Introduktion

Denne politik fastlægger forpligtelserne for Little Star Media Ltd, et selskab der er registreret i England under nummer 5957310, hvis vedtægtsmæssige hjemsted er Suite 478-480, Exchange House, 450 Midsummer Boulevard, Milton Keynes, MK9 2EA (“Selskabet”) med hensyn til databeskyttelse og rettigheder for abonnementskunder og brugere af hjemmesiden (“registreret person”) med hensyn til deres personlige oplysninger i henhold til EU-forordning 2016/679 Generelle Databeskyttelsesforordning (“GDPR”). Super Spillemaskiner hjemmeside er ikke til brug for dem under 18 år og/eller dem, der bor uden for Danmark.

GDPR definerer “personlige oplysninger” som information om en bestemt eller identificerbar fysisk person (en “registreret person”); en identificerbar fysisk person er en, der kan identificeres, direkte eller indirekte, især ved henvisning til en identifikation, såsom et navn, et CPR-nummer, lokaliseringsdata, en online identifikation, eller til en eller flere faktorer, der er specifikke for det fysiske, fysiologiske, genetiske, mentale, økonomiske, kulturelle eller sociale identitet af den fysiske person.

Denne politik beskriver selskabets forpligtelser vedrørende indsamling, behandling, overførsel, opbevaring og bortskaffelse af personlige oplysninger. De procedurer og principper, der beskrives her, skal til enhver tid overholdes af selskabet, dets medarbejdere, agenter, entreprenører eller andre parter, der handler på selskabets vegne.

Selskabet er ikke alene forpligtet til lovens bogstav, men også til lovens ånd og lægger stor vægt på korrekt, lovlig og retfærdig håndtering af alle personlige oplysninger, respekterer de juridiske rettigheder, privatliv, og tillid fra alle individer med hvem det handler om. Selskabet kan ændre denne politik fra tid til anden ved at opdatere denne side. Du bør gennemgå denne side fra tid til anden for at sikre dig, at du er tilfreds med ændringerne.

Databeskyttelsesprincipperne

Denne politik har til formål at sikre overholdelse af GDPR. GDPR fastlægger følgende principper, som enhver part, der håndterer personlige oplysninger, skal overholde. Alle personlige oplysninger skal:

1. Behandles lovligt, retfærdigt og på en gennemsigtig måde i forhold til den registrerede.
2. Indsamles til udtrykkeligt angivne og legitime formål og må ikke senere behandles på en måde, der er uforenelig med disse formal. Yderligere behandling i arkivformål af almen interesse for videnskabelig eller historisk forskningsformål eller til statistiske formål må ikke anses for uforenelig med de oprindelige formål.
3. Passende, relevant og begrænset til, hvad der er nødvendigt for de formål, for hvilke det behandles.
4. Præcis og om nødvendigt ajourførte. Ethvert rimeligt skridt skal tages for at sikre, at personlige oplysninger, der er urigtige i forhold til de formål, hvortil de behandles, slettes eller berigtiges uden forsinkelse.
5. Opbevares på en måde, der tillader identifikation af den registrerede, for ikke mere end til de formål, som oplysningerne behandles for. Personlige oplysninger kan opbevares i længere tid, forudsat at oplysningerne behandles udelukkende til arkivformål af almen interesse for videnskabelige eller historiske forskningsformål eller til statistiske formål, underlagt gennemførelse af de nødvendige tekniske og organisatoriske foranstaltninger, der kræves af GDPR for at beskytte den registreredes rettigheder og frihed.
6. Behandles på en måde, der sikrer tilstrækkelig sikkerhed for personlige oplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og imod utilsigtet tab, ødelæggelse eller skade ved hjælp af passende tekniske eller organisatoriske foranstaltninger.

Den registreredes rettigheder

GDPR fastlægger følgende rettigheder for den registrerede (se de punkter i denne politik, der er angivet for yderligere detaljer):

1. Retten til at blive informeret (punkt 12);
2. Retten til aktindsigt (punkt 13);
3. Retten til berigtigelse (punkt 14);
4. Retten til sletning (også kendt som ’retten til at blive glemt’) (punkt 15);
5. Retten til at begrænse behandlingen (punkt 16);
6. Retten til dataoverførbarhed (punkt 17); og
7. Retten til indsigelse (punkt 18);

