GENERELL DATA BESKYTTELSES FORORDNING (GDPR) POLICY

1. Polisierklæring

Hver dag vil virksomheten vår motta, bruke og lagre personlig informasjon om våre kunder, leverandører, jobbsøkere og kolleger. Det er viktig at denne informasjonen håndteres lovlig og hensiktsmessig i samsvar med kravene i [Personvernloven 2018] og den Generelle Personvernforordningen (samlet referert til som 'Kravene til databeskyttelse').

Vi tar våre plikter for databeskyttelse på alvor, fordi vi respekterer tilliten som blir plassert i oss for å bruke personlig informasjon på en hensiktsmessig og ansvarlig måte.

2. Om denne policyen

Denne policyen, og eventuelle andre dokumenter som refereres til i den, angir grunnlaget for hvordan vi vil behandle all personlig informasjon vi samler inn eller behandler.

Denne policyen utgjør ikke en del av noen ansatts arbeidskontrakt og kan endres til enhver tid.

Alex Smit er vår databeskyttelsesansvarlig (DPO), og ansvarlig for å sikre selskapets samsvar med kravene til databeskyttelse og med denne policyen. Eventuelle spørsmål om driften av denne policyen eller bekymringer om at policyen ikke har blitt fulgt, bør først henvises til DPO, eller rapporteres i samsvar med vår selskapets klagepolicy (se Ansatthåndbok).

3. Hva er personopplysninger?

Personopplysninger betyr opplysninger (enten lagret elektronisk eller papirbasert) som vedrører en fysisk person som kan identifiseres direkte eller indirekte fra denne informasjonen (eller fra denne informasjonen og annen informasjon i vår besittelse).

Behandling er enhver aktivitet som innebærer bruk av personopplysninger. Det inkluderer å skaffe, registrere eller oppbevare dataen, organisere, endre, hente, bruke, avsløre, slette eller ødelegge den. Behandling inkluderer også overføring av personopplysninger til tredjeparter.

Følsomme personopplysninger inkluderer personopplysninger om en persons rase eller etniske opprinnelse, politiske meninger, religiøse eller filosofiske overbevisninger, medlemskap i fagforeninger, genetiske, biometriske, fysiske eller mentale helseforhold, seksuell orientering eller seksuelt liv. Det kan også inkludere data om straffbare handlinger eller domfellelser. Følsomme personopplysninger kan bare behandles under strenge betingelser, inkludert med samtykke fra individet.

4. Prinsipper for databeskyttelse

Enhver som behandler personopplysninger, må sikre at dataene er:

a. Behandlet rettferdig, lovlig og på en transparent måte.
b. Samlet inn for spesifikke, uttrykkelige og legitime formål, og eventuell videre behandling utføres for et kompatibelt formål.
c. Tilstrekkelig, relevant og begrenset til det som er nødvendig for de tiltenkte formålene.
d. Nøyaktig, og der det er nødvendig, vedlikeholdt.
e. Oppbevart i en form som tillater identifisering i ikke lenger enn nødvendig for de tiltenkte formålene.
f. Behandlet i samsvar med individets rettigheter og på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, inkludert beskyttelse mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av passende tekniske eller organisatoriske tiltak.
g. Ikke overført til personer eller organisasjoner i land uten tilstrekkelig beskyttelse og uten først å ha informert individet.

5. Rettferdig og lovlig behandling

Personvernkravene er ikke ment å forhindre behandling av personopplysninger, men å sikre at det gjøres på en rettferdig måte og uten å påvirke individets rettigheter negativt.

I samsvar med personvernkravene, vil vi bare behandle personopplysninger der det er nødvendig for et lovlig formål. De lovlige formålene inkluderer (blant annet): om individet har gitt sitt samtykke, om behandlingen er nødvendig for å utføre en avtale med individet, for å oppfylle en juridisk forpliktelse, eller for den legitime interessen til virksomheten. Når følsomme personopplysninger behandles, må det oppfylles ytterligere betingelser.

6. Behandling for begrensede formål

I løpet av virksomheten vår kan vi samle inn og behandle personopplysninger. Dette kan inkludere data vi mottar direkte fra en registrert person (for eksempel ved å fylle ut skjemaer eller korrespondere med oss via post, telefon, e-post eller på annen måte) og data vi mottar fra andre kilder (inkludert for eksempel stedsdata, forretningspartnere, underleverandører innen tekniske, betalings- og leveringstjenester, kredittopplysningsbyråer og andre).

Vi vil kun behandle personopplysninger for de spesifikke formålene som er angitt i Vedlegg 1 eller for andre formål spesifikt tillatt av kravene til databeskyttelse. Vi vil informere de registrerte om disse formålene når vi først samler inn dataene eller så snart som mulig etterpå.

7. Informere enkeltpersoner

Hvis vi samler personopplysninger direkte fra en enkeltperson, vil vi informere dem om:

a. Formålet eller formålene for hvilke vi har til hensikt å behandle disse personopplysningene, samt rettslig grunnlag for behandlingen.
b. Hvor vi baserer oss på virksomhetens legitime interesser for å behandle personopplysninger, de legitime interessene som forfølges.
c. Typer tredjeparter, om noen, som vi vil dele eller offentliggjøre disse personopplysningene til.
d. Hvordan enkeltpersoner kan begrense vår bruk og offentliggjøring av deres personopplysninger.
e. Informasjon om perioden personopplysningene deres vil bli lagret, eller kriteriene som brukes for å fastsette denne perioden.
f. Deres rett til å be om innsyn i og retting eller sletting av personopplysninger, eller begrensning av behandlingen.
g. Deres rett til å protestere mot behandlingen og deres rett til dataportabilitet.
h. Deres rett til å trekke tilbake samtykket når som helst (hvis samtykke ble gitt) uten å påvirke lovligheten av behandlingen før samtykket ble trukket tilbake.
i. Rett til å klage til Informasjonskommisjonæren.
j. Andre kilder hvor personopplysninger om individet har sitt opphav, og om det kom fra offentlig tilgjengelige kilder.
k. Om å gi personopplysningene er et lovhjemlet eller kontraktsmessig krav, eller et krav som er nødvendig for å inngå en avtale, samt om individet er forpliktet til å gi personopplysningene og konsekvensene av å ikke gi dataene.

