Acuerdo de procesamiento de datos
Cómo procesa BlinkFix los datos personales en nombre de organizaciones Enterprise, proveedores, empresas de reparto y establecimientos.
Esta es una traducción orientativa. La versión en inglés es la vinculante. Leer la versión en inglés
Contenido
1. Partes y ámbito de aplicación
1.1 Este Acuerdo de procesamiento de datos («APD») se celebra entre BlinkFix Ltd (n.º de empresa 13505930), 27 Old Gloucester Street, London WC1N 3AX, Reino Unido («BlinkFix», el «Encargado del tratamiento»), y la organización, proveedor o empresa de reparto que haya aceptado los Términos de Enterprise, o la empresa que haya aceptado los Términos para comercios (el «Cliente», el «Responsable del tratamiento»).
1.2 Se aplica a los datos personales que BlinkFix procesa en nombre del Cliente al proporcionar BlinkFix Enterprise o las herramientas de integración y para el personal de un establecimiento (los «Datos personales del Cliente»). Forma parte de, y se acepta junto con, los Términos de Enterprise o los Términos para comercios (el «Acuerdo»).
1.3 No se aplica a los datos personales que BlinkFix procesa como responsable del tratamiento, lo cual se describe en la Política de privacidad. BlinkFix es responsable del tratamiento de, por ejemplo: (a) cuentas de BlinkFix; (b) pedidos y pagos de los clientes; (c) facturación, carteras, pagos y estados de cuenta; (d) los detalles de entrega de un pedido (nombre, dirección, teléfono, código de entrega) y los registros de las entregas, incluidos los realizados por una empresa de reparto; (e) un pedido de proveedor, incluidos los detalles de entrega del comprador; (f) depósitos de vehículos, incluidas reclamaciones, fotos y decisiones de BlinkFix; (g) la información limitada que BlinkFix proporciona a un socio de canal sobre las cuentas que presentó; (h) su propia verificación de los documentos que una empresa de reparto carga para ser aprobada. Cuando BlinkFix proporciona dichos datos a un proveedor, una empresa de reparto o un socio de canal para que pueda realizar su parte, dicha empresa los recibe como responsable del tratamiento independiente, únicamente para ese fin, tal como establecen los Términos de la Flota, la sección 16 de los Términos de Enterprise y los Términos de socios de canal.
1.4 «RGPD del Reino Unido», «RGPD de la UE» (Reglamento (UE) 2016/679), «Leyes de protección de datos», «datos personales», «procesamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen los significados establecidos en el RGPD del Reino Unido, la Ley de Protección de Datos de 2018 (Data Protection Act 2018) y, cuando sea aplicable, el RGPD de la UE.
2. Detalles del procesamiento
| Elemento | Descripción |
|---|---|
| Objeto | Proporcionar BlinkFix Enterprise y las herramientas de integración/para el personal en virtud del Acuerdo |
| Duración | La vigencia del Acuerdo más el periodo de eliminación establecido en la sección 11 |
| Naturaleza y finalidad | Alojamiento, almacenamiento, organización, visualización, transmisión (chat, broadcasts, Notificaciones, webhooks e integraciones que usted habilite), cálculo (horas, bonos, tarifas, ventas), exportación y procesamiento con IA cuando un titular de un puesto utiliza el asistente de IA o importa un menú o lista de productos. Para una empresa de reparto: almacenamiento de los documentos de sus repartidores y registros de turnos, y recordatorios antes de que caduque un documento. Para un proveedor: almacenamiento de sus productos, pedidos y facturas. |
| Categorías de interesados | Los titulares de puestos, gerentes y personal del Cliente; personal de establecimientos en la organización del Cliente; franquiciados y sus contactos; contactos comerciales y proveedores del Cliente; clientes de los establecimientos del Cliente cuando el Cliente habilita la sincronización de contactos o exportaciones; para una empresa de reparto, sus repartidores y despachadores; para un proveedor, su personal. |
| Categorías de datos personales | Nombres, correo electrónico de trabajo, teléfono, cargos y funciones, asignaciones de establecimiento y región, horas de trabajo y registros y correcciones de entrada/salida, acceso a la tablet del Establecimiento, bonos y pagos de bonos, mensajes, archivos y aceptaciones de documentos, registros de acceso, tokens de push y nombres de dispositivos, detalles de contacto en importaciones, y nombre, email y teléfono del cliente cuando la sincronización de contactos está habilitada; para una empresa de reparto, los nombres y detalles de contacto de sus repartidores, permiso de conducir, documentos de seguro y permisos, detalles del vehículo, turnos y tiempos de trabajo; para un proveedor, los nombres y correo electrónico de trabajo de su personal y los datos de productos y facturas que introduce. |
| Datos de categorías especiales | Ninguno previsto. El Cliente no debe introducir datos de categorías especiales (por ejemplo, datos de salud) en Enterprise a menos que sea estrictamente necesario y legal |
| Frecuencia | Continua |
3. Instrucciones del Responsable
3.1 BlinkFix procesa los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluso con respecto a las transferencias internacionales, a menos que la legislación del Reino Unido o de la UE exija lo contrario, en cuyo caso BlinkFix informará al Cliente antes del procesamiento, salvo que dicha legislación lo prohíba.
