Garantums dataskyddspolicy

Inledning

Vi på Garantum är måna om dina personuppgifter och din personliga integritet. Därtill behandlas all information som inkommer till Garantum med iakttagande av tillämpliga bestämmelser på dataskyddsområdet. För att du som kund ska känna dig trygg med hur dina personuppgifter kommer att behandlas kommer en redogörelse för dina rättigheter att presenteras i följande avsnitt.

Enligt definitionen i artikel 4.1 i Europaparlamentet och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (”GDPR”) ska begreppet personuppgifter definieras som upplysningar som avser en person och som direkt eller indirekt kan medföra att personen ifråga kan identifieras. Det kan till exempel vara personnummer, namn, adress, IP-adress eller telefonnummer. Hur dessa behandlas kommer det att redogöras för i denna policy.

Observera att Garantum har en separat policy för behandling av cookies. Du hittar den på www.garantum.se >> 

Definitioner

Behandling: En åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej. Det kan till exempel vara registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning eller användning.

Personuppgifter: Upplysningar som avser en person och som direkt eller indirekt kan medföra att personen ifråga kan identifieras. Det kan till exempel vara namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer. Det kan även vara en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.     

Personuppgiftsansvarig: En fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.
Personuppgiftsbiträde: En fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

Tredje part: En fysisk eller juridisk person, offentlig myndighet, institution eller organ som inte är den registrerade, den personuppgiftsansvarige, personuppgiftsbiträdet eller de personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar är behöriga att behandla personuppgifterna.

Tredjelandsöverföring: Överföring till länder utanför EU/EES.

Samtycke: Varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade antingen genom ett uttalande eller genom en entydig bekräftande handling godtar den aktuella behandlingen.

Rättslig grund/rättslig förpliktelse:  Tillämpliga lagar, författningar, avtal eller rådande praxis på området.

Personuppgifter

Behandling av personuppgifter

Garantum behandlar i vanliga fall personuppgifter som du lämnar in i samband med att du använder våra tjänster, produkter eller dylikt. Personuppgifterna behandlas bland annat genom att du startar en depå hos oss, genomför en transaktion, ingår ett avtal eller på annat sätt kommunicerar med oss via till exempel e-post. Syftet med behandlingen är i huvudsak att bedriva vår verksamhet, upprätthålla en hög standard på våra produkter och tjänster samt att kunna tillhandahålla en högkvalitativ kundtjänst. Vidare är syftet att kunna efterleva våra skyldigheter som regleras i lag eller annan författning samt att kunna kommunicera med exempelvis kunder och samarbetspartners.

Det kan även förekomma att vi samlar in och behandlar personuppgifter från tredje part. Det kan exempelvis ske i samband med inhämtande av information avseende folkbokföring, kreditvärdighet, bolagsengagemang, uppgifter för att kunna fastställa om en person är i en politiskt utsatt ställning eller i andra fall där behandling av personuppgifter krävs för att vi ska kunna fullfölja våra skyldigheter. Huvudsakligen inhämtas dessa uppgifter från offentliga register och myndigheter.

Garantum är personuppgiftsansvariga för de personuppgifter du lämnar till oss. I egenskap av personuppgiftsavsvariga är det vårt ansvar att informera dig som registrerad i de fall dina personuppgifter ska behandlas i ett annat syfte än det som tidigare angivits.

Vems personuppgifter behandlas?

I huvudsak behandlas anställdas, kunders och avtalsparters personuppgifter. Emellertid kan det i vissa fall förekomma att personuppgifter tillhörande personer som inte har en direkt koppling till Garantum behandlas. Det kan exempelvis röra sig om följande personer:
 
•    Anställd på Garantum
•    Anhörig till anställd på Garantum
•    Verklig huvudman
•    Juridisk företrädare/advokat för en kund eller annan samarbetspartner till Garantum  
•    Anställd hos myndighet som Garantum är i kontakt med
•    Anställd på företag som Garantum har ett samarbete med  

Garantum måste behandla sådana uppgifter för att kunna efterleva sina skyldigheter. Ett exempel som belyser detta återfinns i bestämmelserna om anställda och dess närståendes värdepappersaffärersaffärer. Reglerna innebär att Garantum är skyldiga att samla in uppgifter avseende närståendes värdepappersaffärer i de fall det är nödvändigt.

Vilka personuppgifter behandlas?

De personuppgifter som vi samlar in kan delas in i följande kategorier:

Identifieringsuppgifter: Till exempel personnummer, namn och passnummer.
Kontaktuppgifter: Till exempel telefonnummer, adress inklusive postadress och e-post.
Ekonomisk information: Till exempel avtal, transaktionsinformation, lön, kontonummer, uppgifter om kredit samt anställda och dess anhörigas värdepappersaffärer.
Anställningsinformation: Till exempel behandlas personuppgifter som behövs vid rekryteringsprocessen och i anställningsförhållande, såsom titel vid tidigare arbetsplats, fotografi och betyg.

