Zmluva o spracúvaní údajov

1. Zmluvné strany a rozsah

1.1 Táto Zmluva o spracúvaní údajov („DPA“) je uzavretá medzi spoločnosťou BlinkFix Ltd (spoločnosť č. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Spojené kráľovstvo („BlinkFix“, „Sprostredkovateľ“) a organizáciou, dodávateľom alebo doručovacou spoločnosťou, ktorá prijala Podmienky Enterprise, alebo podnikom, ktorý prijal Obchodné podmienky („Zákazník“, „Prevádzkovateľ“).

1.2 Vzťahuje sa na osobné údaje, ktoré spoločnosť BlinkFix spracúva v mene Zákazníka pri poskytovaní BlinkFix Enterprise alebo nástrojov Personál a integrácií prevádzky („Osobné údaje zákazníka“). Je súčasťou a prijíma sa spolu s dokumentom Podmienky Enterprise alebo dokumentom Obchodné podmienky („Zmluva“).

1.3 Nevzťahuje sa na osobné údaje, ktoré BlinkFix spracúva ako prevádzkovateľ, čo je opísané v dokumente Zásady ochrany osobných údajov. BlinkFix je prevádzkovateľom napríklad: (a) účtov BlinkFix; (b) objednávok a platieb zákazníkov; (c) fakturácie, peňaženiek, vyplácania a výpisov; (d) údajov o doručení objednávky (meno, adresa, telefón, kód doručenia) a záznamov o doručeniach, vrátane doručení vykonaných doručovacou spoločnosťou; (e) objednávky dodávateľa, vrátane údajov o doručení kupujúceho; (f) záloh za vozidlo, vrátane nárokov, fotografií a rozhodnutí spoločnosti BlinkFix; (g) obmedzených informácií, ktoré BlinkFix poskytuje obchodnému partnerovi o účtoch, ktoré sprostredkoval; (h) vlastnej kontroly dokumentov, ktoré doručovacia spoločnosť nahráva na schválenie. Keď BlinkFix poskytne takéto údaje dodávateľovi, doručovacej spoločnosti alebo obchodnému partnerovi, aby mohol vykonať svoju časť, tento subjekt ich prijíma ako samostatný prevádzkovateľ, a to výlučne na tento účel, ako uvádzajú dokumenty Podmienky pre flotily, článok 16 dokumentu Podmienky Enterprise a dokument Podmienky obchodného partnera.

1.4 „UK GDPR“, „EU GDPR“ (Nariadenie (EÚ) 2016/679), „Zákony o ochrane údajov“, „osobné údaje“, „spracúvanie“, „prevádzkovateľ“, „sprostredkovateľ“, „dotknutá osoba“, „porušenie ochrany osobných údajov“ a „dozorný orgán“ majú význam uvedený v UK GDPR, zákone o ochrane údajov z roku 2018 (Data Protection Act 2018) a, ak sa uplatňuje, v EU GDPR.

2. Podrobnosti o spracúvaní

3. Pokyny prevádzkovateľa

3.1 BlinkFix spracúva osobné údaje zákazníka iba na základe zdokumentovaných pokynov zákazníka, vrátane pokynov týkajúcich sa medzinárodných prenosov, pokiaľ zákon Spojeného kráľovstva alebo EÚ nevyžaduje inak, v takom prípade BlinkFix informuje zákazníka pred spracovaním, pokiaľ to daný zákon nezakazuje.

3.2 Zmluva, tento DPA a používanie a konfigurácia služby zákazníkom (vrátane nastavení, integrácií a akcií jeho správcov) predstavujú úplné pokyny zákazníka. Ďalšie pokyny musia byť písomné a v súlade so Zmluvou.

3.3 BlinkFix bezodkladne informuje zákazníka, ak sa podľa jeho názoru pokyn porušuje právne predpisy o ochrane údajov.

3.4 Zákazník zodpovedá za zákonnosť spracúvania, ktoré nariadi, za existenciu zákonného základu a za poskytnutie požadovaných informácií dotknutým osobám.