Lovlig, retfærdig og gennemsigtig databehandling

1. GDPR søger for at sikre, at oplysningerne behandles lovligt, retfærdigt og gennemsigtigt uden at berøre den registreredes rettigheder. GDPR fastslår, at behandling af personoplysninger skal være lovlig, hvis mindst et af følgende gælder:
2. Den registrerede har givet samtykke til behandlingen af personlige oplysninger til en eller flere bestemte formål;
3. Behandling er påkrævet for at gennemføre en kontrakt, hvortil den registrerede er part eller på foranledning af den registrerede forud for indgåelse af en kontrakt med dem
4. Behandlingen er nødvendig for at overholde en retlig forpligtelse, er genstand for den registeransvarlige;
5. Behandlingen er nødvendig for at beskytte den registreredes eller andre fysiske personers vitale interesser
6. Behandlingen er nødvendig for udførelse af en opgave udført af almen interesse eller i udøvelse af offentlig myndighed på vegne af den registeransvarlige; eller
7. Behandlingen er nødvendig af hensyn til den registeransvarlige eller tredjemands berettigede interesser, undtagen hvis sådanne interesser tilsidesættes af de registreredes grundlæggende rettigheder og frihed, der kræver beskyttelse af personoplysninger, især når den registrerede er et barn.
8. Hvis de pågældende personlige oplysninger er ” særlig kategorier af personlige oplysninger ” (også kendt som “personfølsomme oplysninger”) (fx race, etnicitet, politik, religion, fagforening, genetik, biometri (hvis det bruges til id-brug), sundhed, sex eller seksuel orientering) skal mindst en af følgende betingelser være opfyldt:
9. Den registrerede har givet sit udtrykkelige samtykke til behandlingen af disse data til et eller flere specifikke formål (medmindre EU-lovgivningen forbyder dem at gøre det);
10. Behandlingen er nødvendig for opfyldelsen af forpligtelserne og udøvelsen af visse rettigheder hos den registeransvarlige eller den registrerede på beskæftigelsesområdet, social sikring, og social beskyttelse (for så vidt som det er tilladt i henhold til EU-lovgivningen eller en kollektiv overenskomst i henhold til EU-lovgivningen, som fastsætter passende sikkerhedsforanstaltninger for den registreredes grundlæggende rettigheder og interesser);
11. Behandlingen er nødvendig for at beskytte den registrerede eller andre fysiske personers vitale interesser, hvis den registrerede fysisk eller juridisk ikke er i stand til at give deres samtykke;
12. Den dataansvarlige er en fond, forening eller et anden non-profit organisation med en politisk, filosofisk, religiøs eller faglig mål, og behandlingen foregår i forbindelse med deres legitime aktiviteter, forudsat at behandlingen alene vedrører medlemmerne eller tidligere medlemmer af det pågældende organ eller personer, der er i regelmæssig kontakt med ham i forbindelse med hans formål, og personoplysningerne ikke afsløres uden for institutionen uden de pågældende personers samtykke;
13. Behandlingen vedrører personlige oplysninger, der klart fremlægges af den registrerede;
14. Behandlingen er nødvendig for udøvelsen af juridiske krav eller når domstolene handler i deres retsevne;
15. [Behandlingen er nødvendig af hensyn til den offentlige interesse på grundlag af EU-lovgivningen, som står i rimeligt forhold til det forfulgte mål, skal respektere essensen i retten til databeskyttelse og fastsætter passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser;
16. Behandlingen er nødvendig med henblik på forebyggende eller arbejdsmedicin, for vurderingen af arbejdsevnen af en medarbejder, til medicinsk diagnose, for levering af sundhedsydelser og sociale tjenester eller behandling, eller tjenester baseret på EU-lovgivning eller i henhold til en kontrakt med sundhedspersonale, underlagt betingelserne og garantierne i artikel 9, stk. 3, GDPR;
17. Behandling er nødvendig af hensyn til almen interesse på folkesundhedsområdet, fx for at beskytte mod alvorlige grænseoverskridende sundhedsrisici eller sikre høje standarder for kvalitet og sikkerhed inden for sundhedspleje, medicin eller medicinsk udstyr, på grundlag af EU-lovgivningen, som fastsætter passende og specifikke foranstaltninger til beskyttelse af den registreredes rettigheder og frihed (navnlig tavshedspligt); eller
18. Behandlingen er nødvendig til arkivformål af almen interesse for videnskabelige eller historiske forskningsformål eller til statistiske formål i henhold til artikel 89, stk. 1, i GDPR, der er baseret på EU-lovgivningen, som står i rimeligt forhold til det forfulgte mål, opretholder essensen i retten til privatlivets fred og fastsætter passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.]

Specificerede, udtrykkelige og legitime formål

1. Selskabet indsamler og behandler personlige oplysninger, der er angivet i punkt 21 i denne politik. Dette omfatter:
2. Personlige oplysninger der indsamles direkte fra den registrerede [.] ELLER [; og]
3. [Personlige data opnået fra tredjeparter.]
4. Selskabet indsamler, behandler og opbevarer kun personlige oplysninger til de formål, der er anført i punkt 21 i denne politik (eller til andre formål der udtrykkeligt er tilladt af GDPR).
5. Den registrerede underrettes til enhver tid om formålet, som selskabet anvender oplysninger til. Der henvises til punkt 12 for yderligere oplysninger om at holde registrerede informeret.

