Datu apstrādes līgums

1. Puses un darbības joma

1.1 Šis Datu apstrādes līgums ("DAL") ir noslēgts starp BlinkFix Ltd (uzņēmuma reģ. Nr. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Apvienotā Karaliste ("BlinkFix", "Apstrādātājs") un organizāciju, piegādātāju vai piegādes uzņēmumu, kas ir piekritis Enterprise noteikumi, vai uzņēmumu, kas ir piekritis Tirgotāja noteikumi ("Klients", "Pārzinis").

1.2 Tas attiecas uz personas datiem, kurus BlinkFix apstrādā Klienta vārdā, nodrošinot BlinkFix Enterprise vai iestādes personāls un integrāciju rīkus ("Klienta personas dati"). Tas ir daļa no dokumenta Enterprise noteikumi vai dokumenta Tirgotāja noteikumi (turpmāk – "Līgums"), un tiek pieņemts kopā ar tiem.

1.3 Tas neattiecas uz personas datiem, kurus BlinkFix apstrādā kā pārzinis, kas ir aprakstīts dokumentā Privātuma politika. BlinkFix ir pārzinis, piemēram: (a) BlinkFix kontiem; (b) klientu pasūtījumiem un maksājumiem; (c) rēķiniem, maks, Izmaksām un pārskatiem; (d) pasūtījuma piegādes informācijai (vārds, adrese, tālrunis, piegādes kods) un piegāžu uzskaitei, tostarp piegādēm, ko veic piegādes uzņēmums; (e) piegādātāja pasūtījumam, tostarp pircēja piegādes informācijai; (f) automašīnu depozītiem, tostarp pretenzijām, fotogrāfijām un BlinkFix lēmumiem; (g) ierobežotai informācijai, ko BlinkFix sniedz kanāla partnerim par kontiem, kurus tas ir piesaistījis; (h) savai pārbaudei par dokumentiem, kurus piegādes uzņēmums augšupielādē, lai tiktu apstiprināts. Kad BlinkFix sniedz šādus datus piegādātājam, piegādes uzņēmumam vai kanāla partnerim, lai tas varētu veikt savu daļu, šis uzņēmums tos saņem kā atsevišķs pārzinis tikai šim mērķim, kā noteikts dokumentā Flotes noteikumi, dokumenta Enterprise noteikumi 16. sadaļā un dokumentā Kanāla partnera noteikumi.

1.4 "AK VDAR", "ES VDAR" (Regula (ES) 2016/679), "Datu aizsardzības tiesību akti", "personas dati", "apstrāde", "pārzinis", "apstrādātājs", "datu subjekts", "personas datu aizsardzības pārkāpums" un "uzraudzības iestāde" ir ar tādu nozīmi, kāda noteikta AK VDAR, 2018. gada Datu aizsardzības likumā un, kur tas ir piemērojams, ES VDAR.

2. Apstrādes informācija

3. Pārziņa norādījumi.

3.1 BlinkFix apstrādā Klienta personas datus tikai saskaņā ar Klienta dokumentētiem norādījumiem, tostarp attiecībā uz starptautisku datu pārsūtīšanu, ja vien Apvienotās Karalistes vai ES tiesību akti nenosaka citādi; šādā gadījumā BlinkFix pirms apstrādes informē Klientu, ja vien attiecīgie tiesību akti to neaizliedz.

3.2 Līgums, šis DPA un Klienta veiktā pakalpojuma izmantošana un konfigurācija (tostarp iestatījumi, integrācijas un tā admin darbības) veido Klienta pilnīgus norādījumus. Turpmākiem norādījumiem jābūt rakstveidā un atbilstošiem Līgumam.

3.3 BlinkFix nekavējoties informē Klientu, ja, pēc tā ieskatiem, kāds norādījums pārkāpj Datu aizsardzības tiesību aktus.

3.4 Klients ir atbildīgs par tā pieprasītās apstrādes likumību, par likumīga pamata esamību un par nepieciešamās informācijas sniegšanu datu subjektiem.

4. Konfidencialitāte.

BlinkFix nodrošina, ka ikviena persona, ko tas pilnvaro apstrādāt Klienta personas datus, ir saistīta ar konfidencialitātes pienākumu un piekļūst tiem tikai tiktāl, cik tas nepieciešams pakalpojuma sniegšanai, Klienta atbalstam pēc tā pieprasījuma, ziņojumu un ļaunprātīgas izmantošanas gadījumu risināšanai vai tiesību aktu ievērošanai.

