Databehandleraftale
Hvordan BlinkFix behandler personoplysninger på vegne af Enterprise-organisationer, leverandører, leveringsvirksomheder og etablissementer.
Dette er en uofficiel oversættelse til orientering. Den engelske version er den bindende. Læs den engelske version
Indhold
1. Parter og anvendelsesområde
1.1 Denne Databehandleraftale ("DPA") er indgået mellem BlinkFix Ltd (virksomhedsnummer 13505930), 27 Old Gloucester Street, London WC1N 3AX, Storbritannien ("BlinkFix", "Databehandleren") og den organisation, leverandør eller leveringsvirksomhed, der har accepteret Enterprise-vilkår, eller den virksomhed, der har accepteret Handelsvilkår ("Kunden", "Den dataansvarlige").
1.2 Den gælder for personoplysninger, som BlinkFix behandler på vegne af Kunden i forbindelse med levering af BlinkFix Enterprise eller et etablissements personale- og integrationsværktøjer ("Kundens personoplysninger"). Den udgør en del af og accepteres sammen med Enterprise-vilkårene eller dokumentet Handelsvilkår ("Aftalen").
1.3 Den gælder ikke for personoplysninger, som BlinkFix behandler som dataansvarlig, hvilket er beskrevet i Privatlivspolitik. BlinkFix er dataansvarlig for eksempelvis: (a) BlinkFix-konti; (b) kunders ordrer og betalinger; (c) fakturering, tegnebøger, udbetalinger og opgørelser; (d) leveringsoplysninger for en ordre (navn, adresse, telefon, leveringskode) og registreringer af leveringer, herunder leveringer foretaget af en leveringsvirksomhed; (e) en leverandørordre, herunder købers leveringsoplysninger; (f) bildeposita, herunder krav, fotos og BlinkFix' afgørelser; (g) de begrænsede oplysninger, BlinkFix giver en kanalpartner om de konti, den har introduceret; (h) sin egen kontrol af de dokumenter, en leveringsvirksomhed uploader for at blive godkendt. Når BlinkFix videregiver sådanne oplysninger til en leverandør, en leveringsvirksomhed eller en kanalpartner, således at denne kan udføre sin del, modtager den pågældende virksomhed dem som en selvstændig dataansvarlig, udelukkende til det formål, som Flådevilkår, afsnit 16 i Enterprise-vilkårene og dokumentet Vilkår for kanalpartnere foreskriver.
1.4 "UK GDPR", "EU GDPR" (Forordning (EU) 2016/679), "Databeskyttelseslovgivning", "personoplysninger", "behandling", "dataansvarlig", "databehandler", "registreret", "brud på persondatasikkerheden" og "tilsynsmyndighed" har de betydninger, der er fastlagt i UK GDPR, Data Protection Act 2018 og, hvor det er relevant, EU GDPR.
2. Detaljer om behandlingen
| Punkt | Beskrivelse |
|---|---|
| Emne | Levering af BlinkFix Enterprise og personale-/integrationsværktøjer i henhold til Aftalen |
| Varighed | Aftalens løbetid plus sletningsperioden i afsnit 11 |
| Art og formål | Hosting, lagring, organisering, visning, transmission (chat, broadcasts, meddelelser, webhooks og integrationer, De aktiverer), beregning (timer, bonusser, gebyrer, salg), eksport og behandling med AI, når en bruger med en seat benytter AI-assistenten eller importerer en menu eller produktliste. For en leveringsvirksomhed: lagring af chaufførers dokumenter og vagtregistreringer samt påmindelse før et dokument udløber. For en leverandør: lagring af produkter, ordrer og fakturaer |
| Kategorier af registrerede | Kundens pladsholdere, ledere og personale; personale på etablissementer i Kundens organisation; franchisetagere og deres kontaktpersoner; Kundens forretningsforbindelser og leverandører; kunder hos Kundens etablissementer, hvor Kunden aktiverer kontaktsynkronisering eller eksport; for et leveringsfirma, dets chauffører og disponenter; for en leverandør, dens personale |
| Kategorier af personoplysninger | Navne, arbejds-e-mail, telefon, jobtitler og roller, tildeling af etablissement og region, arbejdstid og registreringer samt rettelser af ind- og udstempling, adgang til etablissementets tablet, bonusser og bonusudbetalinger, beskeder, filer og dokumentaccept, adgangslogfiler, push-tokens og enhedsnavne, kontaktoplysninger i importer, samt kundenavn, e-mail og telefon, hvor kontaktsynkronisering er aktiveret; for et leveringsfirma, dets chaufførers navne og kontaktoplysninger, kørekort, forsikrings- og tilladelsesdokumenter, køretøjsoplysninger, vagter og arbejdstider; for en leverandør, dens personales navne og arbejds-e-mail samt de produkt- og fakturaoplysninger, den indtaster |
| Særlige kategorier af oplysninger | Ingen tilsigtet. Kunden må ikke indtaste særlige kategorier af oplysninger (f.eks. helbredsoplysninger) i Enterprise, medmindre det er strengt nødvendigt og lovligt |
| Hyppighed | Kontinuerlig |
3. Den dataansvarliges instruktioner
3.1 BlinkFix behandler kun Kundens personoplysninger efter Kundens dokumenterede instruktioner, herunder vedrørende internationale overførsler, medmindre andet kræves i henhold til britisk eller EU-ret, i hvilket tilfælde BlinkFix informerer Kunden før behandlingen, medmindre den pågældende lovgivning forbyder det.
