Ugovor o obradi podataka

1. Stranke i područje primjene

1.1 Ovaj Ugovor o obradi podataka („DPA”) sklopljen je između BlinkFix Ltd (tvrtka br. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Ujedinjena Kraljevina („BlinkFix”, „Izvršitelj obrade”) i organizacije, dobavljača ili dostavne tvrtke koja je prihvatila Uvjeti za Enterprise, ili tvrtke koja je prihvatila Trgovački uvjeti („Klijent”, „Voditelj obrade”).

1.2 Primjenjuje se na osobne podatke koje BlinkFix obrađuje u ime gosta pri pružanju usluge BlinkFix Enterprise ili alata za osoblje i integracije objekta („Osobni podaci gosta”). On čini dio dokumenta Uvjeti za Enterprise ili dokumenta Trgovački uvjeti („Ugovor”) i prihvaća se zajedno s njima.

1.3 Ne primjenjuje se na osobne podatke koje BlinkFix obrađuje kao voditelj obrade, što je opisano u Pravila o privatnosti. BlinkFix je voditelj obrade, na primjer, za: (a) račune BlinkFix; (b) narudžbe i plaćanja gostiju; (c) naplatu, novčanike, isplate i izvode; (d) podatke o dostavi narudžbe (ime, adresa, telefon, kod za dostavu) i evidenciju dostava, uključujući dostave koje obavlja dostavna tvrtka; (e) narudžbu dobavljača, uključujući podatke o dostavi kupca; (f) pologe za vozila, uključujući potraživanja, fotografije i odluke tvrtke BlinkFix; (g) ograničene informacije koje BlinkFix daje kanalskom partneru o računima koje je uveo; (h) vlastitu provjeru dokumenata koje dostavna tvrtka učitava radi odobrenja. Kada BlinkFix daje takve podatke dobavljaču, dostavnoj tvrtki ili kanalskom partneru kako bi mogao obaviti svoj dio posla, ta tvrtka ih prima kao zaseban voditelj obrade, isključivo u tu svrhu, kako navode Uvjeti za vozni park, odjeljak 16. dokumenta Uvjeti za Enterprise i dokumenta Uvjeti za kanalske partnere.

1.4 „UK GDPR”, „EU GDPR” (Uredba (EU) 2016/679), „Zakoni o zaštiti podataka”, „osobni podaci”, „obrada”, „voditelj obrade”, „izvršitelj obrade”, „ispitanik”, „povreda osobnih podataka” i „nadzorno tijelo” imaju značenja definirana u UK GDPR-u, Zakonu o zaštiti podataka iz 2018. (Data Protection Act 2018) i, gdje je primjenjivo, EU GDPR-u.

2. Pojedinosti o obradi

3. Upute voditelja obrade

3.1 BlinkFix obrađuje osobne podatke Klijenta isključivo prema dokumentiranim uputama Klijenta, uključujući one koje se odnose na međunarodne prijenose, osim ako pravo Ujedinjenog Kraljevstva ili EU-a ne nalaže drugačije, u kojem slučaju BlinkFix obavještava Klijenta prije obrade, osim ako to pravo ne zabranjuje.

3.2 Ugovor, ovaj DPA te Klijentova upotreba i konfiguracija usluge (uključujući postavke, integracije i radnje njegovih administratora) čine cjelovite upute Klijenta. Daljnje upute moraju biti u pisanom obliku i u skladu s Ugovorom.

3.3 BlinkFix odmah obavještava Klijenta ako, prema njegovu mišljenju, neka uputa krši propise o zaštiti podataka.

3.4 Klijent je odgovoran za zakonitost obrade koju nalaže, za postojanje pravne osnove te za pružanje potrebnih informacija ispitanicima.

4. Povjerljivost

BlinkFix osigurava da su svi koje ovlasti za obradu osobnih podataka Klijenta obvezani povjerljivošću te da im pristupaju samo onoliko koliko je potrebno za pružanje usluge, podršku Klijentu na njegov zahtjev, rješavanje prijava i zlouporaba ili radi usklađenosti sa zakonom.

