Andmetöötlusleping

1. Pooled ja kohaldamisala

1.1 Käesolev Andmetöötlusleping („DPA“) on sõlmitud BlinkFix Ltd (äriregistri nr 13505930), 27 Old Gloucester Street, London WC1N 3AX, Ühendkuningriik („BlinkFix“, „volitatud töötleja“) ning organisatsiooni, tarnija või tarneettevõtte vahel, kes on nõustunud Enterprise'i tingimused dokumentidega, või ettevõtte vahel, kes on nõustunud Kaupmehe tingimused dokumentidega („Klient“, „vastutav töötleja“).

1.2 See kohaldub isikuandmetele, mida BlinkFix töötleb Kliendi nimel BlinkFix Enterprise'i või asutuse töötajad- ja integratsioonitööriistade pakkumisel („Kliendi isikuandmed“). See moodustab osa Enterprise'i tingimused või Kaupmehe tingimused dokumentidest (edaspidi „Leping“) ja on nendega koos aktsepteeritud.

1.3 See ei kehti isikuandmete kohta, mida BlinkFix töötleb vastutava töötlejana, mida on kirjeldatud dokumendis Privaatsuspoliitika. BlinkFix on vastutav töötleja näiteks järgmiste andmete puhul: (a) BlinkFixi kontod; (b) kliendi tellimused ja maksed; (c) arveldamine, rahakotid, väljamaksed ja väljavõtted; (d) tellimuse tarneteave (nimi, aadress, telefoninumber, tarnemoodus) ja tarnete kirjed, sealhulgas tarneettevõte poolt teostatud tarned; (e) tarnija tellimus, sealhulgas ostja tarneteave; (f) sõiduki tagatisraha, sealhulgas nõuded, fotod ja BlinkFixi otsused; (g) piiratud teave, mida BlinkFix annab kanalipartnerile tema poolt tutvustatud kontode kohta; (h) ettevõtte enda kontroll tarneettevõte poolt heakskiitmiseks üles laaditud dokumentide üle. Kui BlinkFix edastab selliseid andmeid tarnijale, tarneettevõte-le või kanalipartnerile, et see saaks oma osa täita, saab see ettevõte need andmed eraldiseisva vastutava töötlejana ainult sel eesmärgil, nagu on sätestatud dokumendis Laevastiku tingimused, dokumendi Enterprise'i tingimused jaotises 16 ja dokumendis Kanalipartneri tingimused.

1.4 „Ühendkuningriigi isikuandmete kaitse üldmäärus“, „EL-i isikuandmete kaitse üldmäärus“ (määrus (EL) 2016/679), „andmekaitseseadused“, „isikuandmed“, „töötlemine“, „vastutav töötleja“, „volitatud töötleja“, „andmesubjekt“, „isikuandmetega seotud rikkumine“ ja „järelevalveasutus“ omavad tähendusi, mis on sätestatud Ühendkuningriigi isikuandmete kaitse üldmääruses, 2018. aasta andmekaitseseaduses ja, kui see kohaldub, EL-i isikuandmete kaitse üldmääruses.

2. Töötlemise üksikasjad

3. Vastutava töötleja juhised

3.1 BlinkFix töötleb kliendi isikuandmeid ainult kliendi dokumenteeritud juhiste alusel, sealhulgas seoses rahvusvaheliste edastamistega, välja arvatud juhul, kui Ühendkuningriigi või EL-i õigus nõuab teisiti, mil juhul BlinkFix teavitab klienti enne töötlemist, kui see õigus seda ei keela.

3.2 Leping, käesolev DPA ning kliendi poolt teenuse kasutamine ja konfigureerimine (sealhulgas seaded, integratsioonid ja selle adminide tegevused) on kliendi täielikud juhised. Edasised juhised peavad olema kirjalikud ja kooskõlas Lepinguga.

3.3 BlinkFix teavitab klienti viivitamata, kui tema arvates juhis rikub andmekaitsealaseid õigusakte.

3.4 Klient vastutab oma juhitud töötlemise seaduslikkuse, seadusliku aluse olemasolu ja andmesubjektidele nõutava teabe andmise eest.

