Retningslinjer for databeskyttelse

1. Formål og virkeområde

Disse retningslinjene for databeskyttelse beskriver hvordan vi arbeider for å beskytte personopplysninger gjennom egnede tekniske og organisatoriske sikkerhetstiltak, i samsvar med personvernforordningen (GDPR), den norske personopplysningsloven og øvrig gjeldende personvernlovgivning.

Retningslinjene gjelder for behandling av personopplysninger i forbindelse med nettstedet veldorzelvesta.com og tilhørende tjenester, herunder aktiviteter knyttet til visning, kjøp og levering av produkter som dobbeltsenger, sminkebord og nattbord, samt kundeservice og ordrebehandling.

Formålet er å redusere risikoen for uautorisert tilgang, utilsiktet utlevering, tap, endring, ødeleggelse eller annen urettmessig behandling av personopplysninger.

Disse retningslinjene fokuserer på sikkerhet og beskyttelse av personopplysninger. Informasjon om hvilke personopplysninger som samles inn, hvorfor de behandles, behandlingsgrunnlag, lagringstid og den registrertes rettigheter, finnes i vår separate Personvernerklæring. Informasjon om bruk av informasjonskapsler finnes i våre separate Retningslinjer for informasjonskapsler.

2. Grunnleggende prinsipper for databeskyttelse

Vi legger prinsippene i GDPR til grunn for arbeidet med å beskytte personopplysninger og ivareta informasjonssikkerheten.

Dette omfatter blant annet følgende prinsipper:

2.1 Konfidensialitet

Personopplysninger skal bare være tilgjengelige for personer eller tjenesteleverandører som har nødvendig autorisasjon og et saklig behov for tilgang. Vi arbeider for å forhindre uautorisert tilgang, bruk eller utlevering av opplysninger.

2.2 Integritet

Vi skal arbeide for å beskytte personopplysninger mot uautoriserte endringer, sletting, skade eller feilaktig behandling, slik at opplysningene så langt som mulig forblir korrekte og fullstendige.

2.3 Tilgjengelighet

Opplysninger skal, når det er nødvendig og berettiget, være tilgjengelige for autoriserte personer. Vi skal også vurdere hensiktsmessige tiltak for å kunne gjenopprette tilgang til opplysninger ved tekniske feil eller andre uforutsette hendelser.

2.4 Risikobasert beskyttelse

Sikkerhetstiltakene skal tilpasses behandlingens art, omfang, formål og risiko. Vi tar hensyn til hvilken betydning behandlingen kan ha for enkeltpersoners rettigheter og friheter, samt relevant teknologisk utvikling.

3. Ansvar for databeskyttelse

Ansvaret for beskyttelse av personopplysninger skal ivaretas av de relevante partene i samsvar med deres roller og plikter etter gjeldende lovgivning.

Avhengig av den konkrete behandlingsaktiviteten gjelder blant annet følgende:

Behandlingsansvarlig har ansvar for å fastsette formålene med og midlene for behandlingen av personopplysninger og for å oppfylle sine lovpålagte plikter.

Databehandlere skal behandle personopplysninger i samsvar med dokumenterte instrukser fra behandlingsansvarlig og gjennomføre egnede sikkerhetstiltak.

Personer og tjenesteleverandører som har tillatelse til å håndtere personopplysninger, skal følge relevante krav til konfidensialitet og informasjonssikkerhet.

Når en tredjepart behandler personopplysninger på vegne av behandlingsansvarlig, skal det, der GDPR krever det, inngås en databehandleravtale i samsvar med artikkel 28. Avtalen skal regulere blant annet behandlingens omfang, formål, instrukser, sikkerhetskrav og ansvar ved sikkerhetshendelser.

Veldorzelvesta er navnet på nettstedet og identifiserer ikke i seg selv en juridisk enhet. Opplysninger om behandlingsansvarliges juridiske identitet og kontaktinformasjon skal forstås ut fra de faktiske forholdene og gjeldende lovkrav.

