Accordo sul trattamento dei dati
Modalità con cui BlinkFix tratta i dati personali per conto di organizzazioni Enterprise, fornitori, società di consegne ed esercizi.
Questa è una traduzione di cortesia. La versione in inglese è quella vincolante. Leggi la versione in inglese
Contenuto
1. Parti e ambito di applicazione
1.1 Il presente Accordo sul trattamento dei dati ("DPA") è stipulato tra BlinkFix Ltd (numero di società 13505930), 27 Old Gloucester Street, London WC1N 3AX, Regno Unito ("BlinkFix", il "Responsabile del trattamento") e l'organizzazione, il fornitore o la società di consegne che ha accettato i Termini Enterprise, o l'attività che ha accettato i Termini per gli Esercenti (il "Cliente", il "Titolare del trattamento").
1.2 Si applica ai dati personali che BlinkFix tratta per conto del Cliente nell'ambito della fornitura di BlinkFix Enterprise o degli strumenti per il personale e di integrazione di un esercizio (i "Dati personali del Cliente"). Esso costituisce parte integrante dei Termini Enterprise o dei Termini per gli Esercenti (l'"Accordo"), e viene accettato congiuntamente ad essi.
1.3 Non si applica ai dati personali che BlinkFix tratta in qualità di titolare del trattamento, come descritto nell'Informativa sulla privacy. BlinkFix è titolare del trattamento, ad esempio, di: (a) account BlinkFix; (b) ordini e pagamenti dei clienti; (c) fatturazione, portafogli, pagamenti ed estratti conto; (d) dettagli di consegna di un ordine (nome, indirizzo, telefono, codice di consegna) e registri delle consegne, incluse le consegne effettuate da una società di consegne; (e) un ordine del fornitore, inclusi i dettagli di consegna dell'acquirente; (f) depositi cauzionali per auto, inclusi reclami, foto e decisioni di BlinkFix; (g) le informazioni limitate che BlinkFix fornisce a un partner di canale in merito agli account da esso presentati; (h) le proprie verifiche sui documenti caricati da una società di consegne per l'approvazione. Quando BlinkFix fornisce tali dati a un fornitore, a una società di consegne o a un partner di canale affinché possa svolgere la propria parte, tale attività li riceve come titolare del trattamento autonomo, esclusivamente per tale finalità, come previsto dai Termini della Flotta, dalla sezione 16 dei Termini Enterprise e dai Termini per i partner di canale.
1.4 "UK GDPR", "EU GDPR" (Regolamento (UE) 2016/679), "Leggi sulla protezione dei dati", "dati personali", "trattamento", "titolare del trattamento", "responsabile del trattamento", "interessato", "violazione dei dati personali" e "autorità di controllo" hanno il significato loro attribuito dal UK GDPR, dal Data Protection Act 2018 e, ove applicabile, dall'EU GDPR.
2. Dettagli del trattamento
| Elemento | Descrizione |
|---|---|
| Oggetto | Fornitura di BlinkFix Enterprise e degli strumenti per il personale/di integrazione ai sensi dell'Accordo |
| Durata | La durata dell'Accordo più il periodo di eliminazione di cui alla sezione 11 |
| Natura e finalità | Hosting, archiviazione, organizzazione, visualizzazione, trasmissione (chat, broadcast, notifiche, webhook e integrazioni abilitate), calcolo (ore, bonus, tariffe, vendite), esportazione e trattamento tramite IA quando un titolare di un accesso utilizza l'Assistente IA o importa un menu o un elenco prodotti. Per una società di consegne: archiviazione dei documenti dei propri fattorini e dei registri dei turni e invio di promemoria prima della scadenza di un documento. Per un fornitore: archiviazione dei propri prodotti, ordini e fatture |
| Categorie di interessati | I titolari di postazioni, i manager e il personale del Cliente; il personale degli esercizi nell'organizzazione del Cliente; i franchisee e i loro contatti; i contatti commerciali e i fornitori del Cliente; i Clienti degli esercizi del Cliente laddove il Cliente abiliti la sincronizzazione dei contatti o le esportazioni; per una società di consegne, i suoi fattorini e i suoi addetti alla distribuzione; per un fornitore, il suo personale |
| Categorie di dati personali | Nomi, email di lavoro, telefono, titoli professionali e ruoli, assegnazioni a esercizi e regioni, orario di lavoro e registrazioni e correzioni di timbratura, accesso al tablet dell'esercizio, bonus e pagamenti di bonus, messaggi, file e accettazioni di documenti, log di accesso, token push e nomi dei dispositivi, dettagli di contatto nelle importazioni, e nome, email e telefono del cliente laddove la sincronizzazione dei contatti sia abilitata; per una società di consegne, i nomi e i dettagli di contatto dei suoi fattorini, patente di guida, documenti assicurativi e permessi, dettagli del veicolo, turni e orari di lavoro; per un fornitore, i nomi e l'email di lavoro del suo personale e i dati relativi a prodotti e fatture inseriti |
| Dati di categorie particolari | Nessuno previsto. Il Cliente non deve inserire dati di categorie particolari (ad esempio dati sanitari) in Enterprise a meno che non sia strettamente necessario e lecito |
| Frequenza | Continuativa |
3. Istruzioni del Titolare
3.1 BlinkFix tratta i Dati Personali del Cliente esclusivamente sulla base delle istruzioni documentate del Cliente, anche per quanto riguarda i trasferimenti internazionali, a meno che non sia richiesto diversamente dal diritto del Regno Unito o dell'UE, nel qual caso BlinkFix informa il Cliente prima del trattamento, a meno che tale diritto non lo vieti.
