Databehandleravtale
Hvordan BlinkFix behandler personopplysninger på vegne av Enterprise-organisasjoner, leverandører, leveringsselskaper og etablissementer.
Dette er en oversettelse for enkelhets skyld. Den engelske versjonen er den bindende. Les den engelske versjonen
Innhold
1. Parter og virkeområde
1.1 Denne Databehandleravtale («DPA») er inngått mellom BlinkFix Ltd (selskapsnr. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Storbritannia («BlinkFix», «databehandleren»), og organisasjonen, leverandøren eller leveringsselskapet som har godkjent Enterprise-vilkår, eller virksomheten som har godkjent Vilkår for selgere («kunden», «behandlingsansvarlig»).
1.2 Den gjelder for personopplysninger som BlinkFix behandler på vegne av kunden ved levering av BlinkFix Enterprise eller et etablissements verktøy for ansatte og integrasjoner («kundens personopplysninger»). Den utgjør en del av, og godtas sammen med, Enterprise-vilkårene eller dokumentet Vilkår for selgere («avtalen»).
1.3 Den gjelder ikke for personopplysninger som BlinkFix behandler som behandlingsansvarlig, noe som er beskrevet i Personvernerklæring. BlinkFix er behandlingsansvarlig for, for eksempel: (a) BlinkFix-kontoer; (b) kunders bestillinger og betalinger; (c) fakturering, lommebøker, utbetalinger og kontoutskrifter; (d) leveringsdetaljer for en bestilling (navn, adresse, telefon, leveringskode) og oversikt over leveringer, inkludert leveringer utført av et leveringsselskap; (e) en leverandørbestilling, inkludert kjøperens leveringsdetaljer; (f) bilinnskudd, inkludert krav, bilder og BlinkFix' beslutninger; (g) den begrensede informasjonen BlinkFix gir en kanalpartner om kontoene den har introdusert; (h) sin egen kontroll av dokumentene et leveringsselskap laster opp for å bli godkjent. Når BlinkFix gir slike data til en leverandør, et leveringsselskap eller en kanalpartner slik at den kan utføre sin del, mottar virksomheten disse som en separat behandlingsansvarlig, kun for det formålet, slik Flåtevilkår, punkt 16 i Enterprise-vilkårene og dokumentet Vilkår for kanalpartnere angir.
1.4 «UK GDPR», «EU GDPR» (forordning (EU) 2016/679), «personopplysningslovgivning», «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «den registrerte», «brudd på personopplysningssikkerheten» og «tilsynsmyndighet» har betydningen som er angitt i UK GDPR, Data Protection Act 2018 og, der det er relevant, EU GDPR.
2. Detaljer om behandlingen
| Element | Beskrivelse |
|---|---|
| Formål | Levering av BlinkFix Enterprise og verktøy for ansatte/integrasjoner i henhold til avtalen |
| Varighet | Avtalens løpetid pluss slettingstiden i punkt 11 |
| Art og formål | Hosting, lagring, organisering, visning, overføring (chat, kringkastinger, varsler, webhooks og integrasjoner du aktiverer), beregning (timer, bonuser, gebyrer, salg), eksport og behandling med AI når en seteinnehaver bruker AI-assistenten eller importerer en meny eller produktliste. For et leveringsselskap: lagring av sjåførenes dokumenter og skiftlogger, samt påminnelse før et dokument utløper. For en leverandør: lagring av produkter, bestillinger og fakturaer |
| Kategorier av registrerte | Kundens seteinnehavere, ledere og ansatte; ansatte ved etablissementer i kundens organisasjon; franchisetakere og deres kontakter; kundens forretningskontakter og leverandører; kunder av kundens etablissementer der kunden aktiverer kontaktsynkronisering eller eksport; for et leveringsselskap, dets sjåfører og disponenter; for en leverandør, dens ansatte |
| Kategorier av personopplysninger | Navn, arbeids-e-post, telefon, stillingstitler og roller, tildeling av etablissement og region, arbeidstid og registreringer og korrigeringer av inn-/utstempling, tilgang til etablissementets nettbrett, bonuser og bonusutbetalinger, meldinger, filer og dokumentaksepter, tilgangslogger, push-tokens og enhetsnavn, kontaktdetaljer i importer, samt kundenavn, e-post og telefon der kontaktsynkronisering er aktivert; for et leveringsselskap, sjåførenes navn og kontaktdetaljer, førerkort, forsikrings- og tillatelsesdokumenter, kjøretøydetaljer, skift og arbeidstider; for en leverandør, de ansattes navn og arbeids-e-post samt produkt- og fakturadata som legges inn |
| Særlige kategorier av personopplysninger | Ingen tilsiktet. Kunden må ikke legge inn særlige kategorier av personopplysninger (for eksempel helseopplysninger) i Enterprise med mindre det er strengt nødvendig og lovlig |
| Hyppighet | Kontinuerlig |
3. Behandlingsansvarligs instruksjoner
3.1 BlinkFix behandler kundens personopplysninger kun etter kundens dokumenterte instruksjoner, inkludert vedrørende internasjonale overføringer, med mindre annet er påkrevd i henhold til britisk eller EU-lovgivning. I slike tilfeller informerer BlinkFix kunden før behandling, med mindre lovgivningen forbyr dette.
