Innledende bestemmelser og Personvernerklæring

Denne Personvernerklæring fastsetter rammene for behandling av personopplysninger som skjer i tilknytning til Gambiva casino og domenet gambiva-casino-online.com. Formålet er å gi en presis og etterprøvbar redegjørelse for hvilke opplysninger som behandles, hvordan behandlingen skjer, og hvilke rettigheter registrerte har etter gjeldende regelverk i Norge. Behandlingen utføres i samsvar med personopplysningsloven og EUs personvernforordning (GDPR) slik den er gjort gjeldende gjennom EØS. Erklæringen gjelder for bruk av nettstedet, tilhørende tjenester, og kommunikasjon som relaterer seg til drift, sikkerhet og etterlevelse. Der behandlingen involverer særskilte forhold, vil disse fremgå av relevante avsnitt med presisering av formål, rettslig grunnlag og lagringsperiode.

Behandlingsansvarlig, roller og kontaktpunkt

Begrepet behandlingsansvarlig viser til den juridiske enheten som bestemmer formål og midler for behandlingen av personopplysninger for nettstedets funksjoner. Gambiva casino kan opptre som behandlingsansvarlig for deler av behandlingen, og som databehandler når behandling skjer på vegne av andre kontrollerende parter, avhengig av tjenestens konkrete art. Forholdet mellom behandlingsansvarlig og eventuelle databehandlere reguleres gjennom databehandleravtaler som stiller krav til konfidensialitet, sikkerhet og dokumentasjon. Kontaktpunkt for personvernrelaterte henvendelser fremgår av seksjonen om kontakt og forespørsler, og henvendelser behandles i henhold til fastsatte interne rutiner. Ved tvil om rollefordeling skal det legges til grunn en streng tolkning som ivaretar registrertes rettigheter og dokumenterbar etterlevelse.

Kategorier av personopplysninger som behandles

Personopplysninger kan omfatte identifikasjonsdata, kontaktdata, konto og profilrelaterte opplysninger, og tekniske data som oppstår ved bruk av nettstedet. Eksempler inkluderer navn, e postadresse, telefonnummer, brukeridentifikator, språkinnstillinger, og metadata knyttet til hendelser som innlogging og feilrapportering. Videre kan det behandles informasjon om enhet og nettleser, herunder IP adresse, tidsstempler, og loggdata som er nødvendige for drift og sikkerhet. I noen tilfeller kan det forekomme behandling av opplysninger som anses som særlig beskyttelsesverdige eller som krever særskilt varsomhet, men kun dersom dette er nødvendig for å oppfylle rettslige forpliktelser eller etablere, gjøre gjeldende eller forsvare rettskrav. Personvernerklæring omfatter ikke innhold som registrerte frivillig publiserer i åpne fora utenfor nettstedets kontrollerte behandlingsmiljø.

Tekniske og bruksrelaterte data

Tekniske og bruksrelaterte data oppstår som ledd i normal drift, og omfatter eksempelvis loggposter, sesjonsidentifikatorer, feilkoder og informasjon om sidevisninger. Slike data behandles for å sikre stabilitet, forhindre misbruk og dokumentere hendelsesforløp ved avvik. Opplysninger kan også inkludere grov geolokalisering avledet av IP adresse for å ivareta sikkerhet og regional etterlevelse, uten at dette innebærer nøyaktig posisjonssporing. Behandlingen av disse dataene baseres på legitime interesser, samtidig som det gjennomføres vurderinger for å redusere personverninngrep. Der det benyttes analyser som kan innebære profilering, vil omfanget begrenses til det som er nødvendig og forholdsmessig.

Kommunikasjons- og henvendelsesdata

Når det mottas henvendelser via skjema, e post eller andre kanaler, behandles opplysninger som er nødvendige for å identifisere saken og kunne gi et forsvarlig svar. Dette kan omfatte navn, kontaktinformasjon, innholdet i meldingen, og referanseinformasjon knyttet til tidspunkt og kanal. Opplysningene benyttes for saksbehandling, etterlevelse og kvalitetssikring, og kan også brukes for å dokumentere at forespørsler er håndtert innen gjeldende frister. Behandlingen vil være begrenset til det som er relevant for formålet, og det tilstrebes å unngå innsamling av overskuddsinformasjon. Dersom henvendelsen gjelder rettighetsutøvelse etter GDPR, vil identitetskontroll kunne være nødvendig for å forebygge uberettiget utlevering.

