GDPR
1. Om denne GDPR-policyen
Denne policyen forklarer hvilke grunnleggende krav som gjelder for behandling av personopplysninger når vi tilbyr møbler og interiørprodukter gjennom nettbutikken til forbrukere i Norge. Den beskriver også hvilke rettigheter du har etter personvernforordningen (GDPR), og hvordan du kan utøve dem.
Personopplysninger er opplysninger som direkte eller indirekte kan knyttes til en identifisert eller identifiserbar fysisk person. Behandling omfatter ikke bare innsamling, men også bruk, organisering, lagring, overføring, utlevering, begrensning og sletting av slike opplysninger.
Vi legger vekt på å beskytte personopplysninger og behandle dem i samsvar med gjeldende lovkrav. Denne policyen fokuserer på GDPRs rettslige rammer, grunnleggende prinsipper, behandlingsgrunnlag, registrertes rettigheter og hvordan disse rettighetene kan utøves.
2. Når gjelder GDPR i Norge?
GDPR er innlemmet i EØS-avtalen og gjennomført i Norge gjennom personopplysningsloven. Behandling av personopplysninger som omfattes av regelverket, skal følge GDPR og relevante norske lovbestemmelser.
For behandlingsansvarlige eller databehandlere som er etablert utenfor EØS, kan GDPR også gjelde dersom behandlingen er knyttet til tilbud om varer eller tjenester til personer i Norge, eller overvåking av deres atferd i Norge. Dette følger av GDPR artikkel 3 og personopplysningsloven § 4.
Det er derfor ikke bare hvor en virksomhet er etablert, som avgjør om GDPR gjelder. Behandlingens art, formål, tilknytning og hvilke personer den gjelder, må også vurderes.
Når GDPR kommer til anvendelse, gjelder kravene for hele behandlingsforløpet, blant annet innsamling, bruk, lagring, deling og sletting av personopplysninger.
3. Grunnleggende prinsipper for behandling av personopplysninger
Etter GDPR artikkel 5 skal behandling av personopplysninger følge disse grunnleggende prinsippene:
3.1 Lovlighet, rettferdighet og åpenhet
Personopplysninger skal behandles på et lovlig grunnlag og på en rettferdig måte. Informasjon om behandlingen skal gis på en klar og forståelig måte, slik at du kan forstå hvordan opplysningene dine brukes.
3.2 Formålsbegrensning
Personopplysninger skal samles inn for uttrykkelig angitte og legitime formål. De skal ikke uten et gyldig rettslig grunnlag brukes til andre formål som er uforenlige med det opprinnelige formålet.
3.3 Dataminimering
Det skal bare behandles personopplysninger som er nødvendige for å oppnå det aktuelle formålet. Det skal ikke samles inn flere opplysninger enn det som er nødvendig.
3.4 Riktighet
Det skal treffes rimelige tiltak for å sikre at personopplysninger er korrekte og fullstendige. Uriktige opplysninger skal rettes eller slettes når det er nødvendig.
3.5 Lagringsbegrensning
Personopplysninger skal ikke oppbevares lenger enn nødvendig for formålet de ble samlet inn for. Lagringstiden skal fastsettes ut fra formålet og gjeldende lovkrav. Når opplysningene ikke lenger er nødvendige og det ikke finnes et annet lovlig grunnlag for videre lagring, skal de slettes eller håndteres på annen lovlig måte.
3.6 Integritet og konfidensialitet
Det skal brukes egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, ulovlig behandling, utilsiktet tap, skade eller utlevering.
3.7 Ansvarlighet
Behandling av personopplysninger skal være i samsvar med GDPR. Der regelverket krever det, skal det også kunne dokumenteres at kravene er fulgt.
4. Rettslig grunnlag for behandling av personopplysninger
Etter GDPR artikkel 6 må behandling av personopplysninger ha et gyldig rettslig grunnlag. Hvilket grunnlag som gjelder, avhenger av formålet og omstendighetene rundt den enkelte behandlingen.