3.2 Avtalen, denne databehandleravtalen (DPA) og kundens bruk og konfigurasjon av tjenesten (inkludert innstillinger, integrasjoner og handlinger utført av kundens administratorer) utgjør kundens fullstendige instruksjoner. Ytterligere instruksjoner må være skriftlige og i samsvar med avtalen.
3.3 BlinkFix varsler kunden umiddelbart dersom selskapet mener at en instruksjon er i strid med personvernlovgivningen.
3.4 Kunden er ansvarlig for lovligheten av behandlingen de instruerer, for å ha et lovlig behandlingsgrunnlag, og for å gi de registrerte den påkrevde informasjonen.
4. Konfidensialitet
BlinkFix sikrer at alle som er autorisert til å behandle kundens personopplysninger er bundet av konfidensialitet og kun får tilgang til opplysningene i den grad det er nødvendig for å levere tjenesten, yte støtte til kunden på forespørsel, håndtere rapporter og misbruk, eller for å overholde loven.
5. Sikkerhet
BlinkFix implementerer egnede tekniske og organisatoriske tiltak for å beskytte kundens personopplysninger (artikkel 32 i britisk/EU GDPR), inkludert:
- kryptering under transport (TLS) for all trafikk, og kryptering ved lagring levert av Google Cloud (våre servere og databasedisker) og Cloudflare (filer og sikkerhetskopier);
- passord og PIN-koder lagres kun som hasher; integrasjonshemmeligheter lagres kryptert; API-nøkler er avgrensede og kan tilbakekalles; webhooks er signerte;
- tilgangskontroll per sete og rolle; ansattes tilgang til produksjonsdata begrenset til personer som trenger det; logging av ansattes tilgang til sensitive elementer;
- separasjon av kunders data per organisasjon i applikasjonen;
- hastighetsbegrensning (rate limiting) og beskyttelse mot misbruk;
- daglige sikkerhetskopier av vår database med kontinuerlige endringslogger, oppbevart i et separat sikkerhetskopilager i 7 dager, samt en prosess for å gjenopprette disse;
- regelmessig gjennomgang av tiltakene etter hvert som tjenesten endres.
Kunden er ansvarlig for sin egen sikkerhet, inkludert administrasjon av seter, å holde påloggingsinformasjon og API-nøkler hemmelige, samt å sikre systemer som kunden kobler til.
6. Databehandlere (underleverandører)
6.1 Kunden gir BlinkFix generell fullmakt til å engasjere databehandlerne som står oppført i listen over Databehandlere (underleverandører).
6.2 BlinkFix gir kunden minst 30 dagers varsel om en ny eller erstattet databehandler ved å oppdatere listen og sende e-post til kundens administratorer eller kontoeiere. Kunden kan fremme innsigelser basert på rimelige personvernhensyn innen denne perioden. Partene vil diskutere innsigelsen i god tro; dersom den ikke kan løses, kan kunden avslutte den berørte tjenesten og motta refusjon av forhåndsbetalte avgifter for den gjenværende perioden.
6.3 BlinkFix pålegger hver databehandler personvernforpliktelser som ikke er mindre beskyttende enn denne databehandleravtalen, og forblir ansvarlig for deres utførelse.