4. Dôvernosť

BlinkFix zabezpečuje, aby každý, koho poverí spracúvaním osobných údajov zákazníka, bol viazaný mlčanlivosťou a pristupoval k nim iba v rozsahu potrebnom na poskytovanie služby, na podporu zákazníka na jeho žiadosť, na vybavovanie hlásení a zneužití alebo na dodržiavanie zákona.

5. Bezpečnosť

BlinkFix implementuje primerané technické a organizačné opatrenia na ochranu osobných údajov zákazníka (článok 32 UK/EU GDPR), vrátane:

• šifrovania pri prenose (TLS) pre všetku prevádzku a šifrovania v pokoji poskytovaného spoločnosťou Google Cloud (naše servery a databázové disky) a Cloudflare (súbory a zálohy);
• hesiel a PIN kódov uložených iba ako haše; integračných tajomstiev uložených v zašifrovanej podobe; kľúčov API s obmedzeným rozsahom a možnosťou odvolania; podpísaných webhookov;
• kontroly prístupu podľa miesta a roly; prístupu personálu k produkčným údajom obmedzeného na osoby, ktoré ho potrebujú; zaznamenávania prístupu personálu k citlivým položkám;
• oddelenia údajov zákazníkov podľa organizácie v aplikácii;
• obmedzenia rýchlosti a ochrany proti zneužitiu;
• denných záloh našej databázy s kontinuálnymi protokolmi zmien, uchovávaných v samostatnom úložisku záloh po dobu 7 dní, a procesu ich obnovy;
• pravidelného preskúmania opatrení pri zmenách služby.

Zákazník zodpovedá za svoju vlastnú bezpečnosť, vrátane správy miest, uchovávania poverení a kľúčov API v tajnosti a zabezpečenia systémov, ktoré pripája.

6. Spracovatelia

6.1 Zákazník udeľuje spoločnosti BlinkFix všeobecné povolenie na zapojenie spracovateľov uvedených v zozname Spracovatelia.

6.2 BlinkFix poskytne zákazníkovi oznámenie o novom alebo náhradnom spracovateľovi najmenej 30 dní vopred aktualizáciou zoznamu a zaslaním e-mailu správcom alebo vlastníkom účtu zákazníka. Zákazník môže v tejto lehote podať námietku z dôvodov ochrany údajov. Zmluvné strany budú o námietke rokovať v dobrej viere; ak ju nemožno vyriešiť, zákazník môže ukončiť dotknutú službu a získať vrátenie predplatených poplatkov za zostávajúce obdobie.

6.3 BlinkFix ukladá každému spracovateľovi povinnosti v oblasti ochrany údajov, ktoré nie sú menej ochranné ako tento DPA, a zostáva zodpovedný za ich výkon.

7. Medzinárodné prenosy

7.1 Hlavný hosting spoločnosti BlinkFix, vrátane jej databázy, je na Google Cloud vo Frankfurte, Nemecko (EÚ). Zálohy databázy sú uchovávané v Cloudflare R2. E-mailový server spoločnosti BlinkFix je v Kanade. Niektorí spracovatelia, vrátane služby AI, spracúvajú údaje v USA alebo inde, ako je uvedené v zozname.

7.2 Ak sa osobné údaje zákazníka prenášajú mimo Spojeného kráľovstva alebo EHP do krajiny bez rozhodnutia o primeranosti, BlinkFix zabezpečuje primerané záruky: Rámec ochrany osobných údajov medzi EÚ a USA a jeho rozšírenie pre Spojené kráľovstvo pre certifikovaných príjemcov, alebo štandardné zmluvné doložky Európskej komisie (rozhodnutie 2021/914, modul 3 spracovateľ-spracovateľovi alebo modul 2 podľa potreby) s dodatkom o medzinárodnom prenose údajov Spojeného kráľovstva, spolu s posúdením rizika prenosu a dodatočnými opatreniami, ak je to potrebné. Prenos do krajiny s rozhodnutím o primeranosti, ako je Kanada pre komerčné organizácie, sa opiera o toto rozhodnutie.

