Retningslinjer for databeskyttelse
Disse retningslinjene for databeskyttelse gjelder for nettstedet Corlindrinivra (https://corlindrinivra.com), som tilbyr produkter til forbrukere i Norge. Retningslinjene beskriver hvordan personopplysninger kan samles inn, brukes, lagres og beskyttes i forbindelse med besøk på nettstedet, kjøp av produkter, ordrebehandling og kundeservice. De beskriver også hvilke rettigheter forbrukerne har etter gjeldende personvernregler.
Retningslinjene er utarbeidet med utgangspunkt i personvernforordningen (GDPR) og den norske personopplysningsloven.
1. Virkeområde
Disse retningslinjene gjelder for personer som besøker eller bruker nettstedet, ser på produkter, legger inn bestillinger, kontakter kundeservice eller på annen måte samhandler med nettstedet.
Produktene som tilbys, omfatter hengekøyer, hengestoler, solsenger, campingstoler og huskestoler. Levering tilbys i hele Norge.
Retningslinjene gjelder for behandling av personopplysninger som skjer i forbindelse med nettstedets produkter og tjenester.
Nettstedet har også egne retningslinjer som beskriver personvern og bruk av informasjonskapsler. Disse dokumentene bør leses sammen med denne teksten:
Retningslinjer for informasjonskapsler
2. Gjeldende regelverk og personvernprinsipper
Norge er en del av Det europeiske økonomiske samarbeidsområdet (EØS). Personvernforordningen (GDPR) er innlemmet i EØS-avtalen og gjelder i Norge gjennom personopplysningsloven.
Behandling av personopplysninger om norske forbrukere skal derfor følge GDPR når forordningen kommer til anvendelse.
Behandlingen av personopplysninger skal bygge på følgende prinsipper:
Personopplysninger skal behandles lovlig, rettferdig og på en åpen måte.
Opplysninger skal samles inn for tydelige og legitime formål.
Det skal ikke samles inn flere opplysninger enn det som er nødvendig.
Opplysningene skal være korrekte og oppdaterte når det er nødvendig.
Personopplysninger skal ikke lagres lenger enn nødvendig.
Opplysningene skal beskyttes med egnede tekniske og organisatoriske tiltak.
Behandlingen skal kunne dokumenteres og begrunnes i samsvar med gjeldende regelverk.
3. Hvilke personopplysninger som kan samles inn
Avhengig av hvordan forbrukeren bruker nettstedet og hvilke tjenester som benyttes, kan følgende kategorier av personopplysninger bli behandlet:
3.1 Identitets- og kontaktopplysninger
Navn
E-postadresse
Telefonnummer
Leveringsadresse
Fakturaadresse
3.2 Ordre- og transaksjonsopplysninger
Ordrenummer
Produkter og antall
Bestillingsbeløp
Tidspunkt for bestilling
Ordrestatus
Opplysninger som er nødvendige for levering og oppfølging av bestillinger
3.3 Betalingsrelaterte opplysninger
I forbindelse med betaling kan det behandles opplysninger om betalingsstatus, transaksjonsreferanser og andre nødvendige transaksjonsopplysninger.
Dersom betalingen håndteres av en ekstern betalingstjenesteleverandør, kan denne leverandøren samle inn og behandle betalingsopplysninger direkte. Nettstedet hevder ikke å lagre fullstendige kortopplysninger dersom slike opplysninger ikke faktisk behandles eller oppbevares av nettstedet.
3.4 Tekniske opplysninger og bruksopplysninger
Når noen besøker nettstedet, kan følgende opplysninger bli registrert:
IP-adresse
Nettlesertype og nettleserversjon
Enhetstype
Operativsystem
Besøkte sider
Tidspunkt for besøk
Opplysninger om bruk og samhandling med nettstedet
3.5 Opplysninger fra kundeservice og kommunikasjon
Når forbrukere kontakter nettstedet via e-post, telefon eller andre tilgjengelige kontaktkanaler, kan følgende opplysninger bli behandlet:
Navn
Kontaktopplysninger
Innholdet i henvendelsen
Ordreopplysninger
Kommunikasjons- og korrespondansehistorikk
Opplysninger som er nødvendige for å behandle spørsmål og etterfølgende henvendelser
Nettstedet har ikke til hensikt å samle inn sensitive personopplysninger som ikke er nødvendige for salg av produkter eller levering av tjenester.
