Syfte

Denna integritetspolicy gäller för Allderma AB (559156–4322) och eller annat bolag som ingår i samma koncern som nu nämnda bolag (hädanefter”Allderma”, ”vi”, ”vår”, ”oss”).

Integritetspolicyn har antagits av ledningen och uppdateras vid behov. Policyn utgör allmän information, om hur företaget behandlar interna och externa personuppgifter.

Inom företaget och dess verksamhet hanteras personuppgifter. Uppgifterna behandlas bland annat för att företaget ska kunna fullgöra ingångna avtal med kunder, leverantörer och anställda samt på grund av skyldigheter enligt lag. Som utgångspunkt är Alldermas kunder personuppgiftsansvarig för alla behandlingar av personuppgifter som görs under avtal mellan oss och våra kunder. För sådana behandlingar ingår företaget personuppgiftsbiträdesavtal med sina kunder och behandlar uppgifterna under instruktion från och för kundens räkning.

Denna allmänna integritetspolicy (”Integritetspolicyn”)gäller när vi behandlar personuppgifter för egenräkning, d.v.s. när Allderma är personuppgiftsansvarig. Integritetspolicyn gäller för samtliga anställda och inhyrd personal hos oss inbegripet företagsledning, tjänstemän, anställda och andra personer som agerar för eller på uppdrag av företaget.

Det övergripande syftet med denna integritetspolicy är att fastställa roller och ansvarsområden inom vår organisation, samt att fastställa de normer och principer som ska säkerställa att insamling och behandling av personuppgifter inom företaget sker i enlighet med gällande Dataskyddslagstiftning (enligt definition nedan).

‍

Definitioner

Behandling (av personuppgift) är varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig de sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning, ändring, begränsning, justering, radering eller förstöring, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning.

Behandlingsregister avser det register över behandlingar som Allderma är skyldig att föra över personuppgiftsbehandlingar enligt artikel 30i GDPR.

Dataskyddslagstiftning avser Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (”GDPR”) och varje annan nationell eller europeisk lag, förordning eller direktiv som från tid till annan gäller för företagets behandling av personuppgifter.

Personuppgifter är varje upplysning som avser en identifierad eller identifierbar fysisk person som är i livet. Med identifierbar fysisk person menas en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Personuppgiftsansvarig är den juridiska person som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter.

Personuppgiftsbiträde är en juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räkning, t.ex. Alldermas leverantörer.

Integritetsskyddsmyndigheten (IMY) gör kontroller med anledning av klagomål från enskilda, uppgifter i massmedia eller på eget initiativ. Åtgärder omfattar fältinspektioner och inspektioner genom enkäter eller annan kontroll per e-post, telefon eller brev.

‍

Grundläggande principer för Alldermas personuppgiftsbehandling

Vi ska följa vid var tid gällande Dataskyddslagstiftning vid behandling av personuppgifter.

Vi ska endast behandla personuppgifter på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade och den personuppgiftsansvarige. Detta innebär bl.a. att vår personuppgiftsbehandling ska följa följande grundläggande principer:
‍

• Dokumenterat personuppgiftsansvar: För varje behandling av personuppgifter, där vi bestämmer ändamål och medel, ska det finnas ett eller flera bolag inom företaget som har bedömts vara personuppgiftsansvarig. Ansvaret för behandlingar där bolag inom företaget är personuppgiftsansvarig ska dokumenteras i Behandlingsregister.
• Laglig grund: Varje behandling av personuppgifter ska utföras med stöd av en dokumenterad laglig grund.
• Ändamålsbegränsning: Uppgifterna ska samlas in för särskilt, uttryckligen angivna ändamål och får inte senare behandlas på ett oförenligt sätt.
• Uppgiftsminimering: Endast personuppgifter som är adekvata, relevanta och inte för omfattande i förhållande till ändamålet ska samlas in.
• Korrekthet: Uppgifterna ska vara korrekta och uppdaterade och det ska vara möjligt att spåra ändringar.
• Lagringsminimering: Uppgifterna får inte förvaras längre än vad som krävs i förhållande till ändamålet.
• Konfidentialitet: Personuppgifter ska skyddas av lämpliga tekniska och organisatoriska säkerhetsåtgärder för att förhindra obehörig eller otillåten behandling och förlust, förstöring eller förvanskning av uppgifterna.

‍

När behandling av personuppgifter är laglig

Allmänt om laglig grund

Behandlingen av personuppgifter är endast laglig om minst ett av följande villkor är uppfyllda:

• Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
• Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.
• Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
• Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.
• Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
• Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter.

Laglig grund för vår behandling av personuppgifter ska avgöras och dokumenteras i den personuppgiftsansvariges Behandlingsregister. Vid osäkerhetska samråd ske med Alldermas General Privacy Manager (GPM).

