Dataskyddsbeskrivning för HayTime Oy:s kundregister
1 Registeransvarig
Registeransvarig för registret är HayTime Oy (FO-nummer 3388563-4)
Kontaktperson för registerärenden är: Marko Ridal / info@haytime.fi
2 Registrets namn
Registrets namn är HayTime Oy:s kundregister.
3 Ändamål för behandling av personuppgifter
Personuppgifter behandlas för ändamål som är kopplade till hantering, administration och utveckling av kundrelationer, tillhandahållande och leverans av tjänster samt utveckling av tjänster och fakturering. Personuppgifter behandlas även för ändamål som krävs för utredning av eventuella reklamationer och andra krav.
Dessutom behandlas personuppgifter i kommunikation riktad till kunder, såsom för informations- och nyhetsändamål samt i marknadsföring, där personuppgifter även behandlas för direktmarknadsföring och elektronisk direktmarknadsföring.
Kunden har rätt att förbjuda direktmarknadsföring riktad till hen.
Den registeransvarige behandlar uppgifter själv samt använder underleverantörer som behandlar personuppgifter för den registeransvariges räkning.
4 Rättslig grund för behandling
De rättsliga grunderna för behandling av personuppgifter är följande grunder i enlighet med EU:s allmänna dataskyddsförordning (nedan även ”GDPR”):
den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (GDPR artikel 6.1.a);
behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (GDPR artikel 6.1.b);
behandlingen är nödvändig för ändamål som rör den registeransvariges eller en tredje parts berättigade intressen (GDPR artikel 6.1.f).
Det ovan nämnda berättigade intresset för den registeransvarige grundar sig på en relevant och lämplig relation mellan den registrerade personen och den registeransvarige, som är en följd av att den registrerade är kund hos den registeransvarige, och när behandlingen sker för ändamål som den registrerade rimligen kunde förvänta sig vid tidpunkten för insamling av personuppgifter och i samband med den lämpliga relationen.
5 Registrets datainnehåll (behandlade personuppgiftskategorier)
Registret innehåller följande personuppgifter i princip om alla registrerade personer:
personens grunduppgifter och kontaktuppgifter: förnamn, efternamn, adress, telefonnummer, e-postadress;
uppgifter om personens koppling till företag eller annan organisation samt personens position eller befattning i företaget eller organisationen;
personens tillstånd och förbud för direktmarknadsföring.
6 Regelbundna informationskällor
Personuppgifter samlas in från den registrerade personen själv.
Personuppgifter samlas även in och uppdateras inom ramen för tillämplig lagstiftning från allmänt tillgängliga källor som är kopplade till genomförandet av kundrelationen mellan den registeransvarige och den registrerade personen och genom vilka den registeransvarige fullgör sina skyldigheter kopplade till upprätthållande av kundrelationer.
7 Lagringstid för personuppgifter
Uppgifter som samlats in i registret lagras endast så länge och i den omfattning som är nödvändigt i förhållande till de ursprungliga eller kompatibla ändamål för vilka personuppgifterna samlades in.
Personuppgifter om en registrerad person raderas från registret fem år efter att den registrerades kundrelation med den registeransvarige har upphört och skyldigheter och åtgärder kopplade till kundrelationen har slutförts. Till exempel lagras bokföringsverifikat i fem år från räkenskapsperiodens utgång.
Den registeransvarige utvärderar behovet av att lagra uppgifter regelbundet i enlighet med sina interna uppförandekoder. Dessutom vidtar den registeransvarige alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga, inkorrekta eller föråldrade i förhållande till behandlingens ändamål raderas eller rättas utan dröjsmål.
8 Mottagare av personuppgifter (mottagarkategorier) samt regelbundna
utlämnanden
Personuppgifter lämnas inte ut till externa parter.
9 Överföring av uppgifter utanför EU eller EES
Personuppgifter som ingår i registret överförs inte utanför EU eller EES.
10 Principer för skydd av registret
Material som innehåller personuppgifter förvaras i låsta utrymmen som endast är tillgängliga för namngivna personer som är behöriga till åtkomst på grund av sina uppgifter.
Databasen som innehåller personuppgifter finns på en server som förvaras i ett låst utrymme som endast är tillgängligt för namngivna personer som är behöriga till åtkomst på grund av sina uppgifter. Servern är skyddad med lämplig brandvägg och tekniskt skydd.
