Adatfeldolgozási megállapodás
Hogyan dolgozza fel a BlinkFix a személyes adatokat az Enterprise szervezetek, beszállítók, szállítmányozó cégek és létesítmények nevében.
Ez egy segédfordítás. Az angol változat az érvényes és a kötelező. Az angol verzió olvasása
Tartalomjegyzék
1. Felek és hatály
1.1 Ez az Adatfeldolgozási megállapodás („DPA”) a BlinkFix Ltd (cégjegyzékszám: 13505930), 27 Old Gloucester Street, London WC1N 3AX, Egyesült Királyság („BlinkFix”, az „Adatfeldolgozó”), valamint az Enterprise Feltételek elfogadó szervezet, beszállító vagy szállítmányozó cég, illetve a Kereskedői Feltételek elfogadó vállalkozás („Ügyfél”, az „Adatkezelő”) között jött létre.
1.2 Ez azokra a személyes adatokra vonatkozik, amelyeket a BlinkFix az Ügyfél nevében dolgoz fel a BlinkFix Enterprise vagy egy létesítmény személyzeti és integrációs eszközeinek biztosítása során („Ügyfél személyes adatai”). Ez a dokumentum az Enterprise Feltételek vagy a Kereskedői Feltételek („Megállapodás”) részét képezi, és azokkal együtt kerül elfogadásra.
1.3 Ez nem vonatkozik azokra a személyes adatokra, amelyeket a BlinkFix adatkezelőként dolgoz fel, és amelyeket az Adatvédelmi szabályzat ír le. A BlinkFix adatkezelője például a következőknek: (a) BlinkFix fiókok; (b) az ügyfelek rendelései és kifizetései; (c) számlázás, pénztárcák, kifizetések és kimutatások; (d) a rendelés szállítási adatai (név, cím, telefonszám, szállítási kód) és a szállítási nyilvántartások, beleértve a szállítmányozó cég általi szállításokat is; (e) beszállítói rendelés, beleértve a vásárló szállítási adatait; (f) autós letétek, beleértve a követeléseket, fényképeket és a BlinkFix döntéseit; (g) az a korlátozott információ, amelyet a BlinkFix egy csatornapartnernek ad át az általa bevezetett fiókokról; (h) a szállítmányozó cég által jóváhagyásra feltöltött dokumentumok saját ellenőrzése. Amikor a BlinkFix ilyen adatokat ad át egy beszállítónak, szállítmányozó cégnek vagy csatornapartnernek annak érdekében, hogy az elvégezhesse a feladatát, az adott vállalkozás azt külön adatkezelőként kapja meg, kizárólag az adott célból, ahogy azt a Flottafeltételek, az Enterprise Feltételek 16. szakasza és a Csatornapartneri feltételek előírják.
1.4 Az „UK GDPR”, „EU GDPR” (2016/679 rendelet), „Adatvédelmi törvények”, „személyes adat”, „adatkezelés”, „adatkezelő”, „adatfeldolgozó”, „érintett”, „személyes adatok megsértése” és „felügyeleti hatóság” kifejezések jelentése megegyezik az UK GDPR-ban, a 2018. évi adatvédelmi törvényben (Data Protection Act 2018) és – ahol alkalmazandó – az EU GDPR-ban meghatározottakkal.
