Personskyddpolicy

Gällande för FAVER AS – 20.7.2018.

Vi kan göra mindre ändringar i denna personvernerklæring. Du kommer alltid att hitta den senaste versionen på vår webbplats. Vid väsentliga ändringar kommer vi att meddela om detta.

1. Behandlingsansvarig

FaVer AS (FaVer) behandlar personuppgifter i sin verksamhet inom taktisk/teknisk utredning och granskning. När FaVer utför utrednings- och granskningsuppdrag på uppdrag av företagskunder är vi som huvudregel personuppgiftsbiträde och vår uppdragsgivare är personuppgiftsansvarig, enligt EU:s Förordning nr. 2016/679 (GDPR) artikel 4 nr. 7 och 8. FaVer behandlar då personuppgifter enligt instruktion från den personuppgiftsansvarige och i enlighet med gällande personuppgiftsbiträdesavtal. Vem som är personuppgiftsansvarig ska framgå i korrespondensen med dig.

När FaVer utför uppdrag på uppdrag av en privat kund är vi personuppgiftsansvariga, enligt GDPR artikel 4 nr. 7. Vi är också personuppgiftsansvariga för behandling av personuppgifter i samband med administration av företagskunder, samarbetspartners, marknadsföring och interna medarbetare/anställda.

Kontaktuppgifter: FaVer AS, v/daglig ledare Stein Naustdal, Postboks 1228 Vika, 0113 Oslo.

Organisasjonsnummer: 997 329 694.

2. Vilka vi behandlar personuppgifter om

Denna personvernerklæring riktar sig mot vår behandling av personuppgifter om följande personer:

• Privata kunder
• Kontaktpersoner hos våra företagskunder
• Kontaktpersoner hos våra leverantörer och samarbetspartners
• Personer som är involverade i ärenden vi utreder
• Andra personer som nämns i ärendedokument vi får tillgång till
• Besökare på vår webbplats och i våra kontorslokaler

3. Syfte, typer av personuppgifter och rättslig grund

Nedan ges en översikt över vilka syften vi behandlar personuppgifter för, vilka typer av personuppgifter vi behandlar och den rättsliga grunden för behandlingen.

3.1 Etablering av kundrelation

Vi behandlar personuppgifter om privata kunder i form av namn, postadress, postnummer/ort, telefon/mobiltelefonnummer och e-postadress. Rättslig grund följer av GDPR artikel 6 nr. 1 bokstav b (för att uppfylla avtal med kund).

Vid uppdrag för företagskunder är det nödvändigt att behandla personuppgifter om kontaktpersoner hos kunden. Behandlingen gäller uppgifter om namn på kontaktpersoner, telefon/mobiltelefonnummer och e-postadress. Rättslig grund följer av GDPR artikel 6 nr. 1 bokstav f (för att tillgodose ett berättigat intresse).

3.2 Ärendehantering och uppgifter om personer som är involverade i ärendet

I utredningsarbetet kommer vi att behandla personuppgifter som är relevanta för det ärende och den ärendeförhållande som ska utredas eller granskas. Detta kommer typiskt sett vara uppgifter om faktiska förhållanden som är av betydelse för att kunna bedöma och avgöra det ärende och den ärendeförhållande som uppdragsgivaren vill ha klarlagt. Vilka personuppgifter som är relevanta och nödvändiga att behandla kommer att variera från ärende till ärende och kommer att bero på ärendetyp.

När FaVer utför utrednings- och granskningsuppdrag på uppdrag av företagskunder, till exempel på uppdrag av ett försäkringsbolag, behandlar vi personuppgifter på uppdrag av försäkringsbolaget. Syftet med behandlingen och vilka uppgifter som ska behandlas beror på uppdragsgivarens (den personuppgiftsansvariges) behandlingsgrund och syfte.

Vissa uppdrag innebär att vi får tillgång till personuppgifter om parter eller andra enskilda personer som berörs av det ärende som ska utredas. Sådana uppgifter kan framgå av dokument som kunden översänder eller annan korrespondens i ärendet. Det kan till exempel gälla personuppgifter om kravställare, motparter, kontraktsparter, vittnen, kontaktpersoner hos företagskund och andra personer med anknytning till ärendeförhållandet.

