Duomenų tvarkymo sutartis
Kaip „BlinkFix“ tvarko asmens duomenis „Enterprise“ organizacijų, tiekėjų, pristatymo įmonių ir įstaigų vardu.
Tai tik patogumo dėlei pateiktas vertimas. Teisiškai įpareigoja angliška versija. Skaityti anglišką versiją
Turinys
1. Šalys ir taikymo sritis
1.1 Ši Duomenų tvarkymo sutartis („DTS“) sudaroma tarp BlinkFix Ltd (įmonės kodas 13505930), 27 Old Gloucester Street, London WC1N 3AX, Jungtinė Karalystė („BlinkFix“, „Duomenų tvarkytojas“) ir organizacijos, tiekėjo arba pristatymo įmonės, kuri sutiko su „Enterprise“ sąlygos, arba verslo subjekto, kuris sutiko su Prekybininko sąlygos („Klientas“, „Duomenų valdytojas“).
1.2 Ji taikoma asmens duomenims, kuriuos „BlinkFix“ tvarko Kliento vardu teikdama „BlinkFix Enterprise“ arba įstaigos personalo ir integracijų įrankius („Kliento asmens duomenys“). Ji yra dokumento „Enterprise“ sąlygos arba dokumento Prekybininko sąlygos („Sutartis“) dalis ir priimama kartu su jomis.
1.3 Ji netaikoma asmens duomenims, kuriuos „BlinkFix“ tvarko kaip duomenų valdytojas, kas aprašyta Privatumo politika. „BlinkFix“ yra duomenų valdytojas, pavyzdžiui: (a) „BlinkFix“ paskyrų; (b) klientų užsakymų ir mokėjimų; (c) atsiskaitymų, piniginių, išmokų ir ataskaitų; (d) užsakymo pristatymo duomenų (vardas, adresas, telefonas, pristatymo kodas) ir pristatymų įrašų, įskaitant pristatymus, kuriuos atlieka pristatymo įmonė; (e) tiekėjo užsakymo, įskaitant pirkėjo pristatymo duomenis; (f) automobilių užstatų, įskaitant pretenzijas, nuotraukas ir „BlinkFix“ sprendimus; (g) ribotos informacijos, kurią „BlinkFix“ pateikia kanalo partneriui apie jo pristatytas paskyras; (h) savo atliekamo pristatymo įmonės įkeltų dokumentų patikrinimo. Kai „BlinkFix“ pateikia tokius duomenis tiekėjui, pristatymo įmonei ar kanalo partneriui, kad šie galėtų atlikti savo dalį, tas verslo subjektas juos gauna kaip atskiras duomenų valdytojas, tik šiam tikslui, kaip nurodyta Transporto parko sąlygos, dokumento „Enterprise“ sąlygos 16 skirsnyje ir dokumento Partnerių kanalo sąlygos.
1.4 „JK BDAR“, „ES BDAR“ (Reglamentas (ES) 2016/679), „Duomenų apsaugos įstatymai“, „asmens duomenys“, „tvarkymas“, „duomenų valdytojas“, „duomenų tvarkytojas“, „duomenų subjektas“, „asmens duomenų saugumo pažeidimas“ ir „priežiūros institucija“ turi reikšmes, nurodytas JK BDAR, 2018 m. Duomenų apsaugos įstatyme ir, kai taikoma, ES BDAR.
