Acord privind prelucrarea datelor

1. Părți și domeniu de aplicare

1.1 Acest Acord privind prelucrarea datelor („DPA”) se încheie între BlinkFix Ltd (nr. de înregistrare a companiei 13505930), 27 Old Gloucester Street, London WC1N 3AX, Regatul Unit („BlinkFix”, „Persoana împuternicită”), și organizația, furnizorul sau compania de livrare care a acceptat Termeni Enterprise, sau afacerea care a acceptat Termeni pentru Comercianți („Clientul”, „Operatorul”).

1.2 Acesta se aplică datelor cu caracter personal pe care BlinkFix le prelucrează în numele Clientului în furnizarea BlinkFix Enterprise sau a instrumentelor de personal și de integrare ale unei unități („Date cu caracter personal ale Clientului”). Acesta face parte din, și este acceptat împreună cu, Termeni Enterprise sau Termeni pentru Comercianți („Acordul”).

1.3 Acesta nu se aplică datelor cu caracter personal pe care BlinkFix le prelucrează în calitate de operator, aspect descris în Politica de confidențialitate. BlinkFix este operator pentru, de exemplu: (a) conturile BlinkFix; (b) comenzile și plățile clienților; (c) facturare, portofele, plăți și extrase de cont; (d) detaliile de livrare ale unei comenzi (nume, adresă, telefon, cod de livrare) și evidența livrărilor, inclusiv livrările efectuate de o companie de livrare; (e) o comandă de furnizor, inclusiv detaliile de livrare ale cumpărătorului; (f) depozite auto, inclusiv reclamații, fotografii și deciziile BlinkFix; (g) informațiile limitate pe care BlinkFix le oferă unui partener de canal despre conturile pe care acesta le-a introdus; (h) propria verificare a documentelor pe care o companie de livrare le încarcă pentru a fi aprobată. Atunci când BlinkFix furnizează astfel de date unui furnizor, unei companii de livrare sau unui partener de canal pentru ca aceștia să își poată îndeplini rolul, acea afacere le primește în calitate de operator separat, exclusiv în acest scop, conform celor prevăzute în Termeni pentru Flotă, secțiunea 16 din Termeni Enterprise și documentul Termenii partenerilor de canal.

1.4 „UK GDPR”, „EU GDPR” (Regulamentul (UE) 2016/679), „Legile privind protecția datelor”, „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au înțelesul prevăzut în UK GDPR, Data Protection Act 2018 și, acolo unde se aplică, EU GDPR.

2. Detalii privind prelucrarea

3. Instrucțiunile operatorului

3.1 BlinkFix prelucrează Datele cu caracter personal ale Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile internaționale, cu excepția cazului în care legislația Regatului Unit sau a UE impune altceva, caz în care BlinkFix informează Clientul înainte de prelucrare, cu excepția cazului în care acea lege interzice acest lucru.

3.2 Acordul, prezentul DPA și utilizarea și configurarea serviciului de către Client (inclusiv setările, integrările și acțiunile administratorilor săi) constituie instrucțiunile complete ale Clientului. Instrucțiunile suplimentare trebuie să fie în scris și în conformitate cu Acordul.

3.3 BlinkFix informează Clientul cu promptitudine dacă, în opinia sa, o instrucțiune încalcă Legile privind protecția datelor.

3.4 Clientul este responsabil pentru legalitatea prelucrării pe care o solicită, pentru deținerea unui temei legal și pentru furnizarea informațiilor necesare persoanelor vizate.

4. Confidențialitate

BlinkFix se asigură că toți cei autorizați să prelucreze Datele cu caracter personal ale Clientului sunt obligați să păstreze confidențialitatea și le accesează doar în măsura necesară pentru a furniza serviciul, pentru a oferi asistență Clientului la cererea acestuia, pentru a gestiona rapoartele și abuzurile sau pentru a respecta legea.

5. Securitate

BlinkFix implementează măsuri tehnice și organizatorice adecvate pentru a proteja Datele cu caracter personal ale Clientului (Articolul 32 din RGPD UK/UE), inclusiv:

• criptarea în tranzit (TLS) pentru tot traficul și criptarea în repaus furnizată de Google Cloud (serverele noastre și discurile bazelor de date) și Cloudflare (fișiere și copii de rezervă);
• parolele și codurile PIN stocate doar sub formă de hash-uri; secretele de integrare stocate criptat; cheile API limitate și revocabile; webhook-urile semnate;
• controlul accesului pe bază de loc și rol; accesul personalului la datele de producție limitat la persoanele care au nevoie de acesta; jurnalizarea accesului personalului la elementele sensibile;
• separarea datelor clienților pe organizație în cadrul aplicației;
• limitarea ratei și protecția împotriva abuzurilor;
• copii de rezervă zilnice ale bazei noastre de date cu jurnale de modificări continue, păstrate într-un spațiu de stocare separat pentru copii de rezervă timp de 7 zile, și un proces de restaurare a acestora;
• revizuirea periodică a măsurilor pe măsură ce serviciul se modifică.

