Biträdesavtal

1. Parter och omfattning

1.1 Detta Biträdesavtal ("DPA") är mellan BlinkFix Ltd (företagsnr 13505930), 27 Old Gloucester Street, London WC1N 3AX, Storbritannien ("BlinkFix", "Biträdet") och den organisation, leverantör eller det leveransföretag som har godkänt Enterprise-villkor, eller det företag som har godkänt Handlarvillkor ("Kunden", "Personuppgiftsansvarig").

1.2 Det gäller personuppgifter som BlinkFix behandlar för kundens räkning vid tillhandahållande av BlinkFix Enterprise eller en etablerings verktyg för personal och integrationer ("Kundens personuppgifter"). Det utgör en del av, och godkänns tillsammans med, dokumentet Enterprise-villkor eller dokumentet Handlarvillkor ("Avtalet").

1.3 Det gäller inte personuppgifter som BlinkFix behandlar som personuppgiftsansvarig, vilket beskrivs i dokumentet Integritetspolicy. BlinkFix är personuppgiftsansvarig för till exempel: (a) BlinkFix-konton; (b) kunds beställningar och betalningar; (c) fakturering, plånbok, utbetalningar och kontoutdrag; (d) leveransuppgifter för en beställning (namn, adress, telefonnummer, leveranskod) och register över leveranser, inklusive leveranser utförda av ett leveransföretag; (e) en leverantörsbeställning, inklusive köparens leveransuppgifter; (f) fordonsdepositioner, inklusive anspråk, foton och BlinkFix beslut; (g) den begränsade information som BlinkFix ger en kanalpartner om de konton som denne har introducerat; (h) sin egen kontroll av de handlingar som ett leveransföretag laddar upp för att bli godkänt. När BlinkFix lämnar sådana uppgifter till en leverantör, ett leveransföretag eller en kanalpartner för att denne ska kunna utföra sin del, tar nämnda verksamhet emot dem som en separat personuppgiftsansvarig, endast för det ändamålet, såsom dokumentet Villkor för fordonsflotta, avsnitt 16 i dokumentet Enterprise-villkor och dokumentet Villkor för kanalpartner anger.

1.4 "UK GDPR", "EU GDPR" (förordning (EU) 2016/679), "Dataskyddslagar", "personuppgifter", "behandling", "personuppgiftsansvarig", "personuppgiftsbiträde", "registrerad", "personuppgiftsincident" och "tillsynsmyndighet" har den betydelse som anges i UK GDPR, Data Protection Act 2018 och, där det är tillämpligt, EU GDPR.

2. Detaljer om behandlingen

3. Personuppgiftsansvariges instruktioner

3.1 BlinkFix behandlar kundens personuppgifter endast på grundval av kundens dokumenterade instruktioner, inklusive avseende internationella överföringar, såvida inte annat krävs enligt brittisk lag eller EU-rätt, i vilket fall BlinkFix informerar kunden före behandlingen såvida inte den lagen förbjuder det.

3.2 Avtalet, detta personuppgiftsbiträdesavtal och kundens användning och konfiguration av tjänsten (inklusive inställningar, integrationer och åtgärder från dess administratörer) utgör kundens fullständiga instruktioner. Ytterligare instruktioner måste vara skriftliga och förenliga med avtalet.

3.3 BlinkFix meddelar kunden skyndsamt om företaget anser att en instruktion strider mot dataskyddslagstiftningen.

3.4 Kunden ansvarar för lagligheten i den behandling som kunden instruerar, för att ha en laglig grund samt för att ge registrerade personer den information som krävs.

4. Konfidentialitet

BlinkFix säkerställer att alla som företaget auktoriserar att behandla kundens personuppgifter är bundna av konfidentialitet och endast får åtkomst till dem i den utsträckning som krävs för att tillhandahålla tjänsten, för att ge kunden support på begäran, för att hantera rapporter och missbruk eller för att följa lagstiftningen.

5. Säkerhet

BlinkFix implementerar lämpliga tekniska och organisatoriska åtgärder för att skydda kundens personuppgifter (artikel 32 i brittisk GDPR/EU-GDPR), inklusive:

• kryptering under överföring (TLS) för all trafik, samt kryptering vid lagring tillhandahållen av Google Cloud (våra servrar och databasdiskar) och Cloudflare (filer och säkerhetskopior);
• lösenord och PIN-koder lagras endast som hashvärden; integrationshemligheter lagras krypterade; API-nycklar är begränsade och kan återkallas; webhooks är signerade;
• åtkomstkontroll baserad på plats och roll; personalens åtkomst till produktionsdata begränsad till personer som behöver den; loggning av personalens åtkomst till känsliga objekt;
• separering av kunders data per organisation i applikationen;
• hastighetsbegränsning och skydd mot missbruk;
• dagliga säkerhetskopior av vår databas med kontinuerliga ändringsloggar, som förvaras i en separat lagringsplats för säkerhetskopior i 7 dagar, samt en process för att återställa dem;
• regelbunden översyn av åtgärderna i takt med att tjänsten förändras.

