Integritetspolicy - Flow & Partners Finance (0TO9 AB)

1. Inledning
‍

Flow & Partners Finance är ett varumärke inom 0TO9 AB (556976-4110), som grundades 2016 och har kontor i Stockholm. Verksamheten bedrivs genom 0TO9 AB som är ett kreditmarknadsbolag med tillstånd att driva finansieringsrörelse enligt lagen (2004:297) om bank- och finansieringsrörelse.

För att kunna ingå avtal med sig som kund, eventuella samarbetspartners och leverantörer och för att därefter administrera avtalet kommer vi att behöva behandla personuppgifter. Dessutom behandlar vi uppgifterna för att uppfylla de krav som ställs på oss som kreditmarknadsbolag.

Vi behandlar personuppgifter för de ändamål och med stöd av de rättsliga grunder som anges nedan. Om inte annat särskilt anges, är Flow & Partners Finance (0TO9 AB), org.nr. 556976-4110, personuppgiftsansvarig för behandlingen av dina personuppgifter.

All behandlingen av personuppgifter sker i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ("GDPR") samt övrig vid var tid tillämplig dataskyddslagstiftning och praxis.

2. Personuppgiftsansvarig
‍

Flow & Partners Finance (0TO9 AB)är personuppgiftsansvarig för den behandling av personuppgifter som beskrivs i denna policy, om inte annat anges i det enskilda sammanhanget.

I vissa situationer kan även andra aktörer utgöra självständigt personuppgiftsansvariga för sin respektive behandling av personuppgifter. Sådana aktörer kan exempelvis vara:

- kreditgivare inom eller utanför den grupp eller det samarbetssammanhang där kreditförmedlingen sker,

- andra bolag eller funktioner som medverkar i verksamhetens kreditberedning, kontroll, administration eller uppföljning,

- banker, kreditupplysningsföretag, AML-/KYC-leverantörer och säkerhetsagenter.

När tredje part anlitas för att behandla personuppgifter på uppdrag av Flow & Partners Finance (0TO9 AB) sker detta i egenskap av personuppgiftsbiträde. I sådana fall upprättas personuppgiftsbiträdesavtal i enlighet med tillämpliga dataskyddsregler.

3. Vilka omfattas av policyn?
‍

Denna policy omfattar behandling av personuppgifter avseende fysiska personer som förekommer i eller i anslutning till de affärsrelationer och finansieringsprocesser som Flow & Partners Finance (0TO9 AB) bedriver inom ramen för kreditförmedlingsverksamheten. Policyn avser särskilt följande kategorier av registrerade:

- företrädare för befintliga eller potentiella företagskunder,

- verkliga huvudmän,

- styrelseledamöter, firmatecknare och andra behöriga företrädare,

- kontaktpersoner hos kunder, motparter, leverantörer och samarbetspartners,

- borgensmän, pantsättare, säkerhetsställare och andra personer knutna till säkerhetsstrukturen,

- företrädare för gäldenärer eller andra motparter i factoring-, fakturafordrings- eller säkerhetsupplägg,

- leverantörer, konsulter och samarbetspartners samt deras kontaktpersoner,

- personer som kommunicerar med oss via e-post, telefon, möten, formulär eller andra kanaler,

- webbplatsbesökare och användare av våra digitala tjänster.

4. Grundläggande principer för behandling av personuppgifter
‍

Flow & Partners Finance (0TO9 AB) behandlar personuppgifter i enlighet med de grundläggande principerna i GDPR. Uppgifterna behandlas lagligt, korrekt och på ett öppet sätt i förhållande till den registrerade. Personuppgifter samlas in för uttryckligt angivna och berättigade ändamål, begränsas till vad som är adekvat, relevant och nödvändigt i förhållande till ändamålen, hålls korrekta och uppdaterade i den utsträckning det krävs, lagras inte längre än nödvändigt samt skyddas genom lämpliga tekniska och organisatoriska åtgärder.

5. Kategorier av personuppgifter som behandlas

Vilka kategorier av personuppgifter som behandlas beror på den registrerades relation till Flow & Partners Finance (0TO9 AB) och det företag denne företräder samt det sammanhang i vilket kontakten etableras.

5.1 Identitets- och kontaktuppgifter
‍

- namn,

- personnummer eller samordningsnummer när det är nödvändigt,

- befattning eller roll,

- adress,

- telefonnummer,

- e-postadress,

- uppgifter om behörighet, firmateckning eller annan representation.

