1. Markmið og ábyrgð

Þessari gagnaverndaryfirlýsingu er ætlað að upplýsa þig um eðli, umfang og tilgang vinnslu persónuupplýsinga af hálfu Heinemann Travel Retail Iceland ehf. (hér eftir nefnt „HEINEMANN“, „við“, „okkur“) í Unifree-vefversluninni á Íslandi.

Ábyrgðaraðili gagna við úrvinnsluna er Heinemann Travel Retail Iceland ehf. (Blikavelli 5, 235 Keflavikurflugvelli).

Ef þú hefur frekari spurningar geturðu haft samband við okkur á info@Islandutyfree.is.

2. Gagnavinnsla þegar þú kemur í verslanir okkar á flugvellinum

2.1 Myndbandseftirlit

Í verslunum okkar er viðhaft myndbandseftirlit. Unnið er úr myndbandsupptökum í eftirfarandi tilgangi:

• til að vernda rétt eiganda húsnæðis
• til að koma í veg fyrir og rannsaka refsiverð brot (einkum þjófnað, árásir, svik, tjón og skemmdarverk)

Lagagrundvöllur

Lagagrundvöllurinn fyrir vinnslunni er f-liður 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR) (lögmætir hagsmunir). Lögmætir hagsmunir okkar eru verndun fasteigna og eigna, sem og verndun viðskiptavina, gesta og starfsmanna.

Viðtakendur

Lagagrundvöllur

Lagagrundvöllurinn fyrir vinnslu persónuupplýsinga er efndir kaupsamnings í samræmi við b-lið 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR). Engin lögbundin eða samningsbundin skylda um að leggja fram gögn er til staðar. Engu að síður getum við ekki boðið þér umrætt þjónustu ef þú leggur ekki fram þessi gögn.

Viðtakendur

Við notum Worldline (Worldline Financial Services (Europe) S.A., Atrium Business Park, 33, rue du Puits Romain, 8070 Bretrange, Luxemburg) við vinnslu greiðslna með Mastercard, Visa, Alipay, WeChat og American Express Europe S.A. (heimilisfang) við úrvinnslu greiðslna með Amex-korti. Einnig kann að vera unnið úr IBAN-númeri eða reikningsnúmeri og bankaflokkunarkóða, gildistíma korts, viðskeyti korts og öðrum færslugögnum (t.d. dagsetningu/tíma færslu, greiðslufjárhæð), allt eftir þeirri greiðsluaðferð sem valin er.

Varðveislutímabil

3.2 Umsjón með samþykki fyrir vafrakökum

Við notum vafrakökur, pixla og aðra svipaða tækni (sameiginlega nefndar „vafrakökur“), þar á meðal frá þriðju aðilum, sem eru nauðsynlegar til að hægt sé að starfrækja vefsvæðið og til að fylgjast með frammistöðu („nauðsynlegar vafrakökur“) og til að birta sérsniðnar auglýsingar („markaðssetningarkökur“). Við notum gátt fyrir samþykki fyrir kökum (Consent Management Platform, CMP) hjá Usercentrics til að skrá og skjalfesta samþykki þitt fyrir notkun á kökum.

Usercentrics geymir upplýsingar um samþykki og höfnun og tímastimpil, upplýsingar um tæki og vafra og nafnlausa IP-tölu í staðbundinni geymslu vafrans, í því skyni að vista stillingarnar þínar fyrir frekari heimsóknir á vefsvæðið okkar svo ekki þurfi að birta reitinn fyrir samþykki í hvert skipti.

Lagagrundvöllur

Lagagrundvöllurinn fyrir vinnslu okkar á persónuupplýsingum þínum er, samkvæmt c-lið 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR), sú skylda okkar að fylgja lögum um vernd stafrænnar þjónustu á sviði fjarskipta (Telecommunications Digital Services Data Protection Act, TDDDG) og lögmætir hagsmunir okkar samkvæmt f-lið 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar. Lögmætir hagsmunir okkar felast í skilvirkri stjórnun gagna um samþykki og í því að hámarka notendaupplifun.

Viðtakendur

Til að veita þessa þjónustu notum við þjónustuveitendur á sviði upplýsingatækni.

Varðveislutímabil

Samþykkisgögnin (veiting og afturköllun samþykkis) verða geymd í eitt ár, að því tilskildu að engar lagaskyldur um að varðveita gögn séu til staðar.

4. Þjónusta við viðskiptavini

Ef þú ert með einhverjar spurningar eða vandamál varðandi vörur okkar og þjónustu geturðu haft samband við þjónustuver okkar í síma, með tölvupósti eða með því að nota samskiptaeyðublaðið. Í því tilviki verður stofnuð þjónustubeiðni og við vinnum úr samskiptaupplýsingum þínum, svo sem netfangi, nafni og símanúmeri, ásamt öllum öðrum persónuupplýsingum sem koma fram í skilaboðunum þínum, eftir því hvaða samskiptaleið þú hefur valið til að setja fram beiðnina.

Lagagrundvöllur

Ef vinnsla persónuupplýsinga tengist kaupum (t.d. kvörtun eða endursendingu) er lagagrundvöllurinn b-liður 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR) (upphaf og framkvæmd samnings). Að öðrum kosti byggist vinnslan á lögmætum hagsmunum okkar í samræmi við f-lið 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR). Lögmætir hagsmunir okkar felast í því að tryggja ánægju viðskiptavina með því að veita góða þjónustu.