2. Tvarkymo detalės
| Elementas | Aprašymas |
|---|---|
| Dalykas | „BlinkFix Enterprise“ ir personalo / integracijų įrankių teikimas pagal Sutartį |
| Trukmė | Sutarties galiojimo laikotarpis plius 11 skirsnyje nurodytas duomenų ištrynimo laikotarpis |
| Pobūdis ir tikslas | Patalpinimas, saugojimas, organizavimas, rodymas, perdavimas (pokalbiai, transliacijos, pranešimai, žiniatinklio kabliukai ir Jūsų įjungtos integracijos), skaičiavimas (valandos, premijos, mokesčiai, pardavimai), eksportavimas ir tvarkymas naudojant DI, kai vietos turėtojas naudojasi dirbtinio intelekto asistentu arba importuoja meniu ar produktų sąrašą. Pristatymo įmonei: jos kurjerių dokumentų ir pamainų įrašų saugojimas bei priminimas prieš pasibaigiant dokumento galiojimui. Tiekėjui: jo produktų, užsakymų ir sąskaitų faktūrų saugojimas |
| Duomenų subjektų kategorijos | Kliento vietų turėtojai, vadovai ir personalas; Kliento organizacijos įstaigų personalas; franšizės gavėjai ir jų kontaktai; Kliento verslo kontaktai ir tiekėjai; Kliento įstaigų klientai, kai Klientas įjungia kontaktų sinchronizavimą arba eksportą; pristatymo įmonei – jos kurjeriai ir dispečeriai; tiekėjui – jo personalas |
| Asmens duomenų kategorijos | Vardai, darbo el. paštas, telefonas, pareigos ir vaidmenys, įstaigos ir regiono priskyrimai, darbo valandos ir atvykimo/išvykimo įrašai bei pataisymai, įstaigos planšetinio kompiuterio prieiga, bonusai ir bonusų išmokos, pranešimai, failai ir dokumentų patvirtinimai, prieigos žurnalai, „push“ pranešimų žetonai ir įrenginių pavadinimai, kontaktiniai duomenys importuojant, bei Kliento vardas, el. paštas ir telefonas, kai įjungtas kontaktų sinchronizavimas; pristatymo įmonės atveju – jos kurjerių vardai ir kontaktiniai duomenys, vairuotojo pažymėjimas, draudimo ir leidimų dokumentai, transporto priemonės duomenys, pamainos ir darbo laikas; tiekėjo atveju – jo personalo vardai ir darbo el. paštas bei jo įvedami produktų ir sąskaitų faktūrų duomenys |
| Specialių kategorijų duomenys | Nenumatyta. Klientas neturi įkelti specialių kategorijų duomenų (pavyzdžiui, sveikatos duomenų) į Enterprise, nebent tai yra griežtai būtina ir teisėta |
| Dažnumas | Nuolatinis |
3. Duomenų valdytojo nurodymai
3.1 BlinkFix tvarko Kliento asmens duomenis tik pagal dokumentais patvirtintus Kliento nurodymus, įskaitant tarptautinius perdavimus, nebent Jungtinės Karalystės arba ES teisė reikalauja kitaip; tokiu atveju BlinkFix informuoja Klientą prieš pradedant tvarkymą, nebent ta teisė tai draudžia.
3.2 Sutartis, šis DPA ir Kliento naudojimasis bei paslaugos konfigūracija (įskaitant nustatymus, integracijas ir jo administratorių veiksmus) yra išsamūs Kliento nurodymai. Tolesni nurodymai turi būti pateikti raštu ir atitikti Sutartį.
3.3 BlinkFix nedelsdama informuoja Klientą, jei, jos nuomone, nurodymas pažeidžia duomenų apsaugos teisės aktus.
3.4 Klientas yra atsakingas už tvarkymo, kurį jis nurodo, teisėtumą, už teisėto pagrindo turėjimą ir už duomenų subjektų informavimą reikalaujama informacija.
4. Konfidencialumas
BlinkFix užtikrina, kad visi asmenys, kuriuos ji įgalioja tvarkyti Kliento asmens duomenis, yra saistomi konfidencialumo ir prieigą prie jų turi tik tiek, kiek reikia paslaugai teikti, Klientui jo prašymu padėti, pranešimams ir piktnaudžiavimui nagrinėti arba teisės aktų laikymuisi užtikrinti.
