Retningslinjer for databeskyttelse

1. Formål og virkeområde

Disse retningslinjene beskriver prinsippene og kravene som gjelder for beskyttelse av personopplysninger i forbindelse med nettstedets drift og tilhørende tjenester.

Vi legger vekt på å beskytte forbrukernes personopplysninger og å håndtere tilgang, bruk, lagring, overføring og sletting av slike opplysninger i samsvar med gjeldende personvernlovgivning.

Retningslinjene gjelder behandling av personopplysninger i forbindelse med blant annet kjøp, ordrebehandling, kundeservice og andre aktiviteter knyttet til nettstedet.

2. Grunnleggende prinsipper for databeskyttelse

Behandling av personopplysninger skal følge disse grunnleggende prinsippene:

Lovlighet, rettferdighet og åpenhet: Personopplysninger skal behandles på et gyldig rettslig grunnlag, og informasjon om behandlingen skal gis på en tydelig måte.

Formålsbegrensning: Opplysninger skal ikke brukes til formål som er uforenlige med det opprinnelige behandlingsformålet.

Dataminimering: Det skal ikke behandles flere personopplysninger enn det som er nødvendig for det aktuelle formålet.

Riktighet: Det skal treffes rimelige tiltak for å sikre at opplysningene er korrekte og oppdaterte når dette er nødvendig.

Lagringsbegrensning: Personopplysninger skal ikke oppbevares lenger enn det som er nødvendig, med mindre lovgivningen krever videre lagring.

Integritet og konfidensialitet: Opplysningene skal beskyttes mot uautorisert tilgang, tap, skade og utilsiktet eller ulovlig utlevering.

Ansvarlighet: Behandlingen skal kunne dokumenteres og forklares i samsvar med gjeldende krav.

3. Ansvar for databeskyttelse

Databeskyttelse skal ivaretas gjennom hele drifts- og tjenesteforløpet, ikke bare når en forbruker oppgir personopplysninger.

Den behandlingsansvarlige skal, i samsvar med gjeldende lovgivning, fastsette formålene med og midlene for behandlingen av personopplysninger og ivareta ansvaret som følger av dette.

Når en tredjepart behandler personopplysninger på vegne av den behandlingsansvarlige, skal ansvarsfordelingen og rammene for behandlingen avklares. Der lovgivningen krever det, skal det inngås en databehandleravtale.

Dersom flere parter i fellesskap fastsetter formålene med og midlene for behandlingen, skal ansvaret deres reguleres i samsvar med reglene om felles behandlingsansvar.

4. Tilgang til personopplysninger

Tilgang til personopplysninger skal begrenses til det som er nødvendig for å utføre relevante oppgaver.

Følgende krav skal legges til grunn:

Tilgang skal bare gis til personer eller autoriserte parter som har et saklig behov.

Tilgang skal ikke utvides uten at det foreligger et relevant behov.

Personopplysninger skal ikke søkes frem, kopieres, deles eller brukes utenfor det autoriserte formålet.

Tilgangsrettigheter bør vurderes og justeres når behovet endres eller opphører.

Alle som håndterer personopplysninger, skal følge gjeldende krav til konfidensialitet og databeskyttelse.

5. Informasjonssikkerhet og risikohåndtering

Sikkerhetstiltak skal vurderes ut fra blant annet opplysningenes art, omfanget av behandlingen, behandlingsmiljøet og risikoen for de registrertes rettigheter og friheter.

Avhengig av den faktiske behandlingen kan relevante tiltak omfatte:

Begrensning og styring av tilgang til personopplysninger.

Egnet beskyttelse av viktige eller særlig beskyttelsesverdige opplysninger.

Kryptering eller andre tekniske sikkerhetstiltak der dette er hensiktsmessig.

Vurdering av risiko ved overføring og lagring av opplysninger.

Begrensning av unødvendig kopiering, nedlasting og utlevering.

Undersøkelse og håndtering av uvanlig tilgang eller mulige sikkerhetshendelser.

Valg av sikkerhetstiltak skal baseres på den faktiske behandlingen og en konkret risikovurdering. Retningslinjene innebærer ikke en garanti for tekniske løsninger, sertifiseringer eller sikkerhetstiltak som ikke faktisk er innført.

6. Lagring, arkivering og sletting

Personopplysninger skal oppbevares i samsvar med formålet med behandlingen og eventuelle lovpålagte oppbevaringskrav.

Ulike opplysningstyper kan ha ulike oppbevaringsbehov. Ordreopplysninger, transaksjonsrelaterte dokumenter og kundeservicehenvendelser kan for eksempel være underlagt forskjellige krav eller nødvendige oppbevaringsperioder.

