1. Introduktion

Denna policy anger skyldigheterna för BAPON IT Services Ltd, ett företag registrerat i England och Wales under nummer 14795862 vars registrerade kontor ligger på Victory House, 400 Pavillion Drive, Northampton Business Park, Northampton, Storbritannien, NN4 7PA (”företaget”) avseende dataskydd och kunders (registrerades) rättigheter avseende deras personuppgifter enligt EU:s allmänna dataskyddsförordning 2016 (”GDPR”).

GDPR definierar ”personuppgifter” som all information som rör en identifierad eller identifierbar fysisk person (en ”registrerad”); en identifierbar fysisk person är en person som kan identifieras, direkt eller indirekt, särskilt genom hänvisning till en identifierare såsom ett namn, ett identifikationsnummer, platsdata, en online-identifierare eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Denna policy anger företagets skyldigheter avseende insamling, behandling, överföring, lagring och bortskaffande av personuppgifter. De rutiner och principer som anges häri måste alltid följas av företaget, dess anställda, ombud, entreprenörer eller andra parter som arbetar för företagets räkning.

Företaget åtar sig att inte bara följa lagens bokstav utan även dess anda och lägger stor vikt vid att alla personuppgifter hanteras korrekt, lagligt och rättvist, med respekt för de rättsliga rättigheter, den integritet och det förtroende som tillkommer alla personer företaget har kontakt med.

2. Principerna för dataskydd

Denna policy syftar till att säkerställa efterlevnad av GDPR. GDPR anger följande principer som alla parter som hanterar personuppgifter måste följa. Alla personuppgifter måste:

2.1 Behandlas lagligt, rättvist och på ett transparent sätt i förhållande till den registrerade.

2.2 Insamlad för angivna, uttryckliga och legitima ändamål och inte vidarebehandlad på ett sätt som är oförenligt med dessa ändamål. Vidare behandling för arkivändamål i allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska inte vara oförenlig med de ursprungliga ändamålen.

2.3 Adekvata, relevanta och begränsade till vad som är nödvändigt i förhållande till de ändamål för vilka de behandlas.

2.4 Korrekta och, vid behov, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga, med hänsyn till de ändamål för vilka de behandlas, raderas eller rättas utan dröjsmål.

2.5 Förvaras i en form som möjliggör identifiering av registrerade inte längre än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån personuppgifterna behandlas enbart för arkiveringsändamål i allmänintresset, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, förutsatt att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt GDPR för att skydda den registrerades rättigheter och friheter genomförs.

2.6 Behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inklusive skydd mot obehörig eller olaglig behandling och mot oavsiktlig förlust, förstörelse eller skada, med hjälp av lämpliga tekniska eller organisatoriska åtgärder.

3. Registrerades rättigheter

GDPR anger följande rättigheter som gäller för registrerade (se de avsnitt i denna policy som anges för mer information):

3.1 Rätten att bli informerad (del 12). 

3.2 Rätten till tillgång (del 13);

3.3 Rätten till rättelse (del 14);

3.4 Rätten till radering (även kallad ”rätten att bli bortglömd”) (del 15); 

3.5 Rätten att begränsa behandlingen (del 16);

3.6 Rätten till dataportabilitet (del 17);

3.7 Rätten att göra invändningar (del 18); och

3.8 Rättigheter avseende automatiserat beslutsfattande och profilering (del 19 och 20).

Principer för dataskydd förklarade

4. Laglig, korrekt och transparent behandling av personuppgifter

4.1 GDPR syftar till att säkerställa att personuppgifter behandlas lagligt, rättvist och transparent, utan att den registrerades rättigheter påverkas negativt. GDPR anger att behandling av personuppgifter ska vara laglig om minst ett av följande gäller:

4.1.1 Den registrerade har lämnat samtycke till behandling av sina personuppgifter för ett eller flera specifika ändamål.

4.1.2 Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part, eller för att vidta åtgärder på den registrerades begäran innan ett avtal ingås med denne.

