Integritetspolicy & GDPR

INLEDNING

1. I denna integritetspolicy kan du läsa om hur Stey AB med organisationsnummer 559277–5158 (nedan kallad "Stey" och refererad till som "vi", "vår", "oss") bland annat behandlar personuppgifter, vart personuppgifterna blir lagrade, varför de blir behandlade, vem de blir delade med, vilka rättigheter de registrerade har enligt GDPR m.m.

2. Vi behandlar personuppgifter enligt GDPR och/eller SCC vid tillämpliga fall. Behandlingen sker även i enlighet med de grundläggande dataskyddsprinciperna. Vi får tillgång till dina personuppgifter i samband med att du kontaktar oss, eller ingår ett avtal med oss. Din personliga integritet är mycket viktig för oss och i denna integritetspolicy kan du läsa mer om hur vi behandlar personuppgifter. Denna integritetspolicy omfattar all behandling av personuppgifter, i både strukturerad och ostrukturerad data.​

DEFINITIONER

1. Följande begrepp ska ha nedan angiven innebörd, både när de uttrycks i plural och singular:

2. Webbplatsen: stey.se.

3. GDPR: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

4. Samtliga referenser i denna integritetspolicy till begreppen "personuppgifter", "behandling" (av personuppgifter) "registrerade", "personuppgiftsansvarig", "personuppgiftsbiträde", "personuppgiftsincident" och "tillsynsmyndighet", ska ha samma mening och innebörd som framgår av definitionslistan i artikel 4 i GDPR.

5. SCC: Standardavtalsklausuler för överföring av personuppgifter till registerförare etablerade i tredjeland i enlighet med Europaparlamentets och rådets direktiv 95/46/EG. Kommissionens beslut av den 5 februari 2010.

PERSONUPPGIFTSANSVAR

1. Personuppgiftsansvarig: Stey är personuppgiftsansvarig för all behandling av personuppgifter som utförs av oss eller för vår räkning, och vi ansvarar för att behandlingen sker i enlighet med GDPR (enligt principen om ansvarsskyldighet).

2. Uppdatering av denna integritetspolicy: Vi går igenom innehållet i denna integritetspolicy minst en gång per år samt vid behov, för att säkerställa att informationen är korrekt och uppdaterad. Den senaste versionen finns alltid publicerad på vår Webbplats.

KATEGORIER AV PERSONUPPGIFTER

1. Vi behandlar främst nedan angivna kategorier av personuppgifter, som vi får tillgång till när en person använder Webbplatsen, kontaktar oss eller ingår ett avtal med oss:

   • Identifikationsuppgifter: namn och personnummer.

   • Kontaktuppgifter: adress, telefonnummer och e-postadress.

   • Demografiska uppgifter: kön, arbetsställe, arbete och titel.

   • Finansiella uppgifter: transaktioner, kreditupplysning, skulder.

   • Känsliga personuppgifter: vi kan behandla uppgifter om våra anställdas hälsa och facktillhörighet, för att vi ska kunna fullgöra våra skyldigheter och tillvarata våra rättigheter samt intressen i egenskap av arbetsgivare enligt arbetsrättsliga lagar.

   • Övriga personuppgifter: sådana personuppgifter som blir lämnade till oss vid exempelvis kontakt med vår support, ansökan om anställning/uppdrag hos oss eller som en person lämnar till oss.

RÄTTSLIG GRUND FÖR PERSONUPPGIFTSBEHANDLINGEN SAMT ÄNDAMÅL MED BEHANDLINGEN

1. I enlighet med principen om uppgiftsminimering, behandlar vi enbart personuppgifter som är adekvata, nödvändiga och relevanta för att uppfylla det ändamål som de blev insamlade för. Enligt principen om ändamålsbegränsning får vi enbart behandla personuppgifter för särskilda, uttryckligt angivna och berättigade ändamål. Dessutom ska varje behandling vara rättsligt grundad för att vara laglig enligt GDPR. Vi behandlar personuppgifter varsamt och delar inte uppgifterna med obehöriga personer.

2. Vår behandling av personuppgifter grundas på främst följande fyra (4) rättsliga grunder: Avtal, Samtycke, Rättslig förpliktelse och Intresseavvägning. Nedan följer en beskrivning av de rättsliga grunderna och ändamålen med behandlingarna:

3. Avtal: Om du ingår avtal med oss avseende våra tjänster, exempelvis köp och installation av en komplett solcellsansläggning, behöver vi behandla dina personuppgifter för att fullgöra våra avtalsenliga åtaganden enligt kundavtalet. Mer information om villkoren som gäller vid köp och installation av en komplett solcellsansläggning finns att läsa i de allmänna villkoren: stey.se/allmanna-villkor. Om du blir anställd hos oss, behöver vi behandla dina personuppgifter, för att kunna fullgöra våra avtalsenliga förpliktelser enligt anställningsavtalet, exempelvis för att betala ut lön m.m.

