Smlouva o zpracování osobních údajů

1. Smluvní strany a rozsah

1.1 Tato Smlouva o zpracování osobních údajů („DPA“) je uzavřena mezi společností BlinkFix Ltd (číslo společnosti 13505930), 27 Old Gloucester Street, London WC1N 3AX, Spojené království („BlinkFix“, „Zpracovatel“) a organizací, dodavatelem nebo rozvozovou společností, která přijala Podmínky Enterprise, nebo podnikem, který přijal Obchodní podmínky („Zákazník“, „Správce“).

1.2 Vztahuje se na osobní údaje, které BlinkFix zpracovává jménem Zákazníka při poskytování BlinkFix Enterprise nebo nástrojů Personál a integrací provozovny („Osobní údaje zákazníka“). Tvoří součást dokumentu Podmínky Enterprise nebo dokumentu Obchodní podmínky (dále jen „Smlouva“) a je přijímána společně s nimi.

1.3 Toto se nevztahuje na osobní údaje, které společnost BlinkFix zpracovává jako správce, což je popsáno v dokumentu Zásady ochrany osobních údajů. Společnost BlinkFix je správcem například: (a) účtů BlinkFix; (b) objednávek a plateb zákazníků; (c) fakturace, peněženek, výplat a výpisů; (d) údajů o doručení objednávky (jméno, adresa, telefon, kód doručení) a záznamů o doručení, včetně doručení zajišťovaných rozvozovou společností; (e) objednávky dodavatele, včetně údajů o doručení kupujícího; (f) kaucí za vozidla, včetně nároků, fotografií a rozhodnutí společnosti BlinkFix; (g) omezených informací, které společnost BlinkFix poskytuje obchodnímu partnerovi o účtech, které zprostředkoval; (h) vlastní kontroly dokumentů, které rozvozová společnost nahraje ke schválení. Pokud společnost BlinkFix poskytne takové údaje dodavateli, rozvozové společnosti nebo obchodnímu partnerovi, aby mohl plnit svou část, tento subjekt je obdrží jako samostatný správce, a to výhradně za tímto účelem, jak uvádí dokument Podmínky pro vozové parky, článek 16 dokumentu Podmínky Enterprise a Podmínky pro obchodní partnery.

1.4 „UK GDPR“, „EU GDPR“ (Nařízení (EU) 2016/679), „Právní předpisy o ochraně osobních údajů“, „osobní údaje“, „zpracování“, „správce“, „zpracovatel“, „subjekt údajů“, „porušení zabezpečení osobních údajů“ a „dozorový úřad“ mají významy uvedené v UK GDPR, zákoně o ochraně osobních údajů z roku 2018 (Data Protection Act 2018) a, pokud je to relevantní, v EU GDPR.

2. Podrobnosti o zpracování

3. Pokyny správce

3.1 BlinkFix zpracovává osobní údaje zákazníka pouze na základě zdokumentovaných pokynů zákazníka, včetně pokynů týkajících se mezinárodních předání, ledaže je vyžadováno jinak právními předpisy Spojeného království nebo EU, v takovém případě BlinkFix informuje zákazníka před zpracováním, pokud to daný právní předpis nezakazuje.

3.2 Smlouva, tento DPA a využívání a konfigurace služby zákazníkem (včetně nastavení, integrací a úkonů jeho adminů) představují úplné pokyny zákazníka. Další pokyny musí být písemné a v souladu se Smlouvou.

3.3 BlinkFix neprodleně informuje zákazníka, pokud se domnívá, že pokyn porušuje právní předpisy o ochraně údajů.

3.4 Zákazník odpovídá za zákonnost zpracování, které nařizuje, za existenci právního základu a za poskytnutí požadovaných informací subjektům údajů.

4. Důvěrnost

BlinkFix zajišťuje, aby každý, koho pověří zpracováním osobních údajů zákazníka, byl vázán mlčenlivostí a přistupoval k nim pouze v rozsahu nezbytném pro poskytování služby, pro podporu zákazníka na jeho žádost, pro vyřizování hlášení a zneužití nebo pro splnění zákonných povinností.

