Pogodba o obdelavi podatkov

1. Stranki in področje uporabe

1.1 Ta Pogodba o obdelavi podatkov („DPA“) je sklenjena med družbo BlinkFix Ltd (matična št. 13505930), 27 Old Gloucester Street, London WC1N 3AX, Združeno kraljestvo („BlinkFix“, „obdelovalec“) ter organizacijo, dobaviteljem ali dostavnim podjetjem, ki je sprejelo Pogoji za Enterprise, oziroma podjetjem, ki je sprejelo Pogoji za trgovce („stranka“, „upravljavec“).

1.2 Velja za osebne podatke, ki jih BlinkFix obdeluje v imenu stranke pri zagotavljanju storitve BlinkFix Enterprise ali orodij za osebje in povezave obrata („osebni podatki stranke“). Je del in se sprejme skupaj z dokumentom Pogoji za Enterprise ali dokumentom Pogoji za trgovce („pogodba“).

1.3 Ne velja za osebne podatke, ki jih BlinkFix obdeluje kot upravljavec, kar je opisano v dokumentu Politika zasebnosti. BlinkFix je upravljavec na primer za: (a) račune BlinkFix; (b) naročila in plačila strank; (c) obračunavanje, denarnice, izplačila in izpiske; (d) podatke o dostavi naročila (ime, naslov, telefon, koda za dostavo) in evidence dostav, vključno z dostavami, ki jih opravi dostavno podjetje; (e) naročilo dobavitelja, vključno s podatki o dostavi kupca; (f) kavcije za avtomobile, vključno z zahtevki, fotografijami in odločitvami družbe BlinkFix; (g) omejene podatke, ki jih BlinkFix posreduje kanalskemu partnerju o računih, ki jih je ta uvedel; (h) lastno preverjanje dokumentov, ki jih dostavno podjetje naloži za odobritev. Ko BlinkFix posreduje takšne podatke dobavitelju, dostavnemu podjetju ali kanalskemu partnerju, da lahko opravi svoj del, to podjetje prejme podatke kot ločen upravljavec, izključno za ta namen, kot določajo Pogoji za vozni park, 16. razdelek dokumenta Pogoji za Enterprise in dokument Pogoji za kanalske partnerje.

1.4 „UK GDPR“, „EU GDPR“ (Uredba (EU) 2016/679), „zakonodaja o varstvu podatkov“, „osebni podatki“, „obdelava“, „upravljavec“, „obdelovalec“, „posameznik, na katerega se nanašajo osebni podatki“, „kršitev varstva osebnih podatkov“ in „nadzorni organ“ imajo pomen, določen v Splošni uredbi o varstvu podatkov Združenega kraljestva, Zakonu o varstvu podatkov iz leta 2018 in, kjer velja, v Splošni uredbi o varstvu podatkov EU.

2. Podrobnosti o obdelavi

3. Navodila upravljavca.

3.1 BlinkFix obdeluje osebne podatke stranke samo na podlagi dokumentiranih navodil stranke, vključno z mednarodnimi prenosi, razen če zakonodaja Združenega kraljestva ali EU zahteva drugače, v katerem primeru BlinkFix o tem obvesti stranko pred obdelavo, razen če to zakonodaja prepoveduje.

3.2 Pogodba, ta DPA ter strankina uporaba in konfiguracija storitve (vključno z nastavitvami, integracijami in dejanji njenih administratorjev) predstavljajo celotna navodila stranke. Nadaljnja navodila morajo biti v pisni obliki in skladna s Pogodbo.

3.3 BlinkFix stranko nemudoma obvesti, če po njegovem mnenju navodilo krši zakonodajo o varstvu podatkov.

3.4 Stranka je odgovorna za zakonitost obdelave, ki jo naroči, za obstoj zakonite podlage in za zagotavljanje zahtevanih informacij posameznikom, na katere se podatki nanašajo.

