Integritetspolicy

1. Inledning och personuppgiftsansvar

Denna integritetspolicy beskriver hur SINEMA behandlar personuppgifter när en person besöker sinema.se, skapar eller använder ett användarkonto, tecknar medlemskap, genomför eller medverkar i en bokning, använder SINEMAs digitala accesslösningar, kommunicerar med SINEMA, besöker en SINEMA-salong eller på annat sätt använder en tjänst där SINEMA behandlar personuppgifter. Policyn förklarar vilka kategorier av personuppgifter som behandlas, för vilka ändamål behandlingen sker, vilken rättslig grund som används, hur länge uppgifterna behandlas, vilka kategorier av mottagare som kan få tillgång till dem och vilka rättigheter den registrerade har enligt tillämplig dataskyddslagstiftning.

Sinema Global AB, org.nr 559585-1964, är personuppgiftsansvarigt för den centrala behandling där bolaget bestämmer ändamålen med och medlen för behandlingen. Detta omfattar bland annat SINEMAs centrala digitala plattform och sinema.se, användarkonton, medlemskap, den centrala bokningstjänsten, medlemstimmar, Credits och presentkort, central ärendehantering, central marknadsföring samt viss central drift, säkerhet och analys.

Enskilda SINEMA-salonger kan drivas av andra bolag inom SINEMA-koncernen och ett sådant bolag kan vara självständigt personuppgiftsansvarigt för behandling där det självt bestämmer ändamål och medel, exempelvis viss lokal incidenthantering eller kamerabevakning. När ett annat SINEMA-bolag är personuppgiftsansvarigt framgår dess identitet av den information som lämnas i anslutning till den aktuella behandlingen.

SINEMA är utformat som en digital självservicetjänst. Där det är möjligt kan den registrerade därför administrera sina uppgifter och använda tillgängliga integritetsfunktioner genom sitt användarkonto och Min profil.

2. Vilka personuppgifter SINEMA behandlar

Vilka personuppgifter som behandlas beror på hur den registrerade använder SINEMA. Identitets- och kontaktuppgifter kan omfatta namn, e-postadress, telefonnummer, internt användar- eller konto-ID samt andra kontaktuppgifter som lämnas till SINEMA. Konto- och medlemsuppgifter kan omfatta kontostatus, medlemsplan, medlemsperiod, inkluderade och sparade timmar, Credits, presentkort, medlemsförmåner, Trusted Guest-relationer samt inställningar och preferenser som användaren själv anger.

SINEMA behandlar även personnummer när det behövs för att säkerställa att den som släpps in i en Salong är den person Bokningen är utställd på. Personnummer behandlas endast för identifiering vid access och för att koppla en BankID-signering till rätt Bokning, och visas i Min profil endast i maskerad form.

I samband med en bokning behandlar SINEMA uppgifter såsom boknings-ID, vald Salong, datum, tid och bokningslängd, beställda produkter eller tillägg, använda medlemstimmar eller Credits, betalningsstatus och de uppgifter som krävs för att administrera Bokningen och eventuell gäståtkomst. Betalnings- och transaktionsuppgifter kan bland annat bestå av betalt belopp, valuta, betalningsstatus, transaktionsreferens, återbetalningsinformation och begränsad information om vilken betalningsmetod som har använts. Elektroniska betalningar genomförs med hjälp av externa betalningsleverantörer, exempelvis Stripe, och SINEMA lagrar inte fullständiga kortnummer, CVC-koder eller motsvarande fullständiga kortuppgifter.

När en person loggar in på SINEMAs tjänst eller använder en Salong kan SINEMA behandla inloggnings-, access- och säkerhetsuppgifter såsom tidpunkter för inloggning och digital upplåsning, behörighet kopplad till accessen, IP-adress, enhets- och webbläsarinformation, tekniska loggar och information om misslyckade eller misstänkta accessförsök. Om BankID eller en annan extern identitetslösning används behandlar SINEMA den information som behövs för att verifiera identiteten och genomföra autentiseringen. SINEMA får inte tillgång till användarens personliga BankID-säkerhetskod.

När en användare registrerar ett ärende, reklamerar en tjänst eller på annat sätt kommunicerar med SINEMA kan bolaget behandla kontaktuppgifter, innehållet i ärendet eller kommunikationen, relevanta boknings-, medlems- och transaktionsuppgifter samt dokumentation av hur ärendet har hanterats. Vid misstänkt missbruk, skadegörelse, säkerhetsincident eller annan relevant händelse kan SINEMA även behandla de uppgifter som krävs för att utreda händelsen, skydda människor och egendom, hantera ett försäkringsärende eller fastställa, göra gällande eller försvara rättsliga anspråk. Sådana uppgifter kan exempelvis bestå av accessloggar, bokningsinformation, kommunikation, fotografier av skador och, när laglig kamerabevakning förekommer, relevant kameramaterial.

