Forpligtelser

Formål:

Vores virksomhed er engageret i at skabe og opretholde en arbejdsplads, hvor sikkerhed og sundhed er prioriteret. Formålet med denne politik er at fastlægge klare retningslinjer og procedurer for at sikre, at alle medarbejdere trives i et sikkert og sundt arbejdsmiljø.

Principper:

Forebyggelse af Ulykker og Skader:

Vi prioriterer forebyggelse af ulykker og skader ved at identificere og adressere potentielle risici i arbejdsmiljøet.

Overholdelse af Gældende Lovgivning:

Vi forpligter os til fuldt ud at overholde alle gældende love og regler vedrørende arbejdsmiljø og sikkerhed.

Medarbejderuddannelse og Træning:

Vi sikrer, at alle medarbejdere modtager passende uddannelse og træning til at håndtere sikkerhedsprocedurer og bruge nødvendigt udstyr.

Rapportering af Risici og Hændelser:

Vi opmuntrer alle medarbejdere til aktivt at rapportere potentielle risici og hændelser for at sikre hurtig indgriben og løsning.

Procedurer og Handlinger:

Arbejdspladsinspektioner:

Regelmæssige inspektioner udføres for at identificere potentielle farer og implementere nødvendige forbedringer.

Nødprocedurer:

Tydelige nødprocedurer og evakueringsplaner kommunikeres til alle medarbejdere, og regelmæssige øvelser gennemføres.

Brug af Personligt Beskyttelsesudstyr (PPE):

Medarbejdere forsynes med nødvendigt PPE, og det forventes, at det bæres korrekt i overensstemmelse med arbejdsopgaver.

Kommunikation og Opfølgning:

Åben Kommunikation:

Åben kommunikation opmuntres for at fremme en kultur, hvor medarbejdere føler sig trygge ved at rapportere sikkerhedsbekymringer.

Opfølgning og Evaluering:

Effektiviteten af sikkerhedsprocedurer og initiativer evalueres regelmæssigt, og der foretages justeringer efter behov.

Ledelsesengagement:

Ledelsesengagement:

Ledelsen forpligter sig til at støtte og fremme sikkerhedsinitiativer og til aktivt at deltage i skabelsen af et sikkert arbejdsmiljø.

Kontinuerlig Forbedring:

Vi stræber efter kontinuerlig forbedring af vores arbejdsmiljø og sikkerhedspraksis gennem regelmæssig evaluering og feedback.

Ved at vedtage og efterleve denne politik sikrer vi ikke kun medarbejdernes velbefindende, men også en produktiv og ansvarlig arbejdsplads. Vi opfordrer alle medarbejdere til at deltage aktivt i implementeringen af denne politik og deltage i at skabe et sikkert og sundt arbejdsmiljø.

Overblik:

I LKA Entreprise A/S, forventer vi, at alle vores medarbejdere fra entreprise A/S opfører sig i overensstemmelse med de højeste standarder for etik, integritet og adfærd i deres interaktioner med kunder, kolleger og andre interessenter. Dette omfatter fuld overholdelse af alle lovmæssige forpligtelser fastsat af lovgivningen.

Drift:

Dette adfærdskodeks fastlægger de standarder for adfærd, som alle medarbejdere fra LKA Entreprise A/S skal overholde.

Manglende overholdelse kan medføre passende disciplinære foranstaltninger, herunder muligvis afskedigelse ved alvorlige overtrædelser.

Alvorlige overtrædelser, der involverer grov misligholdelse, kan føre til øjeblikkelig afskedigelse. Overtrædelser af lovgivningen kan medføre underretning til relevante myndigheder eller politiet.

Driftspolitik:

Formålet med denne politik er at klargøre, hvad LKA Entreprise A/S forventer fra medarbejderne fra entreprise A/S, og medarbejdere skal kende og overholde politikken til enhver tid.

Manglende overholdelse kan medføre disciplinære foranstaltninger, herunder potentielt opsigelse af ansættelsen.

LKA Entreprise A/S forpligtelser i henhold til denne politik er ikke kontraktlige og giver ikke anledning til kontraktmæssige rettigheder.

Adfærdsstandarder:

Forventninger til medarbejdernes adfærd inkluderer overholdelse af LKA Entreprise A/S’ politikker, love, instruktioner og dedikation til deres opgaver.

Ærlighed, retfærdighed og høflig behandling af kunder, kolleger og offentligheden er grundlæggende principper.

Sikkerhed, overholdelse af sundheds- og sikkerhedsregler og undladelse af diskrimination er også centrale krav.

Medarbejdere skal undlade at skade LKA Entreprise A/S’ omdømme på sociale medier og undlade at acceptere uretmæssige fordele.

Enhver interessekonflikt skal straks anmeldes, og medarbejdere skal rapportere overtrædelser af politikken uden forsinkelse.

Andre Politikker:

Anbefales at læse denne politik i forbindelse med andre relevante LKA Entreprise A/S-policies.

Denne adfærdskodeks sikrer en sund arbejdskultur og bidrager til alle i og omkring LKA Entreprise A/S’ kan opnå succes.

Hvis der er spørgsmål eller behov for yderligere forklaring, er medarbejdere fra entreprise A/S velkomne til at henvende sig.

Medarbejdere opfordres til at læse denne politik i sammenhæng med andre relevante virksomhedspolitikker, herunder:

1. Samarbejdspartner code of conduct
2. Arbejdsmiljø- og sikkerhedspolitik
3. Leverandørpolitik

Cookiepolitik

Ejeroplysninger

Hvad er en cookie

Formål med cookies

Hvilke typer cookies bruger vi ?

Sådan afviser eller sletter du cookies

Samtykke

Sådan afviser eller sletter du cookies

Har du spørgsmål?

Databrudspolitik

Når LKA Entreprise A/S (”vi”, ”vores” eller ”os”) arbejder med persondata, er risikoen for, at der på et tidspunkt opstår et databrud høj. Databrud kan variere meget i både størrelse og konsekvenser, og selv små databrud kan have omfattende konsekvenser, mens store databrud kan have minimale konsekvenser. For at være i stand til at håndtere et databrud, skal vi først være i stand til at genkende ét og vide, hvad vi skal gøre ved det. Netop dette er særligt vigtigt, fordi vi har en række forpligtelser, som vi skal overholde, når der opstår et databrud.

