TCM Suðurlandsbraut 4a Reykjavík (hér eftir einnig „stofan“ eða „við“) er umhugað um áreiðanleika, öryggi og trúnað persónuupplýsinga sem unnið er með á stofunni, en TCM er ábyrgðaraðili að vinnslu persónuupplýsinga sem þar fer fram. Þessari stefnu um meðferð persónuupplýsinga er ætlað að útskýra hvernig unnið er með persónuupplýsingar er varða einstaklinga sem eru í viðskiptum við stofuna, einstaklinga sem hafa samband við hana, einstaklinga sem koma fram sem tengiliðir fyrir hönd lögaðila í viðskiptum við stofuna, sem og aðra tengiliði (hér eftir sameiginlega vísað til „viðskiptavinir eða „þín“), auk þess að upplýsa þig um réttindi þín í tengslum við persónuvernd.

Öll vinnsla persónuupplýsinga á stofunni fer fram í samræmi við persónuverndarlög á hverjum tíma, sbr. nú lög nr. 90/2018, um persónuvernd og vinnslu persónu-upplýsinga, sbr. einnig reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga.

Ef einhverjar spurningar vakna varðandi persónuverndarstefnu þessa eða meðferð persónuupplýsinga hjá TCM er velkomið að hafa samband, til dæmis með tölvupósti á netfangið tcm@tcm.is.

Við söfnum, notum, geymum og flytjum ýmsar tegundir upplýsinga um viðskiptavini okkar, en persónuupplýsingar eru hvers kyns upplýsingar um persónugreindan eða persónugreinanlegan einstakling, en einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint. Söfnun persónuupplýsinga fer eftir því sambandi sem við eigum við þig, til dæmis eftir því hvort þú ert sjálf/-ur í viðskiptum við okkur eða hvort þú komir fram fyrir hönd lögaðila í viðskiptum. Við leggjum í öllum tilvikum áherslu á að persónuupplýsingarnar séu nægjanlegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.

Eftirfarandi eru dæmi um persónuupplýsingar sem við vinnum um einstaklinga í viðskiptum við okkur:

• Tengiliðaupplýsingar, svo sem nafn, heimilisfang, lögheimili, símanúmer og netfang;
• kennitala;
• samskiptasaga, þ. á m. aðrar upplýsingar sem fram koma í samskiptum, sem kunna t.a.m. að innihalda viðkvæmar persónuupplýsingar, s.s. upplýsingar um stéttarfélagsaðild eða heilsufar, enda séu þær upplýsingar nauðsynlegar vegna mála sem TCM rekur fyrir hönd viðskiptavinarins;
• reikningsupplýsingar;
• aðrar persónuupplýsingar sem einstaklingur veitir okkur.

Eftirfarandi eru dæmi um persónuupplýsingar sem við vinnum um einstaklinga, sem koma fram fyrir hönd lögaðila, í viðskiptum við okkur:

• Tengiliðaupplýsingar, svo sem nafn, símanúmer og netfang;
• Samskiptasaga, þ. á m. aðrar upplýsingar sem fram koma í samskiptum.

Eftirfarandi eru dæmi um persónuupplýsingar sem við vinnum um einstaklinga, sem hafa samband við okkur:

• Samskiptaupplýsingar, svo sem nafn, símanúmer og netfang;
• Samskiptasaga, þ. á m. aðrar upplýsingar sem fram koma í samskiptum. Hér undir geta jafnframt fallið upplýsingar vegna starfsumsókna.

Framangreint er ekki tæmandi talning á þeim persónuupplýsingum sem við kunnum að vinna um einstaklinga, og getur til dæmis verið um að ræða aðrar upplýsingar sem einstaklingar láta okkur sjálfir í té.

Í þágu almenns öryggis og af tilefni ofbeldisverka fer fram rafræn vöktun á stofunni og aðliggjandi sameignarrýmum með vefmyndavélum. Fylgt er reglum nr. 50/2023 um rafræna vöktun og athygli á henni vakin með viðvörunarmerkjum.