5. Sauga
BlinkFix įgyvendina tinkamas technines ir organizacines priemones Kliento asmens duomenims apsaugoti (JK/ES BDAR 32 straipsnis), įskaitant:
- šifravimą perduodant (TLS) visam srautui ir šifravimą ramybės būsenoje, kurį užtikrina Google Cloud (mūsų serveriai ir duomenų bazių diskai) bei Cloudflare (failai ir atsarginės kopijos);
- slaptažodžius ir PIN kodus, saugomus tik kaip maišos; integracijų paslaptis, saugomas užšifruotas; API raktus, kurių apimtis apribota ir kuriuos galima atšaukti; pasirašytus „webhook“ pranešimus;
- prieigos kontrolę pagal vietą ir vaidmenį; personalo prieigą prie produkcijos duomenų, apribotą tik tais asmenimis, kuriems jos reikia; personalo prieigos prie jautrių elementų registravimą;
- klientų duomenų atskyrimą pagal organizaciją programoje;
- srauto ribojimą ir apsaugą nuo piktnaudžiavimo;
- kasdienes mūsų duomenų bazės atsargines kopijas su nuolatiniais pakeitimų žurnalais, saugomas atskiroje atsarginių kopijų saugykloje 7 dienas, ir jų atkūrimo procesą;
- reguliarią priemonių peržiūrą keičiantis paslaugai.
Klientas yra atsakingas už savo paties saugą, įskaitant vietų valdymą, prisijungimo duomenų ir API raktų laikymą paslaptyje bei savo prijungiamų sistemų saugumą.
6. Subtvarkytojai
6.1 Klientas suteikia BlinkFix bendrą įgaliojimą pasitelkti subtvarkytojus, nurodytus Subtvarkytojai sąraše.
6.2 BlinkFix pateikia Klientui bent 30 dienų įspėjimą apie naują arba pakeistą subtvarkytoją atnaujindama sąrašą ir išsiųsdama el. laišką Kliento administratoriams arba paskyros savininkams. Klientas gali pagrįstai prieštarauti dėl duomenų apsaugos priežasčių per tą laikotarpį. Šalys sąžiningai aptars prieštaravimą; jei jo nepavyksta išspręsti, Klientas gali nutraukti paveiktą paslaugą ir gauti iš anksto sumokėtų mokesčių grąžinimą už likusį laikotarpį.
6.3 BlinkFix kiekvienam subtvarkytojui nustato duomenų apsaugos įsipareigojimus, kurie yra ne mažiau apsaugantys nei šis DPA, ir išlieka atsakinga už jų veiklos rezultatus.
7. Tarptautinis duomenų perdavimas
7.1 Pagrindinis BlinkFix prieglobstis, įskaitant duomenų bazę, yra Google Cloud Frankfurte, Vokietijoje (ES). Duomenų bazių atsarginės kopijos saugomos Cloudflare R2. BlinkFix el. pašto serveris yra Kanadoje. Kai kurie subtvarkytojai, įskaitant dirbtinio intelekto paslaugą, tvarko duomenis JAV arba kitur, kaip nurodyta sąraše.
7.2 Kai Kliento asmens duomenys perduodami už JK arba EEE ribų į šalį, kuriai nėra priimtas sprendimas dėl tinkamumo, BlinkFix užtikrina tinkamas apsaugos priemones: ES ir JAV duomenų privatumo sistemą ir jos JK priedą sertifikuotiems gavėjams arba Europos Komisijos standartines sutarčių sąlygas (Sprendimas 2021/914, 3 modulis „tvarkytojas-tvarkytojui“ arba 2 modulis, atitinkamai) su JK tarptautinio duomenų perdavimo priedu, kartu su perdavimo rizikos vertinimu ir papildomomis priemonėmis, kai reikia. Perdavimas į šalį, kuriai priimtas sprendimas dėl tinkamumo, pavyzdžiui, Kanadą komercinėms organizacijoms, remiasi tuo sprendimu.
7.3 Kai klientas yra EEE, o „BlinkFix“ (JK) gauna kliento asmens duomenis, perdavimui taikomas Europos Komisijos sprendimas dėl tinkamumo JK. Jei šis sprendimas nustoja galioti, taikomos standartinės sutarčių sąlygos (2 modulis, duomenų valdytojas duomenų tvarkytojui), kurios įtraukiamos nuoroda, pasirenkant Airijos teisę ir teismus, o kliento priežiūros institucija laikoma kompetentinga institucija.