2. Az adatkezelés részletei
| Tétel | Leírás |
|---|---|
| Tárgy | A BlinkFix Enterprise és a személyzeti/integrációs eszközök biztosítása a Megállapodás értelmében |
| Időtartam | A Megállapodás időtartama, plusz a 11. szakaszban meghatározott törlési időszak |
| Jellege és célja | Tárhelyszolgáltatás, tárolás, rendszerezés, megjelenítés, továbbítás (csevegés, közvetítések, értesítések, webhookok és az Ön által engedélyezett integrációk), számítás (órák, bónuszok, díjak, értékesítések), exportálás, valamint AI-alapú feldolgozás, amikor egy felhasználói fiók tulajdonosa használja az AI-asszisztenst, vagy importál egy menüt vagy terméklistát. Szállítmányozó cég esetén: a járművezetők dokumentumainak és műszaknyilvántartásainak tárolása, valamint emlékeztetés a dokumentumok lejárata előtt. Beszállító esetén: a termékek, rendelések és számlák tárolása |
| Az érintettek kategóriái | Az Ügyfél felhasználói fiókjainak tulajdonosai, vezetői és munkatársai; az Ügyfél szervezetében lévő létesítmények munkatársai; franchise-partnerek és kapcsolattartóik; az Ügyfél üzleti kapcsolatai és beszállítói; az Ügyfél létesítményeinek ügyfelei, amennyiben az Ügyfél engedélyezi a kapcsolatszinkronizálást vagy exportálást; szállítmányozó cég esetén annak futárai és diszpécserei; beszállító esetén annak munkatársai |
| A személyes adatok kategóriái | Nevek, munkahelyi e-mail cím, telefonszám, beosztások és munkakörök, létesítmény- és régióhozzárendelések, munkaidő, valamint munkaidő-nyilvántartási és -helyesbítési adatok, létesítményi táblagép-hozzáférés, bónuszok és bónuszkifizetések, üzenetek, fájlok és dokumentumok elfogadása, hozzáférési naplók, push tokenek és eszköznevek, importált kapcsolattartási adatok, valamint ügyfélnevek, e-mail címek és telefonszámok, amennyiben a kapcsolatszinkronizálás engedélyezve van; szállítmányozó cég esetén a futárok neve és elérhetősége, jogosítvány, biztosítási és engedélyezési dokumentumok, járműadatok, műszakok és munkaidő; beszállító esetén a munkatársak neve és munkahelyi e-mail címe, valamint az általa megadott termék- és számlaadatok |
| Különleges kategóriájú adatok | Nem tervezett. Az Ügyfél nem vihet be különleges kategóriájú adatokat (például egészségügyi adatokat) az Enterprise rendszerbe, kivéve, ha az szigorúan szükséges és jogszerű |
| Gyakoriság | Folyamatos |
3. Az adatkezelő utasításai
3.1 A BlinkFix kizárólag az Ügyfél dokumentált utasításai alapján kezeli az Ügyfél személyes adatait, beleértve a nemzetközi adattovábbítást is, kivéve, ha az Egyesült Királyság vagy az EU joga másként nem rendelkezik; ebben az esetben a BlinkFix az adatkezelést megelőzően tájékoztatja az Ügyfelet, kivéve, ha az adott jogszabály ezt tiltja.
3.2 A Szerződés, jelen adatfeldolgozási megállapodás (DPA), valamint a szolgáltatás Ügyfél általi használata és konfigurálása (beleértve a beállításokat, az integrációkat és az adminisztrátorok tevékenységeit) képezik az Ügyfél teljes körű utasításait. A további utasításoknak írásban kell történniük, és összhangban kell állniuk a Szerződéssel.
3.3 A BlinkFix haladéktalanul tájékoztatja az Ügyfelet, ha véleménye szerint egy utasítás sérti az adatvédelmi jogszabályokat.
3.4 Az Ügyfél felelős az általa elrendelt adatkezelés jogszerűségéért, a jogszerű alap meglétéért, valamint azért, hogy az érintettek megkapják a szükséges tájékoztatást.
4. Titoktartás
A BlinkFix biztosítja, hogy mindenki, akit felhatalmaz az Ügyfél személyes adatainak kezelésére, titoktartási kötelezettséget vállaljon, és csak akkor férjen hozzá az adatokhoz, ha az a szolgáltatás nyújtásához, az Ügyfél kérésére történő támogatáshoz, a jelentések és visszaélések kezeléséhez, vagy a jogszabályi megfeleléshez szükséges.
5. Biztonság
A BlinkFix megfelelő technikai és szervezési intézkedéseket hajt végre az Ügyfél személyes adatainak védelme érdekében (az Egyesült Királyság/EU GDPR 32. cikke), beleértve:
- az átvitel közbeni titkosítást (TLS) minden forgalom esetében, valamint a Google Cloud (szervereink és adatbázis-lemezeink) és a Cloudflare (fájlok és biztonsági mentések) által biztosított, tárolt adatokra vonatkozó titkosítást;
- a jelszavak és PIN-kódok kizárólag hash-ként történő tárolását; az integrációs titkok titkosított tárolását; az API-kulcsok korlátozott hatókörű és visszavonható kezelését; a webhookok aláírását;
- a hozzáférés-szabályozást felhasználói fiókonként és szerepkörönként; a termelési adatokhoz való hozzáférés korlátozását azokra a munkatársakra, akiknek erre szükségük van; a munkatársak érzékeny elemekhez való hozzáférésének naplózását;
- az ügyfelek adatainak szervezetenkénti elkülönítését az alkalmazáson belül;
- a sebességkorlátozást és a visszaélések elleni védelmet;
- az adatbázisunk napi biztonsági mentését folyamatos változási naplókkal, amelyeket 7 napig külön biztonsági mentési tárolóban őrzünk, valamint az ezek visszaállítására szolgáló eljárást;
- az intézkedések rendszeres felülvizsgálatát a szolgáltatás változásainak megfelelően.