4.1.3 Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åligger den personuppgiftsansvarige.

4.1.4 Behandlingen är nödvändig för att skydda den registrerades eller en annan fysisk persons vitala intressen;

4.1.5 Behandlingen är nödvändig för att utföra en uppgift i allmänt intresse eller som ett led i utövandet av offentlig myndighet som den registeransvarige har anförtrotts; eller

4.1.6 Behandlingen är nödvändig för att tillgodose den registeransvariges eller en tredje parts berättigade intressen, utom i de fall då sådana intressen åsidosätter den registrerades grundläggande rättigheter och friheter som kräver skydd av personuppgifter, om den registrerade är ett barn.

5. Specificerade, uttryckliga och berättigade ändamål 

5.1 Företaget samlar in och behandlar de personuppgifter som anges i del 21 i denna policy. Detta inkluderar personuppgifter som samlats in direkt från registrerade.

5.2 Företaget samlar endast in, behandlar och lagrar personuppgifter för de specifika ändamål som anges i del 21 i denna policy (eller för andra ändamål som uttryckligen är tillåtna enligt GDPR).

5.3 Registrerade hålls hela tiden informerade om det eller de syften för vilka Bolaget använder deras personuppgifter.

Se del 12 för mer information om hur man håller registrerade informerade.

6. Adekvat, relevant och begränsad databehandling

Företaget kommer endast att samla in och behandla personuppgifter för och i den utsträckning det är nödvändigt för det eller de specifika syften som de registrerade har informerats om (eller kommer att informeras om) enligt del 5 ovan och enligt vad som anges i del 21 nedan.

7. Datanoggrannhet och att hålla data uppdaterade

7.1 Bolaget ska säkerställa att alla personuppgifter som samlas in, behandlas och lagras av det hålls korrekta och uppdaterade. Detta inkluderar, men är inte begränsat till, rättelse av personuppgifter på begäran av en registrerad, enligt vad som anges i del 14 nedan.

7.2 Riktigheten av personuppgifter ska kontrolleras när de samlas in. Om någon personuppgift visar sig vara felaktig eller föråldrad, kommer alla rimliga åtgärder att vidtas utan dröjsmål för att ändra eller radera dessa uppgifter, i förekommande fall.

8. Datalagring

8.1 Bolaget ska inte lagra personuppgifter längre än vad som är nödvändigt med hänsyn till det eller de syften för vilka personuppgifterna ursprungligen samlades in, lagrades och behandlades.

8.2 När personuppgifter inte längre behövs kommer alla rimliga åtgärder att vidtas för att utan dröjsmål radera eller på annat sätt förstöra dem.

8.3 För fullständig information om företagets strategi för datalagring, inklusive lagringsperioder för specifika typer av personuppgifter som innehas av företaget, vänligen be om ytterligare information.

9. Säker behandling

Företaget ska säkerställa att alla personuppgifter som samlas in, lagras och behandlas förvaras säkert och skyddas mot obehörig eller olaglig behandling och mot oavsiktlig förlust, förstörelse eller skada. Ytterligare information om de tekniska och organisatoriska åtgärder som ska vidtas finns i delarna 22 till 27 i denna policy.

10. Ansvarsskyldighet och dokumentation

10.1 Företagets dataskyddsombud är Lilly Immaculate, som kan kontaktas via e-post på dataprotection@bapon.net.

10.2 Dataskyddsombudet ska ansvara för att övervaka implementeringen av denna policy och för att övervaka efterlevnaden av denna policy, företagets övriga dataskyddsrelaterade policyer samt av GDPR och annan tillämplig dataskyddslagstiftning.

10.3 Bolaget ska föra skriftliga interna register över all insamling, lagring och behandling av personuppgifter, vilka ska innehålla följande information:

10.3.1 Namn och uppgifter om företaget, dess dataskyddsombud och eventuella tillämpliga tredjepartspersonbehandlare.

10.3.2 Ändamålen för vilka företaget samlar in, lagrar och behandlar personuppgifter. 