Når personopplysninger ikke lenger er nødvendige for formålet, og det ikke foreligger et annet gyldig grunnlag for fortsatt lagring, skal opplysningene slettes, anonymiseres eller håndteres på annen egnet måte.

Arkivering skal ikke brukes som begrunnelse for å oppbevare personopplysninger på ubestemt tid. Opplysninger som fortsatt må lagres, skal fortsatt behandles i samsvar med gjeldende personvernkrav.

7. Databehandlere og deling av opplysninger

Enkelte aktiviteter knyttet til nettstedets drift kan innebære at eksterne parter får tilgang til eller behandler personopplysninger.

Ved slik behandling skal det, ut fra det konkrete samarbeidet, avklares:

Hvilke formål og opplysninger behandlingen omfatter.

Hvilket ansvar hver part har.

Hvilke begrensninger som gjelder for tilgang og bruk.

Krav til lagring, tilbakelevering eller sletting.

Hvordan sikkerhetshendelser skal kommuniseres og håndteres.

Når en tredjepart behandler personopplysninger på vegne av den behandlingsansvarlige, skal det inngås en databehandleravtale når dette følger av gjeldende lovgivning.

Dersom en tredjepart selv bestemmer formålet med og midlene for behandlingen, må partens rolle vurderes ut fra det faktiske forholdet.

At en tredjepart deltar i driften av nettstedet, gir ikke i seg selv en generell rett til å bruke personopplysninger uten begrensninger.

8. Overføring av personopplysninger til andre land

Dersom personopplysninger overføres til land utenfor Norge eller Det europeiske økonomiske samarbeidsområdet (EØS), skal overføringen oppfylle kravene i gjeldende personvernlovgivning.

Avhengig av situasjonen kan overføringen blant annet bygge på:

En gyldig beslutning om tilstrekkelig beskyttelsesnivå for mottakerlandet.

Egnede garantier i samsvar med lovgivningen, for eksempel standard personvernbestemmelser.

Et særskilt unntak som er tillatt etter gjeldende regler, dersom vilkårene for unntaket er oppfylt.

Ved vurdering av en overføring skal det tas hensyn til mottakeren, formålet med overføringen og hvilke beskyttelsestiltak som kreves.

Kontaktadressen som er oppgitt på nettstedet, betyr ikke at personopplysninger nødvendigvis lagres på denne adressen eller i det aktuelle landet. Faktisk lagringssted og eventuelle overføringer må vurderes ut fra de reelle behandlingsforholdene.

9. Håndtering av personvernbrudd og sikkerhetshendelser

Ved et faktisk eller mistenkt brudd på personopplysningssikkerheten skal hendelsen undersøkes og risikoen vurderes så raskt som mulig.

Håndteringen bør omfatte:

Kartlegging av hva som har skjedd, og hvilke opplysningstyper som er berørt.

Vurdering av hvor mange personer som kan være berørt, og hvilke konsekvenser hendelsen kan få.

Undersøkelse av om hendelsen innebærer uautorisert tilgang, utlevering, endring eller tap av opplysninger.

Iverksetting av egnede tiltak for å begrense skade og forhindre ytterligere risiko.

Vurdering av om tilsynsmyndigheten eller de berørte personene skal varsles.

Nødvendig dokumentasjon av hendelsen, vurderingene og tiltakene som er gjennomført.

Etter GDPR artikkel 33 skal den behandlingsansvarlige varsle relevant tilsynsmyndighet om et brudd som sannsynligvis vil medføre risiko for fysiske personers rettigheter og friheter. Varsling skal skje uten ugrunnet opphold og, dersom det er mulig, senest innen 72 timer etter at bruddet ble kjent, med mindre et lovbestemt unntak gjelder.

Dersom bruddet sannsynligvis medfører høy risiko for de berørte personenes rettigheter og friheter, skal det også vurderes om de berørte personene må varsles etter GDPR artikkel 34.

10. Innebygd personvern og personvern som standardinnstilling

Personvern skal vurderes allerede når arbeidsprosesser, tjenester og tekniske løsninger utformes eller endres.

Ved planlegging og endring av prosesser som innebærer behandling av personopplysninger, bør det blant annet vurderes:

Om det er nødvendig å samle inn de aktuelle opplysningene.

Om risikoen kan reduseres ved å begrense mengden opplysninger.

Om tilgangen til opplysningene bør begrenses ytterligere.

Om tekniske innstillinger kan redusere unødvendig behandling.

Om større endringer krever en særskilt risikovurdering.

Der det er relevant, skal prinsippene om innebygd personvern og personvern som standardinnstilling etter GDPR artikkel 25 følges.