Við öflum upplýsinga með eftirfarandi hætti:

• Upplýsingar beint frá viðkomandi einstaklingi - þetta eru upplýsingar eins og nafn og tengiliðaupplýsingar sem viðskiptavinir veita okkur við upphaf þjónustu, auk upplýsinga sem veittar eru í tengslum við veitta þjónustu eða þegar einstaklingar hafa samband við okkur, s.s. til að sækja um starf.
• Upplýsingar um veitta þjónustu - þetta eru upplýsingar um þá þjónustu sem viðskiptavinurinn nýtir sér, eins og upplýsingar um tegund þjónustu, reikningssögu, reikningsupphæðir, skuldastöðu og önnur atriði sem tengjast reikningi viðskiptavinar.
• Upplýsingar frá þriðja aðila - okkur kann að vera nauðsynlegt að afla tiltekinna upplýsinga frá þriðju aðilum, svo sem fjárhagsupplýsingastofum, stjórnvöldum, dómstólum, Þjóðskrá Íslands, gagnaðilum og öðrum lögmönnum. Þá kann upplýsingum einnig að vera safnað af netinu, eftir atvikum.

Ef þú vilt takmarka, leiðrétta eða mótmæla vinnslu persónuupplýsinga biðjum við þig að hafa samband við okkur og við munum vinna úr beiðni þinni eins fljótt og unnt er, þó ekki síðar en einum mánuði eftir móttöku hennar.

Við vinnum aðeins með persónuupplýsingar í lögmætum tilgangi og til samræmis við gildandi persónuverndarlöggjöf á hverjum tíma. Kunna upplýsingarnar til dæmis að vera okkur nauðsynlegar til að auðkenna viðskiptavini og hafa samband við þá; og til að inna þá þjónustu, sem óskað er eftir hverju sinni, af hendi.

Oftast eru upplýsingarnar unnar á grundvelli eftirfarandi heimilda:

• Þegar það er nauðsynlegt vegna lögmætra hagsmuna stofunnar eða annarra og grundvallarréttindi og frelsi einstaklingsins verða ekki talin vega þyngra.
• Þegar það er nauðsynlegt til að efna samning milli stofunnar og hlutaðeigandi.
• Þegar það er nauðsynlegt vegna lagaskyldu sem hvílir á stofunni.
• Þegar einstaklingur hefur samþykkt að stofan noti upplýsingarnar.

Við munum einungis nota persónuupplýsingar í þeim tilgangi sem lá að baki söfnun þeirra.

Við geymum aðeins persónuupplýsingar eins lengi og nauðsynlegt er og í samræmi við þann tilgang sem þeim var safnað, þ.m.t. til þess að uppfylla lagaskyldu og bókhaldsskyldu. Við mat á hæfilegum geymslutíma fyrir persónuupplýsingar tökum við mið af umfangi, tegund og eðli upplýsinganna sem um ræðir, áhættunni af því að óviðkomandi fái aðgang að þeim eða nýti þær með óheimilum hætti, þeim tilgangi sem við vinnum persónuupplýsingarnar með og hvort við getum náð sama tilgangi með öðrum leiðum, auk viðeigandi lagaskilyrða eftir því sem við á.

Persónugreinanlegum upplýsingum um viðskiptavini og einstaklinga þeim tengdum kann að vera miðlað til annarra fyrirtækja eða opinberra aðila í ákveðnum tilvikum, að því marki sem heimild er til. Sem dæmi má nefna:

• Til fyrirtækja sem vinna með okkur að framfylgni innheimtu. Í þeim tilvikum er þó aðeins um að ræða reikningstengdar upplýsingar, svo sem um ákveðin viðskipti, skuldastöðu og skuldasögu. Komi til þessa undirgangast þessir aðilar trúnaðarskyldur vegna þeirra persónuupplýsinga sem veittar eru.
• Til utanaðkomandi ráðgjafa okkar sem eru þá vinnsluaðilar, ábyrgðaraðilar eða sameiginlegir ábyrgðaraðilar með okkur eftir atvikum, í tengslum við ráðgjöf.
• Til gagnaðila í ágreiningsmáli, vitna eða samstarfsaðila viðskiptavina.
• Til þjónustuveitenda vegna upplýsingatækniþjónustu fyrir tölvukerfi okkar eða vegna annarrar þjónustu sem er nauðsynleg fyrir rekstur okkar.
• Til þess að veita opinberum aðilum upplýsingar, svo sem lögreglu og dómstóla, þó aðeins í þeim tilvikum þar sem skylda hvílir á okkar að verða við slíkri beiðni lögum samkvæmt.

Stofan skuldbindur alla þriðju aðila sem það kann að miðla upplýsingum til í samræmi við framangreint til þess að tryggja öryggi persónuupplýsinganna og fara með þær í samræmi við lög. Er þjónustuveitendum okkar óheimilt að nýta persónu-upplýsingarnar í eigin tilgangi og þeim er aðeins leyfilegt að vinna upplýsingarnar í ákveðnum tilgangi í samræmi við fyrirmæli okkar hverju sinni.