5. Zabezpečení

BlinkFix zavádí vhodná technická a organizační opatření k ochraně osobních údajů zákazníka (článek 32 UK/EU GDPR), včetně:

• šifrování při přenosu (TLS) pro veškerý provoz a šifrování v klidovém stavu poskytované službami Google Cloud (naše servery a databázové disky) a Cloudflare (soubory a zálohy);
• hesla a PINy uložené pouze jako hashe; integrační tajemství uložená v šifrované podobě; API klíče s omezeným rozsahem a možností odvolání; podepsané webhooky;
• řízení přístupu podle přístupů a rolí; přístup personálu k produkčním údajům omezený na osoby, které jej potřebují; protokolování přístupu personálu k citlivým položkám;
• oddělení údajů zákazníků podle organizace v aplikaci;
• omezení rychlosti (rate limiting) a ochrana proti zneužití;
• denní zálohy naší databáze s průběžnými protokoly změn, uchovávané v odděleném úložišti záloh po dobu 7 dnů, a proces jejich obnovy;
• pravidelné přezkoumávání opatření v souladu se změnami služby.

Zákazník odpovídá za své vlastní zabezpečení, včetně správy přístupů, uchovávání přihlašovacích údajů a API klíčů v tajnosti a zabezpečení systémů, které připojuje.

6. Zpracovatelé

6.1 Zákazník uděluje společnosti BlinkFix obecné oprávnění zapojit zpracovatele uvedené v seznamu Zpracovatelé.

6.2 BlinkFix poskytne zákazníkovi oznámení o novém nebo náhradním zpracovateli nejméně 30 dní předem, a to aktualizací seznamu a zasláním e-mailu adminům nebo majitelům účtu zákazníka. Zákazník může v této lhůtě vznést námitku z důvodů ochrany údajů. Smluvní strany budou o námitce jednat v dobré víře; pokud ji nelze vyřešit, může zákazník ukončit dotčenou službu a obdržet vrácení předplacených poplatků za zbývající období.

6.3 BlinkFix ukládá každému zpracovateli povinnosti v oblasti ochrany údajů, které nejsou méně přísné než tento DPA, a nese odpovědnost za jejich plnění.

7. Mezinárodní předávání údajů

7.1 Hlavní hosting společnosti BlinkFix, včetně databáze, je na Google Cloud ve Frankfurtu, Německo (EU). Databázové zálohy jsou uchovávány v Cloudflare R2. E-mailový server společnosti BlinkFix je v Kanadě. Někteří zpracovatelé, včetně služby AI, zpracovávají údaje v USA nebo jinde, jak je uvedeno v seznamu.

7.2 Pokud jsou osobní údaje zákazníka předávány mimo Spojené království nebo EHP do země bez rozhodnutí o odpovídající ochraně, BlinkFix zajišťuje odpovídající záruky: Rámec pro ochranu osobních údajů mezi EU a USA a jeho rozšíření pro Spojené království pro certifikované příjemce, nebo standardní smluvní doložky Evropské komise (rozhodnutí 2021/914, modul 3 zpracovatel-zpracovateli nebo modul 2 podle potřeby) s dodatkem pro mezinárodní předávání údajů ve Spojeném království, spolu s posouzením vlivu předávání a doplňujícími opatřeními, je-li to nutné. Předávání do země s rozhodnutím o odpovídající ochraně, jako je Kanada pro obchodní organizace, se opírá o toto rozhodnutí.

7.3 Pokud se zákazník nachází v EHP a společnost BlinkFix (ve Spojeném království) obdrží osobní údaje zákazníka, vztahuje se na tento přenos rozhodnutí Evropské komise o odpovídající ochraně pro Spojené království. Pokud toto rozhodnutí pozbude platnosti, použijí se standardní smluvní doložky (modul 2, správce vůči zpracovateli), které jsou zahrnuty odkazem, přičemž se pro ně volí irské právo a soudy a příslušným orgánem je dozorový úřad zákazníka.

