Personvernerklæring

Brandsdal Group samler inn og behandler personopplysninger. Det er svært viktig for oss at innsamling og behandling av personopplysningene dine skjer på en trygg og sikker måte. Nedenfor finner du informasjon om hvordan virksomheten vår bruker personopplysningene vi samler inn fra deg når du bruker et av nettstedene våre.
Behandlingsansvarlig for personopplysninger i Brandsdal Group er Espen Wetrhus, som kan kontaktes på e-post privacy@brandsdalgroup.com.
Personopplysningene dine behandles også når du er i kontakt med et av datterselskapene våre (Blivakker, Netthandelen og Cocopanda). For hvert av datterselskapene kan du kontakte den aktuelle kundeservicen med eventuelle spørsmål om behandlingen av personopplysningene dine. Dette kan gjøres via «Min side». Ved spørsmål om behandling av personopplysninger knyttet til disse datterselskapene, se egne personvernerklæringer på datterselskapenes nettsteder.

Behandling av personopplysninger
Vi samler inn og bruker personopplysninger til ulike formål, avhengig av hvem du er og hvordan du bruker tjenestene våre. Denne personvernerklæringen gir deg en oversikt over hvordan Brandsdal Group behandler opplysningene dine, formålet med og det rettslige grunnlaget for behandlingen, samt hvor lenge personopplysningene dine behandles med mer.
Begrepet «personopplysninger» omfatter all informasjon som kan knyttes til en fysisk person (heretter kalt «den registrerte»).
Med behandling menes enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, slik som innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.

Eksisterende og potensielle kunder, leverandører, samarbeidspartnere med flere
Vi behandler personopplysninger om eksisterende og potensielle kunder (i forretningsforhold), leverandører og andre samarbeidspartnere i forbindelse med salgs- og markedsføringsaktiviteter, for å håndtere relasjonen til leverandører og andre, forberede, gjennomføre og dokumentere tjenester samt evaluere bruken av tjenestene. I disse tilfellene behandler vi navn, kontaktinformasjon, firmanavn og informasjon knyttet til kontakten med selskapet vedkommende jobber i.
Behandlingen er nødvendig for å ivareta de berettigede interessene til selskapet vårt eller en tredjepart, der den registrertes interesser, grunnleggende rettigheter og friheter ikke går foran disse interessene. Det rettslige grunnlaget for behandlingen er GDPR artikkel 6 nr. 1 bokstav f.
Vi lagrer og utleverer også opplysninger der vi har en rettslig plikt til det, for eksempel etter regnskaps- og skattelovgivningen.
Vi oppbevarer opplysningene dine så lenge det er nødvendig for formålene de ble samlet inn og behandlet for, eller så lenge lover og forskrifter krever det.
I mange tilfeller vil det være nødvendig for oss å innhente personopplysninger for å inngå avtaler med kunder og leverandører, blant annet for å dokumentere at en avtale er inngått. Hvis vi ikke mottar opplysningene vi trenger, vil vi ikke kunne inngå avtaler.
Det er frivillig å gi oss personopplysninger. Hvis vi samler inn personopplysninger fra andre, vil det i hovedsak gjelde kontaktinformasjon (som navn, adresse, telefonnummer og e-postadresse), stilling, funksjon og arbeidsgiver, samt eventuell kompetanse og referanser der det er relevant. Kilden til slik informasjon vil være kontaktpersonens arbeidsgiver, for eksempel arbeidsgiverens nettsted. I noen tilfeller innhenter vi referanser fra andre for å vurdere egnetheten til leverandører og samarbeidspartnere.
Vi lagrer opplysningene til forholdet til kunden, leverandøren eller samarbeidspartneren opphører, eller til kontaktpersonen ikke lenger er kontaktperson, med unntakene nevnt ovenfor.

Rekruttering
Personopplysninger er all informasjon som kan knyttes til en identifisert eller identifiserbar enkeltperson. For eksempel navn, adresse, e-postadresse, utdannings- og arbeidsbakgrunn, CV og kvalifikasjoner. Personopplysninger omtales også som opplysninger om deg.
Vi bruker jobbsøkertjenesten Cvideo til å håndtere innsendte søknader, og denne er vår databehandler. Hvis du registrerer deg i jobbsøkertjenesten med egen profil, er tjenesten ansvarlig for behandlingen av personopplysningene dine. For informasjon om behandling av personopplysninger i tjenesten, se Cvideos personvernerklæring. Behandlingen av personopplysningene er basert på samtykke du har gitt i jobbsøkertjenesten (GDPR artikkel 6 nr. 1 bokstav a), der slikt er innhentet, eller på grunnlagene som følger nedenfor.
Grunnlaget for behandling av personopplysninger ved rekruttering er at behandlingen er nødvendig for å gjennomføre tiltak før en arbeidsavtale med jobbsøkeren inngås (GDPR artikkel 6 nr. 1 bokstav b). Hvis vi gjør undersøkelser utover dette, for eksempel kontakter personer som ikke er oppgitt som referanser eller gjør søk i åpne kilder, behandles personopplysningene på grunnlag av vår berettigede interesse i å sikre riktig kandidat til stillingen (GDPR artikkel 6 nr. 1 bokstav f). For sistnevnte har vi vurdert at vår berettigede interesse i å rekruttere nye medarbeidere veier tyngre enn hensynet til den enkeltes personvern. Vi oppfordrer deg til å ikke oppgi særlige kategorier av personopplysninger, som helse, religion, politisk oppfatning, fagforeningsmedlemskap og lignende, i søknaden din.
Opplysninger i tjenesten slettes så snart rekrutteringen er avsluttet, med mindre du har samtykket til lengre lagring av personopplysningene dine.

