Integritetspolicy

1. Om policyn och vem som ansvarar

Denna integritetspolicy beskriver hur Gerandin Consulting AB, som bedriver verksamhet under varumärket SolarHjälpen, samlar in och behandlar personuppgifter. Policyn gäller när du besöker webbplatsen, fyller i ett formulär, kontaktar oss, blir kontaktad av oss, deltar i rådgivning, begär eller tar emot offertförslag, kommunicerar med oss eller på annat sätt använder SolarHjälpens tjänster.

Personuppgiftsansvarig är Gerandin Consulting AB, organisationsnummer 559419-2071, Stora Åvägen 21, 436 34 Askim. Frågor om dataskydd och begäranden om rättigheter skickas till [email protected].

Vi behandlar personuppgifter enligt Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR), lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, lagen (2022:482) om elektronisk kommunikation, marknadsföringslagen (2008:486) och annan tillämplig lag.

Policyn är information enligt artiklarna 13 och 14 GDPR. Den ska inte tolkas som att samtycke krävs för all behandling. Vi använder den rättsliga grund som är lämplig för varje ändamål, exempelvis åtgärder inför avtal, rättslig förpliktelse, berättigat intresse eller samtycke.

2. SolarHjälpens verksamhet och roller

SolarHjälpen hjälper privatpersoner, fastighetsägare, fullmaktshavare och i vissa fall företag att utvärdera och komma i kontakt med leverantörer inom bland annat solceller, batterilagring, laddboxar, takomläggning, takrenovering, taktjänster, värmesystem och närliggande energi- och fastighetstjänster.

Gerandin Consulting AB kan agera i flera roller beroende på uppdraget:

• som rådgivare och offertförmedlare under varumärket SolarHjälpen;
• som marknadsförings- eller säljpartner åt en samarbetspartner;
• som administrativ kontakt som bokar möten, följer upp ärenden eller hjälper till att ta fram offertunderlag;
• i särskilda fall som avtalspart, men endast om detta uttryckligen anges i ett separat avtal eller orderdokument.

När en fristående partner lämnar offert eller ingår avtal med dig är partnern normalt självständigt personuppgiftsansvarig för sin behandling. Partnern ansvarar då för sin offert, sitt avtal, leverans, installation, garanti, service, fakturering och konsumenträttsliga information. SolarHjälpen kan hjälpa till med kommunikationen utan att därigenom bli leverantör eller entreprenör.

3. Vilka personer och uppgifter som omfattas

Policyn omfattar personuppgifter om bland annat:

• personer som skickar en förfrågan eller begär rådgivning;
• personer som kontaktas inom ramen för tillåten telefon- eller direktmarknadsföring;
• kunder, potentiella kunder, fastighetsägare och fullmaktshavare;
• kontaktpersoner hos samarbetspartners och leverantörer;
• besökare på webbplatsen och personer som interagerar med våra annonser eller sociala medier.

3.1 Kategorier av personuppgifter

Vi avser inte att samla in känsliga personuppgifter enligt artikel 9 GDPR, såsom uppgifter om hälsa, politiska åsikter, religion eller sexuell läggning. Lämna därför inte sådana uppgifter i fritextfält eller samtal om de inte är nödvändiga. Om känsliga eller uppenbart irrelevanta uppgifter ändå tas emot raderar, maskerar eller begränsar vi dem när det är möjligt.

Våra konsumenttjänster riktar sig till myndiga personer. Vi samlar inte medvetet in personuppgifter om barn för marknadsförings- eller offertändamål.

3.2 Uppgifter som krävs för tjänsten

Det är frivilligt att lämna personuppgifter till SolarHjälpen. För att vi ska kunna ringa tillbaka, lämna rådgivning eller förmedla en offert behöver vi normalt åtminstone namn eller annan identifiering, kontaktuppgift, fastighetens adress eller område och information om vilken tjänst du efterfrågar. Uppgifter som inte behövs för den aktuella tjänsten är frivilliga. Om nödvändiga uppgifter inte lämnas kan vi inte alltid handlägga förfrågan eller matcha den med en Partner.