4.1 Oppfyllelse av avtale
Når behandling av personopplysninger er nødvendig for å oppfylle en avtale med deg, eller for å gjennomføre tiltak på din anmodning før en avtale inngås, kan behandlingen bygge på avtaleoppfyllelse dersom vilkårene i GDPR er oppfylt.
Dette kan for eksempel gjelde nødvendig behandling av opplysninger for å håndtere bestillinger, kontrollere bestillingsinformasjon, gjennomføre betaling, organisere levering og yte kundeservice knyttet til en bestilling.
4.2 Rettslig forpliktelse
Dersom gjeldende lovgivning pålegger oss å behandle eller oppbevare bestemte personopplysninger, kan behandlingen bygge på GDPR artikkel 6 nr. 1 bokstav c.
Dette kan for eksempel gjelde nødvendig behandling eller oppbevaring av transaksjonsopplysninger for å oppfylle gjeldende regnskaps-, skatte- eller forbrukerrettslige forpliktelser.
4.3 Berettiget interesse
Behandling kan bygge på GDPR artikkel 6 nr. 1 bokstav f når den er nødvendig for å ivareta en berettiget interesse, og den registrertes interesser eller grunnleggende rettigheter og friheter ikke går foran denne interessen.
Mulige formål kan omfatte:
- å ivareta sikkerheten og den normale driften av nettstedet og tilhørende systemer;
- å forebygge svindel eller misbruk på en forholdsmessig måte;
- å fastsette, gjøre gjeldende eller forsvare rettskrav.
Når behandling bygger på berettiget interesse, skal formålet, nødvendigheten og konsekvensene for den registrertes rettigheter og friheter vurderes. Du kan protestere mot slik behandling når vilkårene i GDPR er oppfylt.
4.4 Samtykke
Når behandling etter loven krever samtykke, skal gyldig samtykke innhentes før behandlingen starter.
Samtykket skal være frivillig, spesifikt, informert og utvetydig. Du kan når som helst trekke tilbake samtykket. Tilbaketrekking påvirker ikke lovligheten av behandlingen som ble utført på grunnlag av et gyldig samtykke før det ble trukket tilbake.
Ikke all behandling av personopplysninger krever samtykke. Avtaleoppfyllelse, rettslige forpliktelser og berettiget interesse kan være andre aktuelle behandlingsgrunnlag, avhengig av formålet.
5. Dine rettigheter etter GDPR
Når GDPR gjelder, har du som registrert flere rettigheter. Om og i hvilken utstrekning en rettighet gjelder, må vurderes etter vilkårene i regelverket.
5.1 Rett til informasjon
Du har rett til å få tydelig informasjon om behandlingen av personopplysningene dine, blant annet formål, behandlingsgrunnlag, rettighetene dine og andre opplysninger som loven krever at du får.
5.2 Rett til innsyn
Du kan be om bekreftelse på om vi behandler personopplysninger om deg. Dersom vi gjør det, kan du på vilkårene i GDPR få innsyn i opplysningene og motta en kopi av dem, sammen med relevant informasjon om behandlingen.
5.3 Rett til retting
Dersom personopplysninger om deg er uriktige eller ufullstendige, kan du be om at de blir rettet eller supplert.
5.4 Rett til sletting
Du kan be om sletting av personopplysninger når vilkårene i GDPR er oppfylt.
Retten til sletting er ikke absolutt. Dersom opplysningene fortsatt må oppbevares på grunn av en rettslig forpliktelse, eller et annet lovbestemt unntak gjelder, kan det være nødvendig å beholde enkelte opplysninger. Opplysninger som ikke kan slettes, skal fortsatt behandles i samsvar med gjeldende regelverk.
5.5 Rett til begrensning av behandling
Du kan be om at behandlingen av personopplysningene dine begrenses i situasjoner som omfattes av GDPR.
Dette kan for eksempel være aktuelt dersom du bestrider riktigheten av opplysningene, mener behandlingen er ulovlig, eller trenger opplysningene for å fastsette, gjøre gjeldende eller forsvare et rettskrav.