Við munum ekki flytja persónuupplýsingar til þriðju ríkja utan Evrópska Efnahagssvæðisins („EES“) nema tryggt sé að upplýsingarnar njóti sambærilegrar verndar og innan EES eða samkvæmt sérstöku samþykki hverju sinni. Sé nauðsynlegt að flytja upplýsingar til þriðju ríkja utan EES þá flytjum við þær aðeins ef fullnægjandi ráðstafanir hafa verið gerðar í því skyni til samræmis við persónuverndarlöggjöf.

Við leggjum ríka áherslu á öryggi við vinnslu persónuupplýsinga. Við höfum því gripið til viðeigandi öryggisaðgerða, meðal annars tæknilegra og skipulegra ráðstafana, til að tryggja að persónuupplýsingar glatist ekki, komist í hendur þriðju aðila, eða taki breytingum. Við stýrum til að mynda aðgengi að upplýsingum og tryggjum að starfsmenn séu bundnir trúnaði um vitneskju og störf sín hjá félaginu. Þá hvílir trúnaðarskylda á starfsmönnum, þrátt fyrir að látið sé af starfi.

Komi upp öryggisbrestur við meðferð persónuupplýsinga, þar sem staðfest er eða grunur leikur á um að persónuupplýsingar hafi komist í hendur óviðkomandi aðila er Persónuvernd og eftir atvikum einstaklingum tilkynnt um öryggisbrest nema hann hafi ekki í för með sér mikla áhættu fyrir einstaklinga.

Þú átt við ákveðnar kringumstæður tiltekin réttindi á grundvelli persónuverndarlaga. Þú átt til að mynda rétt á að fá staðfest hvort við vinnum persónuupplýsingar um þig eða ekki, og ef svo er getur þú óskað eftir aðgangi að þeim persónuupplýsingum um þig, sem við höfum undir höndum. Þá átt einnig rétt á að óska eftir leiðréttingu á þeim gögnum sem við erum að vinna. Þá getur þú við ákveðnar aðstæður óskað eftir því að þínum persónuupplýsingum verði eytt eða að við takmörkum vinnslu persónuupplýsinga um þig, auk þess sem þú getur í tilteknum tilvikum mótmælt vinnslunni. Ef vinnsla persónuupplýsinga um þig er byggð á samþykki, er þér jafnframt heimilt að afturkalla samþykkið. Í ákveðnum tilvikum getur þú einnig átt rétt á flutningi persónuupplýsinga til annars ábyrgðaraðila.

Þessi réttindi eru ekki fortakslaus og kann beiðni að vera hafnað, eftir því sem lög kveða á um. Komi til þess að við höfnum beiðni í heild eða að hluta munum við leitast við að útskýra á hvaða grundvelli. Almennt kostar ekkert að fá aðgang að gögnum eða nýta þér réttindi þín, en við áskiljum okkur hins vegar rétt til þess að fara fram á sanngjarnt endurgjald ef beiðnin er augljóslega tilhæfulaus, endurtekin eða umfangsmikil. Að öðrum kosti getum við hafnað því að verða við beiðninni í þeim tilvikum.

Ef þú hefur einhverjar spurningar um meðferð persónuupplýsinga hjá okkur eða vilt nýta þér lögbundinn rétt þinn er velkomið að hafa samband við okkur í tölvupósti á tcm@tcm.is.

Komi upp ágreiningur um meðferð persónuupplýsinga er unnt að senda kvörtun til Persónuverndar með því að senda tölvupóst á netfangið postur@personuvernd.is.

Við kunnum að breyta persónuverndarstefnu þessari í samræmi við breytingar á viðeigandi löggjöf eða vegna breyting á meðferð persónuupplýsinga hjá félaginu. Allar breytingar sem kunna að verða gerðar á stefnunni taka gildi eftir að uppfærð útgáfa hefur verið birt á vefsíðu félagsins.

Það er mikilvægt fyrir okkur að persónuupplýsingar sem við vinnum um þig séu ávallt réttar og uppfærðar, svo að endilega hafðu samband ef persónuupplýsingarnar þínar breytast meðan á viðskiptasambandi okkar stendur.

Persónuverndarstefna þessi var sett þann 6. febrúar 2024.