4. Varifrån uppgifterna kommer

Vi kan få personuppgifter från följande källor:

• direkt från dig genom webbformulär, telefon, SMS, e-post, chatt, möte, dörrkontakt eller sociala medier;
• från en person som du har gett fullmakt eller bett att agera för din räkning;
• från en samarbetspartner eller leadleverantör som har samlat in uppgifterna och ansvarar för att det finns en laglig grund för överlämnandet;
• från allmänt tillgängliga eller kommersiella kontakt- och adressregister, nummerupplysning, företagsregister, fastighetsrelaterade källor och karttjänster, i den utsträckning användningen är tillåten;
• från annonsplattformar, webbplatsanalys, sociala medier och cookies efter att nödvändigt samtycke har lämnats;
• från fristående partners i samband med offert, order, installation, reklamation eller provisionsavräkning.

När vi inte har fått uppgifterna direkt från dig lämnar vi information om behandlingen senast vid den första kontakten, eller annars inom den tid som GDPR kräver. Vid utgående samtal ska vår medarbetare kunna upplysa om bolagets identitet, kontaktens syfte, vilken typ av källa uppgifterna kommer från och hur du kan invända.

5. Ändamål, rättslig grund och lagring

Vi har fastställt ändamål och rättslig grund innan behandling påbörjas. Tabellen nedan beskriver de vanligaste behandlingarna. En rättslig grund enligt GDPR ersätter inte krav i annan lag, exempelvis reglerna om samtycke till cookies eller elektronisk direktmarknadsföring.

5.1 När vi använder berättigat intresse

När behandling grundas på berättigat intresse dokumenterar vi vilket intresse som finns, varför behandlingen är nödvändig och hur den registrerades integritet påverkas. Vi beaktar särskilt uppgifternas källa, mängd och känslighet, personens rimliga förväntningar, kontaktens relevans, möjligheten att invända samt skyddsåtgärder som uppgiftsminimering, kort lagringstid och spärrlistor. Berättigat intresse används inte som en generell reservgrund och ersätter inte krav på samtycke enligt annan lag.

5.2 Lagringstider

Vi sparar inte uppgifter längre än vad som behövs för respektive ändamål. Lagringstiderna nedan är normala maxperioder och kan kortas om uppgifterna inte längre behövs. En uppgift kan sparas längre om lag, myndighetsbeslut, pågående reklamation eller rättsligt anspråk kräver det.

6. Telefonförsäljning, direktmarknadsföring och profilering

6.1 Telefonkontakt och cold calling

SolarHjälpen kan kontakta personer via telefon efter en egen förfrågan, efter hänvisning från en partner eller genom utgående marknadsföring. Vid utgående marknadsföring gör vi en intresseavvägning och tar hänsyn till bland annat tjänstens relevans, uppgifternas källa, kontaktens förväntningar, tidigare invändningar och tillämpliga branschregler.

Vi ska kontrollera tillämpliga spärrregister, respektera NIX-Telefon när det är tillämpligt och använda en intern spärrlista. Om du säger att du inte vill bli kontaktad för marknadsföring upphör sådan behandling. Rätten att invända mot direktmarknadsföring är absolut. Vi kan behålla minimala spärruppgifter för att säkerställa att invändningen följs.

Ett utgående samtal i sig innebär inte att du har beställt något. När ett företag på eget initiativ ringer en konsument och ett avtal ska ingås per telefon gäller lagens skriftlighetskrav: konsumenten blir bunden först efter att ha accepterat anbudet skriftligen efter att samtalet avslutats. Detta gäller även när SolarHjälpen agerar sälj- eller förmedlingspartner för en leverantör, i den mån lagen är tillämplig.