3.2 El Contrato, este DPA y el uso y configuración del servicio por parte del Cliente (incluyendo ajustes, integraciones y acciones de sus administradores) constituyen las instrucciones completas del Cliente. Las instrucciones adicionales deben constar por escrito y ser coherentes con el Contrato.
3.3 BlinkFix informará al Cliente sin demora si, en su opinión, una instrucción infringe las Leyes de Protección de Datos.
3.4 El Cliente es responsable de la licitud del procesamiento que instruye, de disponer de una base legal y de proporcionar a los interesados la información requerida.
4. Confidencialidad
BlinkFix garantiza que todas las personas autorizadas por ella para procesar Datos Personales del Cliente están sujetas a confidencialidad y solo acceden a ellos según sea necesario para prestar el servicio, para dar Support al Cliente a su solicitud, para gestionar informes y abusos, o para cumplir con la ley.
5. Seguridad
BlinkFix implementa medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente (Artículo 32 del RGPD del Reino Unido/UE), incluyendo:
- cifrado en tránsito (TLS) para todo el tráfico, y cifrado en reposo proporcionado por Google Cloud (nuestros servidores y discos de base de datos) y Cloudflare (archivos y copias de seguridad);
- contraseñas y PIN almacenados solo como hashes; secretos de integración almacenados cifrados; claves de API con alcance limitado y revocables; webhooks firmados;
- control de acceso por puesto y función; acceso del personal a los datos de producción limitado a las personas que lo necesitan; registro del acceso del personal a elementos sensibles;
- separación de los datos de los clientes por organización en la aplicación;
- limitación de tasa y protección contra abusos;
- copias de seguridad diarias de nuestra base de datos con registros de cambios continuos, guardadas en un almacén de copias de seguridad separado durante 7 días, y un proceso para restaurarlas;
- revisión periódica de las medidas a medida que el servicio cambia.
El Cliente es responsable de su propia seguridad, incluyendo la gestión de puestos, mantener el secreto de las credenciales y claves de API, y asegurar los sistemas que conecta.
6. Subprocesadores
6.1 El Cliente otorga a BlinkFix autorización general para contratar a los subprocesadores de la lista de Subprocesadores.
6.2 BlinkFix notificará al Cliente con al menos 30 días de antelación sobre un subprocesador nuevo o de reemplazo actualizando la lista y enviando un email a los admins o propietarios de la account del Cliente. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese período. Las partes discutirán la objeción de buena fe; si no puede resolverse, el Cliente podrá finalizar el servicio afectado y recibir un reembolso de las tarifas prepagadas por el período restante.
6.3 BlinkFix impone a cada subprocesador obligaciones de protección de datos que no son menos protectoras que este DPA y sigue siendo responsable de su Performance.
7. Transferencias internacionales
7.1 El alojamiento principal de BlinkFix, incluyendo su base de datos, se encuentra en Google Cloud en Frankfurt, Alemania (UE). Las copias de seguridad de la base de datos se guardan en Cloudflare R2. El servidor de email de BlinkFix está en Canadá. Algunos subprocesadores, incluido el servicio de IA, procesan datos en los EE. UU. o en otros lugares, como se muestra en la lista.
