Personvernerklæring

1. Innledning

Alfa Forsikring AS («Alfa», «vi», «oss») er opptatt av å beskytte personvernet ditt. Denne personvernerklæringen forklarer hvordan vi samler inn, bruker, deler og lagrer personopplysninger når du bruker tjenestene våre, besøker nettstedet vårt alfa-forsikring.no eller er i kontakt med oss.

Alfa Forsikring AS er et forsikringsagentforetak (forsikringsformidler) med konsesjon fra Finanstilsynet. Vi bærer ikke forsikringsrisiko selv, men formidler forsikringer på vegne av flere norske og internasjonale forsikringsgivere. En oppdatert oversikt over forsikringsgiverne vi samarbeider med, finner du på alfa-forsikring.no/forsikringsgivere.

Personvernerklæringen gjelder både privatpersoner (forbrukere) og næringsdrivende (bedrifter).

2. Behandlingsansvarlig

Alfa Forsikring AS er behandlingsansvarlig for behandlingen av personopplysninger som er beskrevet i denne erklæringen.

3. Vår rolle som forsikringsformidler

Fordi Alfa er forsikringsformidler og ikke selv bærer forsikringsrisiko, deles behandlingen av personopplysninger i to:

• Alfa er behandlingsansvarlig for vår egen behandling — det vil si innhenting av opplysningene dine, rådgivning, kundekontroll og oversendelse av opplysningene til den eller de forsikringsgiverne som er aktuelle for deg.
• Hver forsikringsgiver er selvstendig behandlingsansvarlig for sin egen behandling — herunder risikovurdering, prisfastsettelse, aksept og skadeoppgjør på egen risiko.

Det betyr at når opplysningene dine oversendes til en forsikringsgiver, behandler forsikringsgiveren opplysningene under sitt eget ansvar og etter sin egen personvernerklæring. Du finner oversikt over forsikringsgiverne og lenker til deres personvernerklæringer på alfa-forsikring.no/forsikringsgivere. Denne personvernerklæringen dekker Alfas egen behandling.

4. Hvilke personopplysninger vi behandler

Avhengig av hvilke tjenester du bruker, kan vi behandle følgende kategorier av personopplysninger:

• Identitetsopplysninger: navn og fødselsnummer (for privatpersoner) eller organisasjonsnummer og opplysninger om kontaktpersoner (for bedrifter).
• Kontaktopplysninger: adresse, e-postadresse og telefonnummer.
• Geografiske og demografiske opplysninger som er relevante for forsikringen.
• Opplysninger knyttet til forsikringsbehovet: opplysninger om objektet, situasjonen eller hendelsen som skal forsikres, forsikringshistorikk og skadehistorikk.
• Helseopplysninger: når det er nødvendig for å vurdere og innhente tilbud på enkelte forsikringer (særlig person- og helseforsikring). Helseopplysninger er en særlig kategori av personopplysninger, se punkt 7.
• Lydopptak av telefonsamtaler, når du har samtykket til det, se punkt 9.
• Opplysninger om bruk av nettstedet vårt: se punkt 22 om informasjonskapsler.

Fødselsnummer behandles kun der det er saklig behov for sikker identifisering og metoden er nødvendig for å oppnå slik identifisering, jf. personopplysningsloven § 12.

5. Formål og behandlingsgrunnlag

Vi behandler personopplysninger for følgende formål og på følgende behandlingsgrunnlag:

Der behandlingen er basert på berettiget interesse, har vi vurdert at våre interesser i behandlingen veier tyngre enn hensynet til ditt personvern. Ved forebygging og avdekking av svindel er interessen å beskytte forsikringsfellesskapet og de ærlige kundene mot tap, og å sikre riktig risikovurdering. Du kan be om mer informasjon om disse vurderingene ved å kontakte oss.

6. Plikt til å gi personopplysninger

Enkelte personopplysninger er nødvendige for at vi skal kunne gi deg tilbud, formidle og administrere forsikring og behandle krav. Noen opplysninger er vi også lovpålagt å innhente, for eksempel i forbindelse med kundekontroll etter hvitvaskingsloven. Dersom du ikke gir oss disse opplysningene, kan vi ikke innhente tilbud, formidle forsikring eller behandle et krav for deg.

7. Særlige kategorier av personopplysninger (helseopplysninger)

For enkelte forsikringer, særlig person- og helseforsikring, er det nødvendig å behandle helseopplysninger for å kunne innhente og vurdere tilbud. Helseopplysninger er en særlig kategori av personopplysninger som krever et særskilt behandlingsgrunnlag.

