Bakgrunn og gjennomsiktighet
Denne erklæringen er utarbeidet slik at du enkelt kan se hvilke typer opplysninger som kan behandles, hvorfor det skjer, og hvordan du utøver dine rettigheter. Teksten er ment å være praktisk lesbar samtidig som den speiler prinsipper i EU-forordning 2016/679 (GDPR) og tilpassede norske regler. Vi omtaler ikke helsetiltak, prognoser eller individuelle resultater; nettstedet leverer generell informasjon om pauser og arbeidsstruktur.
Hvis du er representant for en virksomhet som kontakter oss, kan visse avsnitt om personvern være supplert av særskilte databehandleravtaler når det er aktuelt. Slike avtaler erstatter ikke den generelle informasjonen her, men presiserer roller og tekniske krav.
Virkeområde og definisjoner
Erklæringen gjelder behandling knyttet til drift av nettstedet, besøkslogger i den utstrekning de faller inn under gjeldende definisjoner, kontaktskjema, e-postkorrespondanse som initieres via oppgitte kontaktpunkter, og administrasjon av informasjonskapselflagre som er beskrevet nærmere i policy for informasjonskapsler.
Med «behandling» menes enhver bruk av personopplysninger, herunder innsamling, lagring, utlevering, strukturering og sletting. Med «personopplysning» menes opplysning som kan knyttes til en fysisk person direkte eller indirekte, i tråd med definisjonen i personvernforordningen.
Behandlingsansvarlig og kontakt
Behandlingsansvarlig for personopplysninger som beskrives her er Flexgrback, forretningsadresse Torggata 1, 0181 Oslo, Norge. For generelle henvendelser om personvern kan du bruke telefon +47 24 15 50 50 eller e-post mailuse@flexgrback.world, eller kontaktskjemaet når det passer bedre for dokumentasjon.
Dersom vi innfører felles behandlingsansvar med en partner i et bestemt prosjekt, vil det framgå særskilt av prosjektbeskrivelse eller kontrakt, og du vil få informasjon om kontaktpunkt for forespørsler.
Formål og behandlingsgrunnlag
Kundekontakt og henvendelser
Vi behandler navn, e-postadresse og meldingsinnhold som du frivillig sender inn gjennom kontaktskjema eller e-post for å besvare deg, dokumentere korrespondanse og dermed oppfylle berettiget interesse i saklig forretningskommunikasjon. Når skjemaet krever uttrykkelig samtykke til behandling i tråd med personvernerklæringen, fungerer også samtykke som behandlingsgrunnlag i henhold til artikkel 6 nr. 1 bokstav a. Du kan trekke samtykke uten at lovligheten av tidligere behandling basert på samtykke påvirkes.
Drift og sikkerhet
Tekniske logger som beskytter tjenesten mot misbruk, og konfigurasjon av sikkerhetsmekanismer, behandles på grunnlag av berettiget interesse i å opprettholde integritet og tilgjengelighet. Vi tilpasser omfanget slik at det ikke blir mer inngripende enn nødvendig.
Analyse og markedsføring
Slike verktøy aktiveres kun når du har gitt samtykke i informasjonskapselbanneret. Uten samtykke bruker vi ikke tilsvarende sporing for disse formålene. Se egen policy for detaljer om varighet og kategorier.
Kategorier av personopplysninger
Typisk kan vi behandle identifikatorer som navn og e-post, innhold av meldinger, tilknyttede tekniske metadata (for eksempel tidspunkt for innsendelse), og eventuelle opplysninger du selv velger å inkludere. Vi ber deg holde sensitive kategorier, for eksempel helseopplysninger, ut av meldinger med mindre det er strengt nødvendig og du har et klart formål med det.
Dersom du som arbeidsgiverrepresentant sender inn organisasjonsintern informasjon, vurderes dette ofte som virksomhetsrelatert mer enn personlig, men vi begrenser fortsatt tilgang internt og sletter det som ikke lenger trengs.
Mottakere og databehandlere
Interne mottakere er autorisert personell med tjenstlig behov. Eksternt kan leverandører av hosting, skytjenester eller e-postsystemer behandle data på våre vegne som databehandlere etter skriftlig avtale som tilfredsstiller artikkel 28. Vi selger ikke personopplysninger til tredjepart for uavhengig markedsføring uten ditt samtykke.
Når offentlige myndigheter krever utlevering i medhold av lov, vurderer vi kravet og avgrenser utleveringen til det som er påkrevd.
Lagringstid og retensjonsprinsipp
Henvendelser som ikke leder til videre kontraktsforhold lagres som hovedregel i inntil tjuefire måneder etter siste aktivitet i tråden, med mindre lenger lagring kreves for regnskapsbilag, rettstvist eller annet lovpålagt grunnlag. Deretter slettes eller anonymiseres innhold i rimelig tempo. Tekniske sikkerhetslogger kan ha kortere eller lengre perioder avhengig av hendelsesoppfølging.
Dersom du ber om sletting tidligere og det ikke finnes lovpålagt hinder, imøteses forespørselen etter intern saksbehandling.
Sikkerhetstiltak
Vi benytter kryptert overføring for nettstedet, adgangskontrollert lagring, og prinsipp om minste privilegium hos administrasjoner. Hendelseshåndteringsrutiner beskriver hvordan mistenkelige hendelser meldes og begrenses. Opplæring i personvern for de som behandler personopplysninger gjennomføres ved behov.
Ingen sikkerhetsarkitektur er uten risiko. Ved brudd som sannsynligvis medfører høy risiko for registrertes rettigheter, varsles Datatilsynet og, der det er påkrevd, berørte personer, i samsvar med artikkel 33 og 34.
Dine rettigheter
Du kan kreve innsyn i egne opplysninger, retting av uriktige opplysninger, sletting der vilkårene er oppfylt, begrensning av behandling, og i visse tilfeller dataportabilitet. Du kan protestere mot behandling som skjer på grunnlag av berettiget interesse når du har særlige grunner. Forespørsler behandles uten ugrunnet opphold og senest innen en måned i ordinære tilfeller, jf. artikkel 12.
Klage til Datatilsynet er en uavhengig mulighet dersom du mener at behandlingen er i strid med regelverket. Vi oppfordrer til at du først tar kontakt med oss slik at vi kan avklare eventuelle misforståelser.
Internasjonale overføringer
Dersom behandling innebærer overføring utenfor EØS, sikrer vi at det foreligger gyldig overføringsgrunnlag, for eksempel standardkontraktsklausuler godkjent av Kommisjonen, eller at mottakerland er ansett som tilstrekkelig av Kommisjonen. Dokumentasjon kan rekvireres i forbindelse med større samarbeidsprosjekter.
Automatiserte avgjørelser og profilering
Vi baserer ikke vesentlige avgjørelser overfor deg utelukkende på automatisert behandling i forstand av artikkel 22, og vi gjennomfører ikke systematisk profilering knyttet til nettstedet på en måte som er inngripende for den registrerte.
Barn
Tjenesten er ikke rettet mot barn som hovedmålgruppe. Hvis vi blir oppmerksomme på at vi har mottatt personopplysninger fra et barn uten nødvendig samtykke fra foresatte der loven krever det, vil opplysningene slettes i rimelig tid.
Revisjoner av erklæringen
Ved endrede behandlingsaktiviteter, ny teknologi eller regulatoriske føringer oppdaterer vi dette dokumentet. Gjeldende versjon publiseres på nettstedet med oppdatert referansedato i heroseksjonen slik at du ser når siden sist ble hensyntatt i forhold til innholdet. Vesentlige endringer som påvirker dine valg kan bli kommunisert med tydelig markering.