För marknadsföring kan SINEMA behandla namn, e-postadress, marknadsföringspreferenser, dokumentation av samtycke och information om att en person har avregistrerat sig. SINEMA behandlar inte Google-användardata för annonsering eller marknadsföringsprofilering.

3. Ändamål och rättslig grund

SINEMA behandlar endast personuppgifter när det finns ett specificerat ändamål och en rättslig grund för behandlingen. De huvudsakliga behandlingarna framgår nedan.

När behandlingen grundas på SINEMAs berättigade intresse görs en bedömning av behovet av behandlingen i förhållande till den registrerades intressen, grundläggande rättigheter och friheter. De berättigade intressena kan bland annat bestå i att skydda gäster, lokaler och utrustning, motverka obehörigt tillträde och missbruk, upprätthålla informations- och IT-säkerhet, administrera och dokumentera kundärenden samt fastställa, göra gällande eller försvara rättsliga anspråk. Mer integritetsingripande behandling införs inte enbart med hänvisning till ett generellt säkerhetsintresse, utan kräver en särskild bedömning av behandlingens nödvändighet och proportionalitet.

Vissa personuppgifter är nödvändiga för att SINEMA ska kunna ingå eller fullgöra ett avtal. Om exempelvis de identitets-, kontakt-, boknings-, betalnings- eller accessuppgifter som krävs för tjänsten inte lämnas kan SINEMA sakna möjlighet att skapa användarkontot, ingå medlemsavtalet, genomföra Bokningen eller ge tillträde till Salongen. Uppgifter som används för frivillig marknadsföring är däremot inte ett krav för att använda SINEMAs grundläggande tjänster.

4. Google Sign-In

Om en användare väljer att skapa konto eller logga in genom Google Sign-In får SINEMA tillgång till de Google-användaruppgifter som krävs för den aktuella autentiseringsfunktionen och som användaren godkänner i samband med inloggningen. Beroende på hur funktionen är konfigurerad kan dessa uppgifter omfatta namn, e-postadress och profilbild. SINEMA begär inte fler behörigheter än vad som behövs för den funktion som erbjuds och får inte genom Google Sign-In tillgång till användarens Google-lösenord.

Google-användardata används för autentisering och inloggning, skapande och administration av SINEMA-kontot samt för att koppla användarkontot till tillhörande Bokningar och Medlemskap. Uppgifterna används inte för annonsering, försäljning av personuppgifter eller marknadsföringsprofilering och lämnas endast till en tjänsteleverantör när detta krävs för att tillhandahålla den användarorienterade funktion för vilken uppgifterna har hämtats, för tillåtna säkerhetsändamål eller när utlämnande krävs enligt lag.

SINEMAs användning och överföring av information som tas emot från Google API Services sker i enlighet med Google API Services User Data Policy, inklusive tillämpliga Limited Use-krav. När Google-kopplingen tas bort eller SINEMA-kontot avslutas raderas Google-användardata som inte längre behövs för något annat lagligt ändamål. Uppgifter som måste bevaras med stöd av lag eller för ett giltigt rättsligt anspråk får dock behållas i den begränsade omfattning och under den tid som krävs för det ändamålet.

5. Betalningar och externa leverantörer

SINEMA använder externa betalningsleverantörer, exempelvis Stripe, för att genomföra elektroniska betalningar. Betalningsleverantören behandlar de betalningsuppgifter som behövs för att genomföra och säkerställa transaktionen, medan SINEMA får sådan information som krävs för att bekräfta betalningen, koppla den till rätt Bokning eller Medlemskap, administrera eventuella återbetalningar, fullgöra ekonomisk administration och bokföring samt hantera betalningsrelaterade incidenter. En betalningsleverantör kan för viss behandling agera som personuppgiftsbiträde åt SINEMA och för annan behandling vara självständigt personuppgiftsansvarig, exempelvis när leverantören behandlar uppgifter för att uppfylla egna rättsliga skyldigheter.

