Personvernerklæring

Denne personvernerklæringen (“Personvernerklæringen“) inneholder informasjon om behandling av personopplysninger i tilknytning til Izy (heretter omtalt som “Tjenesten“). Tjenesten er et verktøy for kommunikasjon og service til arbeidstakere og andre som ferdes på moderne arbeidsplasser/i moderne bygg. Vi er kun formidler av produkter og tjenester som tilbys gjennom Tjenesten og har ikke ansvaret for de tjenestene eller produktene du bestiller fra andre parter gjennom Tjenesten.

>Tjenesten leveres av IZY AS (organisasjonsnummer 922 177 775), (heretter “IZY” eller “vi”). Når du kjøper og bruker Tjenesten, vil vi samle inn, bruke og behandle enkelte av dine personopplysninger. IZY tar personvernet ditt på alvor og behandler dine personopplysninger på en sikker og konfidensiell måte.

Izy er behandlingsansvarlig for behandling av dine personopplysninger når du bruker Tjenesten vår, i samsvar med denne personvernerklæringen. Dette betyr at IZY er ansvarlig for å bestemme formålene med behandlingen av personopplysninger og for å overholde personvernlovgivningen. Denne personvernerklæringen forklarer hvilke personopplysninger vi behandler som behandlingsansvarlig, hvordan vi behandler dem, til hvilke formål og på hvilket grunnlag. Personvernerklæringen forklarer også hvilke rettigheter du har og hvordan du kan håndheve disse rettighetene med hensyn til vår behandling av dine personopplysninger. Hvis du har spørsmål til Personvernerklæringen, ta gjerne kontakt ved å benytte kontaktinformasjonen du finner nederst i denne personvernerklæringen.

I tillegg til behandlinger som Izy selv er ansvarlig for behandler vi også enkelte personopplysninger som databehandler på vegne av gårdeiere, arbeidsgivere eller andre behandlingsansvarlige når disse partene stiller våre tjenester til rådighet for ansatte og andre brukere. Dette gjelder for eksempel når vi mottar og behandler opplysninger fra en arbeidsgiver, gårdeier eller tredjeparter som leverer produkter og tjenester i bygget, og behandler personopplysninger for deres formål. Slik behandling av personopplysninger, der vi opptrer som databehandler, skjer alltid i henhold til dokumenterte instrukser som fastsatt i en databehandleravtale. Detaljer om denne behandlingen er nærmere beskrevet i de behandlingsansvarlige partenes egne personvernerklæringer.

All behandling av personopplysninger i Tjenesten skjer i overensstemmelse med de til enhver tid gjeldende personvernregler, herunder personopplysningsloven og personvernforordningen (GDPR). Begreper i Personvernerklæringen skal tolkes på samme måte som tilsvarende begreper i GDPR artikkel 4.

Hvis du vil ha mer informasjon om Tjenesten, kan du lese “Vilkårene for bruk” ved å klikke her.

Formål, behandlingsgrunnlag og personopplysninger som behandles

Formål med behandlingen

Formålet med behandlingen av dine personopplysninger er å gjøre Tjenesten og dens funksjonalitet tilgjengelig for deg, samt støtte kommunikasjon, administrasjon og service mellom behandlingsansvarlig og deg som registrert bruker. Dette omfatter behandling som er nødvendig for følgende formål:

• Tilgang til bygningsrelatert informasjon: Gi deg oppdatert informasjon om bygningen og dens fasiliteter.
• Varslinger og tilbud: Sende deg relevante varsler og tilbud knyttet til Tjenesten.
• Ressursbooking: Muliggjøre booking av møterom og andre ressurser.
• Bestilling og kjøp: Håndtere bestilling og kjøp av produkter og tjenester fra tredjeparter, inkludert på vegne av behandlingsansvarlig (for eksempel via fakturering).
• Aktivitetsoversikt: Gi deg oversikt over dine egne aktiviteter i Tjenesten.
• Digitale adgangskort: Tilrettelegge for tilgang og bruk av digitale adgangskort.
• Besøksregistrering: Administrere besøksregistrering og midlertidig adgang til bygningen.

