Privatlivspolitik

Om Storebook og denne politik

Denne privatlivspolitik forklarer, hvordan Storebook ApS behandler personoplysninger i forbindelse med vores bogholderydelser, software, hjemmeside og øvrige kontakt med kunder og samarbejdspartnere. Politikken gælder for fysiske personer, herunder enkeltmandsvirksomheder, kontaktpersoner, brugere, ejere og andre personer, hvis oplysninger vi behandler.

Du kan kontakte os på kontakt@storebook.dk med spørgsmål om personoplysninger eller for at bruge dine rettigheder.

Hvornår vi er dataansvarlig og databehandler

Storebook er dataansvarlig, når vi bestemmer formålet med og de væsentlige rammer for behandlingen. Det gælder eksempelvis vores egen kundeadministration, fakturering, håndtering af henvendelser, nødvendige sikkerhedsforanstaltninger og opfyldelse af vores forpligtelser efter hvidvaskloven. Denne politik beskriver disse behandlinger.

Når vi bogfører, håndterer løn eller opbevarer og behandler personoplysninger i software på en kundes vegne og efter kundens instruks, vil vi som udgangspunkt være databehandler. Kunden er da dataansvarlig for oplysninger om eksempelvis sine medarbejdere, kunder og leverandører. Rollefordelingen afhænger af den konkrete behandling og fastlægges i aftalen.

Behandling som databehandler reguleres af en særskilt databehandleraftale efter GDPR artikel 28. Her beskrives blandt andet instruks, sikkerhed, underdatabehandlere, eventuelle overførsler uden for EU/EØS samt tilbagelevering og sletning. Privatlivspolitikken erstatter ikke databehandleraftalen. Hvis din henvendelse vedrører oplysninger, vi behandler for en kunde, hjælper vi med at rette henvendelsen til den relevante dataansvarlige.

Oplysninger vi behandler og hvor de kommer fra

Afhængigt af kontakten og den aftalte ydelse kan vi behandle navn, stilling, adresse, telefonnummer, e-mailadresse, virksomhedsoplysninger og korrespondance. Oplysninger om enkeltmandsvirksomheder, kontaktpersoner og ejere kan være personoplysninger, selv om de indgår i et erhvervsforhold.

Til kundeadministration og betaling kan vi behandle aftaler, fakturaer, betalingsoplysninger, bankoplysninger og oplysninger om leverede ydelser. I forbindelse med kundekendskab kan vi behandle identitets- og legitimationsoplysninger, CPR-nummer, oplysninger om reelle ejere, ejerstruktur og politisk eksponerede personer samt oplysninger, der er nødvendige for at undersøge forhold efter hvidvaskloven.

Ved brug af hjemmesiden og software kan vi behandle konto- og brugeroplysninger, IP-adresse, tidspunkt for adgang, oplysninger om enhed og browser samt relevante fejl-, adgangs- og sikkerhedslogs. De konkrete behandlinger afhænger af de funktioner og teknologier, der benyttes.

Som databehandler kan vi desuden behandle bilag, bogføringsposter, transaktioner, skatteoplysninger og lønoplysninger, herunder CPR-numre. Ved lønadministration kan materialet indeholde eksempelvis helbredsoplysninger eller oplysninger om fagforeningsforhold. Vi behandler kun sådanne oplysninger inden for kundens lovlige instruks og den aftalte opgave.

Vi modtager oplysninger fra dig, den virksomhed du er tilknyttet, og de personer, som virksomheden har bemyndiget. Oplysninger kan også komme fra CVR og andre offentligt tilgængelige registre, relevante myndigheder, rådgivere og banker eller fra systemer og integrationer, som kunden har godkendt. Oplysninger om brug af hjemmesiden og software kan blive registreret automatisk.

Formål og retsgrundlag

Kundeforhold og aftaler. Vi anvender nødvendige oplysninger til at udarbejde tilbud, indgå og administrere aftaler, levere de aftalte ydelser, kommunikere og fakturere. Når du selv er aftalepart, bygger behandlingen på GDPR artikel 6, stk. 1, litra b. For kontaktpersoner og brugere hos en virksomhed bygger vores egen administration normalt på artikel 6, stk. 1, litra f. Vores legitime interesse er at kunne samarbejde med virksomheden og administrere leverancen.

Lovkrav. Vi behandler oplysninger for at opfylde de pligter, der gælder for os, herunder kundekendskab, undersøgelser og eventuel underretning efter hvidvaskloven samt opbevaring af vores eget regnskabsmateriale. Grundlaget er artikel 6, stk. 1, litra c. Oplysninger, der indsamles til opfyldelse af hvidvaskloven, anvendes kun til det formål.

Henvendelser, support og sikkerhed. Vi behandler nødvendige oplysninger for at besvare henvendelser, undersøge fejl, beskytte systemer, forebygge misbrug og dokumentere hændelser. For egne formål bygger behandlingen normalt på artikel 6, stk. 1, litra f. Vores legitime interesser er at yde relevant hjælp og beskytte oplysninger og tjenester. Hvis behandlingen er nødvendig for en aftale med dig, anvendes artikel 6, stk. 1, litra b. Support i kundens data udføres efter databehandleraftalen.

