Integritetspolicy
Marknadsföring och delande av kunskap
Det övergripande ändamålet med den här processen är att marknadsföra Passacons olika erbjudanden. Vi gör detta på två sätt: genom att tillhandahålla intressanta seminarium/webbinarum om ämnen vi kan (se alla steg nedan) och genom att skicka ut Dagen-utskick (se steg 1-2 nedan). Den lagliga grunden för behandlingen är berättigat intresse (vi vet att både befintliga kunder och andra uppskattar aktiviteterna). Om ytterligare ändamål/laglig grund tillkommer beskrivs det i respektive steg. Passacon och våra konsulter tycker det är viktigt att delta i samtal om frågor som förbättrar verksamhet. Vi deltar gärna som talare i olika event anordnade av oss själva eller andra och interagerar på LinkedIn. När vi gör detta handlar det ofta om att sprida kunskap och delta i samtal om hur verksamhet kan förbättras. När vi gör det har vi journalistiska ändamål.
1. Plan.
Vi har en plan för marknadsaktiviteter som vi fortlöpande uppdaterar. Utifrån planen tar vi fram en inbjudan till ett seminarium/annan aktivitet eller ett Dagen-kort (vi uppmärksammar intressanta dagar några gånger per år). De enda externa personuppgifter vi kan behandla i detta steg rör kontakter med olika leverantörer t.ex. för lokalbokning (namn och e-postadresser).
2. Utskick.
I det här steget gör vi utskick utifrån den tänkta målgruppen. Inbjudningar respektive Dagen-utskick skickas till befintliga kunder men också andra som vi tror kan vara intresserade (Vi har inget register för detta utan varje partner bestämmer själv vilka man vill skicka till. Ibland använder vi deltagarlistor från tidigare events för att hitta intresserade.). Rör det sig om ett seminarium/webbinarium lägger vi ofta också ut inbjudan på vår hemsida och på vår LinkedIn-sida (eftersom det finns ett inslag av lärande för de som deltar ser vi detta även som en del av ett samtal vi för på det mediet som vi normalt använder för journalistiska ändamål). De personuppgifter vi behandlar är mejladresser och namn på mottagare. I inbjudningar finns också namn på talarna angivna. När vi gör inlägg tillkommer personuppgifter kopplade till de som väljer att interagera (tänk på att LinkedIn kan ha egna ändamål). Vid våra seminarier serverar vi ofta en enklare förtäring. För att kunna hantera kostpreferenser ber vi de som anmäler sig ange om sådana föreligger.
3.Anmälan.
I det här steget får vi in anmälningar (de skickas till vår gemensamma e-postlåda info@passacon.se som vi lägger in i en anmälningslista (namn och e-postadress till deltagaren). Har någon anmält allergi noterar vi det i listan. Vi skickar en bekräftelse när vi fått anmälan och en ytterligare sådan när seminariet/webbinariet närmar sig via mejl (för webbinarium skickar vi ut en länk dagen innan). Vid seminarium beställer vi också förtäring (vi delar inga personuppgifter till leverantören) utifrån anmälningslistan. Vi förbereder ibland också namnbrickor med hjälp av den.
4. Genomförande.
I det här steget genomförs seminariet. Vi behandlar inga ytterligare personuppgifter i detta steg vid seminarium. Vid webbinarium kommer deltagares personuppgifter behandlas när de interagerar på olika sätt (personuppgifter som namn, bild, text i chattar. Ibland genomför vi enkätundersökningar där Passacon enbart kan aggregerade svar (vi kan inte se vem som svarat vad). Vi spelar aldrig in webbinarium. I samband med att länkar skickas ut till webbinarium kan vi ge kompletterande GDPR-information.
5. Efterarbete.
I detta steg genomför vi efterarbete. Ibland skickar vi ut presentationen till deltagare (självklart skickas inget till den som inte vill ha det). Eftersom vi vet att många uppskattar seminarier/webbinarier behåller vi deltagarlistor för att kunna skicka inbjudan till andra liknande seminarium/webbinarium. Ibland följer vi också upp vad deltagare tyckt och kan då använda listorna för att kunna kontakta dem. Vi genomför en årlig gallring av anmälningslistor för att inte spara personuppgifter för länge. Om någon invänder mot att vi sparar hens personuppgifter i deltagarlistan raderar vi dem dock direkt.
Försäljning
Nedan beskriver vi hur vi behandlar personuppgifter i processen när vi åtar oss nya uppdrag.
Laglig grund för den här processen är avtal och berättigat intresse. Vi förhandlar respektive ingår avtal med företag, myndigheter eller ideella föreningar, inte privatpersoner. Beträffande myndigheter och kommuner tillkommer lagen om offentlig upphandling (det innebär att båda parterna har rättsliga förpliktelser att följa) Vi grundar vår behandling av personuppgifter på berättigat intresse (vi utgår ifrån att förhandlingar och avtalsskrivande ingår är en viktigt för våra kunder, vilket innebär att det i grunden också finns stöd i de anställningsavtal de har med sina anställda).