Clientul este responsabil pentru propria securitate, inclusiv pentru gestionarea locurilor, păstrarea secretă a acreditărilor și a cheilor API și securizarea sistemelor pe care le conectează.

6. Sub-procesatori

6.1 Clientul oferă BlinkFix autorizația generală de a angaja sub-procesatorii din lista Sub-procesatori.

6.2 BlinkFix notifică Clientul cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-procesator prin actualizarea listei și trimiterea unui e-mail administratorilor sau proprietarilor de cont ai Clientului. Clientul poate obiecta din motive rezonabile legate de protecția datelor în acea perioadă. Părțile vor discuta obiecția cu bună-credință; dacă aceasta nu poate fi soluționată, Clientul poate înceta serviciul afectat și poate primi o rambursare a taxelor plătite în avans pentru perioada rămasă.

6.3 BlinkFix impune fiecărui sub-procesator obligații de protecție a datelor care nu sunt mai puțin protectoare decât prezentul DPA și rămâne responsabil pentru performanța acestora.

7. Transferuri internaționale

7.1 Găzduirea principală a BlinkFix, inclusiv baza de date, se află pe Google Cloud în Frankfurt, Germania (UE). Copiile de rezervă ale bazei de date sunt păstrate în Cloudflare R2. Serverul de e-mail al BlinkFix se află în Canada. Unii sub-procesatori, inclusiv serviciul AI, prelucrează date în SUA sau în altă parte, așa cum este indicat în listă.

7.2 În cazul în care Datele cu caracter personal ale Clientului sunt transferate în afara Regatului Unit sau a SEE către o țară fără o decizie privind caracterul adecvat, BlinkFix asigură garanții adecvate: Cadrul de confidențialitate a datelor UE-SUA și Extensia sa pentru Regatul Unit pentru destinatarii certificați, sau clauzele contractuale standard ale Comisiei Europene (Decizia 2021/914, modulul 3 de la operator la operator sau modulul 2, după caz) împreună cu Actul adițional privind transferul internațional de date pentru Regatul Unit, alături de o evaluare a riscului de transfer și măsuri suplimentare acolo unde este necesar. Un transfer către o țară cu o decizie privind caracterul adecvat, cum ar fi Canada pentru organizațiile comerciale, se bazează pe acea decizie.

7.3 În cazul în care Clientul se află în SEE și BlinkFix (din Regatul Unit) primește Date cu caracter personal ale Clientului, transferul este acoperit de decizia Comisiei Europene privind caracterul adecvat pentru Regatul Unit. Dacă acea decizie încetează, se aplică clauzele contractuale standard (modulul 2, de la operator la persoană împuternicită de operator), care sunt încorporate prin referință, fiind alese legislația și instanțele irlandeze pentru acestea, iar autoritatea de supraveghere a Clientului fiind autoritatea competentă.

7.4 Clienți din afara Regatului Unit și a SEE. În cazul în care Clientul se află în afara Regatului Unit și a SEE (de exemplu, în Emiratele Arabe Unite sau în SUA), iar legislația acestuia restricționează trimiterea de date cu caracter personal către Regatul Unit sau către țările din lista sub-procesatorilor, părțile se bazează pe acest DPA și, în cazul în care acea legislație solicită mai mult, pe clauzele standard și pe actul adițional menționate la 7.2 și 7.3, pe care părțile convin să le aplice în măsura în care legislația respectivă permite.

8. Asistență

8.1 Solicitările persoanelor vizate. BlinkFix, luând în considerare natura prelucrării, ajută Clientul să răspundă solicitărilor din partea persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție), în principal prin intermediul funcționalităților serviciului (administratorii pot vizualiza, edita, exporta și elimina date). Dacă BlinkFix primește o solicitare direct, acesta trimite persoana către Client și nu răspunde direct, cu excepția cazului în care Clientul solicită acest lucru.

8.2 Evaluări de impact și consultare. BlinkFix furnizează informații rezonabile pentru a ajuta Clientul cu evaluările de impact asupra protecției datelor și cu consultarea prealabilă a unei autorități de supraveghere.

9. Încălcări ale securității datelor cu caracter personal

BlinkFix notifică Clientul fără întârzieri nejustificate și, în orice caz, în termen de 48 de ore, după ce a luat cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele cu caracter personal ale Clientului, cu informațiile de care Clientul are nevoie în mod rezonabil pentru a-și îndeplini obligațiile (natura încălcării, categoriile și numărul aproximativ, consecințele probabile, măsurile luate sau propuse și un punct de contact), actualizând informațiile pe măsură ce devin cunoscute. BlinkFix ia măsuri rezonabile pentru a limita și remedia încălcarea. Notificarea nu reprezintă o recunoaștere a culpei.

10. Audituri

BlinkFix pune la dispoziție informațiile necesare în mod rezonabil pentru a demonstra conformitatea cu acest DPA și cu Articolul 28, inclusiv răspunsuri scrise la chestionarele de securitate o dată pe an. Dacă acest lucru nu este suficient sau dacă o autoritate de supraveghere o solicită, Clientul poate efectua un audit (personal sau prin intermediul unui auditor independent legat prin confidențialitate) cu un preaviz de cel puțin 30 de zile, în timpul orelor de program, cel mult o dată pe an, pe cheltuiala proprie și fără acces la datele altor clienți.

