INTEGRITETSPOLICY – LEXUS FINANCIAL SERVICES

1. INLEDNING ‌

1.1 Lexus Financial Services är personuppgiftsansvarig och behandlar personuppgifter avseende

(i) kunder som är fysiska personer, (ii) fysiska personer som representerar juridiska personer vilka är kunder till Lexus (t.ex. kontaktpersoner, beställare, inköpare), (iii) personer som inte är kunder men vilka Lexus avser ska bli det, (iv) medlemmar i Lexus kundklubbar, och (v) borgensmän eller medlåntagare ((i) – (v) gemensamt den ”Registrerade”).

1.2 Lexus behandlar personuppgifter korrekt och i enlighet med gällande lagstiftning och regler för dataskydd. Lexus är öppna med hur och varför Xxxxx behandlar personuppgifter och lämnar därför i denna policy utförlig information om Lexus hantering av personuppgifter.

2. PERSONUPPGIFTER SOM BEHANDLAS

2.1 Personuppgifter som kan komma att behandlas avseende den Registrerade utgörs exempelvis av:

• namn och personnummer,

• post- och e-mailadress,

• IP-nummer,

• kopia på ID-handling,

• finansiell information,

• kontraktsnummer,

• kontonummer,

• kontaktuppgifter av olika slag,

• identifikationsnummer för fordon, och

• relevanta uppgifter om den Registrerades ärenden/transaktioner med Lexus (t.ex. information om köp/hyra/lån/bud eller information för att processa betalningar).

2.2 Dessutom behandlas fordonsinformation som ofta är av mer teknisk karaktär, men som ibland kan utgöra personuppgifter i en vid bemärkelse, såsom:

• mätarställning,

• modell,

• utrustning, eller

• information som lagras i någon av fordonets datorer.

3. VAD PERSONUPPGIFTERNA ANVÄNDS TILL

Nedan redogörs för syftena med samt grunderna för Lexus behandling av personuppgifter.‌

3.1 För att fullgöra olika skyldigheter som är reglerade i lag, förordning eller föreskrift

331467-v4

3.1.1 Lexus behandlar personuppgifter för att fullgöra förpliktelser enligt bl.a. Konsumentkreditlagen, lag om penningtvätt och finansiering av terrorism, lag om bank- och finansieringsrörelse, Bokföringslagen m.fl. vilket innefattar behandling av bl.a. namn, personnummer, ID-handlingar, kontrakts- och kontonummer.

3.2 För att fullgöra Lexus avtal

3.2.1 Lexus behandlar personuppgifter för att fullgöra Lexus avtal med kunder, eller för att utföra åtgärder innan ett avtal ingås. Exempelvis kan personuppgifter komma att insamlas för att göra kreditprövning eller för att fastställa den Registrerades kreditvärdighet och kreditrisk (vilket innefattar överföring av personuppgifter till kreditbyrå (UC)), granska och optimera rutiner för kreditförfrågningar från kunder, säkerställa IT-säkerhet och IT-system och utföra kundsupporttjänster.

3.3 Baserat på en intresseavvägning

3.3.1 Om det är nödvändigt för skydd av berättigade intressen för Lexus eller annan tredje part kan Lexus, baserat på en intresseavvägning i enlighet med 6.1 (f) Europaparlamentets och Rådets Förordning (EU) 2016/679 (”Dataskyddsförordningen”), komma att behandla personuppgifter för följande syften och situationer:

• Reklamutskickspecialerbjudanden och events om den Registrerade inte har avböjt detta,

• påminna om att kontraktstiden börjar löpa ut,

• Åtgärder för att utveckla nya tjänster och produkter,

• Utveckla Lexus affärsverksamhet, utbud och kunderbjudanden, IT-system och andra redskap och höja säkerhet, kvalitet och effektivitet vilket innefattar att Lexus analyserar. processer, arbetssätt, kundanalyser, kundundersökningar/enkäter, benchmarking, support och tester,

• Analysera och följa upp kredithistorik och göra riskbedömningar bl.a. för att ständigt förbättra scoringverktyg och minska risken i verksamheten, och

• Hantera ansvar/kostnader kopplade till Xxxxx tjänster samt uppfylla avtal med tredjeman eller skydda Lexus från bedrägerier.