Tilstrækkelig, relevant og begrænset databehandling

Selskabet indsamler og behandler kun personoplysninger for og i det omfang det er nødvendigt for det specifikke formål eller formal, hvilke registrerede er blevet informeret om (eller vil blive informeret om) som under punkt 5 ovenfor og som beskrevet i punkt 21 nedenfor.

1. Selskabet indsamler og behandler personlige oplysninger, der er angivet i punkt 21 i denne politik. Dette omfatter:
2. Personlige oplysninger der indsamles direkte fra den registrerede [.] ELLER [; og]
3. [Personlige data opnået fra tredjeparter.]
4. Selskabet indsamler, behandler og opbevarer kun personlige oplysninger til de formål, der er anført i punkt 21 i denne politik (eller til andre formål der udtrykkeligt er tilladt af GDPR).
5. Den registrerede underrettes til enhver tid om formålet eller formål, som selskabet anvender oplysningerne til. Der henvises til punkt 12 for yderligere oplysninger om at holde registrerede informeret.

Nøjagtigheden af oplysningerne og opdatering af oplysningerne

1. Selskabet skal sikre, at alle personlige oplysninger, der indsamles, behandles og opbevares, er nøjagtige og ajourførte. Dette omfatter, men er ikke begrænset til, berigtigelse af personlige oplysninger på anmodning af en registreret, som beskrevet i punkt 14 nedenfor.
2. Nøjagtigheden af oplysninger skal kontrolleres, når den indsamles eller inden for 30 dage. Hvis der konstateres personlige oplysninger, der er unøjagtige eller forældede, vil alle rimelige skridt blive truffet omgående for at ændre eller slette disse data, alt efter hvad der er relevant.

Opbevaring af oplysninger

1. Selskabet opbevarer ikke personlige oplysninger længere end nødvendigt i lyset af formålet eller formålene, for hvilke disse personlige oplysninger oprindelig blev indsamlet, opbevaret og behandlet.
2. Hvis oplysninger ikke længere er nødvendige, vil alle rimelige forholdsregler blive truffet for at fjerne eller på anden måde eliminere dem uden forsinkelse.
3. For fuldstændige oplysninger om selskabets tilgang til opbevaring af oplysninger, herunder opbevaringsperioder for specifikke personlige oplysninger, som selskabet opbevarer, bedes du læse vores opbevaringspolitik.

Sikker behandling

Selskabet skal sikre, at alle indsamlede, opbevarede og behandlede personoplysninger holdes sikre og beskyttede mod uautoriseret eller ulovlig behandling og imod utilsigtet tab, ødelæggelse eller beskadigelse. Yderligere oplysninger om de tekniske og organisatoriske foranstaltninger, der skal træffes, finder du i punkterne 22-27 i denne politik.

Ansvarlighed og journalføring

1. Selskabets databeskyttelsesansvarlige er Ben Thompson, som kan kontaktes på: dpo@littlestarmedia.com
2. Den databeskyttelsesansvarlige er ansvarlig for at føre tilsyn med gennemførelsen af denne politik og for at overvåge af denne politik overholdes, samt selskabets øvrige databeskyttelsesrelaterede politikker og GDPR og anden gældende databeskyttelseslovgivning.
3. Selskabet skal opbevare skriftlige interne optegnelser over alt hvad der indsamles, opbevares og behandles af oplysninger, som skal indeholde følgende oplysninger:
   1. Navn og oplysninger om selskabet, dets databeskyttelsesansvarlige, og eventuelle gældende tredjepart databehandlere;
   2. Formålet med, som selskabet indsamler, opbevarer og behandler personlige oplysninger
   3. Oplysninger om de kategorier af oplysninger der indsamles, opbevares og behandles af selskabet, og de kategorier af oplysninger, som de pågældende personlige oplysninger vedrører;
   4. Oplysninger om overførsel af personoplysninger til lande uden for EØS, herunder alle mekanismer og sikkerhedsforanstaltninger;
   5. Oplysninger om, hvor længe oplysningerne gemmes af virksomheden (se selskabets opbevaringspolitik); og
   6. Detaljerede beskrivelser af alle tekniske og organisatoriske foranstaltninger, som virksomheden har truffet for at sikre sikkerheden af oplysningerne.

Konsekvensanalyse vedrørende databeskyttelse

1. Selskabet skal gennemføre konsekvensanalyser for alle nye projekter og / eller nye anvendelser af oplysninger [som indebærer brug af ny teknologi, og hvor forarbejdningen sandsynligvis vil udgøre en stor risiko for de registreredes rettigheder og frihed i henhold til den generelle databeskyttelsesforordning].
2. Konsekvensanalyserne skal overvåges af den databeskyttelsesansvarlige og skal omfatte følgende:
   1. Type(r) af personlige oplysninger, der vil blive indsamlet, opbevaret og behandlet;
   2. Formålet/formålene for hvilke personlige oplysninger der skal bruges;
   3. Selskabets mål;
   4. Hvordan oplysningerne skal bruges;
   5. Parterne (interne og / eller eksterne), som bør høres;
   6. Behandlingens nødvendighed og proportionalitet i forhold til det formål, hvortil den behandles;
   7. Risici stillet til de registrerede;
   8. Risici stillet både inden for og til Selskabet; og
   9. Foreslåede foranstaltninger for at minimere og håndtere identificerede risici.