5. Drošība.

BlinkFix īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai aizsargātu Klienta personas datus (Apvienotās Karalistes/ES VDAR 32. pants), tostarp:

• šifrēšanu pārsūtīšanas laikā (TLS) visai datu plūsmai un šifrēšanu glabāšanas laikā, ko nodrošina Google Cloud (mūsu serveri un datubāzu diski) un Cloudflare (faili un dublējumi);
• paroles un PIN kodus, kas tiek glabāti tikai kā jaucējkodi; integrācijas noslēpumus, kas tiek glabāti šifrētā veidā; API atslēgas ar ierobežotu darbības jomu un atsaukšanas iespēju; parakstītus webhook.
• piekļuves kontroli pēc seat un lomas; personāls piekļuvi ražošanas datiem, kas ierobežota līdz personām, kurām tas ir nepieciešams; personāls piekļuves žurnālu uzturēšanu sensitīviem vienumiem;
• klientu datu nošķiršanu pa organizācijām lietotnē;
• ātruma ierobežošanu un aizsardzību pret ļaunprātīgu izmantošanu;
• ikdienas mūsu datubāzes dublējumus ar nepārtrauktiem izmaiņu žurnāliem, kas tiek glabāti atsevišķā dublējumu krātuvē 7 dienas, un procesu to atjaunošanai;
• regulāru pasākumu pārskatīšanu, mainoties pakalpojumam.

Klients ir atbildīgs par savu drošību, tostarp seat pārvaldību, akreditācijas datu un API atslēgu glabāšanu slepenībā un tā sistēmu, kuras tas pieslēdz, nodrošināšanu.

6. Apakšapstrādātāji.

6.1 Klients sniedz BlinkFix vispārēju pilnvarojumu piesaistīt apakšapstrādātājus, kas norādīti Apakšapstrādātāji. sarakstā.

6.2 BlinkFix sniedz Klientam vismaz 30 dienu paziņojumu par jaunu vai aizstātu apakšapstrādātāju, atjauninot sarakstu un nosūtot e-pastu Klienta admin vai konta īpašniekiem. Klients var iebilst, pamatojoties uz pamatotiem datu aizsardzības apsvērumiem, minētajā termiņā. Puses labticīgi apspriedīs iebildumu; ja to neizdodas atrisināt, Klients var izbeigt attiecīgo pakalpojumu un saņemt priekšapmaksas maksu atmaksu par atlikušo periodu.

6.3 BlinkFix uzliek katram apakšapstrādātājam datu aizsardzības pienākumus, kas nav mazāk aizsargājoši kā šis DPA, un paliek atbildīgs par to performance.

7. Starptautiskā datu pārsūtīšana

7.1 BlinkFix galvenā mitināšana, tostarp datubāze, atrodas Google Cloud Frankfurtē, Vācijā (ES). Datubāzu dublējumi tiek glabāti Cloudflare R2. BlinkFix e-pasta serveris atrodas Kanādā. Daži apakšapstrādātāji, tostarp AI pakalpojums, apstrādā datus ASV vai citur, kā norādīts sarakstā.

7.2 Ja Klienta personas dati tiek pārsūtīti ārpus Apvienotās Karalistes vai EEZ uz valsti bez lēmuma par aizsardzības līmeņa pietiekamību, BlinkFix nodrošina atbilstošus aizsardzības pasākumus: ES–ASV Datu privātuma ietvarstruktūru un tās Apvienotās Karalistes paplašinājumu sertificētiem saņēmējiem vai Eiropas Komisijas standarta līguma klauzulas (Lēmums 2021/914, 3. modulis apstrādātājs-apstrādātājam vai 2. modulis, ja piemērojams) ar Apvienotās Karalistes Starptautiskās datu pārsūtīšanas papildinājumu, kopā ar pārsūtīšanas riska novērtējumu un papildu pasākumiem, kur nepieciešams. Pārsūtīšana uz valsti ar lēmumu par aizsardzības līmeņa pietiekamību, piemēram, Kanādu komercorganizācijām, balstās uz šo lēmumu.