Vi behandler helseopplysninger på grunnlag av ditt uttrykkelige samtykke (GDPR art. 9 nr. 2 bokstav a). Ved behandling av krav kan vi også behandle helseopplysninger for å fastsette, gjøre gjeldende eller forsvare rettskrav (art. 9 nr. 2 bokstav f).

Dersom du ikke gir, eller trekker tilbake, samtykket ditt, kan vi ikke vurdere eller formidle den aktuelle forsikringen. Du kan når som helst trekke tilbake samtykket ved å kontakte oss, se punkt 21. Tilbaketrekking påvirker ikke lovligheten av behandlingen som er utført før tilbaketrekkingen.

Vi bruker ikke genetiske opplysninger til forsikringsformål. Dette er i tråd med bioteknologiloven.

Vi behandler i dag ikke opplysninger om fagforeningsmedlemskap. Dersom dette blir aktuelt, for eksempel i forbindelse med kollektive forsikringsavtaler, vil vi innhente nødvendig behandlingsgrunnlag og oppdatere denne erklæringen.

8. Automatiserte avgjørelser og profilering

For enkelte forsikringer kan avgjørelser om tilbud, pris og aksept treffes helautomatisk, det vil si uten menneskelig involvering, gjennom systemene vi benytter. Slike avgjørelser kan ha rettslig virkning for deg eller påvirke deg på tilsvarende vesentlig måte.

Den automatiske behandlingen bygger på opplysninger som geografiske og demografiske opplysninger og opplysninger om objektet, situasjonen eller hendelsen som skal forsikres. På grunnlag av disse opplysningene vurderer systemet risikoen og avgjør om forsikring kan tilbys, til hvilken pris, eller om søknaden må avslås eller vurderes manuelt.

Der vi treffer helautomatiske avgjørelser, skjer det på grunnlag av at det er nødvendig for å inngå eller oppfylle avtale, eller ditt uttrykkelige samtykke. Dersom helseopplysninger inngår i en helautomatisk avgjørelse, behandles disse på grunnlag av ditt uttrykkelige samtykke (GDPR art. 22 nr. 4, jf. art. 9 nr. 2 bokstav a), og vi har innført egnede tiltak for å ivareta rettighetene dine.

Du har rett til å kreve at en avgjørelse ikke utelukkende treffes automatisk. Du kan be om menneskelig gjennomgang av avgjørelsen, gi uttrykk for ditt syn og bestride avgjørelsen ved å kontakte oss, se punkt 21.

I tillegg kan den enkelte forsikringsgiver treffe egne automatiserte avgjørelser under sitt eget ansvar. Informasjon om dette finnes i forsikringsgiverens personvernerklæring.

9. Lydopptak av telefonsamtaler

Vi tar opp telefonsamtaler når du har gitt uttrykkelig samtykke til det. Opptak brukes til opplæring, kvalitetssikring, for å innhente muntlige samtykker og for å dokumentere krav som meldes per telefon.

Opptak som gjøres for opplæring og kvalitetssikring, slettes innen 12 måneder. Opptak som dokumenterer avtaler, samtykker eller krav, og som vi trenger for å oppfylle rettslige forpliktelser eller for å fastsette, gjøre gjeldende eller forsvare rettskrav, kan oppbevares i inntil ti år. Dersom et opptak inneholder helseopplysninger, behandles disse på grunnlag av ditt uttrykkelige samtykke, se punkt 7.

10. Personopplysninger om andre enn deg selv

Når du kjøper eller bruker forsikring, kan vi behandle personopplysninger om andre personer enn deg selv, for eksempel medforsikrede, medlemmer av husstanden din og begunstigede. Ved behandling av krav kan vi også behandle opplysninger om tredjeparter, for eksempel skadelidte eller motparter.

Vi mottar disse opplysningene fra deg eller i forbindelse med et krav, og behandler dem for å administrere forsikringen og behandle krav. Behandlingsgrunnlaget er som regel berettiget interesse eller oppfyllelse av avtale. Dersom du gir oss opplysninger om andre, forutsetter vi at du har rett til å dele dem. Der vi ikke har praktisk mulighet til å informere disse personene direkte, gjør vi denne personvernerklæringen tilgjengelig slik at de kan forstå hvordan opplysningene deres behandles.

11. Personopplysninger om barn

Vi formidler også forsikringer som omfatter barn, for eksempel barneforsikring. Slike forsikringer tegnes av en forelder eller foresatt, som gir oss de nødvendige opplysningene om barnet. Der det er nødvendig å behandle helseopplysninger om barnet, skjer dette på grunnlag av uttrykkelig samtykke fra den foresatte. Vi behandler personopplysninger om barn med særlig varsomhet og bare i den grad det er nødvendig for forsikringen.