Hold den registrerede person informeret

1. Selskabet skal levere de oplysninger, der er angivet i punkt 12.2 til enhver registreret person:
   1. Hvis personlige oplysninger indsamles direkte fra registrerede, informeres den registrerede om deres formål på dataindsamlingstidspunktet. og
   2. Hvis personlige oplysninger hentes fra en tredjepart, vil de relevante registrerede blive informeret om deres formål:
      • a) Hvis de personlige oplysningerne bruges til at kommunikere med den registrerede, når den første meddelelse er lavet; eller
      • b) Hvis personlige oplysningerne skal overføres til en anden part, før overførslen foretages; eller
      • c) så hurtigt som muligt og i hvert fald ikke mere end en måned efter modtagelse af personoplysninger.
2. Skal følgende oplysninger gives:
   1. Oplysninger om Selskabet, herunder, men ikke begrænset til, dens databeskyttelsesansvarlige;
   2. Formålet/formålene for hvilke personoplysningerne indsamles og behandles (som beskrevet i punkt 21 i denne politik) og det retsgrundlag, der berettiger indsamlingen og behandlingen;
   3. Hvor det er relevant, de berettigede interesser, som selskabet berettiger til indsamling og behandling af personlige oplysningerne;
   4. Hvis de personlige oplysninger ikke indsamles direkte fra den registrerede, indsamles og behandles kategorierne af personlige oplysninger;
   5. Hvis de personlige oplysningerne skal overføres til en eller flere tredjeparter, oplysninger om disse parter;
   6. Hvis personlige oplysningerne skal overføres til en tredjepart, der befinder sig uden for Det Europæiske Økonomiske Samarbejdsområde (“EØS”), skal oplysninger om denne overførsel, herunder men ikke begrænset til de gældende sikkerhedsforanstaltninger (se punkt 28 i denne politik for flere oplysninger);
   7. Oplysninger om dataopbevaring;
   8. Oplysninger om den registreredes rettigheder under GDPR;
   9. Oplysninger om den registrerede ret til enhver tid at tilbagekalde deres samtykke til selskabets behandling af deres personlige oplysninger
   10. Oplysninger om den registreredes ret til at indgive en klage til databeskyttelsesmyndighedens kontor (“Tilsynsmyndigheden” under GDPR);
   11. Eventuel oplysninger om ethvert juridisk eller kontraktmæssigt krav eller en forpligtelse, der nødvendiggør indsamling og behandling af personoplysninger og detaljer om eventuelle konsekvenser af manglende levering af det. og
   12. Oplysninger om enhver automatiseret beslutningstagning eller profilering, der finder sted ved hjælp af personlige oplysningerne, herunder oplysninger om, hvordan beslutninger træffes, betydningen af disse beslutninger og eventuelle konsekvenser.

Adgang for registrerede personer

1. Registrerede personer kan til enhver tid få fagadgang (“SAR’er”) for at finde ud af mere om de personlige oplysninger, som selskabet opbevarer om dem, hvad de gør med de pågældende personlige oplysninger og hvorfor.
2. Medarbejdere, der ønsker at anmode om adgang til SAR, skal udfylde formularen for anmodning om adgang og sende formularen til selskabets databeskyttelsesansvarlig på dpo@littlestarmedia.com.
3. Svar på SAR skal normalt ske inden for en måned efter modtagelsen, dog kan dette forlænges med op til to måneder, hvis SAR er komplekst og/eller der er mange henvendelser. Hvis en sådan ekstra tid er påkrævet, skal den registrerede informeres.
4. Alle modtagne SAR’er skal håndteres af selskabets databeskyttelsesansvarlige.
5. Selskabet opkræver ikke gebyr for håndtering af normale SAR. Selskabet forbeholder sig ret til at opkræve rimelige gebyrer for yderligere kopier af oplysninger, som allerede er blevet leveret til en registeret person, og for åbenbare ubegrundede eller overdrevne anmodninger, især hvis sådanne anmodninger gentages.

Berigtigelse af personlige oplysninger

1. Registrerede personer har ret til at kræve, at virksomheden retter deres personlige oplysninger, der er unøjagtige eller ufuldstændige.
2. Selskabet skal rette op på de pågældende personlige oplysninger og informere den registrerede inden for en måned efter, at den registrerede har informeret virksomheden om problemet. For komplekse anmodninger kan fristen forlænges med op til to måneder. Hvis en sådan ekstra tid er påkrævet, skal den registrerede informeres.
3. I tilfælde af, at eventuelle berørte personlige oplysninger er blevet videregivet til tredjepart, underrettes disse parter om enhver rettelse, der skal gøres til disse personlige oplysninger.