7.3 Ak sa zákazník nachádza v EHP a spoločnosť BlinkFix (v Spojenom kráľovstve) prijíma osobné údaje zákazníka, na tento prenos sa vzťahuje rozhodnutie Európskej komisie o primeranosti pre Spojené kráľovstvo. Ak toto rozhodnutie zanikne, uplatňujú sa štandardné zmluvné doložky (modul 2, prevádzkovateľ – sprostredkovateľ), ktoré sú zahrnuté odkazom, pričom sa pre ne zvolilo írske právo a súdy a dozorný orgán zákazníka ako príslušný orgán.

7.4 Zákazníci mimo Spojeného kráľovstva a EHP. Ak sa zákazník nachádza mimo Spojeného kráľovstva a EHP (napríklad v Spojených arabských emirátoch alebo v USA) a jeho právne predpisy obmedzujú zasielanie osobných údajov do Spojeného kráľovstva alebo do krajín uvedených v zozname sub-sprostredkovateľov, zmluvné strany sa spoliehajú na túto DPA a tam, kde tieto právne predpisy vyžadujú viac, aj na štandardné doložky a dodatok uvedený v bodoch 7.2 a 7.3, o ktorých zmluvné strany súhlasia, že sa uplatňujú v rozsahu povolenom týmito právnymi predpismi.

8. Pomoc

8.1 Žiadosti dotknutých osôb. Spoločnosť BlinkFix s prihliadnutím na povahu spracúvania pomáha zákazníkovi reagovať na žiadosti dotknutých osôb (prístup, oprava, vymazanie, obmedzenie, prenosnosť, námietka), a to najmä prostredníctvom funkcií služby (admini môžu údaje prezerať, upravovať, exportovať a odstraňovať). Ak spoločnosť BlinkFix prijme žiadosť priamo, odkáže danú osobu na zákazníka a sama na ňu nereaguje, pokiaľ o to zákazník nepožiada.

8.2 Posúdenia vplyvu a konzultácie. Spoločnosť BlinkFix poskytuje primerané informácie na pomoc zákazníkovi pri posudzovaní vplyvu na ochranu osobných údajov a pri predchádzajúcich konzultáciách s dozorným orgánom.

9. Porušenia ochrany osobných údajov

Spoločnosť BlinkFix oznámi zákazníkovi akékoľvek porušenie ochrany osobných údajov, ktoré sa týka osobných údajov zákazníka, bez zbytočného odkladu a v každom prípade do 48 hodín od momentu, keď sa o ňom dozvie, a to spolu s informáciami, ktoré zákazník primerane potrebuje na splnenie svojich povinností (povaha porušenia, kategórie a približné počty, pravdepodobné následky, prijaté alebo navrhované opatrenia a kontaktné miesto), pričom tieto informácie aktualizuje podľa toho, ako budú známe ďalšie skutočnosti. Spoločnosť BlinkFix prijme primerané kroky na zastavenie a nápravu porušenia. Oznámenie nie je priznaním viny.

10. Audity

Spoločnosť BlinkFix sprístupní informácie primerane potrebné na preukázanie súladu s touto DPA a článkom 28, vrátane písomných odpovedí na bezpečnostné dotazníky raz ročne. Ak to nestačí alebo ak to vyžaduje dozorný orgán, zákazník môže vykonať audit (sám alebo prostredníctvom nezávislého audítora viazaného mlčanlivosťou) s výpovednou lehotou najmenej 30 dní, počas pracovných hodín, najviac raz ročne, na vlastné náklady a bez prístupu k údajom iných zákazníkov.

11. Vymazanie a vrátenie

11.1 Počas trvania zmluvy môžu admini vymazávať osobné údaje zákazníka a exportovať ich (exporty vo formáte CSV a JSON a prostredníctvom API).

11.2 Po skončení zmluvy má zákazník 30 dní na export svojich údajov. Spoločnosť BlinkFix následne do ďalších 30 dní vymaže osobné údaje zákazníka, a to aj z aktívnych systémov, pokiaľ si ich uchovanie nevyžadujú právne predpisy Spojeného kráľovstva alebo EÚ. Zálohy sa uchovávajú 7 dní a potom sa vymažú v rámci bežného cyklu a neobnovujú sa, s výnimkou obnovy po havárii. Na žiadosť spoločnosť BlinkFix potvrdí vymazanie písomne.

