Accord sur le traitement des données

1. Parties et champ d'application

1.1 Cet Accord sur le traitement des données (« DPA ») est conclu entre BlinkFix Ltd (numéro de société 13505930), 27 Old Gloucester Street, London WC1N 3AX, Royaume-Uni (« BlinkFix », le « Sous-traitant »), et l'organisation, le fournisseur ou la société de livraison ayant accepté les Conditions Enterprise, ou l'entreprise ayant accepté les Conditions Marchand (le « Client », le « Responsable du traitement »).

1.2 Il s'applique aux données à caractère personnel que BlinkFix traite pour le compte du Client dans le cadre de la fourniture de BlinkFix Enterprise ou des outils de Personnel et d'intégrations d'un établissement (les « Données à caractère personnel du Client »). Il fait partie intégrante des Conditions Enterprise ou des Conditions Marchand (l'« Accord »), et est accepté conjointement avec ceux-ci.

1.3 Il ne s'applique pas aux données à caractère personnel que BlinkFix traite en tant que responsable du traitement, ce qui est décrit dans la Politique de confidentialité. BlinkFix est responsable du traitement, par exemple, de : (a) comptes BlinkFix ; (b) commandes et paiements des clients ; (c) facturation, Portefeuilles, versements et relevés ; (d) détails de livraison d'une commande (nom, adresse, téléphone, code de livraison) et enregistrements des livraisons, y compris les livraisons effectuées par une société de livraison ; (e) une commande de fournisseur, y compris les détails de livraison de l'acheteur ; (f) dépôts de garantie pour véhicules, y compris les réclamations, photos et décisions de BlinkFix ; (g) les informations limitées que BlinkFix fournit à un partenaire de canal concernant les comptes qu'il a introduits ; (h) sa propre vérification des documents qu'une société de livraison télécharge pour être approuvée. Lorsque BlinkFix transmet de telles données à un fournisseur, une société de livraison ou un partenaire de canal afin qu'il puisse effectuer sa part, cette entreprise les reçoit en tant que responsable du traitement distinct, à cette seule fin, comme le stipulent les Conditions de flotte, la section 16 du document Conditions Enterprise et le document Conditions des partenaires commerciaux.

1.4 « RGPD britannique », « RGPD européen » (Règlement (UE) 2016/679), « Lois sur la protection des données », « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont les significations définies dans le RGPD britannique, le Data Protection Act 2018 et, lorsqu'il s'applique, le RGPD européen.

2. Détails du traitement

3. Instructions du responsable du traitement

3.1 BlinkFix traite les données personnelles du client uniquement sur la base des instructions documentées du client, y compris en ce qui concerne les transferts internationaux, sauf si la législation du Royaume-Uni ou de l'UE l'exige, auquel cas BlinkFix en informe le client avant le traitement, à moins que cette législation ne l'interdise.

3.2 Le contrat, le présent DPA ainsi que l'utilisation et la configuration du service par le client (y compris les paramètres, les intégrations et les actions de ses administrateurs) constituent les instructions complètes du client. Toute instruction supplémentaire doit être formulée par écrit et être conforme au contrat.

3.3 BlinkFix informe le client dans les meilleurs délais si, à son avis, une instruction enfreint les lois sur la protection des données.

3.4 Le client est responsable de la licéité du traitement qu'il ordonne, de disposer d'une base légale et de fournir aux personnes concernées les informations requises.

4. Confidentialité

BlinkFix veille à ce que toute personne autorisée par ses soins à traiter les données personnelles du client soit soumise à une obligation de confidentialité et n'y accède que dans la mesure nécessaire pour fournir le service, assister le client à sa demande, traiter les signalements et les abus, ou se conformer à la loi.

5. Sécurité

BlinkFix met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles du client (article 32 du RGPD du Royaume-Uni/de l'UE), notamment :

• le chiffrement en transit (TLS) pour tout le trafic, et le chiffrement au repos fourni par Google Cloud (nos serveurs et disques de base de données) et Cloudflare (fichiers et sauvegardes) ;
• les mots de passe et codes PIN stockés uniquement sous forme de hachages ; les secrets d'intégration stockés de manière chiffrée ; les clés API limitées et révocables ; les webhooks signés ;
• le contrôle d'accès par siège et par rôle ; l'accès du personnel aux données de production limité aux personnes qui en ont besoin ; la journalisation de l'accès du personnel aux éléments sensibles ;
• la séparation des données des clients par organisation dans l'application ;
• la limitation du débit et la protection contre les abus ;
• des sauvegardes quotidiennes de notre base de données avec des journaux de modifications continus, conservées dans un espace de stockage de sauvegarde séparé pendant 7 jours, et un processus pour les restaurer ;
• un examen régulier des mesures à mesure que le service évolue.