Persónuupplýsingar eru nýttar til að veita þjónustu, bæði við kröfuhafa og greiðanda. Við nálgumst þessar upplýsingar frá kröfuhöfum sjálfum sem og frá ýmsum þjónustuaðilum, þ.á.m. Þjóðskrá, Creditinfo og Lögbirtingablaðinu. Í einstaka tilfellum reynist nauðsynlegt að afla upplýsinga sem eru skilgreindar sem viðkvæmar persónuupplýsingar, en í þeim tilfellum er þess gætt að skilyrði laga séu uppfyllt fyrir vinnslunni. Hér að neðan útlistum við hvernig persónuupplýsingar eru nýttar, hvernig við nálgumst þær, hvort þær eru afhentar þriðja aðila, hvernig við tryggjum öryggi þeirra og hver þín réttindi eru.

Samkvæmt lögum um persónuvernd er okkur aðeins heimilt að vinna persónuupplýsingar þegar þess er þörf, t.a.m. vegna framkvæmdar samnings milli okkar og kröfuhafa, eða ef okkur ber lagaleg skylda til þess. Oftast teljast þær upplýsingar sem við nýtum almennar persónuupplýsingar. Þessar upplýsingar eru fjármálalegar upplýsingar, samskiptasaga milli málsaðila, nöfn, kennitölur, heimilisföng, netföng, símanúmer, hjúskaparstaða, fjölskyldunúmer, starfsheiti, skráningarnúmer bifreiðar, fasteignanúmer og skráning á vanskilaskrá. Við nálgumst þessar upplýsingar frá kröfuhöfum, greiðendum, Þjóðskrá, Creditinfo og úr Lögbirtingablaðinu. TCM nýtir þessar upplýsingar til að geta veitt þjónustu sína á sem skilvirkastan hátt og til að gæta lögmætra hagsmuna viðskiptavina. Upptalning þessi er ekki tæmandi og er hægt að hafa samband við okkur og óska eftir ítarlegri upplýsingum vegna geymslu og vinnslu persónugreinanlegra gagna.

Fyrirtækjum er almennt óheimilt að vinna viðkvæmar persónuupplýsingar nema fyrir hendi séu einhverjar af þeim undantekningum sem lög um persónuvernd og vinnslu persónuupplýsinga kveða á um. Slíkar upplýsinga eru m.a. heilsufars upplýsingar, stjórnmálaskoðanir, stéttarfélagsaðild og erfðaupplýsingar.

Við þurfum í undantekningartilvikum að vinna viðkvæmar persónuupplýsingar. Í þeim tilfellum er stuðst við heimild í 6.tl. 2.mgr. 11.gr. sbr. 4 mgr. 4. gr. laga um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018 og fylgjum leiðbeiningum Persónuverndar. Dæmi um slíkar persónuupplýsingar eru heilsufarsupplýsingar sem við varðveitum með samþykki hlutaðeigandi. Þessar upplýsingar geta haft áhrif á meðferð máls og viðkomandi hefur ávallt heimild til þess að draga samþykki varðandi geymslu þessara upplýsinga til baka.

Varðveislutímabil getur ýmist verið lengra eða styttra, eftir eðli upplýsinga og í hvaða tilgangi þær eru nýttar. Sumar upplýsingar eru geymdar í lengri tíma í samræmi við lög nr. 145/1994 um bókhald og lög um tekjuskatt nr. 90/2003, á meðan aðrar upplýsingar eru geymdar í samræmi við tilgang hverrar vinnslu. Fjármálaupplýsingar um greiðanda kröfu eru geymdar a.m.k. þangað til máli er lokið og við höfum lokið þjónustu við þann kröfuhafa sem á umrædda kröfu.

Við deilum ekki þínum persónuupplýsingarum með aðilum utan fyrirtækisins, nema í sérstökum tilfellum, svo sem á grundvelli laga vegna eftirlits. Okkur kann því að vera nauðsynlegt að afhenda upplýsingar til opinberra aðila, lögmanna eða samstarfsaðila okkar. Ef upplýsingar eru afhentar vegna samstarfs við þriðja aðila sem við berum ábyrgð á, fer hún eingöngu fram á grundvelli vinnslusamnings. Þeir sem móttaka persónugreinanlegar upplýsingar eru bundnir trúnaði með sama hætti og starfsmenn okkar.

TCM áskilur sér rétt til að nota sjálfvirka ákvörðun um þjónustu á grundvelli samþykkis einstaklings. Hlutaðeigandi á hvenær sem er rétt til að mótmæla slíkri vinnslu. Grunnstarfsemi okkar byggir þó almennt ekki á því að nýta sjálfvirka einstaklingsmiðaða ákvarðanatöku.

