващ към обработващ“ или модул 2, според случая) с Допълнението за международно прехвърляне на данни на Обединеното кралство, заедно с оценка на риска при прехвърлянето и допълнителни мерки, когато е необходимо. Прехвърлянето към държава с решение за адекватност, като например Канада за търговски организации, се основава на това решение.
7.3 Когато клиентът се намира в ЕИП и BlinkFix (в Обединеното кралство) получава лични данни на клиента, прехвърлянето се покрива от решението на Европейската комисия относно адекватността за Обединеното кралство. Ако това решение бъде прекратено, се прилагат стандартните договорни клаузи (модул 2, администратор към обработващ), които се включват чрез препратка, като за тях се избират ирландското право и съдилища, а надзорният орган на клиента се определя като компетентен орган.
7.4 Клиенти извън Обединеното кралство и ЕИП. Когато клиентът се намира извън Обединеното кралство и ЕИП (например в Обединените арабски емирства или САЩ) и неговото законодателство ограничава изпращането на лични данни към Обединеното кралство или към държавите от списъка на подпроцесорите, страните се позовават на този DPA и, когато това законодателство изисква повече, на стандартните клаузи и допълнението, посочени в 7.2 и 7.3, за които страните се съгласяват, че се прилагат до степента, позволена от това законодателство.
8. Съдействие
8.1 Заявки на субекти на данни. BlinkFix, отчитайки естеството на обработването, помага на клиента да отговори на заявки от субекти на данни (достъп, коригиране, изтриване, ограничаване, преносимост, възражение), главно чрез функциите на услугата (администраторите могат да преглеждат, редактират, експортират и премахват данни). Ако BlinkFix получи заявка директно, той препраща лицето към клиента и не отговаря сам, освен ако клиентът не поиска това.
8.2 Оценки на въздействието и консултации. BlinkFix предоставя разумна информация, за да помогне на клиента при оценките на въздействието върху защитата на данните и предварителните консултации с надзорен орган.
9. Нарушения на сигурността на личните данни
BlinkFix уведомява клиента без неоправдано забавяне и във всеки случай в рамките на 48 часа, след като е узнал за нарушение на сигурността на личните данни, засягащо лични данни на клиента, с информацията, от която клиентът разумно се нуждае, за да изпълни задълженията си (естество на нарушението, категории и приблизителен брой, вероятни последици, предприети или предложени мерки и точка за контакт), като я актуализира при получаване на нова информация. BlinkFix предприема разумни стъпки за ограничаване и отстраняване на нарушението. Уведомлението не представлява признаване на вина.
10. Одити
BlinkFix предоставя информацията, която е разумно необходима за доказване на съответствието с този DPA и член 28, включително писмени отговори на въпросници за сигурност веднъж годишно. Ако това не е достатъчно или надзорен орган го изисква, Клиентът може да извърши одит (лично или чрез независим одитор, обвързан със задължение за поверителност) с предизвестие от поне 30 дни, в рамките на работното време, най-много веднъж годишно, за своя сметка и без достъп до данните на други клиенти.
11. Изтриване и връщане
11.1 По време на действието на Споразумението администраторите могат да изтриват лични данни на клиента и да ги експортират (експортиране в CSV и JSON, както и чрез API).
11.2 Когато Споразумението приключи, клиентът разполага с 30 дни, за да експортира своите данни. След това BlinkFix изтрива личните данни на клиента в рамките на следващите 30 дни, включително от активните системи, освен ако законодателството на Обединеното кралство или ЕС не изисква тяхното съхранение. Резервните копия се съхраняват 7 дни и след това се изтриват съгласно нормалния им цикъл и не се възстановяват, освен за целите на възстановяване след бедствие. При поискване BlinkFix потвърждава изтриването в писмен вид.
11.3 Данните за обектите в BlinkFix, техните поръчки и личните акаунти на техния персонал в BlinkFix не представляват лични данни на клиента на Enterprise и продължават да се уреждат съгласно документа Търговски условия и документа Политика за поверителност.
12. Отговорност и предимство
12.1 Отговорността на всяка страна по този DPA подлежи на ограниченията в Споразумението.
12.2 Ако този DPA противоречи на Споразумението, този DPA има предимство при обработването на лични данни на клиента. Ако стандартните договорни клаузи или Допълнението за Обединеното кралство се прилагат и противоречат на този DPA, те имат предимство.
12.3 Този DPA се урежда от правото, което урежда Споразумението.
13. Контакт
Поверителност и защита на данните: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Обединено кралство.
Регистрация в Службата на комисаря по информацията на Обединеното кралство: подадено заявление (заявление C2042936).
Представител в ЕС (Чл. 27 от ОРЗД)
Представителят на BlinkFix в Европейския съюз съгласно член 27 от ОРЗД на ЕС е Michał Michalek, Полша (пощенски адрес при поискване на [email protected]), [email protected], +48 505 643 432. Субектите на данни и надзорните органи в ЕС могат да се свързват с представителя относно обработването от страна на BlinkFix, включително обработването съгласно този DPA.
14. Законодателство на други държави
14.1 ЕИП. Когато клиентът се намира в Исландия, Лихтенщайн или Норвегия, този DPA се прилага по същия начин, както за ЕС, а „ОРЗД на ЕС“ включва ОРЗД, както се прилага в ЕИП.
14.2 Обединени арабски емирства. Когато Федерален декрет-закон № 45 от 2021 г. на ОАЕ относно защитата на личните данни се прилага за личните данни на клиента, клиентът е администратор, а BlinkFix е негов обработващ, като раздели от 3 до 11 са задълженията на BlinkFix като обработващ съгласно това законодателство. Когато законодателството за защита на данните на Международния финансов център в Дубай или на Глобалния пазар в Абу Даби е приложимо, същото важи и съгласно това законодателство. Страните се позовават на този DPA и раздел 7 за всяко прехвърляне извън ОАЕ.
14.3 Съединени щати. Когато закон за поверителност на щат в САЩ се прилага спрямо Лични данни на клиент (например Калифорнийския закон за поверителност на потребителите, изменен с Калифорнийския закон за правата на поверителност), BlinkFix е доставчик на услуги или обработващ лични данни на клиента и: (a) BlinkFix обработва Личните данни на клиента само за целите, посочени в раздел 2, и съгласно инструкциите на клиента; (b) BlinkFix не ги продава или споделя (както законът дефинира тези думи); (c) BlinkFix не ги съхранява, използва или разкрива за каквато и да е друга цел или извън преките си бизнес отношения с клиента; (d) BlinkFix не ги комбинира с лични данни, които получава от други източници или събира самостоятелно, освен ако законът не позволява това; (e) BlinkFix спазва този закон и осигурява същото ниво на защита на поверителността; (f) клиентът може да предприеме разумни стъпки (включително съгласно раздел 10), за да се увери, че BlinkFix използва данните съгласно този DPA, както и да спре и коригира неразрешеното използване; (g) BlinkFix уведомява клиента в рамките на 5 работни дни, ако вече не може да изпълнява задълженията си съгласно този закон.
14.4 Ако се прилага законът за защита на данните на друга държава и изисква повече от този DPA, страните ще се споразумеят добросъвестно какво да добавят.