5.2 Bolags- och associationsrelaterade uppgifter
‍

- koppling till företag eller koncern,

- uppgift om styrelseuppdrag, firmateckning, verkligt huvudmannaskap eller annan kontrollfunktion,

- information från Bolagsverket, verkliga huvudmannaregistret eller andra offentliga register,

- uppgifter om ägarstruktur, ledning och verksamhet.

5.3 KYC- och AML-relaterade uppgifter
‍

- identitetsverifiering,

- uppgifter om verklig huvudman,

- uppgifter om politiskt utsatt ställning (PEP),

- uppgifter om sanktionslistor och andra kontrollistor,

- uppgifter som krävs för riskklassificering, affärsförståelse, syfte med affärsförbindelsen och löpande uppföljning,

- transaktionsrelaterad information i den utsträckning den behövs för AML-ändamål.

5.4 Kredit- och finansieringsrelaterade uppgifter
‍

- uppgifter om kreditansökningar och finansieringsbehov,

- uppgifter om företagets ekonomi, kassaflöden, fakturor, kundfordringar, lager, företagsinteckningar, andra säkerheter, betalningshistorik och engagemang,

- uppgifter i kreditpromemorior, intern riskbedömning och uppföljning,

- uppgifter om borgensåtaganden, panter och andra säkerhetsarrangemang,

- uppgifter om kommunikation, handläggning och beslutsunderlag.

5.5 Kommunikationsuppgifter
‍

- e-post, brev och annan skriftlig korrespondens,

- anteckningar från möten och telefonsamtal,

- eventuella inspelningar där det är särskilt motiverat och tillåtet,

- uppgifter som lämnas i formulär, enkäter eller supportärenden.

5.6 Tekniska uppgifter och webbplatsdata
‍

- IP-adress,

- enhetsinformation,

- logginformation,

- cookie-identifierare och liknande tekniska identifierare,

- information om hur våra digitala tjänster används.

5.7 Uppgifter om lagöverträdelser och särskilt skyddsvärda uppgifter
‍

Behandling av uppgifter om lagöverträdelser och andra särskilt skyddsvärda uppgifter begränsas så långt som möjligt. Sådan behandling kan dock ske när det är nödvändigt för att uppfylla rättsliga skyldigheter, för att förebygga eller utreda bedrägeri eller för att fastställa, göra gällande eller försvara rättsliga anspråk, och endast i den utsträckning som är tillåten enligt tillämplig rätt.

6. Varifrån vi hämtar personuppgifter
‍

Vi kan hämta personuppgifter från följande källor:

- direkt från dig eller från det företag du företräder,

- offentliga register, såsom Bolagsverket, Skatteverket och andra allmänt tillgängliga källor,

- kreditupplysningsföretag,

- banker, betalningsinstitut och andra finansiella aktörer,

- KYC-, AML-, sanktions- och identitetskontrollleverantörer,

- kreditgivare, finansieringspartners, investerare, säkerhetsagenter och andra samarbetspartners,

- andra bolag eller gemensamma funktioner som medverkar i verksamhetens handläggning, kontroll eller administration,

- motparter i factoring- eller säkerhetsupplägg,

- digitala signerings- och identitetstjänster,

- vår webbplats och våra IT-system genom loggar, cookies och användningsdata.

Om personuppgifter inte har inhämtats direkt från den registrerade tillhandahålls den information som krävs enligt tillämpliga dataskyddsregler, såvida inte undantag är tillämpliga enligt lag.

Tillhandahållandet av personuppgifter kan utgöra ett lagstadgat eller avtalsmässigt krav, eller ett krav som är nödvändigt för att ingå avtal. Vissa uppgifter är nödvändiga för att Flow & Partners Finance (0TO9 AB) ska kunna uppfylla rättsliga skyldigheter, exempelvis avseende kundkännedom och identitetsverifiering enligt penningtvättsregelverket. Andra uppgifter krävs för att kunna bereda och förmedla krediter eller fullgöra avtalsenliga åtaganden. Om den registrerade inte tillhandahåller de personuppgifter som efterfrågas kan detta medföra att Flow & Partners Finance (0TO9 AB) inte kan inleda eller upprätthålla affärsförbindelsen, handlägga en kreditansökan eller fullgöra sina avtalsenliga eller rättsliga förpliktelser.

7. Ändamål och rättslig grund för behandling av personuppgifter
‍

Nedan följer en översikt över den behandling av personuppgifter som Flow & Partners Finance (0TO9 AB) utför.