4. Konfidentsiaalsus

BlinkFix tagab, et kõik, keda ta volitab kliendi isikuandmeid töötlema, on seotud konfidentsiaalsuskohustusega ja pääsevad neile ligi ainult teenuse osutamiseks, kliendi abistamiseks tema soovil, aruannete ja väärkasutuse käsitlemiseks või seaduse järgimiseks.

5. Turvalisus

BlinkFix rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid kliendi isikuandmete kaitsmiseks (Ühendkuningriigi/EL-i GDPR-i artikkel 32), sealhulgas:

• krüpteerimine edastamisel (TLS) kogu liikluse jaoks ning krüpteerimine puhkeolekus, mida pakuvad Google Cloud (meie serverid ja andmebaasikettad) ja Cloudflare (failid ja varukoopiad);
• paroolid ja PIN-koodid, mida hoitakse ainult rävidena; integratsioonide saladused, mida hoitakse krüpteeritult; API-võtmed, mis on piiratud ja tühistatavad; veebikonksud, mis on allkirjastatud;
• ligipääsukontroll vastavalt kohale ja rollile; töötajate ligipääs tootmisandmetele, mis on piiratud inimestega, kes seda vajavad; töötajate ligipääsu logimine tundlikele üksustele;
• klientide andmete eraldamine organisatsiooni järgi rakenduses;
• kiiruse piiramine ja kaitse väärkasutuse eest;
• meie andmebaasi igapäevased varukoopiad koos pidevate muudatuste logidega, mida hoitakse eraldi varukoopiate hoidlas 7 päeva, ning protsess nende taastamiseks;
• meetmete regulaarne ülevaatamine teenuse muutudes.

Klient vastutab oma turvalisuse eest, sealhulgas koha haldamise, mandaatide ja API-võtmete saladuses hoidmise ning ühendatavate süsteemide turvamise eest.

6. Volitatud töötlejad

6.1 Klient annab BlinkFix-ile üldise volituse kaasata volitatud töötlejaid, kes on loetletud Volitatud töötlejad nimekirjas.

6.2 BlinkFix annab kliendile vähemalt 30 päeva ette teada uuest või asendatavast volitatud töötlejast, uuendades nimekirja ja saates e-kirja kliendi adminidele või konto omanikele. Klient võib selle perioodi jooksul esitada põhjendatud andmekaitsealase vastuväite. Pooled arutavad vastuväidet heas usus; kui seda ei õnnestu lahendada, võib klient lõpetada mõjutatud teenuse ja saada ettemakstud tasude tagastuse järelejäänud perioodi eest.

6.3 BlinkFix kehtestab igale volitatud töötlejale andmekaitsekohustused, mis ei ole vähem kaitsvad kui käesolev DPA, ja jääb vastutavaks nende performance-i eest.

7. Rahvusvahelised edastamised

7.1 BlinkFix-i peamine majutus, sealhulgas selle andmebaas, asub Google Cloud-is Frankfurdis, Saksamaal (EL). Andmebaasi varukoopiaid hoitakse Cloudflare R2-s. BlinkFix-i meiliserver asub Kanadas. Mõned volitatud töötlejad, sealhulgas AI-teenus, töötlevad andmeid USA-s või mujal, nagu on näidatud nimekirjas.

7.2 Kui kliendi isikuandmeid edastatakse väljapoole Ühendkuningriiki või EMP-d riiki, millel ei ole piisava kaitse taseme otsust, tagab BlinkFix asjakohased kaitsemeetmed: EL-i ja USA andmekaitseraamistik ning selle Ühendkuningriigi laiendus sertifitseeritud saajatele või Euroopa Komisjoni standardsed lepingutingimused (otsus 2021/914, moodul 3 töötlejalt töötlejale või moodul 2 vastavalt vajadusele) koos Ühendkuningriigi rahvusvahelise andmeedastuse lisaga, koos edastamise riskihindamise ja vajaduse korral täiendavate meetmetega. Edastamine riiki, millel on piisava kaitse taseme otsus, näiteks Kanada äriorganisatsioonide puhul, tugineb sellele otsusele.