SINEMA säljer inte personuppgifter. Personuppgifter kan däremot lämnas till bolag inom SINEMA-koncernen och till leverantörer som tillhandahåller exempelvis IT-infrastruktur, hosting, databaser, lagring, autentisering, betalning, identitetskontroll, digital kommunikation, accesslösningar, larm och säkerhet, när mottagaren behöver uppgifterna för att utföra en tjänst eller uppfylla ett annat angivet och lagligt ändamål. Uppgifter kan även lämnas till försäkringsgivare, advokater, revisorer och andra professionella rådgivare när detta är nödvändigt för exempelvis ett skadeärende, revision eller rättsligt anspråk samt till polis, domstol, Skatteverket eller annan behörig myndighet när SINEMA är skyldigt eller annars har lagligt stöd att lämna ut uppgifterna.

När en extern leverantör behandlar personuppgifter enbart på SINEMAs dokumenterade instruktioner ingår SINEMA ett personuppgiftsbiträdesavtal i enlighet med GDPR.

6. Överföring av personuppgifter utanför EU/EES

Vissa av de leverantörer som SINEMA använder är internationella företag och behandling kan därför i vissa situationer innebära att personuppgifter överförs till eller görs tillgängliga från ett land utanför EU/EES. En sådan överföring genomförs endast när det finns en laglig överföringsmekanism enligt GDPR och SINEMA vidtar de skyddsåtgärder som krävs med hänsyn till mottagare, land och behandlingens karaktär.

Beroende på omständigheterna kan en överföring stödjas på ett beslut från EU-kommissionen om adekvat skyddsnivå, EU–U.S. Data Privacy Framework när den amerikanska mottagaren omfattas av ramverket, EU-kommissionens standardavtalsklausuler eller någon annan överföringsmekanism som är tillåten enligt GDPR. När standardavtalsklausuler används bedömer SINEMA vid behov om kompletterande tekniska, organisatoriska eller avtalsmässiga skyddsåtgärder krävs. Närmare information om den överföringsmekanism som används för en viss behandling kan begäras från SINEMA.

7. Lagring och gallring

SINEMA sparar inte personuppgifter längre än vad som behövs för det ändamål för vilket de behandlas eller under den längre tid som krävs enligt lag eller för att fastställa, göra gällande eller försvara rättsliga anspråk. Eftersom olika behandlingar fyller olika funktioner varierar lagringstiden mellan olika typer av uppgifter.

Konto- och profiluppgifter behandlas normalt så länge användarkontot är aktivt. När kontot avslutas raderas eller anonymiseras uppgifter som inte längre behövs, medan begränsade uppgifter kan behållas om detta krävs för exempelvis bokföring, säkerhet, ett pågående ärende eller ett rättsligt anspråk. Boknings- och medlemsuppgifter behandlas under den tid som krävs för att administrera avtalsförhållandet och därefter så länge de skäligen behövs för reklamationer, säkerhet, dokumentation eller rättsliga anspråk.

Uppgifter som utgör räkenskapsinformation bevaras under den tid som följer av bokföringslagstiftningen. Vanliga digitala ärenden och reklamationer sparas normalt inte längre än 24 månader efter det att ärendet avslutats, men får sparas längre när de behövs för ett pågående klagomål, en tvist, rättslig skyldighet eller ett rättsligt anspråk. Access- och säkerhetsloggar behandlas under den tid som behövs för drift och säkerhet och gallras enligt SINEMAs fastställda gallringsrutiner när de inte längre fyller något sådant ändamål. Uppgifter som är kopplade till en konkret incident får bevaras längre under den tid som behövs för att utreda och hantera den aktuella händelsen.

Personuppgifter som behandlas med stöd av samtycke för marknadsföring behandlas till dess att samtycket återkallas eller behandlingen annars avslutas. Efter avregistrering får SINEMA behålla begränsad information om att marknadsföring inte ska skickas till den aktuella mottagaren när detta behövs för att respektera invändningen och dokumentera att SINEMA följer tillämpliga regler.

8. Kamerabevakning

Kamerabevakning kan förekomma i vissa delar av SINEMAs lokaler när den personuppgiftsansvarige efter en dokumenterad bedömning har konstaterat att bevakningen är laglig, nödvändig och proportionerlig för ett tydligt definierat ändamål. Kamerabevakning används inte enbart därför att det tekniskt är möjligt att bevaka en viss yta. Före bevakning bedöms bland annat vilket konkret behov som finns, om ändamålet kan uppnås genom mindre integritetsingripande åtgärder, hur starkt integritetsintresset är på platsen, vilka ytor och tider som faktiskt behöver omfattas, hur länge materialet behöver sparas och vilka tekniska och organisatoriska skyddsåtgärder som krävs.