Az Ügyfél felelős a saját biztonságáért, beleértve a felhasználói fiókok kezelését, a hitelesítő adatok és API-kulcsok titokban tartását, valamint az általa csatlakoztatott rendszerek biztonságának megőrzését.
6. További adatfeldolgozók
6.1 Az Ügyfél általános felhatalmazást ad a BlinkFixnek a További adatfeldolgozók listában szereplő további adatfeldolgozók igénybevételére.
6.2 A BlinkFix legalább 30 napos felmondási idővel értesíti az Ügyfelet az új vagy helyettesítő további adatfeldolgozóról a lista frissítésével, valamint az Ügyfél adminisztrátorainak vagy fióktulajdonosainak e-mailben történő tájékoztatásával. Az Ügyfél ezen időszakon belül ésszerű adatvédelmi indokokkal kifogást emelhet. A felek jóhiszeműen megvitatják a kifogást; ha az nem oldható meg, az Ügyfél megszüntetheti az érintett szolgáltatást, és visszakapja az előre kifizetett díjakat a fennmaradó időszakra vonatkozóan.
6.3 A BlinkFix minden további adatfeldolgozóra olyan adatvédelmi kötelezettségeket hárít, amelyek nem kevésbé védelmezőek, mint a jelen adatfeldolgozási megállapodás (DPA), és továbbra is felelősséget vállal azok teljesítményéért.
7. Nemzetközi adattovábbítás
7.1 A BlinkFix fő tárhelyszolgáltatása, beleértve az adatbázist is, a Google Cloudon található Frankfurtban, Németországban (EU). Az adatbázis biztonsági mentéseit a Cloudflare R2 tárolja. A BlinkFix e-mail szervere Kanadában található. Egyes további adatfeldolgozók, beleértve az AI-szolgáltatást is, az USA-ban vagy más helyeken dolgozzák fel az adatokat, a listában feltüntetettek szerint.
7.2 Amennyiben az Ügyfél személyes adatait az Egyesült Királyságon vagy az EGT-n kívülre továbbítják olyan országba, amely nem rendelkezik megfelelőségi határozattal, a BlinkFix megfelelő garanciákat biztosít: az EU–USA Adatvédelmi Keretmegállapodást és annak az Egyesült Királyságra vonatkozó kiterjesztését a tanúsított címzettek esetében, vagy az Európai Bizottság általános szerződési feltételeit (a 2021/914/EU határozat 3. modulja adatfeldolgozótól adatfeldolgozónak, vagy adott esetben a 2. modul) az Egyesült Királyság nemzetközi adattovábbítási kiegészítésével (UK International Data Transfer Addendum) együtt, szükség esetén kiegészítve egy adattovábbítási kockázatértékeléssel és kiegészítő intézkedésekkel. A megfelelőségi határozattal rendelkező országokba – például Kanada kereskedelmi szervezetei esetében – történő továbbítás ezen a határozaton alapul.
7.3 Amennyiben az Ügyfél az EGT-ben található, és a BlinkFix (az Egyesült Királyságban) Ügyfél-személyes adatokat kap, a továbbításra az Európai Bizottság Egyesült Királyságra vonatkozó megfelelőségi határozata az irányadó. Amennyiben ez a határozat megszűnik, az általános szerződési feltételek (2. modul, adatkezelőtől adatfeldolgozónak) alkalmazandók, és hivatkozással beépülnek a megállapodásba, az ír jog és bíróságok kijelölésével, valamint az Ügyfél felügyeleti hatóságának illetékes hatóságként történő elismerésével.