10.3.3 Detaljer om de kategorier av personuppgifter som samlas in, lagras och behandlas av företaget, och de kategorier av registrerade som dessa personuppgifter avser.

10.3.4 Detaljer om eventuella överföringar av personuppgifter till länder utanför EES, inklusive alla mekanismer och säkerhetsåtgärder.

10.3.5 Information om hur länge personuppgifter kommer att behållas av företaget; och

10.3.6 Detaljerade beskrivningar av alla tekniska och organisatoriska åtgärder som vidtagits av företaget för att säkerställa säkerheten för personuppgifter.

11. Konsekvensbedömningar avseende dataskydd

11.1 Företaget ska genomföra konsekvensbedömningar avseende dataskydd för alla nya projekt och/eller nya användningar av personuppgifter. 

11.2 Konsekvensbedömningar avseende dataskydd ska övervakas av dataskyddsombudet och behandla följande:

11.2.1 Den/de typ(er) av personuppgifter som kommer att samlas in, lagras och behandlas.

11.2.2 Det/de ändamål för vilka personuppgifter ska användas;

11.2.3 Bolagets mål;

11.2.4 Hur personuppgifter ska användas;

11.2.5 De parter (interna och/eller externa) som ska konsulteras;

11.2.6 Nödvändigheten och proportionaliteten av databehandlingen i förhållande till det/de ändamål för vilka den behandlas;

11.2.7 Risker för registrerade;

11.2.8 Risker som företaget utsätts för eller som uppstår inom företaget; och

11.2.9 Föreslagna åtgärder för att minimera och hantera identifierade risker. 

12. Hålla registrerade informerade

12.1 Företaget ska vid insamlingen av uppgifter lämna informationen i denna del 12.1 till varje registrerad:

12.1.1 Uppgifter om företaget, inklusive, men inte begränsat till, identiteten på dess dataskyddsombud;

12.1.2 Det/de ändamål för vilka personuppgifterna samlas in och kommer att behandlas (enligt del 18 i denna policy) och den rättsliga grunden som motiverar denna insamling och behandling;

12.1.3 I förekommande fall, de berättigade intressen som ligger till grund för Bolagets insamling och behandling av personuppgifterna;

12.1.4 Om personuppgifterna inte erhålls direkt från den registrerade, kategorierna av personuppgifter som samlas in och behandlas;

12.1.5 Om personuppgifterna ska överföras till en eller flera tredje parter, uppgifter om dessa parter;

12.1.6 Om personuppgifterna ska överföras till en tredje part som är belägen utanför Europeiska ekonomiska samarbetsområdet (”EES”), detaljer om överföringen, inklusive men inte begränsat till de skyddsåtgärder som finns (se del 25 i denna policy för ytterligare information);

12.1.7 Detaljer om datalagring;

12.1.8 Information om den registrerades rättigheter enligt GDPR;

12.1.9 Detaljer om den registrerades rätt att när som helst återkalla sitt samtycke till Bolagets behandling av deras personuppgifter;

12.1.10 Information om den registrerades rätt att lämna klagomål till Information Commissioner’s Office (”tillsynsmyndigheten” enligt GDPR);

12.1.11 I tillämpliga fall, uppgifter om eventuella rättsliga eller avtalsenliga krav eller skyldigheter som kräver insamling och behandling av personuppgifterna och uppgifter om eventuella konsekvenser av att inte lämna dem; och

12.1.12 Information om eventuellt automatiserat beslutsfattande eller profilering som kommer att ske med hjälp av personuppgifterna, inklusive information om hur beslut kommer att fattas, betydelsen av dessa beslut och eventuella konsekvenser.

13. Dataåtkomst för registrerade

13.1 Registrerade kan när som helst göra begäranden om åtkomst till personuppgifter för att få veta mer om de personuppgifter som företaget har om dem, vad det gör med dessa personuppgifter och varför.