11. Ștergerea și returnarea

11.1 Pe durata Acordului, administratorii pot șterge Datele cu caracter personal ale Clientului și le pot exporta (exporturi CSV și JSON, precum și prin intermediul API-ului).

11.2 La încetarea Acordului, Clientul are la dispoziție 30 de zile pentru a-și exporta datele. BlinkFix șterge apoi Datele cu caracter personal ale Clientului în termen de alte 30 de zile, inclusiv din sistemele active, cu excepția cazului în care legislația Regatului Unit sau a UE impune păstrarea acestora. Copiile de rezervă sunt păstrate timp de 7 zile și apoi șterse conform ciclului lor normal și nu sunt restaurate decât în scopul recuperării în caz de dezastru. La cerere, BlinkFix confirmă ștergerea în scris.

11.3 Datele despre unitățile de pe BlinkFix, comenzile acestora și conturile personale BlinkFix ale personalului acestora nu reprezintă Date cu caracter personal ale Clientului Enterprise și continuă să fie reglementate de Termeni pentru Comercianți și de Politica de confidențialitate.

12. Răspundere și prioritate

12.1 Răspunderea fiecărei părți în temeiul acestui DPA este supusă limitelor prevăzute în Acord.

12.2 Dacă acest DPA intră în conflict cu Acordul, acest DPA prevalează pentru prelucrarea Datelor cu caracter personal ale Clientului. Dacă clauzele contractuale standard sau Actul adițional pentru Regatul Unit se aplică și intră în conflict cu acest DPA, acestea prevalează.

12.3 Acest DPA este guvernat de legislația care guvernează Acordul.

13. Contact

Confidențialitate și protecția datelor: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Regatul Unit.

Înregistrarea la Biroul Comisarului pentru Informații din Regatul Unit: solicitată (cererea C2042936).

Reprezentant în UE (Art. 27 GDPR)

Reprezentantul BlinkFix în Uniunea Europeană în temeiul Articolului 27 din GDPR UE este Michał Michalek, Polonia (adresă poștală la cerere la [email protected]), [email protected], +48 505 643 432. Persoanele vizate din UE și autoritățile de supraveghere pot contacta reprezentantul cu privire la prelucrarea efectuată de BlinkFix, inclusiv prelucrarea în temeiul acestui DPA.

14. Legislația altor țări

14.1 SEE. În cazul în care Clientul se află în Islanda, Liechtenstein sau Norvegia, prezentul AEP se aplică la fel ca pentru UE, iar „RGPD UE” include RGPD așa cum se aplică în SEE.

14.2 Emiratele Arabe Unite. În cazul în care Decretul-lege federal nr. 45 din 2021 al EAU privind protecția datelor cu caracter personal se aplică Datelor cu caracter personal ale Clientului, Clientul este operatorul, iar BlinkFix este persoana împuternicită de acesta, iar secțiunile 3-11 reprezintă obligațiile BlinkFix în calitate de persoană împuternicită în temeiul acelei legi. În cazul în care se aplică legea privind protecția datelor din Centrul Financiar Internațional Dubai sau din Abu Dhabi Global Market, același lucru este valabil și în temeiul acelei legi. Părțile se bazează pe prezentul AEP și pe secțiunea 7 pentru orice transfer în afara EAU.

14.3 Statele Unite. În cazul în care o lege de stat din SUA privind confidențialitatea se aplică Datelor cu caracter personal ale Clientului (de exemplu, California Consumer Privacy Act, astfel cum a fost modificat prin California Privacy Rights Act), BlinkFix este furnizorul de servicii sau persoana împuternicită a Clientului și: (a) BlinkFix prelucrează Datele cu caracter personal ale Clientului numai în scopurile prevăzute la secțiunea 2 și conform instrucțiunilor Clientului; (b) BlinkFix nu le vinde și nu le partajează (așa cum definește legea acești termeni); (c) BlinkFix nu le păstrează, nu le utilizează și nu le dezvăluie în niciun alt scop sau în afara relației sale comerciale directe cu Clientul; (d) BlinkFix nu le combină cu date cu caracter personal primite din alte surse sau colectate de sine stătător, cu excepția cazului în care legea permite acest lucru; (e) BlinkFix respectă legea respectivă și oferă același nivel de protecție a confidențialității; (f) Clientul poate lua măsuri rezonabile (inclusiv în temeiul secțiunii 10) pentru a se asigura că BlinkFix utilizează datele așa cum prevede prezentul AEP și pentru a opri și remedia utilizarea neautorizată; (g) BlinkFix informează Clientul în termen de 5 zile lucrătoare dacă nu își mai poate îndeplini obligațiile în temeiul acelei legi.

14.4 Dacă se aplică legea privind protecția datelor din altă țară și solicită mai mult decât prezentul AEP, părțile vor conveni cu bună-credință ce să adauge.