7. Internasjonale overføringer
7.1 BlinkFix sin hovedhosting, inkludert databasen, er plassert hos Google Cloud i Frankfurt, Tyskland (EU). Databasesikkerhetskopier oppbevares i Cloudflare R2. BlinkFix sin e-postserver er i Canada. Enkelte databehandlere, inkludert AI-tjenesten, behandler data i USA eller andre steder, som vist i listen.
7.2 Der kundens personopplysninger overføres utenfor Storbritannia eller EØS til et land uten en beslutning om tilstrekkelig beskyttelsesnivå, sikrer BlinkFix egnede garantier: EU–US Data Privacy Framework og dets britiske tillegg for sertifiserte mottakere, eller Europakommisjonens standard kontraktsvilkår (beslutning 2021/914, modul 3 behandler-til-behandler eller modul 2 der det er relevant) med det britiske tillegget for internasjonal dataoverføring (UK International Data Transfer Addendum), sammen med en vurdering av overføringsrisiko og utfyllende tiltak der det er nødvendig. En overføring til et land med en beslutning om tilstrekkelig beskyttelsesnivå, slik som Canada for kommersielle organisasjoner, baserer seg på denne beslutningen.
7.3 Der kunden befinner seg i EØS og BlinkFix (i Storbritannia) mottar kundens personopplysninger, er overføringen dekket av Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå for Storbritannia. Dersom denne beslutningen opphører, gjelder standard kontraktsvilkår (modul 2, behandlingsansvarlig til behandler), som er inkorporert ved henvisning, med irsk rett og irske domstoler valgt for disse, og kundens tilsynsmyndighet som kompetent myndighet.
7.4 Kunder utenfor Storbritannia og EØS. Der kunden befinner seg utenfor Storbritannia og EØS (for eksempel i De forente arabiske emirater eller USA) og lovgivningen der begrenser sending av personopplysninger til Storbritannia eller til landene i listen over underbehandlere, baserer partene seg på denne databehandleravtalen (DPA) og, der lovgivningen krever mer, på standardvilkårene og tillegget nevnt i 7.2 og 7.3, som partene er enige om gjelder så langt lovgivningen tillater det.
8. Bistand
8.1 Forespørsler fra registrerte. BlinkFix hjelper kunden med å svare på forespørsler fra registrerte (innsyn, retting, sletting, begrensning, dataportabilitet, innsigelse), under hensyntagen til behandlingens art, hovedsakelig gjennom tjenestens funksjoner (administratorer kan se, redigere, eksportere og fjerne data). Dersom BlinkFix mottar en forespørsel direkte, henviser selskapet personen til kunden og svarer ikke selv med mindre kunden ber om det.
8.2 Konsekvensutredninger og konsultasjon. BlinkFix gir rimelig informasjon for å hjelpe kunden med vurderinger av personvernkonsekvenser og forhåndskonsultasjon med en tilsynsmyndighet.
9. Brudd på personopplysningssikkerheten
BlinkFix varsler kunden uten ugrunnet opphold, og under enhver omstendighet innen 48 timer, etter å ha blitt oppmerksom på et brudd på personopplysningssikkerheten som berører kundens personopplysninger, med informasjonen kunden med rimelighet trenger for å oppfylle sine forpliktelser (bruddets art, kategorier og omtrentlige antall, sannsynlige konsekvenser, tiltak som er tatt eller foreslått, og et kontaktpunkt), og oppdaterer informasjonen etter hvert som mer blir kjent. BlinkFix tar rimelige skritt for å begrense og utbedre bruddet. Varsling er ikke en innrømmelse av skyld.
10. Revisjon
BlinkFix gjør informasjonen som er rimelig nødvendig for å dokumentere etterlevelse av denne databehandleravtalen og artikkel 28 tilgjengelig, inkludert skriftlige svar på sikkerhetsspørreskjemaer én gang i året. Dersom dette ikke er tilstrekkelig, eller en tilsynsmyndighet krever det, kan kunden gjennomføre en revisjon (selv eller gjennom en uavhengig revisor underlagt taushetsplikt) med minst 30 dagers varsel, i kontortiden, maksimalt én gang i året, for egen regning, og uten tilgang til andre kunders data.
