Personuppgiftspolicy (gäller fr.o.m )

Personuppgiftspolicy (gäller fr.o.m. 2018-05-25) Din personliga integritet och att du känner dig trygg med att vår behandling av dina personuppgifter är av yttersta vikt för oss. Denna Personuppgiftspolicy förklarar hur Gothia Inkasso (bifirma till Arvato Finance AB) behandlar dina personuppgifter i vår inkassohantering. Den beskriver också dina rättigheter avseende behandlingen av dina personuppgifter och hur du kan göra dina rättigheter gällande. Det är därför viktigt att du tar del Personuppgiftspolicyn. Har du några frågor är du alltid välkommen att kontakta oss. På de ställen där vi hänvisar till lagtext avser detta Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (GDPR) För allmän information om Arvato Finance AB:s behandling av personuppgifter klicka här För information om behandling avseende personuppgifter särskilt för AfterPay klicka här Innehåll Personuppgiftsansvarig... 2 Vilka personuppgifter behandlar vi?... 2 Varifrån hämtar vi personuppgifterna?... 2 Varför och hur behandlar vi dina personuppgifter?... 3 Vem delar vi dina personuppgifter med?... 6 Personuppgiftsbiträden.... 6 Personuppgiftsansvariga.... 6 Var behandlar vi dina personuppgifter?... 6 Hur ser vi till att dina uppgifter är säkra?... 6 Dina rättigheter?... 7 Profilering och automatiserat beslutsfattande... Fel! Bokmärket är inte definierat. Cookies och andra spårningstekniker... 8 Ändringar i vår Personuppgiftspolicy... 8 Om du undrar över något/ kontakt... 8 Kontakta Arvato:... 8 Kontakta tillsynsmyndigheten... 9

Personuppgiftsansvarig Ansvarig för behandlingen av dina personuppgifter är Gothia Inkasso (Arvato Finance AB, 556495-1704) Vilka personuppgifter behandlar vi? För att kunna fullfölja våra ändamål med personuppgiftshanteringen behandlar vi följande kategorier av personuppgifter: Namn Adressuppgifter Personnummer Kontaktuppgifter Personlig information Finansiell information Köpinformation Fakturainformation Betalningsinformation - ex. e-post och telefonnummer -uppgifter om din levnadssituation som är relevanta i ärendet -ex. inkomster, utgifter, skulder - ex. vilken vara som har beställts, hur det har beställts och leveransadress -ex. fakturabelopp, -information om betalningar du har gjort Registreringsnummer för fordon IP adress Bankkonto Särskilda kategorier av personuppgifter behandlas endast efter samtycke Fällande domar i brottmål och överträdelser -om nödvändigt för att fastställa ett rättsligt anspråk Eventuellt ombud -om du har ett ombud som företräder dig Varifrån hämtar vi personuppgifterna? Utöver de uppgifter du själv lämnar till oss, samlar vi även in uppgifter från andra s.k. tredje parter vilka är våra uppdragsgivare, myndigheter och företag som tillhandahåller personuppgifter. De uppgifter vi samlar in från tredje part är följande: 1) Namn, adressuppgifter, personnummer, kontaktuppgifter, fakturainformation samt betalningsinformtion från våra uppdragsgivare. 2) Adress- och kontaktuppgifter från offentliga register för att vara säkra på att vi har rätt adressuppgifter till dig. 3) Finansiell information från kreditupplysningsföretag och myndigheter, exempelvis uppgifter om din inkomst, utgifter, potentiella kreditåtaganden, betalningsanmärkningar och skuldsaldo