Behandling av särskilda uppgifter

I artikel 9.1 i GDPR föreskrivs att huvudregeln är att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.

Generellt sett behandlar inte Garantum några särskilda uppgifter, såvida inte ett uttryckligt samtycke har lämnats eller i de fall vi är rättsligt förpliktade att behandla sådana uppgifter. Det kan till exempel vara information om hälsa vid sjukskrivningar. Vidare behandlas information avseende löneuppgifter, värdepapperstillgångar och uppgifter om lagöverträdelser. Vid behandling av särskilda uppgifter har Garantum vidtagit mer omfattande skyddsåtgärder i form av tekniska lösningar samt antagit interna riktlinjer avseende bland annat tillgångsbehörighet.

På vilken grund behandlas personuppgifterna

Uppgifter som behandlas på samtycke: Uppgifter som samlas in i samband med exempelvis anställning och i samband med ingående av avtal har ofta samtycke som rättslig grund. Vidare har Garantum cookies på hemsidan som också har samtycke som rättslig grund. Ett samtycke kan när som helst återkallas genom att kontakta den personuppgiftsansvarige på GDPR@garantum.se. Vad gäller cookies finns en ingående policy avseende behandling av personuppgifter genom cookies på www.garantum.se. 

Uppgifter som krävs för att uppfylla en rättslig förpliktelse: Uppgifter som samlas in för att fullgöra en rättslig förpliktelse kan till exempel vara uppgifter om skattehemvist eller uppgifter som krävs för grundläggande kundkännedom och bekämpning av penningtvätt. Vidare behandlas personuppgifter som krävs enligt till exempel bokföringslagen, lagen om anställningsskydd och andra tillämpliga regelverk. Det behandlas även personuppgifter med avtal som rättslig grund. Ett exempel som belyser detta är att personuppgifter behandlas för att en specifik kund ska få upp en korrekt och anpassad vy när de loggar in för att använda någon av våra tjänster. Vidare behandlas personuppgifter vid tillhandahållande av kundservice och annan kommunikation som sker under avtalsperioden.

Uppgifter som är ett berättigat intresse: Personuppgifter kan utgöra underlag för våra interna kundanalyser, affärsutveckling och vår marknadsföring. Behandlingen är nödvändig för Garantums berättigade intresse att marknadsföra och utveckla sina produkter och tjänster.

Tekniska och organisatoriska åtgärder

För oss på Garantum är det viktigt att värna om dina personuppgifter och din personliga integritet, därför har vi vidtagit tekniska och organisatoriska åtgärder för att du ska känna dig trygg med behandlingen av dina personuppgifter. Garantum är medvetna om att inga tekniska system är helt säkra, därför har Garantum gjort avvägningar för att bedöma hur dina personuppgifter skyddas från otillbörlig åtkomst, förändring och förstörelse. Vidare har Garantum antagit ett flertal olika rutiner och riktlinjer i syfte att stärka skyddet av personuppgifter.

Gallring

Garantum sparar dina uppgifter så länge det är nödvändigt för att vi ska kunna fullgöra våra förpliktelser gentemot dig. Vi har även vidtagit tekniska åtgärder som underlättar och säkerställer att hanteringen av gallring fungerar som den ska. Vidare har vi antagit riktlinjer som stadgar hur gallring ska hanteras inom organisationen. Dock finns det vissa uppgifter som kan komma att lagras längre än så. Det beror på att behandling krävs enligt tillämpliga lagar och författningar. Exempel på sådana författningar är:  

Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism
Kundkännedom lagras i minst 5 år efter avslutad förbindelse. Handlingar som kan tyda på penningtvätt eller uppgifter som rapporteras till polis förvaras i 10 år.
Uppgifter som ska lagras enligt Bokföringslag (1999:1078) lagras i upp till 10 år.
Lag (1982:80) om anställningsskydd.
I de fall behandlingen grundar sig på ett samtycke har du som registrerad rätt att när som helst återkalla ditt samtycke.
 

Överföring av personuppgifter

Överföring av personuppgifter inom Sverige
I vissa fall kan det förekomma att Garantum överför dina personuppgifter till andra företag inom Garantumkoncernen eller till någon eller några av Garantums samarbetspartners i syfte att efterleva förpliktelser som följer av avtal eller annan rättslig grund.  Vidare kan personuppgifterna överföras till  myndigheter och andra statliga institutioner i syfte att efterleva våra rättsliga skyldigheter, såsom exempelvis förebyggande av brottslighet. Innan personuppgifter överförs säkerställer Garantum att den mottagande parten har vidtagit tillräckliga tekniska och organisatoriska åtgärder för att dina personuppgifter skyddas från otillbörlig åtkomst, förändring och förstörelse.  

