Henkilötietojen käsittelysopimus
Kuinka BlinkFix käsittelee henkilötietoja Enterprise-organisaatioiden, toimittajien, kuljetusyritysten ja toimipaikkojen puolesta.
Tämä on käännös. Englanninkielinen versio on sitova. Lue englanninkielinen versio
Sisällys
1. Osapuolet ja soveltamisala
1.1 Tämä Henkilötietojen käsittelysopimus ("DPA") on tehty BlinkFix Ltd:n (y-tunnus 13505930), 27 Old Gloucester Street, London WC1N 3AX, Yhdistynyt kuningaskunta ("BlinkFix", "käsittelijä"), sekä sen organisaation, toimittajan tai kuljetusyrityksen välillä, joka on hyväksynyt Enterprise-ehdot, tai sen yrityksen välillä, joka on hyväksynyt Kauppiaiden ehdot ("asiakas", "rekisterinpitäjä").
1.2 Sitä sovelletaan henkilötietoihin, joita BlinkFix käsittelee asiakkaan puolesta tarjotessaan BlinkFix Enterprise -palvelua tai toimipaikan henkilökunta- ja integraatiotyökaluja ("asiakkaan henkilötiedot"). Se on osa dokumenttia Enterprise-ehdot tai dokumenttia Kauppiaiden ehdot ("sopimus"), ja se hyväksytään niiden yhteydessä.
1.3 Sitä ei sovelleta henkilötietoihin, joita BlinkFix käsittelee rekisterinpitäjänä, mikä on kuvattu Tietosuojakäytäntö. BlinkFix on rekisterinpitäjä esimerkiksi seuraavissa: (a) BlinkFix-tilit; (b) asiakkaiden tilaukset ja maksut; (c) laskutus, lompakot, tilitykset ja tiliotteet; (d) tilauksen toimitustiedot (nimi, osoite, puhelinnumero, toimituskoodi) ja toimitusraportit, mukaan lukien kuljetusyrityksen tekemät toimitukset; (e) toimittajatilaus, mukaan lukien ostajan toimitustiedot; (f) autotalletukset, mukaan lukien vaatimukset, valokuvat ja BlinkFixin päätökset; (g) rajoitetut tiedot, jotka BlinkFix antaa Kanavakumppaniehdot sen tuomista tileistä; (h) oma tarkistuksemme asiakirjoista, jotka kuljetusyritys lataa tullakseen hyväksytyksi. Kun BlinkFix antaa tällaisia tietoja toimittajalle, kuljetusyritykselle tai kanavakumppanille, jotta se voi hoitaa oman osuutensa, kyseinen yritys vastaanottaa ne erillisenä rekisterinpitäjänä vain kyseistä tarkoitusta varten, kuten Kuljetusliikkeen ehdot, Enterprise-ehdot kohta 16 ja kanavakumppaniehdot määrittelevät.
1.4 "UK GDPR", "EU GDPR" (asetus (EU) 2016/679), "tietosuojalait", "henkilötiedot", "käsittely", "rekisterinpitäjä", "käsittelijä", "rekisteröity", "henkilötietojen tietoturvaloukkaus" ja "valvontaviranomainen" tarkoittavat samaa kuin UK GDPR:ssä, vuoden 2018 tietosuojalaissa (Data Protection Act 2018) ja soveltuvin osin EU GDPR:ssä.