6.2 E-post, SMS och annan elektronisk marknadsföring

Marknadsföring via e-post och SMS till en fysisk person skickas endast när det finns förhandssamtycke eller när undantaget för befintligt kundförhållande i marknadsföringslagen är tillämpligt. Varje marknadsföringsmeddelande ska innehålla en enkel och kostnadsfri möjlighet att avregistrera sig. Serviceinformation och kommunikation som är nödvändig för ett pågående ärende är inte marknadsföring, men vi blandar inte in reklam i sådan kommunikation utan lämplig grund.

6.3 Segmentering och profilering

Vi kan segmentera kontakter utifrån exempelvis geografi, fastighetstyp, önskad tjänst, ärendestatus, tidigare respons och kampanjkälla. Syftet är att prioritera relevanta kontakter, matcha en förfrågan med rätt partner och undvika irrelevant marknadsföring. Vi använder inte enbart automatiserade beslut som medför rättsliga eller på liknande sätt betydande konsekvenser för dig.

6.4 Anpassade målgrupper

Om du har lämnat nödvändigt samtycke kan vi använda annonsplattformars verktyg för remarketing, konverteringsmätning, kundmatchning eller liknande målgrupper. Kontaktuppgifter kan då omvandlas till hashade identifierare innan uppladdning, men även hashade identifierare kan vara personuppgifter. Användningen ska därför omfattas av rättslig grund, leverantörsavtal och möjlighet att återkalla samtycke.

7. Delning med partner och leverantörer

7.1 Samarbetsföretag som lämnar offert eller utför tjänst

När du vill gå vidare kan vi dela de uppgifter som krävs med normalt en till tre relevanta samarbetspartners. Antalet kan vara färre eller fler om du uttryckligen begär det eller om ett särskilt upplägg tydligt har kommunicerats. Vi delar inte mer information än vad som behövs för att partnern ska kunna kontakta dig, bedöma projektet, lämna offert, boka besök eller genomföra den tjänst du efterfrågar.

När partnern tar emot uppgifterna för sitt eget offert- eller avtalsändamål är partnern normalt självständigt personuppgiftsansvarig. Det innebär att partnern har en egen integritetspolicy, egna lagringstider och ett eget ansvar för GDPR. SolarHjälpen ansvarar för den behandling vi själva bestämmer över och för att själva överlämnandet har rättslig grund.

7.2 Personuppgiftsbiträden och tekniska leverantörer

Vi kan använda leverantörer inom följande kategorier:

• CRM och automatisering, bland annat GoHighLevel;
• telefoni, SMS, e-post, kalender och mötesbokning;
• kontors- och kalkylverktyg, inklusive begränsade Excel- eller motsvarande kontaktlistor;
• webbhosting, formulär, säkerhet, säkerhetskopiering och support;
• analys, annonsering och sociala medier, exempelvis Google och Meta efter nödvändigt samtycke;
• ekonomi, redovisning, juridik, revision och inkasso;
• AI-assisterade verktyg när användningen är förenlig med våra instruktioner och dataskyddskrav.

När en leverantör behandlar uppgifter endast för vår räkning ska leverantören vara personuppgiftsbiträde och omfattas av avtal enligt artikel 28 GDPR. Vissa leverantörer, exempelvis annonsplattformar eller kommunikationstjänster, kan för vissa behandlingar vara självständigt eller gemensamt personuppgiftsansvariga enligt sina villkor.

7.3 Myndigheter, rättsliga processer och företagsöverlåtelser

Vi lämnar uppgifter till myndighet, domstol, polis, Skatteverket, IMY, Konsumentverket eller annan behörig aktör när vi är rättsligt skyldiga eller när det är nödvändigt för att fastställa, göra gällande eller försvara ett rättsligt anspråk.

Vid en fusion, investering, omstrukturering eller försäljning av hela eller delar av verksamheten kan relevanta uppgifter lämnas under sekretess till rådgivare och en möjlig köpare. En överföring genomförs endast i den omfattning som är nödvändig och med lämpliga skyddsåtgärder.

8. Internationella överföringar

Flera globala leverantörer, exempelvis inom CRM, molntjänster, AI, analys och annonsering, kan behandla personuppgifter i eller göra dem tillgängliga från länder utanför EU/EES, bland annat USA. Vi strävar efter att välja lämpliga inställningar och datalokaliseringsalternativ, men kan inte lova att all behandling alltid sker inom EU/EES.