1. Kontakt (ej vid offentlig upphandling).
I det här steget initieras en kontakt via t.ex. mejl eller telefon (antingen från eller till oss). De personuppgifter som behandlas är olika typer av kontaktuppgifter (t.ex. namn, mejladresser, telefonnr etc.). I enstaka fall kan också beskrivningen av hjälpbehovet innehålla andra personuppgifter. Om kontakten utmynnar i ett intresse att få en offert går vi vidare till nästa steg Ändamålet med behandlingar i detta steg är att på effektivt och kundvänligt sätt hantera förfrågningar från organisationer som kan vilja anlita oss.
2. Offert.
I det här steget skickar vi en offert antingen som en fortsättning på steg 1 eller för att vi bestämt oss svara i en offentlig upphandling. Även här behandlas personuppgifter som namn på kontaktperson och mejladresser. Vi sparar ner offerten och andra viktiga handlingar. Ändamålet med behandlingen är att skicka en offert så den presumtive klienten ska kunna ta slutlig ställning till om denne vill anlita oss.
3. Svar.
I det här steget tar vi emot ett svar på vår offert (samma sorts personuppgifter som i föregående steg behandlas). Om offerten accepteras går vi vidare till steg 4 och tar fram ett avtal. Ändamålet med behandlingen är att hantera offerten men också spara uppgifter för att vi senare ska kunna visa partsavsikten (jämför avtalslagen).
4. Avtal.
I det här steget ingås ett formellt avtal. Här behandlas personuppgifter som namn, kontaktperson och mejladresser. Avtalet och konversation kring avtalstexter lagras. Ändamålet med behandlingen är att hantera avtalet men också spara uppgifter för att vi senare ska kunna visa partsavsikten (jämför avtalslagen).
5. Lagring/Gallring.
Många affärskontakter pågår under längre tid och vi har många kunder som återkommer. Detta har påverkat hur vi ser på lagring och gallring eftersom vi vet att det förenklar för både kunden och oss att ha kvar dokumentation. När vi sparar uppgifter i den här processen är den lagliga grunden berättigat intresse.
Om en offert inte accepteras sparar vi personuppgifter under ett visst tag för det fall kundkontakten återupptas. Vi genomför gallring årligen av mejl och andra handlingar kopplade till ej accepterade offerter (i det läget prövas om det kan finnas skäl att lagra handlingar längre t.ex. för att en ny förfrågan inkommit). Om en offert accepteras behöver vi bevara mejl och andra handlingar för sedvanlig dokumentation om parternas avsikt. Vidare behöver vi behålla uppgifter för att klara av leveranser. Vi gallrar handlingar när vi bedömer att vi inte längre har några behov att behålla dem för att säkra dessa ändamål.
Leverans
Laglig grund för den här processen är avtal/berättigat intresse (jämför processen försäljning). Vi ingår kundavtal med företag, myndigheter eller ideella föreningar, inte privatpersoner. Beträffande myndigheter och kommuner tillkommer lagen om offentlig upphandling (det innebär att båda parterna har rättsliga förpliktelser att följa)
1. Initiering
I det här steget gör vi förarbete och stämmer av förväntningar m.m. med vår kund. Här kan främst namn och mejladresser behandlas. Ibland kan vi också skicka underlag för påseende vilket kan innehålla personuppgifter vilket då framgår av avtalet. Vi lagrar en del dokument som kan innehålla personuppgifter för att vi ska ha dokumentation vad vi kommit överens om och kunna följa upp kundleveranserna senare vid behov.
2. Genomförande
Genomförandet av uppdraget styrs av vad som avtalats vilket också påverkar vårt ansvar för behandling av personuppgifter (vi kan vara gemensamt personuppgiftsansvariga eller personuppgiftsbiträde). Vanliga personuppgifter som behandlas är namn och kontaktuppgifter. Ibland använder vi kundens IT-system i arbetet, ibland våra egna.
3. Lagring/Gallring
Vi lagrar mejl och handlingar rörande leveranser så länge vi har ett pågående kundförhållande samt den tid som i övrigt behövs för att kunna visa vad som levererats och partsavsikt vid leveranser. I kundavtalen kan också finnas specialklausuler som påverkar hur länge vi ska lagra och när vi ska gallra, vilket vi då förstås följer. Laglig grund för behandlingen är avtal. När vi inte längre har ett ändamål att lagra (se föregående stycke) gallras uppgifterna. Vi gör en årlig genomgång då vi bedömer vad vi kan gallra och vad som fortfarande behövs i enlighet med de ändamål som beskrevs ovan. Många gånger sparar vi kontaktinformation till våra kunder efter att uppdrag slutförs eftersom vi vet att de uppskattar att vi tar kontakt t.ex. för att bjuda in till ett kostnadsfritt seminarium. Lagliga grunden för detta ändamål är berättigat intresse.
