myPOS og GDPR-reglur

Skuldbinding okkar við þig og verndun gagna þinna

Frá og með 25. maí 2018 tók Persónuverndarreglugerðin (e. General Data Protection Regulation eða GDPR) gildi innan allra landa Evrópusambandsins og Evrópska efnahagssvæðisins. GDPR miðar að því að samræma mismunandi gagnaverndarlög innan landa Evrópusambandsins, sem þýðir staðlaðri vernd fyrir alla Evrópubúa. Við hjá myPOS tökum þessum reglugerðarbreytingum opnum örmum því við höfum alltaf lagt hart að okkur að bjóða viðskiptavinum okkar öfluga persónugagnavernd.

Skipulagslegur viðbúnaður hjá myPOS

Persónugagnavernd viðskiptavina okkar er í hæsta forgangi hjá okkur. Síðasta árið höfum við unnið sleitulaust til að tryggja að öllum GDPR-reglum yrði fylgt vel fyrir tilsettan tíma. Við fylgjum einnig öllu verklagi á þessu svæði og eins öllum viðmiðum sem gefin eru út af eftirlitsstofnunum til að aðlaga varnir okkar öllum stundum og á fullnægjandi hátt.

Gagnaverndarfulltrúi, friðhelgisteymi og GDPR-þjálfun

Allt starfsfólk okkar hefur fengið GDPR-þjálfun, sem friðhelgisteymi okkar innanhúss, regludeild og friðhelgisráðgjafar okkar utanhúss hafa umsjón með. Allt nýtt starfsfólk þarf að fara í gegnum skylduþjálfun sem tengist friðhelgisreglum og góðum viðskiptaháttum. Nýjar þjálfunarlotur fara fram á hverju ári eftir það fyrir allt starfsfólk. Við höfum skipað gagnaverndarfulltrúa (e. DPO) sem gegnir einnig stöðu leiðtoga friðhelgisteymisins, samkvæmt kröfum GDPR.

Innri stefnur

Innri stefnur fyrirtækisins eru uppfærðar í samræmi við nýjar kröfur GDPR.

Gögn sem við söfnum

Þeim persónugögnum sem við söfnum og vinnum úr er ítarlega lýst í Friðhelgisstefnunni. Við vinnum úr persónugögnunum á mismunandi forsendum, sem útskýrt er af GDPR – vegna lagaskylda, til að ljúka og/eða sinna lagalegu sambandi, vegna lögmætra hagsmuna og byggt á samþykki viðskiptavina.

Hvernig við notum söfnuð gögn

Við notum, geymum og vinnum úr persónuupplýsingum til að veita, skilja, bæta og þróa þjónustu okkar, til að skapa og viðhalda öruggu umhverfi og fylgja lögmætum hagsmunum og lagalegum skyldum okkar. Til að fá ítarlegar upplýsingar skaltu skoða Friðhelgisstefnuna.

myPOS viðskiptavinir og persónugögn þeirra því tengt

Allir myPOS viðskiptavinir eru lögaðilar (fyrirtæki/hlutafélög). Önnur fyrirtæki eru ekki opinberlega skráðir aðilar. Hins vegar ber okkur skylda til að staðfesta auðkenni fyrirtækjaeiganda/notenda með heimild, sem opnar reikning (í málum þar sem fyrirtæki eða aðrir aðilar koma við sögu er vísað til „notanda sem opnar reikninginn“). Við vinnum úr persónugögnum þessa fyrirtækjaeiganda/notanda með heimild. Upplýsingar er varða fyrirtækið (að undanskildum verktökum), þar með talið áhættusnið og áreiðanleikakannanir, eru ekki eftirlitsskyldar af GDPR.

Hvers vegna tökum við myndir af viðurkenndum einstaklingum og skilríkjum þeirra og uppfyllir það GDPR-reglur?

myPOS Þjónustan er hönnuð í viðskiptalegum tilgangi og er aðgengileg fyrir bæði einstaklinga og aðila. Ef þú ætlar að skrá þig og/eða nota myPOS þjónustu fyrir hönd aðila munum við koma fram við þig eins og einstakling með heimild og þú gætir fengið beiðni um að afhenda okkur persónugögn lagalegs fyrirsvarsmanns, starfsfólks, fulltrúa eða annarra þriðju aðila sem tengjast aðilanum.

Samkvæmt lögbundnum skyldum okkar undir viðeigandi reglugerðum um baráttu gegn peningaþvætti og fjármögnun hryðjuverkastarfsemi (eða AML/CFT-lög) ber okkur skylda um að staðfesta auðkenni viðskiptavina okkar eða auðkenni einstaklinga með heimild sem opna reikninginn.