4. Zaupnost.

BlinkFix zagotavlja, da so vsi, ki jih pooblasti za obdelavo osebnih podatkov stranke, zavezani k zaupnosti in do njih dostopajo le, kolikor je potrebno za zagotavljanje storitve, za podporo stranki na njeno zahtevo, za obravnavo poročil in zlorab ali za skladnost z zakonodajo.

5. Varnost.

BlinkFix izvaja ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov stranke (člen 32 Splošne uredbe o varstvu podatkov Združenega kraljestva/EU), vključno z:

• šifriranjem med prenosom (TLS) za ves promet in šifriranjem v mirovanju, ki ga zagotavljata Google Cloud (naši strežniki in diski z bazami podatkov) in Cloudflare (datoteke in varnostne kopije);
• gesli in PIN-i, shranjenimi le kot zgoščene vrednosti; šifrirano shranjenimi skrivnostmi za integracije; API ključi z omejenim obsegom in možnostjo preklica; podpisanimi spletnimi kljuki (webhooks);
• nadzorom dostopa glede na sedež in vlogo; dostopom osebja do produkcijskih podatkov, omejenim na osebe, ki ga potrebujejo; beleženjem dostopa osebja do občutljivih elementov;
• ločevanjem podatkov strank po organizacijah v aplikaciji;
• omejevanjem hitrosti in zaščito pred zlorabami;
• dnevnimi varnostnimi kopijami naše baze podatkov z neprekinjenimi dnevniki sprememb, ki se hranijo v ločenem prostoru za varnostne kopije 7 dni, ter postopkom za njihovo obnovitev;
• rednim pregledom ukrepov ob spremembah storitve.

Stranka je odgovorna za lastno varnost, vključno z upravljanjem sedežev, varovanjem poverilnic in API ključev ter zavarovanjem sistemov, ki jih povezuje.

6. Podobdelovalci.

6.1 Stranka daje BlinkFix splošno pooblastilo za vključitev podobdelovalcev s seznama Podobdelovalci..

6.2 BlinkFix stranko o novem ali nadomestnem podobdelovalcu obvesti vsaj 30 dni vnaprej s posodobitvijo seznama in obvestilom po e-pošti administratorjem ali lastnikom računa stranke. Stranka lahko v tem obdobju poda ugovor na podlagi utemeljenih razlogov varstva podatkov. Stranki bosta o ugovoru razpravljali v dobri veri; če ga ni mogoče rešiti, lahko stranka prekine zadevno storitev in prejme povračilo vnaprej plačanih stroškov za preostalo obdobje.

6.3 BlinkFix vsakemu podobdelovalcu naloži obveznosti varstva podatkov, ki niso manj varovalne od tega DPA, in ostaja odgovoren za njihovo izvedbo.

7. Mednarodni prenosi

7.1 Glavno gostovanje storitve BlinkFix, vključno z bazo podatkov, je v Google Cloud v Frankfurtu, Nemčija (EU). Varnostne kopije baz podatkov se hranijo v Cloudflare R2. E-poštni strežnik BlinkFix je v Kanadi. Nekateri podobdelovalci, vključno s storitvijo umetne inteligence, obdelujejo podatke v ZDA ali drugje, kot je prikazano na seznamu.

7.2 Kjer se osebni podatki stranke prenašajo izven Združenega kraljestva ali EGP v državo brez odločbe o ustreznosti, BlinkFix zagotavlja ustrezne zaščitne ukrepe: Okvir za varstvo zasebnih podatkov med EU in ZDA ter njegovo razširitev za Združeno kraljestvo za certificirane prejemnike ali standardne pogodbene klavzule Evropske komisije (Odločba 2021/914, modul 3 za prenos med obdelovalcema ali modul 2, kot je primerno) z dodatkom za mednarodni prenos podatkov Združenega kraljestva, skupaj z oceno tveganja prenosa in dodatnimi ukrepi, kjer je to potrebno. Prenos v državo z odločbo o ustreznosti, kot je Kanada za komercialne organizacije, temelji na tej odločbi.