Hantering av bokföring och skatter
Vi behandlar personuppgifter för att fullgöra vår skyldighet att bokföra och betala skatter och följer då bestämmelser i skattelagstiftning, bokföringslagen och årsredovisningslagen (lagliga grunden för detta är rättslig förpliktelse).
GDPR Excellence
Personuppgiftsansvar och dina rättigheter
Passacon AB (Passacon) och Harvest Advokatbyrå AB (Harvest) har tillsammans tagit fram programmet GDPR Excellence, ett program för seniora dataskyddsexperter. Företagen har även gemensamt tagit fram den här processbeskrivningen, vilket innebär att den kan ses som ett inbördes arrangemang. Den som har frågor eller vill utöva sina rättigheter kan vända sig till båda företagen. Kontaktuppgifter finns i integritetspolicyerna som är publicerade på hemsidorna www.passacon.se och www.harvestadvokat.se. Man kan även använda vår gemensamma adress gdprexcellence@harvestadvokat.se. Information om dina rättigheter finns här och i våra integritetspolicier. Du kan använda dig av rättigheterna eller lämna klagomål till Integritetsskyddsmyndigheten.
Hur personuppgifter behandlas
Inom ramen för programmet behandlas personuppgifter på det sätt som beskrivs nedan.
Det övergripande ändamålet med den här processen är att planera och genomföra programmet inklusive marknadsföring. De lagliga grunderna är berättigat intresse (steg 1 och 2: i intresseavvägningen har vi vägt in att det rör sig om riktad marknadsföring) och avtal (de som anmäler sig till programmet ingår ett avtal med oss (steg 4-5).
1. Erbjudande
Vi tar gemensamt fram informationsutskick och erbjudanden kopplade till programmet. För detta behandlas i första hand namn och kontaktuppgifter på ansvariga hos Passacon och Harvest.
2.Utskick
I det här steget gör vi utskickutifrån den tänkta målgruppen: personer som har stor erfarenhet av att arbeta med dataskyddsfrågor juridiskt och/eller praktiskt. Inbjudningar skickas till befintliga kunder men också andra som vi tror kan vara intresserade (personuppgifter hämtas från våra nätverk och från personer som visat intresse för frågorna på sociala medier samt från de som tidigare visat intresse för programmet eller våra webbinarier). Rör det sig om ett kostnadsfria webbinarium eller andra erbjudanden som riktas brett lägger vi ofta också ut inbjudan på hemsidorna och på LinkedIn-sidorna. De personuppgifter vi behandlar är mejladresser och namn på mottagare. I inbjudningar finns också namn på talare angivna.
När vi använder LinkedIn kan även det bolaget spara personuppgifter. Det är viktigt att göra egna inställningar hos LinkedIn för att förhindra att det bolaget använder datakakor på ett sätt man inte vill godta (tips om säkrare surfning finns här Så surfar du mer anonymt | IMY). Både Passacon och Harvest använder LinkedIn primärt för journalistiska ändamål, det vill säga vi vill informera och väcka debatt i viktiga frågor rörande GDPR. Detta är även ett huvudsyfte bakom vår satsning att skapa programmet.
3. Anmälan
I det här steget får vi in anmälningar till webbinarier eller programmet (de skickas till vår gemensamma e-postadress gdprexcellence@harvestadvokat.se. Harvest gör en förteckning över deltagarna (namn och e-postadress).
Vi skickar en bekräftelse när vi fått anmälan via mejl. Vi beställer också förtäring (vi delar inga personuppgifter till leverantören) utifrån anmälningslistan.
I detta steg fakturerar Passacon deltagarna och sparar underlag för bokföringsändamål (laglig grund för detta är rättslig förpliktelse; bokföringslagen). I den ekonomiska avstämningen mellan bolagen kan namn på deltagare behöva delas för att intäkterna ska kunna beskrivas korrekt.
4. Genomförande
I det här steget genomförs event inom programmet. Inför detta skickar vi ut agendor (namn på talare anges och vi behandlar deltagarnas e-postadresser). Vi förbereder vissa inslag genom att stämma av med talare vilket också kan leda till personuppgiftsbehandling (kontaktuppgifter, e-postadresser och tankar om ämnen). Vi behandlar inga ytterligare personuppgifter i detta steg.
När vi genomför kostnadsfria webbinarier sker detta genom Teams och ibland Forms, som är amerikanska program tillhandahållna av Microsoft 365 (vår användning stöds av standardavtalsklausuler). Vi har vidtagit följande säkerhetsåtgärder: vi spelar inte in webbinarier och vi hanterar aldrig integritetskänsliga personuppgifter under dessa. Vid användning av enkäter gör vi inställningar så vi inte själva kan se vem som svarat. Vi har även beaktat de rekommendationer som finns i denna konsekvensbedömning.