13.2 Registrerade som vill göra en SAR (SAR) bör göra det genom att skicka e-post till företagets dataskyddsombud på dataprotection@bapon.net.

13.3 Svar på SAR:er ska normalt lämnas inom en månad efter mottagandet, men detta kan förlängas med upp till två månader om SAR:en är komplex och/eller om många förfrågningar görs. Om sådan ytterligare tid krävs ska den registrerade informeras.

13.4 Alla mottagna SAR-rapporter ska hanteras av företagets dataskyddsombud.

13.5 Företaget tar inte ut någon avgift för hantering av sedvanliga begäranden om tillgång till personuppgifter (SAR). Företaget förbehåller sig rätten att ta ut skäliga avgifter för ytterligare kopior av information som redan har lämnats till en registrerad samt för begäranden som uppenbart saknar grund eller är orimliga, särskilt om de upprepas. 

14. Rättelse av personuppgifter

14.1 Registrerade har rätt att kräva att Bolaget rättar sina personuppgifter som är felaktiga eller ofullständiga.

14.2 Företaget ska rätta de berörda personuppgifterna och informera den registrerade om rättelsen inom en månad från det att den registrerade har informerat företaget om problemet. Tidsfristen kan förlängas med upp till två månader vid komplicerade begäranden. Om ytterligare tid behövs ska den registrerade informeras.

14.3 Om berörda personuppgifter har lämnats ut till tredje part ska dessa parter informeras om eventuella rättelser som måste göras av dessa personuppgifter.

15. Radering av personuppgifter

15.1 Registrerade har rätt att begära att Bolaget raderar de personuppgifter som det har om dem under följande omständigheter:

15.1.1 Det är inte längre nödvändigt för Bolaget att lagra dessa personuppgifter för det/de ändamål för vilka de ursprungligen samlades in eller behandlades;

15.1.2 Den registrerade vill återkalla sitt samtycke till att företaget innehar och behandlar den registrerades personuppgifter; 

15.1.3 Den registrerade invänder mot att Bolaget lagrar och behandlar dennes personuppgifter (och det inte finns något övervägande berättigat intresse som gör att Bolaget fortsätter att göra det) (se del 17 i denna policy för ytterligare information om rätten att invända);

15.1.4 Personuppgifterna har behandlats olagligt;

15.1.5 Personuppgifterna måste raderas för att företaget ska kunna fullgöra en viss rättslig skyldighet.

15.2 Om inte Bolaget har rimliga skäl att vägra radering av personuppgifter, ska alla begäranden om radering efterkommas, och den registrerade informeras om raderingen, inom en månad efter mottagandet av den registrerades begäran. Perioden kan förlängas med upp till två månader vid komplexa begäranden. Om sådan ytterligare tid krävs ska den registrerade informeras.

15.3 Om personuppgifter som ska raderas till följd av en registrerads begäran har lämnats ut till tredje part, ska dessa parter informeras om raderingen (såvida det inte är omöjligt eller skulle kräva oproportionerliga ansträngningar att göra det).

16. Begränsning av behandling av personuppgifter 

16.1 Registrerade kan begära att Bolaget upphör med att behandla de personuppgifter som det har om dem. Om en registrerad gör en sådan begäran ska Bolaget endast behålla den mängd personuppgifter om den registrerade (om någon) som är nödvändig för att säkerställa att personuppgifterna i fråga inte behandlas ytterligare.

16.2 Om berörda personuppgifter har lämnats ut till tredje part ska dessa parter informeras om gällande begränsningar för behandlingen av dem (såvida det inte är omöjligt eller skulle kräva oproportionerliga ansträngningar att göra det).

17. Dataportabilitet

17.1 Bolaget får behandla personuppgifter med automatiserade metoder. Om registrerade har lämnat sitt samtycke till behandling av deras personuppgifter på ett sådant sätt, eller om behandlingen annars krävs för att fullgöra ett avtal mellan Bolaget och den registrerade, har registrerade rätt att enligt GDPR få en kopia av sina personuppgifter och använda dem för andra ändamål (nämligen att överföra dem till andra personuppgiftsansvariga).