Le client est responsable de sa propre sécurité, y compris de la gestion des sièges, de la confidentialité des identifiants et des clés API, et de la sécurisation des systèmes qu'il connecte.

6. Sous-traitants

6.1 Le client donne à BlinkFix l'autorisation générale de faire appel aux sous-traitants figurant dans la liste Sous-traitants.

6.2 BlinkFix informe le client au moins 30 jours à l'avance de tout nouveau sous-traitant ou de tout remplacement de sous-traitant en mettant à jour la liste et en envoyant un e-mail aux administrateurs ou aux propriétaires de compte du client. Le client peut s'y opposer pour des motifs raisonnables liés à la protection des données au cours de cette période. Les parties discuteront de l'objection de bonne foi ; si elle ne peut être résolue, le client peut mettre fin au service concerné et recevoir un remboursement des frais prépayés pour la période restante.

6.3 BlinkFix impose à chaque sous-traitant des obligations de protection des données qui ne sont pas moins protectrices que le présent DPA et demeure responsable de leur performance.

7. Transferts internationaux

7.1 L'hébergement principal de BlinkFix, y compris sa base de données, est assuré sur Google Cloud à Francfort, en Allemagne (UE). Les sauvegardes de la base de données sont conservées dans Cloudflare R2. Le serveur de messagerie de BlinkFix est situé au Canada. Certains sous-traitants, y compris le service d'IA, traitent des données aux États-Unis ou ailleurs, comme indiqué dans la liste.

7.2 Lorsque les données personnelles du client sont transférées en dehors du Royaume-Uni ou de l'EEE vers un pays ne faisant pas l'objet d'une décision d'adéquation, BlinkFix garantit des garanties appropriées : le cadre de protection des données UE-États-Unis et son extension britannique pour les destinataires certifiés, ou les clauses contractuelles types de la Commission européenne (décision 2021/914, module 3 processeur à processeur ou module 2 le cas échéant) avec l'addendum relatif au transfert international de données du Royaume-Uni, accompagnés d'une évaluation des risques liés au transfert et de mesures supplémentaires si nécessaire. Un transfert vers un pays bénéficiant d'une décision d'adéquation, tel que le Canada pour les organisations commerciales, repose sur cette décision.

7.3 Lorsque le Client se trouve dans l'EEE et que BlinkFix (au Royaume-Uni) reçoit des Données personnelles du Client, le transfert est couvert par la décision d'adéquation de la Commission européenne pour le Royaume-Uni. Si cette décision prend fin, les clauses contractuelles types (module 2, responsable du traitement à sous-traitant) s'appliquent et sont incorporées par référence, avec le droit et les tribunaux irlandais choisis pour celles-ci, et l'autorité de contrôle du Client en tant qu'autorité compétente.

7.4 Clients hors du Royaume-Uni et de l'EEE. Lorsque le Client se trouve hors du Royaume-Uni et de l'EEE (par exemple aux Émirats arabes unis ou aux États-Unis) et que sa législation restreint l'envoi de données personnelles au Royaume-Uni ou vers les pays figurant dans la liste des sous-traitants ultérieurs, les parties s'appuient sur le présent DPA et, lorsque cette législation l'exige, sur les clauses types et l'addendum mentionnés aux points 7.2 et 7.3, dont les parties conviennent qu'ils s'appliquent dans la mesure où cette législation le permet.

8. Assistance

8.1 Demandes des personnes concernées. BlinkFix, en tenant compte de la nature du traitement, aide le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition), principalement par le biais des fonctionnalités du service (les administrateurs peuvent consulter, modifier, exporter et supprimer des données). Si BlinkFix reçoit une demande directement, elle renvoie la personne vers le Client et n'y répond pas elle-même, sauf demande contraire du Client.

8.2 Analyses d'impact et consultation. BlinkFix fournit des informations raisonnables pour aider le Client dans le cadre des analyses d'impact relatives à la protection des données et de la consultation préalable auprès d'une autorité de contrôle.

9. Violations de données personnelles

BlinkFix notifie le Client sans retard injustifié, et en tout état de cause dans les 48 heures, après avoir pris connaissance d'une violation de données personnelles affectant les Données personnelles du Client, avec les informations dont le Client a raisonnablement besoin pour remplir ses obligations (nature de la violation, catégories et nombres approximatifs, conséquences probables, mesures prises ou proposées, et un point de contact), en les mettant à jour au fur et à mesure que de nouvelles informations sont connues. BlinkFix prend des mesures raisonnables pour contenir et remédier à la violation. La notification ne constitue pas une reconnaissance de faute.