2. Käsittelyn yksityiskohdat
| Kohta | Kuvaus |
|---|---|
| Käsittelyn kohde | BlinkFix Enterprisen ja henkilöstö-/integraatiotyökalujen tarjoaminen sopimuksen mukaisesti |
| Kesto | Sopimuksen voimassaoloaika sekä kohdassa 11 mainittu poistamisjakso |
| Luonne ja tarkoitus | Isännöinti, tallennus, järjestäminen, näyttäminen, välittäminen (chat, broadcast-viestit, ilmoitukset, webhookit ja käyttöön ottamasi integraatiot), laskenta (tunnit, bonukset, maksut, myynti), vienti ja tekoälyllä tapahtuva käsittely, kun käyttöoikeuden haltija käyttää tekoälyavustajaa tai tuo ruokalista- tai tuoteluettelon. Kuljetusyrityksen osalta: kuljettajien asiakirjojen ja työvuorotietojen tallentaminen sekä muistuttaminen ennen asiakirjan vanhenemista. Toimittajan osalta: tuotteiden, tilausten ja laskujen tallentaminen |
| Rekisteröityjen ryhmät | Asiakkaan paikkojen haltijat, esihenkilöt ja henkilöstö; Asiakkaan organisaatioon kuuluvien toimipaikkojen henkilöstö; franchising-yrittäjät ja heidän yhteyshenkilönsä; Asiakkaan liikekumppanit ja tavarantoimittajat; Asiakkaan toimipaikkojen asiakkaat, jos Asiakas ottaa käyttöön yhteystietojen synkronoinnin tai viennin; kuljetusyrityksen osalta sen kuljettajat ja lähettäjät; tavarantoimittajan osalta sen henkilöstö |
| Henkilötietoryhmät | Nimet, työsähköpostiosoitteet, puhelinnumerot, tehtävänimikkeet ja roolit, toimipaikka- ja aluejaot, työajat sekä leimaukset ja niiden korjaukset, toimipaikan tabletin käyttöoikeudet, bonukset ja bonusmaksut, viestit, tiedostot ja asiakirjojen hyväksynnät, lokitiedot pääsystä, push-tunnisteet ja laitenimet, tuotujen yhteystietojen tiedot sekä asiakkaan nimi, sähköpostiosoite ja puhelinnumero, jos yhteystietojen synkronointi on käytössä; kuljetusyrityksen osalta kuljettajien nimet ja yhteystiedot, ajokortti-, vakuutus- ja lupatiedot, ajoneuvotiedot, työvuorot ja työajat; tavarantoimittajan osalta sen henkilöstön nimet ja työsähköpostiosoitteet sekä sen syöttämät tuote- ja laskutustiedot |
| Erityiset henkilötietoryhmät | Ei tarkoitettu käsiteltäväksi. Asiakas ei saa syöttää Enterprise-palveluun erityisiä henkilötietoryhmiä (esimerkiksi terveystietoja), ellei se ole ehdottoman välttämätöntä ja lainmukaista |
| Tiheys | Jatkuva |
3. Rekisterinpitäjän ohjeet
3.1 BlinkFix käsittelee Asiakkaan henkilötietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti, mukaan lukien kansainväliset siirrot, ellei Yhdistyneen kuningaskunnan tai EU:n lainsäädäntö toisin vaadi. Tällöin BlinkFix ilmoittaa asiasta Asiakkaalle ennen käsittelyä, ellei kyseinen lainsäädäntö sitä kiellä.
3.2 Sopimus, tämä DPA sekä Asiakkaan palvelun käyttö ja määritykset (mukaan lukien asetukset, integraatiot ja sen ylläpitäjien toimet) muodostavat Asiakkaan täydelliset ohjeet. Muiden ohjeiden on oltava kirjallisia ja Sopimuksen mukaisia.
3.3 BlinkFix ilmoittaa Asiakkaalle viipymättä, jos se katsoo, että jokin ohje rikkoo tietosuojalainsäädäntöä.
3.4 Asiakas vastaa antamiensa käsittelyohjeiden lainmukaisuudesta, käsittelyn oikeusperusteesta sekä rekisteröidyille annettavista lakisääteisistä tiedoista.
4. Luottamuksellisuus
BlinkFix varmistaa, että jokainen, jolla on valtuutus käsitellä Asiakkaan henkilötietoja, on sitoutunut luottamuksellisuuteen ja käyttää tietoja vain palvelun tarjoamiseksi, Asiakkaan pyynnöstä tapahtuvan tuen antamiseksi, raporttien ja väärinkäytösten käsittelemiseksi tai lain noudattamiseksi.
5. Tietoturva
BlinkFix toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet Asiakkaan henkilötietojen suojaamiseksi (UK/EU GDPR:n 32 artikla), mukaan lukien:
- siirron aikainen salaus (TLS) kaikelle liikenteelle sekä Google Cloudin (palvelimemme ja tietokantalevymme) ja Cloudflaren (tiedostot ja varmuuskopiot) tarjoama lepotilassa oleva salaus;
- salasanat ja PIN-koodit tallennetaan vain tiivisteinä; integraatioiden salaisuudet tallennetaan salattuina; API-avaimet on rajattu ja ne ovat kumottavissa; webhookit on allekirjoitettu;
- pääsynhallinta paikan ja roolin mukaan; henkilöstön pääsy tuotantotietoihin on rajoitettu vain niihin, jotka sitä tarvitsevat; henkilöstön pääsyä arkaluonteisiin kohteisiin valvotaan lokitiedoilla;
- asiakkaiden tietojen erottelu organisaatioittain sovelluksessa;
- nopeusrajoitukset ja suojaus väärinkäytöksiä vastaan;
- tietokantamme päivittäiset varmuuskopiot jatkuvilla muutoslokeilla, joita säilytetään erillisessä varmuuskopiotallennustilassa 7 päivän ajan, sekä prosessi niiden palauttamiseksi;
- toimenpiteiden säännöllinen tarkistaminen palvelun muuttuessa.