Viðtakendur

Við notum sameiginlega þjónustu Gebr. Heinemann SE & Co. KG til að þjónusta viðskiptavini okkar. Gögnin þín verða þar að auki ekki send til þriðja aðila nema það sé nauðsynlegt til að vinna beiðnina þína eða þess sé krafist samkvæmt lögum.

Varðveislutímabil

Persónuupplýsingunum sem tengjast þjónustubeiðninni þinni verður eytt um leið og þeirra ekki er lengur þörf til að vinna úr beiðninni og svo fremi sem engar lögboðnar kröfur um varðveislu eða ábyrgðar- og skaðabótarétt eru til staðar.

5. Persónuupplýsingum deilt með þriðja aðilum

Auk þess sem lýst er hér að ofan fer birting persónuupplýsinga til þriðja aðila aðeins fram innan ramma lagaskilyrða. Við birtum þriðja aðila aðeins persónuupplýsingar notenda ef þess er krafist, t.d. vegna útgáfu reikninga eða í öðrum tilgangi, svo fremi sem slík birting er nauðsynleg til að tryggja að staðið sé við samningsbundnar skyldur gagnvart notendum (í samræmi við b-lið 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR)). Við munum einnig hugsanlega afhenda endurskoðendum, lögfræðingum og öðrum utanaðkomandi ráðgjöfum persónuupplýsingar á grundvelli lögmætra hagsmuna okkar í faglegri ráðgjafarþjónustu (í samræmi við f-lið 1. mgr. 6. gr. og f-lið 2. mgr. 5. gr. almennu persónuverndarreglugerðarinnar (GDPR)).

Ef við fáum undirverktaka til að veita þjónustu okkar á netinu gerum við viðeigandi samningsráðstafanir og fullnægjandi tæknilegar og skipulagslegar ráðstafanir gagnvart þessum fyrirtækjum.

Ef við flytjum persónuupplýsingar þínar til viðtakenda með skráða skrifstofu í þriðja landi byggir slíkur flutningur á persónuverndarramma ESB og Bandaríkjanna, öðrum ákvörðunum um fullnægjandi vernd eða föstum samningsákvæðum framkvæmdastjórnar ESB, sem þú getur fengið afrit af með því að hafa samband við okkur með þeim hætti sem lýst er hér að ofan.

Í samræmi við ákvæði um gagnaflutning samkvæmt þessum lagaramma munum við hugsanlega flytja persónuupplýsingar þínar til annars lands innan ramma staðlaðra samningsákvæða Persónuverndar, sem þú getur fengið afrit af með því að hafa samband við okkur eins og fram kemur hér að ofan.

6. Réttindi skráðra einstaklinga

Þú hefur eftirfarandi réttindi hvað varðar vinnslu persónuupplýsinga samkvæmt gildandi lögum um gagnavernd:

• Rétt til aðgangs að persónuupplýsingunum þínum
• Rétt til leiðréttingar á persónuupplýsingum þínum
• Rétt til eyðingar („rétt til að gleymast“)
• Rétt til takmörkunar á vinnslu persónuupplýsinga þinna
• Rétt til þess að hafna sjálfvirkri ákvarðanatöku, þ.m.t. gerð persónusniðs
• Rétt til að leggja fram kvörtun hjá til þess bærum eftirlitsyfirvaldi á sviði gagnaverndar
• Rétt til að draga samþykki til baka hvenær sem er, þegar úrvinnslan byggist á 1. mgr. 6. gr., 1. mgr. 9. gr. eða 1. mgr. 5. gr. almennu persónuverndarreglugerðarinnar (GDPR), án þess að það hafi áhrif á lögmæti vinnslu á grundvelli samþykkisins fram að afturkölluninni

7. Andmælaréttur

Þú hefur rétt á að andmæla hvenær sem er, vegna sérstakra aðstæðna þinna, vinnslu persónuupplýsinga er varða þig og sem byggist á e- eða f-lið 1. mgr. 6. gr., þ.m.t. gerð persónusniðs á grundvelli þessara ákvæða. Ef þú andmælir vinnum við ekki lengur úr persónuupplýsingunum þínum nema við getum sýnt fram á mikilvægar, lögmætar ástæður fyrir vinnslunni sem ganga framar hagsmunum þínum, réttindum og frelsi, eða ef tilgangur vinnslunnar er að stofna, hafa uppi eða verja réttarkröfur.

8. Sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs

Sjálfvirk ákvarðanataka, þ.m.t. gerð persónusniðs sem um getur í 1. og 4. mgr. 22. gr. almennu persónuverndarreglugerðarinnar (GDPR), er ekki beitt við vinnslu persónuupplýsinga þinna.

9. Tilkynningaþjónusta

Við bjóðum þér að skrá þig á póstlista til að fá senda tilkynningu um leið og auglýst þjónusta er í boði.

Lagagrundvöllur

Samkvæmt f-lið 1. mgr. 6. gr. almennu persónuverndarreglugerðarinnar (GDPR) felst lagagrundvöllurinn fyrir vinnslu okkar á netfangi þínu í lögmætum hagsmunum okkar af því að veita viðskiptavinum góða þjónustu og að kynna nýja þjónustu okkar. Þú getur andmælt þessari vinnslu með því að nýta þér ekki þjónustuna.

Viðtakendur

Til að veita þessa þjónustu notum við þjónustuveitendur á sviði upplýsingatækni.

Varðveislutímabil

Netfanginu þínu verður eytt þegar tilkynningin hefur verið send.

Staða: Apríl 2025