I denne plan finder du blandt andet en gennemgang af, hvad et databrud er, og hvad du skal gøre, når et databrud opstår.

Hvad er et databrud?

Et databrud er et brud på vores sikkerhed, der gør, at de personoplysninger, som vi behandler, hændeligt eller ulovligt bliver slettet, går tabt, bliver ændret eller bliver givet eller vist til nogen, der ikke skulle have haft dem.

Databrud opstår typisk som følge af vores egen uheldige håndtering af personoplysningerne. Det kan eksempelvis være, at vi ved en fejl kommer til at sende en e-mail eller et brev med personoplysninger i til en forkert modtager, eller hvis vi kommer til at ændre i nogle personoplysninger eller slette dem fra vores systemer.

Det kan også være fremmede forhold, der fører til et databrud, eksempelvis hvis vores IT-systemer bliver hacket, eller hvis vi får stjålet en taske fra cyklen, hvor der ligger en USB-nøgle med personoplysninger på.

Endeligt kan udefrakommende omstændigheder føre til et databrud, eksempelvis hvis vi som følge af brand eller oversvømmelse i en periode ikke har adgang til personoplysningerne, eller hvis branden eller oversvømmelsen ender med at tilintetgøre dem.

Når vi vurderer, om der er tale om et databrud, skal vi tænke over, hvad konsekvenserne ved hændelsen er. Hvis der er en risiko for, at hændelsen kan påføre personen, der ejer personoplysningerne, skade som fx mistet kontrol over personoplysningerne, begrænsning af sine rettigheder, identitetstyveri eller økonomiske eller sociale konsekvenser, er der tale om et databrud.

Dokumentation

Hvis et databrud opstår, skal vi altid sørge for at skrive så mange ting ned om det, som vi kan. Det gælder, uanset hvor stort eller småt databruddet er, og uanset hvor store eller små konsekvenser det måtte have.

Når vi dokumenterer et databrud, skal vi altid undersøge og notere de følgende ting:

– Dato og tidspunkt for databruddet
– Hvad skete der, da databruddet opstod?
– Hvad er årsagen til databruddet?
– Hvilke typer personoplysninger er omfattet af databruddet?
– Hvilke konsekvenser har databruddet for de berørte personer?
– Hvad har vi gjort for at afhjælpe databruddet efter, at vi opdagede det?
– Har vi anmeldt databruddet til Datatilsynet?
– Har vi underrettet de berørte personer?

Kontakt os hvis du har brug for at få udleveret det skema, vi bruger, når vi dokumenterer et databrud.

Lars Valentin er ansvarlig for at udfylde skemaet og samtidig vurdere, om databruddet har en sådan karakter, at vi skal anmelde det til Datatilsynet og underrette de berørte personer.

Vi er underlagt nogle strenge tidsmæssige krav, når det kommer til databrud. Det kan du læse mere om under punkt 3 ”Anmeldelse til Datatilsynet”. For at vi kan overholde de krav, skal Lars Valentin udfylde dokumentationsskemaet hurtigst muligt og senest 24 timer efter, at vi har opdaget databruddet.

Når skemaet er udfyldt, skal det gemmes på [indsæt beskrivelse og destination].

Vi skal gemme skemaet for at kunne vise Datatilsynet, at vi har håndteret et databrud korrekt, og at vi lever op til vores forpligtelse om ansvarlighed.

Anmeldelse til Datatilsynet

Et databrud medfører ofte en risiko for de personer, der er berørt af databruddet. Når et databrud medfører en risiko, betyder det, at de personer, hvis personoplysninger er påvirket, kan blive udsat for fx diskrimination, identitetstyveri, svindel, skade på deres omdømme eller en anden form for væsentlig økonomisk eller social ulempe.

Vi kan have en pligt til at anmelde et databrud til Datatilsynet, når databruddet medfører en risiko for de berørte personers rettigheder.

Hvilke typer databrud skal anmeldes til Datatilsynet

Som udgangspunkt skal alle databrud meldes til Datatilsynet. Det er kun i de situationer, hvor det er usandsynligt, at databruddet indebærer en risiko for de berørte personers rettigheder, at vi kan lade være med at anmelde et databrud. Det kan fx være, hvis vi er hurtige til at gribe ind, eller hvis oplysninger ved en fejl er blevet slettet, at vi har kunne genskabe dem fra vores backup.

Det kan også være, at vores sikkerhedsforanstaltninger minimerer eller eliminerer risikoen. Det kan eksempelvis være, hvis en kollega får stjålet sin taske med en USB-nøgle, hvor der ligger personaleoplysninger på. Hvis vi har sikret os, at vores USB-nøgler er beskyttet med en stærk kryptering, er det ikke umiddelbart muligt for andre at dekryptere den, og det er derfor nok også usandsynligt, at tyven får adgang til oplysningerne. Tyveriet – og dermed databruddet – har derfor ikke haft nogen konsekvenser for nogen personer.

Når du eller andre skal vurdere risikoen ved et databrud, skal vi bruge de oplysninger, vi har skrevet i dokumentationsskemaet i bilag 2. Derudover skal vi også altid overveje de følgende ting:

Typen af sikkerhedsbrud:

Her skal vi tænke over, om der er sket tab af oplysninger, brud på fortroligheden, eller om der er sket en integritetskrænkelse. Det betyder, at vi eksempelvis skal undersøge, om databruddet er sket ved, at personoplysninger er blevet slettet eller ændret og derfor ikke længere er tilgængelige, om personoplysninger er blevet offentliggjort, eller om der er nogle, der har stjålet personoplysningerne. Konklusionen på de overvejelser er typen eller typerne af sikkerhedsbruddet.

