Dataskyddsbeskrivning för HRT:s företagskundregister

Registrets namn är HRT:s företagskundregister (”Företagskundregistret”), vars registrerade är kontaktpersoner, arbetstagare och andra förmånstagare i företagen som använder HRT:s tjänster (”Kunder”).  Närmare uppgifter om hur HRT behandlar personuppgifter för användare av sina tjänster samt om lagringen av identifieringsuppgifter för företagsanvändarkonton finns på sidan https://www.hsl.fi/sv/hrt/dataskydd 

Registerföraren är samkommunen Helsingforsregionens trafik (nedan ”HRT”) (FO-nummer 2274586-3).

Adress: Semaforbron 6 A, Helsingfors, PB 100, 00077 HRT 
Telefon: 09 4766 400 (HRT Kundservice)

HRT:s dataskyddsansvarige
Adress: PB 100, 00077 HRT
Telefon växel 09 4766 4444
E-post: [email protected]

Syftet med behandlingen av personuppgifterna i HRT:s företagskundsregister är att erbjuda företagstjänster.

HRT:s företagskundregister består av följande underregister i de olika tjänsterna:

• Företagskundregister (CRM)
• Beställare av företagsnyhetsbrev och andra marknadsföringsmeddelanden
• Köp av HRT:s biljetter eller beviljande av förmåner till anställda eller andra förmånstagare i HRT:s webbtjänst
• Företagskunder som använder stadscykeltjänsten
• De som har anmält sig till evenemang för företagskunder

Syftet med behandlingen av personuppgifterna i HRT:s företagskundsregister är att erbjuda företagstjänster. I anslutning till detta finns följande helheter, där personuppgifter behandlas:

• Leverering av tjänsten som inkluderar HRT-kortet, tidtabellsskärm, användning av HRT:s webbtjänst och stadscyklar.
• Kundrelationer såsom kundtjänst, avtalshantering, utredning av oklarheter och annan användning av personuppgifter i administrativa arbetsuppgifter samt kundkommunikation såsom meddelanden som är nödvändiga för att tillhandahålla tjänsten eller kommunikation angående avtalet (till exempel information om omfattande störningar, orderbekräftelser samt meddelanden om ändringar i avtals- och servicevillkor eller i dataskyddsbeskrivningar).
• Försäljning och direktmarknadsföring såsom definiering av målgrupperna, planering och mätning av marknadsföringen, försäljningskontakter och direktmarknadsföringskontakter, tillstånd och förbud som gäller direktmarknadsföring samt ordnande av försäljningsmöten.

Företagskundregistret består av flera typer av personuppgifterna. Närmare uppgifter om hur HRT behandlar personuppgifter om passagerarkunderna samt om lagringen av identifieringsuppgifter för företagsanvändarkonton finns på sidan www.hsl.fi/dataskydd.

(a) Kundens eller den potentiella kundens grunduppgifter  såsom namn om kontaktpersonen eller huvudanvändaren, företagets adress, telefonnummer, ställning i företaget, adress- och kundidentifierare till LinkedIn‑profilen, såsom företagets FO‑nummer och kundnummer, finns till vårt förfogande så att vi kan identifiera kunden och tillhandahålla tjänster i olika kanaler och medier.

(b) Olika uppgifter angående kundrelationen, såsom kundgrupp och -klass, olika kund-, ärende-, beställnings- och serviceuppgifter.

(c) Inköpsinformation tjänstevis

(d) Uppgifter om innehållsanvändning och kommunikation i olika kanaler, inklusive innehålls-, identifierings- och tekniska uppgifter som gäller samtal, kakor och andra kommunikationskanaler.

(e) Betaluppgifter i olika kanaler

(f) Uppgifter om tillstånd, förbud och liknande.

(g) Uppgifter om den anställda i företaget som använder HRT:s webbtjänst, dvs. privatkundens uppgifter såsom namn, e-postadress, hemkommun, datum då tjänsten togs i bruk, inköpsdatum, produkt och zon, produktens giltighetstid och förmånens giltighetstid. Uppgifter om förmånstagaren från den aktör som använder HRT:s nättjänst för beviljande av skolbiljetter, dvs. mottagaren av skolbiljetten (privatkunden): namn, personbeteckning/födelsedatum, skoluppgift, vårdnadshavarens e-postadress, datum då tjänsten togs i bruk, produkt och zon och förmånens giltighetstid.

Behandling av personuppgifterna som HRT genomför baserar sig alltid på någon av följande rättsliga grunder i artikel 6 i EU:s allmänna dataskyddsförordning (GDPR, 2016/679).

(a) Behandling av den registrerades personuppgifter är nödvändigt för att fullgöra  ett avtal där den registrerade är part, eller för att kunna vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (GDPR 6 artikel punkt 1 underpunkt b):

• Leverering av tjänster till kunden
• Skötseln av kundrelationen

(b) Behandling av personuppgifter är nödvändigt för att utföra en uppgift av allmänt intresse eller för att utöva den offentliga makt som hör till registeransvarige (GDPR 6 artikel punkt 1 underpunkt e):

• Beviljande, administration och leverering av skolbiljetten till kunden
• Försäljning- och direktmarknadsföring (också 4 § punkt 1 i Dataskyddslagen som grund)
• För den del som den registrerade inte är en avtalspart utan kontaktperson eller annan representant till denna part:
  • Leverans av tjänster
  • Administrativa uppgifter angående administration av avtalet och kontroll av företagskundrelationen samt kommunikation och kundserviceangående företagskundrelationen.

