GDPR-databeskyttelsespolitik
Denne politik har til formål at forklare, hvordan maroravelrion.com behandler personoplysninger i forbindelse med udbud af møbler og relaterede tjenester til forbrugere i Danmark i overensstemmelse med EU's generelle forordning om databeskyttelse (GDPR) og gældende databeskyttelseslovgivning.
Politikken gælder for besøg på webstedet, browsing af produkter, afgivelse af ordrer, betaling, levering, kontakt med kundeservice og andre aktiviteter, der indebærer behandling af personoplysninger.
Behandlingen af personoplysninger skal overholde de grundlæggende principper om lovlighed, rimelighed, gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, integritet og fortrolighed. Vi behandler kun personoplysninger, når der foreligger et relevant retsgrundlag, og formålet med behandlingen er klart defineret. Omfanget af behandlingen fastlægges på grundlag af de faktiske forretningsaktiviteter.
1. Kategorier af personoplysninger og deres kilder
1.1 Mulige kategorier af personoplysninger
Afhængigt af den faktiske interaktion mellem brugeren og webstedet kan følgende kategorier af personoplysninger være relevante:
Kontaktoplysninger:
Navn, e-mailadresse og telefonnummer.
Faktureringsadresse og leveringsadresse.
Ordreoplysninger:
Ordrenummer, ordrestatus og oplysninger om købte produkter.
Registreringer vedrørende levering, returnering, annullering af ordrer og tilbagebetaling.
Kommunikation vedrørende ordrer.
Betalingsoplysninger:
Betalingsstatus, transaktionsreferencer og andre oplysninger, der er nødvendige for at behandle betalinger.
Hvis der anvendes eksterne betalingstjenester, kan de relevante tjenesteudbydere behandle betalingsoplysninger selvstændigt eller på vegne af den relevante dataansvarlige. Vi hævder ikke uden forudgående verifikation, at webstedet modtager eller opbevarer fulde kortnumre, sikkerhedskoder eller andre betalingsoplysninger, som ikke er blevet bekræftet.
Oplysninger om kundeservice:
Henvendelser, klager og anmodninger, som brugerne frivilligt indsender.
Kommunikationsregistreringer vedrørende returneringer, tilbagebetalinger, ordrebehandling og kundeservice.
Tekniske oplysninger:
Hvis webstedet faktisk indsamler sådanne tekniske oplysninger, kan de omfatte IP-adresse, browsertype, enhedsoplysninger, adgangslogfiler og oplysninger om brugen af webstedet.
Oplysninger indsamlet via cookies og lignende teknologier:
Hvis webstedet faktisk anvender cookies eller lignende teknologier, kan der blive genereret oplysninger om sessioner, tekniske præferencer eller brugen af webstedets funktioner. Det konkrete omfang af behandlingen afhænger af webstedets faktiske konfiguration.
Ovenstående kategorier beskriver alene de oplysninger, der potentielt kan være relevante, og betyder ikke, at webstedet har bekræftet, at alle de nævnte oplysninger indsamles.
1.2 Kilder til personoplysninger
Personoplysninger kan stamme fra:
Oplysninger, som brugerne selv afgiver.
Registreringer, der opstår, når brugerne afgiver ordrer, betaler eller anmoder om returnering eller tilbagebetaling.
Kommunikation mellem brugere og kundeservice.
Oplysninger, der genereres af de tekniske funktioner, som webstedet faktisk anvender.
Medmindre de pågældende aktiviteter er blevet verificeret, beskrives køb af data fra datamæglere, brug af ubekræftede eksterne databaser eller oprettelse af brugerprofiler ved hjælp af tredjepartsdata ikke som faktiske aktiviteter på webstedet.
2. Formål med behandlingen af personoplysninger og retsgrundlag
Personoplysninger må kun behandles til klart definerede og lovlige formål, når der foreligger et relevant retsgrundlag. Forskellige behandlingsaktiviteter kan have forskellige retsgrundlag. Det er ikke korrekt at basere al behandling på brugerens samtykke.
2.1 Opfyldelse af en kontrakt
For at behandle ordrer, administrere købstransaktioner, arrangere levering, give oplysninger om ordrestatus og håndtere returneringer, annulleringer og tilbagebetalinger kan det være nødvendigt at behandle relevante kontaktoplysninger, ordreoplysninger og betalingsstatus.
Når behandlingen er nødvendig for at opfylde en kontrakt med brugeren eller for at træffe foranstaltninger på brugerens anmodning forud for indgåelse af en kontrakt, er retsgrundlaget GDPR artikel 6, stk. 1, litra b.