4. Tekniske sikkerhetstiltak

Vi skal, ut fra behandlingens art og tilhørende risiko, benytte egnede tekniske tiltak for å beskytte personopplysninger. Hvilke tiltak som er aktuelle, avhenger av de faktiske systemene og tjenestene som benyttes.

4.1 Tilgangssikkerhet

Det skal benyttes hensiktsmessige tilgangsbegrensninger for systemer og informasjon som inneholder personopplysninger. Tilgang skal så langt som mulig begrenses til personer som har et relevant arbeidsmessig behov.

4.2 Sikkerhet ved dataoverføring

Der det er relevant, skal egnede sikkerhetstiltak benyttes for å redusere risikoen for at personopplysninger blir avlyttet, lest eller endret av uvedkommende under overføring.

4.3 Beskyttelse av lagrede opplysninger

Personopplysninger skal beskyttes gjennom hensiktsmessige tiltak som er tilpasset opplysningenes art, lagringsmåte og tilhørende risiko. Formålet er å redusere risikoen for uautorisert tilgang, tap, ødeleggelse eller misbruk.

4.4 Systemvedlikehold

Vi skal legge vekt på hensiktsmessig vedlikehold og sikkerhetsstyring av relevante systemer for å redusere risikoen for tekniske sårbarheter, systemfeil og uautorisert tilgang.

4.5 Gjenoppretting av data

Der det er relevant, skal det vurderes egnede tiltak for sikkerhetskopiering og gjenoppretting, slik at tilgjengeligheten til opplysninger og systemer kan gjenopprettes etter tekniske feil eller andre uforutsette hendelser.

4.6 Vurdering av sikkerhetstiltak

Sikkerhetstiltakene skal vurderes med jevne mellomrom og ved behov tilpasses endringer i teknologi, risiko og behandlingsaktiviteter.

5. Organisatoriske sikkerhetstiltak

I tillegg til tekniske tiltak skal vi benytte egnede organisatoriske rutiner for å ivareta sikkerheten til personopplysninger.

Dette kan blant annet omfatte:

Tydelig ansvarsfordeling for behandling og beskyttelse av personopplysninger.

Begrensning av tilgang i samsvar med arbeidsoppgaver og tjenstlig behov.

Krav om konfidensialitet for personer som håndterer personopplysninger.

Hensiktsmessige rutiner for å redusere risikoen for menneskelige feil og urettmessig behandling.

Relevant veiledning om personvern og informasjonssikkerhet ved behov.

Korrigerende tiltak dersom sikkerhetsproblemer eller avvik blir avdekket.

Gjennomføringen av slike tiltak skal tilpasses de faktiske arbeidsrutinene og kravene i gjeldende lovgivning.

6. Tilgangskontroll og konfidensialitet

Tilgang til personopplysninger skal administreres etter prinsippet om tjenstlig behov.

Tilgangsrettigheter skal tilpasses den enkelte personens arbeidsoppgaver. Det skal ikke gis tilgang til kundeopplysninger, ordreopplysninger eller andre personopplysninger dersom det ikke foreligger et relevant behov.

Der det er aktuelt, kan tilgangskontrollen omfatte:

Tildeling av tilgang etter arbeidsoppgaver og ansvarsområder.

Begrensning av tilgang til kunde- og ordreopplysninger.

Endring eller fjerning av tilgangsrettigheter når behovet opphører.

Hensiktsmessige rutiner for håndtering av personopplysninger.

Beskyttelse mot uautorisert deling, offentliggjøring eller videreformidling.

Alle som har tillatelse til å behandle personopplysninger, skal følge gjeldende krav til taushetsplikt, konfidensialitet og sikker håndtering.

7. Lagring og sikker håndtering av data

Personopplysninger skal lagres og håndteres i samsvar med gjeldende personvernregler og sikkerhetskrav.

Vi skal så langt som mulig unngå unødvendig kopiering, videreformidling, tilgang og oppbevaring av personopplysninger.