Asiakas vastaa omasta tietoturvastaan, mukaan lukien paikkojen hallinta, kirjautumistietojen ja API-avainten pitäminen salassa sekä yhdistämiensä järjestelmien suojaaminen.
6. Alikäsittelijät
6.1 Asiakas antaa BlinkFixille yleisen valtuutuksen käyttää Alikäsittelijät -luettelossa mainittuja alikäsittelijöitä.
6.2 BlinkFix ilmoittaa Asiakkaalle vähintään 30 päivää etukäteen uudesta tai korvaavasta alikäsittelijästä päivittämällä luettelon ja lähettämällä sähköpostia Asiakkaan ylläpitäjille tai tilin omistajille. Asiakas voi vastustaa muutosta perustelluista tietosuojasyistä kyseisen ajanjakson aikana. Osapuolet keskustelevat vastalauseesta hyvässä uskossa; jos asiaa ei voida ratkaista, Asiakas voi päättää kyseisen palvelun ja saada hyvityksen ennakkoon maksetuista maksuista jäljellä olevalta ajalta.
6.3 BlinkFix asettaa jokaiselle alikäsittelijälle tietosuojaa koskevat velvoitteet, jotka eivät ole tätä DPA:ta heikompia, ja vastaa edelleen niiden suoriutumisesta.
7. Kansainväliset siirrot
7.1 BlinkFixin pääasiallinen isännöinti, mukaan lukien tietokanta, sijaitsee Google Cloudissa Frankfurtissa, Saksassa (EU). Tietokannan varmuuskopiot säilytetään Cloudflare R2:ssa. BlinkFixin sähköpostipalvelin sijaitsee Kanadassa. Jotkut alikäsittelijät, mukaan lukien tekoälypalvelu, käsittelevät tietoja Yhdysvalloissa tai muualla, kuten luettelossa on esitetty.
7.2 Kun asiakkaan henkilötietoja siirretään Yhdistyneen kuningaskunnan tai ETA-alueen ulkopuolelle maahan, jota koskee tietosuojan riittävyyttä koskeva päätös, BlinkFix varmistaa asianmukaiset suojatoimet: EU–US Data Privacy Framework -järjestelyn ja sen Yhdistyneen kuningaskunnan laajennuksen sertifioiduille vastaanottajille tai Euroopan komission vakiosopimuslausekkeet (päätös 2021/914, moduuli 3 rekisterinpitäjästä rekisterinpitäjälle tai moduuli 2 soveltuvin osin) yhdessä Yhdistyneen kuningaskunnan kansainvälistä tiedonsiirtoa koskevan lisäyksen (UK International Data Transfer Addendum) kanssa, sekä tarvittaessa siirron riskiarvioinnin ja täydentävät toimenpiteet. Siirto maahan, jota koskee tietosuojan riittävyyttä koskeva päätös, kuten kaupallisten organisaatioiden osalta Kanada, perustuu kyseiseen päätökseen.
7.3 Kun asiakas on ETA-alueella ja BlinkFix (Yhdistyneessä kuningaskunnassa) vastaanottaa asiakkaan henkilötietoja, siirto kuuluu Euroopan komission Yhdistyneen kuningaskunnan osalta tekemän tietosuojan riittävyyttä koskevan päätöksen piiriin. Jos kyseinen päätös päättyy, sovelletaan vakiosopimuslausekkeita (moduuli 2, rekisterinpitäjästä henkilötietojen käsittelijälle), jotka sisällytetään sopimukseen viittauksella, ja niihin valitaan sovellettavaksi Irlannin laki ja tuomioistuimet, ja toimivaltaiseksi viranomaiseksi asiakkaan valvontaviranomainen.