4. Formål med behandlingen av personopplysninger
Personopplysninger kan behandles for følgende formål:
4.1 Behandling av bestillinger
Motta og bekrefte bestillinger
Behandle kjøpsforespørsler
Kontrollere ordreopplysninger
Organisere levering av produkter
Gi informasjon om ordrestatus
4.2 Kundeservice
Besvare spørsmål fra forbrukere
Håndtere problemer knyttet til bestillinger
Behandle forespørsler om retur og refusjon
Følge opp spørsmål om produkter og levering
4.3 Drift og vedlikehold av nettstedet
Sikre at nettstedet fungerer som det skal
Oppdage og rette tekniske feil
Forhindre uautorisert tilgang
Identifisere mulig svindel og sikkerhetsrisiko
4.4 Oppfyllelse av rettslige forpliktelser
Oppfylle gjeldende regnskaps- og skatteforpliktelser
Oppbevare transaksjonsopplysninger når loven krever det
Besvare lovlige forespørsler fra offentlige myndigheter eller rettslige instanser
4.5 Forbedring av nettstedet og tjenestene
Når det er tillatt etter gjeldende regelverk, kan nødvendige statistiske og tekniske opplysninger brukes til å analysere nettstedets funksjon og forbedre brukervennlighet, produktpresentasjon og tjenester.
4.6 Markedsføringskommunikasjon
Dersom nettstedet benytter e-postmarkedsføring eller annen direkte markedsføring, skal behandlingen bygge på et gyldig rettslig grunnlag etter gjeldende regelverk. Der det kreves samtykke, skal dette innhentes før behandlingen starter.
Forbrukere kan når som helst protestere mot bruk av personopplysninger til direkte markedsføring.
5. Rettslig grunnlag for behandling av personopplysninger
Behandling av personopplysninger kan bygge på ett eller flere av grunnlagene i GDPR artikkel 6, avhengig av formålet med behandlingen.
5.1 Oppfyllelse av avtale – GDPR artikkel 6 nr. 1 bokstav b
Når en forbruker legger inn en bestilling eller ber om en tjeneste knyttet til et kjøp, kan nødvendige personopplysninger behandles for å oppfylle kjøpsavtalen, behandle bestillingen, organisere levering og yte kundeservice.
5.2 Rettslig forpliktelse – GDPR artikkel 6 nr. 1 bokstav c
Når gjeldende lovgivning krever at opplysninger oppbevares, for eksempel for regnskapsformål eller for å oppfylle lovlige krav fra offentlige myndigheter, kan personopplysninger behandles på grunnlag av en rettslig forpliktelse.
5.3 Berettiget interesse – GDPR artikkel 6 nr. 1 bokstav f
Når vilkårene i regelverket er oppfylt, kan personopplysninger behandles på grunnlag av berettigede interesser, for eksempel for å ivareta nettstedets sikkerhet, forebygge svindel, vedlikeholde systemer og forbedre tjenestene.
Ved bruk av dette behandlingsgrunnlaget skal det foretas en vurdering av om interessene veier tyngre enn forbrukerens rettigheter og friheter.
5.4 Samtykke – GDPR artikkel 6 nr. 1 bokstav a
For behandlinger der lovgivningen krever forhåndssamtykke, for eksempel bestemte typer ikke-nødvendige informasjonskapsler eller markedsføringsaktiviteter, skal gyldig samtykke innhentes før behandlingen starter.
Forbrukeren kan når som helst trekke tilbake samtykket. Tilbaketrekking påvirker ikke lovligheten av behandling som fant sted før samtykket ble trukket tilbake.
6. Deling av personopplysninger og behandling hos tredjeparter
Når det er nødvendig for å behandle bestillinger, levere tjenester eller oppfylle rettslige forpliktelser, og det finnes et gyldig rettslig grunnlag, kan personopplysninger deles med relevante mottakere.