7.4 Klientai už JK ir EEE ribų. Kai klientas yra už JK ir EEE ribų (pavyzdžiui, Jungtiniuose Arabų Emyratuose arba JAV) ir jo teisės aktai riboja asmens duomenų perdavimą į JK arba į šalis, nurodytas subrangovų sąraše, šalys remiasi šiuo DPA, o kai tie teisės aktai reikalauja daugiau – 7.2 ir 7.3 punktuose nurodytomis standartinėmis sąlygomis ir priedu, dėl kurių taikymo šalys susitaria tiek, kiek tai leidžia tie teisės aktai.
8. Pagalba
8.1 Duomenų subjekto prašymai. „BlinkFix“, atsižvelgdama į duomenų tvarkymo pobūdį, padeda klientui reaguoti į duomenų subjektų prašymus (susipažinti, ištaisyti, ištrinti, apriboti, perkeliamumas, nesutikimas), daugiausia naudodamasi paslaugos funkcijomis (admin gali peržiūrėti, redaguoti, eksportuoti ir pašalinti duomenis). Jei „BlinkFix“ prašymą gauna tiesiogiai, ji nukreipia asmenį pas klientą ir pati nereaguoja, nebent klientas paprašo.
8.2 Poveikio vertinimai ir konsultacijos. „BlinkFix“ teikia pagrįstą informaciją, kad padėtų klientui atlikti poveikio duomenų apsaugai vertinimus ir išankstines konsultacijas su priežiūros institucija.
9. Asmens duomenų saugumo pažeidimai
„BlinkFix“ praneša klientui be nepagrįsto delsimo ir bet kuriuo atveju per 48 valandas po to, kai sužino apie asmens duomenų saugumo pažeidimą, turintį įtakos kliento asmens duomenims, pateikdama informaciją, kurios klientui pagrįstai reikia savo įsipareigojimams įvykdyti (pažeidimo pobūdis, kategorijos ir apytikslis skaičius, tikėtinos pasekmės, imtasi arba siūlomos priemonės ir kontaktinis asmuo), atnaujindama ją, kai paaiškėja daugiau detalių. „BlinkFix“ imasi pagrįstų veiksmų pažeidimui suvaldyti ir ištaisyti. Pranešimas nėra kaltės pripažinimas.
10. Auditai
„BlinkFix“ pateikia informaciją, pagrįstai būtiną atitikčiai šiam DPA ir 28 straipsniui įrodyti, įskaitant rašytinius atsakymus į saugumo klausimynus kartą per metus. Jei to nepakanka arba to reikalauja priežiūros institucija, klientas gali atlikti auditą (pats arba per nepriklausomą auditorių, saistomą konfidencialumo) ne mažiau kaip prieš 30 dienų įspėjus, darbo valandomis, ne dažniau kaip kartą per metus, savo sąskaita ir be prieigos prie kitų klientų duomenų.
11. Ištrynimas ir grąžinimas
11.1 Sutarties galiojimo metu admin gali ištrinti kliento asmens duomenis ir juos eksportuoti (CSV ir JSON eksportas bei per API).
11.2 Pasibaigus sutarčiai, klientas turi 30 dienų savo duomenims eksportuoti. Tada „BlinkFix“ per kitas 30 dienų ištrina kliento asmens duomenis, įskaitant iš aktyvių sistemų, nebent JK arba ES teisė reikalauja juos saugoti. Atsarginės kopijos saugomos 7 dienas, o vėliau ištrinamos pagal įprastą ciklą ir neatkuriamos, išskyrus atvejus, kai reikia atkurti po nelaimingų atsitikimų. Gavusi prašymą, „BlinkFix“ raštu patvirtina ištrynimą.
11.3 Duomenys apie įstaigas platformoje BlinkFix, jų užsakymus ir jų personalo asmenines BlinkFix paskyras nėra Enterprise Kliento Kliento asmens duomenys ir toliau tvarkomi pagal Prekybininko sąlygos bei Privatumo politika.