Hvordan personopplysninger samles inn

Innsamling kan skje ved at registrerte selv oppgir opplysninger ved registrering, ved innsending av forespørsler, eller ved bruk av funksjoner som krever identifikasjon. Opplysninger kan også genereres automatisk gjennom tekniske systemer, eksempelvis ved opprettelse av logger og sikkerhetshendelser under sesjoner. Videre kan enkelte opplysninger innhentes fra tredjeparter når dette er nødvendig for å oppfylle rettslige forpliktelser eller sikre integriteten i tjenestene, forutsatt at innhentingen har rettslig grunnlag og at krav til informasjon oppfylles. Personvernerklæring forutsetter at innsamling begrenses etter prinsippene om dataminimering og formålsbegrensning. Når informasjon mottas fra eksterne kilder, vurderes kildens legitimitet, datakvalitet og krav til oppdatering.

Automatisk innsamling via systemlogger

Operasjonelle systemer kan registrere hendelser i logger for å oppdage feil, forebygge uautorisert tilgang og sikre tilgjengelighet. Slike logger kan inneholde IP adresse, tidspunkt, forespørselsparametere og tekniske identifikatorer, men innholdet begrenses for å redusere risiko for identifisering. Loggene brukes til hendelseshåndtering, feilsøking og revisjonsspor, og kan deles internt med personell som har tjenstlig behov. Der automatisert overvåking benyttes for å identifisere mistenkelige mønstre, gjennomføres det risikovurderinger for å sikre at tiltakene er nødvendige og forholdsmessige. Opplysninger som ikke lenger er nødvendige for sikkerhetsformål, slettes eller anonymiseres i tråd med fastsatte lagringsperioder.

Formål med behandling av personopplysninger

Behandlingen gjennomføres for å levere og administrere nettstedets funksjoner, håndtere forespørsler, og opprettholde driftssikkerhet. Videre kan behandling være nødvendig for å oppfylle rettslige forpliktelser, herunder krav knyttet til ansvarlighet, dokumentasjon og håndtering av klager. For casino Gambiva kan behandling også være nødvendig for å forebygge svindel, misbruk og sikkerhetshendelser, samt for å verifisere at tjenestene brukes i tråd med interne retningslinjer. Det kan forekomme behandling for analyse og forbedring av funksjonalitet, men slik behandling begrenses til det som er nødvendig og gjennomføres med passende personvernmekanismer. Opplysninger brukes ikke til formål som er uforenlige med de opprinnelige formålene uten at det foreligger nytt rettslig grunnlag eller gyldig samtykke der dette kreves.

Rettslig grunnlag for behandling

Etter norsk rett og GDPR skal all behandling ha et rettslig grunnlag, og vurderingen dokumenteres etter prinsippet om ansvarlighet. Behandling kan skje fordi den er nødvendig for å oppfylle en avtale eller gjennomføre tiltak på anmodning før avtale inngås, eksempelvis for å administrere konto eller besvare forespørsler om tjenestefunksjoner. Videre kan behandling være nødvendig for å oppfylle rettslige forpliktelser, herunder krav til dokumentasjon, sikkerhet og håndtering av rettighetskrav. For enkelte operasjonelle formål baseres behandlingen på legitime interesser, eksempelvis å beskytte systemer, forebygge misbruk og sikre stabil drift, forutsatt at registrertes interesser og grunnleggende rettigheter ikke overstiger disse interessene. Der samtykke benyttes som grunnlag, skal samtykket være frivillig, spesifikt, informert og utvetydig, og det skal være like enkelt å trekke samtykket tilbake som å gi det.