Avhengig av hvilke tjenester som faktisk benyttes, kan mottakerne omfatte:
Leverandører av betalingstjenester
Leverandører av transport- og leveringstjenester
Leverandører av nettstedsdrift og teknisk vedlikehold
Leverandører av sikkerhets- og teknisk støttetjenester
Regnskapsførere, revisorer eller andre profesjonelle rådgivere
Offentlige myndigheter eller rettslige instanser som har lovlig rett til å be om opplysningene
Tredjeparter skal bare behandle personopplysninger innenfor rammene av sine oppgaver og gjeldende lovgivning.
Når en tredjepart behandler personopplysninger på vegne av nettstedet som databehandler, skal det inngås nødvendige databehandleravtaler i samsvar med GDPR artikkel 28, og det skal gjennomføres egnede sikkerhetstiltak.
Denne oversikten innebærer ikke at nettstedet nødvendigvis benytter alle de nevnte tjenestene. Hvilke mottakere som faktisk får tilgang til personopplysninger, avhenger av tjenestene som benyttes og den enkelte bestillingen.
Personopplysninger skal ikke utleveres til uvedkommende tredjeparter, med mindre dette er nødvendig for å levere en tjeneste forbrukeren har bedt om, eller følger av loven.
7. Overføring av personopplysninger utenfor EØS
Nettstedets oppgitte kontaktadresse ligger i USA. I forbindelse med den faktiske driften kan personopplysninger derfor bli behandlet eller overført til land utenfor Det europeiske økonomiske samarbeidsområdet (EØS).
Dersom personopplysninger overføres fra EØS til et tredjeland, skal overføringen vurderes og gjennomføres i samsvar med kapittel V i GDPR.
Avhengig av omstendighetene kan lovlige overføringsmekanismer omfatte:
En beslutning om tilstrekkelig beskyttelsesnivå fra Europakommisjonen
Europakommisjonens standard personvernbestemmelser (SCC)
Andre overføringsmekanismer som er tillatt etter gjeldende regelverk
Når det er nødvendig, skal risikoen ved overføringen vurderes, og egnede supplerende beskyttelsestiltak skal gjennomføres.
Denne erklæringen innebærer ikke at alle personopplysninger behandles i USA, eller at alle opplysninger lagres i Norge eller EØS. Den faktiske behandlings- og lagringsplasseringen avhenger av teknologien og tjenestene som benyttes.
8. Lagringstid for personopplysninger
Personopplysninger skal bare lagres så lenge det er nødvendig for formålet de ble samlet inn for, eller så lenge gjeldende lovgivning krever det.
Ulike kategorier av opplysninger kan ha forskjellige lagringsperioder:
Ordre- og transaksjonsopplysninger: Oppbevares så lenge det er nødvendig for å gjennomføre bestillinger, håndtere etterfølgende saker og oppfylle gjeldende regnskapsmessige og rettslige forpliktelser.
Kundeserviceopplysninger: Oppbevares så lenge det er nødvendig for å behandle henvendelser, klager og saker knyttet til kundeservice.
Konto- og kontaktopplysninger: Oppbevares så lenge det er nødvendig for å levere den aktuelle tjenesten eller behandle forbrukerens forespørsel.
Tekniske opplysninger: Oppbevares etter behov for sikkerhet, feilsøking og drift av nettstedet.
Opplysninger som behandles på grunnlag av samtykke: Oppbevares så lenge formålet med behandlingen består og samtykket er gyldig. Etter at samtykket er trukket tilbake, vurderes det om opplysningene fortsatt kan oppbevares på et annet gyldig rettslig grunnlag.
Når opplysningene ikke lenger er nødvendige, og det ikke finnes et annet lovlig grunnlag for videre oppbevaring, skal de slettes, anonymiseres eller håndteres på en annen egnet måte.
9. Sikkerhet for personopplysninger
Nettstedet skal, ut fra opplysningenes art, omfanget av behandlingen og den mulige risikoen, benytte egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, utlevering, tap, ødeleggelse eller annen urettmessig behandling.
