1. Den dataansvarlige

1.1 Denne “Persondatapolitik” beskriver, hvordan BikeKey ApS, CVR-nr. 42285188, Fruebjergvej 3, DK-2100 København (“BikeKey”, “vi”, “vores”, “os”) behandler personoplysninger på vores hjemmeside www.bikekey.com (herefter “Hjemmesiden”) og i forbindelse med din anvendelse af vores tjenester. For kontakt: support@bikekey.com.

2. Ansvarlighed

2.1 Beskyttelse af dine personoplysninger har vores højeste prioritet, uanset om disse oplysninger handler om dig, dine transaktioner eller de produkter, du har valgt.

2.2 Vi behandler personoplysninger i forbindelse med din brug af Hjemmesiden og tilhørende software og har derfor vedtaget denne Persondatapolitik, der beskriver, hvordan vi behandler dine personoplysninger, når du køber eller sælger produkter gennem Hjemmesiden.

3. Indledning

3.1 Bikekey er en tjeneste, som har til formål at beskytte cykelejere. Dette sikres blandt andet ved at både privatpersoner og virksomheder skal verificeres for at der kan oprettes en konto samt for at kunne bruge tjenesterne på vores Hjemmeside. Privatpersoner verificeres med MitID og erhverv/forening med MitID erhverv. På platformen kan man oprette en cykel og linke denne til sin konto. Der kan søges på stelnummer eller cykelnummerplade på platformen, hvorefter ejeren vil kunne kontaktes anonymt. Anmodning af ejerskabet på en cykel vil være muligt fra en verificeret bruger til en cykelejer.

3.2 Det er vigtigt for os, at dine personoplysninger behandles sikkert og fortroligt, når du benytter vores tjenester. Vi har derfor procedurer for indsamling, opbevaring, sletning, opdatering og videregivelse af personoplysninger for at hindre uautoriseret adgang til dine personoplysninger og for at opfylde gældende lovgivning.

3.3 Nedenstående retningslinjer beskriver hvilke typer af personoplysninger, vi indsamler, hvordan vi behandler disse personoplysninger, og hvem du kan kontakte, hvis du har spørgsmål eller kommentarer til denne Persondatapolitik. Persondatapolitikken er udarbejdet med henvisning til reglerne i databeskyttelsesforordningen (Forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EU) 2016/679 (også kendt som “GDPR”)) og den danske lov om databeskyttelse (Lov nr. 502 af 23/05/2018 med evt. senere ændringer) (“databeskyttelsesloven”).

4. Kategorier af personoplysninger og registrerede

4.1 Vi indsamler og behandler følgende kategorier af personoplysninger om brugere i de respektive processer:

• Ved oprettelse af brugere:
• Privatpersoner
• E-mailadresse, fornavn, efternavn og adgangskode (krypteret).
• Virksomheder/foreninger
• E-mailadresse, forretningsnavn, CVR-nummer og adgangskode (krypteret).

• Verificering
• Privatpersoner
• Fødselsår, beboelsesland, postnummer, by, adresse, telefonnummer og dato samt identifikationsinformationer fra MitID verificering.
• Virksomheder/foreninger
• Forretningsområde, postnummer, by, adresse, telefonnummer på kontaktperson og dato samt identifikationsinformationer fra MitID verificering.
• Note:
• Vi forbeholder os retten til at udgive dato og identifikationsinformationer fra MitID verificering fra brugere på Hjemmesiden med henblik på at videregive oplysningerne til myndighederne for anmeldelse af ulovlig adfærd såsom dokumentfalsk og hæleri. Vi kan ikke udlede et CPR-nummer på baggrund af disse oplysninger. Datoen og identifikationsnummeret har først en betydning når de er i den pågældende myndigheds besiddelse med en dommerkendelse, da de kan linke oplysningerne til et CPR-nummer.

• Registrering af cykel
• Kvitteringer, låsebeviser, billeder af cykel, stelnummer og påsat nummerplade, som brugere kan vælge at uploade til registret.
• Øvrige oplysninger om cyklens udstyr og historie.

• Kundeservice
• E-mailadresse, telefonnummer, adresse og korrespondance.

• Køb via Hjemmesiden
• E-mailadresse, fornavn, efternavn, (virksomhedsnavn, hvis det er en virksomhed), land, postnummer, by, adresse, telefonnummer og betalingsoplysninger.

• Kommunikation mellem brugere
• Indhold af beskeder. Disse beskeder vil kun blive læst af BikeKeys kundesupport i en situation, hvor der er en uenighed mellem brugere, og hvor vi anmodes om bistand til at løse den.

• Oprettelse af nyhedsbrev
• E-mailadresse, fornavn og efternavn

• Melding om at cykel er stjålet
• Sidst set, opdagelsestidspunkt, sted (gade, baggård, garage mv.), land, adresse, postnummer og by.