Lagring og sletting av personopplysninger
Vi lagrer personopplysninger så lenge det er nødvendig for formålet personopplysningene ble samlet inn for, og sletter opplysningene i tråd med kravene i regelverket. Hvor lenge vi behandler de enkelte typene opplysninger fremgår ovenfor, der de enkelte behandlingene omtales.
I stedet for å slette personopplysningene kan det i noen tilfeller være aktuelt å anonymisere dem. Anonymisering innebærer at alle identifiserende eller potensielt identifiserende kjennetegn fjernes fra datasettene som behandles.
Dette betyr for eksempel at personopplysninger vi behandler på grunnlag av samtykket ditt, slettes hvis du trekker samtykket tilbake. Personopplysninger vi behandler for å oppfylle en avtale med deg, slettes når avtalen og alle forpliktelser som følger av avtaleforholdet er oppfylt, slik som rettslige forpliktelser knyttet til regnskap, oppfølging av kundeforholdet ved reklamasjoner og lignende. Personopplysninger vi behandler på grunn av en rettslig forpliktelse, slettes så snart vi ikke lenger har plikt til å lagre opplysningene.

Overføring eller utlevering av personopplysninger til andre
Vi gir ikke personopplysninger videre til andre utover tilfellene nevnt i denne erklæringen, med mindre det foreligger et rettslig grunnlag for slik utlevering.
Eksempler på slikt grunnlag vil typisk være en avtale med eller et samtykke fra den registrerte, eller et rettslig grunnlag som pålegger oss å utlevere opplysningene. Sistnevnte gjelder offentlige myndigheter som skattemyndighetene (der det er nødvendig), regnskapsfører/revisor, samt andre vi trenger i virksomheten vår, som bankforbindelsen.
Vi bruker databehandlere til å samle inn, lagre eller på annen måte behandle personopplysninger på våre vegne. I slike tilfeller har vi inngått avtaler for å ivareta rettighetene dine og sikkerheten for personopplysningene dine i alle ledd av behandlingen. Se mer nedenfor.
Hvis det kreves ved lov, eller det foreligger mistanke om at det er begått en straffbar handling i forbindelse med bruk av tjenestene våre, kan personopplysninger vi har lagret om deg bli utlevert til offentlige myndigheter.
Hvis personopplysninger kan bli overført til en annen organisasjon i forbindelse med fusjon, finansiering, omorganisering eller oppløsning av hele eller deler av virksomheten vår, vil vi bare gjøre dette hvis de involverte partene har inngått en avtale der innsamling, bruk og deling av personopplysningene er begrenset til formålene med transaksjonen, inkludert en bestemmelse om hvorvidt transaksjonen gjennomføres eller ikke, og der personopplysningene bare skal brukes av de involverte partene til å gjennomføre transaksjonen. Hvis et annet selskap kjøper oss eller virksomheten eller eiendelene våre, vil dette selskapet få tilgang til personopplysningene vi har samlet inn, og overta rettighetene og forpliktelsene knyttet til personopplysningene dine slik de er beskrevet i denne personvernerklæringen.
Overføring av personopplysninger til mottakere i land utenfor EØS
Det er et mål for oss at all behandling av personopplysninger skal skje innenfor EØS, men det kan hende at vi bruker leverandører eller behandler personopplysninger utenfor EØS. I slike tilfeller vil overføring og behandling utenfor EØS skje i land som er godkjent av EU-kommisjonen, eller i samsvar med et gyldig rettslig grunnlag for overføring av personopplysninger etter GDPR kapittel V. Hvis overføringen ikke skjer til land godkjent av EU-kommisjonen, benyttes garantier som angitt i GDPR artikkel 46 nr. 2. Du kan få informasjon om grunnlaget som benyttes for overføringen ved å kontakte oss.