Við erum bundin af lögum að bera kennsl á og staðfesta eiganda reikningsins (einstaklingur með heimild frá fyrirtækinu) og fyrst einstaklingarnir geta ekki alltaf hlaðið upp umbeðnum upplýsingum sjálfir gerum við það í staðinn. Við höfum komið upp myndbandsspjalli til auðkenningar í netumhverfi sem fylgir bestu viðskiptaháttum. Við gerum þetta viðskiptavinum okkar til hægðarauka.

AML/CFL-lögin, í víðum skilningi, krefjast þess að fjármálastofnanir og aðrir aðilar sem eiga hættu á að vera notaðir sem tól fyrir peningaþvætti eða til að fjármagna hryðjuverk, að:

1. bera kennsl á viðskiptavini sína, sem þýðir að viðkomandi aðili verður að biðja viðskiptavininn um persónuupplýsingar sínar.
2. staðfesta auðkenni þeirra, sem þýðir að aðilinn verður að „athuga“ að þær persónuupplýsingar sem einstaklingurinn lætur í té séu ekki falsaðar, stolnar eða álíka.

Þegar ferlið að ofan fer ekki fram augliti til auglitis, eins og í gegnum app, verðum við að tryggja að staðfesting á auðkenni viðskiptavinarins verði gerð með a.m.k. tveimur tæknilegum ráðstöfunum.

Myndspjallið og beiðnin um að taka myndir af viðskiptavinum okkar og skilríkjum þeirra er, enn sem komið er, hröð og lögleg notendavæn leið til að veita þér þjónustu okkar.

Áhrifamat á gagnavernd

Við höfum gert ítarlega endurskoðun á gagnavinnslu okkar, eftir vöru og eftir deild. Við höfum greint ferli er varða vinnslu, eftirhaldstíma, tæknilegt og lagalegt öryggi fyrir rétt og frelsi viðskiptavina okkar og við höfum tryggt að öll gagnavinnsla sem við framkvæmum fari 100% eftir lögum og reglum.

Eftirhaldstími okkar

Vinsamlega athugið að sem fjármálastofnun er okkur skylt af greiðsluþjónustutilskipuninni og löggjöf um peningaþvætti að halda eftir gögnum um viðskiptavini í 5 ár eftir að samningi/reikningi viðskiptavina okkar er lokað.

Leiðrétting á persónugögnum viðskiptavina

Viðskiptavinir okkar geta sent okkur beiðni til að leiðrétta ónákvæmar eða ófullnægjandi persónulegar upplýsingar með tölvupósti í [email protected].

Aðgangur að gögnum

Viðskiptavinir okkar hafa rétt á því að fá afrit af þeim gögnum sem við geymum um þá hvenær sem er. Beiðnina má senda með tölvupósti í [email protected].

Gagnaeyðing

Við höldum vanalega persónuupplýsingum viðskiptavina eins lengi og nauðsynlegt er fyrir frammistöðu samnings á milli þeirra og okkar og til að fylgja reglugerðum. Viðskiptavinir okkar geta beðið um að láta loka myPOS reikningi sínum og segja upp samningi sínum hvenær sem er. Hins vegar munum við halda aftur gögnum þeirra í 5 ár eftir uppsögn til að fara að lögum.

Þegar lögbundnum eftirhaldstíma er lokið eyðum við persónuupplýsingum viðskiptavina okkar úr kerfum okkar. Beiðni um eyðslu gagna má senda í [email protected].

Til að fá frekari upplýsingar geturðu skoðað friðhelgisstefnuna.

Gagnafærsla sem réttur viðskiptavina okkar

Viðskiptavinir okkar hafa rétt á því að fá afrit af persónugögnum sínum í skipulögðu, notendavænu og tölvutæku formi sem hægt er að nota aftur. Hægt er að færa persónuleg gögn frá einum ábyrgðaraðila til annars og/eða látið senda persónugögnin beint á milli ábyrgðaraðila án hindrunar.

Samþykki dregið til baka og hömlur á vinnslu persónugagna

Þar sem viðskiptavinir okkar hafa gefið okkur samþykki sitt um að vinna úr persónuupplýsingum sínum geta þeir einnig dregið samþykki til baka hvenær sem er með því að breyta reikningsstillingum eða með því að senda okkur upplýsingar um slíkt, þar sem tekið er fram hvaða samþykki þeir vilja draga til baka. Vinsamlega athugið að með því að draga samþykki til baka hefur það ekki áhrif á lögmæti hvers kyns vinnsluferli sem byggð er á þannig samþykki áður en það var dregið til baka.

Réttindi skráðs aðila og lögaðila

Vinsamlega athugið að fyrirtæki eru ekki skráðir aðilar samkvæmt GDPR. Fyrirtækjaeigendur sem nota þjónustu myPOS og eru með viðskiptareikninga geta nýtt sér réttindi sín, en aðeins hvað varðar persónugögn sín (eða persónugögn einstaklings með heimild). Upplýsingar um þeirra eigið fyrirtæki, þar á meðal áhættulýsingu og áreiðanleikakönnun, eru ekki eftirlitsskyldar af GDPR.