‍

Laglig grund för personuppgiftsbehandling vid rekrytering

Behandlingen är nödvändig för att kunna hantera ansökan från den som söker arbete hos oss och baseras på det samtycke som du lämnas i samband med ansökan. Vi har inget intresse av vetskap av medlemskap i fackförening, trosuppfattning, sexuell läggning, politiska åsikter, eventuella sjukdomar eller andra uppgifter som saknar relevans för rekryteringen.

För vissa specifika behandlingar i samband med rekrytering kan du komma att få behöva ytterligare, kompletterande eller avvikande, information om enskild behandling av personuppgifter.

‍

Den registrerades rättigheter

En grundläggande aspekt av Dataskyddslagstiftningen är att den innehåller vissa lagreglerade och tvingande rättigheter för de registrerade vars personuppgifter behandlas. Som personuppgiftsansvarig har Allderma en skyldighet att underlätta för den som vill utöva sina rättigheter enligt GDPR.

Om en person vill veta vilka uppgifter som finns registrerade om honom eller henne, eller om personen vill utöva någon annan av sina rättigheter enligt GDPR, hänvisas du till Alldermas GPM.

Den registrerade har även rätt att återkalla eventuellt lämnade samtycken. Återkallandet av samtycket ska inte påverka lagligheten av behandling som grundar sig på samtycke, innan det återkallas.

Den registrerade har bland annat rätt till:

• Rätt till tillgång av sina personuppgifter, vilket innebär att den registrerade har rätt att få bekräftelse på huruvida personuppgifter som rör den registrerade behandlas och om så är faller även få tillgång till personuppgifterna och viss ytterligare information om behandlingen.
• Rätt till dataportabilitet, vilket innebär att den registrerade under vissa omständigheter har rätt att få del av personuppgifter i syfte att kunna överföra personuppgifterna till annan personuppgiftsansvarig.
• Rätt till rättelse, radering eller begränsning av behandling av sina personuppgifter samt rätt att invända mot behandlingen.
• Rätt att klaga till den nationella dataskyddsmyndighet (i Sverige IMY) om behandlingen av sina personuppgifter inte uppfyller kraven enligt EU/EES dataskyddslagstiftning.
• Rätt att återkalla sitt samtycke om och i den mån särskilt samtycke lämnats till viss behandling.
• Rätt till invändning avseende intresseavvägning när behandling sker med stöd av så kallad intresseavvägning enligt art. 6.1 f i GDPR.
• Rätt till invändning mot direkt marknadsföring vid behandling av sina personuppgifter. Då ska personuppgifterna inte längre behandlas för sådana ändamål.

‍

Lagring och gallring av personuppgifter

Enligt Dataskyddsförordningen får personuppgifter inte lagras längre än vad som är tillåtet enligt lag, eller annars nödvändigt för de ändamål för vilka uppgifterna behandlas. Uppgifter som inte längre får lagras ska permanent raderas och förstöras (gallring). Under särskilda förutsättningar kan gallring genomföras genom att personuppgifterna anonymiseras i stället för att förstöras. Med anonymisering avses att all information som gör det möjligt att spåra uppgifterna till en registrerad, oåterkalleligt raderas.

Om det finns särskilda lagar eller regelverk som kräver lagring av personuppgifter under viss tid, såsom i t.ex. i skatte-, bokförings- eller penningtvättslagstiftningen, gäller sådana bestämmelser före Dataskyddsförordningen. Av bokföringslagen framgår exempelvis att räkenskapsinformation ska sparas i sju år från det år då räkenskapsåret avslutades.

Huvudregeln inom företaget är att personuppgifter som inte omfattas av särskilda lagar eller regelverk (utöver Dataskyddsförordningen) ska gallras när vi inte längre behöver uppgifterna för att uppfylla ändamålet med behandlingen.

‍

Säkerhetvid behandling av personuppgifter

Allmänt

Allderma ska vidta lämpliga tekniska och organisatoriska åtgärder för att förhindra att personuppgifter förstörs, ändras eller förvanskas. Detta innebär att en säkerhetsbedömning behöver göras från fall till fall och att olika behandlingar/system kräver olika nivå av säkerhetsåtgärder beroende på informationens känslighet, intrångsrisk (och andra risker) samt sårbarhet.

Riskanalys

Innan vi påbörjar behandling av personuppgifter ska en initial riskanalys genomföras för att ta ställning till:

‍

• Vilka tekniska och organisatoriska säkerhetsåtgärder som är lämpliga för den aktuella behandling, baserat på en bedömning av informationskänslighet, relevanta risker och sårbarhet.
• Om behandlingen är anpassad utifrån och uppfyller vårt krav avseende inbyggt dataskydd (privacy by design) och informationssäkerhet.
• Om behandlingen sannolikt medför en hög risk för de registrerades rättigheter och friheter, t.ex. genom användning av ny teknik eller genom att de registrerade inte kan förväntas känna till att de blir föremål för behandlingen. Om sådan hög risk identifieras ska ansvarig person informeras och avgöra om vidare analys i form av konsekvensbedömning (Data Protection Impact Assessment) är nödvändig.