17.2 Där det är tekniskt möjligt, ska personuppgifter, om en registrerad begär det, skickas direkt till den personuppgiftsansvarige.

17.3 Alla begäranden om kopior av personuppgifter ska tillgodoses inom en månad från den registrerades begäran. Perioden kan förlängas med upp till två månader vid komplexa eller många begäranden. Om sådan ytterligare tid krävs ska den registrerade informeras.

18. Automatiserat beslutsfattande

18.1 Bolaget kan komma att använda personuppgifter i automatiserade beslutsprocesser. Om sådana beslut har en rättslig (eller liknande betydande) effekt på registrerade, har dessa registrerade rätt att bestrida sådana beslut enligt GDPR, begära mänskligt ingripande, uttrycka sin egen synpunkt och få en förklaring till beslutet.

18.2 Rättigheten som beskrivs i denna del 19 gäller inte under följande omständigheter:

18.2.1 Beslutet är nödvändigt för att ingå eller fullgöra ett avtal mellan oss och den registrerade; 

18.2.2 Beslutet är bemyndigat enligt lag; eller

18.2.3 Den registrerade har gett sitt uttryckliga samtycke.

19. Profilering 

19.1 Företaget får använda personuppgifter för profilering. När personuppgifter används för profilering gäller följande:

19.1.1 Tydlig information som förklarar profileringen ska tillhandahållas de registrerade, inklusive profileringens betydelse och sannolika konsekvenser;

19.1.2 Lämpliga matematiska eller statistiska metoder ska användas; 

19.1.3 Tekniska och organisatoriska åtgärder ska vidtas för att minimera risken för fel. Om fel uppstår ska sådana åtgärder göra det möjligt att enkelt korrigera dem.

19.2 Alla personuppgifter som behandlas för profileringsändamål ska säkras för att förhindra diskriminerande effekter som uppstår till följd av profilering (se delarna 22 till 26 i denna policy för mer information om datasäkerhet).

20. Invändningar mot behandling av personuppgifter

20.1 Registrerade har rätt att invända mot att Bolaget behandlar deras personuppgifter baserat på berättigade intressen och direktmarknadsföring (inklusive profilering).

20.2 Om en registrerad invänder mot att företaget behandlar personuppgifter med stöd av sina berättigade intressen ska företaget omedelbart upphöra med behandlingen, såvida det inte kan visa att företagets berättigade skäl för behandlingen väger tyngre än den registrerades intressen, rättigheter och friheter, eller att behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. 

20.3 Om en registrerad invänder mot att Bolaget behandlar dennes personuppgifter för direkt marknadsföring, ska Bolaget omedelbart upphöra med sådan behandling.

21. Insamlade, lagrade och behandlade personuppgifter

21.1 Företaget samlar in, lagrar och behandlar följande personuppgifter för att hantera beställningar som görs hos företaget: 

21.1.1 Namn;

21.1.2 Kontaktuppgifter, inklusive e-postadress, postadress och telefonnummer;

21.1.3 Information om beställningens leverans;

21.1.4 Alla personuppgifter som rör andra registrerade som den registrerade kan komma att skicka till oss (förutsatt att den ursprungliga registrerade inhämtar den partens tillstånd i enlighet med företagets villkor).

21.2 Utöver ovanstående samlas följande personuppgifter in, lagras och behandlas av Bolaget via vår webbplats:

21.2.1 demografiska uppgifter, såsom postnummer, preferenser och intressen; 

21.2.2 IP-adress; 

21.2.3 webbläsartyp och version; och

21.2.4 operativsystem.

