Acordo de Processamento de Dados
Como a BlinkFix processa dados pessoais em nome de organizações Enterprise, fornecedores, empresas de entregas e estabelecimentos.
Esta tradução serve apenas por conveniência. A versão em inglês é a vinculativa. Ler a versão em inglês
Índice
1. Partes e âmbito
1.1 Este Acordo de Processamento de Dados ("DPA") é celebrado entre a BlinkFix Ltd (empresa n.º 13505930), 27 Old Gloucester Street, London WC1N 3AX, Reino Unido ("BlinkFix", o "Subcontratante") e a organização, fornecedor ou empresa de entregas que aceitou os Termos Enterprise, ou a empresa que aceitou os Termos do Comerciante (o "Cliente", o "Responsável pelo Tratamento").
1.2 Aplica-se aos dados pessoais que a BlinkFix processa em nome do Cliente na prestação do BlinkFix Enterprise ou das ferramentas de Equipa e de integração de um estabelecimento (os "Dados Pessoais do Cliente"). Faz parte e é aceite em conjunto com os Termos Enterprise ou os Termos do Comerciante (o "Acordo").
1.3 Não se aplica aos dados pessoais que a BlinkFix processa na qualidade de responsável pelo tratamento, os quais estão descritos na Política de Privacidade. A BlinkFix é responsável pelo tratamento, por exemplo, de: (a) contas BlinkFix; (b) encomendas e pagamentos de clientes; (c) faturação, carteiras, pagamentos e extratos; (d) detalhes de entrega de uma encomenda (nome, morada, telefone, código de entrega) e registos de entregas, incluindo entregas por uma empresa de entregas; (e) uma encomenda de fornecedor, incluindo os detalhes de entrega do comprador; (f) depósitos de viaturas, incluindo reclamações, fotografias e decisões da BlinkFix; (g) a informação limitada que a BlinkFix fornece a um parceiro de canal sobre as contas que este apresentou; (h) a sua própria verificação dos documentos que uma empresa de entregas carrega para ser aprovada. Quando a BlinkFix fornece tais dados a um fornecedor, a uma empresa de entregas ou a um parceiro de canal para que este possa desempenhar a sua função, essa empresa recebe-os como um responsável pelo tratamento separado, apenas para esse fim, conforme estabelecido nos Termos de Frota, na secção 16 do documento Termos Enterprise e no documento Termos de Parceiro de Canal.
1.4 "RGPD do Reino Unido", "RGPD da UE" (Regulamento (UE) 2016/679), "Leis de Proteção de Dados", "dados pessoais", "processamento", "responsável pelo tratamento", "subcontratante", "titular dos dados", "violação de dados pessoais" e "autoridade de controlo" têm os significados que lhes são atribuídos no RGPD do Reino Unido, na Lei de Proteção de Dados de 2018 (Data Protection Act 2018) e, quando aplicável, no RGPD da UE.
2. Detalhes do processamento
| Item | Descrição |
|---|---|
| Objeto | Prestação do BlinkFix Enterprise e ferramentas de Equipa/integração ao abrigo do Acordo |
| Duração | O prazo do Acordo acrescido do período de eliminação previsto na secção 11 |
| Natureza e finalidade | Alojamento, armazenamento, organização, visualização, transmissão (chat, broadcasts, notificações, webhooks e integrações que ativar), cálculo (horas, bónus, taxas, vendas), exportação e processamento com IA quando um titular de acesso utiliza o assistente de IA ou importa um menu ou lista de produtos. Para uma empresa de entregas: armazenamento dos documentos dos seus estafetas e registos de turnos e envio de lembretes antes de um documento expirar. Para um fornecedor: armazenamento dos seus produtos, encomendas e faturas |
| Categorias de titulares dos dados | Titulares de acesso, gestores e Equipa do Cliente; equipa de estabelecimentos na organização do Cliente; franchisados e os seus contactos; contactos comerciais e fornecedores do Cliente; clientes dos estabelecimentos do Cliente onde o Cliente ativa a sincronização de contactos ou exportações; para uma empresa de entregas, os seus estafetas e despachantes; para um fornecedor, a sua Equipa |