Sikkerhet ved behandlingen
Vi prioriterer sikkerheten for personopplysninger høyt i virksomheten vår og gjennomfører alle nødvendige tekniske og organisatoriske tiltak for å sikre personopplysningene dine. All behandling vil om mulig være kryptert, og opplysningene er ikke tilgjengelige for andre enn dem som trenger dem for å utføre oppgavene sine.
Vi håndterer informasjonen slik at den er korrekt, tilgjengelig og forvaltet i henhold til opplysningenes sensitivitet. Vi bruker også en rekke sikkerhetsteknologier og prosedyrer for informasjonssikkerhet for å beskytte personopplysningene dine mot uautorisert tilgang, bruk eller utlevering. Der det er nødvendig, gjennomføres risikovurderinger.
Vi har inngått databehandleravtaler med alle leverandørene våre som behandler personopplysninger, der de påtar seg samme grad av sikkerhet som vi har i vår behandling av personopplysninger.
Vi begrenser tilgangen til personopplysningene dine til medarbeidere eller tredjeparter som behandler opplysningene på våre vegne. Disse partene er underlagt strenge konfidensialitetskrav, og vi kan ilegge sanksjoner eller si opp avtalen hvis kravene ikke overholdes.
Det er etablert rutiner for håndtering av brudd på informasjonssikkerheten (personvernbrudd), og hvis det oppstår brudd som medfører risiko for personvernet til de berørte, sender vi avviksmelding til Datatilsynet så snart som mulig og senest 72 timer etter at bruddet ble oppdaget. Hvis bruddet medfører høy sannsynlighet for konsekvenser for personvernet til de berørte, varsler vi også dem.

Rettighetene dine når vi behandler personopplysninger om deg
Nedenfor følger rettighetene dine som registrert. For å bruke rettighetene dine må du kontakte oss, se kontaktinformasjon ovenfor.
Vi svarer på henvendelsen din så snart som mulig, og senest innen 30 dager. Hvis det tar lengre tid enn 30 dager, får du beskjed. Vi vil be deg bekrefte identiteten din eller oppgi ytterligere informasjon før vi lar deg bruke rettighetene dine overfor oss. Dette gjør vi for å være sikre på at vi kun gir tilgang til personopplysningene dine til deg, og ikke til noen som utgir seg for å være deg.

Kontroll over personopplysningene dine
Du har rett til å få informasjon om og innsyn i personopplysningene vi behandler om deg. Gjennom denne erklæringen informerer vi deg om behandlingen vår av personopplysninger. Du kan også kontakte oss hvis du ønsker mer informasjon.

Endring og sletting
Du kan også be oss om å rette eller slette opplysninger vi har om deg ved å kontakte oss. Vi vil så langt som mulig imøtekomme en forespørsel om å slette personopplysninger, men vi kan ikke gjøre dette hvis vi fortsatt har behov for opplysningene.

Retten til å begrense eller protestere mot behandlingen
Du har i visse tilfeller rett til å få behandlingen begrenset, jf. GDPR artikkel 18, når:
a) Du bestrider riktigheten av personopplysningene, i en periode som gjør det mulig for oss å kontrollere at personopplysningene er korrekte.
b) Behandlingen er ulovlig, og du motsetter deg sletting av personopplysningene og i stedet ber om at bruken av dem begrenses.
c) Vi ikke lenger trenger personopplysningene til formålet med behandlingen, men du trenger dem for å fastsette, gjøre gjeldende eller forsvare rettskrav.
d) Du har protestert mot behandlingen etter GDPR artikkel 21 nr. 1, i påvente av kontrollen av om våre berettigede interesser går foran ditt personvern.

Retten til dataportabilitet
For opplysninger du har gitt oss, som er nødvendige for å gjennomføre en avtale med oss, og som behandles automatisert (altså ikke manuelt av oss), kan du be om at personopplysningene om deg utleveres eller overføres til en annen leverandør i et strukturert, alminnelig anvendt og maskinlesbart format (dataportabilitet).

Automatisert behandling, inkludert profilering
Det skjer ingen automatisert behandling, inkludert profilering, basert på personopplysningene dine som har rettsvirkninger eller som i vesentlig grad påvirker dem opplysningene gjelder. Se GDPR artikkel 22 nr. 1 og 4.

Bruk av databehandlere
Vi selger ikke personopplysningene dine til tredjeparter, og vi bytter eller videreformidler heller ikke slik informasjon til tredjeparter. En tredjepart får bare tilgang til opplysningene hvis det er nødvendig for å utføre bestemte tjenester for oss, slik at vi kan levere tjenestene våre til deg. Relevant informasjon som trengs for å gjennomføre transaksjonen, deles med betalingspartneren og transportøren.
Databehandlere er andre selskaper som vi bruker til å behandle personopplysninger. Det inngås strenge avtaler for å ivareta informasjonssikkerheten i slike tilfeller.

Klager
Ta gjerne kontakt med oss hvis du har spørsmål eller innspill til hvordan vi behandler personopplysningene dine! Hvis du mener at vår behandling av personopplysninger er i strid med disse reglene eller personvernlovgivningen, inkludert personopplysningsloven eller personvernforordningen (GDPR), kan du også klage til Datatilsynet. Informasjon om hvordan du kontakter Datatilsynet finner du på Datatilsynets nettsted: www.datatilsynet.no.
Vi bruker Datatilsynet i Norge som ledende tilsynsmyndighet for grensekryssende behandling i samsvar med GDPR artikkel 56.

Endringer
Vi kan fra tid til annen måtte endre informasjonen om behandlingen av personopplysninger, for eksempel på grunn av endringer på nettstedene eller i tjenestene våre, eller ved endringer i regelverket om behandling av personopplysninger. Hvis denne informasjonen endres, varsler vi deg hvis vi har kontaktinformasjonen din. Ellers vil oppdatert informasjon alltid være lett tilgjengelig på nettstedet vårt.