7.2 Cuando los Datos Personales del Cliente se transfieren fuera del Reino Unido o del EEE a un país sin una decisión de adecuación, BlinkFix garantiza las salvaguardias adecuadas: el Marco de Privacidad de Datos UE-EE. UU. y su Extensión para el Reino Unido para los destinatarios certificados, o las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914, módulo 3 de encargado a encargado o módulo 2 según corresponda) junto con el Anexo de Transferencia Internacional de Datos del Reino Unido, además de una evaluación del riesgo de transferencia y medidas complementarias cuando sea necesario. Una transferencia a un país con una decisión de adecuación, como Canadá para las organizaciones comerciales, se basa en dicha decisión.
7.3 Cuando el Cliente se encuentra en el EEE y BlinkFix (en el Reino Unido) recibe Datos Personales del Cliente, la transferencia está cubierta por la decisión de adecuación de la Comisión Europea para el Reino Unido. Si dicha decisión finaliza, se aplicarán las cláusulas contractuales tipo (módulo 2, de responsable a encargado), las cuales se incorporan por referencia, eligiéndose para ellas la legislación y los tribunales irlandeses, y siendo la autoridad de control del Cliente la autoridad competente.
7.4 Clientes fuera del Reino Unido y del EEE. Cuando el Cliente se encuentre fuera del Reino Unido y del EEE (por ejemplo, en los Emiratos Árabes Unidos o en los EE. UU.) y su legislación restrinja el envío de datos personales al Reino Unido o a los países de la lista de subencargados, las partes se basarán en este DPA y, cuando dicha legislación exija más, en las cláusulas tipo y el anexo mencionados en 7.2 y 7.3, los cuales las partes acuerdan aplicar en la medida en que dicha legislación lo permita.
8. Asistencia
8.1 Solicitudes de los interesados. BlinkFix, teniendo en cuenta la naturaleza del tratamiento, ayuda al Cliente a responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición), principalmente a través de las funciones del servicio (los administradores pueden ver, editar, exportar y eliminar datos). Si BlinkFix recibe una solicitud directamente, remitirá a la persona al Cliente y no responderá por sí misma a menos que el Cliente lo solicite.
8.2 Evaluaciones de impacto y consulta. BlinkFix proporciona información razonable para ayudar al Cliente con las evaluaciones de impacto relativas a la protección de datos y la consulta previa con una autoridad de control.
9. Violaciones de datos personales
BlinkFix notificará al Cliente sin dilación indebida, y en cualquier caso en un plazo de 48 horas, tras tener conocimiento de una violación de datos personales que afecte a los Datos Personales del Cliente, con la información que el Cliente necesite razonablemente para cumplir con sus obligaciones (naturaleza de la violación, categorías y números aproximados, consecuencias probables, medidas adoptadas o propuestas, y un punto de contacto), actualizándola a medida que se disponga de más información. BlinkFix toma medidas razonables para contener y subsanar la violación. La notificación no constituye un reconocimiento de culpa.
10. Auditorías
BlinkFix pone a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA y del Artículo 28, incluidas las respuestas por escrito a los cuestionarios de seguridad una vez al año. Si esto no fuera suficiente, o si una autoridad de control lo requiere, el Cliente podrá llevar a cabo una auditoría (por sí mismo o a través de un auditor independiente sujeto a confidencialidad) con al menos 30 días de antelación, durante el horario laboral, como máximo una vez al año, a su propio coste y sin acceso a los datos de otros clientes.
11. Supresión y devolución
11.1 Durante la vigencia del Acuerdo, los administradores pueden eliminar los Datos Personales del Cliente y exportarlos (exportaciones en CSV y JSON, y a través de la API).
11.2 Cuando finalice el Acuerdo, el Cliente dispone de 30 días para exportar sus datos. A continuación, BlinkFix eliminará los Datos Personales del Cliente en un plazo adicional de 30 días, incluso de los sistemas activos, a menos que la legislación del Reino Unido o de la UE exija su conservación. Las copias de seguridad se conservan durante 7 días y luego se eliminan en su ciclo normal, y no se restauran salvo para la recuperación ante desastres. Previa solicitud, BlinkFix confirmará la supresión por escrito.