12. Kredittvurdering

Dersom du søker om en betalingsløsning der forsikringen betales i avdrag, eller der det ellers ytes kreditt, kan vi foreta en kredittvurdering. Kredittvurderingen kan innebære at det innhentes opplysninger fra et kredittopplysningsforetak. Når det gjøres en kredittvurdering av deg, vil du motta et gjenpartsbrev fra kredittopplysningsforetaket med informasjon om hvem som har gjort forespørselen og hvilke opplysninger som er utlevert. Behandlingsgrunnlaget er berettiget interesse eller at det er nødvendig for å inngå avtale.

13. Hvor opplysningene kommer fra

Vi innhenter personopplysninger fra:

• deg selv, når du kontakter oss, ber om tilbud eller inngår avtale,
• offentlig tilgjengelige kilder og offentlige registre,
• forsikringsgivere og andre samarbeidspartnere, når det er nødvendig for formidlingen.

14. Deling av personopplysninger

Vi deler bare de personopplysningene som er nødvendige for det aktuelle formålet, og bare med mottakere som har et berettiget behov. Vi kan dele personopplysninger med:

• Forsikringsgivere som du får tilbud fra eller inngår avtale med. Disse er selvstendig behandlingsansvarlige, se punkt 3.
• InsurFront AS, som er vår databehandler for løsningen vi bruker til blant annet kundehåndtering, tilbudsberegning, skadebehandling og «Min side», se punkt 15.
• Forsikringsnæringens fellesregistre administrert av Finans Norge: Personopplysninger kan bli registrert i Register over forsikringssøkere og forsikrede (ROFF) og Forsikringsselskapenes sentrale skaderegister (FOSS). Formålet med registrene er blant annet å sikre riktige opplysninger ved forsikringssøknad og å forebygge og begrense forsikringssvindel ved skademelding og skadeoppgjør. Registrene inneholder ikke helseopplysninger eller andre særlige kategorier av personopplysninger.
• Andre mottakere ved behov, for eksempel takstmenn og skadetakstselskaper, betalingsleverandører, inkassoselskaper, rådgivere og advokater, samt offentlige myndigheter der vi er rettslig forpliktet til det.

Mottakerne kan i enkelte tilfeller måtte dele nødvendige opplysninger med sine egne databehandlere for å utføre oppgaven. Personopplysninger deles aldri med tredjeparter for deres markedsføringsformål.

15. Databehandlere og underdatabehandlere

Vi bruker databehandlere til å behandle personopplysninger på våre vegne. Vår databehandler er InsurFront AS, som leverer systemet vi benytter til kundehåndtering, tilbudsberegning, skadebehandling og «Min side». InsurFront AS benytter i sin tur underdatabehandlere, blant annet Dappr Technologies, Inc., Amazon Web Services, SendGrid, Twilio og Intercom.

Vi inngår databehandleravtaler med alle databehandlere for å sikre at personopplysninger behandles i samsvar med personvernregelverket.

Enkelte av underdatabehandlerne er etablert i USA. Se punkt 16 om overføring til land utenfor EØS.

16. Overføring til land utenfor EØS

Enkelte av underdatabehandlerne som benyttes, er etablert i USA. Når personopplysninger overføres til USA, skjer overføringen på grunnlag av EU-kommisjonens beslutning om at EU–US Data Privacy Framework (DPF) gir et tilstrekkelig beskyttelsesnivå, for mottakere som er sertifisert under rammeverket. Der en mottaker ikke er sertifisert, benytter vi EU-kommisjonens standardavtaler (Standard Contractual Clauses) som overføringsgrunnlag.

Som supplerende sikkerhetstiltak er personopplysninger kryptert, og sensitive personopplysninger er tokenisert slik at de ikke vises i klartekst uten autorisasjon.

Du kan be om mer informasjon om, eller en kopi av, overføringsgrunnlaget vi benytter, ved å kontakte oss, se punkt 23.

17. Markedsføring

Vi kan sende deg markedsføring om tjenestene våre per e-post, SMS og telefon.

Til privatpersoner sender vi elektronisk markedsføring (e-post og SMS) på grunnlag av samtykke. Til deg som er eksisterende kunde kan vi likevel sende markedsføring om tilsvarende tjenester uten forhåndssamtykke, i tråd med markedsføringsloven § 15. Du får alltid mulighet til å reservere deg både når vi samler inn kontaktopplysningene dine og i hver enkelt henvendelse. Ved telefonmarkedsføring respekterer vi Reservasjonsregisteret.