‍

Överföring av personuppgifter

‍

Överföring till personuppgiftsbidräden

Allderma kan komma att överföra personuppgifter till extern part, som behandlar personuppgifter för vår räkning och enligt instruktion från oss. Sådan extern part är personuppgiftsbiträde till oss och ska alltid underteckna ett biträdesavtal med Allderma. Alldermas General Privacy Manager (GPM) ansvarar för att sådan mall hålls uppdaterad i enlighet med tillämplig Dataskyddslagstiftning från tid till annan.

‍

Överföring till parter med eget personuppgiftsansvar

Allderma kan komma att överföra personuppgifter till annan extern part, som har eget personuppgiftsansvar, under förutsättning att vi har laglig grund för sådan överföring. Sådan laglig grund kan exempelvis vara att överföringen utgör en rättslig skyldighet för oss, eller ett kundavtal som ger oss rätt att överföra uppgifterna.

‍

Överföring av personuppgifter till ett tredje land

Om och i den mån vår personuppgiftsbehandling innebär att personuppgifter överförs till, lagras eller annat sätt behandlas utanför EU/EES-området krävs ytterligare åtgärder för att behandlingen ska vara laglig. Det är tillräckligt att personuppgifterna är nåbara från plats utanför EU/EES, eller att viss infrastruktur eller resurs befinner sig utanför EU/EES, för att ytterligare åtgärder är nödvändiga. Vid överföring av personuppgifter utanför EU/EES-området ska den registrerade informeras om ändamål och omfattning av överföringen.

De åtgärder som vi vidtar för att säkerställa att personuppgiftsbehandling utanför EU/EES är laglig ska alltid dokumenteras och godkännas av Alldermas General Privacy Manager (GPM).

‍

Myndighets begäran om uppgifter

Allderma och dess anställda är skyldiga att lämna upplysningar om vår personuppgiftsbehandling och därmed sammanhängande omständigheter om IMY begär det. Även andra myndigheter kan ha rätt att få upplysningar som innehåller personuppgifter från oss, exempelvis Kronofogdemyndigheten, Skatteverket eller Ekobrottsmyndigheten. Det kan också föreligga skyldighet att lämna ut information till polis eller åklagare vid en förundersökning om brott, varvid information endast ska lämnas ut efter skriftlig begäran av förundersökningsledare eller åklagare.

Förutom regelbundna och obligatoriska överföringar av personuppgifter till myndighet som vi har en rättslig skyldighet att rapportera (t.ex. löneuppgifter till Skatteverket och uppgift om sjukskrivning till Försäkringskassan) ska personuppgifter lämnas ut till myndighet endast efter samråd med Alldermas General Privacy Manager (GPM).

Alldermas General Privacy Manager (GPM)ansvarar för kontakten med IMY. Alla kontakter med IMY, eller andra myndigheter avseende frågor om personuppgiftsbehandling, för Alldermas räkning ska hänvisas till Alldermas General Privacy Manager (GPM).

‍

Rapportering

Alldermas General Privacy Manager (GPM) ska årligen eller vid behov rapportera till ledningen om vår behandling av personuppgifter och därutöver omedelbart rapportera till ledningen om allvarliga brister, integritetsrisker eller problem uppstår.

Rapporten ska innehålla resultatet av den uppföljning och kontroll av personuppgifter som görs enligt denna Integritetspolicy, inklusive:

‍

• Om behandlingen är anpassad utifrån och uppfyller vårt krav avseende inbyggt data skydd (privacy by design) och informationssäkerhet.
• Antalet inträffade personuppgiftsincidenter
• Vår efterlevnad av den gällande Dataskyddslagstiftningen och denna Integritetspolicy.
• Eventuella kontakter med Integritetsskyddsmyndigheten; och
• Förändringar av gällande Dataskyddslagstiftning och tillsynspraxis rörande behandling av personuppgifter.

‍

Kontaktuppgifter

Har du frågor om behandlingen av dina personuppgifter, den här policyn eller om du vill utöva dina rättigheter som har angetts ovan är du välkommen att kontakta oss enligt nedan.

‍

Allderma AB (559156-4322)

Box 1890, 116 74, Stockholm

Telefonnummer: 010-889 93 10

E-post: gpm@allderma.se

‍

Den här policyn är godkänd av Allderma AB.

‍

Senast uppdaterad: 20/8-2025

‍