Typen af personoplysninger og omfang:

Typen af de personoplysninger, der er omfattet af databruddet, er ofte afgørende for vurderingen af risikoen. Det betyder, at jo mere følsomme personoplysninger, der er tale om, jo større konsekvenser har databruddet sandsynligvis for de berørte personer. Det er vigtigt, at vi altid tænker over de konkrete oplysninger i den konkrete situation. Eksempelvis er offentliggørelsen af en medarbejders adresse en almindelig personoplysning og har normalt ikke alvorlige konsekvenser. Men hvis personen har adressebeskyttelse, kan konsekvenserne af databruddet være alvorlige.

Mulighed for at de berørte personer kan identificeres:

Det kan også spille ind i vurderingen af risikoen, hvad muligheden er for, at de berørte personer kan identificeres enten direkte eller ved at sammenholde oplysningerne med anden information. Hvis databruddet eksempelvis er opstået ved, at vi har tabt en USB-nøgle med kundeoplysninger i toget, vil det have betydning for vurderingen, om USB-nøglen er krypteret eller beskyttet på en anden måde, så det ikke er muligt at komme ind i den og identificere personerne.

Konsekvenserne af databruddet:

Hvis databruddet har ramt oplysninger om personer, der er særligt sårbare eller udsatte, kan den skade, databruddet fører med sig være større end ellers. Det samme er tilfældet, hvis vi ved, at oplysningerne er landet i hænderne på kriminelle, der har onde hensigter, eller hvis databruddet er længerevarende eller permanent, så det ikke kan bremses ved fx at spærre betalingskort.

Særligt sårbare eller udsatte personer er eksempelvis børn, handicappede eller medlemmer af udsatte befolkningsgrupper. I vurderingen kan der også lægges vægt på, om der blandt de berørte personer er offentligt kendte personer eller personer under vidnebeskyttelse, som et ellers mindre farligt databrud vil have store konsekvenser for.

Antallet af berørte fysiske personer:

Risikoen ved et databrud stiger som udgangspunkt i takt med antallet af personer, der er berørt af det. Vi skal dog huske på, at der altid er tale om en konkret vurdering, og at mange berørte personer ikke nødvendigvis er ensbetydende med en høj risiko.

Endeligt skal vi også huske på, at uanset, om vi vurderer, at databruddet skal anmeldes til Datatilsynet eller ej, skal dokumentationsskemaet i bilag 2 altid udfyldes, og vurderingen af risikoen skal skrives ind i dokumentationsskemaet.

Hvornår skal et databrud anmeldes til Datatilsynet

Så snart vi har konstateret, at vi har et databrud, der medfører en risiko for de berørte personers rettigheder, skal databruddet anmeldes til Datatilsynet. I alle tilfælde skal anmeldelsen være sket senest 72 timer efter, at vi er blevet bekendt med databruddet. Det betyder, at vi skal anmelde databruddet, så snart det er muligt – også selvom det tidspunkt ligger før udløbet af de 72 timer.

Særligt i forhold til e-mails sendt til forkerte modtagere er det på nuværende tidspunkt uklart, om fristen på de 72 timer løber fra det tidspunkt, hvor vi har modtaget en e-mail, der gør os opmærksomme på databruddet hos os, eller fra det tidspunkt, hvor vi har opdaget og læst e-mailen. Ud fra et forsigtighedsprincip er det besluttet, at databrud anmeldes til Datatilsynet senest 72 timer efter, at en e-mail med oplysning om databrud hos os er modtaget.

Hvis vi ikke overholder fristen, kan vi som en absolut undtagelse lave anmeldelsen efter udløbet af de 72 timer. Hvis det skulle blive tilfældet, skal vi oplyse de særlige grunde, der gjorde det umuligt for os at lave anmeldelsen inden for fristen. Det er dog vigtigt at huske på, at selv en god begrundelse for, at vi ikke har overholdt fristen, ikke nødvendigvis redder os fra, at Datatilsynet giver os kritik eller en bøde for ikke at overholde fristen.

Vi har udpeget Lars Valentin som ansvarlig for at håndtere databrud hos os.

Når vi har mistanke om eller har konstateret et databrud, er det Henriette Lars Valentin, der er ansvarlig for at udfylde dokumentationsskemaet og indberette databrud til Datatilsynet.

Hvilke oplysninger skal vi give Datatilsynet

Når vi anmelder et databrud til Datatilsynet, skal vi give Datatilsynet så mange oplysninger, som vi kan. Det er blandt andet oplysninger om, hvad der er sket, hvilke typer oplysninger, der er berørt, og hvad konsekvenserne er eller sandsynligvis vil være.

Vi skal som minimum altid give Datatilsynet følgende oplysninger, hvis det er muligt:

Databruddets karakter, hvilket betyder

• Hvad der er sket, og hvordan det skete,
• Et cirka-antal personer, der er berørt, og kategorierne af de personer,
• Om de berørte personer er placeret i andre EU-lande og i givet fald hvor,
• Hvilke typer personoplysninger, der er tale om og
• Et cirka-antal registreringer, der er omfattet af databruddet,
• Navn og kontaktoplysninger på den databrudsansvarlige,
• De sandsynlige konsekvenser, som databruddet vil have, og
• De foranstaltninger, som vi enten allerede har iværksat eller foreslår at iværksætte for at håndtere databruddet og for at begrænse skaderne, i det omfang det er muligt.

Det vigtigste er, at vi overholder fristen for anmeldelse af databrud til Datatilsynet på 72 timer efter, at vi har opdaget databruddet. Det betyder, at vi altid skal anmelde et databrud til Datatilsynet inden udløbet af de 72 timer, uanset at vi ikke nødvendigvis har alle oplysningerne endnu. Hvis det er tilfældet, skal vi i stedet give oplysningerne til Datatilsynet trinvist, så snart det er muligt.

Når vi har foretaget anmeldelsen, skal vi give Datatilsynet besked, i takt med at vi får flere oplysninger om databruddet og dets konsekvenser, så Datatilsynet lettere og hurtigere kan vurdere databruddet og vores håndtering af det.

Sådan anmelder vi

Anmeldelse af databrud sker via et link til Erhvervsstyrelsen, der er her: https://indberet.virk.dk/myndigheder/stat/ERST/Indberetning_af_brud_paa_sikkerhed.

Når vi anmelder et databrud, skal du bruge din digitale signatur til at logge ind. Du skal herefter følge vejledningen på skærmen og udfylde blanketten med de oplysninger, vi har til rådighed.