Behandling av personuppgifter som gäller en privat kund har rättslig grund i GDPR artikel 6 nr. 1 bokstav b (för att uppfylla avtal med kund). Rättslig grund för behandling av personuppgifter om andra enskilda personer som omfattas av utredningen följer GDPR artikel 6 nr. 1 bokstav f (för att tillgodose ett berättigat intresse). Personer som eventuellt omfattas av själva utredningen måste som huvudregel lämna samtycke till att vi behandlar deras personuppgifter, enligt GDPR artikel 6 nr. 1 bokstav a.

För att kunna fastställa, göra gällande eller försvara ett rättskrav, kommer det i vissa ärenden vara nödvändigt att behandla särskilda kategorier av personuppgifter, bland annat hälsouppgifter, uppgifter om fackföreningsmedlemskap, brottsliga förhållanden/lagsöverträdelser. Rättslig grund för sådan behandling följer av GDPR artikel 9 nr. 2 bokstav f och personuppgiftslagen § 11 (ny lag 2018). Personer som eventuellt omfattas av själva utredningen måste som huvudregel lämna samtycke till att vi behandlar deras personuppgifter, enligt GDPR artikel 9 nr. 2 bokstav a.

3.3 Kundadministration

Ärenden som behandlas för kunder registreras i vårt ärendehanteringssystem. Här lagras alla ärendedokument och det registreras tidsåtgång och kostnader som har uppstått. Tidsåtgång och uppkomna kostnader utgör grund för fakturering och avräkning av vårt arvode. Vid tidsregistrering och fakturering kommer uppgifter som kan identifiera ärendet hos kunden att behandlas, såsom ärendenummer, namn på ärendet och namn på kontaktperson hos företagskunden. Rättslig grund för behandlingen följer av GDPR artikel 6 nr. 1 bokstav b (för att uppfylla avtal med kund). För företagskunder följer den rättsliga grunden av GDPR artikel 6 nr. 1 bokstav f (för att tillgodose ett berättigat intresse).

3.4 Lagring/förvaring av ärendedokument

Alla ärendedokument lagras/förvaras säkert och är underkastade strikt åtkomstkontroll. Ärendedokument kommer att lagras i upp till två månader efter att uppdraget har avslutats. Rättslig grund för behandlingen följer av GDPR artikel 6 nr. 1 bokstav f (för att tillgodose ett berättigat intresse), GDPR artikel 9 nr. 2 bokstav f, eller GDPR artikel 17 nr. 3 bokstav b (för att fastställa, göra gällande eller försvara rättskrav), och personuppgiftslagen § 11 (ny lag 2018).

3.5 Upptäcka och förebygga ekonomisk brottslighet

Det kommer att behandlas uppgifter som är nödvändiga för att uppfylla krav enligt penningtvättslagen § 4 (2) nr. 3, jfr. §§ 17 och 18. Behandlingen omfattar som huvudregel uppgifter om kundens namn, personnummer, adress, referens till legitimation, typ av legitimation. Rättslig grund för behandlingen följer av GDPR artikel 6 nr. 1 bokstav c (uppfylla rättslig förpliktelse).

3.6 Besökare i våra kontorslokaler

Vid besök i våra kontorslokaler registreras uppgifter om namn på den besökande, datum för besöket, företaget som den besökande eventuellt representerar, namn på den medarbetare hos oss som besöks, tidpunkt för ankomst och tidpunkt för när den besökande lämnar lokalerna. Uppgifterna lagras i två månader. Behandlingen är nödvändig för att ha kontroll och översikt över besökare i företagets lokaler, både av hänsyn till den besökandes egen säkerhet och för att uppfylla krav på personuppgiftssäkerhet enligt GDPR artikel 32. Rättslig grund för behandlingen följer av GDPR artikel 6 nr. 1 bokstav f (för att tillgodose ett berättigat intresse) och GDPR artikel 6 nr. 1 bokstav c (för att uppfylla en rättslig förpliktelse).

3.7 IT-drift och säkerhet

Personuppgifter som är lagrade i våra IT-system kommer att vara tillgängliga för våra leverantörer i samband med uppdateringar av system, implementering eller uppföljning av säkerhetsåtgärder, felrättning eller annat underhåll. Rättslig grund för behandlingen följer av GDPR artikel 6 nr. 1 f (intresseavvägning, jfr. vårt legitima intresse kopplat till nämnda aktiviteter) och vår rättsliga förpliktelse att ha tillfredsställande informationssäkerhet, jfr. GDPR artiklarna 32 och 6 nr. 1 bokstav c (för att uppfylla en rättslig förpliktelse).