3.4 Baserat på samtycke från kund

Samtliga avtal hos Lexus innehåller en samtyckesklausul där den Registrerade frivilligt kan lämna sitt samtycke till att Lexus behandlar den Registrerades personuppgifter för ändamål vilka anges i avtalen. Detta samtycke kan återkallas av den Registrerade.

4. ÖVERFÖRING AV PERSONUPPGIFTER ‌

4.1 Inhämtande av personuppgifter

331467-v4

4.1.1 Personuppgifter kan komma att inhämtas genom att den Registrerade förser Lexus med information genom att skapa användarkonton för någon av de digitala tjänster som Lexus tillhandahåller, såsom tjänsten ”Min Finansiering”, genom att fylla i formulär på Lexus webbplatser, vid kontakter med Lexus eller representanter via telefon, e-mail, sociala medier eller på annat sätt.

4.1.2 Lexus kan även komma att samla in personuppgifter från tredje part, såsom auktoriserade Toyotaåterförsäljare, andra företag inom den koncern Lexus tillhör, noggrant utvalda affärspartners, underleverantörer inom tekniska tjänster, undersökningsföretag såsom

Upplysningscentralen och Transportstyrelsen, söktjänstföretag och andra samarbetspartners.

4.2 Mottagare av personuppgifter ‌

4.2.1 Personuppgifter kan komma att delas mellan Lexus och bolag tillhörande samma koncern. Lexus kan i vissa fall även dela personuppgifter med samarbetspartners såsom återförsäljare, biltillverkare och medlemmar av auktoriserade nätverk där främst fordonsinformation delas.

4.2.2 Vidare kan personuppgifter komma att delas med försäkringsbolag vid skada eller registrering. Även myndigheter kan komma att få del av personuppgifter när det är nödvändigt eller för att de har rätt till informationen (t.ex. av skattemässiga skäl, i bokföringssyfte eller om Dataskyddsinspektionen begär detta vid en revision).‌

4.2.3 LEXUS använder externa leverantörer för olika ändamål, t.ex. för datalagring eller annan datahantering, distribution av tjänster eller information, tryck, marknadsföring eller analyser. I dessa fall har leverantören ingen egen rätt att behandla eventuella personuppgifter och Lexus har ingått personuppgiftsbiträdesavtal om personuppgiftsbehandling med de olika leverantörerna.

4.3 Överföring till tredje länder

Lexus kan komma att överföra personuppgifter till samarbetspartners utanför det Europeiska ekonomiska samarbetsområdet (EES). Om så sker kommer Xxxxx att tillse att nödvändiga avtal ingås och övriga säkerhetsåtgärder vidtas för att säkerställa att personuppgifterna skyddas i enlighet med tillämpliga lagkrav.

5. SÄKERHET

5.1 Lexus kommer att säkerställa att lämpliga tekniska och organisatoriska säkerhetsåtgärder vidtas för att skydda personuppgifter mot missbruk, förstörelse och förlust genom olyckshändelse eller otillbörligt utlämnande. Om Lexus anlitar en utomstående part för att förse Xxxxx med tjänster som innefattar behandling av personuppgifter kommer Xxxxx att säkerställa att sådana partners tillämpar lämpliga säkerhetsåtgärder och endast behandlar personuppgifter på det sätt som Lexus har godkänt.

5.2 Vid överföring av information via internet kan säkerheten aldrig garanteras fullt ut. Även om Xxxxx implementerar säkerhetsåtgärder för att skydda personuppgifter kan Lexus inte garantera fullständig säkerhet för information som den Registrerade överför till Lexus webbplats. All överföring av uppgifter sker därför på den Registrerades egen risk. När Xxxxx har erhållit uppgifter kommer Xxxxx att tillämpa stränga rutiner och säkerhetsåtgärder för att förhindra obehörig åtkomst.