4) Personnummer från offentliga register. Vi behandlar personnummer i så liten utsträckning som möjligt och när det är klart motiverat med hänsyn till ändamålet med behandlingen exempelvis då vi säkert behöver identifiera dig. 5) Personlig information. Vi kan få personlig information om dig från myndigheter i samband med myndighets hantering av exempelvis skuldsaneringsärenden. Varför och hur behandlar vi dina personuppgifter? Ändamål Behandlingar Kategorier av personuppgifter För att på ett effektivt sätt uppnå betalning eller annan fullgörelse eller verkställighet. Insamling Identifikation och ålderskontroll. Analys av hur ärendet effektivast kan hanteras vilket kan innefatta en kontroll gentemot betalningshistorik och inhämtande av finansiell information. Ansökan om betalningsföreläggande, verkställighet, konkurs eller annan juridisk åtgärd. Skuldsanering. Hantering av betalning. Adresskontroll. Utskick av inkassokrav och annan korrespondens i ärendet. Telefonkontakt. Lagring. Kontroll av kontaktuppgifter. Utlämnande av uppgifter till uppdragsgivare. Utlämnande av uppgifter till myndigheter. Namn. Personnummer. Betalningsinformation. Finansiell information. Köpinformation (t.ex. vilken vara som har beställts eller om varan ska levereras till en annan adress). Fakturainformation. Uppgifter du lämnat till oss vid kontakter. Finansiell information. Inloggnings/ Användaruppgifter Särskilda kategorier av personuppgifter. Fällande domar i brottmål och överträdelser. Eventuellt ombud. Personlig information. Utförande av uppgift av allmänt intresse. Inkassoverksamhet utgör ett allmänt intresse enligt Art 6,1, e varför behandlingen av personuppgifter sker på denna grund. Samtycke. I vissa fall kan särskilda kategorier av personuppgifter komma att behandlas. Sådan behandling kommer endast ske då du samtyckt till behandling Uppgifterna gallras inom 36 månader efter utfört inkassouppdrag. Automatiserat beslutsfattande

Ändamål Behandlingar Kategorier av personuppgifter Utvärderande och utvecklande av våra rutiner och system för att tillse att dessa är effektiva och ändamålsenliga samt statistik. Analyser av de uppgifter som används för ändamålet. Avidentifiering eller pseudonymiserande av data, så att dessa inte längre har någon koppling till dig som individ. Ålder. Kön. Finansiell information Betalningsinformation Utförande av uppgift av allmänt intresse. Inkassoverksamhet utgör ett allmänt intresse enligt Art 6,1, e varför behandlingen av personuppgifter sker på denna grund avseende sådan utveckling som är nödvändig för att inkassohanteringen skall vara lagenlig. Berättigat intresse enligt Art 6, 1, f. Behandlingen är nödvändig för att uppfylla vårt berättigade intresse av att kunna tillhandahålla effektiva och ändamålsenliga tjänster. Uppgifterna gallras inom 36 månader efter utfört inkassouppdrag. Automatiserat beslutsfattande Ändamål Behandlingar Kategorier av personuppgifter Analyser och beräkningar i samband med eventuella fordringsförvärv Personuppgifter härrörande från av Arvato Finance AB ägda fordringar matchas mot personuppgifter avseende personer mot vilka Arvato eventuellt skall förvärva fordringar. Personnummer. Betalningsinformation. Finansiell information Berättigat intresse enligt Art 6.1 f. Behandlingen är nödvändig för att tillvarata vårt berättigade intresse av att upprätthålla en fungerande affärsmodell. Uppgifterna gallras inom 36 månader efter utfört inkassouppdrag. Automatiserat beslutsfattande

Ändamål Behandlingar Kategorier av personuppgifter Uppfyllande av skyldighet avseende bokföring. Lagring och om så begärs utlämnande av uppgifter nödvändiga för bokföringsskyldigheten Betalningsinformation. Köpinformation (t.ex. vilken vara som har beställts eller om varan ska levereras till en annan adress). Fakturainformation Rättslig förpliktelse. Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse Uppgifterna lagras i 7 år efter det att full betalning erlagts. Automatiserat beslutsfattande Ändamål Behandlingar Kategorier av personuppgifter Motverka penningtvätt och finansiering av terrorism Lagring och om så begärs utlämnande av uppgifter nödvändiga för uppfyllande av skyldigheter i enligt gällande lagstiftning på området Namn. Personnummer. Betalningsinformation. Köpinformation (t.ex. vilken vara som har beställts eller om varan ska levereras till en annan adress). Fakturainformation Rättslig förpliktelse. Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse. Uppgifterna lagras i 5 år efter det att full betalning erlagts.