I forbindelse med dette kan også enkelte personopplysninger deles med behandlingsansvarlige tredjeparter som IZY samarbeider med, og som tilbyr produkter eller tjenester i Tjenesten. Det behandles eller deles ingen personopplysninger når appen tilknyttet Tjenesten ikke er i bruk.

Ytterligere formål gjennom IZYs tjenesteportefølje

Avhengig av hvilke funksjonaliteter i Tjenesten du velger å benytte, kan personopplysninger også behandles for følgende formål:

• Analyse og optimalisering: Analyse av historiske data for å tilby prediktiv innsikt som bidrar til optimal bruk av ressurser og økt operasjonell effektivitet.
• Automatiserte betalinger: I enkelte kantiner og kiosker benyttes kunstig intelligens og bildegjenkjenning (av varer) for å identifisere produkter, beregne pris og gjennomføre betalingstransaksjoner automatisk. Behandlingsansvarlig kan også hente ut kjøpsinformasjon for å administrere rabatter og analysere kjøpemønstre. Merk at fakturainformasjon ikke behandles i denne sammenhengen.
• Digitale identifikatorer (for eksempel QR-koder): Kan benyttes for å bekrefte tilhørighet og gi tilgang til Tjenesten, herunder administrasjon av fordeler og rabatter.
• Adgangskontroll og besøksadministrasjon: For å sikre fysisk adgang og god besøksflyt behandles informasjon som navn, e-post, telefonnummer, selskapsnavn, vert og innsjekktidspunkt.
• Digitale adgangskort: For å tilrettelegge for sikker og brukervennlig adgang kan vi bruke ditt telefonnummer som identifikator når vi utsteder digitale adgangskort. Telefonnummeret omgjøres til en unik kode før det overføres til virksomheten som drifter adgangssystemet (for eksempel bygningseier eller ekstern leverandør). Koden brukes kun for å knytte riktig adgang til riktig bruker.

Behandlingsgrunnlag

Behandlingsgrunnlaget for behandling av personopplysninger for å levere det du etterspør gjennom Tjenesten er:

• Personvernforordningen artikkel 6 (1) a (samtykke): Ved å akseptere brukervilkårene gir du samtykke til behandling som er nødvendig for å oppfylle avtalen med deg.
• Personvernforordningen artikkel 6 (1) b (avtale): Behandlingen skjer utelukkende på vegne av behandlingsansvarlig og i henhold til dennes dokumenterte instrukser.

I tillegg kan sammenstille aggregerte og/eller anonyme datasett for å analysere, forbedre og videreutvikle Tjenesten. Behandlingsgrunnlaget for dette formålet er:

• Personvernforordningen artikkel 6 (1) f (interesseavveining): Vår berettigede interesse er å forbedre og videreutvikle tjenestene til det beste for deg. Den begrensede behandlingen av personopplysningene som dette innebærer, og fordelene som søkes oppnådd, har vi vurdert at oppveier eventuelle ulemper for deg som bruker.

I enkelte tilfeller vil vi også behandle dine personopplysninger på bakgrunn av vår berettigede interesse for å levere Tjenesten og funksjonaliteter til deg på en sikker og optimal måte. Dette inkluderer håndtering av feil eller sårbarheter og forebygging av misbruk.  (personvernforordningen artikkel 6 (1) f). Behandlingsgrunnlaget for dette formålet er:

• Personvernforordningen artikkel 6 (1) f (interesseavveining): Vår berettigede interesse er å sikre Tjenestens funksjonalitet og sikkerhet. Den begrensede behandlingen av personopplysningene som dette innebærer, og fordelene som søkes oppnådd, har vi vurdert at oppveier eventuelle ulemper for deg som bruker.

Personopplysninger som behandles

Følgende personopplysninger kan samles inn og behandles ved din bruk av Tjenesten:

• Kontaktopplysninger: Navn, e-postadresse, telefonnummer, arbeidsgiver og avdeling på arbeidsplassen.
• Kjøps- og bestillingshistorikk: Informasjon om det som eventuelt bestilles gjennom Tjenesten.