7.4 Az Egyesült Királyságon és az EGT-n kívüli Ügyfelek. Amennyiben az Ügyfél az Egyesült Királyságon és az EGT-n kívül található (például az Egyesült Arab Emírségekben vagy az USA-ban), és jogszabályai korlátozzák a személyes adatok továbbítását az Egyesült Királyságba vagy az al-adatfeldolgozók listáján szereplő országokba, a felek erre az adatfeldolgozási megállapodásra (DPA) támaszkodnak, és amennyiben az adott jogszabály többet követel meg, a 7.2. és 7.3. pontban megnevezett általános szerződési feltételekre és kiegészítésre, amelyek alkalmazásában a felek az adott jogszabály által megengedett mértékig megállapodnak.
8. Segítségnyújtás
8.1 Érintetti kérelmek. A BlinkFix az adatkezelés jellegét figyelembe véve segíti az Ügyfelet az érintettek kérelmeinek (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás) megválaszolásában, elsősorban a szolgáltatás funkcióin keresztül (az adminisztrátorok megtekinthetik, szerkeszthetik, exportálhatják és eltávolíthatják az adatokat). Ha a BlinkFix közvetlenül kap kérelmet, az érintettet az Ügyfélhez irányítja, és nem válaszol saját hatáskörben, kivéve, ha az Ügyfél ezt kéri.
8.2 Hatásvizsgálatok és konzultáció. A BlinkFix ésszerű információkat biztosít az Ügyfél számára az adatvédelmi hatásvizsgálatokhoz és a felügyeleti hatósággal folytatott előzetes konzultációhoz.
9. Személyes adatokkal kapcsolatos incidensek
A BlinkFix indokolatlan késedelem nélkül, de legfeljebb 48 órán belül értesíti az Ügyfelet, miután tudomást szerzett az Ügyfél-személyes adatokat érintő személyes adatokkal kapcsolatos incidensről, megadva azokat az információkat, amelyekre az Ügyfélnek ésszerűen szüksége van kötelezettségei teljesítéséhez (az incidens jellege, kategóriák és hozzávetőleges számok, valószínűsíthető következmények, megtett vagy javasolt intézkedések, valamint egy kapcsolattartási pont), és frissíti azokat, amint további információk válnak ismertté. A BlinkFix ésszerű lépéseket tesz az incidens elhárítása és orvoslása érdekében. Az értesítés nem minősül a felelősség elismerésének.
10. Ellenőrzések
A BlinkFix rendelkezésre bocsátja azokat az információkat, amelyek ésszerűen szükségesek a jelen DPA-nak és a GDPR 28. cikkének való megfelelés igazolásához, beleértve az évente egyszer kitöltött biztonsági kérdőívekre adott írásbeli válaszokat. Ha ez nem elegendő, vagy a felügyeleti hatóság ezt megköveteli, az Ügyfél ellenőrzést végezhet (saját maga vagy egy titoktartási kötelezettség alá eső független könyvvizsgáló útján), legalább 30 napos előzetes értesítéssel, munkaidőben, legfeljebb évente egyszer, saját költségén, anélkül, hogy hozzáférne más ügyfelek adataihoz.
11. Törlés és visszaszolgáltatás
11.1 A Megállapodás ideje alatt az adminisztrátorok törölhetik az Ügyfél-személyes adatokat és exportálhatják azokat (CSV és JSON exportálás, valamint az API-n keresztül).
11.2 A Megállapodás megszűnésekor az Ügyfélnek 30 napja van az adatai exportálására. A BlinkFix ezt követően további 30 napon belül törli az Ügyfél-személyes adatokat, beleértve az aktív rendszereket is, kivéve, ha az Egyesült Királyság vagy az EU joga azok megőrzését írja elő. A biztonsági mentéseket 7 napig őrzik meg, majd a szokásos ciklusuk szerint törlik, és azokat katasztrófa-helyreállításon kívül nem állítják vissza. Kérésre a BlinkFix írásban igazolja a törlést.
11.3 A BlinkFixen található létesítményekre, azok rendeléseire és a személyzet személyes BlinkFix-fiókjaira vonatkozó adatok nem minősülnek az Enterprise Ügyfél Ügyfél-személyes adatainak, és azokra továbbra is a Kereskedői Feltételek és az Adatvédelmi szabályzat az irányadó.