3.2 Aftalen, denne databehandleraftale (DPA) og Kundens brug og konfiguration af tjenesten (herunder indstillinger, integrationer og handlinger foretaget af dens administratorer) udgør Kundens fuldstændige instruktioner. Yderligere instruktioner skal være skriftlige og i overensstemmelse med Aftalen.
3.3 BlinkFix underretter Kunden straks, hvis en instruktion efter BlinkFix' opfattelse er i strid med databeskyttelseslovgivningen.
3.4 Kunden er ansvarlig for lovligheden af den behandling, den instruerer, for at have et lovligt grundlag og for at give de registrerede de påkrævede oplysninger.
4. Fortrolighed
BlinkFix sikrer, at alle, som BlinkFix har autoriseret til at behandle Kundens personoplysninger, er underlagt fortrolighed og kun tilgår dem i det omfang, det er nødvendigt for at levere tjenesten, yde support til Kunden efter anmodning, håndtere rapporter og misbrug eller for at overholde lovgivningen.
5. Sikkerhed
BlinkFix implementerer passende tekniske og organisatoriske foranstaltninger til beskyttelse af Kundens personoplysninger (artikel 32 i britisk/EU GDPR), herunder:
- kryptering under transport (TLS) for al trafik og kryptering af data, der hviler, leveret af Google Cloud (vores servere og databasediske) og Cloudflare (filer og sikkerhedskopier);
- adgangskoder og PIN-koder, der kun gemmes som hashes; integrationshemmeligheder, der gemmes krypteret; API-nøgler, der er afgrænsede og kan tilbagekaldes; webhooks, der er signerede;
- adgangskontrol baseret på plads og rolle; personalets adgang til produktionsdata begrænset til personer, der har behov for det; logning af personalets adgang til følsomme emner;
- adskillelse af kunders data efter organisation i applikationen;
- hastighedsbegrænsning og beskyttelse mod misbrug;
- daglige sikkerhedskopier af vores database med kontinuerlige ændringslogfiler, opbevaret i et separat sikkerhedskopilager i 7 dage, samt en proces til gendannelse af disse;
- regelmæssig gennemgang af foranstaltningerne i takt med at tjenesten ændres.
Kunden er ansvarlig for sin egen sikkerhed, herunder administration af pladser, opbevaring af legitimationsoplysninger og API-nøgler fortroligt samt sikring af systemer, som Kunden forbinder.
6. Underdatabehandlere
6.1 Kunden giver BlinkFix generel tilladelse til at benytte de underdatabehandlere, der fremgår af listen over Underdatabehandlere.
6.2 BlinkFix giver Kunden mindst 30 dages varsel om en ny eller udskiftet underdatabehandler ved at opdatere listen og sende e-mail til Kundens administratorer eller kontoansvarlige. Kunden kan gøre indsigelse på rimelige databeskyttelsesmæssige grunde inden for denne periode. Parterne vil drøfte indsigelsen i god tro; hvis den ikke kan løses, kan Kunden opsige den berørte tjeneste og modtage refusion af forudbetalte gebyrer for den resterende periode.
6.3 BlinkFix pålægger hver underdatabehandler databeskyttelsesforpligtelser, der ikke er mindre beskyttende end denne databehandleraftale (DPA), og forbliver ansvarlig for deres performance.