Tiltakene kan blant annet omfatte:
Begrensning av tilgang til personopplysninger
Egnede tiltak for konto- og systemsikkerhet
Nødvendig sikkerhetsadministrasjon av opplysninger
Vedlikehold av nettstedets systemer
Kryptering eller andre beskyttelsestiltak der det er hensiktsmessig
Vurdering og håndtering av mulige sikkerhetshendelser
Overføring og lagring av opplysninger via internett kan ikke garanteres å være fullstendig risikofri. Nettstedet vil gjøre rimelige tiltak for å beskytte personopplysninger, men kan ikke garantere at alle systemer eller overføringsmetoder er helt uten sikkerhetsrisiko.
10. Forbrukerens rettigheter etter GDPR
I den utstrekning vilkårene i GDPR er oppfylt, har forbrukeren følgende rettigheter:
10.1 Rett til innsyn – artikkel 15
Forbrukeren har rett til å få vite om personopplysninger behandles, og kan be om innsyn i egne personopplysninger og informasjon om behandlingen.
10.2 Rett til retting – artikkel 16
Forbrukeren kan be om at uriktige personopplysninger blir rettet, eller at ufullstendige opplysninger blir supplert.
10.3 Rett til sletting – artikkel 17
Forbrukeren kan be om at personopplysninger slettes når vilkårene i GDPR er oppfylt.
Dersom lovgivningen krever at opplysningene oppbevares, eller det finnes et annet gyldig grunnlag for videre oppbevaring, kan retten til sletting være begrenset.
10.4 Rett til begrensning av behandling – artikkel 18
Forbrukeren kan be om at behandlingen av personopplysninger begrenses i de tilfellene som er fastsatt i GDPR.
10.5 Rett til dataportabilitet – artikkel 20
Når behandlingen bygger på samtykke eller avtale og utføres automatisk, kan forbrukeren ha rett til å motta egne personopplysninger i et strukturert, alminnelig brukt og maskinlesbart format. Der vilkårene er oppfylt, kan forbrukeren også be om at opplysningene overføres direkte til en annen behandlingsansvarlig.
10.6 Rett til å protestere – artikkel 21
Når personopplysninger behandles på grunnlag av berettiget interesse, kan forbrukeren protestere mot behandlingen på grunnlag av forhold knyttet til egen situasjon.
Ved direkte markedsføring har forbrukeren rett til når som helst å protestere mot at personopplysninger brukes til slike formål. Etter en gyldig protest skal behandlingen til direkte markedsføring opphøre.
10.7 Rett til å trekke tilbake samtykke
Dersom behandlingen bygger på samtykke, kan forbrukeren når som helst trekke samtykket tilbake.
Tilbaketrekking påvirker ikke lovligheten av behandlingen som fant sted før samtykket ble trukket tilbake.
10.8 Rettigheter knyttet til automatiserte avgjørelser – artikkel 22
Når GDPR artikkel 22 kommer til anvendelse, har forbrukeren rett til ikke å bli underlagt en avgjørelse som utelukkende er basert på automatisert behandling, og som har rettsvirkning eller på tilsvarende måte påvirker vedkommende i betydelig grad, med mindre et lovlig unntak gjelder.
11. Hvordan utøve rettighetene sine
Forbrukere som ønsker innsyn, retting, sletting eller begrensning av behandling, eller som ønsker å utøve andre rettigheter etter personvernregelverket, kan kontakte nettstedet på følgende måter:
E-post: customer@corlindrinivra.com
Telefon: +1 (803) 528-1943
For å beskytte personopplysningene kan det, når det er rimelig nødvendig, bes om tilstrekkelig informasjon for å bekrefte identiteten til personen som fremsetter forespørselen.
I henhold til GDPR skal forespørsler normalt besvares innen én måned etter mottak.
Dersom forespørselen er komplisert eller det mottas mange forespørsler, kan fristen forlenges med inntil ytterligere to måneder når vilkårene i regelverket er oppfylt. Forbrukeren skal i slike tilfeller informeres om forlengelsen og årsaken til den innen den første måneden.
Når lovgivningen tillater det, kan det kreves et rimelig gebyr eller gis avslag dersom en forespørsel er åpenbart grunnløs, overdreven eller gjentatt. Et slikt avslag skal begrunnes.
12. Brudd på personopplysningssikkerheten
Dersom det oppstår et brudd på personopplysningssikkerheten, skal hendelsen vurderes ut fra sin art, omfang og mulige risiko. Det skal iverksettes egnede tiltak for å begrense konsekvensene, undersøke årsaken og forebygge lignende hendelser.
