Umowa powierzenia przetwarzania danych

1. Strony i zakres

1.1 Niniejsza Umowa powierzenia przetwarzania danych („DPA”) jest zawierana pomiędzy BlinkFix Ltd (nr spółki 13505930), 27 Old Gloucester Street, London WC1N 3AX, Wielka Brytania („BlinkFix”, „Podmiot przetwarzający”) a organizacją, dostawcą lub firmą kurierską, która zaakceptowała Warunki Enterprise, lub przedsiębiorstwem, które zaakceptowało Warunki dla sprzedawców („Klient”, „Administrator”).

1.2 Ma ona zastosowanie do danych osobowych, które BlinkFix przetwarza w imieniu Klienta w ramach świadczenia usług BlinkFix Enterprise lub narzędzi dla personelu i integracji lokalu („Dane osobowe Klienta”). Stanowi ona część dokumentu Warunki Enterprise lub dokumentu Warunki dla sprzedawców („Umowa”) i jest akceptowana wraz z nimi.

1.3 Nie ma ona zastosowania do danych osobowych, które BlinkFix przetwarza jako administrator, co zostało opisane w dokumencie Polityka prywatności. BlinkFix jest administratorem na przykład: (a) kont BlinkFix; (b) zamówień klientów i płatności; (c) rozliczeń, portfeli, wypłat i wyciągów; (d) szczegółów dostawy zamówienia (imię i nazwisko, adres, telefon, kod dostawy) oraz rejestrów dostaw, w tym dostaw realizowanych przez firmę kurierską; (e) zamówienia dostawcy, w tym szczegółów dostawy kupującego; (f) kaucji za samochód, w tym roszczeń, zdjęć i decyzji BlinkFix; (g) ograniczonych informacji, które BlinkFix przekazuje partnerowi kanałowemu na temat kont, które wprowadził; (h) własnej weryfikacji dokumentów, które firma kurierska przesyła w celu zatwierdzenia. Gdy BlinkFix przekazuje takie dane dostawcy, firmie kurierskiej lub partnerowi kanałowemu, aby mógł on wykonać swoją część, przedsiębiorstwo to otrzymuje je jako odrębny administrator, wyłącznie w tym celu, zgodnie z tym, co mówią Warunki dla Floty, sekcja 16 dokumentu Warunki Enterprise oraz dokument Regulamin partnera kanałowego.

1.4 „RODO w Wielkiej Brytanii”, „RODO w UE” (Rozporządzenie (UE) 2016/679), „Przepisy o ochronie danych”, „dane osobowe”, „przetwarzanie”, „administrator”, „podmiot przetwarzający”, „osoba, której dane dotyczą”, „naruszenie ochrony danych osobowych” oraz „organ nadzorczy” mają znaczenie nadane im w RODO w Wielkiej Brytanii, ustawie o ochronie danych z 2018 r. (Data Protection Act 2018) oraz, w stosownych przypadkach, w RODO w UE.

2. Szczegóły przetwarzania

3. Instrukcje Administratora

3.1 BlinkFix przetwarza Dane Osobowe Klienta wyłącznie na udokumentowane polecenie Klienta, w tym w odniesieniu do przekazywania danych za granicę, chyba że prawo brytyjskie lub unijne wymaga inaczej; w takim przypadku BlinkFix informuje Klienta przed rozpoczęciem przetwarzania, chyba że prawo to zabrania takiej informacji.

3.2 Umowa, niniejsza DPA oraz sposób korzystania z usługi i jej konfiguracja przez Klienta (w tym ustawienia, integracje i działania jego administratorów) stanowią pełne instrukcje Klienta. Dalsze instrukcje muszą mieć formę pisemną i być zgodne z Umową.

3.3 BlinkFix niezwłocznie informuje Klienta, jeśli w jego opinii instrukcja narusza przepisy o ochronie danych osobowych.

3.4 Klient ponosi odpowiedzialność za zgodność z prawem przetwarzania, które zleca, za posiadanie podstawy prawnej oraz za przekazanie osobom, których dane dotyczą, wymaganych informacji.

4. Poufność

BlinkFix zapewnia, że każda osoba upoważniona przez niego do przetwarzania Danych Osobowych Klienta jest zobowiązana do zachowania poufności i uzyskuje do nich dostęp tylko w zakresie niezbędnym do świadczenia usługi, wspierania Klienta na jego wniosek, obsługi zgłoszeń i nadużyć lub w celu przestrzegania prawa.

