Dataskydd

Senast uppdaterad:

1. Vårt åtagande för dataskydd

Aromascentux tar skyddet av dina personuppgifter på allvar. Vi är engagerade i att skydda din integritet och säkerställa att dina personuppgifter behandlas på ett säkert och ansvarsfullt sätt. Denna dataskyddspolicy kompletterar vår integritetspolicy och beskriver de tekniska och organisatoriska åtgärder vi vidtar för att skydda dina uppgifter.

Vi följer EU:s allmänna dataskyddsförordning (GDPR) och annan tillämplig svensk och europeisk dataskyddslagstiftning. Vårt mål är att alltid vara transparenta med hur vi hanterar dina uppgifter och att ge dig kontroll över din personliga information.

2. Rättslig grund för behandling

Vi behandlar personuppgifter baserat på följande rättsliga grunder enligt GDPR:

2.1 Samtycke (Artikel 6.1a)

När du ger oss ditt uttryckliga samtycke behandlar vi dina uppgifter för de ändamål du har godkänt. Du har alltid rätt att när som helst återkalla ditt samtycke. Återkallelse påverkar inte lagligheten av behandling som skett innan samtycket återkallades.

Exempel på samtycksbaserad behandling:

Mottagande av nyhetsbrev och marknadsföring
Fotografering under konsultationer
Delning av kundrecensioner eller omdömen

2.2 Fullgörande av avtal (Artikel 6.1b)

När du bokar och använder våra tjänster behandlar vi de personuppgifter som är nödvändiga för att vi ska kunna leverera tjänsten enligt vårt avtal med dig.

Exempel på avtalsbaserad behandling:

Hantering av bokningar och schemaläggning
Leverans av stilkonsultationstjänster
Fakturering och betalningshantering
Kommunikation relaterad till din bokning

2.3 Rättslig förpliktelse (Artikel 6.1c)

I vissa fall är vi skyldiga enligt lag att behandla personuppgifter. Detta inkluderar:

Bokföring och redovisning enligt bokföringslagen
Skattedeklarationer och rapportering till Skatteverket
Efterlevnad av myndighetsbeslut

2.4 Berättigat intresse (Artikel 6.1f)

Vi kan behandla uppgifter baserat på vårt berättigade intresse när detta inte kränker dina grundläggande rättigheter och friheter. Vi genomför alltid en intresseavvägning innan vi förlitar oss på denna grund.

Exempel på behandling baserad på berättigat intresse:

Förbättring av våra tjänster och webbplats
Skydd mot bedrägerier och säkerhetsincidenter
Intern statistik och analys

3. Tekniska säkerhetsåtgärder

Vi har implementerat omfattande tekniska åtgärder för att skydda dina personuppgifter:

3.1 Kryptering

SSL/TLS-kryptering för all dataöverföring på vår webbplats
Kryptering av känsliga uppgifter i vila
Säker hantering av betalningsinformation genom certifierade betaltjänstleverantörer

3.2 Åtkomstkontroll

Starka lösenordskrav och tvåfaktorsautentisering
Principen om minsta behörighet - personal har endast åtkomst till uppgifter de behöver
Regelbunden granskning av åtkomsträttigheter
Loggning av åtkomst till känsliga uppgifter

3.3 Nätverkssäkerhet

Brandväggar och intrångsdetekteringssystem
Regelbundna säkerhetsuppdateringar och patchning
Övervakning av misstänkt aktivitet
Segmentering av nätverk för att begränsa spridning vid incidenter

3.4 Säkerhetskopiering

Regelbundna säkerhetskopior av all data
Geografiskt separerad lagring av säkerhetskopior
Regelbundna återställningstester

4. Organisatoriska säkerhetsåtgärder

Förutom tekniska åtgärder har vi implementerat organisatoriska rutiner för dataskydd:

4.1 Utbildning och medvetenhet

Regelbunden utbildning i dataskydd för all personal
Tydliga riktlinjer och policyer för hantering av personuppgifter
Medvetenhetsträning om aktuella säkerhetshot

4.2 Processer och rutiner

Dokumenterade processer för hantering av personuppgifter
Rutiner för incidenthantering och rapportering
Processer för att hantera begäranden från registrerade
Regelbunden översyn och uppdatering av rutiner