Interesseavveining og dokumentasjon

Ved behandling basert på legitime interesser gjennomføres en strukturert interesseavveining som vurderer nødvendighet, forholdsmessighet og forventninger. Vurderingen omfatter identifisering av formålet, hvilke kategorier opplysninger som behandles, og hvilke tiltak som reduserer risiko, som pseudonymisering og tilgangskontroll. Dokumentasjonen oppbevares for å kunne påvise etterlevelse overfor tilsynsmyndigheter, og oppdateres ved endringer i behandlingsaktiviteter. For casino Gambiva er sikkerhetsrelaterte interesser typisk knyttet til å oppdage uregelmessige mønstre og beskytte tjenestens integritet, men tiltakene skal ikke gå lenger enn nødvendig. Dersom vurderingen tilsier økt risiko for registrerte, skal behandlingen justeres eller stanses, og alternative løsninger vurderes.

Deling, mottakere og utlevering

Personopplysninger kan deles med leverandører som leverer driftstjenester, sikkerhetstjenester, analyseverktøy eller kundestøttesystemer, forutsatt at leverandørene er bundet av avtalte konfidensialitets- og sikkerhetsforpliktelser. Utlevering kan også skje dersom det er nødvendig for å oppfylle rettslige forpliktelser eller etter pålegg fra kompetent myndighet, herunder domstol eller tilsynsmyndighet. For casino Gambiva kan det være nødvendig å dele begrensede opplysninger for å undersøke mistenkelige aktiviteter eller for å etablere, gjøre gjeldende eller forsvare rettskrav. Det gjennomføres leverandørkontroll, inkludert vurdering av tekniske og organisatoriske tiltak, og det stilles krav til underleverandører der dette er relevant. Personvernerklæring innebærer at deling begrenses til det som er nødvendig, og at det ikke skjer salg av personopplysninger som en selvstendig behandlingsaktivitet.

Overføring til tredjeland og internasjonale behandlinger

Regulatorisk sett kan overføring av personopplysninger til land utenfor EØS kun skje dersom overføringsgrunnlaget oppfyller GDPR kapittel V. Dersom leverandører eller systemer innebærer behandling i tredjeland, benyttes egnede garantier, som EUs standard kontraktsklausuler, og det vurderes supplerende tiltak basert på risikobildet. Overføringer begrenses til det som er nødvendig for å oppfylle formålene, og det gjennomføres kontroll av mottakerens evne til å etterleve krav til konfidensialitet og sikkerhet. For casino Gambiva kan teknisk drift eller støttefunksjoner innebære internasjonal behandling, men dette skal ikke redusere nivået av beskyttelse for registrerte i Norge. Personvernerklæring forutsetter at informasjon om overføringsmekanismer gis på forespørsel, i den grad dette kan gjøres uten å kompromittere sikkerhet eller avtalebundne forretningshemmeligheter.

Lagringstid og sletting

Behandlingen skal være tidsbegrenset, og personopplysninger lagres ikke lenger enn det som er nødvendig for formålene de ble samlet inn for. Operasjonelle logger kan typisk lagres i 90 dager for sikkerhet og feilsøking, med mindre det foreligger et avvik som krever lengre bevaring for undersøkelse og dokumentasjon. Henvendelser til kundestøtte eller klagebehandling kan lagres i 3 år for å dokumentere saksbehandling og ivareta rettskrav, med mindre en lengre frist følger av lov eller pågående tvist. Der behandling skjer på grunnlag av samtykke, slettes eller anonymiseres opplysninger etter tilbaketrekking, med mindre videre lagring er nødvendig av andre rettslige grunner. For casino Gambiva vurderes lagringsperioder særskilt dersom opplysningene er knyttet til sikkerhetshendelser, og det etableres rutiner for periodisk gjennomgang minst hver 12 måneder.