12. Felelősség és elsőbbség
12.1 A felek jelen DPA szerinti felelőssége a Megállapodásban foglalt korlátozások hatálya alá tartozik.
12.2 Amennyiben jelen DPA ellentétben áll a Megállapodással, az Ügyfél-személyes adatok kezelése tekintetében jelen DPA az irányadó. Amennyiben az általános szerződési feltételek vagy az Egyesült Királyság kiegészítése alkalmazandó, és ellentétben állnak jelen DPA-val, azok élveznek elsőbbséget.
12.3 Jelen DPA-ra a Megállapodást irányadó jog az irányadó.
13. Kapcsolat
Adatvédelem: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Egyesült Királyság.
Regisztráció az Egyesült Királyság Információs Biztosi Hivatalánál (ICO): folyamatban (kérelem száma: C2042936).
EU-képviselő (GDPR 27. cikk)
A BlinkFix képviselője az Európai Unióban az EU GDPR 27. cikke értelmében Michał Michalek, Lengyelország (postai cím kérésre az [email protected] címen), [email protected], +48 505 643 432. Az EU-beli érintettek és felügyeleti hatóságok a BlinkFix adatkezelésével kapcsolatban – beleértve a jelen DPA szerinti adatkezelést is – kapcsolatba léphetnek a képviselővel.
14. Más országok jogszabályai
14.1 EGT. Amennyiben az Ügyfél Izlandon, Liechtensteinben vagy Norvégiában található, jelen Adatfeldolgozási Megállapodás (DPA) ugyanúgy alkalmazandó, mint az EU-ban, és az „EU GDPR” magában foglalja az EGT-ben alkalmazandó GDPR-t is.
14.2 Egyesült Arab Emírségek. Amennyiben a személyes adatok védelméről szóló, 2021. évi 45. sz. szövetségi törvényerejű rendelet alkalmazandó az Ügyfél személyes adataira, az Ügyfél az adatkezelő, a BlinkFix pedig az adatfeldolgozó, és a 3–11. szakasz tartalmazza a BlinkFix adatfeldolgozóként fennálló kötelezettségeit az említett törvény értelmében. Amennyiben a Dubai Nemzetközi Pénzügyi Központ vagy az Abu Dhabi Globális Piac adatvédelmi törvénye alkalmazandó, ugyanez érvényes az adott törvény értelmében is. A felek az Egyesült Arab Emírségekből történő bármely adattovábbítás tekintetében jelen DPA-ra és a 7. szakaszra támaszkodnak.
14.3 Egyesült Államok. Amennyiben egy amerikai állami adatvédelmi törvény alkalmazandó az Ügyfél személyes adataira (például a kaliforniai fogyasztóvédelmi törvény, a California Consumer Privacy Act, a kaliforniai adatvédelmi jogokról szóló törvénnyel, a California Privacy Rights Act-tel módosított formájában), a BlinkFix az Ügyfél szolgáltatója vagy adatfeldolgozója, és: (a) a BlinkFix az Ügyfél személyes adatait kizárólag a 2. szakaszban meghatározott célokból és az Ügyfél utasításai alapján dolgozza fel; (b) a BlinkFix azokat nem értékesíti és nem osztja meg (ahogy azokat a törvény meghatározza); (c) a BlinkFix azokat semmilyen más célból, illetve az Ügyféllel fennálló közvetlen üzleti kapcsolatán kívül nem őrzi meg, nem használja fel és nem hozza nyilvánosságra; (d) a BlinkFix azokat nem vonja össze más forrásból származó vagy saját maga által gyűjtött személyes adatokkal, kivéve, ha azt a törvény megengedi; (e) a BlinkFix megfelel az említett törvénynek, és ugyanolyan szintű adatvédelmet biztosít; (f) az Ügyfél ésszerű lépéseket tehet (többek között a 10. szakasz alapján) annak biztosítására, hogy a BlinkFix az adatokat jelen DPA-nak megfelelően használja fel, valamint az illetéktelen felhasználás megállítására és orvoslására; (g) a BlinkFix 5 munkanapon belül értesíti az Ügyfelet, ha már nem tud eleget tenni az említett törvény szerinti kötelezettségeinek.
14.4 Amennyiben egy másik ország adatvédelmi törvénye alkalmazandó, és a jelen DPA-nál többet követel meg, a felek jóhiszeműen megállapodnak a kiegészítésekről.