6. INSAMLING AV PERSONUPPGIFTER GENOM KAKOR (COOKIES) OCH ANNAN TEKNIK

331467-v4

6.1 Lexus använder cookies på sina hemsidor för att (i) kunna tillhandahålla funktionalitet, (ii) analysera hur Lexus tjänster används och (iii) Lexus ska kunna ge användarna den bästa användarupplevelsen.‌

6.2 En cookie är en textfil som webbläsaren sparar i besökarens dator. Textfilen innehåller information som används t.ex. för att underlätta besökarens användning av hemsidan. Det finns två huvudtyper av cookies: 1) en permanent cookie som ligger kvar på besökarens dator

under en bestämd tid 2) en sessionscookie som lagras tillfälligt i datorns minne under tiden en besökare är inne på en webbsida. Sessionscookies försvinner när användarens stänger webbläsaren.

6.3 Permanenta cookies används bland annat för att lagra eventuella personliga inställningar hos användaren samt i syfte att anpassa information och marknadsföring. Sessionscookies används bland annat i syfte att kunna registrera statistik över användandet av hemsidan.

6.4 Om användare inte vill acceptera cookies kan dessa blockeras i inställningarna i webbläsare. Observera att om xxxxxxx inte inaktiverats utgår Xxxxx från att användningen av sådana accepteras.

7. DEN REGISTRERADES RÄTTIGHETER ‌

7.1 Rätt till registerutdrag, rättelse och invändning

7.1.1 Den Registrerade har rätt att kostnadsfritt begära registerutdrag angående den personuppgiftsbehandling som Lexus utför. Den Registrerade har även rätt att begära rättelse av felaktiga uppgifter samt invända mot behandling av personuppgifter som behandlas med stöd av berättigade intressen efter en intresseavvägning enligt artikel 6.1 (f) Dataskyddsförordningen.

7.1.2 Vid den Registrerades invändning mot behandling av personuppgifter för direkt marknadsföring kommer Lexus att upphöra med sådana behandling.

7.2 Gallring och rätt till radering

7.2.1 Den Registrerades personuppgifter kommer inte att bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen och Xxxxx kommer i övrigt att avidentifiera personuppgifter på sätt som följer av tillämplig lagstiftning.

7.2.2 Den Registrerade har också rätt att kräva radering av felaktiga uppgifter samt då behandling av personuppgifter inte längre är nödvändigt. Begäran om radering kan även göras för personuppgifter som behandlas för direkt marknadsföring.

331467-v4

7.2.3 Oaktat ovan kan Xxxxx komma att behandla personuppgifter under den tid och i den mån det krävs för att fullgöra skyldighet enligt lag, annan författning eller myndighetsbeslut.

7.3 Rätt till begränsning av personuppgiftsbehandling

7.3.1 Den Registrerade har rätt att begära begränsning av personuppgiftsbehandling i nedanstående fall.‌

a. Om den Registrerade ifrågasätter riktigheten av personuppgifter.

b. Om personuppgiftsbehandlingen är otillåten och den Registrerade väljer begränsning av personuppgifter istället för radering.

c. Om personuppgifterna inte längre behövs för de ändamål som de tidigare behandlats för, och då den Registrerade behöver dessa för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

d. Om den Registrerade invänt mot behandling som stödjer sig på en intresseavvägning.‌

7.3.2 En begränsning av personuppgiftsbehandling innebär att personuppgifterna fortsätter att lagras men i övrigt inte behandlas vidare av Lexus utan den Registrerades samtycke.

7.4 Rätt till dataportabilitet

7.4.1 Den Registrerade har rätt att begära ut personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format för de uppgifter som den Registrerade själv lämnat i de fall dessa uppgifter behandlats baserat på samtycke från den Registrerade eller på grund av avtal.

7.5 Utövande av rättigheter ‌

7.5.1 Om den Registrerade vill utnyttja någon eller flera av sina rättigheter enligt ovan kan den Registrerade rikta sådan begäran till Lexus. Kontaktuppgifter återfinns nedan under punkt 9.

7.5.2 Lexus kommer att behandla en begäran från den Registrerade skyndsamt. Om Xxxxx inte avser att bevilja en begäran helt eller delvis, kommer den Registrerade informeras om detta samt skälen till beslutet.