1. Formål
Kaelirosyn lægger vægt på beskyttelsen af personoplysningers fortrolighed, integritet og tilgængelighed. Denne databeskyttelsespolitik beskriver de principper og foranstaltninger, der anvendes til at beskytte personoplysninger mod uautoriseret adgang, utilsigtet tab, ulovlig videregivelse, ændring eller ødelæggelse.
Politikken gælder for behandling og beskyttelse af personoplysninger i forbindelse med brugen af https://kaelirosyn.com/, herunder køb, besøg på hjemmesiden og kontakt med kundeservice, i det omfang databeskyttelsesforordningen (GDPR) og relevant dansk databeskyttelseslovgivning finder anvendelse.
Denne politik fokuserer på databeskyttelse og informationssikkerhed og supplerer hjemmesidens separate privatlivspolitik og cookiepolitik.
2. Grundlæggende principper for databeskyttelse
Personoplysninger behandles i overensstemmelse med følgende principper, i det omfang de finder anvendelse:
Lovlighed, rimelighed og gennemsigtighed: Personoplysninger behandles på et lovligt grundlag, og oplysninger om behandlingen gives på en klar og forståelig måde.
Formålsbegrænsning: Personoplysninger anvendes til bestemte, udtrykkeligt angivne og legitime formål og ikke på en måde, der er uforenelig med disse formål.
Dataminimering: Der behandles kun personoplysninger, som er nødvendige i forhold til det relevante formål.
Rigtighed: Der træffes rimelige foranstaltninger for at sikre, at personoplysninger er korrekte og ajourførte, hvor det er relevant.
Opbevaringsbegrænsning: Personoplysninger opbevares ikke længere end nødvendigt, medmindre der foreligger et andet lovligt grundlag for fortsat opbevaring.
Integritet og fortrolighed: Personoplysninger beskyttes gennem passende tekniske og organisatoriske foranstaltninger, der står i forhold til de risici, behandlingen indebærer.
Ansvarlighed: Hvor lovgivningen kræver det, dokumenteres relevante behandlingsaktiviteter og databeskyttelsesforanstaltninger.
3. Omfanget af de personoplysninger, der beskyttes
I forbindelse med brug af hjemmesiden, bestilling af varer og kundeservice kan der behandles personoplysninger såsom navn, kontaktoplysninger, leveringsoplysninger, ordreoplysninger, transaktionsstatus, kommunikation med kundeservice og nødvendige tekniske oplysninger.
En nærmere beskrivelse af de personoplysninger, der behandles, formålene med behandlingen og det retlige grundlag findes i Privatlivspolitik.
De beskyttelsesforanstaltninger, der er beskrevet i denne politik, tilpasses de faktiske behandlingsaktiviteter og tager blandt andet hensyn til oplysningernes karakter, adgangsbehov og de mulige konsekvenser for de registrerede.
At en bestemt kategori af oplysninger er nævnt i denne politik, betyder ikke nødvendigvis, at hjemmesiden indsamler eller behandler denne kategori i alle tilfælde.
4. Tekniske og organisatoriske sikkerhedsforanstaltninger
Vi tilstræber at anvende passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysninger mod de risici, der er forbundet med behandlingen.
De konkrete foranstaltninger fastlægges ud fra de faktiske systemer, behandlingsaktiviteter og risici. De kan, hvor det er relevant, omfatte følgende områder.
4.1 Adgangsstyring
Adgang til personoplysninger bør begrænses til personer og systemer, der har et sagligt og nødvendigt behov for adgangen.
Adgangsrettigheder bør tilpasses de relevante arbejdsopgaver og gennemgås efter behov. Når en adgang ikke længere er nødvendig, bør den ændres eller tilbagekaldes rettidigt.
4.2 Beskyttelse af data under overførsel og opbevaring
Der bør, hvor det er relevant og proportionalt, anvendes passende foranstaltninger til at reducere risikoen for uautoriseret adgang til personoplysninger under overførsel og opbevaring.
Afhængigt af risikovurderingen kan dette omfatte kryptering, pseudonymisering eller andre egnede beskyttelsesmetoder.
Denne politik indebærer ikke, at en bestemt teknisk løsning er implementeret i alle systemer eller for alle personoplysninger.
4.3 Systemsikkerhed og vedligeholdelse
Systemer, der anvendes til behandling af personoplysninger, bør vedligeholdes på en måde, der tager hensyn til relevante sikkerhedsrisici, herunder sårbarheder, uautoriseret adgang, skadelig aktivitet og systemfejl.
Ved væsentlige ændringer af systemer eller behandlingsaktiviteter bør de mulige konsekvenser for persondatasikkerheden vurderes, og relevante foranstaltninger bør træffes efter behov.
4.4 Sikkerhedskopiering og gendannelse
Hvor det er relevant, vurderes behovet for sikkerhedskopiering, gendannelse og kontinuitetsplanlægning for at mindske risikoen for tab af eller manglende adgang til personoplysninger som følge af utilsigtet sletning, tekniske fejl eller andre hændelser.
Den konkrete frekvens, opbevaringsperiode og gendannelseskapacitet afhænger af de faktiske driftsforhold.