11.3 Los datos sobre los establecimientos en BlinkFix, sus pedidos y las cuentas personales de BlinkFix de su personal no son Datos Personales del Cliente Enterprise y continúan bajo los Términos para comercios y la Política de privacidad.
12. Responsabilidad y prelación
12.1 La responsabilidad de cada parte en virtud de este DPA está sujeta a los límites establecidos en el Acuerdo.
12.2 Si este DPA entra en conflicto con el Acuerdo, este DPA prevalecerá para el tratamiento de los Datos Personales del Cliente. Si las cláusulas contractuales tipo o el Anexo del Reino Unido son de aplicación y entran en conflicto con este DPA, prevalecerán estas últimas.
12.3 Este DPA se rige por la ley que rige el Acuerdo.
13. Contacto
Privacidad y protección de datos: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Reino Unido.
Registro ante la Oficina del Comisionado de Información del Reino Unido: solicitado (solicitud C2042936).
Representante en la UE (Art. 27 RGPD)
El representante de BlinkFix en la Unión Europea en virtud del Artículo 27 del RGPD de la UE es Michał Michalek, Polonia (dirección postal bajo petición en [email protected]), [email protected], +48 505 643 432. Los interesados y las autoridades de control de la UE pueden ponerse en contacto con el representante en relación con el tratamiento realizado por BlinkFix, incluido el tratamiento en virtud de este DPA.
14. Leyes de otros países
14.1 EEE. Cuando el Cliente se encuentre en Islandia, Liechtenstein o Noruega, este DPA se aplicará de la misma forma que para la UE, y el "RGPD de la UE" incluye el RGPD tal como se aplica en el EEE.
14.2 Emiratos Árabes Unidos. Cuando el Decreto-Ley Federal n.º 45 de 2021 de los EAU relativo a la Protección de Datos Personales sea aplicable a los Datos Personales del Cliente, el Cliente será el responsable del tratamiento y BlinkFix su encargado del tratamiento, y las secciones 3 a 11 constituyen las obligaciones de BlinkFix como encargado del tratamiento en virtud de dicha ley. Cuando sea aplicable la ley de protección de datos del Centro Financiero Internacional de Dubái o del Mercado Global de Abu Dabi, se aplicará lo mismo en virtud de dicha ley. Las partes se basan en este DPA y en la sección 7 para cualquier transferencia fuera de los EAU.
14.3 Estados Unidos. Cuando una ley de privacidad estatal de EE. UU. sea aplicable a los Datos Personales del Cliente (por ejemplo, la Ley de Privacidad del Consumidor de California, modificada por la Ley de Derechos de Privacidad de California), BlinkFix actuará como proveedor de servicios o encargado del tratamiento del Cliente, y: (a) BlinkFix tratará los Datos Personales del Cliente únicamente para los fines establecidos en la sección 2 y siguiendo las instrucciones del Cliente; (b) BlinkFix no venderá ni compartirá dichos datos (según la definición de estos términos en la ley); (c) BlinkFix no conservará, utilizará ni divulgará dichos datos para ningún otro fin, ni fuera de su relación comercial directa con el Cliente; (d) BlinkFix no combinará dichos datos con datos personales que reciba de otras fuentes o que recopile por sí mismo, salvo en los casos permitidos por la ley; (e) BlinkFix cumplirá con dicha ley y proporcionará el mismo nivel de protección de la privacidad; (f) el Cliente podrá tomar medidas razonables (incluidas las contempladas en la sección 10) para asegurarse de que BlinkFix utiliza los datos tal como se indica en este DPA, y para detener y subsanar cualquier uso no autorizado; (g) BlinkFix informará al Cliente en un plazo de 5 días hábiles si ya no puede cumplir con sus obligaciones en virtud de dicha ley.
14.4 Si la ley de protección de datos de otro país resulta aplicable y exige más de lo estipulado en este DPA, las partes acordarán de buena fe qué añadir.