Når personopplysninger ikke lenger er nødvendige for et lovlig formål, og det ikke foreligger en lovpålagt oppbevaringsplikt eller annet gyldig grunnlag for videre lagring, skal opplysningene slettes, anonymiseres eller håndteres på annen hensiktsmessig måte i samsvar med gjeldende krav.

Den faktiske lagringsperioden, lagringsplassen og det tekniske lagringsmiljøet avhenger av systemene og tjenestene som benyttes. Disse retningslinjene gir ingen garanti om bestemte datasentre, serverplasseringer eller lagringsperioder som ikke er bekreftet.

8. Databehandlere og tredjepartssikkerhet

I forbindelse med drift av nettstedet og levering av tilhørende tjenester kan det være nødvendig å benytte eksterne tjenesteleverandører innenfor enkelte områder, for eksempel:

Betalingsbehandling.

Transport og levering.

Nettstedshosting og tekniske tjenester.

Kundeservice og kommunikasjon.

Systemvedlikehold, sikkerhetsadministrasjon eller annen nødvendig teknisk støtte.

Tredjeparter skal bare få tilgang til eller behandle personopplysninger når dette er nødvendig for det aktuelle formålet og tillatt etter gjeldende lovgivning.

Dersom en tredjepart opptrer som databehandler på vegne av behandlingsansvarlig, skal det, når det er påkrevd, inngås en databehandleravtale i samsvar med GDPR artikkel 28. Avtalen skal blant annet regulere instrukser, konfidensialitet, sikkerhetsforpliktelser og ansvar.

At en tredjepart leverer tjenester, innebærer ikke at tredjeparten fritt kan bruke kunders personopplysninger til egne formål.

Vi selger ikke kunders personopplysninger som en handelsvare.

Disse retningslinjene navngir ikke tjenesteleverandører som ikke er bekreftet, og gir heller ingen udokumenterte opplysninger om tredjeparts sikkerhetssertifiseringer, tekniske løsninger eller lagringsordninger.

9. Internasjonal dataoverføring

Dersom personopplysninger overføres til land utenfor Det europeiske økonomiske samarbeidsområdet (EØS), skal overføringen skje i samsvar med kravene i GDPR kapittel V.

Avhengig av de faktiske forholdene og gjeldende lovgivning kan lovlige overføringsgrunnlag blant annet omfatte:

En beslutning om tilstrekkelig beskyttelsesnivå fra EU-kommisjonen for det aktuelle landet eller området.

Egnede standard kontraktsbestemmelser (SCC).

Andre lovlige overføringsmekanismer når vilkårene for disse er oppfylt.

Når det er nødvendig, skal risikoen ved overføringen vurderes, og det skal vurderes om ytterligere beskyttelsestiltak er påkrevd.

Nettstedets kontaktadresse er i USA. Dette innebærer ikke i seg selv at personopplysninger faktisk lagres i USA, eller at alle personopplysninger overføres dit. Den faktiske plasseringen og overføringen av data avhenger av de tekniske løsningene og tjenestene som benyttes.

10. Håndtering av sikkerhetsbrudd

Dersom det oppstår eller mistenkes et brudd på personopplysningssikkerheten, skal hendelsen vurderes og håndteres med egnede tiltak for å begrense risikoen og beskytte berørte personopplysninger.

Sikkerhetshendelser kan blant annet omfatte:

Uautorisert tilgang til personopplysninger.

Utilsiktet tap, lekkasje eller utlevering av personopplysninger.

Uautorisert endring eller ødeleggelse av personopplysninger.

Systemfeil som gjør personopplysninger utilgjengelige.

Andre hendelser som kan påvirke personopplysningenes konfidensialitet, integritet eller tilgjengelighet.

10.1 Vurdering av hendelsen

Når en sikkerhetshendelse oppdages, skal hendelsens art, hvilke opplysninger som er berørt, hvilke personer som kan være påvirket, og hvilken risiko hendelsen kan medføre for deres rettigheter og friheter, vurderes.

10.2 Begrensning av risiko

Det skal, ut fra hendelsens art, iverksettes egnede tiltak for å begrense konsekvensene, forhindre ytterligere skade og, der det er praktisk mulig, gjenopprette berørte opplysninger eller systemer.

