Συμφωνία Επεξεργασίας Δεδομένων

1. Μέρη και πεδίο εφαρμογής

1.1 Αυτή η Συμφωνία Επεξεργασίας Δεδομένων («DPA») συνάπτεται μεταξύ της BlinkFix Ltd (αριθμός εταιρείας 13505930), 27 Old Gloucester Street, London WC1N 3AX, Ηνωμένο Βασίλειο («BlinkFix», ο «Εκτελών την επεξεργασία») και του οργανισμού, προμηθευτή ή εταιρείας διανομών που έχει αποδεχτεί τους Όροι Enterprise, ή της επιχείρησης που έχει αποδεχτεί τους Όροι Εμπόρου (ο «Πελάτης», ο «Υπεύθυνος επεξεργασίας»).

1.2 Εφαρμόζεται στα προσωπικά δεδομένα που η BlinkFix επεξεργάζεται για λογαριασμό του Πελάτη κατά την παροχή του BlinkFix Enterprise ή των εργαλείων προσωπικό και διασύνδεσης ενός καταστήματος (τα «Προσωπικά Δεδομένα Πελάτη»). Αποτελεί μέρος και γίνεται αποδεκτή μαζί με τους Όροι Enterprise ή τους Όροι Εμπόρου (η «Συμφωνία»).

1.3 Δεν εφαρμόζεται σε προσωπικά δεδομένα που η BlinkFix επεξεργάζεται ως υπεύθυνος επεξεργασίας, τα οποία περιγράφονται στην Πολιτική απορρήτου. Η BlinkFix είναι υπεύθυνος επεξεργασίας, για παράδειγμα: (α) λογαριασμών BlinkFix· (β) παραγγελιών και πληρωμών πελατών· (γ) τιμολόγησης, πορτοφολιών, πληρωμών και καταστάσεων· (δ) των στοιχείων παράδοσης μιας παραγγελίας (όνομα, διεύθυνση, τηλέφωνο, κωδικός παράδοσης) και των αρχείων παραδόσεων, συμπεριλαμβανομένων των παραδόσεων από μια εταιρεία διανομών· (ε) παραγγελίας προμηθευτή, συμπεριλαμβανομένων των στοιχείων παράδοσης του αγοραστή· (στ) εγγυήσεων αυτοκινήτου, συμπεριλαμβανομένων αξιώσεων, φωτογραφιών και αποφάσεων της BlinkFix· (ζ) των περιορισμένων πληροφοριών που παρέχει η BlinkFix σε έναν συνεργάτη καναλιού σχετικά με τους λογαριασμούς που εισήγαγε· (η) του δικού της ελέγχου των εγγράφων που ανεβάζει μια εταιρεία διανομών για να εγκριθεί. Όταν η BlinkFix παρέχει τέτοια δεδομένα σε έναν προμηθευτή, μια εταιρεία διανομών ή έναν συνεργάτη καναλιού ώστε να μπορέσει να επιτελέσει το έργο του, η επιχείρηση αυτή τα λαμβάνει ως ξεχωριστός υπεύθυνος επεξεργασίας, αποκλειστικά για αυτόν τον σκοπό, όπως ορίζουν οι Όροι Στόλου, το τμήμα 16 των Όροι Enterprise και οι Όροι Συνεργάτη Καναλιού.

1.4 Οι όροι «UK GDPR», «EU GDPR» (Κανονισμός (ΕΕ) 2016/679), «Νόμοι περί Προστασίας Δεδομένων», «προσωπικά δεδομένα», «επεξεργασία», «υπεύθυνος επεξεργασίας», «εκτελών την επεξεργασία», «υποκείμενο των δεδομένων», «παραβίαση προσωπικών δεδομένων» και «εποπτική αρχή» έχουν τις έννοιες που ορίζονται στο UK GDPR, στον Νόμο περί Προστασίας Δεδομένων του 2018 (Data Protection Act 2018) και, όπου εφαρμόζεται, στον EU GDPR.

2. Λεπτομέρειες της επεξεργασίας

3. Οδηγίες του υπευθύνου επεξεργασίας.