11.3 Údaje o prevádzkach na platforme BlinkFix, ich objednávky a osobné účty ich personálu v službe BlinkFix nie sú osobnými údajmi zákazníka v rámci BlinkFix Enterprise a naďalej podliehajú dokumentu Obchodné podmienky a dokumentu Zásady ochrany osobných údajov.

12. Zodpovednosť a prednosť

12.1 Zodpovednosť každej zo zmluvných strán podľa tejto DPA podlieha limitom stanoveným v zmluve.

12.2 Ak je táto DPA v rozpore so zmluvou, táto DPA má prednosť pri spracúvaní osobných údajov zákazníka. Ak sa uplatňujú štandardné zmluvné doložky alebo dodatok pre Spojené kráľovstvo a sú v rozpore s touto DPA, majú prednosť ony.

12.3 Táto DPA sa riadi právom, ktorým sa riadi zmluva.

13. Kontakt

Súkromie a ochrana údajov: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Spojené kráľovstvo.

Registrácia na úrade Information Commissioner's Office v Spojenom kráľovstve: podaná žiadosť (žiadosť C2042936).

Zástupca pre EÚ (čl. 27 GDPR)

Zástupcom spoločnosti BlinkFix v Európskej únii podľa článku 27 GDPR EÚ je Michał Michalek, Poľsko (poštová adresa na vyžiadanie na [email protected]), [email protected], +48 505 643 432. Dotknuté osoby v EÚ a dozorné orgány môžu kontaktovať zástupcu ohľadom spracúvania spoločnosťou BlinkFix, vrátane spracúvania podľa tejto DPA.

14. Právne predpisy iných krajín

14.1 EHP. Ak sa zákazník nachádza na Islande, v Lichtenštajnsku alebo v Nórsku, táto DPA sa uplatňuje rovnako ako pre EÚ a „GDPR EÚ“ zahŕňa GDPR tak, ako sa uplatňuje v EHP.

14.2 Spojené arabské emiráty. Ak sa na osobné údaje zákazníka vzťahuje federálny dekrét-zákon SAE č. 45 z roku 2021 o ochrane osobných údajov, zákazník je prevádzkovateľom a spoločnosť BlinkFix je jeho sprostredkovateľom, pričom body 3 až 11 predstavujú povinnosti spoločnosti BlinkFix ako sprostredkovateľa podľa tohto zákona. Ak sa uplatňuje zákon o ochrane údajov Dubajského medzinárodného finančného centra alebo trhu Abu Dhabi Global Market, platí to isté podľa tohto zákona. Zmluvné strany sa spoliehajú na túto DPA a bod 7 pri akomkoľvek prenose mimo SAE.

14.3 Spojené štáty. Ak sa na osobné údaje zákazníka vzťahuje zákon o ochrane súkromia niektorého štátu USA (napríklad Kalifornský zákon o ochrane spotrebiteľov v znení Kalifornského zákona o právach na ochranu súkromia), BlinkFix je poskytovateľom služieb alebo spracovateľom zákazníka a: (a) BlinkFix spracúva osobné údaje zákazníka výlučne na účely uvedené v časti 2 a podľa pokynov zákazníka; (b) BlinkFix ich nepredáva ani nezdieľa (ako tieto slová definuje zákon); (c) BlinkFix ich neuchováva, nepoužíva ani nezverejňuje na žiadny iný účel, ani mimo svojho priameho obchodného vzťahu so zákazníkom; (d) BlinkFix ich nekombinuje s osobnými údajmi, ktoré získa z iných zdrojov alebo ktoré zozbiera sám, okrem prípadov povolených zákonom; (e) BlinkFix dodržiava tento zákon a poskytuje rovnakú úroveň ochrany súkromia; (f) zákazník môže vykonať primerané kroky (vrátane krokov podľa časti 10), aby sa uistil, že BlinkFix používa údaje v súlade s touto DPA, a aby zastavil a napravil neoprávnené použitie; (g) BlinkFix informuje zákazníka do 5 pracovných dní, ak už nemôže plniť svoje povinnosti podľa tohto zákona.

14.4 Ak sa uplatňuje zákon o ochrane údajov inej krajiny a vyžaduje viac, než táto DPA, zmluvné strany sa v dobrej viere dohodnú, čo sa pridá.