7. Internationale overførsler
7.1 BlinkFix' primære hosting, herunder databasen, er placeret hos Google Cloud i Frankfurt, Tyskland (EU). Databasesikkerhedskopier opbevares i Cloudflare R2. BlinkFix' e-mailserver er placeret i Canada. Nogle underdatabehandlere, herunder AI-tjenesten, behandler data i USA eller andre steder, som angivet på listen.
7.2 Når kundens personoplysninger overføres uden for Storbritannien eller EØS til et land uden en tilstrækkelighedsvurdering, sikrer BlinkFix passende garantier: EU–US Data Privacy Framework og dets britiske tillæg (UK Extension) for certificerede modtagere, eller Europa-Kommissionens standardkontraktbestemmelser (afgørelse 2021/914, modul 3 databehandler-til-databehandler eller modul 2, alt efter hvad der er relevant) sammen med det britiske tillæg til international dataoverførsel (UK International Data Transfer Addendum), samt en vurdering af overførselsrisikoen og supplerende foranstaltninger, hvor det er nødvendigt. En overførsel til et land med en tilstrækkelighedsvurdering, såsom Canada for kommercielle organisationer, baseres på denne afgørelse.
7.3 Hvor kunden befinder sig i EØS, og BlinkFix (i Storbritannien) modtager kundens personoplysninger, er overførslen dækket af Europa-Kommissionens tilstrækkelighedsvurdering for Storbritannien. Hvis denne afgørelse ophører, finder standardkontraktbestemmelserne (modul 2, dataansvarlig til databehandler) anvendelse og er inkorporeret ved henvisning, hvor irsk ret og irske domstole er valgt for disse, og kundens tilsynsmyndighed er den kompetente myndighed.
7.4 Kunder uden for Storbritannien og EØS. Hvor kunden befinder sig uden for Storbritannien og EØS (f.eks. i De Forenede Arabiske Emirater eller USA), og kundens lovgivning begrænser fremsendelse af personoplysninger til Storbritannien eller til lande på listen over underdatabehandlere, baserer parterne sig på denne databehandleraftale (DPA) og, hvor denne lovgivning kræver mere, på standardbestemmelserne og det tillæg, der er nævnt i 7.2 og 7.3, som parterne er enige om finder anvendelse i det omfang, lovgivningen tillader det.
8. Bistand
8.1 Registreredes anmodninger. BlinkFix hjælper kunden med at besvare anmodninger fra registrerede (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse) under hensyntagen til behandlingens art, primært gennem tjenestens funktioner (administratorer kan se, redigere, eksportere og fjerne data). Hvis BlinkFix modtager en anmodning direkte, henviser virksomheden personen til kunden og svarer ikke selv, medmindre kunden anmoder om det.
8.2 Konsekvensanalyser og høring. BlinkFix stiller rimelige oplysninger til rådighed for at hjælpe kunden med konsekvensanalyser vedrørende databeskyttelse og forudgående høring af en tilsynsmyndighed.
9. Brud på persondatasikkerheden
BlinkFix underretter kunden uden unødig forsinkelse, og under alle omstændigheder inden for 48 timer, efter at være blevet opmærksom på et brud på persondatasikkerheden, der påvirker kundens personoplysninger, med de oplysninger, som kunden med rimelighed har brug for for at opfylde sine forpligtelser (bruddets art, kategorier og omtrentlige antal, sandsynlige konsekvenser, trufne eller foreslåede foranstaltninger samt et kontaktpunkt), og opdaterer disse, efterhånden som mere bliver kendt. BlinkFix træffer rimelige foranstaltninger for at begrænse og afhjælpe bruddet. Underretning er ikke en indrømmelse af skyld.
10. Revisioner
BlinkFix stiller de oplysninger til rådighed, der er rimeligt nødvendige for at dokumentere overholdelse af denne DPA og artikel 28, herunder skriftlige svar på sikkerhedsspørgeskemaer én gang om året. Hvis dette ikke er tilstrækkeligt, eller hvis en tilsynsmyndighed kræver det, kan kunden foretage en revision (selv eller gennem en uafhængig revisor, der er underlagt fortrolighed) med mindst 30 dages varsel, inden for normal arbejdstid, højst én gang om året, for egen regning og uden adgang til andre kunders data.