Når blanketten er udfyldt og indsendt, bliver den sendt til Erhvervsstyrelsen, der sørger for at sende den videre til Datatilsynet. Datatilsynet vil kontakte os direkte, hvis de mener, at det er nødvendigt.

Det er vigtigt, at du downloader en kopi af alle blanketter, der bliver indsendt. Erhvervsstyrelsen sletter indsendte blanketter i sine systemer efter 30 dage, og den downloadede kopi er derfor det eneste bevis på, at vi har foretaget indberetningen.

Underretning af de registrerede

Hvis der opstår et databrud, der vil have en høj risiko for de berørte personers rettigheder og frihedsrettigheder, skal vi både dokumentere databruddet og anmelde det til Datatilsynet, men vi skal også underrette de berørte personer om databruddet.

Det skal vi gøre for blandt andet at give de berørte personer mulighed for at træffe de nødvendige forholdsregler for at kunne beskytte sine oplysninger bedst muligt.

Høj risiko

Vi kan ikke på forhånd lægge fast, hvad en ”høj risiko” er, men jo mere alvorlige konsekvenser et databrud kan have, jo større er risikoen for de berørte personer. Det betyder samtidig, at ved vurderingen af, om en risiko er høj, skal vi tage alle de mulige konsekvenser i betragtning – både de direkte og de indirekte konsekvenser. En indirekte konsekvens er fx, hvis vores databrud har konsekvenser for de berørte personer, der rækker ud over bare deres oplysninger hos os.

Til eksempel kan et databrud, der både har direkte og indirekte konsekvenser opstå, hvis en TV-udbyder bliver hacket, og deres database med cirka 12.000 brugere af online-tjenester bliver stjålet og offentliggjort. De berørte personoplysninger er blandt andet navne, brugernavne og adgangskoder til tjenesten, og selvom konsekvenserne ved databruddet for de berørte personer kan virke harmløse, skal vi alligevel overveje, om de berørte personer skal underrettes i lyset af omfanget og typen af personoplysninger.

Da adgangskoderne til online-tjenesterne er blandt de stjålne oplysninger, skal de fornyes af TV-udbyderen, og det er nødvendigt at informere de berørte personer om årsagen til, at adgangskoderne skal fornyes. Men eftersom mange personer bruger den samme adgangskode til forskellige tjenester, fx til banker, e-mailkonti eller sociale medier, har databruddet sandsynligvis også den indirekte konsekvens, at der er sket et brud på fortroligheden på de berørte personers andre konti.

De berørte personer vil selv kunne minimere de indirekte konsekvenser, som fx at tyvene hacker sig ind i deres e-mailkonti, ved at skifte adgangskoden på alle deres andre konti. TV-udbyderens underretning skal derfor også indeholde oplysninger om de sandsynlige indirekte konsekvenser for andre konti, og underretningen bør derfor omfatte en anbefaling om at bruge forskellige adgangskoder på forskellige websteder og om at forny adgangskoderne til konti, hvor den kompromitterede adgangskode blev anvendt.

Samtidig med at dokumentationsskemaet i bilag 2 bliver udfyldt, og vurderingen af, om vi skal anmelde databruddet til Datatilsynet, foretages, vurderer vi, om databruddet har en høj risiko for de berørte personer. Hvis det er tilfældet, skal de berørte personer underrettes.

Situationer, hvor vi ikke skal underrette

Selvom vi oplever et databrud, som vi vurderer har en høj risiko for de berørte personer, er der situationer, hvor der ikke er krav om, at vi underretter de berørte personer alligevel. Det er vigtigt at huske, at vi til enhver tid skal kunne bevise, at vi kan bruge en af undtagelserne, og vi skal derfor altid skrive i dokumentationsskemaet i bilag 2, hvis vi vælger ikke at underrette, selvom et databrud har en høj risiko.

Vi kan undlade at underrette de berørte personer, hvis:

• vi har gennemført passende tekniske og organisatoriske foranstaltninger, der bliver brugt på de personoplysninger, der er berørt af databruddet, eksempelvis, hvis personoplysningerne er gjort ulæselige eller uforståelige for uvedkommende gennem kryptering. Det er tilfældet med eksemplet ovenfor, hvor en kollega får stjålet sin taske med en USB-nøgle med en række personaleoplysningerne på.

I den situation er det usandsynligt, at tyven får adgang til oplysningerne på grund af krypteringen, og databruddet udgør derfor ikke en risiko for medarbejderne.

• vi efter at have opdaget databruddet har iværksat foranstaltninger, der gør, at den høje risiko for de berørte personer ikke længere er reel. Det kan eksempelvis være tilfældet, hvor en revisors IT-system skal opdateres, og der ved en fejl pludselig er offentlig adgang til følsomme personoplysninger fra internettet uden login eller anden autorisation. Revisoren opdager selv databruddet og skynder sig at afskære adgangen for uautoriserede brugere, så personoplysningerne ikke længere er offentlige. Revisoren undersøger også straks omstændighederne ved databruddet og kan med sikkerhed slå fast, i hvilket tidsrum de følsomme oplysninger har været tilgængelige for andre, og gennem logs dokumentere, at kun autoriserede brugere faktisk har tilgået de følsomme personoplysninger, mens de var offentligt tilgængelige.

I den situation er databruddet afhjulpet uden, at der var nogen konsekvenser for de berørte personer, og det er derfor ikke nødvendigt at underrette dem om databruddet.

• underretningen kræver en uforholdsmæssig stor indsats. Når den undtagelse skal vurderes, skal vi på den ene side kigge på betydningen af underretningen for de registrerede personer, og på den anden side den arbejdsindsats, der kræves, for at vi kan foretage underretningen. Om underretningen er uforholdsmæssig vanskelig eller ligefrem umulig, skal vurderes i hvert enkelt tilfælde. Hvis eksempelvis en salgsvirksomheds kundedatabase er blevet kapret af hackere, der vil have penge for at give den tilbage, kan salgsvirksomhedens vurdering være, at det enten er umuligt eller vil kræve en uforholdsmæssig stor indsats at underrette alle kunderne om databruddet, fordi salgsvirksomheden ikke længere har adgang til kundeoplysningerne.

