Personvernerklæring for t:kort

1 INNLEDNING 

AtB AS (heretter «AtB») er et mobilitetsselskap for kollektivtrafikken i Trøndelag fylke. AtB har ansvaret for å planlegge, organisere, kjøpe og markedsføre kollektivtjenester, og selskapet er registrert som et aksjeselskap hvor 100 % av aksjene eies av Trøndelag fylkeskommune. 

2 OM ERKLÆRINGEN 

Denne personvernerklæringen forklarer hvordan AtB samler inn og håndterer personopplysninger om sine kunder og/eller brukere av kollektivtrafikktilbudet (heretter omtalt som «kunden») ved bruk av t:kort. Med personopplysninger menes enhver opplysning om en identifisert eller identifiserbar fysisk person, her kunden, jf. personvernforordningen artikkel 4.  

Erklæringen oppfyller de krav som vil bli gjeldende i Norge fra 1. august 2018 i forbindelse med at personvernforordningen (GDPR) trer i kraft, samt bransjenormen for behandling av personopplysninger i forbindelse med e-billettering (heretter «bransjenormen»). 

Erklæringen inneholder informasjon du som kunde har krav på etter personvernforordningen artiklene 12-14, og generell informasjon om hvordan AtB behandler dine personopplysninger.  

I tillegg finner du blant annet opplysninger om hvordan du får innsyn i personopplysninger som AtB har om deg, og hvordan du går frem dersom du vil at vi skal rette eller slette opplysningene. 

3 BEHANDLING AV PERSONOPPLYSNINGER I ATB; T:KORT  

3.1 Behandlingsansvarlig 

AtB, ved administrerende direktør, har det overordnede ansvaret for behandling av kundenes personopplysninger, og er såkalt behandlingsansvarlig i henhold til personopplysningsloven. Som behandlingsansvarlig vil AtB påse at kundenes personopplysninger til enhver tid behandles i tråd med personopplysningsloven og øvrig gjeldende regelverk.  

3.2 Hvilke personopplysninger behandler AtB om reisende som bruker t:kort? 

3.2.1 Uregistrert reisekort (Anonym reise) 

Utgangspunktet er at du ikke trenger å gi fra deg personopplysninger for å reise med AtB. AtB tilbyr en anonym billettløsning for de som ønsker det. Ved et slikt kundeforhold vil ikke AtB behandle personopplysninger om deg. Du kan legge inn de samme reiseproduktene på et anonymt kort som et registrert reisekort, og en slik billett vil ikke koste noe ekstra. 

Hvis du ønsker å reise anonymt med t:kort er det viktig at du gjør som følger: 

  • Registrer en ny kundeprofil på https://www.atb.no/ 
  • Velg brukernavn og e-post som ikke kan identifisere deg (eks: jegmegselv@gmail.com) 
  • Legg inn kun brukernavn og e-post 
  • Bestill et nytt t:kort på AtB sin hjemmeside (bestillingsinformasjon slettes etter maks 30 dager) 
  • Registrer nummeret på ditt nye t:kort i din anonyme profil 
  • Velg et reiseprodukt på hjemmesiden og bruk et betalingskort for å gjennomføre kjøpet (det er ikke mulig for AtB å identifisere en kunde gjennom en slik betalingstransaksjon) 
  • Eller møt opp ved AtB sitt kundesenter og betal kontant  

Når du bestiller et t:kort fra hjemmesiden ber vi deg om å legge navn og adresse inn i et kontaktskjema, som vi bruker for utsending av ditt kort. Din kontaktinformasjon holdes adskilt fra kortnummeret til ditt t:kort. AtB vet ikke hvilket nummer ditt utsendte t:kort har, så derfor vil det IKKE være mulig å søke opp reiseopplysninger på deg som kunde. Du kan også benytte deg av muligheten til å få navn og fødselsdato påtrykt kortet, da det ikke vil ha noen betydning for din anonymitet. Den informasjonen vil kun bli brukt, hvis noen møter opp med et kort hos kundesenteret og prøver å få refundert et eventuelt restbeløp i kortet. Hvis det har et påtrykt navn vil vi be om legitimasjon fra vedkommende. 

Hvis du ønsker å reise anonymt er det veldig viktig at du oppretter en ny profil. Hvis du tar utgangspunkt i en eksisterende profil, og endrer denne til en anonym profil, vil det være mulig å gjenskape din identitet gjennom inspeksjon av logger i vårt billetteringssystem. 