2.2 Kundeservice
For at besvare brugerhenvendelser, behandle klager, følge op på ordreproblemer og håndtere relevante anmodninger kan det være nødvendigt at behandle brugernes kontaktoplysninger og kommunikationsregistreringer.
Når behandlingen er nødvendig for at opfylde en kontrakt eller træffe foranstaltninger forud for indgåelse af en kontrakt, kan GDPR artikel 6, stk. 1, litra b, anvendes som retsgrundlag. I andre tilfælde skal det relevante retsgrundlag fastlægges ud fra det konkrete formål og de faktiske omstændigheder.
2.3 Overholdelse af retlige forpligtelser
Hvis gældende lovgivning kræver opbevaring af regnskabsmateriale, skattedokumentation eller andre forretningsmæssige registreringer, kan det være nødvendigt at behandle og opbevare de personoplysninger, der kræves for at opfylde disse forpligtelser.
I sådanne tilfælde er retsgrundlaget GDPR artikel 6, stk. 1, litra c, sammenholdt med de relevante lovbestemmelser.
2.4 Webstedssikkerhed og legitime interesser
Når det er nødvendigt og forholdsmæssigt, kan personoplysninger blive behandlet for at beskytte webstedets sikkerhed, undersøge sikkerhedshændelser, forebygge svig eller varetage legitime interesser.
Når behandlingen er baseret på legitime interesser, kan retsgrundlaget være GDPR artikel 6, stk. 1, litra f. Der skal dog foretages en konkret vurdering for at sikre, at de legitime interesser ikke tilsidesættes af den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder.
Brugerne kan gøre indsigelse mod behandling baseret på legitime interesser på de betingelser, der er fastsat i GDPR.
2.5 Cookies, statistik, analyse og markedsføring
For ikke-nødvendige cookies eller lignende teknologier, der efter lovgivningen kræver forudgående samtykke, skal der indhentes gyldigt samtykke, inden de aktiveres.
Hvis webstedet gennemfører elektroniske markedsføringsaktiviteter, skal gældende regler om elektronisk markedsføring og databeskyttelse overholdes. Når samtykke anvendes som retsgrundlag, gælder GDPR artikel 6, stk. 1, litra a.
Uden forudgående verifikation bør det ikke antages, at webstedet nødvendigvis gennemfører markedsføringsaktiviteter, anvender bestemte analyseværktøjer eller benytter bestemte reklameteknologier.
3. Videregivelse af personoplysninger og modtagere
Når der foreligger et lovligt grundlag, og det er nødvendigt, kan personoplysninger videregives til eksterne modtagere, der leverer relevante tjenester.
Mulige kategorier af modtagere omfatter:
Leverings- og logistikudbydere: For at gennemføre leveringen af ordrer kan det være nødvendigt at videregive relevante kontaktoplysninger, ordreoplysninger og leveringsoplysninger.
Betalingstjenesteudbydere: Hvis der anvendes eksterne betalingstjenester, kan det være nødvendigt at behandle relevante betalingsoplysninger og transaktionsreferencer.
IT-, hosting- og teknologileverandører: Hvis eksterne tjenesteudbydere faktisk deltager i hosting, vedligeholdelse, teknisk support eller sikkerhedsadministration af webstedet, kan de få adgang til relevante oplysninger i det nødvendige omfang.
Offentlige myndigheder og andre juridisk berettigede modtagere: Det kan være nødvendigt at videregive relevante oplysninger, når det kræves i henhold til gældende lovgivning, lovlige krav fra kompetente myndigheder eller relevante retlige procedurer.
Hvis en tredjepart behandler personoplysninger på webstedets vegne, skal der, når GDPR artikel 28 finder anvendelse, indgås en databehandleraftale, der opfylder de relevante krav.
Omfanget af videregivelsen skal begrænses til det, der er nødvendigt for det konkrete formål. Om en modtager er databehandler eller selvstændigt dataansvarlig, skal afgøres ud fra modtagerens faktiske rolle og behandlingsaktiviteter.
Ovenstående kategorier betyder ikke, at webstedet har bekræftet et samarbejde med bestemte tjenesteudbydere, og de udgør ikke en erklæring om konkrete behandlingsaktiviteter hos tredjeparter.