| Categorias de dados pessoais | Nomes, e-mail de trabalho, telefone, cargos e funções, atribuições de estabelecimento e região, horários de trabalho e registos e correções de entrada/saída, acesso ao tablet do estabelecimento, bónus e pagamentos de bónus, mensagens, ficheiros e aceitações de documentos, registos de acesso, tokens de notificação push e nomes de dispositivos, detalhes de contacto em importações, e nome, e-mail e telefone do cliente quando a sincronização de contactos está ativada; para uma empresa de entregas, os nomes e detalhes de contacto dos seus estafetas, carta de condução, documentos de seguro e licenças, detalhes do veículo, turnos e tempos de trabalho; para um fornecedor, os nomes e e-mail de trabalho da sua equipa e os dados de produtos e faturas que introduz |
| Dados de categorias especiais | Nenhum pretendido. O Cliente não deve inserir dados de categorias especiais (por exemplo, dados de saúde) no Enterprise, a menos que seja estritamente necessário e legal |
| Frequência | Contínua |
3. Instruções do responsável pelo tratamento
3.1 A BlinkFix processa os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente, incluindo no que diz respeito a transferências internacionais, a menos que seja obrigada a fazer o contrário pela legislação do Reino Unido ou da UE, caso em que a BlinkFix informa o Cliente antes do processamento, a menos que essa legislação o proíba.
3.2 O Contrato, este DPA e a utilização e configuração do serviço por parte do Cliente (incluindo definições, integrações e ações dos seus administradores) constituem as instruções completas do Cliente. Instruções adicionais devem ser feitas por escrito e ser consistentes com o Contrato.
3.3 A BlinkFix informa o Cliente prontamente se, na sua opinião, uma instrução infringir as Leis de Proteção de Dados.
3.4 O Cliente é responsável pela legalidade do processamento que instrui, por ter uma base legal e por fornecer aos titulares dos dados as informações necessárias.
4. Confidencialidade
A BlinkFix garante que todos os que autoriza a processar Dados Pessoais do Cliente estão vinculados pela confidencialidade e apenas acedem aos mesmos conforme necessário para prestar o serviço, para apoiar o Cliente a seu pedido, para tratar de relatórios e abusos, ou para cumprir a lei.
5. Segurança
A BlinkFix implementa medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Cliente (Artigo 32 do RGPD do Reino Unido/UE), incluindo:
- encriptação em trânsito (TLS) para todo o tráfego, e encriptação em repouso fornecida pelo Google Cloud (os nossos servidores e discos de base de dados) e Cloudflare (ficheiros e cópias de segurança);
- palavras-passe e PINs armazenados apenas como hashes; segredos de integração armazenados encriptados; chaves de API com âmbito definido e revogáveis; webhooks assinados;
- controlo de acesso por seat e função; acesso da equipa a dados de produção limitado às pessoas que deles necessitam; registo de acesso da equipa a itens sensíveis;
- separação dos dados dos clientes por organização na aplicação;
- limitação de taxa e proteção contra abusos;
- cópias de segurança diárias da nossa base de dados com registos de alterações contínuos, mantidas num arquivo de cópias de segurança separado durante 7 dias, e um processo para as restaurar;
- revisão regular das medidas à medida que o serviço muda.
O Cliente é responsável pela sua própria segurança, incluindo a gestão de seat, manter as credenciais e chaves de API em segredo, e proteger os sistemas que liga.
6. Subprocessadores
6.1 O Cliente concede à BlinkFix autorização geral para contratar os subprocessadores constantes da lista de Subprocessadores.
6.2 A BlinkFix dá ao Cliente um aviso prévio de, pelo menos, 30 dias sobre um novo subprocessador ou a sua substituição, atualizando a lista e enviando um email aos admins ou proprietários de conta do Cliente. O Cliente pode opor-se com base em fundamentos razoáveis de proteção de dados dentro desse período. As partes discutirão a objeção de boa-fé; se não puder ser resolvida, o Cliente pode terminar o serviço afetado e receber um reembolso das taxas pagas antecipadamente pelo período restante.
6.3 A BlinkFix impõe a cada subprocessador obrigações de proteção de dados que não são menos protetoras do que este DPA e permanece responsável pelo seu Performance.