Hvis vi mottar personopplysninger om enkeltpersoner fra andre kilder, vil vi gi dem denne informasjonen så snart som mulig (i tillegg til å fortelle dem om kategoriene av personopplysninger som er berørt), men senest innen 1 måned.

Vi vil også informere registrerte personer hvis personopplysninger vi behandler, at vi er databehandlingsansvarlig for disse dataene, våre kontaktopplysninger og hvem DPO er.

8. Tilstrekkelig, Relevant og Ikke-overdreven Behandling

Vi vil bare samle inn personopplysninger i den grad det er nødvendig for det spesifikke formålet som er meldt til den registrerte personen.

9. Nøyaktige Data

Vi vil sørge for at de personopplysningene vi har er nøyaktige og oppdaterte. Vi vil sjekke nøyaktigheten av all personlig informasjon ved innsamling og med jevne mellomrom etterpå. Vi vil ta alle rimelige skritt for å slette eller endre unøyaktige eller utdaterte data.

10. Tidsriktig Behandling

Vi vil ikke oppbevare personopplysninger lenger enn det som er nødvendig for det formålet eller de formålene de ble samlet inn for. Vi vil ta alle rimelige skritt for å slette, eller fjerne fra systemene våre, all data som ikke lenger er nødvendig.

11. Behandling i samsvar med registrertes rettigheter

Vi vil behandle alle personopplysninger i samsvar med registrertes rettigheter, spesielt deres rett til:

a. Bekreftelse på hvorvidt personopplysninger om individet behandles eller ikke.
b. Be om tilgang til all informasjon som er lagret om dem av en databehandler
c. Be om retting, sletting eller begrensning av behandlingen av deres personopplysninger.
d. Klage til en tilsynsmyndighet.
e. Protestere mot behandling, inkludert for direkte markedsføring.

12. Datasikkerhet

Vi vil treffe passende sikkerhetstiltak mot ulovlig eller uautorisert behandling av personopplysninger, og mot utilsiktet eller ulovlig ødeleggelse, skade, tap, endring, uautorisert avsløring av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet. Hvis ulovlig dataoverføring skulle skje, vil dette bli undersøkt av den rette personen, og selskapets disiplinære prosedyrer vil gjelde.

Vi vil etablere prosedyrer og teknologier for å opprettholde sikkerheten til alle personopplysninger fra tidspunktet for bestemmelsen av midlene for behandling og datapunktet til tidspunktet for ødeleggelse. Personopplysninger vil kun bli overført til en databehandler hvis han samtykker i å overholde disse prosedyrene og retningslinjene, eller hvis han selv implementerer tilstrekkelige tiltak.

Vi vil opprettholde datasikkerheten ved å beskytte konfidensialiteten, integriteten og tilgjengeligheten til personopplysningene, definert som følger:

a. Konfidensialitet betyr at bare personer som er autorisert til å bruke dataene, kan få tilgang til dem.
b. Integritet betyr at personopplysninger skal være nøyaktige og egnet for det formålet de behandles for.
c. Tilgjengelighet betyr at autoriserte brukere skal kunne få tilgang til dataene hvis de trenger det for autoriserte formål. Personopplysninger bør derfor lagres på selskapets sentrale datasystem i stedet for individuelle PC-er.

Sikkerhetsprosedyrer inkluderer:

a. Adgangskontroller. Enhver fremmed som blir sett i områder med adgangskontroll bør rapporteres.
b. Sikre låsbare skrivebord og skap. Skrivebord og skap bør holdes låst hvis de inneholder konfidensiell informasjon av noe slag. (Personlig informasjon anses alltid som konfidensiell.)
c. Dataminimering.
d. Avhendingsmetoder. Papirdokumenter bør makuleres. Digitale lagringsenheter bør fysisk ødelegges når de ikke lenger er nødvendige.
e. Utstyr. Ansatte må sørge for at individuelle skjermer ikke viser konfidensiell informasjon til forbipasserende og at de logger av fra PC-en når den står ubetjent.

13. Tilgangskrav fra registrerte personer

Individer må lage en formell forespørsel om informasjonen vi har om dem. Ansatte som mottar en forespørsel bør umiddelbart videresende den til DPO eller et medlem av HR-avdelingen.

Når vi mottar telefonhenvendelser, vil vi kun avsløre personopplysninger vi har på våre systemer hvis følgende betingelser er oppfylt:

a. Vi vil sjekke identiteten til den som ringer for å forsikre oss om at informasjonen bare blir gitt til en person som er berettiget til den.
b. Vi vil foreslå at den som ringer sender sin forespørsel skriftlig hvis vi er usikre på identiteten til den som ringer og der identiteten deres ikke kan bekreftes.

Hvor en forespørsel blir gjort elektronisk, vil data bli gitt elektronisk når det er mulig.

Våre ansatte vil henvise en forespørsel til sin nærmeste leder for bistand i vanskelige situasjoner.

14. Endringer i denne policyen

Vi forbeholder oss retten til å endre denne policyen når som helst. Hvor det er hensiktsmessig, vil vi varsle endringer via informasjonskapselbanner på nettsiden.