11. Sletting og tilbakelevering
11.1 I løpet av avtaleperioden kan administratorer slette kundens personopplysninger og eksportere dem (CSV- og JSON-eksport, samt gjennom API-et).
11.2 Når avtalen opphører, har kunden 30 dager på seg til å eksportere sine data. BlinkFix sletter deretter kundens personopplysninger innen ytterligere 30 dager, inkludert fra aktive systemer, med mindre britisk eller EU-lovgivning krever at de oppbevares. Sikkerhetskopier oppbevares i 7 dager og slettes deretter i henhold til normal syklus, og gjenopprettes ikke med mindre det er for gjenoppretting etter katastrofe. På forespørsel bekrefter BlinkFix sletting skriftlig.
11.3 Data om etablissementer på BlinkFix, deres ordrer og deres ansattes personlige BlinkFix-kontoer er ikke kundens personopplysninger for Enterprise-kunden og fortsetter under dokumentet Vilkår for selgere og Personvernerklæring.
12. Ansvar og forrang
12.1 Hver parts ansvar under denne databehandleravtalen er underlagt begrensningene i avtalen.
12.2 Dersom denne databehandleravtalen er i strid med avtalen, har denne databehandleravtalen forrang for behandling av kundens personopplysninger. Dersom standard kontraktsvilkår eller det britiske tillegget gjelder og er i strid med denne databehandleravtalen, har disse forrang.
12.3 Denne databehandleravtalen er underlagt lovgivningen som regulerer avtalen.
13. Kontakt
Personvern og databeskyttelse: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Storbritannia.
Registrering hos UK Information Commissioner's Office: søkt om (søknad C2042936).
EU-representant (art. 27 GDPR)
BlinkFix sin representant i EU i henhold til artikkel 27 i EUs personvernforordning (GDPR) er Michał Michalek, Polen (postadresse på forespørsel til [email protected]), [email protected], +48 505 643 432. Registrerte i EU og tilsynsmyndigheter kan kontakte representanten angående BlinkFix sin behandling, inkludert behandling under denne databehandleravtalen.
14. Andre lands lovgivning
14.1 EØS. Der kunden befinner seg i Island, Liechtenstein eller Norge, gjelder denne databehandleravtalen (DPA) på samme måte som for EU, og «EU GDPR» inkluderer GDPR slik den gjelder i EØS.
14.2 De forente arabiske emirater. Der UAE Federal Decree-Law No. 45 of 2021 om beskyttelse av personopplysninger gjelder for kundens personopplysninger, er kunden behandlingsansvarlig og BlinkFix er databehandler, og punkt 3 til 11 utgjør BlinkFix’ plikter som databehandler i henhold til denne loven. Der personopplysningsloven til Dubai International Financial Centre eller Abu Dhabi Global Market gjelder, gjelder det samme i henhold til denne loven. Partene støtter seg på denne databehandleravtalen og punkt 7 for enhver overføring ut av De forente arabiske emirater.
14.3 USA. Der en personopplysningslov i en amerikansk delstat gjelder for kundens personopplysninger (for eksempel California Consumer Privacy Act som endret ved California Privacy Rights Act), er BlinkFix kundens tjenesteleverandør eller databehandler, og: (a) BlinkFix behandler kundens personopplysninger kun for formålene i punkt 2 og etter kundens instruksjoner; (b) BlinkFix selger eller deler dem ikke (slik loven definerer disse ordene); (c) BlinkFix beholder, bruker eller utleverer dem ikke for noe annet formål, eller utenfor sitt direkte forretningsforhold med kunden; (d) BlinkFix kombinerer dem ikke med personopplysninger som mottas fra andre kilder eller som samles inn av BlinkFix selv, med mindre loven tillater det; (e) BlinkFix overholder denne loven og gir samme nivå av personvern; (f) kunden kan iverksette rimelige tiltak (inkludert i henhold til punkt 10) for å sikre at BlinkFix bruker dataene slik denne databehandleravtalen foreskriver, og for å stanse og rette opp uautorisert bruk; (g) BlinkFix varsler kunden innen 5 virkedager dersom BlinkFix ikke lenger kan oppfylle sine forpliktelser i henhold til denne loven.
14.4 Dersom personopplysningsloven i et annet land gjelder og krever mer enn denne databehandleravtalen, skal partene i god tro bli enige om hva som skal legges til.