3.8 Kontaktpersoner hos våra leverantörer och samarbetspartners

Vi behandlar personuppgifter om kontaktpersoner hos våra leverantörer och samarbetspartners. Behandlingen gäller uppgifter om namn på kontaktpersoner, titel/position, telefon/mobiltelefonnummer och e-postadress. Behandlingen är nödvändig för att kunna följa upp avtal och samarbeten med våra kontakter. Rättslig grund följer GDPR artikel 6 nr. 1 bokstav f (för att tillgodose ett berättigat intresse).

3.9 Marknadsföring, kursverksamhet och utskick av nyhetsbrev

Vi använder vår hemsida Faver.no för marknadsföring av företagets tjänster. Vid besök på hemsidan används cookies. För publiceringslösningen, FaVer session (är sessionsberoende, raderas när webbläsaren stängs). För att komma ihåg ditt godkännande av användning av cookies: cookie notice_accepted (lagras i 1 år). Rättslig grund för behandlingen följer av GDPR artikel 6 nr. 1 bokstav a (samtycke).

4. Vem vi delar personuppgifter med

Vi använder underleverantörer för lagring, drift och underhåll av företagets informations- och kommunikationsteknologi. Alla personuppgifter lagras externt hos vår IT-leverantör. Personuppgifter som är lagrade i IT-systemen kommer att vara tillgängliga för våra leverantörer i samband med drift, uppdateringar av system, implementering eller uppföljning av säkerhetsåtgärder, felrättning eller annat underhåll. Leverantörerna agerar enligt personuppgiftsbiträdesavtal och under vår instruktion i enlighet med GDPR artikel 28.

Alla medarbetare i FaVer är underkastade strikt tystnadsplikt. Alla uppgifter som anförtros oss i samband med ett uppdrag hanteras konfidentiellt. Vi lämnar inte ut personuppgifter i andra fall eller på andra sätt än de som beskrivs i denna personvernerklæring, om inte kunden uttryckligen uppmanar till eller samtycker till detta, eller om utlämnandet är lagstadgat.

5. Hur länge personuppgifterna lagras

Personuppgifter som behandlas hos oss kommer att lagras så länge det är nödvändigt för att uppfylla syftet med behandlingen. Uppgifterna kan lagras längre tid om detta är tillåtet eller föreskrivet i lag. Här är en översikt över hur länge vi lagrar personuppgifter:

• Kunduppgifter och uppgifter om kontaktperson hos företagskunder lagras så länge kundförhållandet varar, och i upp till 10 år efter att kundförhållandet har avslutats.
• Ärendedokument, personuppgifter vid ärendehantering och personuppgifter om motpart och andra tredje parter lagras i upp till två månader efter att uppdraget har avslutats.
• Uppgifter som behandlas för att upptäcka och förebygga ekonomisk brottslighet lagras i fem år efter att kundförhållandet har avslutats eller transaktionen har genomförts, om inte längre tidsfrister följer av lag eller förordning. Dokumenten och uppgifterna kommer att raderas inom ett år efter att lagringsplikten har upphört.
• Uppgifter om besökare i våra lokaler lagras i två månader.
• Uppgifter om kontaktpersoner hos våra leverantörer och samarbetspartners lagras så länge det är nödvändigt för avtalsförhållandet/samarbetet, och i upp till 10 år efter att avtalet/samarbetet har upphört.
• Personuppgifter i samband med marknadsföring, se punkt 3.9.

Bokföringslagstiftningen ålägger oss annars att lagra vissa bokföringsdokument under en viss tidsperiod. När ett visst syfte kräver lagring under en viss tidsperiod, säkerställer vi att personuppgifterna endast används för det aktuella syftet under denna tidsperiod.

6. Dina rättigheter

Enligt gällande dataskyddsregler (GDPR kapitel 3) har du rättigheter som kan tillämpas när personuppgifter om dig behandlas. Dina rättigheter kan begränsas av regler i GDPR, personuppgiftslagen, andra lagbestämmelser eller som följd av andra omständigheter. Om du vill utöva dina rättigheter kan du kontakta oss eller det finansinstitut/försäkringsbolag som är vår uppdragsgivare.