3.2 L'Accordo, il presente DPA e l'utilizzo e la configurazione del servizio da parte del Cliente (inclusi impostazioni, integrazioni e azioni dei suoi admin) costituiscono le istruzioni complete del Cliente. Ulteriori istruzioni devono essere fornite per iscritto ed essere coerenti con l'Accordo.
3.3 BlinkFix informa tempestivamente il Cliente se, a suo parere, un'istruzione viola le Leggi sulla Protezione dei Dati.
3.4 Il Cliente è responsabile della liceità del trattamento che istruisce, di disporre di una base giuridica e di fornire agli interessati le informazioni richieste.
4. Riservatezza
BlinkFix garantisce che chiunque sia autorizzato a trattare i Dati Personali del Cliente sia vincolato alla riservatezza e vi acceda solo nella misura necessaria per fornire il servizio, per supportare il Cliente su sua richiesta, per gestire segnalazioni e abusi, o per adempiere agli obblighi di legge.
5. Sicurezza
BlinkFix implementa misure tecniche e organizzative adeguate per proteggere i Dati Personali del Cliente (Articolo 32 GDPR UK/UE), tra cui:
- crittografia in transito (TLS) per tutto il traffico, e crittografia a riposo fornita da Google Cloud (i nostri server e i dischi dei database) e Cloudflare (file e backup);
- password e PIN memorizzati solo come hash; segreti di integrazione memorizzati in forma crittografata; chiavi API limitate e revocabili; webhook firmati;
- controllo degli accessi per postazione e ruolo; accesso del personale ai dati di produzione limitato alle persone che ne hanno necessità; registrazione dell'accesso del personale a elementi sensibili;
- separazione dei dati dei clienti per organizzazione nell'applicazione;
- limitazione della frequenza (rate limiting) e protezione contro gli abusi;
- backup giornalieri del nostro database con log delle modifiche continui, conservati in un archivio di backup separato per 7 giorni, e una procedura per il loro ripristino;
- revisione regolare delle misure al variare del servizio.
Il Cliente è responsabile della propria sicurezza, inclusa la gestione dei seat, la segretezza delle credenziali e delle chiavi API, e la messa in sicurezza dei sistemi che connette.
6. Sub-responsabili
6.1 Il Cliente fornisce a BlinkFix un'autorizzazione generale a incaricare i sub-responsabili presenti nell'elenco Sub-responsabili.
6.2 BlinkFix fornisce al Cliente un preavviso di almeno 30 giorni per un Sub-responsabile nuovo o sostitutivo aggiornando l'elenco e inviando un'email agli admin o ai titolari dell'account del Cliente. Il Cliente può opporsi per ragionevoli motivi legati alla protezione dei dati entro tale periodo. Le parti discuteranno l'obiezione in buona fede; se non fosse possibile risolverla, il Cliente potrà terminare il servizio interessato e ricevere un rimborso delle tariffe prepagate per il periodo rimanente.
6.3 BlinkFix impone a ciascun sub-responsabile obblighi di protezione dei dati non meno protettivi del presente DPA e rimane responsabile del loro operato.