10. Audits

BlinkFix met à disposition les informations raisonnablement nécessaires pour démontrer la conformité avec le présent DPA et l'Article 28, y compris des réponses écrites aux questionnaires de sécurité une fois par an. Si cela ne suffit pas, ou si une autorité de contrôle l'exige, le Client peut effectuer un audit (lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité) moyennant un préavis d'au moins 30 jours, pendant les heures ouvrables, au maximum une fois par an, à ses propres frais, et sans accès aux données d'autres clients.

11. Suppression et restitution

11.1 Pendant la durée du Contrat, les administrateurs peuvent supprimer les Données personnelles du Client et les exporter (exportations CSV et JSON, et via l'API).

11.2 À la fin du Contrat, le Client dispose de 30 jours pour exporter ses données. BlinkFix supprime ensuite les Données personnelles du Client dans un délai supplémentaire de 30 jours, y compris des systèmes actifs, sauf si le droit britannique ou européen exige leur conservation. Les sauvegardes sont conservées pendant 7 jours puis supprimées selon leur cycle normal, et ne sont pas restaurées sauf en cas de reprise après sinistre. Sur demande, BlinkFix confirme la suppression par écrit.

11.3 Les données relatives aux établissements sur BlinkFix, à leurs commandes et aux comptes BlinkFix personnels de leur Personnel ne constituent pas des Données personnelles client du Client Enterprise et demeurent régies par le document Conditions Marchand et la Politique de confidentialité.

12. Responsabilité et préséance

12.1 La responsabilité de chaque partie au titre du présent DPA est soumise aux limites prévues dans le Contrat.

12.2 En cas de conflit entre le présent DPA et le Contrat, le présent DPA prévaut pour le traitement des Données personnelles du Client. Si les clauses contractuelles types ou l'Addendum britannique s'appliquent et entrent en conflit avec le présent DPA, elles prévalent.

12.3 Le présent DPA est régi par le droit qui régit le Contrat.

13. Contact

Confidentialité et protection des données : [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Royaume-Uni.

Enregistrement auprès de l'Information Commissioner's Office du Royaume-Uni : demande déposée (référence C2042936).

Représentant dans l'UE (Art. 27 RGPD)

Le représentant de BlinkFix dans l'Union européenne au titre de l'Article 27 du RGPD européen est Michał Michalek, Pologne (adresse postale sur demande à [email protected]), [email protected], +48 505 643 432. Les personnes concernées et les autorités de contrôle de l'UE peuvent contacter le représentant au sujet du traitement effectué par BlinkFix, y compris le traitement effectué en vertu du présent DPA.

14. Lois d'autres pays

14.1 EEE. Lorsque le Client se trouve en Islande, au Liechtenstein ou en Norvège, le présent DPA s'applique comme il le fait pour l'UE, et le « RGPD européen » inclut le RGPD tel qu'il s'applique dans l'EEE.

14.2 Émirats arabes unis. Lorsque le décret-loi fédéral n° 45 de 2021 des EAU relatif à la protection des données personnelles s'applique aux Données personnelles du Client, le Client est le responsable du traitement et BlinkFix est son sous-traitant, et les sections 3 à 11 constituent les obligations de BlinkFix en tant que sous-traitant en vertu de cette loi. Lorsque la loi sur la protection des données du Dubai International Financial Centre ou de l'Abu Dhabi Global Market s'applique, il en va de même en vertu de cette loi. Les parties s'appuient sur le présent DPA et la section 7 pour tout transfert hors des EAU.

14.3 États-Unis. Lorsqu'une loi sur la protection de la vie privée d'un État américain s'applique aux Données personnelles du Client (par exemple, le California Consumer Privacy Act tel que modifié par le California Privacy Rights Act), BlinkFix agit en tant que prestataire de services ou sous-traitant du Client, et : (a) BlinkFix traite les Données personnelles du Client uniquement aux fins prévues à la section 2 et selon les instructions du Client ; (b) BlinkFix ne les vend ni ne les partage (tels que ces termes sont définis par la loi) ; (c) BlinkFix ne les conserve, ne les utilise ni ne les divulgue à aucune autre fin, ou en dehors de sa relation commerciale directe avec le Client ; (d) BlinkFix ne les combine pas avec des données personnelles qu'elle reçoit d'autres sources ou qu'elle collecte elle-même, sauf si la loi l'autorise ; (e) BlinkFix se conforme à cette loi et offre le même niveau de protection de la vie privée ; (f) le Client peut prendre des mesures raisonnables (y compris en vertu de la section 10) pour s'assurer que BlinkFix utilise les données conformément au présent DPA, et pour arrêter et corriger toute utilisation non autorisée ; (g) BlinkFix informe le Client dans un délai de 5 jours ouvrables si elle n'est plus en mesure de remplir ses obligations en vertu de cette loi.

14.4 Si la loi sur la protection des données d'un autre pays s'applique et exige davantage que le présent DPA, les parties conviendront de bonne foi des ajouts à apporter.