Retskrav. Vi kan bevare nødvendig dokumentation for at fastlægge, gøre gældende eller forsvare et retskrav. Grundlaget er artikel 6, stk. 1, litra f. Vi begrænser oplysningerne og opbevaringen til det, der er nødvendigt i den konkrete sag.

Markedsføring. Hvis vi udsender nyhedsbreve eller anden elektronisk markedsføring til dig, sker det på grundlag af dit samtykke, jf. artikel 6, stk. 1, litra a, medmindre betingelserne for markedsføring af egne tilsvarende ydelser til eksisterende kunder efter markedsføringslovens § 10, stk. 2, er opfyldt. I det tilfælde er databeskyttelsesgrundlaget artikel 6, stk. 1, litra f, og vores interesse er at informere om relevante ydelser. Du får mulighed for let og gratis at frabede dig markedsføring ved indsamlingen af e-mailadressen og i hver markedsføringsmail. Driftsbeskeder og nødvendig kommunikation om aftalen sendes som led i leverancen.

CPR-numre behandles kun, når betingelserne i databeskyttelseslovens § 11 er opfyldt, eksempelvis når behandlingen følger af lovgivningen. Et almindeligt behandlingsgrundlag efter GDPR er ikke i sig selv tilstrækkeligt til at behandle CPR-numre.

Hvis vi undtagelsesvis behandler følsomme oplysninger som dataansvarlig, kræver det både et grundlag efter artikel 6 og en relevant undtagelse efter artikel 9, eksempelvis artikel 9, stk. 2, litra f, når det er nødvendigt i forbindelse med et retskrav. Oplysninger om strafbare forhold behandles kun, hvis betingelserne i GDPR artikel 10 og databeskyttelseslovens § 8 er opfyldt.

Visse oplysninger er nødvendige for at indgå eller opfylde en aftale, og andre skal indhentes efter lovgivningen. Hvis de nødvendige oplysninger ikke gives, kan vi være nødt til at afvise eller standse den berørte ydelse. Tilmelding til markedsføring er frivillig.

Hvem der kan modtage oplysninger

Medarbejdere og andre personer, der arbejder for Storebook, får kun adgang i det omfang, det er nødvendigt for deres opgaver, og er underlagt fortrolighed.

Vi kan benytte leverandører af hosting, software, e-mail, kommunikation, kundeadministration, support og andre nødvendige driftsfunktioner. Når en leverandør behandler personoplysninger på vores vegne, sker det på grundlag af en databehandleraftale og vores instruks. Leverandører, der anvendes til behandling på en kundes vegne, håndteres som underdatabehandlere efter kundens databehandleraftale.

Oplysninger kan videregives til Skattestyrelsen, Erhvervsstyrelsen, Hvidvasksekretariatet og andre kompetente myndigheder, når det er lovpligtigt eller nødvendigt for en aftalt og lovlig opgave. I det omfang reglerne kræver det, kan vi være afskåret fra at orientere om en underretning eller undersøgelse.

Vi kan også dele nødvendige oplysninger med banker, kundens bemyndigede rådgivere og vores egne juridiske rådgivere, forsikringsselskaber eller inkassoleverandører, når der er et lovligt grundlag og et konkret behov. Modtagerne kan være selvstændigt dataansvarlige for deres behandling.

Behandling uden for EU og EØS

Hvis personoplysninger overføres til et land uden for EU/EØS, skal der være et gyldigt grundlag efter GDPR kapitel V. Det kan være en tilstrækkelighedsafgørelse efter artikel 45 eller EU-Kommissionens standardkontraktbestemmelser efter artikel 46 sammen med den nødvendige vurdering og eventuelle supplerende foranstaltninger. En certificering under EU-U.S. Data Privacy Framework kan kun anvendes, når den konkrete amerikanske modtager er omfattet af en gyldig certificering og overførslen er dækket.

Du kan kontakte kontakt@storebook.dk for oplysninger om en konkret overførsel og for at få en kopi af de relevante garantier. Oplysninger om overførsler i kundens databehandlerkæde fremgår også af databehandleraftalen.

Opbevaring og sletning

Vi opbevarer personoplysninger, så længe de er nødvendige til det konkrete formål eller skal opbevares efter lovgivningen. Vi sletter eller anonymiserer oplysninger, når der ikke længere er et grundlag for at bevare dem.

Vores eget regnskabsmateriale, herunder fakturaer og betalingsdokumentation, opbevares som udgangspunkt i fem år fra udgangen af det regnskabsår, materialet vedrører.

Personoplysninger, der er omfattet af hvidvasklovens opbevaringspligt, opbevares i fem år efter forretningsforbindelsens ophør eller den enkeltstående transaktions gennemførelse og slettes derefter, medmindre anden lovgivning kræver andet.