7. Trasferimenti internazionali
7.1 L'hosting principale di BlinkFix, incluso il suo database, si trova su Google Cloud a Francoforte, Germania (UE). I backup del database sono conservati in Cloudflare R2. Il server email di BlinkFix si trova in Canada. Alcuni sub-responsabili, incluso il servizio di IA, trattano i dati negli USA o altrove, come indicato nell'elenco.
7.2 Laddove i Dati Personali del Cliente vengano trasferiti al di fuori del Regno Unito o dello SEE verso un paese privo di una decisione di adeguatezza, BlinkFix garantisce misure di salvaguardia appropriate: il Data Privacy Framework UE-USA e la relativa estensione per il Regno Unito per i destinatari certificati, o le clausole contrattuali standard della Commissione Europea (Decisione 2021/914, modulo 3 da responsabile a responsabile o modulo 2, a seconda dei casi) con l'Addendum per il trasferimento internazionale di dati del Regno Unito, unitamente a una valutazione dell'impatto del trasferimento e a misure supplementari ove necessario. Un trasferimento verso un paese dotato di una decisione di adeguatezza, come il Canada per le organizzazioni commerciali, si basa su tale decisione.
7.3 Laddove il Cliente si trovi nello SEE e BlinkFix (nel Regno Unito) riceva Dati Personali del Cliente, il trasferimento è coperto dalla decisione di adeguatezza della Commissione Europea per il Regno Unito. Qualora tale decisione dovesse cessare, si applicano le clausole contrattuali standard (modulo 2, da titolare a responsabile), incorporate per riferimento, con la scelta della legge e dei tribunali irlandesi per le stesse e dell'autorità di controllo del Cliente come autorità competente.
7.4 Clienti al di fuori del Regno Unito e dello SEE. Laddove il Cliente si trovi al di fuori del Regno Unito e dello SEE (ad esempio negli Emirati Arabi Uniti o negli USA) e la sua legge limiti l'invio di dati personali nel Regno Unito o nei paesi elencati nell'elenco dei sub-responsabili, le parti si basano sul presente DPA e, laddove tale legge richieda di più, sulle clausole standard e sull'addendum menzionati ai punti 7.2 e 7.3, che le parti concordano di applicare nella misura consentita da tale legge.
8. Assistenza
8.1 Richieste degli interessati. BlinkFix, tenendo conto della natura del trattamento, aiuta il Cliente a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), principalmente attraverso le funzionalità del servizio (gli admin possono visualizzare, modificare, esportare ed eliminare i dati). Se BlinkFix riceve una richiesta direttamente, indirizza la persona al Cliente e non risponde autonomamente a meno che il Cliente non lo richieda.
8.2 Valutazioni d'impatto e consultazione. BlinkFix fornisce informazioni ragionevoli per assistere il Cliente nelle valutazioni d'impatto sulla protezione dei dati e nella consultazione preventiva con un'autorità di controllo.
9. Violazioni dei dati personali
BlinkFix notifica al Cliente senza ingiustificato ritardo, e in ogni caso entro 48 ore, dopo essere venuto a conoscenza di una violazione dei dati personali che interessa i Dati Personali del Cliente, fornendo le informazioni di cui il Cliente ha ragionevolmente bisogno per adempiere ai propri obblighi (natura della violazione, categorie e numeri approssimativi, probabili conseguenze, misure adottate o proposte e un punto di contatto), aggiornandole man mano che si rendono disponibili ulteriori informazioni. BlinkFix adotta misure ragionevoli per contenere e porre rimedio alla violazione. La notifica non costituisce ammissione di colpa.
10. Audit
BlinkFix mette a disposizione le informazioni ragionevolmente necessarie per dimostrare la conformità al presente DPA e all'Articolo 28, incluse le risposte scritte ai questionari di sicurezza una volta all'anno. Se ciò non fosse sufficiente, o qualora un'autorità di controllo lo richiedesse, il Cliente può effettuare un audit (direttamente o tramite un revisore indipendente vincolato alla riservatezza) con un preavviso di almeno 30 giorni, durante l'orario lavorativo, al massimo una volta all'anno, a proprie spese e senza accesso ai dati di altri clienti.
11. Cancellazione e restituzione
11.1 Durante la vigenza dell'Accordo, gli admin possono eliminare i Dati Personali del Cliente ed esportarli (esportazioni CSV e JSON, e tramite API).
