GDPR-retningslinjer

1. Om GDPR og forpliktelsen vår

Personvernforordningen (GDPR) er et samlet regelverk for personvern som bestemmer hvordan personopplysninger om personer i Det europeiske økonomiske samarbeidsområdet (EØS) kan samles inn, behandles og lagres.

PrintedIn står helt og fullt for å følge GDPR. Vi behandler personopplysninger lovlig, rettferdig og åpent. Vi samler bare inn opplysninger til uttrykkelig angitte og berettigede formål, og sørger for at de er tilstrekkelige, relevante og begrenset til det nødvendige.

2. Opplysninger om behandlingsansvarlig

Etter GDPR er PrintedIn behandlingsansvarlig for personopplysningene til brukerne våre. Det betyr at vi bestemmer formålene med og midlene for behandlingen.

3. Behandlingsgrunnlag

Etter artikkel 6 i GDPR behandler vi personopplysninger på disse grunnlagene:

Der vi bygger på samtykke, har du rett til å trekke samtykket ditt tilbake når som helst. Tilbaketrekkingen berører ikke lovligheten av behandlingen som skjedde før.

4. Kategorier av personopplysninger

Vi behandler disse kategoriene av personopplysninger:

5. Rettighetene til den registrerte

Etter GDPR har du disse rettighetene over personopplysningene dine. Vi besvarer alle gyldige henvendelser innen 30 dager (fristen kan forlenges med 60 dager ved kompliserte saker):

5.1 Rett til innsyn (art. 15)

Du har rett til å få bekreftet om vi behandler personopplysningene dine, og til å be om en kopi av dem i et vanlig brukt elektronisk format.

5.2 Rett til retting (art. 16)

Du har rett til å be om at uriktige personopplysninger rettes, eller at ufullstendige opplysninger fullstendiggjøres. Det meste kan du rette selv i innstillingene på profilen din.

5.3 Rett til sletting (art. 17)

Du har rett til å be om at personopplysningene dine slettes («retten til å bli glemt»), med forbehold for de rettslige forpliktelsene som gjelder (for eksempel regnskapsmateriale som må oppbevares).

5.4 Rett til begrensning (art. 18)

Du kan be om at behandlingen av opplysningene dine begrenses mens vi kontrollerer om de er riktige, mens vi vurderer de berettigede interessene våre, eller når behandlingen er ulovlig, men du ikke ønsker opplysningene slettet.

5.5 Rett til dataportabilitet (art. 20)

Du har rett til å motta personopplysningene dine i et strukturert, vanlig brukt og maskinlesbart format (JSON eller CSV), og til å overføre dem til en annen behandlingsansvarlig.

5.6 Rett til å protestere (art. 21)

Du har rett til å protestere mot behandling som bygger på berettigede interesser, og mot direkte markedsføring. Vi stanser behandlingen med mindre vi kan påvise tvingende berettigede grunner som veier tyngre enn interessene dine.

5.7 Rettigheter ved automatiserte avgjørelser (art. 22)

Vi bruker ikke automatiserte avgjørelser eller profilering som har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker deg.

6. Behandlingene våre

Vi fører en protokoll over behandlingsaktiviteter, slik artikkel 30 i GDPR krever. De viktigste behandlingene våre er:

• Registrering av brukere: Behandling av navn, e-post og passord for å opprette kontoen.
• Design av produkter: Behandling av opplastede bilder og tekst for å vise designet.
• Gjennomføring av bestillinger: Behandling av adresser og betalingsopplysninger for trykk og frakt.
• Kundeservice: Behandling av korrespondanse og kontoopplysninger for å besvare henvendelser.
• Markedsføring: Behandling av e-postadresser for å sende ut nyhetsbrev (på grunnlag av samtykke).
• Analyse: Behandling av bruksdata for å forbedre tjenestene våre (på grunnlag av samtykke).
• Annonsering: Behandling av sidebesøk og kjøp for å måle annonsering og bygge målgrupper (på grunnlag av samtykke).