7.4 Asiakkaat Yhdistyneen kuningaskunnan ja ETA-alueen ulkopuolella. Kun asiakas on Yhdistyneen kuningaskunnan ja ETA-alueen ulkopuolella (esimerkiksi Arabiemiirikunnissa tai Yhdysvalloissa) ja sen lainsäädäntö rajoittaa henkilötietojen siirtämistä Yhdistyneeseen kuningaskuntaan tai alikäsittelijöiden luettelossa mainittuihin maihin, osapuolet tukeutuvat tähän tietojenkäsittelysopimukseen (DPA) ja, jos kyseinen laki vaatii enemmän, kohdissa 7.2 ja 7.3 mainittuihin vakiolausekkeisiin ja lisäykseen, joiden osapuolet sopivat soveltuvan siltä osin kuin kyseinen laki sallii.
8. Avustaminen
8.1 Rekisteröityjen pyynnöt. BlinkFix auttaa asiakasta vastaamaan rekisteröityjen pyyntöihin (pääsy, oikaisu, poistaminen, rajoittaminen, siirrettävyys, vastustaminen) ottaen huomioon käsittelyn luonteen, pääasiassa palvelun ominaisuuksien kautta (ylläpitäjät voivat tarkastella, muokata, viedä ja poistaa tietoja). Jos BlinkFix vastaanottaa pyynnön suoraan, se ohjaa henkilön asiakkaan puoleen eikä vastaa itse, ellei asiakas sitä pyydä.
8.2 Vaikutustenarvioinnit ja kuuleminen. BlinkFix tarjoaa kohtuulliset tiedot auttaakseen asiakasta tietosuojaa koskevissa vaikutustenarvioinneissa ja ennakkokuulemisessa valvontaviranomaisen kanssa.
9. Henkilötietojen tietoturvaloukkaukset
BlinkFix ilmoittaa asiakkaalle ilman aiheetonta viivytystä ja joka tapauksessa 48 tunnin kuluessa siitä, kun se on tullut tietoonsa asiakkaan henkilötietoja koskevasta tietoturvaloukkauksesta, toimittaen tiedot, joita asiakas kohtuudella tarvitsee velvollisuuksiensa täyttämiseksi (loukkauksen luonne, luokat ja arvioidut määrät, todennäköiset seuraukset, toteutetut tai ehdotetut toimenpiteet sekä yhteyspiste), ja päivittää tietoja sitä mukaa kuin niitä tulee lisää. BlinkFix toteuttaa kohtuulliset toimenpiteet loukkauksen rajoittamiseksi ja korjaamiseksi. Ilmoitus ei ole virheen myöntäminen.
10. Tarkastukset
BlinkFix asettaa saataville tiedot, jotka ovat kohtuudella tarpeen tämän DPA-sopimuksen ja 28 artiklan noudattamisen osoittamiseksi, mukaan lukien kirjalliset vastaukset tietoturvakyselyihin kerran vuodessa. Jos tämä ei riitä tai valvontaviranomainen sitä vaatii, asiakas voi suorittaa tarkastuksen (itse tai luottamuksellisuuteen sitoutuneen riippumattoman tilintarkastajan välityksellä) vähintään 30 päivän ilmoituksella, työaikana, enintään kerran vuodessa, omalla kustannuksellaan ja ilman pääsyä muiden asiakkaiden tietoihin.
11. Poistaminen ja palauttaminen
11.1 Sopimuksen aikana ylläpitäjät voivat poistaa asiakkaan henkilötietoja ja viedä niitä (CSV- ja JSON-vienti sekä API:n kautta).
11.2 Kun sopimus päättyy, asiakkaalla on 30 päivää aikaa viedä tietonsa. BlinkFix poistaa tämän jälkeen asiakkaan henkilötiedot 30 päivän kuluessa, mukaan lukien aktiivisista järjestelmistä, ellei Yhdistyneen kuningaskunnan tai EU:n laki vaadi niiden säilyttämistä. Varmuuskopioita säilytetään 7 päivää, minkä jälkeen ne poistetaan normaalin syklin mukaisesti, eikä niitä palauteta paitsi katastrofipalautusta varten. Pyynnöstä BlinkFix vahvistaa poistamisen kirjallisesti.
11.3 Tiedot BlinkFix-alustan toimipisteistä, niiden tilauksista ja henkilökunnan henkilökohtaisista BlinkFix-tileistä eivät ole Enterprise-asiakkaan asiakkaan henkilötietoja, ja niihin sovelletaan edelleen Kauppiaiden ehdot ja Tietosuojakäytäntö.