5. Bezpieczeństwo

BlinkFix wdraża odpowiednie środki techniczne i organizacyjne w celu ochrony Danych Osobowych Klienta (art. 32 RODO UK/UE), w tym:

• szyfrowanie w trakcie przesyłania (TLS) dla całego ruchu oraz szyfrowanie w spoczynku zapewniane przez Google Cloud (nasze serwery i dyski baz danych) oraz Cloudflare (pliki i kopie zapasowe);
• hasła i kody PIN przechowywane wyłącznie w formie skrótów (hash); klucze integracji przechowywane w formie zaszyfrowanej; klucze API o ograniczonym zakresie i z możliwością unieważnienia; podpisane webhooki;
• kontrola dostępu według dostępów i ról; dostęp personelu do danych produkcyjnych ograniczony do osób, które go potrzebują; logowanie dostępu personelu do wrażliwych elementów;
• separacja danych klientów według organizacji w aplikacji;
• ograniczanie częstotliwości zapytań (rate limiting) i ochrona przed nadużyciami;
• codzienne kopie zapasowe naszej bazy danych z ciągłymi logami zmian, przechowywane w oddzielnym magazynie kopii zapasowych przez 7 dni, oraz proces ich przywracania;
• regularny przegląd środków bezpieczeństwa w miarę zmian w usłudze.

Klient odpowiada za własne bezpieczeństwo, w tym za zarządzanie dostępami, zachowanie poufności danych uwierzytelniających i kluczy API oraz zabezpieczenie systemów, z którymi się łączy.

6. Podmioty przetwarzające

6.1 Klient udziela BlinkFix ogólnego upoważnienia do korzystania z podmiotów przetwarzających wymienionych na liście Podmioty przetwarzające.

6.2 BlinkFix powiadamia Klienta z co najmniej 30-dniowym wyprzedzeniem o nowym lub zastępczym podmiocie przetwarzającym poprzez aktualizację listy i wysłanie wiadomości e-mail do administratorów lub właścicieli kont Klienta. Klient może zgłosić sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych w tym terminie. Strony omówią sprzeciw w dobrej wierze; jeśli nie uda się go rozwiązać, Klient może zakończyć korzystanie z danej usługi i otrzymać zwrot opłaconych z góry środków za pozostały okres.

6.3 BlinkFix nakłada na każdy podmiot przetwarzający obowiązki w zakresie ochrony danych nie mniej restrykcyjne niż te zawarte w niniejszej DPA i pozostaje odpowiedzialny za ich wykonanie.

7. Przekazywanie danych za granicę

7.1 Główna infrastruktura hostingowa BlinkFix, w tym baza danych, znajduje się w Google Cloud we Frankfurcie, w Niemczech (UE). Kopie zapasowe bazy danych są przechowywane w Cloudflare R2. Serwer poczty e-mail BlinkFix znajduje się w Kanadzie. Niektóre podmioty przetwarzające, w tym usługa AI, przetwarzają dane w USA lub w innych miejscach, zgodnie z informacjami na liście.

7.2 W przypadku gdy Dane Osobowe Klienta są przekazywane poza Wielką Brytanię lub EOG do kraju, dla którego nie wydano decyzji stwierdzającej odpowiedni stopień ochrony, BlinkFix zapewnia odpowiednie zabezpieczenia: Ramy ochrony danych UE–USA (EU–US Data Privacy Framework) oraz ich brytyjskie rozszerzenie (UK Extension) dla certyfikowanych odbiorców lub standardowe klauzule umowne Komisji Europejskiej (decyzja 2021/914, moduł 3: podmiot przetwarzający – podmiot przetwarzający lub moduł 2, w stosownych przypadkach) wraz z brytyjskim aneksem dotyczącym międzynarodowego przekazywania danych (UK International Data Transfer Addendum), a także ocenę skutków przekazania danych i dodatkowe środki w razie potrzeby. Przekazywanie danych do kraju objętego decyzją stwierdzającą odpowiedni stopień ochrony, takiego jak Kanada w odniesieniu do organizacji komercyjnych, opiera się na tej decyzji.