• Preferanser: Favoritter, som for eksempel preferert mat.

• Tilbakemeldinger: Tilbakemeldinger gitt gjennom Tjenesten.

• Lokasjonsdata: GPS-data knyttet til hvilken bygning du bruker Tjenesten i, dersom dette er aktivert. Du vil få beskjed på din enhet om dette aktiveres, og du kan senere deaktivere det, men enkelte funksjoner kan da bli utilgjengelige.

• Produktinteraksjon og diagnostiske data: Operativsystem, enhetsmodell, skjermoppløsning, appversjon, nettverkstype (telefonnett/wifi), enhetens orientering (horisontal/vertikal), tidspunkt og dato for bruk av Tjenesten, IP-adresse, nettlesertype og -versjon, besøkte nettsider, tidsbruk på nettsider, unike enhetsidentifikatorer og tekniske logger.

I tillegg benyttes det informasjonskapsler (cookies). Informasjon om vår bruk av informasjonskapsler, samt gjeldende retningslinjer for informasjonskapsler, er tilgjengelig i dokumentet «Cookie Policy» som du finner via menyen i Izy-appen. Der gis det også mulighet til å administrere og endre samtykke til bruk av informasjonskapsler i henhold til dine preferanser.

Personopplysningene vil slettes så snart det ikke er behov for opplysningene etter formålene ovenfor. Dette betyr at kontaktopplysninger behandles så lenge du bruker Tjenesten og inntil du eventuelt sletter din brukerprofil. Opplysninger om produktinteraksjon og diagnostisering vil anonymiseres og så slettes etter anonymisering er gjort, maksimalt etter 90 dager. Opplysninger knyttet til sikkerhet og hendelser slettes så snart hendelsen er avklart.

Deling og overføring av personopplysninger

Leveres det betalte produkter og/eller tjenester gjennom Tjenesten, kan det benyttes tredjepartstjenester for betalingsbehandling, hvor all informasjon håndteres direkte av tredjepart. IZY lagrer eller samler ikke betalingskortopplysningene dine. Denne informasjonen leverer du selv direkte til tredjeparts betalingsformidlere og IZY har ikke noe ansvar for betalingsformidlernes behandling. Slike betalingspartnere er selvstendige behandlingsansvarlige, f.eks Vipps og STRIPE. Disse betalingsformidlerne er ansvarlig for å overholde standarder fastsatt av PCI-DSS. PCI-DSS-krav bidrar til å sikre sikker håndtering av betalingsinformasjon.

Andre betalingsformidlere kan være:

• Apple Store In-App Payments, se deres personvernerklæring som kan leses på https://www.Apple.com/legal/privacy/en-ww/
• Google Play In-App Payments, se deres personvernerklæring som kan leses på https://www.google.com/policies/privacy/

For å levere Tjenesten til deg benytter vi oss av enkelte underleverandører, for eksempel de som leverer plattformen som støtter Tjenesten. Vi har inngått databehandleravtaler med alle våre leverandører som har tilgang til personopplysninger. Disse leverandørene opptrer i henhold til våre instruksjoner som er fastsatt i databehandleravtaler. Leverandørene har ikke tillatelse til å behandle personopplysninger for egne formål, og forplikter seg til å utføre all behandling i tråd med gjeldende personvernlovgivning og den databehandleravtalen de har inngått med oss, sikrer også at all lagring og behandling av personopplysninger skjer innenfor EØS.

Mer informasjon om våre databehandlere finner du her.

Lenker til andre nettsteder utenfor Tjenesten, er utenfor vår kontroll. Du bør i slike tilfelle gjennomgå personverninformasjon på det aktuelle nettstedet.