Sletning af personoplysninger

1. Registrerede personer har ret til at anmode om, at Selskabet sletter de personlige oplysninger, som de opbevarer om dem under følgende omstændigheder:
   1. Det er ikke længere nødvendigt for selskabet at opbevare sådanne personlige oplysninger i forhold til det eller de formål, for hvilke det oprindeligt blev indsamlet eller behandlet;
   2. Den registrerede ønsker at tilbagekalde sit samtykke til opbevaring og behandling af deres personlige oplysninger af selskabet;
   3. Den registrerede gør indsigelse mod selskabets opbevaring og behandling af sine personlige oplysninger (og der er ingen overvejende legitim interesse for at lade selskabet fortsætte med at gøre det) (se punkt 18 i denne politik for yderligere oplysninger om ret til indsigelse);
   4. De personlige oplysningerne er behandlet ulovligt;
   5. De personlige oplysningerne skal slettes for at selskabet skal overholde en bestemt juridisk forpligtelse [;] ELLER [.]
   6. [De personlige oplysningerne bliver opbevaret og behandlet med det formål at levere informationssamfundstjenester til et barn.]
2. Medmindre selskabet har rimelig grund til at nægte at slette personlige oplysninger, alle anmodninger om sletning skal overholdes, og den registrerede informeres om sletningen, inden en måned efter modtagelsen af den registreredes anmodning. Perioden kan forlænges med op til to måneder i tilfælde af komplekse anmodninger. Hvis en sådan ekstra tid er påkrævet, skal den registrerede informeres.
3. I tilfælde af at eventuelle personoplysninger, der skal slettes som svar på en registreres anmodning er blevet videregivet til tredjeparter, disse parter skal underrettes om sletningen (medmindre det er umuligt eller ville kræve uforholdsmæssig indsats for at gøre det)
4. Du kan til enhver tid tilbagekalde dit samtykke til videregivelse af dine data til os ved at afmelde dig fra vores database. Hvis du ønsker at afmelde dig fra denne tjeneste, skal du klikke på linket “Afmeld” i en mail, du har modtaget fra os. Alternativt kan du kontakte os via linket “Kontakt os” nederst på siden eller ved at sende en mail til ssmtilbud@superspillemaskiner.dk ved at skrive i emnelinjen “Afmeld” og angiv dit navn samt den e-mailadresse og mobilnummer, du har tilmeldt dig med. Det vil tage ca. 3 – 5 arbejdsdage for din anmodning at blive behandlet. Du skal afmelde dig separat hvis du har modtage vores SMS-besked ved at sende EXIT til 88440. Hvis du vil afmelde dig, skal du afmelde dig både fra e-mail- og sms-databaserne, og det tager op til 31 dage, før dette træder i kraft.

Hvis du ikke åbner en af vores e-mails eller klikker på et SMS-link inden for et år, bliver du automatisk fjernet fra vores database. Hvis du har brug for oplysninger eller har nogen dataanmodninger, kan du kontakte vores databeskyttelsesansvarlige, Ben Thompson, på: dpo@littlestarmedia.com

Begrænsning af personoplysninger

1. Registrerede personer kan anmode om, at selskabet sletter behandlingen af de personlige oplysninger, som den har om dem. Hvis den registrerede ønsker det, beholder selskabet kun den mængde af personlige oplysninger om den registrerede, der er nødvendigt for at sikre, at de pågældende personlige oplysninger ikke behandles yderligere.
2. I tilfælde af, at eventuelle berørte personlige oplysninger er blevet videregivet til tredjemand, underrettes disse parter om gældende restriktioner for behandling af dem (medmindre det er umuligt eller ville kræve uforholdsmæssig indsats for at gøre det).

[Dataportabilitet –

1. Selskabet behandler personlige oplysninger ved hjælp af automatiserede midler. Dette sker gennem API fra webformularer til eksterne databaser i EU med følgende virksomheder; Accelerize Inc, Amazon Webservices, IBM United Kingdom Ltd og Bulk SMS Limited.
2. Hvis den registrerede har givet sit samtykke til selskabet om at behandle sine personlige oplysninger på en sådan måde, eller behandlingen er påkrævet for udførelsen af en kontrakt mellem selskabet og den registrerede, har den registrerede ret til, under GDPR, at modtage en kopi af sine personlige oplysninger og til at bruge den til andre formål (nemlig at sende den til andre datakontrollanter).
3. For at lette retten til dataportabilitet skal selskabet stille alle relevante personoplysninger til rådighed for registrerede i følgende format(er):
4. .csv fil via mail;
5. Hvis det er teknisk muligt, hvis en registrer anmoder herom, skal personlige oplysninger sendes direkte til den krævede registeransvarlige.
6. Alle anmodninger om kopier af personoplysninger skal besvares inden for en måned efter anmodning fra den registrerede. Perioden kan forlænges med op til to måneder i tilfælde af komplekse eller talrige anmodninger. Hvis en sådan ekstra tid er påkrævet, skal den registrerede informeres.]

