Allmänt
Dataskyddspolicy
GPB Golvproffsbutiken AB
Allmänt
GPB Golvproffsbutiken AB (nedan kallat GPB) erkänner den allmänna dataskyddsförordningen (nedan kallad "GDPR") (förordning (EU) 2016/679) och arbetar aktivt för att följa det direktivet.
Denna dataskyddspolicy (nedan kallad "policy") uppfyller kraven i GDPR. Den visar på vilka strikta krav som ställs på behandling av personliga uppgifter om anställda, kunder, leverantörer och andra affärspartners.
Denna policy gäller för hela GPB och baseras på GDPR och globalt accepterade och grundläggande principer för dataskydd. Att skydda personliga rättigheter och integritet för varje enskild individ är grunden för en trovärdig affärsrelation.
Datasäkerhet
GPB kommer att vidta lämpliga åtgärder för att säkerställa säkerheten för de personuppgifter vi behandlar. Alla anställda kommer att bli informerade om denna policy och dess innehåll enligt GDPR.
GPB och dess anställda är skyldiga att respektera personuppgifter och ska arbeta för att olaglig och obehörig behandling samt förlust av personuppgifter inte sker. En lämplig nivå av datasäkerhet måste användas för den datatyp och databehandling som utförs.
Definitioner
Medgivande innebär ett fritt eller specifikt avtal om behandling av personens uppgifter som kan ges genom ett uttalande eller genom en tydlig bekräftande åtgärd.
Ansvarig Informationssäkerhet
Person som har ansvaret för informationssäkerheten samt ansvaret att rapportera en eventuell obehörig behandling av personuppgifter.
Brott mot personuppgiftsbehandlingen
Ett brott mot säkerheten som leder till oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörig avslöjande av eller tillgång till personuppgifter.
Individ
En identifierad eller identifierbar fysisk person till vilken informationen är relaterad.
Personlig information
Uppgifter om en identifierad eller identifierbar fysisk person.
Behandling av personuppgifter
Varje process, med eller utan användning av automatiserade system, för att samla, organisera, behålla, modifiera, fråga, använda, vidarebefordra, sända, sprida eller kombinera och jämföra data. Detta inkluderar också bortskaffande, radering och datalagringsmedia. Behandling av personuppgifter krävs om det tillåtna ändamålet inte skulle kunna uppnås utan personuppgifter.
Känsliga data
Data om ras och etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser, fackligt medlemskap, data om hälsa eller sexliv och sexuell läggning och generiska eller biometriska data.
Dataskyddsbestämmelser
Laglighet
Personuppgifter ska behandlas i enlighet med gällande lagar.
Syftebegränsning
Personuppgifter ska erhållas för specifika och lagliga ändamål och ska inte behandlas vidare på något sätt som inte är förenligt med dessa syften.
Data minimering
Personuppgifter ska vara adekvata, relevanta och begränsade i förhållande till syftet med vilka de behandlas.
Noggrannhet
Personuppgifter ska vara korrekta och vid behov uppdateras.
Lagringsbegränsning
Personuppgifter ska förvaras i en form som inte tillåter identifiering av individen längre än vad som är nödvändigt för de ändamål för vilka de behandlas.
Integritet och konfidentialitet
Personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet inklusive skydd mot otillåten eller olaglig behandling och mot oavsiktlig förlust, förstörelse eller skada, med hjälp av lämpliga tekniska eller organisatoriska åtgärder.
Ansvarighet
Ansvarig för informationssäkerhet ska ansvara för och kunna visa att ovanstående principer efterlevs.
Roller och ansvar
Företagsledningen ansvarar för databehandling inom respektive ansvarsområde. De är skyldiga att se till att de rättsliga kraven och de krav som ingår i denna policy är uppfyllda. Samt att databehandling utförs i enlighet med denna policy. Ansvaret för överensstämmelse med dessa krav vilar på relevanta anställda.
Ansvarig för informationssäkerhet ansvarar för att rapportera brott mot personuppgiftsbehandlingen till tillsynsmyndigheten.