I den situation kan salgsvirksomheden undlade at foretage individuelle underretninger, men salgsvirksomheden skal i stedet udarbejde en offentlig meddelelse om databruddet eller på tilsvarende vis underrette de berørte personer på en effektiv måde.

• politiet konkret instruerer os i at vente med at underrette de berørte personer, fordi en sådan underretning kan vanskeliggøre politiets efterforskning. Det er kun politiet, der kan bestemme, at denne undtagelse skal bruges, og der er kun tale om, at underretningspligten suspenderes.

Hvis vi vurderer, at en af undtagelserne til underretningspligten kan bruges, er det vigtigt at huske, at vi til enhver tid står til ansvar overfor Datatilsynet, der kan have en anden vurdering end os. Det er derfor også vigtigt, at vi noterer i dokumentationsskemaet i bilag 2, hvis vi bruger en af undtagelserne og hvorfor.

Hvornår skal der underrettes

Hvis vi oplever et databrud, der kræver underretning, og vi ikke kan bruge en af undtagelserne, skal underretningen ske snarest muligt. Underretningen afhænger ikke af tidspunktet for, hvornår databruddet skal anmeldes til Datatilsynet, og det betyder, at underretning af de berørte personer ofte kan ske før udløbet af de 72 timer.

Det er vigtigt at huske på, at formålet med at underrette de berørte personer er, at de berørte personer kan tage de nødvendige forholdsregler og fx skifte sine adgangskoder. Det betyder samtidig også, at der kan være et behov for omgående at underrette de berørte personer, så de hurtigst muligt kan begrænse konsekvenserne, eksempelvis i tilfældet med adgangskoderne, eller hvis der er blevet offentliggjort beskyttede adresser på de berørte personer, der fx risikerer fysisk vold fra en anden person.

Hvem underretter

Lars Valentin er vores databrudsansvarlige og har ansvaret for, at de berørte personer bliver underrettet om databruddet.

Hvilke oplysninger skal meddeles

Når vi underretter om et databrud, er det vigtigt, at vi giver så mange oplysninger som muligt, for at de berørte personer kan tage sine forholdsregler for at beskytte sig selv. Det betyder, at vi som minimum skal give de berørte personer besked om:

– navn og kontaktoplysninger på vores databrudsansvarlige,
– at der er sket et databrud, og hvad det indebærer,
– de sandsynlige direkte og indirekte konsekvenser af databruddet, og
– de foranstaltninger, som vi har iværksat eller vil iværksætte for at håndtere databruddet og for at begrænse skaderne

Hvis vi kan, og hvis det er relevant, skal vi også give de berørte personer specifikke råd om, hvordan de kan beskytte sig mod eventuelle konsekvenser af databruddet, som fx ændring af adgangskoder.

Det er vigtigt, at vi underretter de berørte personer i et klart, tydeligt og forståeligt sprog, og vi skal i den forbindelse tage hensyn til de berørte personers modersmål, sprogkundskab, alder mv., hvis vi kender til det.

Hvordan vi underretter

I det enkelte tilfælde skal vi altid tage stilling til, hvordan det er bedst at underrette om et databrud. Det er vigtigt, at vi altid underretter direkte i fx en e-mail, et brev, en SMS eller lignende, og at vi ikke underretter om et databrud sammen med anden information som fx i nyhedsbreve eller i standardmeddelelser.

En underretning om et databrud skal altid ske i en separat meddelelse, og vi bør altid bruge den metode til underretningen, der giver den største chance for, at underretningen kommer frem til alle de berørte personer, uanset om det betyder, at vi skal bruge flere forskellige kommunikationsformer.

Privatlivspolitik for jobansøgere

Denne privatlivspolitik forklarer, hvordan LKA Enterprise A/S (”vi” eller ”os”) behandler dine personoplysninger, når du ansøger om et job hos os. Politikken omfatter uopfordrede ansøgninger, samt de ansøgninger, som vi modtager på grundlag af et stillingsopslag.

Du opfordres til at gøre sig bekendt med politikken.

Når du ansøger om et job hos os bedes du venligst kunne sende os de oplysninger, der er nødvendige for at vi kan vurdere din ansøgning.

Dataansvarlig

Den juridiske enhed, der er ansvarlig for behandlingen af dine personoplysninger, er:

LKA Entreprise A/S
CVR-nr.: 27 57 00 97
Rødager Alle 127
2610 Rødovre
Telefon: 20 40 08 54

Formålet med behandlingen af personoplysninger

Formålet med behandlingen af dine personoplysninger er, at vi kan visitere din jobansøgning og vurdere, om du er den rette jobansøger til en stilling hos os.

Behandlingens indhold

Når du ansøger om et job hos os, behandler vi de oplysninger, der fremgår af din jobansøgning og øvrige medsendte dokumenter. Din jobansøgning er udelukkende tilgængelig for en betroet medarbejder i vores HR-afdeling, der forestår ansættelsesprocessen, samt for den ansvarlige leder, der ønsker at besætte en stilling.

Kategorier af personoplysninger

Vi behandler følgende kategorier af personoplysninger i forbindelse med vores ansættelsesproces:

Almindelige personoplysninger såsom:

• Kontaktoplysninger, herunder navn, adresse, telefonnummer m.v.
• Alder
• Fødselsdag og fødselssted
• Uddannelsesforhold
• Billede
• Referencer
• Nuværende arbejdssted
• Øvrige oplysninger, der fremgår af ansøgningen

Følsomme personoplysninger:

• Ingen

Fortrolige oplysninger

• personnummer, hvad angår udenlandske medarbejdere

Behandlingsgrundlag

Vi behandler dine personoplysninger på følgende grundlag:

• Samtykke, jf. databeskyttelsesforordningens art. 6, stk. 1, litra a,
• Interesseafvejningsreglen, jf. databeskyttelsesforordningens art. 6, stk. 1, litra f, idet vi har en legitim interesse i at udvælge den rette jobansøger til en stilling samt at kunne vurdere, om vi har en ledig stilling til besættelse, såfremt der er tale om uopfordrede ansøgninger, og
• For at overholde en arbejdsretlige forpligtelse, jf. databeskyttelseslovens § 7, stk. 2, hvad angår indsamling af udenlandske jobansøgeres personnummer.