Automatiserat beslutsfattande Vem delar vi dina personuppgifter med? I vissa fall delar vi dina personuppgifter med företag och myndigheter som Gothia Inkasso anlitar och vänder sig till för fullgörandet av ovan angivna ändamål samt. De vi lämnar ut uppgifter till kan delas in i två kategorier. Personuppgiftsbiträden. I vissa fall behöver vi dela dina personuppgifter med företag som är s.k. personuppgiftsbiträden till oss. Företag som vi anlitar som personuppgiftsbiträden får bara behandla informationen för vår räkning och i enlighet med våra instruktioner. All behandling sker i enlighet med de ändamål vi angivit för behandlingen. Alla personuppgiftsbiträden vi anlitar kontrolleras så att de uppfyller kraven på säkerhet för personuppgiftsbehandling. Vi tecknar även personuppgiftsbiträdesavtal med samtliga biträden för att ytterligare säkerställa en säker behandling av dina uppgifter Personuppgiftsansvariga. Vi delar även dina personuppgifter med företag (exempelvis det företag som anlitat oss) och myndigheter (exempelvis Kronofogdemyndigheten, Skattemyndigheten) som själva är personuppgiftsansvariga. Att de är personuppgiftsansvariga innebär att det är de som väljer hur informationen skall behandlas. I vissa fall kan vi vara skyldiga enligt lag att lämna ut personuppgifter. När dina personuppgifter delas med ett företag eller myndighet som är personuppgiftsansvarigt är det deras Personuppgiftspolicy som är tillämplig. Vi lämnar inte ut uppgifter till företag eller myndigheter som inte följer gällande lagar för skydd av personuppgifter. Vi säljer inte dina personuppgifter till tredje part. Dessutom lämnar vi inte dina uppgifter till tredje part för direktreklam, distansförsäljning eller andra former av direktmarknadsföring, opinionsundersökningar eller marknadsundersökningar. Var behandlar vi dina personuppgifter? Vi har alltid som mål att dina personuppgifter ska behandlas inom EU/EES Om vi överför dina uppgifter utanför EU eller EES, ser vi till att uppgifterna skyddas på bästa sätt. Överföring kommer endast ske om det föreligger en adekvat skyddsnivå exempelvis Privacy Shield eller lämpliga skyddsåtgärder exempelvis bindande företagsbestämmelser, standardiserade dataskyddsbestämmelser, godkänd uppförandekod eller företagsinterna regler. Hur ser vi till att dina uppgifter är säkra? Vi använder den senaste tekniken för att hålla din information säker. Det innebär att vi använder alla nödvändiga tekniska och administrativa säkerhetsåtgärder för att skydda din information mot obehörig

tillgång, överföring, förstörelse eller annan obehörig behandling. Dessa säkerhetsåtgärder inkluderar brandväggar, kryptering, användning av säkra IT-områden, korrekt åtkomstkontroll, utbildning av personal som behandlar din information och ett noggrant val av underleverantörer. Dessutom är rätten att få tillgång till din information begränsad till Arvato-personal som behandlar din information i sitt arbete. Dina rättigheter? I samband med vår behandling av dina personuppgifter har du ett antal rättigheter. Rättigheterna framgår av gällande lagstiftning på området och innebär att du har rätt till: Tillgång. Du har alltid rätt att få veta om vi behandlar personuppgifter som rör dig och sådana fall få tillgång till personuppgifterna. Du har rätt att få en kopia av de personuppgifter som behandlas. Informationen lämnas i ett registerutdrag där det även framgår ändamål, kategorier av personuppgifter, kategorier av mottagare, lagringsperioder, dina rättigheter, information om varifrån uppgifterna har samlats in och förekomsten av automatiserat beslutsfattande samt skyddsåtgärder vid överföring till tredjeland. För din säkerhet kan vi komma att behöva ytterligare information från dig för att säkerställa att det är du som begärt tillgång till uppgifterna och så att vi kan förse dig med uppgifterna på ett säkert sätt. Rättelse. Du har rätt att få felaktiga personuppgifter som rör dig rättade. Du har även rätt att, med beaktande av ändamålet med behandlingen, komplettera ofullständiga personuppgifter Radering. Du har i följande fall rätt att få dina personuppgifter raderade: Uppgifterna inte längre är nödvändiga för de ändamål för vilka de har samlats in eller på annat sätt behandlats. Om du återkallar ett lämnat samtycke och det inte finns någon annan rättslig grund för behandlingen Om du invänder mot behandling av dina personuppgifter som vi utför med berättigat intresse som laglig grund. Det förutsätter att det inte finns berättigade skäl för behandlingen som väger tyngre än din grund för invändning. Du invänder mot behandling av dina personuppgifter för direktmarknadsföring. Om dina personuppgifter har behandlats på ett olagligt sätt Om personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse som vi omfattas av. Det är inte säkert att vi kan tillmötesgå din begäran om att få dina personuppgifter raderade. Exempelvis om uppgifterna behövs för att uppfylla en rättslig förpliktelse som vi omfattas av, för att utföra en uppgift av allmänt intresse eller om uppgifterna behövs för att vi skall kunna fastställa, gör gällande eller försvara rättsliga anspråk. Begränsning. Du har rätt att kräva att vi begränsar behandlingen av dina personuppgifter i följande fall: Om du bestrider att personuppgifterna vi behandlar om dig är korrekta skall behandlingen begränsas under tiden vi kontrollerar om uppgifterna är korrekta.