3.2.2 Registrerte reisekort 

Reisekort kan frivillig registreres ved å opprette en profil på våre hjemmesider eller ved oppmøte på vårt kundesenter. Dersom du velger å benytte deg av et slikt registrert reisekort, har AtB behov for å innhente og bruke enkelte personopplysninger om deg. 

Kundeopplysningene er kontaktdata du fyller inn på registreringsskjemaet (navn, adresse, postnummer og poststed, fødselsdato, e-postadresse, mobilnummer, brukernavn og passord), og dessuten informasjon om utstedelsesdato for kortet, kjøpsdato for reiseprodukter samt kortnummer. Opplysningene vil bli lagret i vår kundedatabase. 

De ovennevnte personopplysningene oppgis frivillig av deg dersom reisekortet registreres, og opplysningene lagres av AtB så lenge det er nødvendig for å utføre den aktuelle tjenesten eller så lenge kundeforholdet varer, jf. personvernforordningen artikkel 5 nr. 1 bokstav e.  

AtB lagrer bare kontaktopplysninger du som kunde selv legger inn. Du kan be om å avslutte kundeforholdet, og at de opplysningene du har lagt inn slettes. Dette gjør du enkelt ved å kontakte kundeservice per telefon, brev, e-post eller personlig oppmøte for bistand til sletting. AtB vil deretter slette alle personopplysninger som er lagret om deg. 

I tillegg til kontaktopplysningene nevnt over, registrerer AtB opplysninger om de enkeltreisene våre kunder foretar, dvs. såkalte «reiseopplysninger». Det gjelder opplysninger om: 

  • reisens start (holdeplass) 
  • antall soner for reisen  
  • tidspunkt for avlesing av reisekort (validering av billett) 
  • billettypen som er benyttet 
  • reisekortnummer 
  • Linje og rute som benyttes til reisen 

Disse reiseopplysninger samles i en egen database, og er tilknyttet et reisekort. Hvis reisekortet er registrert på en person vil disse reiseopplysningene utgjøre personopplysninger. 

Hvis det opprettes en brukerprofil på AtB sine hjemmesider, atb.no, vil det være mulig å knytte flere reisekort opp mot samme profil. Hvis det er knyttet navn til disse kortene vil bare den kortet er registrert på kunne hente ut reiseopplysninger. Den som er registrert på brukerprofilen kan bare få tilgang til kjøp av ulike reiseprodukter, kjøpshistorikk og lignende. Dette gjelder når reisende er over 15 år, da må vedkommende selv gi sin tillatelse til at andre skal kunne se reiseopplysninger på eget reisekort. Før fylte 15 år kan foresatte gi en slik tillatelse. 

Reiseopplysningene for et reisekort blir lagret i 104 dager, i tråd med bransjenormen for behandling av personopplysninger for elektronisk billettering. Deretter vil reiseinformasjonen overføres til et arkiv, hvor det ikke lenger vil være mulig å kople reiseinformasjonen til et reisekort. Reiseopplysningene blir anonymisert, slik at ingen personer lenger kan identifiseres, men det kan lages statistikk på informasjonen, slik at AtB kan utvikle reisetilbudet ved behov. 

3.3 Formålet med behandlingene 

AtBs overordnede formål med å behandle ulike personopplysninger i forbindelse med bruk av registrert reisekort, er å kunne tilby gode og effektive reisekorttjenester til våre reisende i forbindelse med leveranse av kollektivtransporttjenester. 

Under dette formålet ligger i hovedsak følgende: 

  • utsendelse av bestilte kort, eventuelt påført navn og fødselsdato 
  • utstede ulike reiseprodukter på kortet 
  • overføre restverdi til et nytt reisekort, dersom du mister eller blir frastjålet reisekortet (evt. kan resterende verdi utbetales) 
  • sikre enklere identifisering av mulige feilkilder ved reklamasjon eller andre forhold som kan oppstå ved bruk av reisekortet  

Opplysninger om reisestrekning benyttes dessuten til analyse i forbindelse med statistiske formål, samt i forbindelse med innrapportering til Trøndelag fylke som vurderer budsjett, kapasitet og fremtidig transportbehov på ulike strekninger.  