Indvendinger mod personlige oplysninger

1. Registrerede personer har ret til at gøre indsigelse mod selskabet, der behandler deres personlige oplysninger baseret på legitime interesser, direkte markedsføring (herunder profilering), [og behandling af videnskabelige og/eller historiske undersøgelser og statistiske formål].
2. Hvis den registrerede modsætter sig behandling af sine personlige oplysninger på grundlag af deres legitime interesser, skal selskabet øjeblikkeligt ophøre med sådan behandling, medmindre det kan påvises, at selskabets legitime begrundelse for sådan behandling er de registreredes interesser, rettigheder og friheder tilsidesætte. eller at behandlingen er nødvendig for udførelse af juridiske krav.
3. Hvis en registreret person modsætter sig at deres personlige oplysninger behandles til direkte markedsføring, skal selskabet straks ophøre med behandlingen.
4. [[Når en registreret person modsætter sig selskabet, der behandler sine personlige oplysninger til videnskabelige og/eller historisk forskning og statistik, skal den registrerede under GDPR “udvise grunde, der vedrører hans eller hendes særlige situation.]

Personlige oplysninger indsamlet, opbevaret og behandlet

Følgende personlige oplysninger indsamles, opbevares og behandles af selskabet (for oplysninger om opbevaring af oplysninger, henvises der til selskabets opbevaringspolitik):

Datasikkerhed – Overførsel af personlige oplysninger og kommunikation

Selskabet skal sikre, at følgende foranstaltninger træffes med hensyn til alle meddelelser og andre overførsler, der involverer personoplysninger:

1. Alle e-mails, der indeholder personlige oplysninger, skal være mærket “fortroligt”;
2. Personlige oplysninger må kun overføres via sikre net; Overførsel over usikre netværk er under ingen omstændigheder tilladt
3. Personlige oplysninger må ikke overføres via et trådløst netværk, hvis der er et kabelbaseret alternativ, som er praktisk muligt;
4. Personlige data i teksten fra en e-mail skal kopieres fra indholdet af den e-mail og opbevares sikkert, uanset om den er blevet sendt eller modtaget. Selve e-mailen skal slettes. Alle midlertidige filer i forbindelse hermed bør slettes ved at slette e-mails fra sendte og slettede mapper;
5. Hvor personlige oplysninger skal sendes via telefax, skal modtageren informeres forud for overførslen og skal vente ved faxmaskinen for at modtage oplysningerne; og
6. Alle personlige oplysninger, der overføres fysisk, uanset om de er i papirform eller på flytbare elektroniske medier, skal overføres i en egnet beholder mærket “fortroligt”.

Datasikkerhed – Opbevaring

Selskabet skal sikre, at følgende foranstaltninger træffes med hensyn til opbevaring af personlige oplysninger:

1. Alle elektroniske kopier af personoplysninger skal opbevares sikkert ved hjælp af adgangskoder;
2. Alle kopier af personlige oplysninger sammen med eventuelle elektroniske kopier gemt på fysiske, flytbare medier skal opbevares sikkert i en låst boks, skuffe, skab eller lignende
3. Personlige oplysninger opbevares sikkert på EU-servere af eksterne virksomheder; Accelerize Inc, IBM United Kingdom Ltd, Amazon Web Services og Bulk SMS Limited
4. Ingen personlige data skal opbevares på en mobil enhed (herunder, men ikke begrænset til, bærbare computere, tabletter og smartphones), om en sådan enhed tilhører firmaet eller på anden måde; og
5. Ingen personlige oplysninger skal overføres til en hvilken som helst enhed, der tilhører en medarbejder, og personoplysninger må kun overføres til enheder, der tilhører agenter, entreprenører eller andre parter, der arbejder på selskabets vegne hvor den pågældende part har accepteret at overholde denne politik og GDPR (hvilket kan omfatte at demonstrere for selskabet at alle egnede tekniske og organisatoriske foranstaltninger er truffet).

Datasikkerhed – Bortskaffelse

Når personlige oplysninger skal slettes eller på anden måde bortskaffes (medmindre der er lavet kopier som ikke længere er nødvendige), skal de bortskaffes på en sikker måde. For yderligere oplysninger om sletning og bortskaffelse af personoplysninger henvises til selskabets opbevaringspolitik.