Om behandlingen av personuppgifterna är olaglig och du motsätter dig att personuppgifterna raderas och istället begär att behandlingen begränsas. Om vi inte längre behöver personuppgifterna för ändamålen med behandlingen men du behöver dem för att fastställa, göra gällande eller försvara rättsliga anspråk. Om du har invänt mot behandling av dina personuppgifter som vi behandlar med berättigat intresse som laglig grund har du rätt till begränsad behandling under tiden vi kontrollerar om våra berättigade skäl väger tyngre än dina. Om behandlingen av dina personuppgifter har begränsats får vi utöver att lagra dina personuppgifter endast behandla dem med ditt samtycke, för att fastställa göra gällande eller försvara rättsliga anspråk, skydda någon annan fysisk eller juridisk person eller för skäl som rör ett viktigt allmänintresse. Dataportabilitet. Du har rätt att få ut de personuppgifter som du tillhandahållit oss i ett strukturerat allmänt använt och maskinläsbart format. Du har även rätt att överföra dessa uppgifter till en annan personuppgiftsansvarig och om det är tekniskt möjligt rätt till överföring direkt från oss till en annan personuppgiftsansvarig. Detta under förutsättning att vi behandlar personuppgifterna med samtycke eller fullgörande av avtal som laglig grund och att behandlingen sker automatiserat. Rätt att göra invändningar. Du har rätt att göra invändningar mot behandling av dina personuppgifter som behandlas med utförande av en uppgift allmänt intresse eller uppfyllande av avtal som laglig grund inklusive profilering. Om du invänder mot sådan behandling får vi inte längre behandla dina uppgifter om vi inte kan visa tvingande berättigade skäl som väger tyngre än dina intressen, rättigheter och friheter eller om vi behandlar dina personuppgifter för att fastställande, utövande eller försvar av rättsliga anspråk. Du har alltid rätt att invända mot behandling av dina personuppgifter för direktmarknadsföring inkluderat profilering med samband till direktmarknadsföringen. Cookies och andra spårningstekniker Cookies är små tillfälliga filer som sparas i webbläsarens cacheminne för användare som besöker webbplatser. För detaljerad information om hur vi använder cookies och liknande teknik, läs [här]. Ändringar i vår Personuppgiftspolicy Vi utvecklar kontinuerligt vår verksamhet och förbehåller oss rätten att ändra i vår Personuppgiftspolicy. Sådana ändringar, vilka kan baseras på ändringar av gällande lagstiftning, meddelas här. Vi rekommenderar därför att du läser vår Personuppgiftspolicy regelbundet. Om du undrar över något/ kontakt Om det är något du undrar över avseende vår hantering av dina personuppgifter är du välkommen att kontakta oss. Du kan då skriva till oss eller kontakta tillsynsmyndigheten för personuppgiftsfrågor. Du har också rätt att framföra klagomål till tillsynsmyndigheten om du är missnöjd. Kontakta Arvato: Arvato Finance AB, Personuppgiftsansvarig, Box 1143, 432 15 Varberg, (info.se@arvato.com) Du kan även kontakta vårt Dataskyddsombud:

DO/Christer Johansson, Box 1143, 432 15 Varberg, (dataskydd.se@arvato.com) Kontakta tillsynsmyndigheten: Integritetsskyddsmyndigheten Box 8114 104 20 Stockholm