5.6 Rett til dataportabilitet
Når vilkårene i GDPR artikkel 20 er oppfylt, kan du be om å få utlevert personopplysninger om deg i et strukturert, alminnelig anvendt og maskinlesbart format.
Du kan også be om at opplysningene overføres direkte til en annen behandlingsansvarlig når lovens vilkår er oppfylt. Denne retten gjelder bare for behandling som omfattes av bestemmelsen, og ikke automatisk for alle personopplysninger.
5.7 Rett til å protestere
Dersom behandlingen bygger på GDPR artikkel 6 nr. 1 bokstav e eller f, kan du protestere mot behandlingen når vilkårene i regelverket er oppfylt.
Du har en ubetinget rett etter GDPR til å protestere mot behandling av personopplysninger for direkte markedsføring. Etter en slik protest skal opplysningene ikke lenger brukes til dette formålet.
5.8 Rett til å trekke tilbake samtykke
Dersom behandlingen bygger på ditt samtykke, kan du når som helst trekke det tilbake.
Tilbaketrekking påvirker ikke lovligheten av behandlingen som fant sted før samtykket ble trukket tilbake. Dersom det ikke finnes et annet gyldig behandlingsgrunnlag, skal videre behandling som bygger på samtykket, stanses.
5.9 Rettigheter ved automatiserte avgjørelser
Når GDPR artikkel 22 kommer til anvendelse, har du rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, inkludert profilering, og som har rettsvirkning for deg eller på tilsvarende måte i betydelig grad påvirker deg, med mindre et lovbestemt unntak gjelder.
Dersom et slikt unntak kommer til anvendelse, kan du fortsatt ha rett til menneskelig inngripen, til å uttrykke ditt syn og til å bestride avgjørelsen, i samsvar med regelverket.
6. Slik utøver du rettighetene dine
Du kan sende en forespørsel om personvernrettighetene dine til:
E-post: client@lyndorlisse.com
Du kan også kontakte oss per telefon:
Telefon: +1 (863) 595-1862
For å gjøre det enklere å behandle forespørselen, anbefaler vi at du oppgir:
- hvilken GDPR-rettighet du ønsker å utøve;
- ordrenummer dersom forespørselen gjelder en bestilling;
- nødvendige opplysninger som gjør det mulig å finne de relevante personopplysningene;
- hva du konkret ønsker at vi skal gjøre.
Du skal ikke sende fullt kortnummer, passord eller andre sensitive kontoinformasjoner via vanlig e-post.
6.1 Identitetskontroll
Dersom vi har rimelig grunn til å tvile på identiteten til personen som fremsetter en forespørsel, kan vi etter GDPR artikkel 12 be om ytterligere opplysninger som er nødvendige for å bekrefte identiteten.
Identitetskontrollen skal tilpasses den konkrete forespørselen. Vi skal ikke uten grunn be om flere personopplysninger enn nødvendig eller kreve fullstendige kopier av pass eller identitetsdokumenter uten et saklig behov.
6.2 Frist for behandling av forespørsler
Etter GDPR artikkel 12 gjelder følgende:
- Vi skal som hovedregel informere deg om tiltakene som er truffet, innen én måned etter at vi mottok forespørselen.
- Ved komplekse forespørsler eller et stort antall forespørsler kan fristen forlenges med inntil to måneder når vilkårene i regelverket er oppfylt.
- Dersom fristen forlenges, skal du informeres om forlengelsen og årsaken til den innen én måned etter at forespørselen ble mottatt.
- Behandling av forespørsler skal som hovedregel være kostnadsfri.
- Dersom en forespørsel er åpenbart grunnløs eller overdreven, særlig ved gjentatte forespørsler, kan vi kreve et rimelig gebyr eller avslå forespørselen i samsvar med GDPR. I så fall skal vi opplyse om begrunnelsen og hvilke klagemuligheter du har.
Fristene ovenfor følger av GDPR og må ikke forveksles med ordinære åpningstider for kundeservice eller svartider for vanlige bestillingshenvendelser.