7.3 W przypadku gdy Klient znajduje się w EOG, a BlinkFix (w Wielkiej Brytanii) otrzymuje Dane Osobowe Klienta, przekazanie to jest objęte decyzją Komisji Europejskiej stwierdzającą odpowiedni stopień ochrony dla Wielkiej Brytanii. Jeśli decyzja ta wygaśnie, zastosowanie mają standardowe klauzule umowne (moduł 2, administrator – podmiot przetwarzający), które są włączone przez odniesienie, przy czym wybrano dla nich prawo i sądy irlandzkie, a organem nadzorczym właściwym dla Klienta jest organ nadzorczy Klienta.

7.4 Klienci spoza Wielkiej Brytanii i EOG. W przypadku gdy Klient znajduje się poza Wielką Brytanią i EOG (na przykład w Zjednoczonych Emiratach Arabskich lub USA), a jego prawo ogranicza przesyłanie danych osobowych do Wielkiej Brytanii lub do krajów wymienionych na liście podmiotów przetwarzających, strony opierają się na niniejszej Umowie powierzenia przetwarzania danych (DPA) oraz, w przypadku gdy prawo to wymaga więcej, na standardowych klauzulach i aneksie wymienionych w punktach 7.2 i 7.3, co do których strony zgadzają się, że mają zastosowanie w zakresie dozwolonym przez to prawo.

8. Pomoc

8.1 Żądania osób, których dane dotyczą. BlinkFix, biorąc pod uwagę charakter przetwarzania, pomaga Klientowi w reagowaniu na żądania osób, których dane dotyczą (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw), głównie poprzez funkcje serwisu (administratorzy mogą przeglądać, edytować, eksportować i usuwać dane). Jeśli BlinkFix otrzyma żądanie bezpośrednio, kieruje taką osobę do Klienta i nie udziela odpowiedzi samodzielnie, chyba że Klient o to poprosi.

8.2 Oceny skutków i konsultacje. BlinkFix zapewnia uzasadnione informacje, aby pomóc Klientowi w przeprowadzaniu ocen skutków dla ochrony danych oraz w uprzednich konsultacjach z organem nadzorczym.

9. Naruszenia ochrony danych osobowych

BlinkFix powiadamia Klienta bez zbędnej zwłoki, a w każdym razie w terminie 48 godzin od powzięcia wiadomości o naruszeniu ochrony danych osobowych mającym wpływ na Dane Osobowe Klienta, przekazując informacje, których Klient zasadnie potrzebuje, aby wywiązać się ze swoich obowiązków (charakter naruszenia, kategorie i przybliżona liczba osób, prawdopodobne konsekwencje, podjęte lub zaproponowane środki oraz punkt kontaktowy), aktualizując je w miarę uzyskiwania nowych informacji. BlinkFix podejmuje uzasadnione kroki w celu ograniczenia i naprawienia skutków naruszenia. Powiadomienie nie stanowi przyznania się do winy.

10. Audyty

BlinkFix udostępnia informacje zasadnie niezbędne do wykazania zgodności z niniejszą DPA i art. 28, w tym pisemne odpowiedzi na kwestionariusze bezpieczeństwa raz w roku. Jeśli to nie wystarczy lub wymaga tego organ nadzorczy, Klient może przeprowadzić audyt (samodzielnie lub za pośrednictwem niezależnego audytora zobowiązanego do zachowania poufności) z co najmniej 30-dniowym wyprzedzeniem, w godzinach pracy, maksymalnie raz w roku, na własny koszt i bez dostępu do danych innych klientów.

11. Usunięcie i zwrot danych

11.1 W trakcie obowiązywania Umowy administratorzy mogą usuwać Dane Osobowe Klienta i eksportować je (eksport do formatów CSV i JSON oraz poprzez API).

11.2 Po zakończeniu Umowy Klient ma 30 dni na eksport swoich danych. Następnie BlinkFix usuwa Dane Osobowe Klienta w ciągu kolejnych 30 dni, w tym z aktywnych systemów, chyba że prawo brytyjskie lub unijne wymaga ich przechowywania. Kopie zapasowe są przechowywane przez 7 dni, a następnie usuwane zgodnie z ich standardowym cyklem i nie są przywracane, z wyjątkiem odzyskiwania danych po awarii. Na wniosek BlinkFix potwierdza usunięcie danych na piśmie.

11.3 Dane dotyczące lokali w BlinkFix, ich zamówień oraz osobistych kont BlinkFix personelu nie stanowią Danych Osobowych Klienta w rozumieniu Klienta Enterprise i podlegają dokumentowi Warunki dla sprzedawców oraz dokumentowi Polityka prywatności.