7. Transferências internacionais
7.1 O alojamento principal da BlinkFix, incluindo a sua base de dados, encontra-se no Google Cloud em Frankfurt, Alemanha (UE). As cópias de segurança da base de dados são mantidas no Cloudflare R2. O servidor de email da BlinkFix encontra-se no Canadá. Alguns subprocessadores, incluindo o serviço de IA, processam dados nos EUA ou noutros locais, conforme indicado na lista.
7.2 Quando os Dados Pessoais do Cliente são transferidos para fora do Reino Unido ou do EEE para um país sem uma decisão de adequação, a BlinkFix garante salvaguardas adequadas: o Quadro de Proteção de Dados UE-EUA e a sua Extensão para o Reino Unido para destinatários certificados, ou as cláusulas contratuais-tipo da Comissão Europeia (Decisão 2021/914, módulo 3 processador-para-processador ou módulo 2, conforme aplicável) com o Aditamento de Transferência Internacional de Dados do Reino Unido, juntamente com uma avaliação de risco de transferência e medidas suplementares quando necessário. Uma transferência para um país com uma decisão de adequação, como o Canadá para organizações comerciais, baseia-se nessa decisão.
7.3 Sempre que o cliente se encontre no EEE e a BlinkFix (no Reino Unido) receba dados pessoais do cliente, a transferência é abrangida pela decisão de adequação da Comissão Europeia para o Reino Unido. Se essa decisão cessar, aplicam-se as cláusulas contratuais-tipo (módulo 2, responsável pelo tratamento a subcontratante), que são incorporadas por referência, sendo escolhidos o direito e os tribunais irlandeses para as mesmas, e a autoridade de controlo do cliente como a autoridade competente.
7.4 Clientes fora do Reino Unido e do EEE. Sempre que o cliente se encontre fora do Reino Unido e do EEE (por exemplo, nos Emirados Árabes Unidos ou nos EUA) e a sua legislação restrinja o envio de dados pessoais para o Reino Unido ou para os países constantes da lista de subcontratantes, as partes baseiam-se neste DPA e, sempre que essa legislação exija mais, nas cláusulas-tipo e no aditamento referidos em 7.2 e 7.3, os quais as partes acordam aplicar na medida em que essa legislação o permita.
8. Assistência
8.1 Pedidos dos titulares dos dados. A BlinkFix, tendo em conta a natureza do tratamento, ajuda o cliente a responder a pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição), principalmente através das funcionalidades do serviço (os administradores podem visualizar, editar, exportar e remover dados). Se a BlinkFix receber um pedido diretamente, reencaminha a pessoa para o cliente e não responde por si própria, a menos que o cliente o solicite.
8.2 Avaliações de impacto e consulta. A BlinkFix fornece informações razoáveis para ajudar o cliente com avaliações de impacto sobre a proteção de dados e consultas prévias junto de uma autoridade de controlo.
9. Violações de dados pessoais
A BlinkFix notifica o cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas, após ter conhecimento de uma violação de dados pessoais que afete dados pessoais do cliente, com as informações de que o cliente necessita razoavelmente para cumprir as suas obrigações (natureza da violação, categorias e números aproximados, consequências prováveis, medidas tomadas ou propostas e um ponto de contacto), atualizando-as à medida que mais informações forem conhecidas. A BlinkFix toma medidas razoáveis para conter e remediar a violação. A notificação não constitui uma admissão de culpa.
10. Auditorias
A BlinkFix disponibiliza as informações razoavelmente necessárias para demonstrar o cumprimento deste DPA e do Artigo 28, incluindo respostas por escrito a questionários de segurança uma vez por ano. Se tal não for suficiente, ou se uma autoridade de controlo o exigir, o cliente pode realizar uma auditoria (por si próprio ou através de um auditor independente vinculado por confidencialidade) com um aviso prévio de, pelo menos, 30 dias, durante o horário de expediente, no máximo uma vez por ano, a expensas suas e sem acesso aos dados de outros clientes.
11. Apagamento e devolução
11.1 Durante a vigência do contrato, os administradores podem apagar dados pessoais do cliente e exportá-los (exportações em CSV e JSON, e através da API).