3.1 Η BlinkFix επεξεργάζεται τα Προσωπικά Δεδομένα Πελάτη μόνο βάσει των τεκμηριωμένων οδηγιών του Πελάτη, συμπεριλαμβανομένων των διεθνών διαβιβάσεων, εκτός εάν απαιτείται διαφορετικά από τη νομοθεσία του Ηνωμένου Βασιλείου ή της ΕΕ, οπότε η BlinkFix ενημερώνει τον Πελάτη πριν από την επεξεργασία, εκτός εάν η εν λόγω νομοθεσία το απαγορεύει.

3.2 Η Συμφωνία, το παρόν DPA και η χρήση και παραμετροποίηση της υπηρεσίας από τον Πελάτη (συμπεριλαμβανομένων των ρυθμίσεων, των συνδέσεων και των ενεργειών των διαχειριστών του) αποτελούν τις πλήρεις οδηγίες του Πελάτη. Περαιτέρω οδηγίες πρέπει να είναι γραπτές και συνεπείς με τη Συμφωνία.

3.3 Η BlinkFix ενημερώνει τον Πελάτη άμεσα εάν, κατά την κρίση της, μια οδηγία παραβιάζει τη Νομοθεσία περί Προστασίας Δεδομένων.

3.4 Ο Πελάτης είναι υπεύθυνος για τη νομιμότητα της επεξεργασίας που δίνει ως οδηγία, για την ύπαρξη νόμιμης βάσης και για την παροχή των απαιτούμενων πληροφοριών στα υποκείμενα των δεδομένων.

4. Εμπιστευτικότητα.

Η BlinkFix διασφαλίζει ότι όλοι όσοι εξουσιοδοτεί για την επεξεργασία Προσωπικών Δεδομένων Πελάτη δεσμεύονται από εμπιστευτικότητα και έχουν πρόσβαση σε αυτά μόνο όσο είναι απαραίτητο για την παροχή της υπηρεσίας, την υποστήριξη του Πελάτη κατόπιν αιτήματός του, τη διαχείριση αναφορών και καταχρήσεων ή τη συμμόρφωση με τον νόμο.

5. Ασφάλεια.

Η BlinkFix εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των Προσωπικών Δεδομένων Πελάτη (Άρθρο 32 του GDPR ΗΒ/ΕΕ), συμπεριλαμβανομένων:

• κρυπτογράφησης κατά τη μεταφορά (TLS) για όλη την κίνηση, και κρυπτογράφησης κατά την αποθήκευση που παρέχεται από το Google Cloud (οι διακομιστές και οι δίσκοι βάσεων δεδομένων μας) και το Cloudflare (αρχεία και αντίγραφα ασφαλείας);
• κωδικών πρόσβασης και PIN που αποθηκεύονται μόνο ως hashes· μυστικών κωδικών σύνδεσης που αποθηκεύονται κρυπτογραφημένα· κλειδιών API με περιορισμένο εύρος και δυνατότητα ανάκλησης· υπογεγραμμένων webhooks;
• ελέγχου πρόσβασης ανά θέση και ρόλο· περιορισμένης πρόσβασης του προσωπικού σε δεδομένα παραγωγής μόνο σε άτομα που τα χρειάζονται· καταγραφής της πρόσβασης του προσωπικού σε ευαίσθητα στοιχεία;
• διαχωρισμού των δεδομένων των πελατών ανά οργανισμό στην εφαρμογή;
• περιορισμού ρυθμού (rate limiting) και προστασίας από καταχρήσεις;
• καθημερινών αντιγράφων ασφαλείας της βάσης δεδομένων μας με συνεχή αρχεία καταγραφής αλλαγών, τα οποία διατηρούνται σε ξεχωριστό χώρο αποθήκευσης αντιγράφων ασφαλείας για 7 ημέρες, και διαδικασίας για την επαναφορά τους;
• τακτικής αναθεώρησης των μέτρων καθώς η υπηρεσία αλλάζει.