Dersom bruddet sannsynligvis medfører risiko for fysiske personers rettigheter og friheter, skal det, når vilkårene er oppfylt, meldes til relevant tilsynsmyndighet i samsvar med GDPR artikkel 33. Meldingen skal som hovedregel sendes innen 72 timer etter at bruddet ble kjent. Dersom meldingen ikke kan sendes innen fristen, skal årsaken til forsinkelsen oppgis.
Dersom bruddet sannsynligvis medfører høy risiko for fysiske personers rettigheter og friheter, skal berørte personer også varsles i samsvar med GDPR artikkel 34 når bestemmelsen kommer til anvendelse.
13. Barns personopplysninger
Nettstedets produkter og tjenester er i hovedsak rettet mot voksne forbrukere.
Nettstedet har ikke til hensikt å samle inn unødvendige personopplysninger om barn eller bevisst be barn om å oppgi personopplysninger som ikke er relevante for kjøp eller levering av tjenester.
Dersom det oppdages at personopplysninger om barn er samlet inn uten nødvendig rettslig grunnlag eller tillatelse, skal situasjonen vurderes, og egnede tiltak skal iverksettes i samsvar med gjeldende lovgivning.
Behandling av personopplysninger om barn skal følge GDPR og relevante norske regler om barns personvern.
14. Behandlingsansvarlig og representant i EØS
Den fysiske eller juridiske personen som bestemmer formålet med og midlene for behandlingen av personopplysninger, er behandlingsansvarlig etter GDPR og har det tilhørende rettslige ansvaret.
Følgende kontaktopplysninger er oppgitt for nettstedet:
Nettstedets navn: Corlindrinivra
Nettsted: https://corlindrinivra.com
E-post: customer@corlindrinivra.com
Telefon: +1 (803) 528-1943
Kontaktadresse: 324 Briercliff Dr, Columbia SC 29203, United States
Den oppgitte adressen er en kontaktadresse og angir ikke hvor personopplysninger faktisk lagres.
Dersom den behandlingsansvarlige ikke er etablert i EØS, og behandlingen omfattes av GDPR artikkel 3 nr. 2, skal det som hovedregel utpekes en representant i en relevant EØS-stat i samsvar med GDPR artikkel 27, med mindre et av unntakene i bestemmelsen gjelder.
Dersom denne plikten gjelder, skal representanten utpekes skriftlig, og nødvendige kontaktopplysninger skal gjøres tilgjengelige i samsvar med regelverket.
15. Forholdet til andre retningslinjer
Disse retningslinjene bør leses sammen med nettstedets øvrige personvernrelaterte dokumenter:
Personvernerklæring: Beskriver nettstedets ordninger for personvern og behandling av personopplysninger.
Retningslinjer for informasjonskapsler: Beskriver formålet med, typene av og administreringen av informasjonskapsler på nettstedet.
Dersom flere dokumenter omtaler samme behandling av personopplysninger, skal de forstås i sammenheng med det aktuelle formålet, det rettslige grunnlaget og gjeldende lovgivning.
16. Endringer i retningslinjene
Disse retningslinjene kan bli oppdatert som følge av endringer i gjeldende lovgivning, nettstedets funksjoner, behandlingsaktiviteter eller tjenestetilbud.
Den oppdaterte versjonen vil bli publisert på nettstedet, og datoen for siste oppdatering vil fremgå av dokumentet.
Dersom det skjer vesentlige endringer som etter gjeldende lovgivning krever at forbrukerne varsles eller at nytt samtykke innhentes, vil nødvendige tiltak bli gjennomført.
17. Kontaktinformasjon
Dersom forbrukere har spørsmål om disse retningslinjene, behandlingen av personopplysninger eller rettigheter etter GDPR, kan de kontakte nettstedet gjennom følgende kanaler:
Nettstedets navn: Corlindrinivra
Nettsted: https://corlindrinivra.com
E-post: customer@corlindrinivra.com
Telefon: +1 (803) 528-1943
Kontaktadresse: 324 Briercliff Dr, Columbia SC 29203, United States
Kundeservice: Mandag til fredag kl. 09:00–12:00 og 14:00–18:00.