6.1 Underleverandører

Vi bruker disse kategoriene av underleverandører, alle med de databehandleravtalene som kreves:

7. Overføring av opplysninger til tredjeland

Vi lagrer og behandler først og fremst personopplysninger innenfor Det europeiske økonomiske samarbeidsområdet (EØS). Når det er nødvendig å overføre opplysninger ut av EØS, sørger vi for tilstrekkelig vern gjennom:

• Beslutninger om tilstrekkelig beskyttelsesnivå: Overføring til land som EU har fattet en slik beslutning om.
• Standard personvernbestemmelser: Avtalevilkår godkjent av EU som sikrer et tilsvarende vern.
• Supplerende tiltak: Ytterligere tekniske og organisatoriske tiltak der det trengs (kryptering, pseudonymisering).

8. Tiltak for personvern

I tråd med artikkel 32 i GDPR gjennomfører vi egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som passer til risikoen:

8.1 Tekniske tiltak

• TLS 1.3-kryptering hele veien for alle data under overføring
• AES-256-kryptering av personopplysninger som ligger lagret
• Bcrypt-hashing av passord med tilpasset kostnadsfaktor
• Regelmessig automatisk sikkerhetsskanning og testing
• Segmentering av nettverket og beskyttelse med brannmur
• Logging og overvåking av tilgang til databasen

8.2 Organisatoriske tiltak

• Opplæring av ansatte i personvern og bevisstgjøringsprogrammer
• Tilgangsstyring etter prinsippet om minste nødvendige rettighet
• Taushetserklæringer med alle ansatte og innleide
• Vurderinger av personvernkonsekvenser ved behandling med høy risiko
• Regelmessig gjennomgang og revisjon av behandlingene våre
• Rutiner for håndtering av hendelser og for eskalering

9. Melding om brudd på personopplysningssikkerheten

I tråd med artikkel 33 og 34 i GDPR har vi fastsatte rutiner for brudd på personopplysningssikkerheten:

• Tilsynsmyndigheter: Vi melder fra til rett tilsynsmyndighet innen 72 timer etter at vi er blitt kjent med et brudd på personopplysningssikkerheten som sannsynligvis medfører en risiko for fysiske personers rettigheter og friheter. For registrerte i Storbritannia er det Information Commissioner’s Office (ICO). For registrerte i EØS er det rett myndighet i den aktuelle staten — vi er ikke etablert i EU, så meldingen går ikke gjennom én ledende tilsynsmyndighet.
• Berørte personer: Vi varsler berørte registrerte uten ugrunnet opphold når et brudd sannsynligvis medfører en høy risiko for rettighetene og frihetene deres.
• Dokumentasjon: Alle brudd på personopplysningssikkerheten føres inn i registeret vårt, uansett hvor alvorlige de er, med de faktiske forholdene, virkningene og tiltakene som er satt i verk.

10. Personvernombud

Vi har utpekt et personvernombud som følger med på at GDPR etterleves i hele organisasjonen vår. Du kan kontakte personvernombudet vårt med spørsmål eller bekymringer om personvern:

11. Tilsynsmyndighet og klager

Mener du at behandlingen vår av personopplysningene dine bryter personvernreglene, har du rett til å klage til en tilsynsmyndighet (artikkel 77). Hvilken myndighet det er, avhenger av hvor du er — ikke av hvor vi er:

11.1 Hvis du er i Det europeiske økonomiske samarbeidsområdet

Du kan klage til tilsynsmyndigheten i staten der du bor, der du arbeider, eller der det påståtte bruddet fant sted. Siden vi er etablert i Storbritannia og ikke i unionen, er det ingen enkelt myndighet som er ledende tilsynsmyndighet for oss — din egen nasjonale myndighet er kompetent. Bor du i Norge, er det Datatilsynet. Personvernrådet publiserer de gjeldende kontaktopplysningene til alle nasjonale myndigheter:

11.2 Hvis du er i Storbritannia

Information Commissioner’s Office er tilsynsmyndighet i Storbritannia. Opplysningene nedenfor er ICOs egne — det er ikke kontaktopplysningene våre; vil du nå oss, se avsnittet om personvernombudet ovenfor.

Det koster deg ingenting å bruke denne retten, og du trenger ikke å kontakte oss først — men vi retter heller opp et problem enn at du skal måtte. Skriver du til privacy@printedin.com, svarer vi innen 30 dager.