Ο Πελάτης είναι υπεύθυνος για τη δική του ασφάλεια, συμπεριλαμβανομένης της διαχείρισης θέσεων, της διατήρησης των διαπιστευτηρίων και των κλειδιών API ως μυστικών, και της ασφάλειας των συστημάτων που συνδέει.

6. Εκτελούντες την επεξεργασία (Sub-processors)

6.1 Ο Πελάτης παρέχει στη BlinkFix γενική εξουσιοδότηση να απασχολεί τους εκτελούντες την επεξεργασία που περιλαμβάνονται στη λίστα Εκτελούντες την επεξεργασία (Sub-processors).

6.2 Η BlinkFix παρέχει στον Πελάτη ειδοποίηση τουλάχιστον 30 ημερών για έναν νέο ή αντικαταστάτη εκτελούντα την επεξεργασία, ενημερώνοντας τη λίστα και στέλνοντας email στους διαχειριστές ή τους ιδιοκτήτες λογαριασμού του Πελάτη. Ο Πελάτης μπορεί να προβάλει αντιρρήσεις για βάσιμους λόγους προστασίας δεδομένων εντός αυτής της περιόδου. Τα μέρη θα συζητήσουν την αντίρρηση με καλή πίστη· εάν δεν επιλυθεί, ο Πελάτης μπορεί να τερματίσει την επηρεαζόμενη υπηρεσία και να λάβει επιστροφή των προπληρωμένων τελών για την υπόλοιπη περίοδο.

6.3 Η BlinkFix επιβάλλει σε κάθε εκτελούντα την επεξεργασία υποχρεώσεις προστασίας δεδομένων που δεν είναι λιγότερο προστατευτικές από το παρόν DPA και παραμένει υπεύθυνη για την απόδοσή τους.

7. Διεθνείς διαβιβάσεις

7.1 Η κύρια φιλοξενία της BlinkFix, συμπεριλαμβανομένης της βάσης δεδομένων της, βρίσκεται στο Google Cloud στη Φρανκφούρτη της Γερμανίας (ΕΕ). Τα αντίγραφα ασφαλείας της βάσης δεδομένων διατηρούνται στο Cloudflare R2. Ο διακομιστής email της BlinkFix βρίσκεται στον Καναδά. Ορισμένοι εκτελούντες την επεξεργασία, συμπεριλαμβανομένης της υπηρεσίας AI, επεξεργάζονται δεδομένα στις ΗΠΑ ή αλλού, όπως φαίνεται στη λίστα.

7.2 Όταν τα Προσωπικά Δεδομένα Πελάτη διαβιβάζονται εκτός του Ηνωμένου Βασιλείου ή του ΕΟΧ σε χώρα χωρίς απόφαση επάρκειας, η BlinkFix διασφαλίζει κατάλληλες εγγυήσεις: το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ και την επέκτασή του για το Ηνωμένο Βασίλειο για πιστοποιημένους αποδέκτες, ή τις τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής (Απόφαση 2021/914, ενότητα 3 από εκτελούντα σε εκτελούντα ή ενότητα 2 κατά περίπτωση) με το Πρόσθετο Διεθνούς Διαβίβασης Δεδομένων του Ηνωμένου Βασιλείου, μαζί με εκτίμηση αντικτύπου διαβίβασης και συμπληρωματικά μέτρα όπου χρειάζεται. Μια διαβίβαση σε χώρα με απόφαση επάρκειας, όπως ο Καναδάς για εμπορικούς οργανισμούς, βασίζεται στην εν λόγω απόφαση.

7.3 Όταν ο πελάτης βρίσκεται στον ΕΟΧ και η BlinkFix (στο Ηνωμένο Βασίλειο) λαμβάνει προσωπικά δεδομένα πελάτη, η διαβίβαση καλύπτεται από την απόφαση επάρκειας της Ευρωπαϊκής Επιτροπής για το Ηνωμένο Βασίλειο. Εάν η απόφαση αυτή λήξει, εφαρμόζονται οι τυποποιημένες συμβατικές ρήτρες (ενότητα 2, υπεύθυνος επεξεργασίας προς εκτελούντα την επεξεργασία), οι οποίες ενσωματώνονται με παραπομπή, με επιλεγμένο το δίκαιο και τα δικαστήρια της Ιρλανδίας για αυτές, και την εποπτική αρχή του πελάτη ως την αρμόδια αρχή.