• Oplysninger om din brug af Hjemmesiden.

Der kan desuden ske indsamling af personoplysninger via “cookies”. Du kan læse vores cookiepolitik på Hjemmesiden.

4.2 Vi behandler personoplysningerne til følgende formål og til brug for følgende behandlingsaktiviteter:

• For at opfylde den aftale, vi indgår med brugerne af vores tjenester på Hjemmesiden
• For at identificere og servicere brugere af Hjemmesiden
• For at sikre Hjemmesiden mod ulovlig adfærd såsom dokumentfalsk, hæleri eller diskrimination.
• For at tilpasse og udvikle vores service og produkter
• For at udvikle sikre tjenester for brugere på Hjemmesiden.
• For at analysere Hjemmesiden til brug for vedligeholdelse, drift samt udvikling af eksisterende og fremtidige produkter eller services.
• For at udføre kundesegmentering til markedsføringsformål.
• For at udføre markedsføringsaktiviteter, herunder udsendelse af nyhedsbreve.

5. Behandlingsgrundlag

5.1 Behandlingsgrundlag i forbindelse med din brug og køb af vores tjenester

• 5.1.1 Vores hjemmel til at behandle personoplysninger ligger først og fremmest i vores relation til dig og i hensynet til at kunne opfylde og administrere de(n) aftale(r), vi har indgået med dig.

• 5.1.2 Vi vil som udgangspunkt have hjemmel til at behandle de nødvendige personoplysninger ifølge databeskyttelsesforordningens artikel 6, stk. 1, litra a-c og litra f, samt efter omstændighederne af artikel 9, stk. 2, litra a og f, og databeskyttelseslovens §§ 6 og 7, stk. 1.

• 5.1.3 Ovennævnte bestemmelser omhandler grundlaget for at behandle personoplysninger, hvis der (i) foreligger et samtykke, (ii) hvis behandlingen er nødvendig for at opfylde en kontrakt, (iii) hvis behandlingen er nødvendig for at overholde en retlig forpligtelse, (iv) nødvendig for at opfylde væsentlige interesser, der overstiger den registreredes interesser, eller (v) nødvendig for at et retskrav kan fastlægges, gøres gældende eller forsvares.

• 5.1.4 Det er vores vurdering, at den behandling af personoplysninger vi foretager i relation til en bruger, i vidt omfang vil have grundlag i databeskyttelsesforordningens artikel 6, stk. 1, litra b og f, og databeskyttelseslovens § 6, stk. 1.

5.2 Verificering

• 5.2.1 Når private brugere verificerer gennem MitID, gemmes hverken MitID bruger-ID eller MitID-adgangskode.

• 5.2.2 Når virksomhedsbrugere verificerer gennem MitID, gemmes hverken MitID bruger-ID eller MitID-adgangskode.

• 5.2.3 Hjemmesiden gemmer dato og identifikationsinformationer ved MitID verificering.

5.3 Behandlingsgrundlag i relation til markedsføring

• 5.3.1 I forbindelse med markedsføringstiltag i øvrigt sker behandling af personoplysninger først og fremmest med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra f, og databeskyttelseslovens § 6, stk. 1.

• 5.3.2 Hvis behandling af personoplysninger sker på grundlag af samtykke, f.eks. ved din tilmelding til markedsføringsmateriale eller nyhedsbreve fra os, er vores hjemmel databeskyttelsesforordningens artikel 6, stk. 1, litra a, og databeskyttelseslovens § 6, stk. 1

6. Dine rettigheder

6.1 Du har følgende rettigheder i forhold til de personoplysninger, vi behandler om dig:

• A Ret til indsigt, dvs. en ret til at få at vide, om dine personoplysninger behandles og i bekræftende fald ret til at få udleveret en kopi af Personoplysningerne.
• B Ret til dataportabilitet, dvs. en ret til at modtage personoplysninger om dig selv, som du har givet til os.
• C Ret til korrektion, dvs. en ret til få rettet ukorrekte personoplysninger.
• D Ret til sletning / ret til at blive ‘glemt’, dvs. en ret til med visse begrænsninger at få slettet dine personoplysninger uden unødig forsinkelse.
• E Ret til at gøre indsigelse, dvs. en ret til at gøre indsigelse mod vores behandling af dine personoplysninger.
• F Ret til begrænsning af behandlingen, dvs. en ret til at få begrænset behandlingen af dine personoplysninger, f.eks. hvis en anmodning om sletning ikke kan imødekommes.

7. Generelle behandlingsregler og - principper

7.1 Behandlingsprincipper

• 7.1.1 Vi vil behandle personoplysningerne lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.

• 7.1.2 Vores behandling af personoplysninger er undergivet en formålsbegrænsning, hvilket vil sige, at personoplysninger skal indsamles til udtrykkelige angivne og legitime formål. De må ikke viderebehandles på en måde, der er uforenelig med disse formål.