12. Odpowiedzialność i pierwszeństwo

12.1 Odpowiedzialność każdej ze stron na mocy niniejszej DPA podlega ograniczeniom określonym w Umowie.

12.2 Jeśli niniejsza DPA jest sprzeczna z Umową, niniejsza DPA ma pierwszeństwo w zakresie przetwarzania Danych Osobowych Klienta. Jeśli standardowe klauzule umowne lub brytyjski aneks mają zastosowanie i są sprzeczne z niniejszą DPA, mają one pierwszeństwo.

12.3 Niniejsza DPA podlega prawu, które reguluje Umowę.

13. Kontakt

Prywatność i ochrona danych: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, United Kingdom.

Rejestracja w brytyjskim organie nadzorczym (Information Commissioner's Office): złożono wniosek (numer wniosku C2042936).

Przedstawiciel w UE (art. 27 RODO)

Przedstawicielem BlinkFix w Unii Europejskiej na mocy art. 27 unijnego RODO jest Michał Michalek, Polska (adres pocztowy dostępny na żądanie pod adresem [email protected]), [email protected], +48 505 643 432. Osoby, których dane dotyczą, oraz organy nadzorcze z UE mogą kontaktować się z przedstawicielem w sprawach dotyczących przetwarzania danych przez BlinkFix, w tym przetwarzania na mocy niniejszej DPA.

14. Przepisy innych krajów

14.1 EOG. Jeżeli Klient znajduje się w Islandii, Liechtensteinie lub Norwegii, niniejsza Umowa powierzenia przetwarzania danych (DPA) ma zastosowanie w taki sam sposób jak w UE, a „RODO UE” obejmuje RODO w brzmieniu obowiązującym w EOG.

14.2 Zjednoczone Emiraty Arabskie. Jeżeli do Danych osobowych Klienta ma zastosowanie Dekret z mocą ustawy federalnej ZEA nr 45 z 2021 r. w sprawie ochrony danych osobowych, Klient jest administratorem, a BlinkFix jest podmiotem przetwarzającym, przy czym sekcje od 3 do 11 określają obowiązki BlinkFix jako podmiotu przetwarzającego na mocy tego prawa. Jeżeli ma zastosowanie prawo o ochronie danych Międzynarodowego Centrum Finansowego w Dubaju lub Rynku Globalnego w Abu Zabi, zasada ta obowiązuje również na mocy tego prawa. Strony opierają się na niniejszej DPA oraz sekcji 7 w przypadku jakiegokolwiek przekazania danych poza ZEA.

14.3 Stany Zjednoczone. Jeżeli do Danych osobowych Klienta ma zastosowanie prawo stanowe USA dotyczące prywatności (na przykład California Consumer Privacy Act z późniejszymi zmianami wprowadzonymi przez California Privacy Rights Act), BlinkFix jest dostawcą usług lub podmiotem przetwarzającym Klienta, oraz: (a) BlinkFix przetwarza Dane osobowe Klienta wyłącznie w celach określonych w sekcji 2 i zgodnie z instrukcjami Klienta; (b) BlinkFix nie sprzedaje ani nie udostępnia ich (zgodnie z definicjami tych słów w prawie); (c) BlinkFix nie przechowuje, nie wykorzystuje ani nie ujawnia ich w żadnym innym celu ani poza bezpośrednią relacją biznesową z Klientem; (d) BlinkFix nie łączy ich z danymi osobowymi otrzymanymi z innych źródeł lub zebranymi samodzielnie, chyba że prawo na to zezwala; (e) BlinkFix przestrzega tego prawa i zapewnia ten sam poziom ochrony prywatności; (f) Klient może podjąć uzasadnione kroki (w tym na mocy sekcji 10), aby upewnić się, że BlinkFix wykorzystuje dane zgodnie z niniejszą DPA, oraz aby zatrzymać i naprawić nieautoryzowane użycie; (g) BlinkFix powiadomi Klienta w ciągu 5 dni roboczych, jeśli nie będzie już w stanie wywiązać się ze swoich obowiązków wynikających z tego prawa.

14.4 Jeżeli ma zastosowanie prawo o ochronie danych innego kraju i wymaga ono więcej niż niniejsza DPA, strony w dobrej wierze uzgodnią, co należy dodać.