3.4 Behandlingsgrunnlag

AtB baserer sin behandling av personopplysninger på kundens registrering av reisekort, hvor det ved kjøp av et reiseprodukt foreligger en avtale mellom partene. Så lenge kunden opprettholder en kundeprofil med et registrert reisekort vil AtB lagre disse opplysningene, slik at kunden når som helst kan kjøpe et nytt reisekortprodukt. Avtalegrunnlag er forankret i personvernforordningen artikkel 6 nr. 1 bokstav b, som tillater behandling når behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse. 

Behandling for statistiske formål er forankret i personvernforordningen artikkel 6 nr. 1 bokstav e og personopplysningsloven § 8, fordi den er nødvendig for statistiske formål i allmennhetens interesse. 

3.5 Informasjonssikkerhet og forsvarlig lagring av personopplysningene  

AtB følger kravene til informasjonssikkerhet i personopplysningsforskriften kapittel 2 og bransjenormens bestemmelser. Tilgangen til kundeopplysningene og reiseopplysningene er derfor begrenset.  

AtB kan anvende reiseopplysninger sammen med kundeopplysninger dersom dette er initiert av deg selv. Dette kan gjelde ved en reklamasjon på reisegaranti, klage på gebyr eller en annen henvendelse fra din side. 

AtB vil ikke anvende reiseopplysninger sammen med kundeopplysninger for å produsere statistikk, ved avregning mot samarbeidende selskap, og normalt heller ikke ved feilsøking. 

3.6 Sletting av personopplysninger 

Dersom kunden benytter et registrert reisekort kan opplysninger om navn, adresse, e-postadresse, telefonnummer, fødselsdato og mobilnummer slettes på initiativ fra kunden selv. Det gjøres ved å kontakte kundesenteret per telefon, brev, e-post eller personlig oppmøte.   

Alle registrerte reiseopplysninger blir i tråd med regelverket fra Datatilsynet anonymisert eller slettet etter en viss tid, regulert av tidligere omtalte bransjenorm.  

3.7 Fremgangsmåte ved begjæring om innsyn, retting eller sletting 

Du har rett til innsyn i personopplysninger som er lagret om deg, og kan kreve retting av feilaktige eller ufullstendige opplysninger om deg selv. Du kan også begjære unødvendige opplysninger om deg selv slettet.  

Dersom du vil begjære innsyn i, eller retting/sletting av, personopplysninger AtB behandler om deg, må dette gjøres skriftlig - enten til: atb@atb.no, per post eller personlig oppmøte ved kundesenteret i Prinsens gate 41. 

Ved bruk av post kan henvendelsen rettes til: 

AtB AS v/ Kundesenteret 
Prinsens gate 39 
7012 Trondheim 

Dersom du mener det foreligger feil i personopplysningene AtB behandler om deg, kan du enkelt få rettet disse ved å kontakte kundesenteret. 

Dersom du vil slette ditt kundeforhold med tilhørende opplysninger kan også dette gjøres ved å kontakte kundesenteret. 

AtB Kundesenter har telefonnummer: +47 478 02 820

Kundesenteret kan også hjelpe deg med å komme i kontakt med AtB sitt personvernombud dersom du skulle ha konkrete spørsmål knyttet til AtBs behandling av dine personopplysninger, og du ikke finner svar på disse i denne personvernerklæringen. Ved behov for direkte kontakt sendes brev til AtB v/ Personvernombud eller til e-post: personvernombud@atb.no, eller ring på telefon +47 478 02 820 og be om å bli satt over til personvernombudet. 

AtB vil svare på din henvendelse til oss så fort som mulig, og senest innen 30 dager. Vi vil be deg om å bekrefte identiteten din eller å oppgi ytterligere informasjon før vi lar deg ta i bruk dine rettigheter overfor oss. Dette gjør vi for å være sikre på at vi kun gir tilgang til dine personopplysninger til deg, og ikke noen som gir seg ut for å være deg. 

3.8 Øvrige rettigheter 

Du har rett til å protestere mot behandlingen av personopplysninger. Du har til enhver tid, av grunner knyttet til din særlige situasjon, rett til å protestere mot behandling av personopplysninger om deg. Behandlingen må ha grunnlag i personvernforordningen artikkel 6 nr. 1 bokstav e) eller f), herunder profilering med grunnlag i nevnte bestemmelser. AtB skal ikke lenger behandle personopplysningene, med mindre selskapet kan påvise at det foreligger tvingende berettigede grunner for behandlingen som går foran dine interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.  

