Selskap: RapidFoundry Ltd
Registrert adresse: Isiodou 13 Flat 401, 3031 Limassol, Cyprus
Denne siden forklarer hvordan RapidFoundry Ltd («RapidFoundry», «selskapet», «vi», «oss» eller «vår») overholder personvernforordningen (EU) 2016/679 («GDPR») i all programvare, alle plattformer, apper, nettsteder og tjenester som vi driver eller leverer (samlet kalt «tjenestene»). Den kommer i tillegg til personvernerklæringen og vilkårene for bruk og bør leses sammen med dem. Hvis det skulle oppstå motstrid om behandling av personopplysninger, har personvernerklæringen vår og en eventuell gjeldende databehandleravtale forrang.
Vår forpliktelse til GDPR
RapidFoundry er forpliktet til å beskytte personopplysninger og behandle dem lovlig, rettferdig og åpent. Vi følger kjerneprinsippene i GDPR i alle tjenestene våre: lovlighet, rettferdighet og åpenhet; formålsbegrensning; dataminimering; riktighet; lagringsbegrensning; integritet og konfidensialitet; og ansvarlighet. Vi utformer tjenestene våre slik at disse prinsippene overholdes, uansett hvilket produkt du bruker.
Virkeområde
Denne GDPR-erklæringen gjelder alle personopplysninger vi behandler om besøkende, registrerte brukere, kunder og potensielle kunder av tjenestene våre, i tillegg til personopplysninger som bedriftskunder behandler gjennom tjenestene våre. Den gjelder overalt der GDPR kommer til anvendelse, blant annet når vi tilbyr tjenester til personer i EU/EØS eller overvåker atferden deres i EØS.
Roller som behandlingsansvarlig og databehandler
Der vi er behandlingsansvarlig
For personopplysninger vi samler inn for å drive virksomheten vår og levere tjenestene direkte til deg, som konto-, fakturerings-, bruks- og støttedata, er RapidFoundry behandlingsansvarlig og bestemmer formålene med og midlene for behandlingen. Denne behandlingen er beskrevet i personvernerklæringen vår.
Der vi er databehandler
Når du bruker tjenestene våre som bedriftskunde og laster opp eller behandler personopplysninger om dine egne sluttbrukere, er du behandlingsansvarlig, og RapidFoundry er databehandleren din. I den rollen behandler vi slike personopplysninger bare etter dokumenterte instrukser fra deg og i samsvar med en databehandleravtale (se Databehandleravtale (DPA)).
Rettslig grunnlag for behandling
Vi behandler personopplysninger bare når vi har et lovlig grunnlag etter artikkel 6 i GDPR:
- Oppfyllelse av en avtale: for å levere tjenestene, administrere kontoen din og behandle betalinger.
- Berettiget interesse: for å sikre, vedlikeholde og forbedre tjenestene våre, forhindre svindel og misbruk og kommunisere med eksisterende kunder, avveid mot rettighetene og frihetene dine.
- Samtykke: for ikke-nødvendige informasjonskapsler og enkelte former for markedsføring, og du kan når som helst trekke samtykket tilbake;
- Rettslig forpliktelse: for å oppfylle skatte-, regnskaps- og andre regulatoriske krav.
Når vi behandler særlige kategorier av personopplysninger (artikkel 9), gjør vi det bare med ditt uttrykkelige samtykke eller når et annet lovlig vilkår er oppfylt.
Rettighetene dine som registrert
Innenfor vilkårene og unntakene i GDPR har du rett til å:
- Bli informert om hvordan personopplysningene dine behandles (artikkel 13 og 14).
- Innsyn i personopplysningene dine og en kopi av dem (artikkel 15).
- Retting av uriktige eller ufullstendige opplysninger (artikkel 16).
- Sletting («retten til å bli glemt») under visse omstendigheter (artikkel 17).
- Begrensning av behandlingen under visse omstendigheter (artikkel 18).
- Dataportabilitet: å motta dataene dine i et strukturert, alminnelig brukt og maskinlesbart format (artikkel 20).
- Protestere mot behandling basert på berettiget interesse og mot direkte markedsføring (artikkel 21).
- Trekke tilbake samtykke når som helst, uten at det påvirker lovligheten av tidligere behandling (artikkel 7).
- Ikke være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, og som har rettsvirkning for deg eller på tilsvarende måte påvirker deg i betydelig grad (artikkel 22).
- Send inn en klage til en tilsynsmyndighet (artikkel 77, se Tilsynsmyndighet).
Slik utøver du rettighetene dine
Du kan utøve rettighetene dine ved å kontakte oss via kontaktskjemaet. Vi kan trenge å bekrefte identiteten din før vi behandler en forespørsel. Vi svarer innen én (1) måned etter at vi har mottatt den, slik artikkel 12(3) krever. Fristen kan forlenges med opptil to måneder til for kompliserte forespørsler eller når vi mottar mange, og da informerer vi deg om forlengelsen og årsakene til den. Forespørsler behandles gratis, med mindre de er åpenbart ugrunnede eller uforholdsmessige.
Hvis du bruker tjenestene våre som sluttbruker hos en bedriftskunde (altså når kunden er behandlingsansvarlig), må du rette forespørselen din til den kunden. Som kundens databehandler hjelper vi kunden med å svare.