Kriterier for fastsettelse av lagringsperioder

Lagringsperioder fastsettes med utgangspunkt i formål, datakategori, risiko og relevante rettslige krav, samt behovet for dokumentasjon. Dersom opplysninger er nødvendige for å oppfylle rettslige forpliktelser, kan de oppbevares til forpliktelsen er oppfylt og eventuelle kontrollperioder er utløpt. Ved sikkerhetsrelaterte hendelser kan opplysninger bevares så lenge det er nødvendig for å analysere hendelsen og implementere tiltak, men det foretas løpende vurdering av om identifiserende data kan reduseres. Det benyttes teknikker for å slette eller anonymisere data på en måte som gjør gjenoppretting urimelig, og slettingen dokumenteres gjennom interne kontroller. Personvernerklæring legger til grunn at lagringsbegrensning er en kjerneforpliktelse, og at avvik fra fastsatte perioder skal begrunnes og journalføres.

Informasjonskapsler og sporingsteknologier

Operasjonelt benyttes informasjonskapsler og tilsvarende teknologier for å sikre grunnleggende funksjonalitet, opprettholde sesjoner og beskytte mot misbruk. Videre kan det benyttes måling og analyse for å forstå belastning, feil og brukerflyt, men dette skal gjennomføres med personvernvennlige innstillinger og begrensning av identifiserende elementer. For casino Gambiva kan enkelte informasjonskapsler være strengt nødvendige for sikkerhet, eksempelvis for å oppdage uvanlige innloggingsmønstre og beskytte integriteten i kommunikasjonen. Der samtykke kreves etter gjeldende regler for elektronisk kommunikasjon, innhentes samtykke før ikke nødvendige informasjonskapsler aktiveres, og valg skal kunne endres senere. Personvernerklæring omfatter også behandling som skjer når tredjepartsverktøy lastes inn, og det vurderes om slike aktører kan anses som selvstendige behandlingsansvarlige for egne formål.

Sikkerhetstiltak og avviksbehandling

Sikkerheten ivaretas gjennom tekniske og organisatoriske tiltak som er tilpasset behandlingsaktivitetenes risiko og omfang. Tiltak kan omfatte tilgangsstyring med rollebaserte rettigheter, kryptering i transitt og der det er relevant i lagring, samt segmentering av systemer for å redusere konsekvenser ved uautorisert tilgang. Det gjennomføres regelmessige kontroller, og minst 2 ganger per år vurderes sentrale sikkerhetskonfigurasjoner og hendelseslogger for å identifisere forbedringsbehov. Det etterstrebes en tilgjengelighet på 99,9 prosent for kritiske funksjoner, men slike mål påvirker ikke plikten til å prioritere konfidensialitet og integritet ved avveininger. Ved brudd på personopplysningssikkerheten vurderes meldeplikt til Datatilsynet og varslingsplikt overfor registrerte, og vurderingen dokumenteres i samsvar med GDPR.

Registrertes rettigheter og Personvernerklæring

Rettighetsbasert sett har registrerte krav på informasjon, innsyn, retting og sletting innenfor rammene av gjeldende lovgivning. Personvernerklæring beskriver også retten til begrensning av behandling, retten til dataportabilitet der vilkårene er oppfylt, og retten til å protestere mot behandling basert på legitime interesser. Dersom behandling bygger på samtykke, kan samtykke trekkes tilbake når som helst, uten at dette påvirker lovligheten av behandling som allerede har funnet sted. Ved påstander om uriktige eller ufullstendige opplysninger skal det foretas en forsvarlig vurdering og oppdatering når kravene er dokumentert. For casino Gambiva kan enkelte rettigheter være begrenset der videre behandling er nødvendig for å oppfylle rettslige forpliktelser eller for å etablere, gjøre gjeldende eller forsvare rettskrav.

Frister og identitetskontroll ved rettighetsutøvelse

Forespørsler om rettighetsutøvelse skal behandles uten ugrunnet opphold og normalt innen 30 dager, med mulighet for forlengelse i samsvar med GDPR når forespørselen er kompleks. Ved forlengelse skal det gis begrunnelse og informasjon om forventet behandlingstid innen den opprinnelige fristen. Det kan kreves tilstrekkelig identitetsbekreftelse for å hindre at opplysninger utleveres til uvedkommende, og omfanget av kontrollen tilpasses risikoen. Dersom en forespørsel er åpenbart grunnløs eller overdreven, kan det kreves et rimelig gebyr eller forespørselen kan avslås, men beslutningen skal begrunnes og dokumenteres. Personvernerklæring legger til grunn at kommunikasjon om rettigheter skjer på en måte som ivaretar konfidensialitet, herunder ved bruk av sikre kanaler når opplysningene er sensitive.