Kunden ansvarar för sin egen säkerhet, inklusive hantering av platser, att hålla inloggningsuppgifter och API-nycklar hemliga samt att säkra system som kunden ansluter.

6. Underbiträden

6.1 Kunden ger BlinkFix ett generellt godkännande att anlita de underbiträden som finns i listan Underbiträden.

6.2 BlinkFix ger kunden minst 30 dagars varsel om ett nytt eller ersättande underbiträde genom att uppdatera listan och skicka e-post till kundens administratörer eller kontoägare. Kunden får göra invändningar på rimliga dataskyddsgrunder inom denna period. Parterna ska diskutera invändningen i god tro; om den inte kan lösas får kunden avsluta den berörda tjänsten och erhålla återbetalning av förbetalda avgifter för den återstående perioden.

6.3 BlinkFix ålägger varje underbiträde dataskyddsförpliktelser som inte är mindre skyddande än detta personuppgiftsbiträdesavtal och förblir ansvarigt för deras prestation.

7. Internationella överföringar

7.1 BlinkFix huvudsakliga hosting, inklusive dess databas, finns på Google Cloud i Frankfurt, Tyskland (EU). Databassäkerhetskopior förvaras i Cloudflare R2. BlinkFix e-postserver finns i Kanada. Vissa underbiträden, inklusive AI-tjänsten, behandlar data i USA eller på annan plats, såsom visas i listan.

7.2 När kundens personuppgifter överförs utanför Storbritannien eller EES till ett land utan ett beslut om adekvat skyddsnivå, säkerställer BlinkFix lämpliga skyddsåtgärder: EU–US Data Privacy Framework och dess brittiska tillägg för certifierade mottagare, eller Europeiska kommissionens standardavtalsklausuler (beslut 2021/914, modul 3 biträde-till-biträde eller modul 2 i tillämpliga fall) tillsammans med det brittiska tillägget för internationell dataöverföring, samt en konsekvensbedömning av överföringen och kompletterande åtgärder vid behov. En överföring till ett land med ett beslut om adekvat skyddsnivå, såsom Kanada för kommersiella organisationer, förlitar sig på det beslutet.

7.3 När kunden befinner sig inom EES och BlinkFix (i Storbritannien) tar emot kundens personuppgifter, täcks överföringen av Europeiska kommissionens beslut om adekvat skyddsnivå för Storbritannien. Om detta beslut upphör att gälla, ska standardavtalsklausulerna (modul 2, personuppgiftsansvarig till personuppgiftsbiträde) tillämpas och införlivas genom hänvisning, varvid irländsk lag och irländska domstolar väljs för dessa, och kundens tillsynsmyndighet ska vara den behöriga myndigheten.

7.4 Kunder utanför Storbritannien och EES. När kunden befinner sig utanför Storbritannien och EES (till exempel i Förenade Arabemiraten eller USA) och dess lagstiftning begränsar överföring av personuppgifter till Storbritannien eller till länder i listan över underbiträden, förlitar sig parterna på detta personuppgiftsbiträdesavtal och, där den lagstiftningen kräver mer, på standardklausulerna och tillägget som nämns i 7.2 och 7.3, vilka parterna godkänner ska tillämpas i den utsträckning som lagen tillåter.

8. Assistans

8.1 Begäranden från registrerade. BlinkFix hjälper kunden, med beaktande av behandlingens art, att besvara begäranden från registrerade (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning), främst genom tjänstens funktioner (admin kan visa, redigera, exportera och ta bort data). Om BlinkFix tar emot en begäran direkt, hänvisar företaget personen till kunden och svarar inte själv såvida inte kunden begär det.

8.2 Konsekvensbedömningar och samråd. BlinkFix tillhandahåller rimlig information för att hjälpa kunden med konsekvensbedömningar avseende dataskydd och förhandssamråd med en tillsynsmyndighet.

9. Personuppgiftsincidenter

BlinkFix meddelar kunden utan onödigt dröjsmål, och under alla omständigheter inom 48 timmar, efter att ha blivit medveten om en personuppgiftsincident som påverkar kundens personuppgifter, med den information som kunden rimligen behöver för att uppfylla sina skyldigheter (incidentens art, kategorier och ungefärliga antal, sannolika konsekvenser, vidtagna eller föreslagna åtgärder samt en kontaktpunkt), och uppdaterar informationen i takt med att mer blir känt. BlinkFix vidtar rimliga åtgärder för att begränsa och avhjälpa incidenten. Meddelandet utgör inte ett erkännande av skuld.

10. Revisioner

BlinkFix tillhandahåller den information som rimligen krävs för att visa efterlevnad av detta personuppgiftsbiträdesavtal och artikel 28, inklusive skriftliga svar på säkerhetsenkäter en gång per år. Om detta inte är tillräckligt, eller om en tillsynsmyndighet kräver det, får kunden genomföra en revision (själv eller genom en oberoende revisor bunden av sekretess) med minst 30 dagars varsel, under kontorstid, högst en gång per år, på egen bekostnad och utan tillgång till andra kunders data.