Datasikkerhed – Brug af personlige oplysninger

Selskabet skal sikre, at følgende foranstaltninger træffes med hensyn til brug af personlige oplysninger:

1. Ingen personlige oplysninger kan deles uformelt, og hvis en medarbejder, agent, underentreprenør eller anden part, der arbejder på selskabets vegne, kræver adgang til personlige oplysninger, som de ikke allerede har adgang til, skal denne adgang formelt tildeles fra Ben Thompson (databeskyttelsesansvarlig) dpo@littlestarmedia.com;
2. Ingen personlige oplysninger kan overføres til medarbejdere, agenter, entreprenører eller andre parter, uanset om sådanne parter arbejder på selskabets vegne, uden tilladelse fra Ben Thompson (databeskyttelsesansvarlig) dpo@littlestarmedia.com;
3. Personlige oplysninger skal altid behandles med forsigtighed og bør ikke efterlades uautoriseret eller i betragtning af uautoriserede medarbejdere, agenter, underleverandører eller andre parter.
4. Hvis personlige oplysninger kan ses på en computerskærm, og den pågældende computer skal efterlades uden opsyn i et hvilket som helst tidsrum, skal brugeren låse computeren og skærmen, inden den forlades; og
5. Hvor personoplysninger, som selskabet besidder, anvendes til markedsføringsformål, er det databeskyttelsespersonens ansvar at sikre, at der opnås passende samtykke, og at ingen registrerede har udelukket, uanset om de er direkte eller via en tredjepartstjeneste sådan som TPS.

Datasikkerhed – IT-sikkerhed

Selskabet skal sikre, at følgende foranstaltninger træffes med hensyn til IT og informationssikkerhed:

1. Alle adgangskoder, der bruges til at beskytte personoplysninger, bør ændres regelmæssigt og bør ikke bruge ord eller sætninger, der let kan gættes eller på anden måde kompromitteres. Alle adgangskoder skal indeholde en kombination af store og små bogstaver, tal og symboler. [Alt software, der anvendes af firmaet, er designet til at kræve sådanne adgangskoder.];
2. Under ingen omstændigheder må adgangskoder nedskrives eller deles mellem medarbejdere, agenter, entreprenører eller andre parter, der arbejder på selskabets vegne, uanset anciennitet eller afdeling. Hvis en adgangskode er glemt, skal den nulstilles ved hjælp af den gældende metode. IT-personale har ikke adgang til adgangskoder;
3. Alt software (herunder, men ikke begrænset til, applikationer og operativsystemer) skal holdes ajourført. Selskabets IT-personale skal være ansvarlig for at installere alle sikkerhedsrelaterede opdateringer [ikke mere end 6 måneder efter, at opdateringerne er stillet til rådighed af udgiveren eller producenten] ELLER [så hurtigt som muligt] [, medmindre der er gyldige tekniske grunde til ikke at gøre det] og
4. Der må ikke installeres software på nogen virksomhedsejet computer eller enhed uden forudgående godkendelse fra ledelsen.

Organisatoriske foranstaltninger

Selskabet skal sikre, at følgende foranstaltninger træffes med hensyn til indsamling, opbevaring og behandling af personlige oplysninger:

1. Alle medarbejdere, agenter, entreprenører eller andre parter, der arbejder på selskabets vegne, skal have fuldt kendskab til både deres individuelle ansvar og selskabets ansvar under GDPR og i henhold til denne politik og skal have en kopi af denne politik;
2. Kun medarbejdere, agenter, underleverandører eller andre parter, der arbejder på selskabets vegne, og som har brug for adgang til og brug af personlige oplysninger for at kunne udføre deres opgaver korrekt, skal have adgang til de personlige oplysninger, som selskabet opbevarer;
3. Alle medarbejdere, agenter, entreprenører eller andre parter, der arbejder på vegne af selskabet, der håndterer personlige oplysninger, vil være behørigt uddannet til at gøre det;
4. Alle medarbejdere, agenter, entreprenører eller andre parter, der arbejder på vegne af selskabet, der håndterer personoplysninger, vil blive behørigt overvåget;
5. Alle medarbejdere, agenter, entreprenører eller andre parter, der arbejder på vegne af selskabet, der håndterer personlige oplysninger, skal pålægges og opfordres til at udvise omhu, forsigtighed og skøn, når de diskuterer arbejdsrelaterede forhold, der vedrører personlige oplysninger, uanset om de er på arbejdspladsen eller på anden måde;
6. Metoder til indsamling, opbevaring og behandling af personoplysninger skal regelmæssigt evalueres og revideres;
7. Alle personlige oplysninger, som selskabet opbevarer, skal periodisk gennemgås som angivet i selskabets opbevaringspolitik;
8. Præstationen af disse medarbejdere, agenter, entreprenører eller andre parter, der arbejder på selskabets vegne med personlige oplysninger, skal periodisk evalueres og revideres.
9. Alle medarbejdere, agenter, entreprenører eller andre parter, der arbejder på vegne af selskabet, der håndterer personlige oplysninger, vil være forpligtet til at gøre det i overensstemmelse med principperne i GDPR og denne politik;
10. Alle agenter, entreprenører eller andre parter, der arbejder på vegne af selskabet, der håndterer personlige oplysninger, skal sikre, at alle deres medarbejdere, der er involveret i behandling af personlige oplysninger, holdes på samme betingelser som de relevante medarbejdere i selskabet, der opstår af denne politik; og GDPR og
11. Hvis en agent, en entreprenør eller en anden part, der arbejder på vegne af selskabet, håndterer personoplysninger, og undlader at opfylde deres forpligtelser i henhold til denne politik, skal sleskabet holdes skadesløs mod omkostninger, ansvar, erstatning, tab, krav eller retssager, der måtte opstå af denne fejltagelse.