‍

7.1 Behandling för kreditberedning och kreditförmedling
‍

Personuppgifter behandlas för att:

- ta emot och hantera förfrågningar om företagsfinansiering,

- analysera finansieringsbehov och affärsupplägg,

- bedöma företagets återbetalningsförmåga och säkerhetsstruktur,

- bereda krediter inom ramen för en kreditgivares kreditprocess,

- förmedla underlag till kreditgivare som därefter fattar beslut om eventuell kreditgivning,

- följa upp och administrera affärsförbindelser och pågående engagemang.

För denna behandling stödjer vi oss normalt på berättigat intresse av att bedriva, utveckla och följa upp vår verksamhet inom kreditförmedling och företagsfinansiering riktad till företag samt, i förekommande fall, på att behandlingen är nödvändig för att ingå eller fullgöra avtal med den juridiska person som du företräder eller med dig i egenskap av säkerhetsställare eller annan avtalspart.

7.2 Behandling för kundkännedom och AML
‍

Vi behandlar personuppgifter för att uppfylla skyldigheter avseende:

- identifiering och verifiering av kunder, företrädare och verkliga huvudmän,

- förståelse av ägarförhållanden, affärsmodell och syftet med affärsförbindelsen,

- riskklassificering,

- kontroll mot PEP- och sanktionslistor,

- löpande uppföljning av affärsförbindelser och transaktioner,

- dokumentation, uppgiftsskyldighet och rapportering enligt penningtvättsregelverket.

Denna behandling sker med stöd av rättslig förpliktelse enligt tillämpligt penningtvättsregelverk. Regelverket ställer krav på bland annat kundkännedom, riskbedömning, övervakning, dokumentation och bevarande av vissa uppgifter under viss tid.

7.3 Behandling för bokföring och redovisning
‍

Personuppgifter behandlas i den utsträckning de förekommer i avtal, fakturor, betalningsunderlag och annan ekonomisk dokumentation för att uppfylla skyldigheter enligt bokföringslagstiftning och annan tillämplig redovisnings- och skatterättslig reglering. Bokföringsmaterial bevaras som huvudregel under den tid som krävs enligt lag.

7.4 Behandling för marknadsföring och affärsutveckling
‍

Vi kan behandla uppgifter om kontaktpersoner och företrädare för att:

- skicka information om våra tjänster,

- bjuda in till möten, seminarier och utskick,

- analysera kundsegment och affärsbehov,

- förbättra våra erbjudanden och vår kommunikation.

När vi marknadsför oss mot företag stödjer vi oss normalt på berättigat intresse. Om behandlingen kräver samtycke, till exempel för vissa typer av cookies eller viss elektronisk marknadsföring, inhämtar vi sådant samtycke innan behandlingen sker.

7.5 Behandling för säkerhet, incidenthantering och regelefterlevnad
‍

Vi kan behandla personuppgifter för att:

- skydda IT-miljöer, system, information och affärsprocesser,

- logga åtkomst och användning,

- förebygga obehörig åtkomst, bedrägeri och andra missbruk,

- genomföra interna kontroller, revisioner och utredningar,

- hantera personuppgiftsincidenter och andra säkerhetsincidenter.

Denna behandling sker att t.ex för att kunna skicka allmän marknadsföring (t ex nyhetsbrev) och anpassad marknadsföring till dig om Flow & Partners (0TO9 AB) produkter och tjänster med anknytning till dina kundavtal. Den rättsliga grunden för behandling är intresseavvägning. Vårt berättigade intresse är att skicka relevant och i vissa fall anpassad kommunikation och marknadsföring till dig.

8. Profilering och automatiserat beslutsfattande
‍

I vår verksamhet kan personuppgifter användas i automatiserade kontroller som del av kreditberedning, riskklassificering, bedrägeriförebyggande arbete, KYC och AML. Det kan till exempel handla om att uppgifter vägs samman för att identifiera riskindikatorer eller avvikelser.

Vi strävar efter att beslut som får betydande rättsliga eller liknande effekter för en fysisk person inte enbart ska baseras på automatiserad behandling, om inte detta är tillåtet enligt dataskyddsreglerna och särskilda skyddsåtgärder finns. Om ett sådant förfarande skulle tillämpas har den registrerade rätt att begära mänsklig inblandning, framföra sin ståndpunkt och bestrida beslutet.