Kilder

Vi indsamler dine personoplysninger direkte fra dig via ansøgningsprocessen og i forbindelse med en jobsamtale.

Modtagere

Vi deler dine personoplysninger med de IT-leverandører, vi samarbejder med.

Overførsler til lande uden for EU/EØS

Vi deler dine personoplysninger med de IT-leverandører, vi samarbejder med.

Da nogle af dem er placeret uden for EU, vil der ske overførsel af dine personoplysninger til et tredjeland. Det sker på baggrund af EU-Kommissionens standardkontraktbestemmelser. Det er muligt at få en kopi af kontrakten ved at kontakte Lars Valentin på e-mail: lvp@lka-entreprise.dk.

Sletning

Vi opbevarer din jobansøgning i indtil seks måneder efter modtagelsen heraf, uanset at du ikke kommer i betragtning til den stilling, du har ansøgt om hos os.

Dine rettigheder

Du har ret til at anmode om indsigt, berigtigelse af eller sletning af sine personoplysninger.

Du har også ret til at modsætte dig behandlingen af dine personoplysninger og få den begrænset, ligesom du har ret til at modtage de personoplysninger, som du selv har afgivet til os, i et struktureret, almindeligt anvendt og maskinlæsbart format (dataportabilitet).

Endelig har du ret til at tilbagekalde et afgivet samtykke og få slettet dine personoplysninger, før der er gået seks måneder. Ved tilbagekaldelse af samtykket er det dog ikke længere muligt at deltage i ansættelsesprocessen.

Du kan gøre brug af sine rettigheder ved at kontakte Lars Valentin på e-mail: lvp@lka-entreprise.dk.

Bemærk, at der kan være begrænsninger til ovenstående rettigheder, hvorfor det ikke er sikkert, at du har ret til dataportabilitet i det konkrete tilfælde, idet det afhænger af de konkrete omstændigheder i forbindelse med vores behandlingsaktiviteter.

Klagevejledning

Klager over vores behandling af personoplysninger kan indgives til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, på telefon: 33 19 32 00, eller via e-mail: dt@datatilsynet.dk.

Fremsendelse af faktura til LKA Entreprise

Ved fakturering bedes i sende fakturaen i PDF-format til Faktura@lka-entreprise.dk

Tydeligt angivet ordrenummeret i toppen af fakturaen.

Ordrenummeret vil blive oplyst af den ansvarlige projektleder for sagen.

Link til download afvises automatisk, derfor er det vigtigt at denne procedure følges.

Alle fakturaer, herunder aconto-fakturaer, skal sendes til den ansvarlige projektleder senest den 25. i måneden til godkendelse.

Tillægsarbejder / Ekstra arbejde

For at sikre alle involveret parter i byggeriet, skal alle ønsker om ekstra økonomisk kompensation fremsendes skriftlig til LKA Entreprise A/S, og godkendes af en LKA projektleder skriftlig. I den forbindelse vil du modtage et nyt sag nr.

Fremgangsmåden skal sikre et godt samarbejde.

Kontraktarbejder og eventuelle tillægsarbejder skal opgøres og faktureres separat.

Betalingsbetingelser

Vores betalingsbetingelser er løbende måned plus 30 dage, medmindre der er indgået andre aftaler.

Vi ser frem til et godt samarbejde og god forretningspraksis.

Overordnede politikker:

• FN’s verdenserklæring om menneskerettigheder
• ILO´s deklaration om arbejdstagerrettigheder
• Rio deklarationen om miljø og udvikling
• FN’s konvention mod korruption

Egne politikker:

• Code of conduct, Intern
• Code of conduct, Samarbejdspartner
• Arbejdsmiljø-og sikkerhedspolitik
• Leverandørpolitik

Fokus områder

• Implementering af ESG
• Lokalområdet
• Partnerskaber med fokus på bæredygtighed

Privatlivspolitik

Her kan du læse om, hvordan vi håndterer dine personoplysninger hos LKA Entreprise A/S. Alle slags oplysninger og informationer, der på en eller anden måde kan henføres til dig er personoplysninger. De oplysninger, som vi behandler, kan vi have fået fra dig eller fra andre i forbindelse med udførelse af entrepriser, ligesom vi kan have indsamlet dem i forbindelse med, at du har besøgt vores hjemmeside eller ansøgt om et job hos os.

Dataansvarlig

LKA Entreprise A/S er dataansvarlig for de oplysninger, som indsamles om jobansøgere, kunder, samarbejdspartnere og besøgende på vores hjemmeside. Vi sørger for, at behandling af personoplysninger sker i overensstemmelse med den til enhver tid gældende databeskyttelseslovgivning.

Vores kontaktoplysninger er:

LKA Entreprise A/S
CVR-nr.: 27 57 00 97
Rødager Alle 127
2610 Rødovre
Telefon: 20 40 08 54

De forskellige typer af behandling

Udførelse af entrepriser og andre serviceopgaver

Hvis du eller din arbejdsgiver er kunde hos os, vil vi ofte behandle dine personoplysninger for at opfylde en entreprisekontrakt eller for at kunne levere de ønskede services. Som udgangspunkt vil vi udelukkende modtage almindelige personoplysninger i form af navn, e-mail, arbejdsplads, stillingsbetegnelse og telefonnummer, når vi skal udføre entrepriser og levere services til vores kunder.

Vi behandler personoplysningerne som følge af en kontraktretlig forpligtelse, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra b.

Førelse af retssager

Tilsvarende vil vi behandle oplysninger om dig, herunder dit navn, kontaktoplysninger samt øvrige oplysninger, der fremgår af processkrifter, hvis du er modpart i en sag eller lignede. Vi behandler oplysningerne for at kunne fastlægge, forsvare eller gøre et retskrav gældende, jf. databeskyttelsesforordningens artikel 9, stk. 2, litra f.