7.4 Zákazníci mimo Spojené království a EHP. Pokud se zákazník nachází mimo Spojené království a EHP (například ve Spojených arabských emirátech nebo v USA) a jeho právní předpisy omezují zasílání osobních údajů do Spojeného království nebo do zemí uvedených v seznamu podzpracovatelů, strany se řídí touto smlouvou o zpracování údajů (DPA) a v případě, že dané právní předpisy vyžadují více, také standardními doložkami a dodatkem uvedenými v bodech 7.2 a 7.3, u nichž se strany dohodly, že se použijí v rozsahu povoleném těmito právními předpisy.

8. Pomoc

8.1 Žádosti subjektů údajů. Společnost BlinkFix s přihlédnutím k povaze zpracování pomáhá zákazníkovi vyřizovat žádosti subjektů údajů (přístup, oprava, výmaz, omezení, přenositelnost, námitka), a to především prostřednictvím funkcí služby (admini mohou údaje prohlížet, upravovat, exportovat a odstraňovat). Pokud společnost BlinkFix obdrží žádost přímo, odkáže danou osobu na zákazníka a sama na ni neodpovídá, pokud o to zákazník nepožádá.

8.2 Posouzení vlivu a konzultace. Společnost BlinkFix poskytuje přiměřené informace, které zákazníkovi pomáhají při posouzení vlivu na ochranu osobních údajů a při předchozích konzultacích s dozorovým úřadem.

9. Porušení zabezpečení osobních údajů

Společnost BlinkFix informuje zákazníka bez zbytečného odkladu, a v každém případě do 48 hodin poté, co se dozví o porušení zabezpečení osobních údajů, které má vliv na osobní údaje zákazníka, a to s informacemi, které zákazník přiměřeně potřebuje ke splnění svých povinností (povaha porušení, kategorie a přibližné počty, pravděpodobné důsledky, přijatá nebo navržená opatření a kontaktní místo), přičemž tyto informace aktualizuje, jakmile se dozví více. Společnost BlinkFix přijme přiměřené kroky k omezení a nápravě porušení. Oznámení není přiznáním viny.

10. Audity

Společnost BlinkFix zpřístupňuje informace přiměřeně nezbytné k prokázání souladu s touto smlouvou o zpracování údajů (DPA) a článkem 28, včetně písemných odpovědí na bezpečnostní dotazníky jednou ročně. Pokud to nestačí nebo pokud to vyžaduje dozorový úřad, může zákazník provést audit (sám nebo prostřednictvím nezávislého auditora vázaného mlčenlivostí) s výpovědní lhůtou nejméně 30 dnů, během pracovní doby, maximálně jednou ročně, na vlastní náklady a bez přístupu k údajům jiných zákazníků.

11. Výmaz a vrácení

11.1 Během trvání smlouvy mohou admini odstraňovat osobní údaje zákazníka a exportovat je (exporty ve formátu CSV a JSON a prostřednictvím rozhraní API).

11.2 Po skončení smlouvy má zákazník 30 dní na export svých údajů. Společnost BlinkFix následně do dalších 30 dnů osobní údaje zákazníka vymaže, a to i z aktivních systémů, pokud právní předpisy Spojeného království nebo EU nevyžadují jejich uchování. Zálohy jsou uchovávány po dobu 7 dnů a poté jsou v rámci běžného cyklu vymazány a nejsou obnovovány, s výjimkou obnovy po havárii. Na žádost společnost BlinkFix písemně potvrdí výmaz.

11.3 Údaje o provozovnách na platformě BlinkFix, jejich objednávky a osobní účty jejich personálu v aplikaci BlinkFix nejsou osobními údaji zákazníka v rámci BlinkFix Enterprise a nadále se řídí dokumentem Obchodní podmínky pro obchodníky a dokumentem Zásady ochrany osobních údajů.