7.4 Πελάτες εκτός Ηνωμένου Βασιλείου και ΕΟΧ. Όταν ο πελάτης βρίσκεται εκτός Ηνωμένου Βασιλείου και ΕΟΧ (για παράδειγμα στα Ηνωμένα Αραβικά Εμιράτα ή στις ΗΠΑ) και η νομοθεσία του περιορίζει την αποστολή προσωπικών δεδομένων στο Ηνωμένο Βασίλειο ή στις χώρες που περιλαμβάνονται στη λίστα των εκτελούντων την επεξεργασία, τα μέρη βασίζονται στην παρούσα ΣΕΠ και, όπου η εν λόγω νομοθεσία απαιτεί περισσότερα, στις τυποποιημένες ρήτρες και το προσάρτημα που αναφέρονται στα 7.2 και 7.3, τα οποία τα μέρη συμφωνούν ότι εφαρμόζονται στο βαθμό που το επιτρέπει η εν λόγω νομοθεσία.

8. Συνδρομή

8.1 Αιτήματα υποκειμένων των δεδομένων. Η BlinkFix, λαμβάνοντας υπόψη τη φύση της επεξεργασίας, βοηθά τον Πελάτη να ανταποκρίνεται σε αιτήματα από υποκείμενα των δεδομένων (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, αντίρρηση), κυρίως μέσω των λειτουργιών της υπηρεσίας (οι διαχειριστές μπορούν να προβάλλουν, να επεξεργάζονται, να εξάγουν και να διαγράφουν δεδομένα). Εάν η BlinkFix λάβει ένα αίτημα απευθείας, παραπέμπει το πρόσωπο στον Πελάτη και δεν απαντά η ίδια, εκτός εάν το ζητήσει ο Πελάτης.

8.2 Εκτιμήσεις αντικτύπου και διαβούλευση. Η BlinkFix παρέχει εύλογες πληροφορίες για να βοηθήσει τον πελάτη με τις εκτιμήσεις αντικτύπου σχετικά με την προστασία δεδομένων και την προηγούμενη διαβούλευση με μια εποπτική αρχή.

9. Παραβιάσεις προσωπικών δεδομένων

Η BlinkFix ειδοποιεί τον πελάτη χωρίς αδικαιολόγητη καθυστέρηση, και σε κάθε περίπτωση εντός 48 ωρών, αφού λάβει γνώση μιας παραβίασης προσωπικών δεδομένων που επηρεάζει προσωπικά δεδομένα πελάτη, με τις πληροφορίες που χρειάζεται εύλογα ο πελάτης για να εκπληρώσει τις υποχρεώσεις του (φύση της παραβίασης, κατηγορίες και κατά προσέγγιση αριθμοί, πιθανές συνέπειες, μέτρα που ελήφθησαν ή προτάθηκαν, και ένα σημείο επικοινωνίας), επικαιροποιώντας τις καθώς γίνονται γνωστές περισσότερες λεπτομέρειες. Η BlinkFix λαμβάνει εύλογα μέτρα για τον περιορισμό και την αποκατάσταση της παραβίασης. Η ειδοποίηση δεν αποτελεί παραδοχή υπαιτιότητας.

10. Έλεγχοι

Η BlinkFix καθιστά διαθέσιμες τις πληροφορίες που είναι εύλογα απαραίτητες για την απόδειξη της συμμόρφωσης με την παρούσα ΣΕΠ και το Άρθρο 28, συμπεριλαμβανομένων γραπτών απαντήσεων σε ερωτηματολόγια ασφαλείας μία φορά το χρόνο. Εάν αυτό δεν επαρκεί, ή το απαιτεί μια εποπτική αρχή, ο πελάτης μπορεί να διενεργήσει έλεγχο (ο ίδιος ή μέσω ανεξάρτητου ελεγκτή που δεσμεύεται από εμπιστευτικότητα) με προειδοποίηση τουλάχιστον 30 ημερών, κατά τις εργάσιμες ώρες, το πολύ μία φορά το χρόνο, με δικά του έξοδα και χωρίς πρόσβαση στα δεδομένα άλλων πελατών.