Hverjum við deilum persónugögnum með

Við gætum deilt persónulegum gögnum með meðlimum myPOS fyrirtækjahópsins til að geta veitt viðskiptavinum okkar þá þjónustu sem þeir hafa beðið um og til að koma í veg fyrir hugsanleg ólögleg og sviksamleg athæfi og önnur brot á stefnum okkar. Við gætum líka deilt persónuupplýsingum með þriðju aðila þjónustuveitendum sem styðja okkur í að veita myPOS þjónustu, vörur og/eða vettvang með aðgerðum sem við ákveðum og fyrir okkar hönd. Til að fá frekari upplýsingar er hægt að skoða 3. hluta í Friðhelgisstefnunni.

Börn og þjónusta okkar

Þjónusta okkar er ekki hönnuð fyrir einstaklinga undir 18 ára aldri, nema að við höfum sérstaklega tilgreint það í friðhelgisstefnunni eða í öðru lagalegu skjali. Ef við fáum upplýsingar um að við höfum safnað persónuupplýsingum einstaklings sem er undir 18 ára aldri munum við eyða þeim tafarlaust, nema okkur sé lagalega skylt að halda eftir þannig gögnum.

Skoðun á seljendum og félögum

Allir núverandi seljendur okkar hafa verið skoðaðir til þess að tryggja að þeir standist öryggis- og friðhelgiskröfur sem nefndar eru í GDPR. Til að halda fullvissu munu þessar skoðanir verða gerðar fyrir alla innkomandi söluaðila. Þar sem við færum, geymum og vinnum úr persónuupplýsingum utan Evrópska efnahagssvæðisins getum við ábyrgst að viðeigandi öryggisráðstafanir eru til staðar til að tryggja fullnægjandi gagnavernd.

Þegar við eigum við aðila utan EES krefjumst við ætíð að seljendur okkar séu annað hvort skráðir undir friðhelgissamkomulaginu (eða svipað) eða að þeir leggi fram skoðun á þeirra eigin friðhelgisvernd.

Dulkóðun og geymsla á persónugögnum

Við tökum ábyrgð á því að tryggja að persónuupplýsingar þínar séu öruggar og geymdar á dulkóðuðu formi á þjónum sem staðsettir eru í sérstökum gagnaverum í Class A umdæmum í Evrópu. Til að koma í veg fyrir óviðeigandi aðgang að eða uppljóstrun upplýsinga viðhöldum við áþreifanlegum, rafrænum og formlegum öryggisráðstöfunum sem fylgja viðeigandi reglugerðum til að vernda lokaðar persónuupplýsingar.

Hvað varðar myPOS reikninginn er öryggisráðstöfunum fyrir hann lýst í Friðhelgisstefnunni.

Viðbrögð við atvikum

Ferli okkar er varða viðbrögð við atvikum hafa verið hönnuð og prófuð til að tryggja að hugsanleg öryggisatvik finnist og þau tilkynnt til viðeigandi starfsfólks til lausnar, að starfsfólk fylgi sérstökum aðferðum til að leysa öryggisatvik, og að úrlausnir séu reglulega skráðar og skoðaðar af öryggisteymi okkar. Að auki vinnum við í að uppfæra þessar stefnur og ferli til að taka með í reikninginn tilkynningar um brot þegar og ef öryggisatvik koma upp þar sem persónugreinanlegar upplýsingar týnast eða þær notaðar í leyfisleysi.

Reglufylgni er varða vafrakökur

Við notum vafrakökur og aðra tækni þegar notendur heimsækja eða nota vefsíður okkar eða öpp. Þessi notkun er byggð á samþykki. Ef notendur okkar vilja draga til baka leyfi sitt til að samþykkja vafrakökur og svipaða tækni geta þeir eytt kökunum í vafrastillingum sínum (það er útskýrt í Vafrakökustefnunni). Þú finnur frekari upplýsingar um hvernig eigi að eyða og loka á vafrakökur á http://www.allaboutcookies.org/manage-cookies/clear-cookies-installed.html

Leyfi okkar og skráningar

Við veitum fjármálaþjónustu innan alls ESB og EES. myPOS Payments Ltd. er skráð af FCA sem rafeyrisstofnun, sem hluti af hópnum, og býður upp á viðskiptareikninga og fjármálaþjónustu. Þú getur fundið skráningarnúmerið okkar hjá viðeigandi greiðslueftirlitsstofnunum, t.d. Í Bretlandi finnurðu okkur í fjármálaþjónustuskrá (e. Financial Services Register), á:

https://register.fca.org.uk/ShPo_FirmDetailsPage?id=001b000003tahppAAA