Överföring av personuppgifter till tredjeland
Det kan förekomma att dina personuppgifter överförs till tredjeland. För att tredjelandsöverföringar ska vara tillåtna krävs att något av följande är uppfyllt:

EU-kommissionen har beslutat att det finns en adekvatskyddsnivå i landet, eller andra lämpliga åtgärder har vidtagits, exempelvis EU:s standarsklausuler för tredjelandsöverföringar, godkännande av EU-kommissionen eller att mottagaren har bindande företagsbestämmelser, eller att du som registrerad givit ditt samtycke eller överföringen krävs för att fullgöra en rättsligförpliktelse.  

EU:s standardklausuler går att finna på www.eur-lex.europa.eu >>

Dina rättigheter

Rätt till tillgång

Du har rätt att få veta om vi behandlar dina personuppgifter och hur dessa behandlas. Du kan till exempel ha rätt att få ta del av ändamålen för behandlingen och vilka kategorier av personuppgifter som behandlingen avser. En begäran avseende rätten till tillgång skickas in till GDPR@garantum.se. Anser vi att din begäran är ofullständig återkommer vi till dig med en kompletteringsbegäran.

Rätt till rättelse

Du som registrerad har rätt att begära rättelse av de uppgifter du anser vara felaktiga eller ofullständiga. Det kan till exempel röra sig om felaktiga telefonnummer, efternamn eller dylikt. I sådana fall har du med beaktande av ändamålet med behandlingen rätt att inge kompletterande uppgifter.

Kompletteringen skickas till GDPR@garantum.se. >>

Rätt att bli glömd

Du som registrerad har även rätt att begära att bli glömd. Det innebär att vi som personuppgiftsansvariga är skyldiga att utan onödigt dröjsmål radera personuppgifter som uppfyller kraven som uppställs i artikel 17.1 GDPR. Vid bedömning av förfrågningar avseende rätten att bli glömd utgår vi ifrån kriterierna som uppställs i Artikel 29-gruppens riktlinjer. Det innebär att Garantum inte raderar de uppgifter som vi är skyldiga att lagra. En begäran avseende rätten att bli glömd ska innehålla en beskrivning av vilka uppgifter du vill att vi ska radera.

Digitalt formulär för begäran om borttagning av personuppgifter >>

Rätt till begränsning

Du som registrerad har rätt att begära rätt till begränsning. Det innebär att du kan begära att uppgifter som till exempel faller inom ramen för vår rättsliga förpliktelse enbart ska lagras. Det innebär att vi lagrar uppgifterna utan att behandla dem.

Begäran ska skickas in till GDPR@garantum.se. >>

Rätt till dataportabilitet

En av nyheterna i GDPR är rätten till dataportabilitet. Rättigheten innebär i korthet att du som registrerad kan begära att få tillgång till personuppgifterna som vi behandlar i ett strukturerat, allmänt använt och läsbart format. Vidare har du rätt att i vissa fall få dessa uppgifter överförda till en annan personuppgiftsansvarig. Det innebär att du som registrerad i vissa fall har rätt att få personuppgifter som du har lämnat till oss i de fall du vill använda dem på annat håll. Emellertid förutsätter detta att vi behandlar dina personuppgifter med stöd av samtycke eller rättslig förpliktelse i form av ett avtal som den registrerade är part i.

Begäran ska skickas in till GDPR@garantum.se. >>

Rätt att klaga till tillsynsmyndighet

Du som registrerad har rätt att klaga över vår behandling av dina personuppgifter. Du som har hemvist i Sverige kan lämna in ditt klagomål till Datainspektionen (se kontaktuppgifter under punkten 8.1). Har du hemvist i någon annan medlemsstat inom EU/EES lämnar du med fördel in ditt klagomål till behörig myndighet i den aktuella medlemsstaten. Du kan även lämna in ditt klagomål i den medlemsstat där du arbetar eller där en misstänkt överträdelse påstås ha förekommit. Rätten att klaga till tillsynsmyndighet påverkar inte dina möjligheter att vidta andra administrativa eller rättsliga åtgärder.

Kontakt

Begäran av tillgång, rättelse, begränsning

I egenskap av registrerad har du rätt att begära ett utdrag av vilket det framgår vilka personuppgifter vi på Garantum behandlar (rätt till tillgång). Du har även rätt att bli glömd från Garantum och begära att enbart raderas från våra marknadsföringsprogram. För att nyttja din rätt ska du skicka in ett mail där du beskriver vilken eller vilka rättigheter du vill nyttja till GDPR@garantum.se. Efter inkommen begäran kommer din begäran att behandlas skyndsamt.

För övriga frågor avseende GDPR och dina rättigheter hänvisas till Garantums dataskyddsombud:
Peter Hammarsten:  08-522 550 00