11.2 Quando o contrato termina, o cliente tem 30 dias para exportar os seus dados. A BlinkFix apaga então os dados pessoais do cliente no prazo de 30 dias adicionais, incluindo dos sistemas ativos, a menos que a legislação do Reino Unido ou da UE exija a sua conservação. As cópias de segurança são conservadas durante 7 dias e, em seguida, apagadas no seu ciclo normal, não sendo restauradas exceto para recuperação de desastres. A pedido, a BlinkFix confirma o apagamento por escrito.
11.3 Os dados sobre estabelecimentos na BlinkFix, as suas encomendas e as contas pessoais BlinkFix da sua equipa não são dados pessoais do cliente do cliente Enterprise e continuam abrangidos pelos Termos do Comerciante e pela Política de Privacidade.
12. Responsabilidade e prevalência
12.1 A responsabilidade de cada parte ao abrigo deste DPA está sujeita aos limites estabelecidos no contrato.
12.2 Se este DPA entrar em conflito com o contrato, este DPA prevalece para o tratamento de dados pessoais do cliente. Se as cláusulas contratuais-tipo ou o Aditamento do Reino Unido se aplicarem e entrarem em conflito com este DPA, estas prevalecem.
12.3 Este DPA é regido pela lei que rege o contrato.
13. Contacto
Privacidade e proteção de dados: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, United Kingdom.
Registo junto do Information Commissioner's Office do Reino Unido: solicitado (pedido C2042936).
Representante na UE (Art. 27.º do RGPD)
O representante da BlinkFix na União Europeia ao abrigo do Artigo 27 do RGPD da UE é Michał Michalek, Polónia (endereço postal a pedido através de [email protected]), [email protected], +48 505 643 432. Os titulares de dados e as autoridades de controlo da UE podem contactar o representante sobre o tratamento efetuado pela BlinkFix, incluindo o tratamento ao abrigo deste DPA.
14. Legislação de outros países
14.1 EEE. Sempre que o cliente se encontre na Islândia, no Liechtenstein ou na Noruega, este DPA aplica-se da mesma forma que para a UE, e "RGPD da UE" inclui o RGPD tal como se aplica no EEE.
14.2 Emirados Árabes Unidos. Sempre que o Decreto-Lei Federal n.º 45 de 2021 dos EAU relativo à Proteção de Dados Pessoais se aplique aos dados pessoais do cliente, o cliente é o responsável pelo tratamento e a BlinkFix é o seu subcontratante, sendo as secções 3 a 11 os deveres da BlinkFix enquanto subcontratante ao abrigo dessa lei. Sempre que a lei de proteção de dados do Centro Financeiro Internacional do Dubai ou do Mercado Global de Abu Dhabi se aplique, o mesmo é válido ao abrigo dessa lei. As partes baseiam-se neste DPA e na secção 7 para qualquer transferência para fora dos EAU.
14.3 Estados Unidos. Sempre que uma lei de privacidade estadual dos EUA se aplique aos Dados Pessoais do Cliente (por exemplo, a Lei de Privacidade do Consumidor da Califórnia, conforme alterada pela Lei de Direitos de Privacidade da Califórnia), a BlinkFix é a prestadora de serviços ou processadora do Cliente e: (a) a BlinkFix processa os Dados Pessoais do Cliente apenas para os fins previstos na secção 2 e de acordo com as instruções do Cliente; (b) a BlinkFix não os vende nem partilha (conforme a lei define esses termos); (c) a BlinkFix não os retém, utiliza ou divulga para qualquer outro fim, ou fora da sua relação comercial direta com o Cliente; (d) a BlinkFix não os combina com dados pessoais que recebe de outras fontes ou que recolhe por si própria, exceto conforme permitido por lei; (e) a BlinkFix cumpre essa lei e oferece o mesmo nível de proteção de privacidade; (f) o Cliente pode tomar medidas razoáveis (incluindo ao abrigo da secção 10) para garantir que a BlinkFix utiliza os dados conforme estipulado neste DPA, e para interromper e corrigir qualquer utilização não autorizada; (g) a BlinkFix informa o Cliente no prazo de 5 dias úteis caso já não consiga cumprir as suas obrigações ao abrigo dessa lei.
14.4 Se a lei de proteção de dados de outro país for aplicável e exigir mais do que este DPA, as partes acordarão de boa-fé o que adicionar.