11. Sletning og returnering
11.1 Under aftalens løbetid kan administratorer slette kundens personoplysninger og eksportere dem (CSV- og JSON-eksport samt via API'et).
11.2 Når aftalen ophører, har kunden 30 dage til at eksportere sine data. BlinkFix sletter derefter kundens personoplysninger inden for yderligere 30 dage, herunder fra aktive systemer, medmindre britisk eller EU-ret kræver, at de opbevares. Sikkerhedskopier opbevares i 7 dage og slettes derefter i deres normale cyklus og gendannes ikke, undtagen ved katastrofegendannelse. Efter anmodning bekræfter BlinkFix sletningen skriftligt.
11.3 Data om etablissementer på BlinkFix, deres ordrer og deres personales personlige BlinkFix-konti er ikke kundens personoplysninger for Enterprise-kunden og fortsætter under dokumentet Handelsvilkår og Privatlivspolitik.
12. Ansvar og forrang
12.1 Hver parts ansvar i henhold til denne DPA er underlagt begrænsningerne i aftalen.
12.2 Hvis denne DPA er i modstrid med aftalen, har denne DPA forrang vedrørende behandlingen af kundens personoplysninger. Hvis standardkontraktbestemmelserne eller det britiske tillæg finder anvendelse og er i modstrid med denne DPA, har de forrang.
12.3 Denne DPA er underlagt den lovgivning, der regulerer aftalen.
13. Kontakt
Privatliv og databeskyttelse: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Storbritannien.
Registrering hos UK Information Commissioner's Office: ansøgt (ansøgning C2042936).
EU-repræsentant (Art. 27 GDPR)
BlinkFix' repræsentant i Den Europæiske Union i henhold til artikel 27 i EU GDPR er Michał Michalek, Polen (postadresse oplyses ved anmodning til [email protected]), [email protected], +48 505 643 432. EU-registrerede og tilsynsmyndigheder kan kontakte repræsentanten vedrørende BlinkFix' behandling, herunder behandling i henhold til denne DPA.
14. Andre landes lovgivning
14.1 EØS. Hvor kunden befinder sig i Island, Liechtenstein eller Norge, finder denne databehandleraftale (DPA) anvendelse, som den gør for EU, og "EU GDPR" inkluderer GDPR, som den finder anvendelse i EØS.
14.2 De Forenede Arabiske Emirater. Hvor UAE Federal Decree-Law No. 45 of 2021 vedrørende beskyttelse af personoplysninger finder anvendelse på kundens personoplysninger, er kunden dataansvarlig, og BlinkFix er databehandler, og afsnit 3 til 11 er BlinkFix' forpligtelser som databehandler i henhold til denne lov. Hvor databeskyttelsesloven for Dubai International Financial Centre eller Abu Dhabi Global Market finder anvendelse, gælder det samme i henhold til denne lov. Parterne støtter sig til denne DPA og afsnit 7 ved enhver overførsel ud af De Forenede Arabiske Emirater.
14.3 USA. Hvor en amerikansk statslig databeskyttelseslov finder anvendelse på kundens personoplysninger (f.eks. California Consumer Privacy Act som ændret ved California Privacy Rights Act), er BlinkFix kundens tjenesteudbyder eller databehandler, og: (a) BlinkFix behandler kun kundens personoplysninger til formålene i afsnit 2 og efter kundens instruks; (b) BlinkFix sælger eller deler dem ikke (som loven definerer disse ord); (c) BlinkFix opbevarer, bruger eller videregiver dem ikke til noget andet formål eller uden for sit direkte forretningsforhold med kunden; (d) BlinkFix kombinerer dem ikke med personoplysninger, som den modtager fra andre kilder eller selv indsamler, undtagen som loven tillader; (e) BlinkFix overholder denne lov og giver samme niveau af databeskyttelse; (f) kunden kan tage rimelige skridt (herunder i henhold til afsnit 10) for at sikre, at BlinkFix bruger dataene, som denne DPA foreskriver, og for at stoppe og rette op på uautoriseret brug; (g) BlinkFix underretter kunden inden for 5 arbejdsdage, hvis den ikke længere kan opfylde sine forpligtelser i henhold til denne lov.
14.4 Hvis databeskyttelsesloven i et andet land finder anvendelse og kræver mere end denne DPA, vil parterne i god tro aftale, hvad der skal tilføjes.