22. Datasäkerhet – överföring av personuppgifter och kommunikation

Bolaget ska säkerställa att följande åtgärder vidtas avseende all kommunikation och andra överföringar som rör personuppgifter:

22.1 Alla e-postmeddelanden som innehåller personuppgifter måste krypteras;

22.2 Alla e-postmeddelanden som innehåller personuppgifter måste markeras som "konfidentiella";

22.3 Personuppgifter får endast överföras via säkra nätverk; överföring via osäkra nätverk är under inga omständigheter tillåten; 

22.4 Personuppgifter som finns i ett e-postmeddelande, oavsett om det skickas eller tas emot, bör kopieras från e-postmeddelandets innehåll och lagras säkert. Själva e-postmeddelandet bör raderas. Alla tillfälliga filer som är kopplade till det bör också raderas.

22.5 När personuppgifter överförs i pappersform ska de lämnas direkt till mottagaren eller skickas med vanlig post; och 

22.6 Alla personuppgifter som överförs fysiskt, antingen i pappersform eller på flyttbara elektroniska medier, ska överföras i en lämplig behållare märkt ”konfidentiellt”.

23. Datasäkerhet - Lagring

Bolaget ska säkerställa att följande åtgärder vidtas avseende lagring av personuppgifter:

23.1 Alla elektroniska kopior av personuppgifter bör lagras säkert med hjälp av lösenord och datakryptering;

23.2 Alla papperskopior av personuppgifter, tillsammans med alla elektroniska kopior som lagras på fysiska, flyttbara medier, ska förvaras säkert i en låst låda, låda, skåp eller liknande;

23.3 Alla personuppgifter som lagras elektroniskt ska säkerhetskopieras regelbundet och säkerhetskopiorna förvaras på annan plats. Alla säkerhetskopior ska krypteras; 

23.4 Inga personuppgifter får lagras på någon mobil enhet (inklusive, men inte begränsat till, bärbara datorer, surfplattor och smartphones), oavsett om sådan enhet tillhör företaget eller inte, utan formellt skriftligt godkännande från dataskyddsombudet och, i händelse av ett sådant godkännande, strikt i enlighet med alla instruktioner och begränsningar som beskrivs vid tidpunkten för godkännandet, och inte längre än vad som är absolut nödvändigt; och

23.5 Personuppgifter får inte överföras till någon enhet som tillhör en anställd personligen. Personuppgifter får endast överföras till enheter som tillhör ombud, uppdragstagare eller andra parter som arbetar för företagets räkning, om parten i fråga har samtyckt till att fullt ut följa denna policy och GDPR, både till dess ordalydelse och anda (vilket kan omfatta att visa företaget att alla lämpliga tekniska och organisatoriska åtgärder har vidtagits). 

24. Datasäkerhet - Avfallshantering

När personuppgifter ska raderas eller på annat sätt förstöras av någon anledning (inklusive när kopior har gjorts och inte längre behövs), bör de raderas och förstöras på ett säkert sätt.

25. Datasäkerhet - Användning av personuppgifter

Bolaget ska säkerställa att följande åtgärder vidtas med avseende på användningen av personuppgifter:

25.1 Personuppgifter får inte delas informellt. Om en anställd, ett ombud, en underleverantör eller någon annan som arbetar för företagets räkning behöver tillgång till personuppgifter som personen inte redan har tillgång till, ska åtkomsten begäras formellt hos dataskyddsombudet;

25.2 Personuppgifter får inte överföras till anställda, ombud, uppdragstagare eller andra parter, oavsett om dessa arbetar för företagets räkning eller inte, utan dataskyddsombudets godkännande;

25.3 Personuppgifter måste hanteras med varsamhet hela tiden och bör inte lämnas obevakade eller synliga för obehöriga anställda, ombud, underleverantörer eller andra parter.

25.4 Om personuppgifter visas på en datorskärm och datorn lämnas utan uppsikt, oavsett hur länge, måste användaren låsa datorn och skärmen innan hen lämnar den; och 

25.5 När företaget använder personuppgifter som det innehar i marknadsföringssyfte ansvarar dataskyddsombudet för att säkerställa att lämpligt samtycke har inhämtats och att ingen registrerad har tackat nej, vare sig direkt eller via en tredjepartstjänst som TPS. 