11.2 Al termine dell'Accordo, il Cliente ha 30 giorni di tempo per esportare i propri dati. BlinkFix provvede quindi a eliminare i Dati Personali del Cliente entro ulteriori 30 giorni, inclusi quelli dai sistemi attivi, a meno che la legge del Regno Unito o dell'UE non ne richieda la conservazione. I backup vengono conservati per 7 giorni e successivamente eliminati secondo il loro ciclo normale, e non vengono ripristinati se non per il disaster recovery. Su richiesta, BlinkFix conferma la cancellazione per iscritto.
11.3 I dati relativi agli esercizi su BlinkFix, ai loro ordini e agli account BlinkFix personali del personale non sono Dati Personali del Cliente Enterprise e continuano a essere disciplinati dal documento Termini per gli Esercenti e dall'Informativa sulla privacy.
12. Responsabilità e prevalenza
12.1 La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta ai limiti previsti nell'Accordo.
12.2 In caso di conflitto tra il presente DPA e l'Accordo, il presente DPA prevale per il trattamento dei Dati Personali del Cliente. Qualora le clausole contrattuali standard o l'Addendum del Regno Unito si applichino e siano in conflitto con il presente DPA, prevalgono queste ultime.
12.3 Il presente DPA è regolato dalla legge che disciplina l'Accordo.
13. Contatti
Privacy e protezione dei dati: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Regno Unito.
Registrazione presso l'Information Commissioner's Office del Regno Unito: richiesta (domanda C2042936).
Rappresentante UE (Art. 27 GDPR)
Il rappresentante di BlinkFix nell'Unione Europea ai sensi dell'Articolo 27 del GDPR UE è Michał Michalek, Polonia (indirizzo postale su richiesta all'indirizzo [email protected]), [email protected], +48 505 643 432. Gli interessati e le autorità di controllo dell'UE possono contattare il rappresentante in merito al trattamento effettuato da BlinkFix, incluso il trattamento ai sensi del presente DPA.
14. Leggi di altri paesi
14.1 SEE. Laddove il Cliente si trovi in Islanda, Liechtenstein o Norvegia, il presente DPA si applica come per l'UE e il "GDPR UE" include il GDPR così come applicato nello SEE.
14.2 Emirati Arabi Uniti. Laddove il Decreto-Legge Federale n. 45 del 2021 degli EAU relativo alla Protezione dei Dati Personali si applichi ai Dati Personali del Cliente, il Cliente è il titolare del trattamento e BlinkFix è il suo responsabile del trattamento, e le sezioni da 3 a 11 costituiscono i doveri di BlinkFix in qualità di responsabile del trattamento ai sensi di tale legge. Laddove si applichi la legge sulla protezione dei dati del Dubai International Financial Centre o dell'Abu Dhabi Global Market, lo stesso vale ai sensi di tale legge. Le parti fanno affidamento sul presente DPA e sulla sezione 7 per qualsiasi trasferimento al di fuori degli EAU.
14.3 Stati Uniti. Laddove una legge sulla privacy di uno stato degli USA si applichi ai Dati Personali del Cliente (ad esempio il California Consumer Privacy Act come modificato dal California Privacy Rights Act), BlinkFix è il fornitore di servizi o responsabile del trattamento del Cliente, e: (a) BlinkFix elabora i Dati Personali del Cliente solo per le finalità di cui alla sezione 2 e secondo le istruzioni del Cliente; (b) BlinkFix non li vende né li condivide (come definito dalla legge); (c) BlinkFix non li conserva, utilizza o divulga per nessun altro scopo, o al di fuori del suo rapporto commerciale diretto con il Cliente; (d) BlinkFix non li combina con dati personali ricevuti da altre fonti o raccolti autonomamente, salvo quanto consentito dalla legge; (e) BlinkFix si conforma a tale legge e fornisce lo stesso livello di protezione della privacy; (f) il Cliente può adottare misure ragionevoli (inclusa la sezione 10) per assicurarsi che BlinkFix utilizzi i dati come previsto dal presente DPA, e per interrompere e porre rimedio a utilizzi non autorizzati; (g) BlinkFix informa il Cliente entro 5 giorni lavorativi qualora non sia più in grado di adempiere ai propri obblighi ai sensi di tale legge.
14.4 Se la legge sulla protezione dei dati di un altro paese si applica e richiede requisiti ulteriori rispetto al presente DPA, le parti concorderanno in buona fede cosa aggiungere.