7. Databeskyttelse og sikkerhetsansvar
GDPR krever at det gjennomføres egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger, tilpasset risikoen ved behandlingen.
Avhengig av behandlingen kan slike tiltak blant annet omfatte:
- å begrense tilgang til personopplysninger;
- å gjennomføre sikkerhetstiltak som er tilpasset risikoen;
- å beskytte opplysninger mot uautorisert tilgang, utlevering, tap eller skade;
- å følge opp og kontrollere behandlingsaktiviteter på en hensiktsmessig måte;
- å håndtere brudd på personopplysningssikkerheten i samsvar med GDPR.
Dersom det oppstår et brudd på personopplysningssikkerheten som omfattes av GDPR artikkel 33, skal det meldes til kompetent tilsynsmyndighet uten ugrunnet opphold og, når det er mulig, senest innen 72 timer etter at bruddet ble kjent, med mindre bruddet sannsynligvis ikke medfører risiko for fysiske personers rettigheter og friheter.
Dersom bruddet sannsynligvis medfører høy risiko for de berørtes rettigheter og friheter, skal de berørte personene også varsles i samsvar med GDPR artikkel 34, når vilkårene i bestemmelsen er oppfylt.
Sikkerhetstiltak skal vurderes ut fra den faktiske behandlingen og risikoen. Vi gir ikke garantier om konkrete tekniske løsninger, sikkerhetssertifiseringer eller fullstendig risikofri behandling uten et faktisk grunnlag for slike opplysninger.
8. Behandlingsansvarlig og databehandler
GDPR skiller mellom behandlingsansvarlig og databehandler.
8.1 Behandlingsansvarlig
En behandlingsansvarlig er en fysisk eller juridisk person, offentlig myndighet, institusjon eller annet organ som bestemmer formålet med og midlene for behandlingen av personopplysninger.
Den behandlingsansvarlige skal blant annet sørge for at behandlingen har et gyldig rettslig grunnlag, at informasjonsplikten oppfylles, at de registrertes rettigheter ivaretas, og at kravene til ansvarlighet følges.
8.2 Databehandler
En databehandler behandler personopplysninger på vegne av den behandlingsansvarlige. Databehandleren skal følge den behandlingsansvarliges lovlige instrukser og oppfylle pliktene som følger av GDPR.
Dersom den faktiske driften omfatter betalings-, logistikk-, nettvert- eller andre teknologileverandører, må deres rolle etter GDPR vurderes ut fra de reelle oppgavene og behandlingsforholdene. En tredjepart er ikke automatisk en databehandler.
Butikknavnet brukes til å identifisere nettbutikken og handleopplevelsen, men er ikke i seg selv tilstrekkelig til å fastslå den fullstendige juridiske identiteten til den behandlingsansvarlige. Hvilken juridisk enhet som faktisk har rollen som behandlingsansvarlig, må fastslås ut fra de reelle drifts- og behandlingsforholdene.
9. Klage til tilsynsmyndigheten
Dersom du mener at behandlingen av personopplysningene dine er i strid med GDPR eller norske personvernregler, har du rett til å klage til Datatilsynet.
Tilsynsmyndighet: Datatilsynet
Du kan kontakte Datatilsynet dersom du mener at personvernrettighetene dine er krenket. Du kan gjerne kontakte oss først gjennom kontaktopplysningene som er oppgitt på nettstedet, slik at vi får anledning til å undersøke og håndtere saken. Dette er imidlertid ikke et obligatorisk vilkår for å kunne klage til tilsynsmyndigheten.
Du finner informasjon om klager og fremgangsmåten på Datatilsynets nettsted:
10. Kontakt oss
Hvis du har spørsmål om GDPR, behandling av personopplysninger eller hvordan du utøver rettighetene dine, kan du kontakte oss:
Adresse: 3707 Coffman Rd, Winter Haven, FL 33881, USA
Telefon: +1 (863) 595-1862
E-post: client@lyndorlisse.com
Kundeservice: Mandag til fredag, kl. 09.00–18.00 (sentraleuropeisk tid, CET)