12. Vastuu ja etusijajärjestys
12.1 Kummankin osapuolen vastuu tämän DPA-sopimuksen nojalla on sopimuksessa asetettujen rajoitusten alainen.
12.2 Jos tämä DPA-sopimus on ristiriidassa sopimuksen kanssa, tämä DPA-sopimus on ensisijainen asiakkaan henkilötietojen käsittelyn osalta. Jos vakiosopimuslausekkeet tai Yhdistyneen kuningaskunnan lisäys soveltuvat ja ovat ristiriidassa tämän DPA-sopimuksen kanssa, ne ovat ensisijaisia.
12.3 Tähän DPA-sopimukseen sovelletaan lakia, joka säätelee sopimusta.
13. Yhteystiedot
Yksityisyys ja tietosuoja: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, United Kingdom.
Rekisteröinti Yhdistyneen kuningaskunnan tietosuojavaltuutetun toimistossa (Information Commissioner's Office): haettu (hakemus C2042936).
EU-edustaja (GDPR 27 artikla)
BlinkFixin edustaja Euroopan unionissa EU:n yleisen tietosuoja-asetuksen (GDPR) 27 artiklan mukaisesti on Michał Michalek, Puola (postiosoite pyydettäessä osoitteesta [email protected]), [email protected], +48 505 643 432. EU:n rekisteröidyt ja valvontaviranomaiset voivat ottaa yhteyttä edustajaan BlinkFixin käsittelyyn liittyen, mukaan lukien tämän DPA-sopimuksen mukainen käsittely.
14. Muiden maiden lait
14.1 ETA. Jos asiakas on Islannissa, Liechtensteinissa tai Norjassa, tätä tietojenkäsittelysopimusta (DPA) sovelletaan samalla tavalla kuin EU:ssa, ja "EU GDPR" sisältää GDPR:n sellaisena kuin sitä sovelletaan ETA-alueella.
14.2 Yhdistyneet arabiemiirikunnat. Jos Yhdistyneiden arabiemiirikuntien liittovaltion asetuslaki nro 45/2021 henkilötietojen suojasta soveltuu asiakkaan henkilötietoihin, asiakas on rekisterinpitäjä ja BlinkFix on sen henkilötietojen käsittelijä, ja kohdat 3–11 määrittelevät BlinkFixin velvollisuudet käsittelijänä kyseisen lain nojalla. Sama pätee Dubain kansainvälisen finanssikeskuksen (DIFC) tai Abu Dhabin globaalin markkinan (ADGM) tietosuojalain soveltuessa. Osapuolet tukeutuvat tähän DPA-sopimukseen ja kohtaan 7 kaikissa Yhdistyneiden arabiemiirikuntien ulkopuolelle tapahtuvissa siirroissa.
14.3 Yhdysvallat. Jos Yhdysvaltain osavaltion tietosuojalakia sovelletaan asiakkaan henkilötietoihin (esimerkiksi Kalifornian kuluttajansuojalaki (CCPA) sellaisena kuin se on muutettuna Kalifornian yksityisyydensuojalailla (CPRA)), BlinkFix on asiakkaan palveluntarjoaja tai käsittelijä, ja: (a) BlinkFix käsittelee asiakkaan henkilötietoja vain kohdassa 2 määriteltyihin tarkoituksiin ja asiakkaan ohjeiden mukaisesti; (b) BlinkFix ei myy tai jaa niitä (lain kyseisille sanoille antaman määritelmän mukaisesti); (c) BlinkFix ei säilytä, käytä tai luovuta niitä mihinkään muuhun tarkoitukseen tai asiakkaan kanssa olevan suoran liikesuhteen ulkopuolella; (d) BlinkFix ei yhdistä niitä henkilötietoihin, joita se saa muista lähteistä tai kerää itse, paitsi lain salliessa; (e) BlinkFix noudattaa kyseistä lakia ja tarjoaa saman tasoisen tietosuojan; (f) asiakas voi ryhtyä kohtuullisiin toimenpiteisiin (mukaan lukien kohdan 10 mukaisesti) varmistaakseen, että BlinkFix käyttää tietoja tämän DPA-sopimuksen mukaisesti, sekä estääkseen ja korjatakseen luvattoman käytön; (g) BlinkFix ilmoittaa asiakkaalle 5 arkipäivän kuluessa, jos se ei enää pysty täyttämään kyseisen lain mukaisia velvollisuuksiaan.
14.4 Jos toisen maan tietosuojalakia sovelletaan ja se vaatii enemmän kuin tämä DPA, osapuolet sopivat hyvässä uskossa siitä, mitä lisätään.