Dersom en behandling sannsynligvis vil medføre høy risiko for fysiske personers rettigheter og friheter, skal det vurderes om det er nødvendig å gjennomføre en vurdering av personvernkonsekvenser (DPIA) etter GDPR artikkel 35.

11. Automatisert behandling og beskyttelse av individuelle rettigheter

Dersom behandlingen av personopplysninger innebærer automatiserte avgjørelser, skal det vurderes om reglene i GDPR artikkel 22 kommer til anvendelse.

Når en avgjørelse utelukkende er basert på automatisert behandling og har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker en person, gjelder særskilte begrensninger og rettigheter etter lovgivningen.

Når reglene kommer til anvendelse, kan den registrerte blant annet ha rett til menneskelig inngripen, til å uttrykke sitt synspunkt og til å bestride avgjørelsen.

Ikke all automatisert databehandling eller teknisk analyse omfattes av reglene om automatiserte individuelle avgjørelser i GDPR artikkel 22.

12. Forespørsler om personopplysninger

Forbrukere kan, innenfor rammene av gjeldende personvernlovgivning, be om innsyn, retting, sletting, begrensning av behandling, dataportabilitet eller protestere mot behandling av personopplysninger.

Forespørsler skal vurderes ut fra innholdet, de faktiske behandlingsforholdene og gjeldende lovkrav.

Dersom det er nødvendig å bekrefte identiteten til den som fremsetter forespørselen, kan det bes om rimelig og nødvendig dokumentasjon. Det skal ikke innhentes flere opplysninger enn det som trengs for å bekrefte identiteten.

Etter GDPR artikkel 12 skal forespørsler som hovedregel besvares innen én måned etter mottak. Ved kompliserte forespørsler eller et stort antall forespørsler kan fristen forlenges med inntil to måneder dersom vilkårene i lovgivningen er oppfylt. Den registrerte skal i så fall informeres om forlengelsen og årsaken innen den første måneden.

13. Informasjonskapsler og nettbaserte teknologier

Bruk av informasjonskapsler og andre nettbaserte teknologier skal vurderes ut fra formålet med teknologien og kravene i gjeldende lovgivning.

Teknologier som lagrer informasjon på eller leser informasjon fra brukerens utstyr, skal følge relevante krav i norsk ekomlovgivning. Dersom behandlingen også omfatter personopplysninger, gjelder i tillegg de relevante kravene i GDPR.

For teknologier som krever samtykke, skal samtykket innhentes på en gyldig måte. Det skal ikke legges til grunn at en forbruker har samtykket bare fordi vedkommende fortsetter å bruke nettstedet eller ikke lukker et informasjonsvindu.

For nærmere informasjon om typer informasjonskapsler, formål og valgmuligheter, se Informasjonskapsler.

14. Beskyttelse av mindreåriges personopplysninger

Ved behandling av personopplysninger om mindreårige skal det tas hensyn til gjeldende lovgivning, den registrertes alder, forståelsesevne og formålet med behandlingen.

For de særlige tilfellene som omfattes av GDPR artikkel 8, der informasjonssamfunnstjenester tilbys direkte til barn og behandlingen bygger på samtykke, gjelder de relevante aldersreglene i den norske personopplysningsloven.

Aldersgrensen som gjelder i disse særskilte tilfellene, skal ikke forstås som en generell aldersgrense for all behandling av personopplysninger om mindreårige.

15. Gjennomgang og oppdatering av retningslinjene

Disse retningslinjene kan oppdateres dersom det skjer endringer i gjeldende lovgivning, nettstedets drift, behandlingsaktiviteter eller kravene til sikkerhet og databeskyttelse.

Oppdaterte retningslinjer publiseres på nettstedet, og ny ikrafttredelsesdato oppgis når det er relevant.

Dersom en oppdatering innebærer vesentlige endringer i behandlingen av personopplysninger, skal forbrukerne informeres i samsvar med gjeldende lovkrav.

16. Kontaktinformasjon

Ved spørsmål om databeskyttelse, informasjonssikkerhet eller innholdet i disse retningslinjene kan du kontakte oss via følgende kanaler:

Nettsted: https://orenrion.com

E-post: support@orenrion.com

Telefon: +1 (213) 417-8256

Kontaktadresse:
151 E 69th St,
Los Angeles CA 90003,
United States

Kundeservice:
Mandag til fredag
09:00–12:00 og 14:00–18:00
(norsk lokal tid)

Forbrukere kan også klage til Datatilsynet i samsvar med gjeldende lovgivning.

Disse retningslinjene skal leses sammen med nettstedets øvrige relevante informasjon om forbrukerrettigheter og behandling av personopplysninger.