Almindelige aftale- og kontaktoplysninger opbevares under kundeforholdet og derefter kun i det omfang, de er nødvendige til dokumentation eller håndtering af krav. Den konkrete frist afhænger blandt andet af gældende forældelsesregler og verserende tvister. Henvendelser uden et efterfølgende kundeforhold slettes, når henvendelsen er afsluttet og et eventuelt sagligt dokumentationsbehov er ophørt.

Ved markedsføring opbevarer vi oplysninger, mens tilmeldingen gælder. Ved framelding standser vi markedsføringen. Nødvendig dokumentation for et tidligere samtykke eller en framelding kan bevares i en afgrænset periode for at dokumentere lovligheden og respektere frameldingen.

Kundedata, som vi behandler som databehandler, tilbageleveres eller slettes efter databehandleraftalen. Kundens pligt til at opbevare regnskabsmateriale bortfalder ikke, når samarbejdet ophører. Hvis Storebook som udbyder af et digitalt standardbogføringssystem selv er underlagt en lovpligtig opbevaringspligt, bevarer vi det omfattede materiale i den krævede periode. Adgang og anvendelse begrænses til det lovlige formål.

Sikkerhed

Vi skal beskytte personoplysninger med tekniske og organisatoriske foranstaltninger, der passer til behandlingens risici. Det omfatter blandt andet relevant adgangsstyring, fortrolighed og procedurer til håndtering af sikkerhedshændelser. De konkrete krav for behandling af kundedata fastlægges i databehandleraftalen.

Undgå at sende CPR-numre, legitimationsdokumenter eller andre fortrolige oplysninger i almindelig e-mail. Kontakt os for at aftale en egnet kanal.

Cookies og lignende teknologier

Hjemmesiden og software kan anvende cookies eller lignende teknologier. Teknologier, der er strengt nødvendige for en tjeneste, du har bedt om, kan anvendes uden cookiesamtykke. Andre teknologier, eksempelvis til statistik eller markedsføring, anvendes kun efter et gyldigt samtykke, når reglerne kræver det. Når der behandles personoplysninger, skal der desuden være et grundlag efter GDPR.

Kontakt kontakt@storebook.dk for oplysninger om de teknologier, vi anvender.

Automatisering

Software kan understøtte automatisering af bogføring og administrative arbejdsgange. Det betyder ikke i sig selv, at der træffes automatiske afgørelser om personer i GDPR artikel 22s forstand.

Vi træffer ikke som dataansvarlig afgørelser, der alene bygger på automatisk behandling og har retsvirkning eller tilsvarende væsentlig betydning for dig. Hvis en sådan behandling indføres, skal de berørte personer have særskilt information om grundlaget, den anvendte logik, betydningen og deres rettigheder, før behandlingen påbegyndes.

Dine rettigheder og klagemuligheder

Du kan efter GDPR have ret til indsigt og en kopi af dine oplysninger, rettelse af urigtige oplysninger, sletning, begrænsning af behandling og dataportabilitet. Dataportabilitet gælder under bestemte betingelser for oplysninger, du selv har givet, når behandlingen er automatisk og bygger på samtykke eller en aftale.

Du kan gøre indsigelse mod behandling, der bygger på vores legitime interesser, af grunde der vedrører din særlige situation. Du kan altid gøre indsigelse mod brug af dine oplysninger til direkte markedsføring, herunder tilknyttet profilering. Herefter må oplysningerne ikke længere anvendes til dette formål.

Du kan trække et samtykke tilbage til enhver tid. Det påvirker ikke lovligheden af den behandling, der fandt sted før tilbagekaldelsen. Rettighederne kan være begrænset, eksempelvis når vi er forpligtet til at opbevare oplysninger eller er omfattet af særlige regler om underretning og fortrolighed.

Skriv til kontakt@storebook.dk for at bruge dine rettigheder. Vi kan bede om nødvendige oplysninger for at bekræfte din identitet. Vi svarer som udgangspunkt senest en måned efter modtagelsen. Hvis en anmodning er kompleks eller der er mange anmodninger, kan fristen forlænges med op til yderligere to måneder. Vi giver i så fald besked og en begrundelse inden udløbet af den første måned.

Det er som udgangspunkt gratis at bruge rettighederne. Åbenlyst ugrundede eller overdrevne anmodninger kan efter GDPR medføre et rimeligt gebyr eller afslag.

Du har ret til at klage til Datatilsynet. Du kan finde klageformular og kontaktoplysninger på https://www.datatilsynet.dk/borger/klage/saadan-klager-du. Du behøver ikke først at klage til Storebook, men du er velkommen til at kontakte os, så vi kan forsøge at afklare forholdet.

Ændringer

Vi opdaterer privatlivspolitikken, når vores behandling eller reglerne ændrer sig. Den aktuelle version offentliggøres på vores hjemmeside. Ved væsentlige ændringer giver vi yderligere information, når det er nødvendigt efter reglerne. En ændring af politikken udgør ikke i sig selv et samtykke til nye behandlinger.