4. Krav til databeskyttelse ved brug af cookies og lignende teknologier
Cookies og lignende teknologier kan anvendes til at understøtte webstedets grundlæggende funktioner, gemme brugerpræferencer, analysere brugen af webstedet eller gennemføre markedsføringsaktiviteter. Disse oplysninger er dog kun relevante, hvis webstedet faktisk anvender de pågældende teknologier.
Strengt nødvendige cookies, der opfylder lovens betingelser, kan anvendes uden samtykke.
For ikke-nødvendige cookies eller lignende teknologier, der kræver samtykke efter gældende lovgivning, skal der indhentes gyldigt samtykke, inden de aktiveres. Samtykket skal være frivilligt, specifikt, informeret og utvetydigt, og brugerne skal kunne afvise eller trække det tilbage i overensstemmelse med de gældende regler.
Hvis cookies eller lignende teknologier indebærer behandling af personoplysninger, skal GDPR og den gældende danske cookielovgivning også overholdes.
Oplysningerne om cookies på webstedet skal stemme overens med den faktiske tekniske konfiguration, herunder de teknologier, der anvendes, formålene med behandlingen og eventuelle involverede tredjeparter. Uden forudgående verifikation bør der ikke opfindes cookienavne, opbevaringsperioder eller indstillinger for brugerpræferencer.
5. Opbevaringsperioder for personoplysninger
Personoplysninger må kun opbevares så længe, det er nødvendigt for at opfylde de relevante behandlingsformål, medmindre gældende lovgivning kræver eller tillader en længere opbevaringsperiode.
Ved fastlæggelsen af opbevaringsperioder skal der tages hensyn til:
Formålet med behandlingen.
Oplysningernes art og følsomhed.
De faktiske behov for ordreadministration og kundeservice.
Lovbestemte opbevaringskrav vedrørende regnskab, skat og andre forhold.
Behovet for at fastlægge, gøre retskrav gældende eller forsvare retskrav.
Andre lovlige og nødvendige grunde til opbevaring.
Når personoplysninger ikke længere er nødvendige, og der ikke findes et lovligt grundlag for fortsat opbevaring, skal de slettes eller anonymiseres på passende vis.
De konkrete opbevaringsperioder skal fastlægges ud fra de faktiske datakategorier, behandlingsformål og gældende lovgivning. Der bør ikke fastsættes én fælles opbevaringsperiode for alle oplysninger uden forudgående verifikation.
6. Datasikkerhed og brud på persondatasikkerheden
Der skal træffes passende tekniske og organisatoriske foranstaltninger for at mindske risikoen for uautoriseret adgang, tab, misbrug, videregivelse, ændring eller anden ulovlig behandling. Foranstaltningerne skal fastlægges under hensyntagen til personoplysningernes art, behandlingens omfang, formålene og de relevante risici.
Sikkerhedsforanstaltningerne skal stå i et passende forhold til de relevante risici og justeres efter behov. Ingen sikkerhedsforanstaltninger må beskrives som en garanti for absolut sikkerhed.
Hvis der opstår et brud på persondatasikkerheden, skal hændelsen vurderes i overensstemmelse med GDPR, og de relevante forpligtelser skal opfyldes, når de lovbestemte betingelser er opfyldt.
Afhængigt af omstændighederne kan dette omfatte:
Underretning af den kompetente tilsynsmyndighed inden for den lovbestemte frist, når betingelserne i GDPR artikel 33 er opfyldt.
Underretning af de berørte personer, når betingelserne i GDPR artikel 34 er opfyldt.
Det skal afgøres ud fra de konkrete omstændigheder og gældende lovgivning, om en underretning eller meddelelse er påkrævet.
7. Registreredes rettigheder i henhold til GDPR
Afhængigt af den konkrete behandlingssituation og betingelserne i GDPR kan den registrerede have følgende rettigheder.
7.1 Ret til indsigt
I henhold til GDPR artikel 15 kan den registrerede anmode om bekræftelse på, om personoplysninger om vedkommende behandles, og, når betingelserne er opfyldt, få adgang til oplysningerne samt information om blandt andet behandlingsformål, kategorier af personoplysninger, modtagere og opbevaringsperioder.
7.2 Ret til berigtigelse
I henhold til GDPR artikel 16 kan den registrerede anmode om berigtigelse af urigtige personoplysninger og, under hensyntagen til formålet med behandlingen, supplering af ufuldstændige oplysninger.
7.3 Ret til sletning
I henhold til GDPR artikel 17 kan den registrerede anmode om sletning af personoplysninger, når de lovbestemte betingelser er opfyldt.