Sikkerhet for behandlingen

Vi benytter alle påkrevde tekniske og organisatoriske tiltak for å sikre dine personopplysninger. For å sikre konfidensialitet, integritet og tilgjengelighet av personopplysninger implementerer vi blant annet følgende tiltak:

• Kryptering av data i hvile og under overføring (AES-256 og TLS 1.2+).
• Logg og overvåking av tilgang til systemer, med regelmessig gjennomgang av sikkerhetslogger.
• Tilgangskontroll basert på prinsippet om minste privilegium og rollebaserte rettigheter.
• Daglig sikkerhetskopiering, med offline-arkiver og test av gjenoppretting minst kvartalsvis.
• Årlig opplæring av ansatte i personvern og informasjonssikkerhet.
• Månedlige sårbarhetsskanninger og umiddelbar behandling av kritiske funn.

Vi foretar jevnlig vurderinger av sikkerheten i alle sentrale systemer tilknyttet Tjenesten. Databehandleravtalene som er inngått med underleverandører pålegger leverandørene å sørge for tilfredsstillende informasjonssikkerhet.

Om du har spørsmål om sikkerheten for behandlingen, kan du kontakte oss ved å sende e-post til info@izy.no.

Dine rettigheter

Som bruker av Tjenesten gir lovgivningen deg visse rettigheter som du kan utøve ved å ta kontakt med oss:

Trekke et samtykke tilbake

• Samtykker du har avgitt i Tjenesten, kan når som helst trekkes tilbake. Merk at tilbaketrekning av et samtykke ikke nødvendigvis innebærer at opplysninger som allerede er overført kan slettes.

Be om innsyn og få data overført til ny tjenestetilbyder:

• Du har rett til innsyn i hvilke personopplysninger som er registrert om deg i Tjenesten og til å få en kopi av disse. Dersom det er lovlig og teknisk mulig, vil det også kunne være adgang til å få opplysninger overført direkte til en ny tjenestetilbyder.

Be om retting, sletting eller begrensning av behandlingen:

• Du kan ta kontakt med oss for å få rettet feilaktige opplysninger som er registrert om deg i Tjenesten, eller be oss om å slette personopplysninger. Merk at du også kan korrigere og slette enkelte opplysninger selv. Du kan også be oss om å begrense behandlingen av visse opplysninger. IZY vil så langt som mulig imøtekomme en forespørsel om å slette eller begrense behandling av personopplysninger, men kan ikke gjøre dette dersom det er tungtveiende eller lovpålagte grunner for ikke å gjøre dette, for eksempel dersom opplysningene må lagres av dokumentasjonshensyn, eller på grunn av rapporteringsforpliktelser.

Protestere på en behandling:

• Du har rett til å motsette deg behandling av personopplysninger som har sitt grunnlag i en interesseavveining. Dersom du kan vise til særlige grunner ved din situasjon som begrunner at behandlingen skal opphøre, vil vi etterkomme dette med mindre vi har tvingende berettigede grunner for å fortsette å behandle opplysningene.

Vi vil om nødvendig be deg om å bekrefte identiteten din eller å oppgi ytterligere informasjon i forbindelse med utøvelse av dine rettigheter under personvernregelverket. Dette gjøres for å være sikker på at det er kun du som gis tilgang til dine personopplysninger – og ikke noen som gir seg ut for å være deg.

Dersom du er uenig i måten IZY behandler dine personopplysninger på, ber vi deg ta kontakt med oss via e-post på info@izy.no.

Retten til å klage til en tilsynsmyndighet

Dersom du mener at den beskrevne behandling av personopplysninger ikke er i overensstemmelse med personvernlovgivningen, så kan du klage til Datatilsynet. Du finner informasjon om dine rettigheter og hvordan kontakte Datatilsynet på Datatilsynets nettsider: www.datatilsynet.no.

Endringer

Hvis det skulle skje endring i behandling av personopplysninger eller endringer i regelverket om behandling av personopplysninger, kan det medføre endringer i informasjonen som er gitt her. Du vil få beskjed på e-post og/eller vi vil legge ut et fremtredende varsel på Tjenesten 14 dager før en endring trer i kraft. Oppdatert informasjon vil alltid finnes tilgjengelig i mobilapplikasjonen.