Elektronisk direktmarknadsföring

Vi skickar elektroniska direktmarknadsföringsmeddelanden (t.ex. per e‑post, push‑notiser till mobiltelefonen eller textmeddelanden) till företagets eller till en annan organisations företrädare gällande produkter och tjänster som hör till personens arbetsuppgifter eller ställning i organisationen Man kan när som helst avstå från marknadskommunikation, till exempel via avbeställningslänken i e‑postmeddelandet eller genom att kontakta HRT:s företagskundtjänst.

Personuppgifterna samlas in i första hand av kunden själv, och insamlingen sker i samband med ibruktagandet, registreringen, kundtjänsten och användningen av de tjänster som nämns i punkt 2. 

Övriga regelmässiga informationskällor för uppgifterna i HRT:s företagskundregister är:

• Uppdatering av kunduppgifter från tjänsterna som tillhandahåller dem: Personuppgifter kan samlas in, lagras och uppdateras även från sådana registeransvariga som erbjuder adress- eller uppdateringstjänster eller andra motsvarande tjänster.
• Vad gäller skolbiljetterna överlåter den kommun eller skola som beviljar skolbiljetten personuppgifterna till HRT.

HRT tillämpar följande bevaringstider för personuppgifter:

(a) De grundläggande kunduppgifterna bevaras så länge kundrelationen gäller och därefter så länge som det är nödvändigt för att uppfylla parternas rättigheter och skyldigheter.

(b) Tjänstevisa uppgifter bevaras enligt principer för respektive tjänster

Utöver ovan nämnda principer för lagringstider bevarar HRT i regel personuppgifter i högst tre (3) år, om det inte finns en saklig grund för en längre lagringstid. Uppgifterna om personer som beviljats skolbiljett som finns i HRT-företagsportalen bevaras i högst två (1) år.

Beställnings-, levererings-, köp- och betaluppgifter bevaras den tid som den tillämpade lagstiftningen förutsätter, dvs. huvudsakligen bevaringstiden i bokföringslagen (1336/1997).

Uppgifter om inköp, försäljning, beställningar, fakturering och betalningar som är nödvändiga för bokföringen bevaras i högst 10 år.

HRT bedömer årligen behovet av att lagra uppgifterna, och raderar uppgifter som inte längre har någon grund för lagring. HRT vidtar också alla möjliga och rimliga åtgärder för att säkerställa att
personuppgifter som med tanke på behandlingens ändamål är oklara, felaktiga eller föråldrade tas bort eller rättas till utan dröjsmål.

HRT kan i den tekniska, kommersiella eller operativa genomföringen av behandling av uppgifter anlita avtalspartners som arbetar för HRT:s räkning, och till vilka personuppgifter vid behov kan överföras inom ramen för dataskyddsavtalet.

Personuppgifter som finns i registret överlåts vid behov till utomstående personer eller organisationer enligt följande:

HRT kan överlåta kunduppgifter till myndigheter inom de ramar som den gällande lagstiftningen tillåter och förutsätter.

Personuppgifterna i registret överförs inte utanför EU eller EES. HRT förbehåller sig dock möjligheten till sådana överföringar för sina framtida affärspartner, i enlighet med det lagstadgade förfarande som tillämpas i det aktuella landet.

Material som innehåller personuppgifter förvaras i låsta utrymmen dit endast utsedda personer med behörighet på grund av sina arbetsuppgifter har tillträde.

Databas som innehåller personuppgifter finns i en server som förvaras i låsta utrymmen dit endast utsedda personer med behörighet på grund av sina arbetsuppgifter har tillträde.  Servern är skyddad med en ändamålsenlig brandvägg och tekniskt skydd.

Endast personer med personliga användarnamn och lösenord som beviljats separat har tillgång till databaserna och systemen. Den registeransvarige har avgränsat användningsrättigheterna och -fullmakterna i datasystemen och andra lagringsenheter så att uppgifterna kan granskas och behandlas endast av personer som är nödvändiga för en lagenlig behandling.   Användningshändelserna av databaserna och systemen registreras i logguppgifterna i registeransvariges IT-system.

Den registeransvariges arbetstagare och andra personer har förbundit sig att iaktta tystnadsplikt och hemlighålla de uppgifter de fått i samband med behandlingen av personuppgifter.

De registrerades rättigheter enligt EU:s allmänna dataskyddsförordning och anvisningar för hur dessa utövas beskrivs på HRT:s webbplats på adressen https://www.hsl.fi/sv/hrt/dataskydd

HRT kan göra ändringar i denna dataskyddsbeskrivning genom att meddela om ändringarna på sin webbplats och/eller per e-post.