4.5 Fortrolighed og håndtering af oplysninger
Personer, der har adgang til personoplysninger, bør, hvor det er relevant, være underlagt passende fortrolighedsforpligtelser og instrukser om behandling af oplysningerne.
Personoplysninger må kun tilgås og anvendes inden for rammerne af de tildelte beføjelser og det lovlige behandlingsformål.
4.6 Løbende vurdering
Databeskyttelse er en løbende proces. Når hjemmesidens funktioner, tekniske systemer, tjenesteudbydere eller behandlingsaktiviteter ændres, vurderes det efter behov, om de eksisterende sikkerhedsforanstaltninger fortsat er passende.
Beskrivelsen af mulige foranstaltninger udgør ikke en erklæring om, at alle nævnte tekniske løsninger eller sikkerhedsfunktioner allerede er implementeret.
5. Tredjeparter og ansvar for databehandling
Driften af hjemmesiden, betaling, levering, teknisk vedligeholdelse eller kundeservice kan efter omstændighederne involvere eksterne tjenesteudbydere. De konkrete udbydere og deres roller afhænger af de tjenester, der faktisk anvendes.
Når en tjenesteudbyder behandler personoplysninger på vores vegne og fungerer som databehandler, skal der, hvor lovgivningen kræver det, indgås en passende databehandleraftale. Aftalen skal regulere de relevante forhold, herunder behandlingens omfang, fortrolighed, sikkerhedsforanstaltninger, bistand og håndtering af oplysninger efter behandlingens ophør.
En tjenesteudbyder kan i andre tilfælde fungere som selvstændig dataansvarlig eller som fælles dataansvarlig. Rollen skal fastlægges ud fra de faktiske forhold og de gældende regler.
Brug af eksterne tjenesteudbydere fritager ikke de involverede parter for deres respektive forpligtelser efter gældende databeskyttelseslovgivning.
6. Opbevaring, sletning og begrænsning af adgang
Personoplysninger opbevares kun så længe, det er nødvendigt til de relevante formål, eller så længe der foreligger et andet lovligt grundlag for opbevaring.
Når oplysninger ikke længere er nødvendige, og der ikke findes et andet lovligt opbevaringsgrundlag, skal de slettes, anonymiseres eller på anden lovlig måde bringes ud af aktiv behandling i overensstemmelse med de relevante procedurer.
Oplysninger, der skal opbevares af hensyn til eksempelvis bogføring, skatteforpligtelser, tvister eller andre lovkrav, opbevares kun inden for rammerne af det relevante grundlag. Adgangen til sådanne oplysninger begrænses efter behov.
Anmodninger om sletning eller begrænsning af behandling vurderes konkret i lyset af den gældende lovgivning og eventuelle lovlige undtagelser.
Sletning skal håndteres under hensyntagen til de faktiske systemer, sikkerhedskopier og eventuelle databehandlere, i det omfang det er relevant og påkrævet.
7. Sikkerhedshændelser og brud på persondatasikkerheden
En sikkerhedshændelse kan blandt andet omfatte uautoriseret adgang til personoplysninger, utilsigtet videregivelse, tab af oplysninger, ændring af oplysninger eller andre hændelser, der kan påvirke oplysningernes fortrolighed, integritet eller tilgængelighed.
Hvis der opstår mistanke om en hændelse, der kan involvere personoplysninger, vurderes hændelsen efter dens karakter og de gældende regler. Relevante tiltag kan omfatte:
At undersøge hændelsens karakter, de berørte oplysninger og de mulige konsekvenser for de registrerede.
At begrænse hændelsen og reducere risikoen for yderligere skade.
At vurdere risikoen for de berørte personers rettigheder og frihedsrettigheder.
At dokumentere hændelsen, vurderingen og de trufne foranstaltninger, hvor det kræves.
At underrette den kompetente tilsynsmyndighed, når lovgivningen kræver det.
At underrette de berørte personer, når lovgivningen kræver det.
At vurdere, om der er behov for at forbedre eksisterende sikkerhedsforanstaltninger.
Når GDPR finder anvendelse, skal et brud på persondatasikkerheden anmeldes til den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet, medmindre bruddet sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder, jf. GDPR artikel 33.
Hvis bruddet sandsynligvis indebærer en høj risiko for de berørte personers rettigheder og frihedsrettigheder, skal de berørte personer underrettes i overensstemmelse med GDPR artikel 34, medmindre en lovbestemt undtagelse finder anvendelse.
Ikke enhver teknisk fejl udgør et brud på persondatasikkerheden, der skal anmeldes. Vurderingen foretages på baggrund af hændelsens faktiske omstændigheder og de gældende regler.
8. Anmodninger vedrørende personoplysninger
Registrerede kan, når betingelserne i databeskyttelseslovgivningen er opfyldt, gøre brug af deres rettigheder, herunder anmode om indsigt, berigtigelse, sletning eller begrænsning af behandling samt gøre indsigelse mod visse former for behandling.