7.3 Kadar se stranka nahaja v EGP in BlinkFix (v Združenem kraljestvu) prejema osebne podatke stranke, prenos krije odločba Evropske komisije o ustreznosti za Združeno kraljestvo. Če ta odločba preneha veljati, se uporabljajo standardne pogodbene klavzule (modul 2, upravljavec do obdelovalca), ki so vključene s sklicem, pri čemer sta zanje izbrana irsko pravo in sodišča, pristojni organ pa je nadzorni organ stranke.

7.4 Stranke zunaj Združenega kraljestva in EGP. Kadar se stranka nahaja zunaj Združenega kraljestva in EGP (na primer v Združenih arabskih emiratih ali ZDA) in njena zakonodaja omejuje pošiljanje osebnih podatkov v Združeno kraljestvo ali v države na seznamu podobdelovalcev, se stranki zanašata na ta DPA in, kadar ta zakonodaja zahteva več, na standardne klavzule in dodatek, naveden v 7.2 in 7.3, za katere se stranki dogovorita, da se uporabljajo v obsegu, ki ga ta zakonodaja dovoljuje.

8. Pomoč

8.1 Zahteve posameznikov, na katere se nanašajo osebni podatki. BlinkFix ob upoštevanju narave obdelave pomaga stranki pri odzivanju na zahteve posameznikov, na katere se nanašajo osebni podatki (dostop, popravek, izbris, omejitev, prenosljivost, ugovor), predvsem prek funkcij storitve (admini lahko podatke vidijo, urejajo, izvozijo in odstranijo). Če BlinkFix prejme zahtevo neposredno, osebo napoti na stranko in se sam ne odzove, razen če stranka to zahteva.

8.2 Ocene učinka in posvetovanje. BlinkFix zagotavlja razumne informacije za pomoč stranki pri ocenah učinka na varstvo podatkov in predhodnem posvetovanju z nadzornim organom.

9. Kršitve varstva osebnih podatkov

BlinkFix obvesti stranko brez nepotrebnega odlašanja in v vsakem primeru v 48 urah po tem, ko izve za kršitev varstva osebnih podatkov, ki vpliva na osebne podatke stranke, s podatki, ki jih stranka razumno potrebuje za izpolnitev svojih obveznosti (narava kršitve, kategorije in približno število, verjetne posledice, sprejeti ali predlagani ukrepi ter kontaktna točka), pri čemer jih posodablja, ko postane znanih več informacij. BlinkFix sprejme razumne ukrepe za omejitev in odpravo kršitve. Obvestilo ne pomeni priznanja krivde.

10. Revizije

BlinkFix da na voljo informacije, ki so razumno potrebne za dokazovanje skladnosti s tem DPA in členom 28, vključno s pisnimi odgovori na varnostne vprašalnike enkrat letno. Če to ni dovolj ali če to zahteva nadzorni organ, lahko stranka opravi revizijo (sama ali prek neodvisnega revizorja, ki ga zavezuje zaupnost) z vsaj 30-dnevnim obvestilom, med delovnim časom, največ enkrat letno, na lastne stroške in brez dostopa do podatkov drugih strank.

11. Izbris in vračilo

11.1 Med trajanjem pogodbe lahko admini izbrišejo osebne podatke stranke in jih izvozijo (izvozi v CSV in JSON ter prek API-ja).

11.2 Ko pogodba preneha veljati, ima stranka 30 dni časa, da izvozi svoje podatke. BlinkFix nato v nadaljnjih 30 dneh izbriše osebne podatke stranke, vključno z aktivnimi sistemi, razen če jih mora hraniti v skladu z zakonodajo Združenega kraljestva ali EU. Varnostne kopije se hranijo 7 dni in nato izbrišejo v skladu z običajnim ciklom ter se ne obnavljajo, razen za namene obnove po nesreči. Na zahtevo BlinkFix pisno potrdi izbris.

11.3 Podatki o obratih na platformi BlinkFix, njihovih naročilih in osebnih računih BlinkFix njihovega osebja niso osebni podatki stranke v okviru stranke Enterprise in se obravnavajo v skladu s Pogoji za trgovce in Politika zasebnosti.