Du har til enhver tid en ubetinget rett til å motsette deg at personopplysningene dine brukes til direkte markedsføring, herunder profilering knyttet til slik markedsføring. Dersom du reserverer deg, stopper vi markedsføringen. Du kan reservere deg ved å kontakte oss eller ved å bruke avmeldingslenken i hver markedsføringshenvendelse.

18. Lagringstid

Vi lagrer personopplysninger så lenge det er nødvendig for formålene beskrevet i denne erklæringen, og i tråd med lovpålagte krav:

• Opplysninger knyttet til søknad og formidling, herunder helseopplysninger: i kundeforholdets varighet og deretter så lenge det er nødvendig av hensyn til foreldelsesfrister for krav etter forsikringsavtaleloven.
• Regnskapsopplysninger: i fem år, jf. bokføringsloven § 13.
• Opplysninger innhentet for kundekontroll (hvitvasking): i fem år etter at kundeforholdet er avsluttet, jf. hvitvaskingsloven § 30.
• Opplysninger til bruk for å forebygge og avdekke svindel: i inntil ti år.
• Lydopptak for opplæring og kvalitetssikring: i inntil 12 måneder.
• Lydopptak for dokumentasjon og juridiske formål: i inntil ti år.
• Opplysninger knyttet til markedsføringssamtykke: til samtykket trekkes tilbake, deretter slettes de.

Når opplysningene ikke lenger er nødvendige, slettes eller anonymiseres de.

19. Sikkerhet

Vi har iverksatt tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysningene dine mot uautorisert tilgang, endring og sletting. Personopplysninger er kryptert, og sensitive personopplysninger er tokenisert for å hindre at de vises i klartekst uten autorisasjon. Tilgang til personopplysninger er begrenset til dem som trenger det for å utføre sine oppgaver.

20. Overdragelse av virksomhet

Dersom hele eller deler av virksomheten vår slås sammen med, kjøpes av eller selges til en annen virksomhet, kan personopplysninger bli overført til den nye eieren som en del av transaksjonen. Vi vil sørge for at opplysningene fortsatt beskyttes i samsvar med denne personvernerklæringen og gjeldende regelverk, og informere deg der regelverket krever det.

21. Dine rettigheter

Du har følgende rettigheter etter personvernregelverket:

• Innsyn i hvilke personopplysninger vi behandler om deg.
• Retting av uriktige eller ufullstendige opplysninger.
• Sletting av personopplysninger i visse tilfeller.
• Begrensning av behandlingen i visse tilfeller.
• Dataportabilitet — å få utlevert opplysninger du har gitt oss, i et maskinlesbart format.
• Innsigelse mot behandling som er basert på berettiget interesse.
• Å motsette deg direkte markedsføring — du har en ubetinget rett til å reservere deg mot direkte markedsføring, herunder profilering til slike formål, se punkt 17.
• Å trekke tilbake samtykke du har gitt, uten at det påvirker lovligheten av tidligere behandling.
• Å ikke være gjenstand for helautomatiske avgjørelser, se punkt 8.

Du kan utøve rettighetene dine ved å kontakte oss på telefon, per post, per e-post eller via «Min side». Se kontaktinformasjon i punkt 2 og 23.

Enkelte rettigheter kan være begrenset av lovgivning, for eksempel av hensyn til lovpålagte oppbevaringskrav.

22. Informasjonskapsler (cookies)

Nettstedet vårt bruker informasjonskapsler. Disse er delt inn i tre kategorier: Nødvendige, Statistikk og Markedsføring. Nødvendige informasjonskapsler kan ikke slås av, mens Statistikk og Markedsføring kan slås av. Du styrer samtykket ditt gjennom samtykkeløsningen på nettstedet.

Mer informasjon finner du i vår informasjonskapselerklæring (alfa-forsikring.no/cookies).

23. Klage og kontakt

Dersom du mener at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet. Vi oppfordrer deg likevel til å ta kontakt med oss først, slik at vi kan finne en løsning.

Har du en klage som gjelder selve forsikringen eller tjenestene våre, og ikke personvern, kan du henvende deg til Finansklagenemnda.

Har du spørsmål om hvordan vi behandler personopplysninger, kan du kontakte oss:

24. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen. Ved vesentlige endringer vil vi varsle deg på egnet måte. Gjeldende versjon er alltid tilgjengelig på alfa-forsikring.no.