Databehandleravtale (DPA)
For bedriftskunder som bruker tjenestene våre til å behandle personopplysninger om sine egne sluttbrukere, tilbyr vi en databehandleravtale som oppfyller kravene i artikkel 28 i GDPR. Avtalen regulerer behandlingens gjenstand, varighet, art og formål, typene personopplysninger og kategoriene registrerte, samt pliktene våre som databehandler, blant annet taushetsplikt, sikkerhet, bruk av underdatabehandlere, bistand og sletting eller tilbakelevering av data. Bedrifts- og enterprise-kunder kan be om databehandleravtalen vår via kontaktskjemaet.
Underdatabehandlere
Vi bruker nøye utvalgte tredjepartsleverandører («underdatabehandlere») som hjelper oss med å levere tjenestene, for eksempel skyhosting og infrastruktur, betalingsbehandling, e-postlevering og feilovervåking. Hver underdatabehandler er bundet av en skriftlig avtale som krever at den sørger for et tilstrekkelig nivå av personvern og bare behandler personopplysninger i den grad det er nødvendig for å utføre tjenestene sine. Når vi opptrer som databehandler for en bedriftskunde, informerer vi de berørte kundene om planlagte endringer i hvilke underdatabehandlere vi bruker, slik at de kan protestere hvis de har et berettiget grunnlag for det. En oppdatert liste over underdatabehandlere er tilgjengelig for bedriftskunder på forespørsel.
Overføring av data til utlandet
Vi lagrer og behandler hovedsakelig personopplysninger innenfor EU/EØS. Når personopplysninger overføres til et land utenfor EØS som ikke har fått en beslutning om tilstrekkelig beskyttelsesnivå fra EU-kommisjonen, innfører vi egnede garantier i tråd med kapittel V i GDPR, oftest EU-kommisjonens standardkontraktsklausuler, supplert med ekstra tekniske og organisatoriske tiltak der det er nødvendig, slik at dataene dine fortsatt er beskyttet.
Innebygd personvern og personvern som standard
I tråd med artikkel 25 tar vi hensyn til personvern når vi utformer og driver tjenestene våre. Vi bruker dataminimering, begrenser tilgang til dem som har tjenstlig behov, og setter standardinnstillingene slik at de beskytter personvernet. Vi gjennomgår behandlingsaktivitetene våre jevnlig, og når en type behandling sannsynligvis medfører høy risiko for enkeltpersoner, gjennomfører vi en vurdering av personvernkonsekvenser (artikkel 35).
Datasikkerhet
Vi gjennomfører egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som står i forhold til risikoen, slik artikkel 32 krever. Det omfatter kryptering av data under overføring, tilgangskontroll og autentisering, separasjon av miljøer, logging og overvåking og jevnlig gjennomgang av sikkerhetsrutinene våre. Ingen systemer kan garanteres å være helt sikre, men vi jobber kontinuerlig for å beskytte personopplysninger mot utilsiktet eller ulovlig ødeleggelse, tap, endring og uautorisert utlevering eller tilgang.
Varsling om brudd på personopplysningssikkerheten
Vi har rutiner for å oppdage, undersøke og håndtere brudd på personopplysningssikkerheten. Hvis et brudd sannsynligvis medfører en risiko for enkeltpersoners rettigheter og friheter, varsler vi den kompetente tilsynsmyndigheten uten ugrunnet opphold og om mulig innen 72 timer etter at vi ble kjent med bruddet, i samsvar med artikkel 33. Hvis bruddet sannsynligvis medfører en høy risiko for enkeltpersoner, informerer vi også de berørte registrerte uten ugrunnet opphold (artikkel 34). Når vi opptrer som databehandler, varsler vi den aktuelle behandlingsansvarlige uten ugrunnet opphold etter at vi ble kjent med bruddet.
Lagringstid
Vi lagrer personopplysninger bare så lenge det er nødvendig for å oppfylle formålene de ble samlet inn for, blant annet for å levere tjenestene, oppfylle rettslige forpliktelser (som skatte- og regnskapskrav), løse tvister og håndheve avtalene våre. Når personopplysninger ikke lenger er nødvendige, sletter eller anonymiserer vi dem. Du finner mer informasjon i personvernerklæringen vår.
Behandlingsprotokoll
I samsvar med artikkel 30 fører vi protokoller over behandlingsaktivitetene våre. De beskriver formålene med behandlingen, kategoriene av data og registrerte, mottakere, overføringer til utlandet, lagringsperioder og sikkerhetstiltakene som er på plass.
Kontakt for personvern
Spørsmål om hvordan vi overholder GDPR, forespørsler om å utøve rettighetene dine eller forespørsler om databehandleravtalen vår kan sendes via kontaktskjemaet. Oppgi hva henvendelsen gjelder, slik at vi kan sende den til rett sted. Hvis saken haster og gjelder et mistenkt brudd på personopplysningssikkerheten, bør du skrive det i emnefeltet.
Tilsynsmyndighet
RapidFoundry Ltd er etablert på Kypros, og den ledende tilsynsmyndigheten vår er Office of the Commissioner for Personal Data Protection (Kypros), www.dataprotection.gov.cy. Hvis du befinner deg i et annet EU/EØS-land, har du også rett til å klage til din lokale tilsynsmyndighet. Vi setter pris på om vi først får mulighet til å ta tak i bekymringene dine direkte.
Endringer i denne GDPR-erklæringen
Vi kan oppdatere denne GDPR-erklæringen fra tid til annen for å gjenspeile endringer i rutinene våre eller i rettslige krav. Vi publiserer den oppdaterte versjonen på nettstedet vårt og oppdaterer datoen for «Sist oppdatert». Vesentlige endringer varsler vi om når det er praktisk mulig, og når du fortsetter å bruke tjenestene etter at endringene har trådt i kraft, anses det som at du har akseptert den oppdaterte erklæringen.