Åtkomst till databaser och system sker endast med personliga användarnamn och lösenord som beviljas separat. Den registeransvarige har begränsat åtkomsträttigheter och behörigheter till informationssystem och andra lagringsplattformar så att endast de personer som är nödvändiga för laglig behandling av uppgifterna kan granska och behandla uppgifterna. Dessutom registreras användningshändelser i databaser och system i den registeransvariges IT-systems logguppgifter.
Den registeransvariges anställda och andra personer har förbundit sig att iaktta tystnadsplikt och hemlighålla uppgifter som de fått i samband med behandling av personuppgifter.
11 Den registrerades rättigheter
Den registrerade har följande rättigheter enligt EU:s allmänna dataskyddsförordning:
rätt att av den registeransvarige få bekräftelse på huruvida personuppgifter som rör hen behandlas eller inte behandlas, och om sådana personuppgifter behandlas, rätt till tillgång till personuppgifterna samt följande information: (i) ändamålen med behandlingen; (ii) de berörda personuppgiftskategorierna; (iii) mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats ut eller ska lämnas ut; (iv) om möjligt den förutsedda period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period; (v) den registrerades rätt att av den registeransvarige begära rättelse eller radering av personuppgifter eller begränsning av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling; (vi) rätten att inge klagomål till en tillsynsmyndighet; (vii) om personuppgifterna inte samlats in från den registrerade, all tillgänglig information om uppgifternas ursprung (GDPR artikel 15). Dessa beskrivna grundläggande uppgifter (i)–(vii) lämnas till den registrerade personen i detta formulär;
rätt att när som helst återkalla samtycke utan att detta påverkar lagligheten av behandling som grundar sig på samtycke innan det återkallades (GDPR artikel 7);
rätt att kräva att den registeransvarige utan onödigt dröjsmål rättar felaktiga och inkorrekta personuppgifter som rör den registrerade samt rätt att få ofullständiga personuppgifter kompletterade, bland annat genom att tillhandahålla ett kompletterande utlåtande med beaktande av ändamålen med behandlingen (GDPR artikel 16);
rätt att av den registeransvarige utan onödigt dröjsmål få sina personuppgifter raderade, förutsatt att (i) personuppgifterna inte längre är nödvändiga för de ändamål för vilka de samlades in eller för vilka de annars behandlades; (ii) den registrerade återkallar det samtycke på vilket behandlingen grundar sig och det inte finns någon annan rättslig grund för behandlingen; (iii) den registrerade invänder mot behandlingen på grund av sin specifika personliga situation och det inte finns berättigade skäl för behandlingen eller den registrerade invänder mot behandling för direktmarknadsföringsändamål; (iv) personuppgifterna har behandlats på ett olagligt sätt; eller (v) personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse enligt unionsrätten eller nationell lagstiftning som gäller för den registeransvarige (GDPR artikel 17);
rätt att den registeransvarige begränsar behandlingen om (i) den registrerade bestrider personuppgifternas korrekthet, varvid behandlingen begränsas under en tid som ger den registeransvarige möjlighet att kontrollera personuppgifternas korrekthet; (ii) behandlingen är olaglig och den registrerade motsätter sig radering av personuppgifterna och i stället begär en begränsning av deras användning; (iii) den registeransvarige inte längre behöver personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk; eller (iv) den registrerade har invänt mot behandling av personuppgifter på grund av sin specifika personliga situation i avvaktan på kontroll av huruvida den registeransvariges berättigade skäl väger tyngre än den registrerades skäl (GDPR artikel 18);
rätt att få ut de personuppgifter som rör hen och som den registrerade har tillhandahållit den registeransvarige i ett strukturerat, allmänt använt och maskinläsbart format och rätt att överföra dessa uppgifter till en annan registeransvarig utan att den registeransvarige till vilken personuppgifterna tillhandahållits hindrar detta, om behandlingen grundar sig på samtycke enligt förordningen och behandlingen utförs automatiserat (GDPR artikel 20);
rätt att inge klagomål till en tillsynsmyndighet om den registrerade anser att behandlingen av personuppgifter som rör hen strider mot EU:s allmänna dataskyddsförordning (GDPR artikel 77).
Begäranden om utövande av den registrerades rättigheter riktas till den registeransvariges kontaktperson som nämns i punkt 1.