Personvernerklæring

HMSpass AS er leverandøren av tjenesten byggekort.no og behandler personopplysninger i forbindelse med både bestilling og drift av denne løsningen.

Hos HMSpass AS prioriterer vi personvern høyt. Vi behandler personopplysninger i samsvar med gjeldende personvernregelverk og iverksetter tiltak for å beskytte opplysningene. Denne erklæringen gir deg innsyn i hvordan vi samler inn, bruker og beskytter dine personopplysninger – enten du er sluttbruker eller representerer en virksomhet som har inngått avtale med HMSpass AS om bruk av våre tjenester («Kunden»).

Ansvar og regelverk

Vi følger kravene i personopplysningsloven og EUs personvernforordning (GDPR). Som behandlingsansvarlig plikter vi å sikre at personopplysninger håndteres i henhold til gjeldende lover og retningslinjer.

Du har rett til å forstå hvilke data vi behandler, hvorfor vi gjør det og hvilke rettigheter du har. Denne erklæringen gir deg oversikt over vår behandling av personopplysninger. Skulle det skje endringer i hvordan vi behandler slike opplysninger, vil vi oppdatere innholdet her.

Når er HMSpass behandlingsansvarlig eller databehandler?

HMSpass AS er behandlingsansvarlig for personopplysninger vi behandler for egne formål i forbindelse med våre tjenester. Dette omfatter blant annet opplysninger om bestillere og kontaktpersoner hos Kunden, fakturaopplysninger og opplysninger som er nødvendige for å administrere kundeforholdet, sikkerheten i våre tjenester og vår egen virksomhet.

Når HMSpass AS behandler personopplysninger om Kundens arbeidstakere eller andre personer på vegne av Kunden, opptrer HMSpass AS som databehandler, mens Kunden er behandlingsansvarlig. Dette gjelder også når Kunden gir HMSpass AS delegert tilgang eller fullmakt i Arbeidstilsynets HMS-kortløsning for å bestille eller administrere HMS-kort på Kundens vegne.

HMSpass AS behandler i slike tilfeller personopplysningene på vegne av Kunden. Behandlingen reguleres av vår databehandleravtale, som inngår som en del av avtalen mellom Kunden og HMSpass AS.

Hva regnes som personopplysninger?

Personopplysninger er all informasjon som kan knyttes til en identifiserbar enkeltperson – for eksempel navn, telefonnummer, e-postadresse, fødselsnummer eller bilder.

Hvilke data behandler vi?

Avhengig av tjenesten behandler HMSpass AS personopplysninger enten som behandlingsansvarlig eller som databehandler på vegne av Kunden. Dette kan omfatte:

  • Navn og kontaktopplysninger
  • Fødselsnummer eller D-nummer
  • Fødselsdato
  • Portrettfoto av kortholder
  • Bilde eller kopi av legitimasjon, når dette er nødvendig
  • Opplysninger om arbeidsgiver, arbeidsforhold eller annen tilknytning til virksomheten
  • Opplysninger om eksisterende og tidligere HMS-kort, herunder kortstatus og andre opplysninger knyttet til bestilling og administrasjon av HMS-kort
  • Navn og kontaktopplysninger til Kundens kontaktpersoner
  • Fakturaopplysninger
  • Tekniske opplysninger, som IP-adresse og tidspunkt for innsending
  • Andre opplysninger Kunden legger inn i løsningen eller instruerer HMSpass AS om å behandle

Datamengden varierer basert på tjenestetype og løsningens funksjonalitet.

Hvorfor behandler HMSpass personopplysninger når vi er behandlingsansvarlig?