7.3 Ja klients atrodas EEZ un BlinkFix (Apvienotajā Karalistē) saņem klienta personas datus, uz šādu pārsūtīšanu attiecas Eiropas Komisijas lēmums par aizsardzības līmeņa pietiekamību attiecībā uz Apvienoto Karalisti. Ja šis lēmums beidzas, tiek piemēroti un ar atsauci iekļauti standarta līguma noteikumi (2. modulis, pārzinis apstrādātājam), izvēloties Īrijas tiesību aktus un tiesas, un par kompetento iestādi nosakot klienta uzraudzības iestādi.

7.4 Klienti ārpus Apvienotās Karalistes un EEZ. Ja klients atrodas ārpus Apvienotās Karalistes un EEZ (piemēram, Apvienotajos Arābu Emirātos vai ASV) un tā tiesību akti ierobežo personas datu nosūtīšanu uz Apvienoto Karalisti vai uz valstīm, kas norādītas apakšapstrādātāju sarakstā, puses paļaujas uz šo DPA un, ja minētie tiesību akti pieprasa vairāk, uz standarta noteikumiem un 7.2. un 7.3. punktā minēto papildinājumu, kuru piemērošanu puses saskaņo tiktāl, ciktāl to pieļauj attiecīgie tiesību akti.

8. Palīdzība

8.1 Datu subjekta pieprasījumi. BlinkFix, ņemot vērā apstrādes raksturu, palīdz klientam atbildēt uz datu subjektu pieprasījumiem (piekļuve, labošana, dzēšana, ierobežošana, pārnesamība, iebildumi), galvenokārt izmantojot pakalpojuma funkcijas (admini var skatīt, rediģēt, eksportēt un dzēst datus). Ja BlinkFix saņem pieprasījumu tieši, tas novirza personu pie klienta un pats nesniedz atbildi, ja vien klients to nelūdz.

8.2 Ietekmes novērtējumi un konsultācijas. BlinkFix sniedz saprātīgu informāciju, lai palīdzētu klientam veikt datu aizsardzības ietekmes novērtējumus un iepriekšējas konsultācijas ar uzraudzības iestādi.

9. Personas datu aizsardzības pārkāpumi

BlinkFix paziņo klientam bez nepamatotas kavēšanās un jebkurā gadījumā 48 stundu laikā pēc tam, kad ir uzzinājis par personas datu aizsardzības pārkāpumu, kas skar klienta personas datus, sniedzot informāciju, kas klientam saprātīgi nepieciešama savu saistību izpildei (pārkāpuma raksturs, kategorijas un aptuvens skaits, iespējamās sekas, veiktie vai ierosinātie pasākumi un kontaktpunkts), atjauninot to, tiklīdz kļūst zināms vairāk. BlinkFix veic saprātīgus pasākumus, lai ierobežotu un novērstu pārkāpumu. Paziņošana nav vainas atzīšana.

10. Auditi

BlinkFix dara pieejamu informāciju, kas ir saprātīgi nepieciešama, lai pierādītu atbilstību šim DPA un 28. pantam, tostarp rakstiskas atbildes uz drošības anketām vienu reizi gadā. Ja ar to nepietiek vai to pieprasa uzraudzības iestāde, klients var veikt auditu (pats vai ar neatkarīga auditora starpniecību, kuram ir saistoša konfidencialitāte), paziņojot par to vismaz 30 dienas iepriekš, darba laikā, ne biežāk kā reizi gadā, uz sava rēķina un bez piekļuves citu klientu datiem.

11. Dzēšana un atgriešana

11.1 Līguma darbības laikā admini var dzēst klienta personas datus un eksportēt tos (CSV un JSON eksports, kā arī izmantojot API).

11.2 Kad Līgums beidzas, klientam ir 30 dienas savu datu eksportēšanai. Pēc tam BlinkFix dzēš klienta personas datus nākamo 30 dienu laikā, tostarp no aktīvajām sistēmām, ja vien Apvienotās Karalistes vai ES tiesību akti nepieprasa to saglabāšanu. Rezerves kopijas tiek glabātas 7 dienas un pēc tam dzēstas saskaņā ar to parasto ciklu, un tās netiek atjaunotas, izņemot katastrofu seku novēršanai. Pēc pieprasījuma BlinkFix rakstiski apstiprina dzēšanu.