6.1 Återkalla ett samtycke

Om behandlingen hos oss är baserad på ditt samtycke kan du när som helst återkalla samtycket. Beslutet att återkalla samtycket påverkar inte lagligheten av den behandling som utförts innan samtycket återkallas. Återkallandet av ett samtycke påverkar inte heller uppgifter som kan behandlas med stöd av en annan rättslig grund.

6.2 Insyn och information om behandlingen

Du kan begära att få information om syftet med behandlingen, vilken kategori av personuppgifter som är registrerade, vem som har mottagit eller fått ut uppgifterna, hur länge det förväntas att uppgifterna kommer att lagras och information om var uppgifterna kommer ifrån om dessa har inhämtats från andra. Du kan också begära att få en kopia av de personuppgifter som behandlas om dig. För att säkerställa att personuppgifter lämnas ut till rätt person kan vi ställa krav på att begäran om insyn sker skriftligt eller att identiteten verifieras på annat sätt.

Begränsningar i din rätt till insyn och information följer av GDPR artikel 14 nr. 5 och personuppgiftslagens § 16. Rätten gäller bland annat inte för uppgifter som måste hållas hemliga av hänsyn till förebyggande, utredning, avslöjande och rättslig åtgärd av brottsliga handlingar. Rätten till insyn och information gäller inte heller för uppgifter som enligt lag eller med stöd av lag är föremål för tystnadsplikt. Undantag från informationsplikten gäller också om det är omöjligt att ge information eller skulle innebära en oproportionerligt stor insats.

6.3 Rättelse eller radering

Du kan begära att vi rättar felaktiga uppgifter vi har om dig eller begära att vi raderar personuppgifter. Uppgifterna kan inte raderas om behandlingen är nödvändig för att uppfylla ett avtal med dig som kund eller om behandlingen har en annan rättslig grund.

6.4 Dataportabilitet

I vissa fall kommer du att kunna få ut de personuppgifter du har lämnat till oss för att få dessa överförda i ett maskinläsbart format. Om det är tekniskt möjligt kommer det i vissa fall att vara möjligt att få dessa överförda direkt till det andra företaget.

6.5 Invända mot behandlingen

Du kan invända mot behandlingen av personuppgifter där behandlingen sker på grundval av samtycke eller är baserad på en intresseavvägning enligt GDPR artikel 6 nr. 1 bokstav f.

6.6 Klagomål till tillsynsmyndigheten

Om du anser att vi behandlar dina personuppgifter i strid med gällande dataskyddsregler eller att dina rättigheter enligt dataskyddsreglerna kränks kan du skicka in ett skriftligt klagomål till Datatilsynet, Postboks 8177 Dep., 0152 Oslo. Datatilsynets beslut kan överklagas vidare till Personvernnemda. Vi har utsett ett dataskyddsombud. Innan du eventuellt klagar till Datatilsynet kan du först skicka en skriftlig förfrågan till vårt dataskyddsombud. Se punkt 8.

7. Säkerhet

Vi har etablerat rutiner för att hantera personuppgifter på ett säkert sätt. Åtgärderna är både tekniska och organisatoriska. Vi gör regelbundna bedömningar av säkerheten i alla centrala system som används för hantering av personuppgifter och det har ingåtts avtal som ålägger leverantörer av sådana system att säkerställa tillfredsställande informationssäkerhet. Tillgång till personuppgifter (och kund-/ärendeinformation) är begränsad till personal som behöver tillgång för att utföra sina uppgifter. Vi har antagit interna IT-riktlinjer och vi genomför regelbunden utbildning av anställda när det gäller säkerhet och användning av IT-system.

8. Dataskyddsombud

Vi har utsett advokat Erik Fjeldstad som dataskyddsombud. Du kan kontakta honom angående frågor om behandlingen av dina personuppgifter hos oss. Ombudet kan också svara på frågor om dina dataskyddsrättigheter enligt gällande dataskyddsregler.

Kontaktuppgifter till vårt dataskyddsombud: Partner/advokat Erik Fjeldstad, Advokatfirma Kogstad Lunde & Co DA, Postboks 1360 Vika, 0113 Oslo.  E-post: ef@klco.no