5. Sigurnost

BlinkFix provodi odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka Klijenta (članak 32. UK/EU GDPR-a), uključujući:

• enkripciju u prijenosu (TLS) za sav promet i enkripciju u mirovanju koju pruža Google Cloud (naši poslužitelji i diskovi baze podataka) te Cloudflare (datoteke i sigurnosne kopije);
• lozinke i PIN-ove pohranjene isključivo kao hash vrijednosti; tajne integracije pohranjene šifrirano; API ključeve s ograničenim opsegom i mogućnošću opoziva; potpisane web-hookove;
• kontrolu pristupa prema mjestu i ulozi; pristup osoblja proizvodnim podacima ograničen na osobe kojima je to potrebno; bilježenje pristupa osoblja osjetljivim stavkama;
• odvajanje podataka klijenata po organizacijama unutar aplikacije;
• ograničavanje brzine (rate limiting) i zaštitu od zlouporabe;
• dnevne sigurnosne kopije naše baze podataka s kontinuiranim zapisnicima promjena, pohranjene u zasebnoj pohrani sigurnosnih kopija tijekom 7 dana, te postupak njihove obnove;
• redovitu reviziju mjera kako se usluga mijenja.

Klijent je odgovoran za vlastitu sigurnost, uključujući upravljanje mjestima, čuvanje vjerodajnica i API ključeva u tajnosti te osiguravanje sustava koje povezuje.

6. Izvršitelji obrade

6.1 Klijent daje BlinkFixu opće odobrenje za angažiranje izvršitelja obrade navedenih na popisu Izvršitelji obrade.

6.2 BlinkFix daje Klijentu obavijest od najmanje 30 dana o novom ili zamjenskom izvršitelju obrade ažuriranjem popisa i slanjem e-poruke administratorima ili vlasnicima računa Klijenta. Klijent može uložiti prigovor na temelju opravdanih razloga zaštite podataka unutar tog razdoblja. Stranke će u dobroj vjeri raspraviti prigovor; ako se ne može riješiti, Klijent može prekinuti pogođenu uslugu i primiti povrat unaprijed plaćenih naknada za preostalo razdoblje.

6.3 BlinkFix svakom izvršitelju obrade nameće obveze zaštite podataka koje nisu manje zaštitne od onih u ovom DPA i ostaje odgovoran za njihovu izvedbu.

7. Međunarodni prijenosi

7.1 Glavna infrastruktura BlinkFixa, uključujući bazu podataka, nalazi se na Google Cloudu u Frankfurtu, Njemačka (EU). Sigurnosne kopije baze podataka čuvaju se u Cloudflare R2. E-poslužitelj BlinkFixa nalazi se u Kanadi. Neki izvršitelji obrade, uključujući AI uslugu, obrađuju podatke u SAD-u ili drugdje, kako je navedeno na popisu.

7.2 Kada se osobni podaci korisnika prenose izvan Ujedinjene Kraljevine ili EGP-a u zemlju bez odluke o primjerenosti, BlinkFix osigurava odgovarajuće zaštitne mjere: Okvir o zaštiti privatnosti podataka između EU-a i SAD-a i njegovo proširenje za Ujedinjenu Kraljevinu za certificirane primatelje, ili standardne ugovorne klauzule Europske komisije (Odluka 2021/914, modul 3 za prijenos od izvršitelja obrade do izvršitelja obrade ili modul 2 prema potrebi) uz Dodatak za međunarodni prijenos podataka u Ujedinjenoj Kraljevini, zajedno s procjenom rizika prijenosa i dodatnim mjerama gdje je to potrebno. Prijenos u zemlju s odlukom o primjerenosti, kao što je Kanada za trgovačka društva, temelji se na toj odluci.