När kamerabevakning sker kan ändamålet vara att förebygga, upptäcka eller utreda obehörigt tillträde, inbrott, stöld, skadegörelse eller andra konkreta och allvarliga säkerhetsincidenter. Kamerabevakning används inte som en generell metod för att kontrollera mindre överträdelser av bokningsvillkor eller för att kartlägga gästernas beteende. SINEMA använder inte kontinuerlig kamerabevakning av själva Salongsytan medan gäster vistas där som en generell säkerhetsåtgärd. Om det i framtiden skulle finnas särskilda omständigheter som motiverar en mer omfattande bevakning får sådan behandling endast införas efter en separat dokumenterad bedömning som visar att behandlingen är laglig, nödvändig och proportionerlig för den aktuella platsen och situationen.

Toaletter kamerabevakas aldrig. SINEMAs normala kamerabevakning omfattar inte ljudinspelning, ansiktsigenkänning eller annan biometrisk identifiering. När kamerabevakning stödjs på artikel 6.1 f GDPR ska det berättigade intresset vara konkret angivet för den aktuella bevakningen och en dokumenterad intresseavvägning genomföras innan behandlingen påbörjas.

Information om kamerabevakningen lämnas tydligt innan en person går in i det bevakade området och innehåller eller hänvisar till information om bland annat vem som är personuppgiftsansvarig, ändamålet med bevakningen, rättslig grund, lagringstid, kontaktuppgifter och den registrerades rättigheter. Kameramaterial som inte är kopplat till en konkret incident raderas så snart det inte längre behövs och senast inom 72 timmar. Om ett visst material behöver säkras med anledning av en konkret säkerhetsincident, misstanke om brott, ett försäkringsärende eller ett rättsligt anspråk får den relevanta delen av materialet bevaras under den ytterligare tid som är nödvändig för det specifika ändamålet.

Tillgång till kameramaterial är särskilt behörighetsstyrd och endast personer som behöver materialet för ett fastställt ändamål får ta del av det. Material lämnas inte ut i större omfattning än vad som är nödvändigt och rättsligt tillåtet, men relevant material kan exempelvis lämnas till polis eller annan behörig myndighet när det finns stöd för detta, till försäkringsbolag i ett konkret skadeärende, till juridiskt ombud i samband med ett rättsligt anspråk eller till en leverantör som behandlar materialet för den personuppgiftsansvariges räkning.

9. Cookies och liknande teknik

SINEMA använder cookies och liknande tekniker på sinema.se. Cookies och annan teknik som är strikt nödvändiga för att webbplatsen, inloggningen eller en annan uttryckligen efterfrågad funktion ska fungera får användas utan samtycke när detta är tillåtet enligt lag. Icke nödvändiga cookies och liknande tekniker som används för exempelvis analys eller marknadsföring aktiveras endast när erforderligt samtycke har lämnats.

Användaren ska kunna göra ett aktivt val beträffande icke nödvändig teknik och ska kunna ändra eller återkalla sitt val. Närmare information om vilka cookies och motsvarande tekniker som faktiskt används, vilka leverantörer som berörs, ändamålen med behandlingen och tillämpliga lagringstider finns i SINEMAs cookieinformation och cookieinställningar på sinema.se.

10. Informationssäkerhet

SINEMA vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot bland annat obehörig åtkomst, förlust, manipulation och otillåtet röjande. Vilka åtgärder som används bestäms med hänsyn till behandlingens art, omfattning, sammanhang och risk och kan bland annat omfatta krypterad kommunikation, behörighetsstyrning, stark autentisering där detta är lämpligt, begränsning av intern åtkomst, säkerhetsloggning, säkerhetskopiering och återställningsrutiner, styrning av personuppgiftsbiträden samt fastställda rutiner för att upptäcka, bedöma och hantera personuppgiftsincidenter.

Säkerhetsåtgärderna utvärderas och anpassas löpande med hänsyn till förändringar i SINEMAs tekniska miljö, behandlingen av personuppgifter och den aktuella riskbilden.

11. Personer under 18 år

SINEMAs Medlemskap och vanliga Bokningar är avsedda för personer som har fyllt 18 år. En person under 18 år får endast använda de delar av tjänsten som SINEMA särskilt gör tillgängliga för minderåriga, exempelvis genom Trusted Guest när de krav på vårdnadshavare och godkännande som anges i SINEMAs boknings- och medlemsvillkor är uppfyllda.

För en minderårig Trusted Guest behandlar SINEMA endast de uppgifter som behövs för att administrera Trusted Guest-relationen, verifiera relevant behörighet, administrera Bokningar och access samt upprätthålla tjänstens säkerhet. SINEMA använder inte personuppgifter om en minderårig Trusted Guest för riktad direktmarknadsföring.