4. Samtycke: Personer kan även välja att lämna sitt frivilliga uttryckliga samtycke till en viss specifik personuppgiftsbehandling. Det kan ske exempelvis genom att en person skickar ett meddelande till oss via vårt kontaktformulär på webbplatsen och i samband med det, aktivt kryssar i en checkruta för godkännande av vår behandling av personuppgifterna. Vi behandlar då avsändarens personuppgifter för att kunna besvara meddelandet och hålla kontakten med denne i ärendet. Ett lämnat samtycke kan när som helst bli återkallat på begäran av den registrerade som lämnat samtycket, och då ska behandlingen upphöra i den mån det är möjligt och såvida vi inte behöver behandla personuppgifterna för att vi exempelvis ska fullgöra våra skyldigheter enligt avtal eller någon rättslig förpliktelse.

5. Rättslig förpliktelse: Vi kan behandla personuppgifter enligt rättslig förpliktelse, om vi är skyldiga enligt lag, domstols- eller myndighetsbeslut att göra det. Vid sådana fall behandlar vi personuppgifterna enbart i den utsträckning det är nödvändigt för att vi ska uppfylla våra rättsliga förpliktelser. Till exempel kan vi behandla och lagra personuppgifter på det sätt som krävs enligt bokföringslagen (1999:1078) (vid fakturering, bokföring m.m.). När vi behandlar personuppgifter med stöd i denna rättsliga grund, behandlar vi bara nödvändiga personuppgifter under den tid som krävs enligt lagen (i enlighet med principen om lagringsminimering).

6. Intresseavvägning: Vi kan behandla personuppgifter genom den rättsliga grunden Intresseavvägning. Vi behandlar dock inte känsliga personuppgifter med stöd av denna rättsliga grund. När en behandling av personuppgifter sked med stöd i denna rättsliga grund, är det vår bedömning att behandlingen inte utgör något intrång i den registrerades rätt till privatliv och integritet. Detta har vi kommit fram till, efter att ha gjort en avvägning mellan å ena sidan vad behandlingen ifråga innebär för den registrerades intressen samt rätt till privatliv och å andra sidan vårt berättigade intresse till behandlingen ifråga. Baserat på vårt berättigade intresse, kan vi behandla personuppgifterna för att:

   • förbättra och utveckla de tjänster vi erbjuder,

   • följa vid var tid gällande lagar och förordningar,

   • genomföra uppföljning av våra tjänster med våra kunder,

   • kräva betalning för en förfallen fordran och anmäla en skuld,

   • genomföra direktmarknadsföring av våra tjänster och vår verksamhet,

   • säkerställa den tekniska funktionaliteten av installerade Solcellsanläggningar,

   • samla in statistik, resultatmätningar m.m. avseende installerade Solcellsanläggningar,

   • genomföra olika typer av analyser avseende installerade Solcellsanläggningar,

   • förhindra och skydda vår verksamhet mot brott, intrång eller annan skadegörelse.

   • administrera integrationen mellan installerade Solcellsanläggningar och tredje parts tjänster/applikationer.

COOKIES

1. Denna Webbplats använder cookies och genom dessa kan vi få information om besökares användning av Webbplatsen, lokaliseringsuppgifter och annan användarinformation som tillhandahålls via bland annat webbanalys- och/eller trafikmätningsleverantör. Mer information om hur Webbplatsen använder cookies finns att läsa i vår cookiepolicy: stey.se/cookiepolicy.

LAGRING AV PERSONUPPGIFTER

1. Lagringsplats: Vi strävar efter att lagra samtliga personuppgifter som vi behandlar inom EU/EES (enligt principen om integritet och konfidentialitet). Om personuppgifter blir lagrade i ett land utanför EU/EES, ska vi se till att sådan lagringsplats säkerställer en adekvat skyddsnivå i enlighet med bestämmelserna i GDPR och/eller SCC.

2. Lagringstid: Vi lagrar personuppgifter så länge uppgifterna är nödvändiga för att fullgöra de ändamål som de samlades in för. Personuppgifter som inte längre behöver lagras, blir gallrade (raderade) från våra lagringsplatser eller anonymiserade (i enlighet med principen om lagringsminimering).