7.3 Kada se korisnik nalazi u EGP-u, a BlinkFix (u Ujedinjenoj Kraljevini) prima osobne podatke korisnika, prijenos je obuhvaćen odlukom Europske komisije o primjerenosti za Ujedinjenu Kraljevinu. Ako ta odluka prestane važiti, primjenjuju se standardne ugovorne klauzule (modul 2, voditelj obrade prema izvršitelju obrade) koje su uključene pozivanjem, pri čemu su za njih odabrani pravo i sudovi Irske, a nadležno nadzorno tijelo korisnika smatra se nadležnim tijelom.

7.4 Korisnici izvan Ujedinjene Kraljevine i EGP-a. Kada se korisnik nalazi izvan Ujedinjene Kraljevine i EGP-a (na primjer u Ujedinjenim Arapskim Emiratima ili SAD-u) i njegovo pravo ograničava slanje osobnih podataka u Ujedinjenu Kraljevinu ili u zemlje navedene na popisu podizvršitelja, stranke se oslanjaju na ovaj DPA i, kada to pravo zahtijeva više, na standardne klauzule i dodatak navedene u 7.2 i 7.3, za koje stranke suglasno utvrđuju da se primjenjuju u mjeri u kojoj to pravo dopušta.

8. Pomoć

8.1 Zahtjevi ispitanika. BlinkFix, uzimajući u obzir prirodu obrade, pomaže korisniku u odgovaranju na zahtjeve ispitanika (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor), uglavnom putem značajki usluge (admini mogu pregledavati, uređivati, izvoziti i uklanjati podatke). Ako BlinkFix primi zahtjev izravno, upućuje osobu na korisnika i ne odgovara samostalno osim ako korisnik to ne zatraži.

8.2 Procjene učinka i savjetovanje. BlinkFix pruža razumne informacije kako bi pomogao korisniku pri procjenama učinka na zaštitu podataka i prethodnom savjetovanju s nadzornim tijelom.

9. Povrede osobnih podataka

BlinkFix obavještava korisnika bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati, nakon što sazna za povredu osobnih podataka koja utječe na osobne podatke korisnika, uz informacije koje su korisniku razumno potrebne za ispunjavanje njegovih obveza (priroda povrede, kategorije i približan broj, vjerojatne posljedice, poduzete ili predložene mjere i kontaktna točka), ažurirajući ih kako se bude saznavalo više. BlinkFix poduzima razumne korake za suzbijanje i sanaciju povrede. Obavijest ne predstavlja priznanje krivnje.

10. Revizije

BlinkFix stavlja na raspolaganje informacije razumno potrebne za dokazivanje usklađenosti s ovim DPA i člankom 28., uključujući pisane odgovore na sigurnosne upitnike jednom godišnje. Ako to nije dovoljno ili ako to zahtijeva nadzorno tijelo, korisnik može provesti reviziju (samostalno ili putem neovisnog revizora obvezanog povjerljivošću) uz obavijest od najmanje 30 dana, tijekom radnog vremena, najviše jednom godišnje, o vlastitom trošku i bez pristupa podacima drugih korisnika.

11. Brisanje i povrat

11.1 Tijekom trajanja Ugovora, admini mogu brisati osobne podatke korisnika i izvoziti ih (izvoz u CSV i JSON formatu te putem API-ja).

11.2 Kada Ugovor prestane, korisnik ima 30 dana za izvoz svojih podataka. BlinkFix zatim briše osobne podatke korisnika u roku od daljnjih 30 dana, uključujući iz aktivnih sustava, osim ako pravo Ujedinjene Kraljevine ili EU-a ne zahtijeva njihovo čuvanje. Sigurnosne kopije čuvaju se 7 dana, a zatim se brišu prema uobičajenom ciklusu i ne obnavljaju se osim u svrhu oporavka od katastrofe. Na zahtjev, BlinkFix pismeno potvrđuje brisanje.

11.3 Podaci o objektima na platformi BlinkFix, njihovim narudžbama i osobnim BlinkFix računima njihovog osoblja nisu osobni podaci gosta Enterprise korisnika i nastavljaju se obrađivati prema dokumentu Trgovački uvjeti i dokumentu Pravila o privatnosti.