10.3 Varsling av tilsynsmyndighet

I samsvar med GDPR artikkel 33 skal brudd på personopplysningssikkerheten meldes til kompetent tilsynsmyndighet når bruddet sannsynligvis medfører en risiko for fysiske personers rettigheter og friheter.

Når varslingsplikten gjelder, skal melding så langt det er mulig sendes innen 72 timer etter at bruddet ble kjent. Dersom meldingen ikke kan sendes innen fristen, skal årsaken til forsinkelsen oppgis i samsvar med lovkravene.

Dersom det er usannsynlig at bruddet medfører risiko for de registrertes rettigheter og friheter, kan unntaket fra varslingsplikten komme til anvendelse.

10.4 Varsling av berørte personer

I samsvar med GDPR artikkel 34 skal berørte personer varsles uten ugrunnet opphold dersom bruddet sannsynligvis medfører høy risiko for deres rettigheter og friheter, med mindre et lovbestemt unntak gjelder.

Et slikt varsel kan inneholde informasjon om hendelsens art, mulige konsekvenser, tiltak som er gjennomført eller planlagt, og hvilke forholdsregler de berørte personene selv kan ta.

11. Risikovurdering og sikkerhetskontroll

Beskyttelsen av personopplysninger skal vurderes ut fra de faktiske behandlingsaktivitetene og eventuelle endringer i risikobildet.

Ved innføring av nye behandlingsaktiviteter, systemer, teknologier eller tjenesteløsninger skal det, der det er relevant, vurderes hvilke risikoer disse kan medføre for personopplysningssikkerheten.

En risikovurdering kan blant annet omfatte:

Hvilke kategorier personopplysninger som behandles, og hvor sensitive de er.

Omfanget og formålet med behandlingen.

Risikoen for uautorisert tilgang eller utlevering.

Risikoen for tap, feilaktig endring eller avbrudd i systemtilgang.

Risiko knyttet til tredjepartsleverandører og tilhørende databehandling.

Mulige konsekvenser for enkeltpersoners rettigheter og friheter.

Dersom vurderingen viser at eksisterende sikkerhetstiltak ikke er tilstrekkelige, skal det vurderes hvilke forbedringer som er nødvendige ut fra den aktuelle risikoen.

Dersom en behandlingsaktivitet sannsynligvis medfører høy risiko for enkeltpersoners rettigheter og friheter, skal det, når vilkårene er oppfylt, gjennomføres en vurdering av personvernkonsekvenser i samsvar med GDPR artikkel 35.

Sikkerhetstiltakenes egnethet skal vurderes og justeres ved behov.

12. Kontaktinformasjon

Dersom du har spørsmål om disse retningslinjene, sikkerheten ved behandling av personopplysninger eller andre forhold knyttet til databeskyttelse, kan du kontakte oss gjennom følgende kanaler:

Nettsted: veldorzelvesta.com

E-post: care@veldorzelvesta.com

Telefon: +1 (409) 746-2938

Postadresse: 9310 Josey St, Beaumont TX 77707, United States

Kundeservice: Mandag til fredag kl. 09.00–12.00 og 14.00–18.00.

For ytterligere informasjon om behandling av personopplysninger og personvern, se vår separate Personvernerklæring og våre Retningslinjer for informasjonskapsler.

13. Gjeldende lovgivning og oppdateringer

Disse retningslinjene er utarbeidet i samsvar med gjeldende personvernlovgivning, herunder personvernforordningen (GDPR) og den norske personopplysningsloven.

Vi kan oppdatere retningslinjene som følge av endringer i lovgivningen, endringer i nettstedets tjenester eller nye krav til informasjonssikkerhet og databeskyttelse.

Oppdaterte versjoner vil bli publisert på nettstedet med angivelse av relevant oppdateringsdato.

Endringer i disse retningslinjene skal ikke begrense rettigheter som følger av gjeldende personvernlovgivning.