9. Mottagare av personuppgifter
‍

Vi delar endast personuppgifter medandra aktörer i den utsträckning det är nödvändigt för att tillhandahålla Flow & Partners Finance (0TO9 AB)s tjänster, om du har begärt det eller om så krävs enligt lag. Vi säljer inte personuppgifter till tredje part.

Vi kommer att dela dina personuppgifter med bolagets personuppgiftsbiträden i följande situationer:

1. Personuppgifterna delas med våra leverantörer av lösningar för digitala signaturer (exempelvis Bank-ID) och IT-leverantörer (som core banking-systemleverantörer, IT-system- och driftleverantörer);

2. Vi överför även information om dig till våra samarbetspartners som, i förekommande fall, sköter kontakten i dig i samband med din ansökan och eftermarknadshantering;

3. Dina finansiella uppgifter delas med våra samarbetspartners och leverantörer av informations- och analystjänster för att kunna genomföra kundkännedomskontroller. Vid sådan kommunikation kommer vi att sträva efter att psedonymisera eller anonymisera uppgifterna.

Vi överför kontrolluppgifter till Skatteverket och andramyndigheter enligt lag. Vidare för vi över nödvändiga och relevanta personuppgifter till våra samarbetspartners för att:

1. Inhämta kontoinformation enligt punkt 6 ovan;

2. för lånefinansiering och inkasso; och

3. för avyttring av fordringar från uppsagda kunder (forward flow).

Eftersom verksamheten kan bedrivas med stöd av gemensamma funktioner och samarbeten kan personuppgifter delas internt när det är nödvändigt för exempelvis:

- kreditberedning, kreditförmedling och intern handläggning,

- compliance, riskkontroll och AML-funktioner,

- IT, drift, administration och rapportering,

- finansieringsupplägg, uppföljning och intern styrning.

Mottagare av personuppgifter som här anges är personuppgiftsansvariga för sin respektive personuppgiftsbehandling.

10. Överföring av personuppgifter till tredjeland
‍

Flow & Partners Finance (0TO9 AB) eftersträvar att all behandling av personuppgifter sker inom EU/EES. I de fall personuppgifter överförs till land utanför EU/EES sker detta uteslutande under förutsättning att det föreligger en laglig grund för överföringen och att lämpliga skyddsåtgärder har vidtagits, exempelvis genom beslut av Europeiska kommissionen om adekvat skyddsnivå eller genom tillämpning av EU-kommissionens standardavtalsklausuler, vid behov kompletterade med ytterligare skyddsåtgärder.

11. Hur länge vi sparar personuppgifter
‍

Vi sparar inte personuppgifter längre än vad som är nödvändigt för respektive ändamål, om inte längre lagring krävs eller är tillåten enligt lag.

11.1 Huvudprinciper för lagring
‍

Typ av behandling Typisk lagringsperiod / princip

Penningtvättsregelverket innehåller särskilda krav på bevarande av uppgifter om kundkännedom och viss dokumentation. Dataskyddsreglerna innebär samtidigt att personuppgifter inte får sparas längre än nödvändigt, men rätten till radering gäller inte när fortsatt lagring krävs för att uppfylla en rättslig förpliktelse.

12. Tekniska och organisatoriska säkerhetsåtgärder
‍

Vi vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot obehörig åtkomst, förlust, förstöring, ändring och annan otillåten behandling.

Sådana åtgärder kan omfatta exempelvis:

- behörighetsstyrning och åtkomstbegränsning,

- loggning och övervakning,

- kryptering och säker kommunikation där det är lämpligt,

- säkerhetskopiering och återställningsrutiner,

- segmentering av system och datamiljöer,

- utbildning av personal,

- interna styrdokument, instruktioner och incidentprocesser,

- personuppgiftsbiträdesavtal och leverantörsuppföljning.

Säkerhetsnivån anpassas löpande med beaktande av riskerna förenade med behandlingen och personuppgifternas art och känslighet.

13. Cookies och liknande spårningsteknik

Vid besök på webbplatsen för Flow & Partners Finance (0TO9 AB) kan cookies, pixlar, taggar och liknande teknik komma att användas för att:

- få webbplatsen att fungera,

- förbättra användarupplevelsen,

- analysera trafik och användning,

- upprätthålla säkerhet,

- i förekommande fall möjliggöra marknadsföring.

Där samtycke krävs för användningen av cookies eller liknande tekniker kommer vi att inhämta detta innan tekniken aktiveras, utom för sådana cookies som är strikt nödvändiga för tjänstens funktion. Mer information ska framgå av vår särskilda cookieinformation eller cookiepolicy.