12. Automatiserade beslut

SINEMA fattar för närvarande inte beslut som enbart grundas på automatiserad behandling och som medför rättsliga följder för den registrerade eller på liknande sätt påverkar personen i betydande grad på det sätt som avses i artikel 22 GDPR. Om SINEMA framöver inför sådan behandling kommer den registrerade att få den information som krävs enligt tillämplig dataskyddslagstiftning innan behandlingen tas i bruk.

13. Den registrerades rättigheter

Den registrerade har de rättigheter som följer av GDPR. Detta innebär bland annat en rätt att få information om huruvida SINEMA behandlar personuppgifter om personen och, när förutsättningarna är uppfyllda, få tillgång till uppgifterna och information om behandlingen. Den registrerade har även rätt att begära rättelse av felaktiga personuppgifter och i vissa situationer rätt att få uppgifter raderade eller behandlingen begränsad.

När en behandling grundas på berättigat intresse har den registrerade rätt att invända mot behandlingen. SINEMA ska då upphöra med behandlingen om bolaget inte kan visa tvingande berättigade skäl som väger tyngre än den registrerades intressen, rättigheter och friheter eller om uppgifterna behövs för att fastställa, göra gällande eller försvara rättsliga anspråk. Den registrerade har alltid rätt att invända mot behandling för direktmarknadsföring och när en sådan invändning görs upphör SINEMA med behandlingen för det ändamålet.

När behandlingen grundas på samtycke eller avtal och sker automatiserat kan den registrerade under vissa förutsättningar ha rätt till dataportabilitet. Ett samtycke får återkallas när som helst och det ska vara lika enkelt att återkalla samtycket som det var att lämna det. En återkallelse påverkar inte lagligheten av den behandling som ägde rum innan samtycket återkallades.

Rättigheterna är inte absoluta och kan vara begränsade under de omständigheter som anges i GDPR eller annan lagstiftning. SINEMA kan exempelvis vara skyldigt eller ha rätt att behålla vissa uppgifter trots en begäran om radering när uppgifterna behövs för att uppfylla en rättslig förpliktelse eller fastställa, göra gällande eller försvara ett rättsligt anspråk.

14. Utövande av rättigheter och digital självservice

SINEMA eftersträvar att personuppgiftsrelaterade ärenden ska kunna hanteras digitalt. När motsvarande funktion finns kan användaren genom Min profil bland annat se och uppdatera konto- och kontaktuppgifter, administrera integritets- och kommunikationsinställningar, avsluta sitt konto och använda andra dataskyddsfunktioner som SINEMA vid var tid tillhandahåller.

När SINEMA tillhandahåller en särskild självservicefunktion för en viss begäran är detta den normala och rekommenderade vägen för att hantera ärendet. Om en viss rättighet inte kan utövas genom Min profil tillhandahåller SINEMA en alternativ digital kontaktväg. Att SINEMA tillhandahåller digital självservice begränsar inte den registrerades rätt att kontakta den personuppgiftsansvarige eller utöva sina rättigheter på annat sätt som följer av GDPR.

SINEMA får när det behövs begära sådan ytterligare information som är nödvändig för att med rimlig säkerhet verifiera identiteten på den person som framställer en begäran, men begär inte fler uppgifter än vad som krävs för den kontrollen. En begäran hanteras inom de tidsfrister som följer av GDPR.

15. Klagomål, ändringar och kontakt

Den som anser att SINEMA behandlar personuppgifter i strid med tillämplig dataskyddslagstiftning har rätt att lämna klagomål till behörig tillsynsmyndighet. I Sverige är tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY).

SINEMA får uppdatera denna integritetspolicy när behandlingen av personuppgifter förändras eller när det krävs på grund av exempelvis ny lagstiftning, nya tjänster, nya leverantörer eller tekniska förändringar. Den vid var tid gällande versionen finns på sinema.se och datumet högst upp i policyn anger när den senast uppdaterades. Om en förändring påtagligt påverkar hur den registrerades personuppgifter behandlas lämnar SINEMA särskild information när detta krävs enligt lag eller annars bedöms lämpligt.

Frågor som inte kan hanteras genom SINEMAs digitala självservice kan riktas till kontaktuppgifterna nedan. SINEMA tillhandahåller i första hand digital självservice för användar- och dataskyddsärenden och kontaktuppgifterna ska därför inte uppfattas som en separat löpande telefonbaserad kundservice.