• 7.1.3 Vi behandler personoplysningerne ud fra et princip om dataminimering, hvilket vil sige, at de skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.

• 7.1.4 Personoplysningerne skal behandles ud fra et princip om rigtighed, hvilket vil sige, at de skal være korrekte og om nødvendigt ajourførte.

• 7.1.5 Vi behandler personoplysningerne ud fra et princip om opbevaringsbegrænsning, hvilket vil sige, at personoplysningerne skal opbevares på en sikker måde, og at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles.

• 7.1.6 Personoplysningerne skal behandles ud fra et princip om integritet og fortrolighed, hvilket vil sige, at de skal behandles på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne, herunder skal de beskyttes mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger.

7.2 Risikoanalyse

• 7.2.1 Vi skal i forbindelse med vores sagsbehandling gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der konkret er forbundet med vores behandling af personoplysningerne.

• 7.2.2 Vi har gennemført en risikoanalyse, som ligger til grund for denne persondatapolitik.

7.3 Oplysningspligt

• 7.3.1 Alle aftaler i forbindelse med brug af vores tjenester indeholder en henvisning til denne Persondatapolitik, som beskriver, hvordan vi indsamler og behandler brugernes personoplysninger. Persondatapolitikken er desuden tilgængelig på vores Hjemmeside.

• 7.3.2 Hjemmeside og tjenester er delvist baseret på software fra tredjeparter. Vi henviser derfor også til de relevante politikker hos vores samarbejdspartnere og leverandører: Criipto (MitID), Stripe, E-conomic, ActiveCampaign, Mailjet, Freshworks, Slack.

7.4 Databehandleraftaler

• 7.4.1 Hvis vi vurderer, at der for en af vores leverandører foreligger en databehandlerkonstruktion med os, udarbejder vi en “databehandleraftale” med leverandøren.

• 7.4.2 Databehandleraftalen skal indgås mellem os (som den “dataansvarlige”) og leverandøren (som “databehandler) og skal leve op til gældende krav til databehandleraftaler, jf. databeskyttelsesforordningens artikel 28, stk. 3. Det indebærer, at der skal udarbejdes en kontrakt eller andet retligt dokument, som er bindende for databehandleren. Det er desuden et krav, at databehandleraftalen er skriftlig, herunder elektronisk.

• 7.4.3 Databeskyttelsesforordningen fastsætter herudover en del specifikke krav til indholdet af databehandleraftalen. Aftalen skal bl.a. indeholde oplysninger om genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger, kategorierne af registrerede og vores forpligtelser og rettigheder som dataansvarlig samt de pligter, som databehandleren har i forhold til at varetage behandlingen af personoplysninger på vores vegne.

8. Overførsel af personoplysninger til tredjelande

8.1 Vores behandling af personoplysninger finder sted i Europa.

8.2 Hjemmesiden er hostet på Amazon Inc. servere (AWS), der er placeret i Frankfurt, Tyskland.

8.3 Hvis det er nødvendigt at overføre personoplysninger til et tredjeland eller international organisation, der er placeret uden for EU/EØS, sikrer vi os forinden overførslen af personoplysningerne til det pågældende tredjeland eller internationale organisation, at overførslen af personoplysningerne sker på en måde, der udgør tilstrækkelig garanti for, at personoplysningerne er beskyttet, herunder evt. ved anvendelse af EU-Kommissionens standardkontraktbestemmelser om databeskyttelse. Vi vurderer i den forbindelse også, forud for overførslen, om der kræves implementering af supplerende foranstaltninger for at sikre, at der for behandlingen af personoplysningerne fortsat gælder et beskyttelsesniveau, som svarer til det niveau, der er sikret i EU, herunder i databeskyttelsesforordningen, sammenholdt med EU’s charter om grundlæggende rettigheder.

9. Sikkerhedsforanstaltninger

9.1 Vi har truffet de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte dine personoplysninger mod utilsigtet eller ulovlig destruktion, tab eller ændring og mod uautoriseret offentliggørelse, misbrug eller anden handling i strid med gældende lovgivning.

9.2 Vi anvender betalingstjenesten Stripe til at håndtere betalinger. Dine betalings- og kortoplysninger gemmes udelukkende på en ekstern server, hvor oplysningerne krypteres efter AES-256-protokollen. Oplysningerne behandles desuden i et PCI-certificeret miljø, der lever op til internationale sikkerhedsstandarder, indtil betalingstransaktionerne er gennemført. Du kan læse om sikkerhedsforanstaltningerne hos Stripe her.