Retten til sletning er ikke absolut. Hvis der foreligger en lovbestemt opbevaringspligt eller et andet gyldigt grundlag for fortsat behandling, er det muligvis ikke muligt at slette de relevante oplysninger.
7.4 Ret til begrænsning af behandling
I henhold til GDPR artikel 18 kan den registrerede, når betingelserne er opfyldt, anmode om begrænsning af behandlingen af personoplysninger, eksempelvis hvis oplysningernes rigtighed bestrides, eller hvis der foreligger andre forhold, der berettiger til begrænsning efter lovgivningen.
7.5 Ret til dataportabilitet
I henhold til GDPR artikel 20 kan den registrerede, når behandlingen er baseret på samtykke eller kontrakt og foretages automatisk, få de personoplysninger, som vedkommende selv har afgivet, i et struktureret, almindeligt anvendt og maskinlæsbart format, forudsat at de lovbestemte betingelser er opfyldt.
Når det er teknisk muligt og opfylder lovens krav, kan den registrerede også anmode om, at oplysningerne overføres direkte til en anden dataansvarlig.
7.6 Ret til indsigelse
Hvis behandlingen er baseret på legitime interesser i henhold til GDPR artikel 6, stk. 1, litra f, kan den registrerede gøre indsigelse af grunde, der vedrører vedkommendes særlige situation.
Indsigelsen skal vurderes i overensstemmelse med GDPR artikel 21. Behandlingen skal ophøre, medmindre der foreligger tungtvejende legitime grunde, som går forud for den registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for at fastlægge, gøre retskrav gældende eller forsvare retskrav.
Den registrerede har ret til at gøre indsigelse mod behandling af personoplysninger til direkte markedsføring. Når en gyldig indsigelse fremsættes, må oplysningerne ikke længere behandles til dette formål.
7.7 Ret til at trække samtykke tilbage
Hvis behandlingen af personoplysninger er baseret på samtykke, kan den registrerede til enhver tid trække sit samtykke tilbage.
Tilbagetrækningen påvirker ikke lovligheden af behandling, der fandt sted på grundlag af et gyldigt samtykke før tilbagetrækningen. Efter tilbagetrækningen må behandlingen ikke fortsætte med det tilbagetrukne samtykke som retsgrundlag.
Hvis behandlingen ønskes videreført på et andet retsgrundlag, skal det bekræftes, at dette grundlag selvstændigt finder anvendelse på den relevante aktivitet.
7.8 Ret til at indgive klage
Hvis den registrerede mener, at personoplysninger behandles uhensigtsmæssigt, kan vedkommende indgive en klage til den kompetente databeskyttelsesmyndighed.
For personer, der er omfattet af dansk databeskyttelseslovgivning, omfatter den relevante tilsynsmyndighed Datatilsynet.
Officiel hjemmeside: https://www.datatilsynet.dk/
Afhængigt af omstændighederne kan den registrerede også have ret til at indgive en klage til en anden kompetent tilsynsmyndighed i EU/EØS.
Ovenstående rettigheder er underlagt de betingelser og undtagelser, der er fastsat i GDPR, og skal vurderes i forhold til den konkrete anmodning.
8. Indsendelse og behandling af anmodninger om databeskyttelse
Personer kan bruge følgende kontaktoplysninger til at anmode om indsigt, berigtigelse, sletning, begrænsning af behandling, dataportabilitet eller andre GDPR-relaterede rettigheder:
E-mail: contact@maroravelrion.com
Telefon: +1 (318) 571-8099
For at lette behandlingen anbefales det at beskrive anmodningens indhold og de relevante forhold tydeligt.
For at beskytte personoplysninger kan der, når det er nødvendigt og lovligt, gennemføres passende identitetskontrol. Sådanne foranstaltninger skal begrænses til det, der er nødvendigt for at forhindre uautoriseret videregivelse eller ændring af personoplysninger.
I henhold til GDPR artikel 12, stk. 3, skal anmodninger besvares uden unødig forsinkelse og som udgangspunkt senest en måned efter modtagelsen.
Hvis anmodningen er kompleks, eller der modtages mange anmodninger, kan fristen under de betingelser, der er fastsat i GDPR, forlænges med op til yderligere to måneder. Ansøgeren skal informeres om forlængelsen og årsagerne hertil inden for den oprindelige frist på en måned.
Hvis en anmodning afslås, skal årsagen oplyses inden for den gældende frist, og ansøgeren skal informeres om muligheden for at indgive en klage eller søge retslig prøvelse i overensstemmelse med lovgivningen.