12. Odgovornost in prednost

12.1 Odgovornost vsake stranke v skladu s tem DPA je predmet omejitev iz pogodbe.

12.2 Če je ta DPA v nasprotju s pogodbo, ima ta DPA prednost pri obdelavi osebnih podatkov stranke. Če se uporabljajo standardne pogodbene klavzule ali dodatek za Združeno kraljestvo in so v nasprotju s tem DPA, imajo prednost slednji.

12.3 Za ta DPA velja pravo, ki ureja pogodbo.

13. Kontakt

Zasebnost in varstvo podatkov: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Združeno kraljestvo.

Registracija pri uradu informacijskega pooblaščenca Združenega kraljestva (UK Information Commissioner's Office): v postopku (vloga C2042936).

Predstavnik v EU (člen 27 GDPR)

Predstavnik družbe BlinkFix v Evropski uniji v skladu s členom 27 Splošne uredbe o varstvu podatkov (GDPR) EU je Michał Michalek, Poljska (poštni naslov na zahtevo na [email protected]), [email protected], +48 505 643 432. Posamezniki, na katere se nanašajo osebni podatki v EU, in nadzorni organi se lahko obrnejo na predstavnika glede obdelave s strani družbe BlinkFix, vključno z obdelavo v skladu s tem DPA.

14. Zakonodaja drugih držav

14.1 EGP. Kadar se stranka nahaja na Islandiji, v Lihtenštajnu ali na Norveškem, se ta DPA uporablja enako kot za EU, "GDPR EU" pa vključuje GDPR, kot se uporablja v EGP.

14.2 Združeni arabski emirati. Kadar se za osebne podatke stranke uporablja zvezni odlok-zakon št. 45 iz leta 2021 o varstvu osebnih podatkov ZAE, je stranka upravljavec, BlinkFix pa njen obdelovalec, razdelki 3 do 11 pa so dolžnosti družbe BlinkFix kot obdelovalca v skladu s to zakonodajo. Kadar se uporablja zakonodaja o varstvu podatkov Mednarodnega finančnega centra v Dubaju ali trga Abu Dhabi Global Market, velja enako v skladu s to zakonodajo. Stranki se za vsak prenos izven ZAE zanašata na ta DPA in razdelek 7.

14.3 Združene države. Kadar se za osebne podatke stranke uporablja zakonodaja zvezne države ZDA o varstvu zasebnosti (na primer kalifornijski zakon o varstvu potrošnikov (California Consumer Privacy Act), kakor je bil spremenjen s kalifornijskim zakonom o pravicah do zasebnosti (California Privacy Rights Act)), je BlinkFix ponudnik storitev ali obdelovalec stranke in: (a) BlinkFix obdeluje osebne podatke stranke samo za namene iz razdelka 2 in po navodilih stranke; (b) BlinkFix jih ne prodaja ali deli (kot ti besedi opredeljuje zakon); (c) BlinkFix jih ne hrani, uporablja ali razkriva za noben drug namen ali zunaj svojega neposrednega poslovnega odnosa s stranko; (d) BlinkFix jih ne združuje z osebnimi podatki, ki jih prejme iz drugih virov ali jih zbere sam, razen če zakon to dovoljuje; (e) BlinkFix ravna v skladu s tem zakonom in zagotavlja enako raven varstva zasebnosti; (f) stranka lahko sprejme razumne ukrepe (vključno s tistimi iz razdelka 10), da zagotovi, da BlinkFix uporablja podatke v skladu s tem dokumentom DPA, ter da ustavi in odpravi nepooblaščeno uporabo; (g) BlinkFix obvesti stranko v 5 delovnih dneh, če ne more več izpolnjevati svojih obveznosti v skladu s tem zakonom.

14.4 Če se uporablja zakonodaja o varstvu podatkov druge države in zahteva več, kot določa ta dokument DPA, se bosta stranki v dobri veri dogovorili, kaj je treba dodati.