Tredje part
Centro måste se till att personuppgifter som behandlas av tredje part, till exempel tjänsteleverantörer, molntjänster, leverantörer etc. överensstämmer med denna policy och GDPR.
Kund- och affärspartneruppgifter
Personliga data från relevanta kunder, leverantörer och andra affärspartners kan behandlas för att etablera, genomföra och säga upp ett kontrakt. Personuppgifter kan också behandlas för att förbereda order eller för att uppfylla andra begäranden som är relaterade till ett kontrakt eller avtal. Personuppgifter kan behandlas i marknadsföringssyfte, förutsatt att detta är i överensstämmelse med syftet med vilka uppgifterna ursprungligen samlades in.
Ska kommunikation ske i marknadsföringssyfte så ska samtycke erhållas antingen genom avtal eller ett aktivt val. Om personen nekar användningen av dennes data för reklamändamål, kan den inte längre användas för dessa ändamål.
Behandling av personuppgifter är också tillåtet om nationell lagstiftning begär, kräver eller godkänner detta. Typ och omfattning av databehandling måste vara nödvändig för den lagligt godkända databehandlingsaktiviteten och måste överensstämma med relevanta lagbestämmelser.
Om personuppgifter samlas in, bearbetas och används på webbplatser eller i appar, måste användaren informeras om detta i en sekretesspolicy och användaren måste informeras om ett eventuellt cookie användande. Sekretessutlåtandet och eventuell cookieinformation måste integreras så att det är lätt att identifiera, direkt och konsekvent tillgängliga.
Användaren har rätt att återkalla sitt samtycke när som helst.
Om användarprofiler (spårning) skapas för att utvärdera användningen av webbplatser och appar, måste användaren informeras i sekretesspolicyn.
Rätten till information om behandlingen
Individen har rätt till tillgång av information som innehas av GPB, med förbehåll för bestämmelserna i GDPR. Om individen önskar få tillgång till eventuella uppgifter ska en skriftlig begäran skickas till xxxx@xxxxxxxxxxxxxxxxx.xx
GPB kommer att sträva efter att svara på sådana skriftliga förfrågningar så snart det är rimligt genomförbart och i vilket fall som helst inom en månad efter mottagandet av begäran.
Rätten att få felaktiga uppgifter korrigerade
Individen ska ha rätt att utan dröjsmål få rättelse av felaktigt personliga uppgifter om denne.
Rätten att bli glömd
GPB har skyldighet att radera personuppgifter utan otillbörligt dröjsmål på begäran av individen om någon av de skäl som anges i artikel 17 i GDPR gäller.
Rätten till dataportabilitet
Individen har rätt att ta emot personuppgifterna om honom eller henne i ett strukturerat, allmänt använt och maskinläsbart format och har rätt att överföra dessa data till en annan instans i enlighet med kraven i artikel 20 i GDPR.
Dataintrång
En överträdelse ska omedelbart rapporteras till ansvarig för informationssäkerhet. Denne ska utan otillbörlig fördröjning och, om möjligt, senast 72 timmar efter att ha blivit medveten om brott, anmäla brott mot personuppgiftsbehandlingen till tillsynsmyndigheten i enlighet med kraven enligt artikel 33 i GDPR. Brottet ska också rapporteras till ledningen för GPB.
Ansvarig för informationssäkerhet ska dokumentera eventuella överträdelser av personuppgifter, dess effekter och åtgärder.
Alla anställda måste omedelbart informera ansvarig för informationssäkerhet om överträdelse mot denna policy eller andra bestämmelser om skydd av personuppgifter i fall av
Oförutsedd eller olaglig förstörelse, förlust eller ändring av personuppgifter
Obehörig överföring, åtkomst och behandling av personuppgifter
Den obligatoriska personuppgiftsrapporten måste göras omedelbart så att eventuella rapporteringsuppgifter kan följa gällande skyddsregler och nationell lagstiftning.