Når HMSpass AS er behandlingsansvarlig, behandler vi personopplysninger for følgende formål:

  • Levering og administrasjon av tjenester: Når behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, er behandlingsgrunnlaget GDPR artikkel 6 nr. 1 bokstav b. Når Kunden er en virksomhet og behandlingen gjelder Kundens kontaktpersoner, er behandlingsgrunnlaget vår berettigede interesse i å administrere og følge opp kundeforholdet, jf. GDPR artikkel 6 nr. 1 bokstav f.
  • Kundeservice og kommunikasjon: Behandlingsgrunnlaget er vår berettigede interesse i å kommunisere med Kunden og yte kundeservice, jf. GDPR artikkel 6 nr. 1 bokstav f.
  • Sikkerhet, dokumentasjon og forebygging av misbruk: Behandlingsgrunnlaget er vår berettigede interesse i å beskytte våre tjenester, dokumentere relevante hendelser og forebygge og håndtere misbruk, jf. GDPR artikkel 6 nr. 1 bokstav f.
  • Oppfyllelse av lovpålagte plikter: Når behandling er nødvendig for å oppfylle en rettslig forpliktelse som HMSpass AS er underlagt, er behandlingsgrunnlaget GDPR artikkel 6 nr. 1 bokstav c.
  • Ikke-nødvendige informasjonskapsler: Når samtykke kreves, er behandlingsgrunnlaget ditt samtykke, jf. GDPR artikkel 6 nr. 1 bokstav a.

Når vi behandler personopplysninger på vegne av Kunden:

Når HMSpass AS behandler personopplysninger om arbeidstakere eller andre registrerte på vegne av Kunden, herunder ved bestilling og administrasjon av HMS-kort gjennom delegert tilgang eller fullmakt i Arbeidstilsynets HMS-kortløsning, er HMSpass AS databehandler. Kunden er ansvarlig for at behandlingen har gyldig behandlingsgrunnlag og for å gi nødvendige instrukser om behandlingen.

Hvordan samler vi inn personopplysninger?

Vi kan motta personopplysninger:

  • direkte fra deg,
  • fra Kunden som bestiller eller administrerer tjenesten, og
  • fra Arbeidstilsynets HMS-kortløsning, herunder opplysninger som løsningen innhenter eller verifiserer mot relevante offentlige registre, når Kunden har gitt HMSpass AS nødvendig delegert tilgang eller fullmakt.

Når HMSpass AS får tilgang til personopplysninger gjennom Arbeidstilsynets HMS-kortløsning, skjer dette på grunnlag av Kundens delegerte tilgang eller fullmakt og som ledd i HMSpass AS’ oppdrag som databehandler for Kunden. HMSpass AS behandler slike opplysninger i samsvar med databehandleravtalen.

Opplysninger som mottas eller gjøres tilgjengelige på denne måten kan blant annet omfatte identifikasjonsopplysninger, opplysninger om arbeids- eller tilknytningsforhold, opplysninger om eksisterende HMS-kort og andre opplysninger som er nødvendige for å bestille eller administrere HMS-kort.

Når bestillingsskjema eller våre nettsider benyttes, registrerer systemene våre enkelte tekniske opplysninger knyttet til innsendingen. Dette kan blant annet inkludere IP-adresse og tidspunkt for innsending av bestillingsskjema.

Opplysningene brukes for å dokumentere innsending av bestillinger, ivareta sikkerheten i våre systemer, forebygge misbruk og håndtere eventuelle tvister knyttet til bruk av tjenesten.

Informasjonskapsler brukes på nettsiden for å sikre funksjonalitet og forbedre brukeropplevelsen. Ikke-nødvendige informasjonskapsler kan brukes til analyse og annonsering når du har gitt samtykke.

Bruk av informasjonskapsler

Vi bruker CookieYes som vår løsning for samtykkebehandling av informasjonskapsler. Dette verktøyet sørger for at besøkende kan gi eller trekke tilbake sitt samtykke på en enkel og oversiktlig måte, i tråd med kravene i personvernlovgivningen.

Vi benytter informasjonskapsler for å:

  • Sikre grunnleggende og nødvendige funksjoner på nettsiden (nødvendige informasjonskapsler)
  • Analysere bruksmønster og forbedre løsninger (samtykke)
  • Styrke markedsføringsaktiviteter via tredjepartsnettverk (samtykke)

Hvem deles opplysningene med?

Vi deler ikke personopplysninger med eksterne parter med mindre det er nødvendig for å oppfylle våre tjenester.