Persónuverndarlögin veita þér ýmis réttindi að aðgangi að þínum persónuupplýsingum, en rétt er að hafa í huga að í einhverjum tilfellum kann að vera að þau takmarkist. Að ákveðnum skilyrðum uppfylltum er einstaklingum heimilt að láta leiðrétta persónuupplýsingar sínar, láta eyða þeim, andmæla vinnslu þeirra eða takmarka þá vinnslu. Þú getur t.a.m. krafist þess að persónuupplýsingum sé eytt án tafar, ef þú hefur afturkallað samþykki þitt fyrir vinnslu persónuupplýsinganna og vinnsla þeirra byggist á því samþykki.

Það kostar ekkert að hafa samband við okkar vegna persónuupplýsinga og greiðendur geta óskað eftir afriti af sínum persónuupplýsingum, sér að kostnaðarlausu. Gjald er þó tekið fyrir fleiri afrit en eitt eða bersýnilega tilefnislausar eða óhóflegar beiðnir. Lög eða reglugerðir geta þó komið í veg fyrir að ósk um eyðingu persónuupplýsinga sé uppfyllt.

Ef þú hefur einhverjar athugasemdir við hvernig við högum meðferð persónuupplýsinga og telur okkur ekki hafa veitt viðunandi svör, þá sér Persónuvernd um eftirlit og framkvæmd laga um persónuvernd og vinnslu persónuupplýsinga. Persónuvernd úrskurðar í ágreiningsmálum á sviði persónuverndar og hægt er að leggja fram kvörtun hjá Persónuvernd í gegnum síma, tölvupóst eða bréfskrif:

Persónuvernd,
Rauðarárstígur 10, 105 Reykjavík,
postur@personuvernd.is
510 9609

Það er markmið okkar að eignir, þar með talin gögn og aðrar upplýsingar, séu vel varin og í fyllsta samræmi við lög og reglugerðir. Innleiðing öryggisstefnu TCM er því mikilvæg til að fullvissa alla hagsmunaaðila um, að TCM stjórni öryggi upplýsinga sinna með ábyrgum hætti.

Helstu atriði öryggisstefnu TCM:

• Stjórnun upplýsingaöryggis er hluti af gæðakerfi okkar.
• Við verndum gögn og upplýsingakerfi gegn óheimiluðum aðgangi, notkun, breytingum, uppljóstrun, eyðileggingu, tapi eða flutningi.
• TCM skuldbindur sig til að hámarka öryggi upplýsinga félagsins og viðskiptavina sinna m.t.t. leyndar, réttleika og tiltækileika.
• Við starfrækjum skilvirk aðgangsöryggiskerfi að húsnæði og upplýsingakerfum fyrirtækisins með það að marki að vernda gögn og búnað gegn rekstrartruflunum, misnotkun, þjófnaði, skemmdarverkum, glötun o.s.frv.
• Öryggisstefna okkar er bindandi fyrir alla starfsmenn okkar og í samræmi við störf og ábyrgð viðkomandi starfsmanns.
• Starfsmönnum og þjónustuaðilum, núverandi sem og fyrrverandi, er með öllu óheimilt að veita upplýsingar um innri mál okkar og viðskiptavina okkar.
• Við fylgjum góðum viðskiptaháttum, landslögum og persónuvernd til að tryggja hagsmuni viðskiptavina.
• TCM skuldbindur sig til að endurskoða öryggisstefnu sína reglulega.

Markmið þessarar stefnu er að stuðla að virkri öryggisvitund starfsmanna, viðskiptavina, þjónustuaðila og gesta til að tryggja samfelldan rekstur og lágmarka rekstraráhættu. Öllum starfsmönnum ber að vinna samkvæmt stefnunni. Áhersla er á að varðveita trúnað, heilleika og tiltækileika upplýsinga þannig að þær nýtist sem best í starfsemi fyrirtækisins. Við endurskoðum þessa stefnu eins og tilefni verður en að lágmarki á tveggja ára fresti.

Í þágu almenns öryggis og af tilefni ofbeldisverka fer fram rafræn vöktun á starfstöð TCM og aðliggjandi sameignarrýmum með vefmyndavélum. Fylgt er reglum nr. 50/2023 um rafræna vöktun og athygli á henni vakin með viðvörunarmerkjum.