11. Διαγραφή και επιστροφή

11.1 Κατά τη διάρκεια της Συμφωνίας, οι διαχειριστές μπορούν να διαγράφουν τα Προσωπικά Δεδομένα του Πελάτη και να τα εξάγουν (εξαγωγές CSV και JSON, καθώς και μέσω του API).

11.2 Όταν λήγει η Συμφωνία, ο πελάτης έχει 30 ημέρες για να εξάγει τα δεδομένα του. Στη συνέχεια, η BlinkFix διαγράφει τα προσωπικά δεδομένα πελάτη εντός άλλων 30 ημερών, συμπεριλαμβανομένων των ενεργών συστημάτων, εκτός εάν η νομοθεσία του Ηνωμένου Βασιλείου ή της ΕΕ απαιτεί τη διατήρησή τους. Τα αντίγραφα ασφαλείας διατηρούνται για 7 ημέρες και στη συνέχεια διαγράφονται στον κανονικό τους κύκλο και δεν αποκαθίστανται παρά μόνο για την ανάκτηση από καταστροφή. Κατόπιν αιτήματος, η BlinkFix επιβεβαιώνει τη διαγραφή εγγράφως.

11.3 Τα δεδομένα σχετικά με τα καταστήματα στην BlinkFix, τις παραγγελίες τους και τους προσωπικούς λογαριασμούς BlinkFix του προσωπικού τους δεν αποτελούν προσωπικά δεδομένα πελάτη του πελάτη Enterprise και εξακολουθούν να διέπονται από τους Όροι Εμπόρου και την Πολιτική απορρήτου.

12. Ευθύνη και προτεραιότητα

12.1 Η ευθύνη κάθε μέρους βάσει της παρούσας ΣΕΠ υπόκειται στα όρια της Συμφωνίας.

12.2 Εάν η παρούσα ΣΕΠ έρχεται σε σύγκρουση με τη Συμφωνία, η παρούσα ΣΕΠ υπερισχύει για την επεξεργασία προσωπικών δεδομένων πελάτη. Εάν οι τυποποιημένες συμβατικές ρήτρες ή το Προσάρτημα για το Ηνωμένο Βασίλειο εφαρμόζονται και έρχονται σε σύγκρουση με την παρούσα ΣΕΠ, υπερισχύουν εκείνες.

12.3 Η παρούσα ΣΕΠ διέπεται από το δίκαιο που διέπει τη Συμφωνία.

13. Επικοινωνία

Ιδιωτικότητα και προστασία δεδομένων: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Ηνωμένο Βασίλειο.

Εγγραφή στο Γραφείο Επιτρόπου Πληροφοριών του Ηνωμένου Βασιλείου: έχει υποβληθεί αίτηση (αίτηση C2042936).

Εκπρόσωπος ΕΕ (Άρθρο 27 ΓΚΠΔ)

Ο εκπρόσωπος της BlinkFix στην Ευρωπαϊκή Ένωση δυνάμει του Άρθρου 27 του ΓΚΠΔ της ΕΕ είναι ο Michał Michalek, Πολωνία (ταχυδρομική διεύθυνση κατόπιν αιτήματος στο [email protected]), [email protected], +48 505 643 432. Τα υποκείμενα των δεδομένων στην ΕΕ και οι εποπτικές αρχές μπορούν να επικοινωνούν με τον εκπρόσωπο σχετικά με την επεξεργασία της BlinkFix, συμπεριλαμβανομένης της επεξεργασίας βάσει της παρούσας ΣΕΠ.