12. Odpovědnost a přednost

12.1 Odpovědnost každé ze stran podle této smlouvy o zpracování údajů (DPA) podléhá limitům stanoveným ve smlouvě.

12.2 Pokud je tato smlouva o zpracování údajů (DPA) v rozporu se smlouvou, má tato smlouva o zpracování údajů (DPA) přednost při zpracování osobních údajů zákazníka. Pokud se použijí standardní smluvní doložky nebo dodatek pro Spojené království a jsou v rozporu s touto smlouvou o zpracování údajů (DPA), mají přednost ony.

12.3 Tato smlouva o zpracování údajů (DPA) se řídí právem, kterým se řídí smlouva.

13. Kontakt

Soukromí a ochrana údajů: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Spojené království.

Registrace u britského úřadu Information Commissioner's Office: podána žádost (číslo žádosti C2042936).

Zástupce pro EU (čl. 27 GDPR)

Zástupcem společnosti BlinkFix v Evropské unii podle článku 27 obecného nařízení o ochraně osobních údajů (GDPR) je Michał Michalek, Polsko (poštovní adresa na vyžádání na adrese [email protected]), [email protected], +48 505 643 432. Subjekty údajů v EU a dozorové úřady se mohou na zástupce obracet ohledně zpracování prováděného společností BlinkFix, včetně zpracování podle této smlouvy o zpracování údajů (DPA).

14. Právní předpisy jiných zemí

14.1 EHP. Pokud se zákazník nachází na Islandu, v Lichtenštejnsku nebo v Norsku, tato smlouva o zpracování údajů (DPA) se použije stejně jako pro EU a „obecné nařízení o ochraně osobních údajů (GDPR)“ zahrnuje nařízení GDPR tak, jak se uplatňuje v EHP.

14.2 Spojené arabské emiráty. Pokud se na osobní údaje zákazníka vztahuje federální dekret-zákon SAE č. 45 z roku 2021 o ochraně osobních údajů, je zákazník správcem a společnost BlinkFix je jeho zpracovatelem a body 3 až 11 představují povinnosti společnosti BlinkFix jako zpracovatele podle tohoto zákona. Pokud se na danou věc vztahuje zákon o ochraně osobních údajů Dubajského mezinárodního finančního centra nebo trhu Abu Dhabi Global Market, platí totéž podle tohoto zákona. Strany se pro jakýkoli přenos mimo SAE řídí touto smlouvou o zpracování údajů (DPA) a bodem 7.

14.3 Spojené státy. Pokud se na osobní údaje zákazníka vztahuje zákon o ochraně soukromí některého státu USA (například zákon California Consumer Privacy Act ve znění zákona California Privacy Rights Act), je společnost BlinkFix poskytovatelem služeb nebo zpracovatelem zákazníka a: (a) společnost BlinkFix zpracovává osobní údaje zákazníka pouze pro účely uvedené v oddílu 2 a podle pokynů zákazníka; (b) společnost BlinkFix je neprodává ani nesdílí (jak tato slova definuje zákon); (c) společnost BlinkFix je neuchovává, nepoužívá ani nezpřístupňuje pro žádný jiný účel, ani mimo svůj přímý obchodní vztah se zákazníkem; (d) společnost BlinkFix je nespojuje s osobními údaji, které obdrží z jiných zdrojů nebo které sama shromáždí, s výjimkou případů povolených zákonem; (e) společnost BlinkFix dodržuje tento zákon a poskytuje stejnou úroveň ochrany soukromí; (f) zákazník může podniknout přiměřené kroky (včetně kroků podle oddílu 10), aby se ujistil, že společnost BlinkFix používá údaje v souladu s tímto dokumentem Zpracovatelská smlouva, a aby zastavil a napravil neoprávřené použití; (g) společnost BlinkFix informuje zákazníka do 5 pracovních dnů, pokud již nemůže plnit své povinnosti podle tohoto zákona.

14.4 Pokud se na zpracování údajů vztahuje zákon o ochraně osobních údajů jiné země a vyžaduje více než tento dokument Zpracovatelská smlouva, strany se v dobré víře dohodnou, co doplnit.