11.3 Dati par iestādēm pakalpojumā BlinkFix, to pasūtījumi un to personāla personīgie BlinkFix konti nav Enterprise klienta personas dati, un uz tiem turpina attiekties dokumenta Tirgotāja noteikumi un Privātuma politika.

12. Atbildība un prioritāte

12.1 Katras puses atbildība saskaņā ar šo DPA ir pakļauta Līgumā noteiktajiem ierobežojumiem.

12.2 Ja šis DPA ir pretrunā ar Līgumu, šis DPA ir noteicošais attiecībā uz klienta personas datu apstrādi. Ja standarta līguma noteikumi vai Apvienotās Karalistes papildinājums ir piemērojami un ir pretrunā ar šo DPA, tie ir noteicošie.

12.3 Šo DPA regulē tiesību akti, kas regulē Līgumu.

13. Kontakti

Privātums un datu aizsardzība: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, United Kingdom.

Reģistrācija Apvienotās Karalistes Informācijas komisāra birojā: pieteikts (pieteikums C2042936).

ES pārstāvis (VDAR 27. pants)

BlinkFix pārstāvis Eiropas Savienībā saskaņā ar ES VDAR 27. pantu ir Michał Michalek, Polija (pasta adrese pēc pieprasījuma uz [email protected]), [email protected], +48 505 643 432. ES datu subjekti un uzraudzības iestādes var sazināties ar pārstāvi par BlinkFix veikto apstrādi, tostarp apstrādi saskaņā ar šo DPA.

14. Citu valstu tiesību akti

14.1 EEZ. Ja klients atrodas Islandē, Lihtenšteinā vai Norvēģijā, šis DPA ir piemērojams tāpat kā ES, un "ES VDAR" ietver VDAR, kā tas ir piemērojams EEZ.

14.2 Apvienotie Arābu Emirāti. Ja uz klienta personas datiem attiecas AAE Federālais dekrētlikums Nr. 45 (2021) par personas datu aizsardzību, klients ir pārzinis un BlinkFix ir tā apstrādātājs, un 3. līdz 11. sadaļa ir BlinkFix kā apstrādātāja pienākumi saskaņā ar minēto likumu. Ja uz datiem attiecas Dubaijas Starptautiskā finanšu centra vai Abū Dabī Globālā tirgus datu aizsardzības likums, tas pats attiecas arī saskaņā ar šo likumu. Puses paļaujas uz šo DPA un 7. sadaļu attiecībā uz jebkādu datu pārsūtīšanu ārpus AAE.

14.3 Amerikas Savienotās Valstis. Ja uz klienta personas datiem attiecas kādas ASV štata tiesību akti par privātumu (piemēram, Kalifornijas Patērētāju privātuma likums, kas grozīts ar Kalifornijas Privātuma tiesību likumu), BlinkFix ir klienta pakalpojumu sniedzējs vai apstrādātājs, un: (a) BlinkFix apstrādā klienta personas datus tikai 2. sadaļā norādītajiem mērķiem un saskaņā ar klienta norādījumiem; (b) BlinkFix tos nepārdod un nekopīgo (kā šie vārdi definēti likumā); (c) BlinkFix tos nepatur, neizmanto un neatklāj citiem mērķiem vai ārpus tiešajām darījumu attiecībām ar klientu; (d) BlinkFix tos neapvieno ar personas datiem, ko tas saņem no citiem avotiem vai ievāc pats, izņemot gadījumus, ko pieļauj likums; (e) BlinkFix ievēro šo likumu un nodrošina tādu pašu privātuma aizsardzības līmeni; (f) klients var veikt saprātīgas darbības (tostarp saskaņā ar 10. sadaļu), lai pārliecinātos, ka BlinkFix izmanto datus tā, kā noteikts šajā DPA, kā arī lai apturētu un novērstu neatļautu izmantošanu; (g) BlinkFix informē klientu 5 darba dienu laikā, ja tas vairs nespēj izpildīt savas saistības saskaņā ar šo likumu.

14.4 Ja tiek piemēroti citas valsts datu aizsardzības tiesību akti un tie pieprasa vairāk nekā šis DPA, puses labticīgi vienosies par to, ko pievienot.