14. Registrerades rättigheter
‍

Den som är registrerad har rättigheter enligt dataskyddsreglerna. Rättigheterna gäller inte absolut i alla situationer, utan beror på vilken behandling det gäller och vilken rättslig grund vi stödjer oss på.

14.1 Rätt till tillgång
‍

Du har rätt att få information om hur vi behandlar dina personuppgifter och att begära ett registerutdrag med uppgifter om vår behandling.

14.2 Rätt till rättelse
‍

Du har rätt att begära att felaktiga personuppgifter rättas och att ofullständiga uppgifter kompletteras.

14.3 Rätt till radering (”Rätten att bli bortglömd”)
‍

Du kan i vissa fall be oss raderar dina personuppgifter. Denna rättighet har dock begränsningar som i de fall vi behandlar dina uppgifter med stöd av/krav i lag. Rätten att bli bortglömd gäller exempelvis vis vid behandlingar som grundar sig på samtycke.

14.4 Rätt till begränsning av behandling
‍

Du har i vissa fall rätt att begära att vi begränsar behandlingen av dina personuppgifter, detta kan exempelvis ske för att kontrollera att uppgifterna om dig korrekta, för att du ska kunna göra gällande, fastställa eller försvara ett rättsliga anspråk och för att (vid behandling baserad på en intresseavvägning) kontrollera vårt berättigade intresse.

14.5 Rätt att invända och rätt att återkalla samtycke
‍

Du kan när som helst göra invändningar mot behandling av personuppgifter som grundar sig på ett berättigat intresse hos oss. Om du väljer att göra en invändning får vi inte längre behandla dina personuppgifter för det syftet om vi inte kan påvisa berättigade skäl för behandlingen som väger tyngre än dina intressen, rättigheter och friheter. Du har alltid rätt att invända mot behandling för direktmarknadsföring.

I de fall behandlingen grundas på samtycke har den registrerade rätt att när som helst återkalla sitt samtycke. Ett återkallande påverkar inte lagligheten av den behandling som skett med stöd av samtycket innan detta återkallades. Samtycke kan återkallas genom att kontakta Flow & Partners Finance (0TO9 AB) via de kontaktuppgifter som anges i denna policy eller genom att kontakta dataskyddsombudet på DPO@plus1.com.

14.6 Rätt till dataportabilitet
‍

Om behandlingen av dina personuppgifter sker automatiserat och grundar sig på ett avtal eller samtycke har du rätt att få en kopia av de personuppgifter som du har tillhandahållit oss. Personuppgifterna ska ges i ett format som är strukturerat och maskinläsbart. Du har därefter rätt att föra över dina personuppgifter till en annan personuppgiftsansvarig.

14.7 Rättigheter vid automatiserat beslutsfattande
‍

Om ett beslut som har rättsliga eller liknande betydande effekter för dig fattas enbart genom automatiserad behandling, har du rätt till de skyddsåtgärder som följer av GDPR, bland annat rätt att begära mänsklig prövning.

14.8 Hur vi hanterar en begäran
‍

Vi kan behöva verifiera din identitet innan uppgifter lämnas ut eller andra åtgärder vidtas. Som huvudregel återkommer vi utan onödigt dröjsmål och senast inom en månad från att begäran mottagits, om inte längre tid är tillåten enligt dataskyddsreglerna.

15. Dataskyddsombud
‍

Om du vill veta mer om vår behandling av dina personuppgifter eller om du vill utöva dina rättigheter enligt ovan, ber vi dig att kontakta vårt dataskyddsombud, på dpo@plus1.com. Via kontaktuppgifterna ovan får du även en detaljerad information om behandlingen, såsom vilken rättslig grund vi har för respektive ändamål med behandling och våra principer för bevarande av data.

Du har alltid rätt att vända dig till Integritetsskyddsmyndigheten som är tillsynsmyndighet för behandling av personuppgifter om du har synpunkter på vår hantering av dina personuppgifter.

Integritetsskyddsmyndigheten kan nås på: Integritetsskyddsmyndigheten Box 8114, 104 20 Stockholm, E-post: imy@imy.se Hemsida: www.imy.se

16. Ändringar av policyn
‍

Då vi vill hålla denna policy aktuell kan vi när som helst göra ändringar i denna policy. Vi informerar om sådana ändringar på vår hemsida.

‍