4.3 Leverantörsgranskning

Noggrann granskning av leverantörer som behandlar personuppgifter
Personuppgiftsbiträdesavtal med alla relevanta leverantörer
Regelbunden uppföljning av leverantörers efterlevnad

5. Internationell dataöverföring

Vi strävar efter att behandla personuppgifter inom EU/EES. Om överföring till tredje land är nödvändig säkerställer vi att lämpliga skyddsåtgärder finns på plats:

EU-kommissionens standardavtalsklausuler
Bindande företagsbestämmelser (BCR) där tillämpligt
Adekvat skyddsnivå enligt beslut av EU-kommissionen

Du har rätt att få information om vilka skyddsåtgärder som tillämpas vid eventuell överföring utanför EU/EES genom att kontakta oss.

6. Personuppgiftsincidenter

6.1 Definition

En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter.

6.2 Våra rutiner

Vid misstanke om eller bekräftad personuppgiftsincident:

Bedömer vi omedelbart incidentens omfattning och allvarlighetsgrad
Vidtar vi åtgärder för att begränsa skadan
Rapporterar vi till Integritetsskyddsmyndigheten inom 72 timmar om incidenten sannolikt innebär risk för fysiska personers rättigheter och friheter
Informerar vi berörda registrerade om incidenten sannolikt innebär hög risk
Dokumenterar vi incidenten och vidtagna åtgärder
Analyserar vi orsaken och implementerar förebyggande åtgärder

7. Konsekvensbedömning avseende dataskydd

Vi genomför konsekvensbedömningar avseende dataskydd (DPIA) när vi planerar behandling som sannolikt innebär hög risk för registrerades rättigheter och friheter. Detta inkluderar:

Beskrivning av planerad behandling och dess syfte
Bedömning av nödvändigheten och proportionaliteten
Bedömning av risker för registrerade
Planerade åtgärder för att hantera riskerna

8. Registerförteckning

Vi upprätthåller en registerförteckning över vår behandling av personuppgifter i enlighet med GDPR artikel 30. Förteckningen innehåller:

Kategorier av behandling
Ändamål med behandlingen
Kategorier av registrerade och personuppgifter
Mottagare av personuppgifter
Överföringar till tredje land
Lagringstider
Säkerhetsåtgärder

9. Dataskyddsombud

Baserat på vår verksamhets storlek och karaktär har vi för närvarande inget utsett dataskyddsombud. Frågor om dataskydd hanteras av vår ledning. Om du har frågor eller klagomål gällande vår behandling av personuppgifter är du välkommen att kontakta oss.

10. Samarbete med tillsynsmyndigheten

Vi samarbetar fullt ut med Integritetsskyddsmyndigheten (IMY) vid eventuella tillsynsärenden. Vi är skyldiga att:

Ge tillgång till lokaler och information vid tillsyn
Besvara förfrågningar inom angivna tidsfrister
Implementera eventuella korrigerande åtgärder

11. Dina rättigheter enligt GDPR

Du har omfattande rättigheter enligt GDPR. Vi respekterar och underlättar utövandet av dessa rättigheter:

Rätt till information - att få veta hur vi behandlar dina uppgifter
Rätt till tillgång - att få en kopia av dina uppgifter
Rätt till rättelse - att få felaktiga uppgifter korrigerade
Rätt till radering - att få uppgifter raderade under vissa omständigheter
Rätt till begränsning - att begränsa behandlingen under vissa omständigheter
Rätt till dataportabilitet - att få uppgifter i maskinläsbart format
Rätt att göra invändningar - att invända mot viss behandling
Rätt att inte bli föremål för automatiserat beslutsfattande

För att utöva dina rättigheter, kontakta oss via informationen nedan. Vi svarar inom en månad.

12. Uppdateringar av denna policy

Vi granskar och uppdaterar denna dataskyddspolicy regelbundet för att säkerställa att den återspeglar vår aktuella praxis och uppfyller gällande lagkrav. Väsentliga ändringar kommer att kommuniceras på vår webbplats.

13. Kontaktinformation

Om du har frågor om vårt dataskydd eller vill utöva dina rättigheter, kontakta oss:

Företagsnamn: Aromascentux
Adress: Galärvarvsvägen 14, 115 21 Stockholm, Sweden
Telefon: +46 8 519 548 00
E-post: welcome@aromascentux.world

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY) om du anser att vi behandlar dina personuppgifter i strid med dataskyddslagstiftningen.