26. Datasäkerhet - IT-säkerhet

Företaget ska säkerställa att följande åtgärder vidtas avseende IT- och informationssäkerhet:

26.1 Alla lösenord som används för att skydda personuppgifter bör ändras regelbundet och bör inte innehålla ord eller fraser som lätt kan gissas eller på annat sätt äventyras. Alla lösenord måste innehålla en kombination av stora och små bokstäver, siffror och symboler;

26.2 Under inga omständigheter får några lösenord skrivas ner eller delas mellan anställda, ombud, entreprenörer eller andra parter som arbetar för företagets räkning, oavsett senioritet eller avdelning. Om ett lösenord glöms bort måste det återställas med lämplig metod. IT-personal har inte tillgång till lösenord; och

26.3 All programvara (inklusive, men inte begränsat till, applikationer och operativsystem) ska hållas uppdaterad. Företagets IT-personal ska ansvara för att installera alla säkerhetsrelaterade uppdateringar så snart som det är rimligt och praktiskt möjligt, såvida det inte finns giltiga tekniska skäl att inte göra det.

27. Organisatoriska åtgärder

Bolaget ska säkerställa att följande åtgärder vidtas avseende insamling, lagring och behandling av personuppgifter:

27.1 Alla anställda, ombud, entreprenörer eller andra parter som arbetar för Bolaget ska vara fullt medvetna om både sina individuella ansvar och Bolagets ansvar enligt GDPR och enligt denna policy, och ska förses med en kopia av denna policy;

27.2 Endast anställda, ombud, underleverantörer eller andra parter som arbetar för Bolagets räkning och som behöver tillgång till och användning av personuppgifter för att korrekt utföra sina tilldelade arbetsuppgifter ska ha tillgång till personuppgifter som innehas av Bolaget;

27.3 Alla anställda, ombud, entreprenörer eller andra parter som arbetar för företagets räkning och hanterar personuppgifter kommer att utbildas på lämpligt sätt för att göra det;

27.4 Alla anställda, ombud, uppdragstagare eller andra parter som arbetar för företagets räkning och hanterar personuppgifter ska stå under lämplig tillsyn;

27.5 Alla anställda, ombud, uppdragstagare eller andra parter som arbetar för företagets räkning och hanterar personuppgifter ska vara skyldiga och uppmuntras att iaktta omsorg, försiktighet och omdöme när de diskuterar arbetsrelaterade frågor som rör personuppgifter, såväl på arbetsplatsen som på andra platser;

27.6 Metoder för insamling, lagring och behandling av personuppgifter ska regelbundet utvärderas och ses över;

27.7 Prestationen hos de anställda, ombud, entreprenörer eller andra parter som arbetar för Bolagets räkning och hanterar personuppgifter ska regelbundet utvärderas och granskas;

27.8 Alla anställda, ombud, uppdragstagare eller andra parter som arbetar för företagets räkning och hanterar personuppgifter ska genom avtal vara skyldiga att följa GDPR:s principer och denna policy;

27.9 Alla ombud, entreprenörer eller andra parter som arbetar för Bolaget och hanterar personuppgifter måste säkerställa att alla deras anställda som är involverade i behandlingen av personuppgifter omfattas av samma villkor som de relevanta anställda i Bolaget som följer av denna policy och GDPR; och

27.10 Om någon agent, entreprenör eller annan part som arbetar för Bolaget och hanterar personuppgifter underlåter att uppfylla sina skyldigheter enligt denna policy ska den parten hålla Bolaget skadeslöst för alla kostnader, ansvar, skador, förluster, anspråk eller förfaranden som kan uppstå till följd av denna underlåtenhet.