11. Radering och återlämning

11.1 Under avtalstiden kan admin radera kundens personuppgifter och exportera dem (CSV- och JSON-export, samt via API).

11.2 När avtalet upphör har kunden 30 dagar på sig att exportera sin data. BlinkFix raderar därefter kundens personuppgifter inom ytterligare 30 dagar, inklusive från aktiva system, såvida inte brittisk lag eller EU-lag kräver att de sparas. Säkerhetskopior sparas i 7 dagar och raderas sedan enligt sin normala cykel, och återställs inte förutom vid katastrofåterställning. På begäran bekräftar BlinkFix raderingen skriftligen.

11.3 Data om etableringar på BlinkFix, deras beställningar och deras personals personliga BlinkFix-konton utgör inte kundens personuppgifter för Enterprise-kunden och omfattas fortsatt av dokumentet Handlarvillkor och dokumentet Integritetspolicy.

12. Ansvar och företräde

12.1 Vardera parts ansvar enligt detta personuppgiftsbiträdesavtal omfattas av begränsningarna i avtalet.

12.2 Om detta personuppgiftsbiträdesavtal strider mot avtalet, har detta personuppgiftsbiträdesavtal företräde vid behandling av kundens personuppgifter. Om standardavtalsklausulerna eller det brittiska tillägget tillämpas och strider mot detta personuppgiftsbiträdesavtal, har de företräde.

12.3 Detta personuppgiftsbiträdesavtal styrs av den lag som styr avtalet.

13. Kontakt

Integritet och dataskydd: [email protected] · BlinkFix Ltd, 27 Old Gloucester Street, London WC1N 3AX, Storbritannien.

Registrering hos den brittiska tillsynsmyndigheten Information Commissioner's Office: ansökt (ansökan C2042936).

EU-representant (art. 27 GDPR)

BlinkFix representant i Europeiska unionen enligt artikel 27 i EU:s dataskyddsförordning (GDPR) är Michał Michalek, Polen (postadress på begäran via [email protected]), [email protected], +48 505 643 432. Registrerade i EU och tillsynsmyndigheter kan kontakta representanten angående BlinkFix behandling, inklusive behandling enligt detta personuppgiftsbiträdesavtal.

14. Andra länders lagstiftning

14.1 EES. När kunden befinner sig på Island, i Liechtenstein eller i Norge, tillämpas detta personuppgiftsbiträdesavtal på samma sätt som för EU, och "EU GDPR" inkluderar dataskyddsförordningen (GDPR) så som den tillämpas inom EES.

14.2 Förenade Arabemiraten. När Förenade Arabemiratens federala lagdekret nr 45 av 2021 om skydd av personuppgifter tillämpas på kundens personuppgifter, är kunden personuppgiftsansvarig och BlinkFix är dess personuppgiftsbiträde, och avsnitt 3 till 11 utgör BlinkFix skyldigheter som personuppgiftsbiträde enligt den lagen. När dataskyddslagstiftningen i Dubai International Financial Centre eller Abu Dhabi Global Market tillämpas, gäller detsamma enligt den lagen. Parterna förlitar sig på detta personuppgiftsbiträdesavtal och avsnitt 7 för alla överföringar utanför Förenade Arabemiraten.

14.3 USA. Där en amerikansk delstats integritetslagstiftning är tillämplig på kundens personuppgifter (till exempel California Consumer Privacy Act i den lydelse som ändrats genom California Privacy Rights Act), är BlinkFix kundens tjänsteleverantör eller personuppgiftsbiträde, och: (a) BlinkFix behandlar kundens personuppgifter endast för de ändamål som anges i avsnitt 2 och enligt kundens instruktioner; (b) BlinkFix säljer eller delar dem inte (såsom dessa ord definieras i lagstiftningen); (c) BlinkFix behåller, använder eller röjer dem inte för något annat ändamål, eller utanför sin direkta affärsrelation med kunden; (d) BlinkFix kombinerar dem inte med personuppgifter som erhålls från andra källor eller som samlas in av BlinkFix självt, utom i den utsträckning som lagen tillåter; (e) BlinkFix följer nämnda lagstiftning och tillhandahåller samma nivå av integritetsskydd; (f) kunden får vidta rimliga åtgärder (inklusive enligt avsnitt 10) för att säkerställa att BlinkFix använder uppgifterna i enlighet med detta biträdesavtal, samt för att stoppa och korrigera obehörig användning; (g) BlinkFix informerar kunden inom 5 arbetsdagar om BlinkFix inte längre kan uppfylla sina förpliktelser enligt nämnda lagstiftning.

14.4 Om dataskyddslagstiftningen i ett annat land är tillämplig och ställer högre krav än detta biträdesavtal, ska parterna i god tro komma överens om vad som ska läggas till.