Du har også rett til dataportabilitet etter personvernforordningen artikkel 20. Den registrerte skal i utgangspunktet ha rett til å motta personopplysninger om seg selv som vedkommende har gitt til AtB, i et strukturert, alminnelig anvendt og maskinleselig format og skal ha rett til å overføre nevnte opplysninger til en annen behandlingsansvarlig uten at den behandlingsansvarlige som personopplysningene er gitt til, hindrer dette. Dette forutsetter at behandlingen er basert på samtykke i henhold til personvernforordningen artikkel 6 nr. 1 bokstav, artikkel 9 nr. 2 bokstav eller en avtale i henhold til artikkel 6 nr. 1 bokstav. Behandlingen utføres automatisk. 

For å utøve dine rettigheter, følges samme fremgangsmåte som er beskrevet over i punkt 3.7. 

Dersom du mener at vår behandling av personopplysninger ikke stemmer med det vi har beskrevet her eller at vi på andre måter bryter personvernlovgivningen, ber vi om at du tar kontakt. Du kan forøvrig klage til Datatilsynet. Du finner informasjon om hvordan kontakte Datatilsynet på Datatilsynets nettsider: www.datatilsynet.no 

3.9 Bruk av databehandlere 

AtB vil kunne dele dine personopplysninger med såkalte «databehandlere». Som databehandler regnes underleverandører som behandler personopplysninger på vegne av AtB, jf. personopplysningsloven § 2. Dette gjelder leverandører av billettsystem, og andre systemer hvor det er naturlig for deg som kunde å legge inn personopplysninger. Enten i form av en egen brukerprofil i forbindelse med reiser, eller ved en klage på reise eller gebyr, hvor AtB må gjennomføre en saksbehandling på din henvendelse. 

Slike databehandlere kan ikke bruke personopplysningene for noe annet formål enn å yte den tjenesten som er avtalt med AtB i en såkalt databehandleravtale. AtB tar særlige forholdsregler for å forsikre seg om at våre databehandlere opptrer i samsvar med inngått databehandleravtale, denne personvernerklæringen og norsk personvernlovgivning for øvrig.  

AtB benytter seg kun av databehandlere som er lokalisert i Norge, EU/EØS-land eller land som har tilfredsstillende personvernlovgivning. 

For alle tjenester og produkter tilknyttet t:kort benytter AtB følgende underleverandør: 

Fara AS 
Sjøgangen 6 
7010 Trondheim 
Org.nr.: 989112007 

3.10 Utlevering av personopplysninger til tredjeparter 

I enkelte tilfeller kan AtB utlevere personopplysninger til politiet eller til andre offentlige myndigheter. Dette forutsetter imidlertid at det foreligger særskilt lovhjemmel eller pålegg fra domstolene. I tillegg vil AtB utlevere personopplysninger til Transportklagenemnda hvis en klage på reisegaranti, gebyr eller annet blir anket etter AtBs saksbehandling. 

AtB verken selger eller videreformidler på annen måte personlig informasjon om deg til tredjeparter i andre tilfeller enn de som er beskrevet i denne erklæringen eller som følger av lov. Dette inkluderer også informasjon oppgitt under frivillig registreging.

4 AUTOMATISK REGISTRERING AV KUNDEINFORMASJON VED BESØK PÅ NETTSIDEN VÅR

Som mange andre nettsteder benytter AtB informasjonskapsler («cookies») og liknende teknologier på våre nettsider. Visse typer informasjon om deg som kunde, blir som følge av dette registrert og lagret automatisk når du besøker vår hjemmeside. Disse dataene blir brukt til å registrere og analysere «trafikkmønsteret» på  våre nettsider. Informasjonen brukes til å identifisere hvordan besøkende navigerer på sidene, hvor lenge de bruker en side, hvilke tjenester de benytter og hvor de kommer fra. 

 Typiske opplysninger som registreres, er hvilken nettleser og hvilket operativsystem du benytter, samt hvilket domene eller IP-adresse du er tilknyttet. Disse opplysningene brukes til å generere statistikk over besøkendes bruk av siden, og slettes kontinuerlig. All kundeinformasjon av denne typen er anonym. AtB lagrer ikke informasjon som kan avsløre kundens identitet. 

For å lese mer om dette kan du gå inn på våre sider om Personvern og informasjonskapsler.