Anmodninger behandles ud fra deres karakter, de relevante omstændigheder og gældende lovgivning. Hvor det er rimeligt og nødvendigt, kan der foretages identitetskontrol for at beskytte personoplysninger mod uberettiget udlevering.
Nærmere oplysninger om de registreredes rettigheder, retsgrundlag og procedurer findes i Privatlivspolitik.
Hvis en henvendelse vedrører en mulig sikkerhedshændelse, uautoriseret adgang eller et brud på persondatasikkerheden, bør dette fremgå tydeligt af henvendelsen, så forholdet kan vurderes korrekt.
9. Internationale overførsler af personoplysninger
Hvis personoplysninger overføres til lande uden for Det Europæiske Økonomiske Samarbejdsområde (EØS), og GDPR kapitel V finder anvendelse, skal overførslen ske på et lovligt grundlag og med de nødvendige garantier.
Afhængigt af de konkrete forhold kan dette eksempelvis omfatte en afgørelse om tilstrækkeligt beskyttelsesniveau, EU-Kommissionens standardkontraktbestemmelser eller andre overførselsmekanismer, der er tilladt efter lovgivningen.
Hvor det er nødvendigt, vurderes også, om yderligere foranstaltninger er påkrævet for at sikre et tilstrækkeligt beskyttelsesniveau.
Det skal vurderes ud fra de faktiske tjenesteudbydere, datalagringssteder, fjernadgangsforhold og kontraktuelle arrangementer, om der finder internationale overførsler sted.
En offentliggjort kontaktadresse dokumenterer ikke i sig selv, at personoplysninger overføres til det pågældende land. Denne politik indebærer heller ikke, at en bestemt overførselsmekanisme er anvendt, medmindre dette er bekræftet af de faktiske forhold.
10. Ansvar og løbende forbedringer
Databeskyttelsesforanstaltninger skal tilpasses de faktiske behandlingsaktiviteter og vurderes løbende efter behov.
Hvor det kræves efter gældende lovgivning, vil vi arbejde med at:
Vurdere risici ved behandling af personoplysninger.
Gennemgå adgangsrettigheder og sikkerhedsforanstaltninger efter behov.
Håndtere sikkerhedshændelser og anmodninger om personoplysninger i overensstemmelse med gældende regler.
Opbevare relevante dokumentationer og registreringer, hvor lovgivningen kræver det.
Vurdere behovet for at opdatere sikkerhedsforanstaltninger og politikker, når hjemmesidens funktioner, systemer eller behandlingsaktiviteter ændres væsentligt.
Hvis en behandling sandsynligvis indebærer en høj risiko for fysiske personers rettigheder og frihedsrettigheder, vurderes det efter GDPR og den relevante lovgivning, om der skal gennemføres en konsekvensanalyse vedrørende databeskyttelse eller træffes andre særlige foranstaltninger.
Behovet for at udpege en databeskyttelsesrådgiver eller en repræsentant i EU vurderes ud fra de faktiske forhold og lovgivningens krav. Offentliggørelsen af denne politik betyder ikke i sig selv, at eventuelle sådanne forpligtelser er opfyldt.
11. Forholdet til andre politikker
Denne databeskyttelsespolitik skal læses sammen med hjemmesidens øvrige relevante politikker:
Privatlivspolitik beskriver blandt andet formålene med behandlingen af personoplysninger, kategorierne af oplysninger, retsgrundlag, modtagere og de registreredes rettigheder.
Cookiepolitik beskriver brugen af cookies og lignende teknologier samt de relevante indstillinger og samtykkemuligheder.
Politikkerne har forskellige formål og supplerer hinanden. Hvis de faktiske behandlingsaktiviteter ændres, bør de relevante politikker gennemgås og opdateres, så oplysningerne fortsat er korrekte og indbyrdes konsistente.
12. Kontaktoplysninger
Hvis du har spørgsmål til denne databeskyttelsespolitik, persondatasikkerhed eller de beskrevne beskyttelsesforanstaltninger, kan du kontakte os via følgende kontaktoplysninger, som er oplyst på hjemmesiden:
Hjemmeside: https://kaelirosyn.com/
E-mail: customer@kaelirosyn.com
Telefon: +1 (864) 731-4856
Kontaktadresse: 201E Blackstock Rd, Spartanburg SC 29301, United States
Leveringsområde: Hele Danmark
Kundeservice: Mandag til fredag kl. 09.00–12.00 og 14.00–18.00
Oplysningerne ovenfor er de kontaktoplysninger, der er angivet på hjemmesiden. Den dataansvarliges fulde juridiske identitet skal angives korrekt i det omfang, det kræves efter gældende lovgivning. Eventuelle yderligere lovpligtige oplysninger skal tilføjes, inden politikken offentliggøres.
13. Ændringer af politikken
Denne politik kan blive opdateret som følge af ændringer i lovgivningen, hjemmesidens funktioner, behandlingsaktiviteter eller sikkerhedsforanstaltninger.
Den opdaterede version offentliggøres på hjemmesiden med angivelse af en opdateringsdato. Hvis væsentlige ændringer kræver særskilt information efter gældende lovgivning, vil de relevante forpligtelser blive fulgt.