7.3 Kui Klient asub EMP-s ja BlinkFix (Ühendkuningriigis) saab Kliendi isikuandmeid, hõlmab edastamist Euroopa Komisjoni Ühendkuningriiki käsitlev otsus andmekaitse piisavuse kohta. Kui see otsus lõpeb, kohaldatakse standardseid andmekaitseklausleid (moodul 2, vastutav töötleja volitatud töötlejale), mis on viitena lisatud, kusjuures nende suhtes on valitud Iirimaa õigus ja kohtud ning pädeva asutusena Kliendi järelevalveasutus.

7.4 Kliendid väljaspool Ühendkuningriiki ja EMP-d. Kui Klient asub väljaspool Ühendkuningriiki ja EMP-d (näiteks Araabia Ühendemiraatides või USA-s) ja tema õigusaktid piiravad isikuandmete edastamist Ühendkuningriiki või alamvolitatud töötlejate loetelus nimetatud riikidesse, tuginevad pooled käesolevale DPA-le ja juhul, kui nimetatud õigusaktid nõuavad enamat, punktides 7.2 ja 7.3 nimetatud standardklauslitele ja lisale, mille kohaldamises pooled lepivad kokku niivõrd, kuivõrd nimetatud õigusaktid seda lubavad.

8. Abi

8.1 Andmesubjektide taotlused. BlinkFix aitab Kliendil töötluse laadi arvesse võttes vastata andmesubjektide taotlustele (juurdepääs, parandamine, kustutamine, piiramine, ülekandmine, vastuväide), peamiselt teenuse funktsioonide kaudu (adminid saavad andmeid vaadata, muuta, eksportida ja eemaldada). Kui BlinkFix saab taotluse otse, suunab ta isiku Kliendi juurde ega vasta ise, välja arvatud juhul, kui Klient seda palub.

8.2 Mõjuhinnangud ja konsultatsioon. BlinkFix annab mõistlikku teavet, et aidata Klienti andmekaitsealaste mõjuhinnangute ja järelevalveasutusega eelneva konsulteerimise korral.

9. Isikuandmetega seotud rikkumised

BlinkFix teavitab Klienti põhjendamatu viivituseta ja igal juhul 48 tunni jooksul pärast seda, kui on saanud teada Kliendi isikuandmeid mõjutavast isikuandmetega seotud rikkumisest, esitades teabe, mida Klient mõistlikult vajab oma kohustuste täitmiseks (rikkumise laad, kategooriad ja ligikaudne arv, tõenäolised tagajärjed, võetud või kavandatud meetmed ja kontaktpunkt), ning ajakohastab seda teabe täienemisel. BlinkFix võtab mõistlikke meetmeid rikkumise piiramiseks ja kõrvaldamiseks. Teavitamine ei ole süü tunnistamine.

10. Auditid

BlinkFix teeb kättesaadavaks teabe, mis on mõistlikult vajalik käesoleva DPA ja artikli 28 järgimise tõendamiseks, sealhulgas kirjalikud vastused turvaküsimustikele kord aastas. Kui sellest ei piisa või järelevalveasutus seda nõuab, võib Klient läbi viia auditi (ise või konfidentsiaalsuskohustusega sõltumatu audiitori kaudu) vähemalt 30-päevase etteteatamisega, tööajal, maksimaalselt kord aastas, oma kulul ja ilma juurdepääsuta teiste klientide andmetele.

11. Kustutamine ja tagastamine

11.1 Lepingu kehtivuse ajal saavad adminid Kliendi isikuandmeid kustutada ja eksportida (CSV- ja JSON-eksport ning API kaudu).

11.2 Kui Leping lõpeb, on Kliendil 30 päeva aega oma andmete eksportimiseks. Seejärel kustutab BlinkFix Kliendi isikuandmed 30 päeva jooksul, sealhulgas aktiivsetest süsteemidest, välja arvatud juhul, kui Ühendkuningriigi või EL-i õigus nõuab nende säilitamist. Varukoopiaid säilitatakse 7 päeva ja seejärel kustutatakse need tavapärase tsükli kohaselt ning neid ei taastata, välja arvatud avariitaaste korral. Taotluse korral kinnitab BlinkFix kustutamist kirjalikult.