Job

Hvis du søger et job hos os, indsamler vi dine personoplysninger direkte fra dig eller fra tredjeparter, som du har samtykket til, at vi må kontakte. Det gør vi for, at vi kan vurdere din jobansøgning samt dine kompetencer i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra f. Vi gemmer alle jobansøgninger i en periode på op til seks måneder, så vi kan være sikre på, at vi finder den rette kandidat til stillingen.

Hjemmesiden

Når du besøger vores hjemmeside www.lka-entreprise.dk, indsamler vi data om dig for at kunne lave statistik, optimere hjemmesiden, benytte huskefunktioner og målrette markedsføring. Vi behandler blandt andet følgende oplysninger:

• Din IP-adresse, som anvendes til statistiske formål og remarketing,
• Dit operativsystem og browserversion, som anvendes til optimering af den fremtidige brugeroplevelse på hjemmesiden,
• Dato og klokkeslæt for besøget på hjemmesiden, som udelukkende anvendes til statistiske formål,
• Vi placerer cookies på din enhed, herunder tredjeparts-cookies. Se mere i vores cookiepolitik via følgende link: https://lka-entreprise.ofir.com/cookies,
• Data videregives til tredjeparter som blandt andet Google for at få gennemført statistik eller målrette remarketing.

Vi behandler oplysningerne på grundlag af interesseafvejningsreglen i databeskyttelsesforordningens artikel 6, stk. 1, litra f.

Modtagere

Vi kan videregive eller overlade dine personoplysninger til vores databehandlere samt eksterne leverandører og samarbejdspartnere, som bistår os med driften af vores virksomhed.

Overførsler til lande uden for EU/EØS

Vi deler dine personoplysninger med de IT-leverandører, vi samarbejder med.

Da nogle af dem er placeret uden for EU, vil der ske overførsel af dine personoplysninger til et tredjeland. Det sker på baggrund af EU-Kommissionens standardkontraktbestemmelser. Det er muligt at få en kopi af kontrakten ved at kontakte Lars Valentin på e-mail: lvp@lka-entreprise.dk.

Sletning

Vi opbevarer dine personoplysninger i den periode, som er nødvendig for at opfylde de formål, der er beskrevet i privatlivspolitikken. Vi anvender følgende kriterier ved fastsættelsen af vores opbevaringsperiode: (i) Så længe vi har en løbende kontakt med dig, enten som enkeltperson eller i din egenskab af ansat hos en af vores erhvervskunder, leverandører eller samarbejdspartnere, (ii) som krævet i henhold til retlige forpligtelser, som vi er underlagt, fx forpligtelser med hensyn til skat og regnskab, og (iii) som det er hensigtsmæssigt set i lyset af vores retsstilling, fx gældende forældelsesfrister.

Dine rettigheder

Du har efter databeskyttelsesforordningens kapitel III en række rettigheder i forbindelse med vores behandling af dine personoplysninger. Hvis du ønsker at gøre brug af dine rettigheder, kan du kontakte os via lvp@lka-entreprise.dk.

Du har for det første ret til at få indsigt i de personoplysninger, som vi behandler om dig, ligesom du har ret til at få urigtige personoplysninger om dig selv rettet. Du har endvidere ret til at få slettet oplysninger om dig og få behandlingen af dine personoplysninger begrænset.

Hvis behandlingen er baseret på dit samtykke, har du til enhver tid ret til at tilbagekalde dit samtykke. Din tilbagekaldelse har dog ikke betydning for lovligheden af vores behandling af dine personoplysninger foretaget inden tilbagekaldelsen.

Derudover har du ret til at gøre indsigelse mod vores behandling af dine personoplysninger, og endelig har du ret til at modtage dine personoplysninger i et struktureret, almindeligt anvendt og maskinlæsbart format.

Bemærk, at der kan være betingelser eller begrænsninger til disse rettigheder. Det er fx ikke sikkert, at du har ret til at få slettet oplysninger om dig i det konkrete tilfælde, da det afhænger af omstændighederne i forbindelse med vores behandlingsaktiviteter.

Har du spørgsmål?

Hvis du har nogle spørgsmål, er du til enhver tid velkommen til at kontakte os pålvp@lka-entreprise.dk.

Hvis du ønsker at klage over vores behandling af dine personoplysninger, så kan du klage til Datatilsynet, som du kan finde her: Carl Jacobsens Vej 45, 2500 Valby, tlf.: 33 19 32 00, eller via e-mail: dt@datatilsynet.dk.

Generel persondatapolitik hos LKA Entreprise A/S

Hos LKA Entreprise A/S (”vi”, ”os” eller ”vores”) behandler vi oplysninger om både juridiske og fysiske personer som led i vores daglige arbejde. Når vi behandler personoplysninger, skal vi overholde en lang række regler om, hvordan vi behandler oplysningerne, og hvordan vi passer på dem.

I vores persondatapolitik (herefter ”Politikken”) beskriver vi, hvordan du som medarbejder skal håndtere personoplysninger, samt de regler vi har fastlagt for persondatabehandling generelt.

Det er vigtigt for os at understrege, at vi gerne vil sørge for at behandle alle personoplysninger trygt og sikkert, men du skal også vide, at det kan være forbundet med alvorlige økonomiske og kommercielle konsekvenser for os, hvis vi ikke overholder databeskyttelsesreglerne. Derfor beder vi dig om at læse Politikken grundigt igennem og gøre dit bedste for at følge den i hverdagen, og vi vil også føre tilsyn med, at Politikken faktisk bliver overholdt.

Grundlæggende huskeregler:

• Sørg altid for at makulere papirkopier, der indeholder personoplysninger,
• Tænk over, om det er nødvendigt at printe, gemme på USB-nøgler, sende eller på anden måde dele dokumenter og e-mails med personoplysninger,
• Modtager du en henvendelse om indsigt, sletning eller berigtigelse, så sørg for hurtigst muligt at sende det videre til din kontaktperson,
• Oplever du et databrud, så følg proceduren i afsnit 6, og
• Gem aldrig dokumenter indeholdende personoplysninger i Outlook, på dit lokale drev eller andre steder – følg altid retningslinjerne for, hvordan I opbevarer personoplysninger i din afdeling.