DELNING AV PERSONUPPGIFTER

1. Vi behandlar alla personuppgifter varsamt och delar inte personuppgifter med obehöriga personer. I vissa fall kan vi dock behöva dela personuppgifter till någon annan, exempelvis myndigheter eller entreprenörer som vi anlitar inom ramen för vår verksamhet, för installation av solcellsanläggningar hos Kund osv. Nedan följer mer information om dessa situationer:

2. Myndigheter: Vi kan dela personuppgifter som vi behandlar till relevanta myndigheter som svar på legala förfrågningar eller om det är nödvändigt för att förebygga, upptäcka, förhindra eller utreda brottslig handling samt för att skydda våra intressen och vår egendom.

3. Underleverantörer: Vi samarbetar med, och anlitar andra företag för att: fullgöra våra avtalsenliga och rättsliga förpliktelser; upptäcka och förebygga tekniska-, drifts- eller säkerhetsmässiga problem; tillvarata våra rättsliga intressen; samt för att tillhandahålla, förbättra och underhålla vår Webbplats. Exempelvis anlitar vi installatörer, montörer, elektriker, webbutvecklare, serverleverantör, hostingleverantör, affärssystem, tredjepartssystem m.fl. I vissa fall kan vi behöva dela personuppgifter som vi är personuppgiftsansvariga för med en sådan anlitad aktör. Innan vi delar några personuppgifter, ingår vi ett personuppgiftsbiträdesavtal i enlighet med bestämmelserna i GDPR (alternativt SCC om personuppgiftsbiträdet befinner sig i ett land utanför EU/EES), för att säkerställa en säker och korrekt behandling av personuppgifterna.

SÄKERHETSÅTGÄRDER

1. Dataskyddsprinciperna: Vi följer de grundläggande dataskyddsprinciperna vid all behandling av personuppgifter. Principerna finns dokumenterade i interna rutiner, som våra medarbetare har tillgång till och som de följer vid all behandling av personuppgifter som Stey är personuppgiftsansvarig över.

2. Tekniska och organisatoriska säkerhetsåtgärder: Vi vidtar och implementerar olika tekniska och organisatoriska säkerhetsåtgärder med fokus på de registrerades integritet. Åtgärderna avser att skydda mot intrång, missbruk, förlust, förstöring och andra förändringar som kan innebära en risk för integriteten (enligt principen om integritet och konfidentialitet).

3. Exempelvis är våra databaser, interna register och system som innehåller personuppgifter lösenordskyddade. Vi har även upprättat olika interna rutiner med instruktioner som måste följas av våra medarbetare vid all personuppgiftsbehandling, för att säkerställa en säker personuppgiftsbehandling som sker i enlighet med GDPR. Stey har även utsett vissa specifika individer med behörigheter till lösenord, kundregister och övriga system som innehåller personuppgifter, för att begränsa åtkomsten.

DE REGISTRERADES RÄTTIGHETER ENLIGT GDPR

1. Enligt GDPR har registrerade rätt att åberopa vissa åtgärder beträffande den registrerades personuppgifter som vi behandlar. Vi informerar dig härmed om att vissa av rättigheterna enbart gäller i vissa situationer och bara om det är lagligt och möjligt för oss att genomföra din begäran. Du är välkommen att kontakta oss om du vill åberopa någon av nedan nämnda rättigheter angående dina personuppgifter. Enligt GDPR har registrerade:

   • Rätt att lämna klagomål till en tillsynsmyndighet,

   • Rätt att få tillgång till sina personuppgifter,

   • Rätt att få felaktiga personuppgifter rättade,

   • Rätt att få sina personuppgifter raderade,

   • Rätt att begära begränsning av behandlingen,

   • Rätt att flytta sina personuppgifter (dataportabilitet),

   • Rätt att få information om eventuellt dataintrång samt personuppgiftsincident som rör den registrerades personuppgifter,

   • Rätt att invända mot att personuppgifterna användas för direktmarknadsföring och profilering.

PERSONUPPGIFTSINCIDENTER

1. Eventuella personuppgiftsincidenter blir meddelade till vår kontaktperson för personuppgiftsincidenter samt dokumenterade internt. När det krävs enligt GDPR, ska inträffade personuppgifter bli anmälda till Integritetsskyddsmyndigheten (IMY) inom 72 timmar, och registrerade som berörs av inträffade personuppgiftsincidenter ska bli meddelade om incidenten.

KLAGOMÅL

1. Om du har frågor eller funderingar, eller är missnöjd över vår behandling av dina personuppgifter, är du alltid välkommen att kontakta oss. Du kan även kontakta den svenska tillsynsmyndigheten, Integritetsskyddsmyndigheten (IMY), för att lämna klagomål.