Automatiserte avgjørelser og profilering

Automatiserte avgjørelser forekommer bare der det er nødvendig for sikkerhet, drift eller etterlevelse, og innenfor rammene av GDPR artikkel 22. Dersom profilering benyttes, skal den begrenses til formål som å forebygge svindel, beskytte tjenester og oppdage avvik, og den skal ikke ha rettsvirkning eller tilsvarende vesentlig påvirkning uten særskilt rettslig grunnlag. For casino Gambiva kan automatiserte mekanismer bidra til å identifisere uregelmessige mønstre, men resultatene skal vurderes med hensyn til feilmarginer og rimelighet. Det innføres tiltak for å redusere risiko, herunder manuell kontroll i relevante tilfeller og mulighet for å fremsette innsigelser når regelverket gir rett til det. Personvernerklæring forutsetter at slike prosesser dokumenteres, og at det gjennomføres vurderinger av personvernkonsekvenser når behandlingen sannsynligvis medfører høy risiko.

Kontakt, forespørsler og klageadgang

Operasjonelt håndteres forespørsler om personvern ved å registrere saken, avklare omfanget og sikre at kun nødvendige opplysninger behandles for å svare. Personvernerklæring innebærer at henvendelser kan kreve tilleggsinformasjon for å identifisere forespørselen og sikre korrekt behandling, og at slik innhenting begrenses til det som er nødvendig. For casino Gambiva kan saksbehandlingen inkludere kontroll mot sikkerhetslogger for å dokumentere hendelsesforløp, men tilgang til slike data gis kun til autorisert personell. Dersom det ikke oppnås tilfredsstillende løsning, kan klage fremmes til Datatilsynet i Norge, og klageadgangen påvirker ikke øvrige rettsmidler etter gjeldende rett. Respons til henvendelser gis normalt innen 7 dager med en bekreftelse på mottak og forventet videre prosess, uten at dette erstatter den formelle fristen for rettighetsutøvelse.

Endringer, oppdateringer og Personvernerklæring

Personvernerklæring kan endres når det er nødvendig for å reflektere endringer i behandling, tekniske løsninger, leverandørstruktur eller rettslige krav i Norge og EØS. Endringer skal gjennomgås med sikte på å sikre fortsatt etterlevelse av GDPR prinsippene om lovlighet, rettferdighet, åpenhet, dataminimering, riktighet, lagringsbegrensning, integritet og konfidensialitet. Ved vesentlige endringer skal det gis tydelig informasjon om hva som er endret og fra hvilket tidspunkt endringen gjelder, og tidligere versjoner kan oppbevares for dokumentasjonsformål i opptil 24 måneder. For casino Gambiva innebærer etterlevelsesforpliktelsen at det gjennomføres interne kontroller og risikovurderinger ved endringer som kan påvirke registrertes rettigheter eller sannsynligheten for sikkerhetsbrudd. Personvernerklæring bekrefter at registrertes forespørsler om innsyn i behandlingsgrunnlag, mottakere og overføringsmekanismer håndteres etter faste prosedyrer, og at svar gis innen lovens rammer, normalt innen 30 dager. Dersom endringer krever nytt samtykke for bestemte behandlingsaktiviteter, skal slikt samtykke innhentes før behandlingen fortsetter, og tilbaketrekking skal respekteres uten unødig forsinkelse. Det opprettholdes en dokumentert prosess for avvikshåndtering, og ved personvernbrudd vurderes varsling til Datatilsynet innen 72 timer når vilkårene er oppfylt, samt varsling til registrerte når risikoen anses høy. Denne Personvernerklæring er utformet for å støtte etterprøvbarhet og ansvarlighet, og den skal tolkes i lys av gjeldende rett, herunder praksis fra relevante tilsynsorganer og domstoler.