9.3 Vi anvender sessionsbaseret brugerbekræftelse.

9.4 Adgang til personoplysningerne er begrænset til personer, der har et sagligt behov for denne adgang. De medarbejdere, der håndterer personoplysningerne, er instrueret i, hvad de må gøre med personoplysningerne, og hvordan de skal beskytte personoplysningerne.

9.4 Ved brug af en ekstern databehandler til håndtering af personoplysningerne underskrives en skriftlig databehandleraftale mellem os og databehandleren, der ligeledes pålægger databehandleren at træffe de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger for at beskytte dine personoplysninger.

10. Opbevaringsperioder og sletning

10.1 Hvornår sletter vi dine Personoplysninger?

• 10.1.1 Du har til enhver tid mulighed for at slette alle dine personoplysninger fra brugeroprettelsen og verificeringsprocessen gennem dine sider. Din bruger vil blive anonymiseret, men dato og identifikationsnummer fra MitID verificeringen vil forblive gemt for at sikre, at hælere ikke kan verificere en bruger, registrere en cykel, sælge en cykel og dernæst slette en anden bruger.

• 10.1.2 For at slette andre personoplysninger skal du kontakte os på support@bikekey.com

• 10.1.3 Efter afslutning af forholdet med en bruger sletter vi personoplysningerne, så snart det ikke længere er nødvendigt at opbevare de pågældende personoplysninger.

• 10.1.4 En række hensyn og regler indebærer dog, at personoplysninger ikke altid bør eller kan slettes, før der er gået et bestemt tidsrum.

• 10.1.5 Derfor foretager vi altid en konkret vurdering af, hvor længe personoplysninger skal opbevares, inden de slettes.

• 10.1.6 Bogføringsreglerne indebærer, at personoplysninger knyttet til en betaling skal opbevares i 5 år + løbende kalenderår efter regnskabsårets afslutning.

• 10.1.7 Hensynet til, at vi kan varetage dine eller vores interesser ved et muligt ansvar kan dog i konkrete tilfælde indebære, at personoplysningerne opbevares i op til 3 år (eller undtagelsesvist i en længere periode) efter afslutningen af forretningsforholdet med brugeren. Stamdata for brugere opbevares dog — for at sikre logisk synergi til også den regnskabsmæssige behandling af oplysningerne — i op til 5 år fra kundeforholdets eller relationens ophør.

• 10.1.8 Hvis personoplysningerne er indhentet eller opbevares på grundlag af dit samtykke, sletter vi som udgangspunkt de personoplysninger, der er indhentet på grundlag af samtykket, umiddelbart efter, at du tilbagekalder samtykket. Hvis der er tale om et samtykke til udsendelse af elektronisk markedsføring, er vi dog forpligtet til at opbevare dokumentation for, at vi lovligt har indhentet dit samtykke i 2 år fra den seneste udsendelse af materiale, der var baseret på dit samtykke.

• 10.1.9 Tilbagekaldelsen af et samtykke påvirker ikke vores behandling af personoplysninger, der er baseret på andre grundlag end dit samtykke, f eks. hvis fortsat behandling af personoplysningerne er nødvendige for, at vi kan overholde retlige forpligtelser, vi er underlagt.

• 10.1.10 Kontaktinformation i vores CRM-system slettes og opdateres løbende. E-mails, som kan have betydning for fastlæggelse af et retskrav, gemmes dog i op til 3 år og slettes herefter, medmindre der er en nærliggende risiko for, at retskrav vil blive rejst mod, eller tænkes rejst af, os.

10.2 Hvordan sletter vi dine personoplysninger?

• 10.2.1 Sletning af personoplysninger betyder som udgangspunkt, at personoplysningerne uigenkaldeligt fjernes fra alle lagringsmedier, hvor de har været lagret, og at personoplysningerne på ingen måde kan genskabes.

• 10.2.2 Personoplysninger kan som et alternativ anonymiseres fuldstændigt med den virkning, at de ikke længere kan henføres til en bestemt person. I givet fald finder reguleringen om personoplysninger slet ikke anvendelse, og fuldstændig anonymisering er derfor et alternativ til sletning.

11. Ændring af Persondatapolitikken

11.1 Vi kan til enhver tid og ændre denne Persondatapolitik med virkning for fremtiden. Ved sådanne ændringer sker der orientering pr. e-mail. Vores nye persondatapolitik vil herefter være gældende for din brug af vores tjenester.

12. Henvendelser

12.1 Hvis du har spørgsmål til denne Persondatapolitik, vores behandling af personoplysninger, disses berigtigelse eller dit forhold til os, er du velkommen til at rette henvendelse til os på følgende e-mailadresse support@bikekey.com.

13. Datatilsynet

13.1 Du har mulighed for at klage til Datatilsynet over vores indsamling og behandling af dine personoplysninger: Datatilsynet Carl Jacobsens Vej 35 2500 Valby Tlf. 33 19 32 00 dt@datatilsynet.dk.