När en överföring sker använder vi en tillåten överföringsmekanism, exempelvis:

• EU-kommissionens beslut om adekvat skyddsnivå, inklusive EU-U.S. Data Privacy Framework för certifierade amerikanska mottagare;
• EU-kommissionens standardavtalsklausuler (SCC) tillsammans med kompletterande tekniska, organisatoriska och avtalsmässiga åtgärder;
• annan mekanism som är tillåten enligt kapitel V GDPR.

Du kan kontakta oss för information om vilken överföringsmekanism som används i ett visst fall och, när det är möjligt, få en kopia eller sammanfattning av relevanta skyddsåtgärder.

9. Säkerhet och incidenthantering

Vi vidtar lämpliga tekniska och organisatoriska åtgärder utifrån behandlingens art, omfattning, sammanhang och risk. Åtgärderna kan bland annat omfatta:

• rollbaserad behörighet och principen om minsta möjliga åtkomst;
• starka lösenord, flerfaktorsautentisering och säker hantering av konton;
• krypterad överföring och, där det är lämpligt, kryptering eller pseudonymisering av lagrade data;
• säkerhetskopiering, loggning, uppdateringar och skydd mot skadlig trafik;
• rutiner för gallring, export, delning, incidenter och avslutade användarkonton;
• sekretessåtaganden och utbildning för anställda och konsulter;
• leverantörsbedömningar och personuppgiftsbiträdesavtal.

Ingen metod för överföring eller lagring är helt riskfri. Om en personuppgiftsincident inträffar utreder och dokumenterar vi händelsen. Om incidenten sannolikt innebär risk för fysiska personers rättigheter och friheter anmäler vi den till IMY inom 72 timmar från att vi fått vetskap om den, i den utsträckning GDPR kräver. Vid hög risk informerar vi även de berörda personerna utan onödigt dröjsmål.

10. Dina rättigheter

Beroende på omständigheterna har du rätt att:

• få information om hur dina personuppgifter behandlas;
• begära tillgång till personuppgifter och få en kopia (registerutdrag);
• begära rättelse av felaktiga eller ofullständiga uppgifter;
• begära radering när det saknas fortsatt rättslig grund, med undantag för uppgifter vi måste eller har rätt att behålla;
• begära begränsning av behandlingen;
• få ut vissa uppgifter i ett strukturerat, allmänt använt och maskinläsbart format (dataportabilitet);
• invända mot behandling som grundas på berättigat intresse;
• när som helst invända mot direktmarknadsföring, inklusive tillhörande profilering;
• återkalla samtycke. Återkallelsen påverkar inte lagligheten av behandling som redan skett;
• inte bli föremål för ett beslut som enbart grundas på automatiserad behandling och har rättsliga eller liknande betydande följder, med de undantag som följer av GDPR.

Skicka din begäran till [email protected]. Vi svarar normalt inom en månad. Vid komplicerade eller många begäranden kan tiden förlängas med ytterligare två månader enligt GDPR. Om vi har rimliga skäl att tvivla på din identitet kan vi begära den kompletterande information som är nödvändig för att identifiera dig. Vi begär inte mer information än vad som behövs.

Du har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY). Vi uppskattar att få möjlighet att utreda din fråga först, men det påverkar inte din rätt att kontakta myndigheten.

11. Kontakt och ändringar

Kontakt för integritetsfrågor:
Gerandin Consulting AB
Organisationsnummer 559419-2071
Stora Åvägen 21, 436 34 Askim
E-post: [email protected]
Webbplats: www.solarhjalpen.se

Vi kan uppdatera policyn när verksamheten, systemen, leverantörerna eller rättsläget förändras. Den aktuella versionen ska alltid finnas på webbplatsen med datum för senaste uppdatering. Om en förändring är väsentlig för pågående behandling informerar vi på ett lämpligt sätt.