14. Νομοθεσία άλλων χωρών

14.1 ΕΟΧ. Όταν ο πελάτης βρίσκεται στην Ισλανδία, το Λιχτενστάιν ή τη Νορβηγία, η παρούσα ΣΕΠ εφαρμόζεται όπως και για την ΕΕ, και ο «ΓΚΠΔ της ΕΕ» περιλαμβάνει τον ΓΚΠΔ όπως εφαρμόζεται στον ΕΟΧ.

14.2 Ηνωμένα Αραβικά Εμιράτα. Όταν το Ομοσπονδιακό Διάταγμα-Νόμος αριθ. 45 του 2021 των ΗΑΕ σχετικά με την προστασία προσωπικών δεδομένων εφαρμόζεται στα προσωπικά δεδομένα πελάτη, ο πελάτης είναι ο υπεύθυνος επεξεργασίας και η BlinkFix είναι ο εκτελών την επεξεργασία, και οι ενότητες 3 έως 11 αποτελούν τα καθήκοντα της BlinkFix ως εκτελούντος την επεξεργασία βάσει του εν λόγω νόμου. Όταν εφαρμόζεται η νομοθεσία περί προστασίας δεδομένων του Διεθνούς Οικονομικού Κέντρου του Ντουμπάι ή της Παγκόσμιας Αγοράς του Άμπου Ντάμπι, το ίδιο ισχύει βάσει του εν λόγω νόμου. Τα μέρη βασίζονται στην παρούσα ΣΕΠ και την ενότητα 7 για οποιαδήποτε διαβίβαση εκτός των ΗΑΕ.

14.3 Ηνωμένες Πολιτείες. Όπου εφαρμόζεται νόμος περί προστασίας προσωπικών δεδομένων μιας πολιτείας των ΗΠΑ στα Προσωπικά Δεδομένα Πελάτη (για παράδειγμα ο νόμος California Consumer Privacy Act όπως τροποποιήθηκε από τον νόμο California Privacy Rights Act), η BlinkFix είναι ο πάροχος υπηρεσιών ή ο εκτελών την επεξεργασία για τον Πελάτη, και: (α) η BlinkFix επεξεργάζεται τα Προσωπικά Δεδομένα Πελάτη μόνο για τους σκοπούς της ενότητας 2 και σύμφωνα με τις οδηγίες του Πελάτη· (β) η BlinkFix δεν τα πωλεί ούτε τα διαμοιράζεται (όπως ορίζουν αυτές τις λέξεις ο νόμος)· (γ) η BlinkFix δεν τα διατηρεί, δεν τα χρησιμοποιεί ούτε τα αποκαλύπτει για οποιονδήποτε άλλο σκοπό, ή εκτός της άμεσης επιχειρηματικής της σχέσης με τον Πελάτη· (δ) η BlinkFix δεν τα συνδυάζει με προσωπικά δεδομένα που λαμβάνει από άλλες πηγές ή συλλέγει η ίδια, εκτός εάν επιτρέπεται από τον νόμο· (ε) η BlinkFix συμμορφώνεται με τον εν λόγω νόμο και παρέχει το ίδιο επίπεδο προστασίας της ιδιωτικότητας· (στ) ο Πελάτης μπορεί να λάβει εύλογα μέτρα (συμπεριλαμβανομένων εκείνων της ενότητας 10) για να διασφαλίσει ότι η BlinkFix χρησιμοποιεί τα δεδομένα όπως ορίζει η παρούσα Συμφωνία Επεξεργασίας Δεδομένων (DPA), και για να σταματήσει και να διορθώσει μη εξουσιοδοτημένη χρήση· (ζ) η BlinkFix ενημερώνει τον Πελάτη εντός 5 εργάσιμων ημερών εάν δεν μπορεί πλέον να εκπληρώσει τις υποχρεώσεις της βάσει του εν λόγω νόμου.

14.4 Εάν εφαρμόζεται η νομοθεσία περί προστασίας δεδομένων μιας άλλης χώρας και απαιτεί περισσότερα από την παρούσα Συμφωνία Επεξεργασίας Δεδομένων (DPA), τα μέρη θα συμφωνήσουν καλή τη πίστει τι πρέπει να προστεθεί.