12. Odgovornost i prvenstvo

12.1 Odgovornost svake stranke prema ovom DPA podliježe ograničenjima navedenim u Ugovoru.

12.2 Ako je ovaj DPA u suprotnosti s Ugovorom, ovaj DPA ima prednost za obradu osobnih podataka korisnika. Ako se primjenjuju standardne ugovorne klauzule ili Dodatak za Ujedinjenu Kraljevinu i u suprotnosti su s ovim DPA, oni imaju prednost.

12.3 Ovaj DPA uređen je pravom koje uređuje Ugovor.

13. Kontakt

Privatnost i zaštita podataka: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Ujedinjena Kraljevina.

Registracija kod Ureda povjerenika za informacije Ujedinjene Kraljevine (ICO): podnesen zahtjev (zahtjev C2042936).

Predstavnik u EU (čl. 27. GDPR-a)

Predstavnik BlinkFixa u Europskoj uniji prema članku 27. GDPR-a EU-a je Michał Michalek, Poljska (poštanska adresa na zahtjev putem [email protected]), [email protected], +48 505 643 432. Ispitanici iz EU-a i nadzorna tijela mogu kontaktirati predstavnika u vezi s obradom koju provodi BlinkFix, uključujući obradu prema ovom DPA.

14. Zakoni drugih zemalja

14.1 EGP. Ako se Korisnik nalazi na Islandu, u Lihtenštajnu ili Norveškoj, ovaj se DPA primjenjuje kao i za EU, a „EU GDPR” uključuje GDPR kako se primjenjuje u EGP-u.

14.2 Ujedinjeni Arapski Emirati. Ako se na Osobne podatke korisnika primjenjuje Savezni uredba-zakon UAE br. 45 iz 2021. o zaštiti osobnih podataka, Korisnik je voditelj obrade, a BlinkFix je njegov izvršitelj obrade, te su odjeljci 3. do 11. dužnosti BlinkFixa kao izvršitelja obrade prema tom zakonu. Ako se primjenjuje zakon o zaštiti podataka Međunarodnog financijskog centra u Dubaiju ili Globalnog tržišta u Abu Dhabiju, isto vrijedi i prema tom zakonu. Stranke se oslanjaju na ovaj DPA i odjeljak 7. za svaki prijenos izvan UAE.

14.3 Sjedinjene Američke Države. Ako se na Osobne podatke korisnika primjenjuje zakon o privatnosti neke savezne države SAD-a (na primjer, Zakon o privatnosti potrošača u Kaliforniji kako je izmijenjen Zakonom o pravima na privatnost u Kaliforniji), BlinkFix je pružatelj usluga ili izvršitelj obrade Korisnika, i: (a) BlinkFix obrađuje Osobne podatke korisnika samo u svrhe navedene u odjeljku 2. i prema uputama Korisnika; (b) BlinkFix ih ne prodaje niti dijeli (kako zakon definira te riječi); (c) BlinkFix ih ne zadržava, ne koristi niti otkriva u bilo koju drugu svrhu, ili izvan svog izravnog poslovnog odnosa s Korisnikom; (d) BlinkFix ih ne kombinira s osobnim podacima koje prima iz drugih izvora ili koje sam prikuplja, osim ako zakon to dopušta; (e) BlinkFix se pridržava tog zakona i pruža istu razinu zaštite privatnosti; (f) Korisnik može poduzeti razumne korake (uključujući one prema odjeljku 10.) kako bi osigurao da BlinkFix koristi podatke kako je navedeno u ovom DPA-u, te kako bi zaustavio i ispravio neovlaštenu upotrebu; (g) BlinkFix obavještava Korisnika u roku od 5 radnih dana ako više ne može ispunjavati svoje obveze prema tom zakonu.

14.4 Ako se primjenjuje zakon o zaštiti podataka druge zemlje i zahtijeva više od ovog DPA-a, stranke će u dobroj vjeri dogovoriti što treba dodati.