5. Efterarbete
I detta steggenomför viefterarbete som att skicka ut presentationen till deltagare som vill ha den. E-postadresser kan då komma att behandlas.
Våra partners personuppgifter
I alla processer som beskrivs i vår policy behandlas våra partners personuppgifter (t.ex. namn, kontaktuppgifter, mejladresser, telefonnr, titel och befattning) när de utför arbetsuppgifter t.ex. när de svarar på en fråga eller kontaktar någon. Olika ändamål med dessa behandlingar beskrivs i varje process och gäller också för partnerns personuppgifter. Den lagliga grunden för behandling av partners uppgifter är avtal (partneravtalet).
Vår mejl och dokumenthanteringspolicy
I de olika processerna i policyn beskrivs hur vi hanterar mejl och olika dokument. För att göra bilden helt komplett redovisar vi också principer vi antagit för personuppgifter som finns i vår mejl- och dokumenthantering:
Vi ha en tydlig dokumenthanteringsstruktur som innebär att flera versioner av samma dokument undviks (dokument ska sparas på ett sätt i en mapp).
Om mejl behöver sparas ska de sparas ner i rätt mapp enligt punkt 1. Vi följer principerna i processbeskrivningen när vi sparar/gallrar mejl.
När ett dokument/nedsparat mejl inte längre behövs för det ändamål det sparats för ska det gallras.
Om det finns behov att spara visst dokument som mall ska dokumentet rensas på alla personuppgifter innan mallen sparas.
Förhållande till det aktuella tredje landet enligt artikel 45 i dataskyddsförordningen. I sådana fall behandlar vi personuppgifter på det sätt som beskrivs i processerna ovan.
Om så inte har skett är vi ytterst restriktiva i vår hantering av personuppgifter och använder oss t.ex. inte av elektronisk överföring av personuppgifter till tredje land om inte överföringen har säkrats på korrekt sätt.
Kontakter med tredje land
Enligt dataskyddsförordningen krävs särskilda åtgärder vid överföringar till tredje land (land som ligger utanför EU). När vi har kunder som befinner sig i tredje land och vi behöver överföra uppgifter dit gör vi följande
Vi undersöker om EU-kommissionen har bedömt att det föreligger en adekvat skyddsnivå i förhållande till det aktuella tredje landet enligt artikel 45 i dataskyddsförordningen. I sådana fall behandlar vi personuppgifter på det sätt som beskrivs i processerna ovan.
Om så inte har skett är vi ytterst restriktiva i vår hantering av personuppgifter och använder oss t.ex. inte av elektronisk överföring av personuppgifter till tredje land om inte överföringen har säkrats på korrekt sätt.
Hemsida och sociala medier
När du besöker vår hemsida eller vår LinkedIn-sida kommer du att dela med dig av din IP-adress om du inte gjort inställningar i din utrustning som förhindrar detta. I det här fallet uppstår ett gemensamt personuppgiftsansvar för oss och andra aktörer som kan använda personuppgifterna. Vardera part är ansvarig för sin hantering. VI vill här berätta om vad vi gör med personuppgifterna.
Vi använder vår hemsida och LinkedIn för två ändamål:
Information och marknadsföring (lagliga grunden för behandlingen är berättigat intresse).
Att väcka intresse och berätta om viktiga frågor via blogginlägg och liknande (vi gör detta utifrån ett journalistiskt ändamål). Vi gör detta för att dela med oss av bra idéer om verksamhetsutveckling och sprida kunskap om nya sätt att arbeta.
När du använder hemsida kommer det upp en fråga om du vill ge samtycke för att dela cookies med oss. Du kan här också välja att inte göra det. Tycker du det är ok att dela cookies med oss kommer det att användas för ändamålen ovan. VI använder vidare Google Analytics på vår hemsida för att få statistik som vi använder för att kunna analysera hur intressanta och relevanta inlägg vi gör. I statistiken vi ser syns inga personuppgifter som vi kan härleda. Google kan använda personuppgifter genererade av verktyget för sina egna ändamål.
Vår hemsida innehåller en möjlighet för läsare att dela inlägg på LinkedIn genom att trycka på en plugin-knapp. Genom att trycka på knappen kommer du att dela personuppgifter med LinkedIn som kan komma att använda dem för egna ändamål (se deras information om personuppgiftsbehandling). För oss är det positivt att sidor delas eftersom våra egna ändamål (se punkterna ovan) får större spridning.
Olika sökmotorer kan spara IP-adresser från sökningar på hemsidor och sociala medier. De kan använda personuppgifterna för sina egna ändamål.