28. Överföring av personuppgifter till ett land utanför EES

28.1 Företaget kommer att överföra personuppgifter (”överföra” innefattar att göra uppgifterna tillgängliga på distans) till länder utanför EES, däribland Indien. 

28.2 Överföring av personuppgifter till ett land utanför EES får endast ske om ett eller flera av följande villkor gäller:

28.2.1 Överföringen sker till ett land, territorium eller en eller flera specifika sektorer i det landet (eller en internationell organisation) som Europeiska kommissionen har fastställt säkerställer en adekvat skyddsnivå för personuppgifter;

28.2.2 Överföringen sker till ett land (eller en internationell organisation) som tillhandahåller lämpliga skyddsåtgärder i form av ett rättsligt bindande avtal mellan offentliga myndigheter eller organ; bindande företagsregler; standardklausuler om dataskydd som antagits av Europeiska kommissionen; efterlevnad av en godkänd uppförandekod som godkänts av en tillsynsmyndighet (t.ex. Information Commissioner's Office); certifiering enligt en godkänd certifieringsmekanism (enligt GDPR); avtalsklausuler som överenskommits och godkänts av den behöriga tillsynsmyndigheten; eller bestämmelser som införts i administrativa arrangemang mellan offentliga myndigheter eller organ som auktoriserats av den behöriga tillsynsmyndigheten;

28.2.3 Överföringen sker med informerat samtycke från den/de berörda registrerade/registrerade;

28.2.4 Överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och Bolaget (eller för åtgärder före ingående av avtal som vidtas på den registrerades begäran);

28.2.5 Överföringen är nödvändig av viktiga skäl av allmänt intresse;

28.2.6 Överföringen är nödvändig för att kunna hantera rättsliga anspråk;

28.2.7 Överföringen är nödvändig för att skydda den registrerades eller andra individers vitala intressen om den registrerade är fysiskt eller juridiskt oförmögen att ge sitt samtycke; eller

28.2.8 Överföringen görs från ett register som enligt brittisk eller EU-rätt är avsett att ge information till allmänheten och som är öppet för tillgång för allmänheten i allmänhet eller på annat sätt för dem som kan visa ett berättigat intresse av att få tillgång till registret.

29. Anmälan om dataintrång

29.1 Alla personuppgiftsincidenter måste omedelbart rapporteras till företagets dataskyddsombud.

29.2 Om ett personuppgiftsintrång inträffar och det sannolikt medför en risk för de registrerades rättigheter och friheter (t.ex. ekonomisk förlust, sekretessbrott, diskriminering, skadat anseende eller annan betydande social eller ekonomisk skada), ska dataskyddsombudet se till att Information Commissioner’s Office informeras om intrånget utan dröjsmål och under alla omständigheter inom 72 timmar efter att ha fått kännedom om det.

29.3 I händelse av att ett personuppgiftsintrång sannolikt kommer att resultera i en hög risk (det vill säga en högre risk än den som beskrivs i del 26.2) för registrerades rättigheter och friheter, måste dataskyddsombudet säkerställa att alla berörda registrerade informeras om intrånget direkt och utan onödigt dröjsmål.

29.4 Anmälningar om dataintrång ska innehålla följande information:

29.4.1 Kategorierna och det ungefärliga antalet berörda registrerade.

29.4.2 Kategorierna och det ungefärliga antalet berörda personuppgifter.

29.4.3 Namn och kontaktuppgifter till företagets dataskyddsombud (eller annan kontaktpunkt där mer information kan erhållas);

29.4.4 De sannolika konsekvenserna av intrånget.

29.4.5 Detaljer om de åtgärder som vidtagits, eller föreslås vidtas, av företaget för att åtgärda intrånget, inklusive, i förekommande fall, åtgärder för att mildra dess eventuella negativa effekter.

30. Genomförande av policy

Denna policy ska anses gälla från och med 2024. Ingen del av denna policy ska ha retroaktiv verkan och ska således endast gälla för ärenden som inträffar på eller efter detta datum.