11.3 BlinkFixi ettevõtete andmed, nende tellimused ja nende töötajate isiklikud BlinkFixi kontod ei ole ettevõtte kliendi kliendi isikuandmed ning nende suhtes kehtivad jätkuvalt Kaupmehe tingimused ja Privaatsuspoliitika.

12. Vastutus ja ülimuslikkus

12.1 Kummagi poole vastutus käesoleva DPA alusel on piiratud Lepingu piirmääradega.

12.2 Kui käesolev DPA on Lepinguga vastuolus, on Kliendi isikuandmete töötlemisel ülimuslik käesolev DPA. Kui standardsed andmekaitseklauslid või Ühendkuningriigi lisa on kohaldatavad ja on vastuolus käesoleva DPA-ga, on need ülimuslikud.

12.3 Käesolevat DPA-d reguleerib õigus, mis reguleerib Lepingut.

13. Kontakt

Privaatsus ja andmekaitse: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Ühendkuningriik.

Registreerimine Ühendkuningriigi Information Commissioner's Office'is: taotletud (taotlus C2042936).

EL-i esindaja (GDPR-i art 27)

BlinkFixi esindaja Euroopa Liidus vastavalt EL-i GDPR-i artiklile 27 on Michał Michalek, Poola (postiaadress taotluse korral aadressil [email protected]), [email protected], +48 505 643 432. EL-i andmesubjektid ja järelevalveasutused võivad esindajaga ühendust võtta seoses BlinkFixi töötlemisega, sealhulgas käesoleva DPA alusel toimuva töötlemisega.

14. Teiste riikide õigusaktid

14.1 EMP. Kui Klient asub Islandil, Liechtensteinis või Norras, kohaldatakse käesolevat DPA-d samamoodi nagu EL-i puhul ja "EL-i GDPR" hõlmab GDPR-i sellisena, nagu seda kohaldatakse EMP-s.

14.2 Araabia Ühendemiraadid. Kui Kliendi isikuandmete suhtes kohaldatakse AÜE 2021. aasta föderaalset dekreetseadust nr 45 isikuandmete kaitse kohta, on Klient vastutav töötleja ja BlinkFix on tema volitatud töötleja ning punktid 3–11 on BlinkFixi kui volitatud töötleja kohustused nimetatud seaduse alusel. Kui kohaldatakse Dubai rahvusvahelise finantskeskuse või Abu Dhabi globaalse turu andmekaitseseadust, kehtib sama nimetatud seaduse alusel. Pooled tuginevad käesolevale DPA-le ja punktile 7 mis tahes AÜE-st väljapoole edastamise korral.

14.3 Ameerika Ühendriigid. Kui Kliendi isikuandmete suhtes kohaldatakse USA osariigi privaatsusseadust (näiteks California tarbijate privaatsuse seadus, mida on muudetud California privaatsusõiguste seadusega), on BlinkFix Kliendi teenusepakkuja või volitatud töötleja ning: (a) BlinkFix töötleb Kliendi isikuandmeid ainult jaotises 2 sätestatud eesmärkidel ja Kliendi juhiste kohaselt; (b) BlinkFix ei müü ega jaga neid (nagu seadus neid sõnu määratleb); (c) BlinkFix ei säilita, kasuta ega avalda neid ühelgi muul eesmärgil ega väljaspool oma otsest ärisuhet Kliendiga; (d) BlinkFix ei kombineeri neid isikuandmetega, mida ta saab muudest allikatest või kogub ise, välja arvatud juhul, kui seadus seda lubab; (e) BlinkFix järgib seda seadust ja tagab samaväärse privaatsuskaitse taseme; (f) Klient võib võtta mõistlikke meetmeid (sealhulgas jaotise 10 alusel), et veenduda, et BlinkFix kasutab andmeid vastavalt käesolevale DPA-le, ning peatada ja heastada volitamata kasutamist; (g) BlinkFix teavitab Klienti 5 tööpäeva jooksul, kui ta ei suuda enam täita oma kohustusi vastavalt sellele seadusele.

14.4 Kui kohaldatakse mõne teise riigi andmekaitseõigust ja see nõuab enamat kui käesolev DPA, lepivad pooled heas usus kokku, mida lisada.