Ved bestilling og administrasjon av HMS-kort behandles og utveksles nødvendige opplysninger gjennom Arbeidstilsynets HMS-kortløsning. Arbeidstilsynet er behandlingsansvarlig for sin egen behandling av personopplysninger i den offentlige HMS-kortordningen. Arbeidstilsynets kortutsteder behandler personopplysninger på vegne av Arbeidstilsynet.

Når HMSpass AS bestiller eller administrerer HMS-kort på vegne av Kunden, skjer HMSpass AS’ tilgang til og behandling av arbeidstakeropplysninger som databehandler for Kunden og på grunnlag av Kundens delegerte tilgang eller fullmakt. Dersom vi engasjerer underleverandører som behandler personopplysninger på våre vegne, vil vi inngå databehandleravtaler som stiller tilsvarende krav til datasikkerhet og personvern som vi selv etterlever.

Vi kan også være rettslig forpliktet til å utlevere personopplysninger til offentlige myndigheter når dette følger av lov eller gyldig myndighetspålegg. Ingen personopplysninger overføres til land utenfor EØS.

Dine rettigheter

Avhengig av behandlingen og behandlingsgrunnlaget kan du ha rett til å:

  • Be om innsyn i dine registrerte data
  • Kreve retting eller sletting
  • Protestere mot behandlingen
  • Kreve midlertidig begrensning i behandlingen
  • Be om utlevering i maskinlesbart format (dataportabilitet)

Når HMSpass AS behandler personopplysninger på vegne av Kunden som databehandler, skal henvendelser om den registrertes rettigheter som hovedregel rettes til Kunden som behandlingsansvarlig. HMSpass AS bistår Kunden med å ivareta slike henvendelser i samsvar med databehandleravtalen.

Dersom henvendelsen gjelder Arbeidstilsynets egen behandling av personopplysninger som del av den offentlige HMS-kortordningen, må den registrerte henvende seg til Arbeidstilsynet for å utøve sine rettigheter knyttet til denne behandlingen.

Ønsker du å trekke tilbake et tidligere gitt samtykke, kan dette gjøres når som helst. Tilbakekall påvirker ikke lovligheten av behandling basert på samtykket før det ble trukket tilbake.

Når HMSpass AS er behandlingsansvarlig, besvarer vi henvendelser om dine rettigheter uten ugrunnet opphold og som hovedregel senest innen én måned. Ved behov for identitetsbekreftelse kan vi be om tilleggsopplysninger.

Oppbevaring

Når HMSpass AS er behandlingsansvarlig, oppbevarer vi personopplysninger så lenge det er nødvendig for det aktuelle formålet. Opplysninger knyttet til kundeforhold oppbevares så lenge kundeforholdet består og deretter så lenge det er nødvendig for å håndtere eventuelle rettskrav. Opplysninger som må oppbevares etter lov, oppbevares i den perioden loven krever.

Når HMSpass AS behandler personopplysninger som databehandler på vegne av Kunden, oppbevares og slettes opplysningene i samsvar med Kundens dokumenterte instrukser og databehandleravtalen.

Informasjonssikkerhet

Vi arbeider systematisk med å sikre dine personopplysninger. Dette innebærer:

  • Risikovurderinger
  • Tekniske sikkerhetstiltak
  • Strenge tilgangsbegrensninger
  • Jevnlig internkontroll og opplæring

Alle våre ansatte er underlagt taushetsplikt. Ved mistanke om sikkerhetsbrudd, ber vi deg kontakte oss umiddelbart.

Klageadgang

Hvis du mener at HMSpass AS’ behandling av dine personopplysninger er i strid med personvernregelverket, har du rett til å klage til Datatilsynet, som er norsk tilsynsmyndighet for personvern. Du kan også kontakte oss først dersom du ønsker at vi skal forsøke å løse saken.

Kontakt oss

Endringer i denne erklæringen

Vi forbeholder oss retten til å oppdatere denne erklæringen ved endringer i regelverk eller praksis.