Udøvelse af rettigheder er som udgangspunkt gratis. For anmodninger, der er åbenbart grundløse eller overdrevne, kan lovbestemte undtagelser dog anvendes, når betingelserne i GDPR er opfyldt.
9. Tilbagetrækning af samtykke og håndtering af markedsføring
For behandlingsaktiviteter, der er baseret på samtykke, skal den registrerede have mulighed for at trække samtykket tilbage. Når lovgivningen kræver det, skal det være lige så let at trække samtykket tilbage som at give det.
Den registrerede kan, hvis webstedet faktisk tilbyder en relevant funktion til håndtering af samtykke, bruge denne funktion eller sende en anmodning om tilbagetrækning til følgende e-mailadresse:
contact@maroravelrion.com
Hvis webstedet sender elektronisk markedsføringsmateriale, skal gældende regler om elektronisk markedsføring og databeskyttelse overholdes.
Når det er relevant, kan brugerne stoppe med at modtage fremtidige markedsføringsmeddelelser ved at benytte den afmeldingsmulighed, der faktisk stilles til rådighed, eller ved at kontakte webstedet direkte.
En gyldig indsigelse mod direkte markedsføring skal respekteres i overensstemmelse med GDPR artikel 21.
Denne politik forudsætter ikke, at webstedet nødvendigvis sender markedsføringsmeddelelser eller anvender bestemte markedsføringsplatforme eller afmeldingsværktøjer.
10. Overførsel af personoplysninger til lande uden for EU/EØS
Overførsel af personoplysninger til lande uden for EU/EØS skal ske i overensstemmelse med kapitel V i GDPR.
Webstedets kontaktadresse er beliggende i USA, men dette forhold beviser ikke i sig selv, at alle personoplysninger opbevares i USA, eller at alle oplysninger overføres dertil.
Om der finder internationale dataoverførsler sted, og hvor oplysningerne faktisk opbevares, skal fastlægges ud fra de systemer, tjenesteudbydere og behandlingsaktiviteter, som webstedet faktisk anvender.
Hvis der faktisk overføres personoplysninger til lande uden for EU/EØS, skal der anvendes en overførselsmekanisme, som er anerkendt i GDPR og egnet til den konkrete situation.
Afhængigt af omstændighederne kan dette omfatte:
En afgørelse om tilstrækkeligheden af beskyttelsesniveauet fra Europa-Kommissionen, der gælder for den relevante overførsel.
Passende garantier i henhold til GDPR artikel 46, eksempelvis standardkontraktbestemmelser, når de relevante betingelser er opfyldt.
Undtagelserne i GDPR artikel 49, men kun når de specifikke lovbestemte betingelser er opfyldt.
Hvis der anvendes passende garantier, skal relevante risici vurderes, og supplerende foranstaltninger skal træffes, når det er nødvendigt.
Indtil de faktiske ordninger er blevet verificeret, bør der ikke hævdes, at en bestemt overførselsmekanisme anvendes, eller at oplysninger opbevares i et bestemt land eller modtages af en bestemt modtager.
11. Opdateringer af GDPR-politikken
Denne politik kan blive opdateret, hvis der sker ændringer i gældende lovgivning, webstedets funktioner, forretningsaktiviteter eller metoder til behandling af personoplysninger.
Den offentliggjorte politik skal nøjagtigt afspejle de faktiske behandlingsaktiviteter og de gældende lovkrav.
Hvis ændringer har væsentlig betydning for de registreredes rettigheder eller behandlingen af deres personoplysninger, skal relevante oplysningsforpligtelser opfyldes i overensstemmelse med gældende lovgivning.
Datoen for seneste opdatering og ikrafttrædelsesdatoen skal angives, når de faktisk er fastlagt. Der må ikke anvendes ubekræftede datoer eller gives løfter om automatiske meddelelser, som ikke reelt tilbydes.
12. Kontakt vedrørende databeskyttelse og klager til tilsynsmyndigheder
Hvis du har spørgsmål vedrørende GDPR, ønsker at udøve dine rettigheder i forbindelse med personoplysninger eller vil indhente oplysninger om behandlingen af personoplysninger, kan du kontakte webstedet via følgende kontaktoplysninger:
E-mail: contact@maroravelrion.com
Telefon: +1 (318) 571-8099
Kontaktadresse: 4227 Beale St, Monroe, LA 71203, United States
Kundeservice: Mandag til fredag Kl. 09.00–18.00(Europe/Copenhagen)