12. Atsakomybė ir pirmenybė
12.1 Kiekvienos šalies atsakomybė pagal šį DPA yra ribojama Sutartyje nustatytais limitais.
12.2 Jei šis DPA prieštarauja Sutarčiai, šis DPA turi pirmenybę tvarkant kliento asmens duomenis. Jei taikomos standartinės sutarčių sąlygos arba JK priedas ir jie prieštarauja šiam DPA, jie turi pirmenybę.
12.3 Šiam DPA taikoma teisė, kuri reglamentuoja Sutartį.
13. Kontaktai
Privatumas ir duomenų apsauga: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Jungtinė Karalystė.
Registracija JK Informacijos komisaro biure: pateikta paraiška (paraiška C2042936).
ES atstovas (BDAR 27 str.)
„BlinkFix“ atstovas Europos Sąjungoje pagal ES BDAR 27 straipsnį yra Michał Michalek, Lenkija (pašto adresas pagal užklausą [email protected]), [email protected], +48 505 643 432. ES duomenų subjektai ir priežiūros institucijos gali susisiekti su atstovu dėl „BlinkFix“ vykdomo duomenų tvarkymo, įskaitant tvarkymą pagal šį DPA.
14. Kitų šalių teisės aktai
14.1 EEE. Kai klientas yra Islandijoje, Lichtenšteine arba Norvegijoje, šis DPA taikomas taip pat, kaip ir ES, o „ES BDAR“ apima BDAR, kaip jis taikomas EEE.
14.2 Jungtiniai Arabų Emyratai. Kai kliento asmens duomenims taikomas JAE federalinis dekretas-įstatymas Nr. 45 dėl asmens duomenų apsaugos (2021 m.), klientas yra duomenų valdytojas, o „BlinkFix“ yra jo duomenų tvarkytojas, o 3–11 skirsniai yra „BlinkFix“ kaip duomenų tvarkytojo pareigos pagal tą įstatymą. Kai taikomas Dubajaus tarptautinio finansų centro arba Abu Dabio pasaulinės rinkos duomenų apsaugos įstatymas, tas pats galioja ir pagal tą įstatymą. Šalys remiasi šiuo DPA ir 7 skirsniu bet kokiam perdavimui iš JAE.
14.3 Jungtinės Valstijos. Kai JAV valstijos privatumo įstatymas taikomas kliento asmens duomenims (pavyzdžiui, Kalifornijos vartotojų privatumo įstatymas, iš dalies pakeistas Kalifornijos privatumo teisių įstatymu), „BlinkFix“ yra kliento paslaugų teikėjas arba duomenų tvarkytojas, ir: (a) „BlinkFix“ tvarko kliento asmens duomenis tik 2 skirsnyje nurodytais tikslais ir pagal kliento nurodymus; (b) „BlinkFix“ jų neparduoda ir nebendrina (kaip šie žodžiai apibrėžti įstatyme); (c) „BlinkFix“ jų nesaugo, nenaudoja ir neatskleidžia jokiais kitais tikslais arba už savo tiesioginių verslo santykių su klientu ribų; (d) „BlinkFix“ jų nesujungia su asmens duomenimis, kuriuos gauna iš kitų šaltinių arba renka pati, išskyrus atvejus, kai tai leidžia įstatymas; (e) „BlinkFix“ laikosi šio įstatymo ir užtikrina tokį patį privatumo apsaugos lygį; (f) klientas gali imtis pagrįstų veiksmų (įskaitant nurodytus 10 skirsnyje), siekdamas užtikrinti, kad „BlinkFix“ naudoja duomenis taip, kaip nurodyta šiame DPA, bei sustabdyti ir ištaisyti neteisėtą naudojimą; (g) „BlinkFix“ per 5 darbo dienas informuoja klientą, jei nebegali vykdyti savo įsipareigojimų pagal tą įstatymą.
14.4 Jei taikomas kitos šalies duomenų apsaugos įstatymas ir jame reikalaujama daugiau nei šiame DPA, šalys sąžiningai susitars, ką įtraukti.