Overførsel af personlige oplysninger til et land uden for EØS

1. Selskabet kan fra tid til anden overføre (“overførsel” omfatter fjernadgang) personlige oplysninger til lande uden for EØS.
2. Overførsel af personlige oplysninger til et land uden for EØS finder kun sted, hvis et eller flere af følgende gælder:
   1. Overførslen er til et land, territorium eller en eller flere specifikke sektorer i det pågældende land (eller en international organisation), som Europa-kommissionen har fastslået, sikrer et passende niveau for beskyttelse af personlige oplysninger.
   2. Overførslen er til et land (eller en international organisation), som giver passende sikkerhedsforanstaltninger i form af en juridisk bindende aftale mellem offentlige myndigheder eller organer; bindende selskabsregler; standard databeskyttelsesklausuler vedtaget af Europa-kommissionen; overholdelse af en godkendt adfærdskodeks godkendt af en tilsynsmyndighed (fx informationskommissærens kontor); certificering i henhold til en godkendt certificeringsmekanisme (som fastsat i GDPR); kontraktmæssige bestemmelser, der er aftalt og godkendt af den kompetente tilsynsmyndighed; eller bestemmelser indført i administrative arrangementer mellem offentlige myndigheder eller organer godkendt af den kompetente tilsynsmyndighed;
   3. Overførslen sker med informeret samtykke fra den pågældende registrerede;
   4. Overførslen er nødvendig for udførelsen af en kontrakt mellem den registrerede og selskabet (eller for forudgående kontrakt, der træffes efter anmodning fra den registrerede)
   5. Overførslen er nødvendig af vigtige offentlige interesser;
   6. Overførslen er nødvendig for gennemførelsen af juridiske krav;
   7. Overførslen er nødvendig for at beskytte den registrerede eller andre personers vitale interesser, når den registrerede fysisk eller juridisk ikke er i stand til at give deres samtykke; eller
   8. Overførslen skal ske fra et register, der i henhold til britisk eller EU-lovgivningen har til formål at give offentligheden information og er generelt tilgængelig for offentligheden eller på anden måde tilgængelig for dem, der har en berettiget interesse i at få adgang til registret.

Underretningspligt

1. Alle overtrædelser af personoplysninger skal straks anmeldes til selskabets databeskyttelsesansvarlige.
2. Hvis der opstår brud på personlige oplysninger, og at overtrædelsen sandsynligvis vil medføre en risiko for de registreredes rettigheder og frihed (fx økonomisk tab, brud på fortroligheden, diskrimination, skade på virksomhedens omdømme eller andre væsentlige sociale eller økonomiske tab), skal den databeskyttelsesansvarlige sikre, at informationskommissærens kontor straks informeres om overtrædelsen og under alle omstændigheder inden for 72 timer efter at have fået kendskab til det.
3. I tilfælde af, at brud på personlige oplysninger sandsynligvis vil medføre en høj risiko (det vil sige en højere risiko end den, der er beskrevet under punkt 29.2) skal den databeskyttelsesansvarlige sikre at rettigheder og frihed, for alle berørte registrerede informeres om overtrædelsen direkte og uden unødig forsinkelse.
4. Meddelelse om overtrædelser af data skal indeholde følgende oplysninger:
   1. Kategorierne og det omtrentlige antal berørte registrerede;
   2. Kategorierne og det omtrentlige antal berørte personoplysninger;
   3. Navn og kontaktoplysninger på selskabets databeskyttelsesansvarlige (eller andet kontaktpunkt, hvor der kan fås flere oplysninger);
   4. De sandsynlige konsekvenser af overtrædelsen;
   5. Oplysninger om de foranstaltninger, som selskabet har truffet eller foreslået at træffe for at imødegå overtrædelsen, herunder om nødvendigt foranstaltninger til afhjælpning af eventuelle negative virkninger.

Implementering af politik

Denne politik skal anses effektiv som af 16/05/2018. Ingen punkter i denne politik skal have tilbagevirkende kraft og gælder således kun for forhold, der indtræffer på eller efter denne dato.