Hvad er personoplysninger

Personoplysninger er alle de oplysninger, der kan bruges til at identificere en bestemt person.

Der findes tre hovedkategorier af personoplysninger:

Almindelige personoplysninger: Som hovedudgangspunkt er det alle de personoplysninger, der ikke er omfattet af begrebet følsomme personoplysninger. Det er eksempelvis navn, adresse, fødselsdato, stillingsbetegnelse, lønnummer, billeder, e-mailadresse, IP-adresse, telefonnummer, osv. Se dog undtagelserne vedrørende fortrolige oplysninger nedenfor.

Fortrolige personoplysninger: Oplysninger af personlig karakter, der ikke er følsomme, men hvor særlige beskyttelsesbehov kan have betydning ved anvendelsen af databeskyttelsesreglerne. Det gælder eksempelvis oplysninger om personnummer og strafbare forhold, mv. Efter omstændighederne kan negativt ladede oplysninger om uddannelsesmæssige forhold, oplysninger om løn, bank og formueforhold samt interne familieforhold ligeledes være fortrolige, eksempelvis oplysninger om en ikke-bestået eksamen, gældsforhold, selvmordsforsøg, mv.

Følsomme personoplysninger: De følsomme personoplysninger er oplysninger, som er oplistet eksplicit i databeskyttelsesforordningens art. 9. De følsomme personoplysninger er oplysninger om race, etnicitet, politisk overbevisning, religiøs og filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data, helbredsoplysninger og oplysninger om seksuelle forhold eller seksuel overbevisning.

Listen over de følsomme personoplysninger er udtømmende, hvilket indebærer, at de oplistede typer af oplysninger er de eneste, der betragtes som følsomme personoplysninger.

Opmærksomheden henledes på, at trods en personoplysning er fortrolig, så bliver den ikke automatisk en følsom personoplysning. Følsomme personoplysninger er altså kun den oplistede gruppe af oplysninger, mens oplysninger om en persons løn, bankkontooplysninger mm. er almindelige eller fortrolige personoplysninger alt afhængig af deres karakter.

Når personoplysningerne er opdelt i tre kategorier, skyldes det, at følsomme oplysninger nyder en særlig beskyttelse. Når du beskæftiger dig med følsomme oplysninger, skal du derfor passe ekstra godt på oplysningerne. Det beskriver vi nærmere nedenfor.

Politikken gælder, hver gang du behandler personoplysninger, uanset om der er tale om almindelige eller følsomme personoplysninger. ”Behandling” kan betyde mange ting, og som hovedregel betyder det alle tænkelige måder at håndtere oplysninger om personer på. Som eksempler kan nævnes modtagelse, indsamling, registrering, systematisering, opbevaring, opdatering, brug, samkøring og sletning af oplysninger, ligesom der sker behandling, når du sender personoplysninger ud af huset. Husk at en behandling af personoplysninger både kan være fysisk og elektronisk. En behandling afsluttes først, når personoplysningerne er anonymiseret eller slettet fuldstændigt både fysisk og digitalt hos os.

Indsamling af persondata

Som led i dit daglige arbejde vil du komme til at behandle personoplysninger, når vi har et grundlag for det. Et grundlag kan være mange forskellige ting, men oftest er det, når vi er forpligtet til at opbevare personoplysningerne på baggrund af love og regler, eller når vi skal opfylde en kontrakt eller på anden måde leve op til en aftale med vores kunder eller medarbejdere. Et grundlag kan også være et samtykke.

Hvis du bliver i tvivl om, hvorvidt det fornødne grundlag for en behandling af personoplysninger er til stede, eller hvis du begynder at arbejde med personoplysninger på en ny måde, skal du altid tage kontakt til den ansvarlige leder i din afdeling.

Opbevaring og brug af personoplysninger

For at sikre at vi lever op til databeskyttelseslovgivningen, er det vigtigt, at du gør dig bekendt med samt overholder til den til enhver tid gældende IT-politik og IT-sikkerhedspolitik hos os. Du kan finde dem her [indsæt link]. I disse politikker kan du læse meget mere om brugen af vores online-løsninger, fildrev, osv.

Derudover skal du sørge for, at alle dokumenter, e-mails, m.v., der indeholder personoplysninger, og som du modtager eller sender som en del af dit arbejde, bliver gemt korrekt i vores it-systemer. Hvis du modtager fysiske dokumenter fra andre, skal disse dokumenter indscannes og gemmes elektronisk, og når du er færdig med dokumenterne, skal du makulere dem ved at smide dem ud i en makuleringsspand.

Vi opfordrer til, at enhver behandling af personoplysninger, så vidt muligt udelukkende foregår elektronisk. Hvis du alligevel har behov for at printe dokumenter, der indeholder personoplysninger, eksempelvis i forbindelse med at du skal ud til et møde, skal du sørge for at passe på dem, og er der følsomme personoplysninger, skal du opbevare dem sikkert. Det betyder, at printede dokumenter med følsomme personoplysninger ikke må ligge frit tilgængeligt på dit skrivebord eller i din vindueskarm, når du ikke er til stede, og at dokumenterne skal pakkes væk i aflåste skabe, når du forlader dit kontor eller din arbejdsstation. Når du ikke længere har behov for at have dokumenterne i print, skal de makuleres. Det er ikke tilstrækkeligt, at du river papiret i stykker og smider det ud i din almindelige skraldespand. Dokumenterne skal altid smides ud i en makuleringsspand.

Du må aldrig gemme personoplysninger på dit lokale drev eller på dit skrivebord. Det er dit ansvar at sørge for, at oplysningerne bliver gemt det rigtige sted, ligesom det er dit ansvar at sørge for, at fysiske breve bliver makuleret, efter de er scannet ind, og at e-mails slettes fra din indbakke, når de er overført til vores systemer. Husk også at slette e-mails fra din slettede post og fra din sendt post, når de er overført til det rigtige sted.

Vigtigst er det, at du ikke må føre dit eget arkiv i din indbakke, hvor du gemmer dokumenter med personoplysninger i undermapper. Gør du det, vil vi ikke kunne leve op til reglerne om indsigt og udlevering, som du kan læse mere om længere nede i politikken. Husk på, at denne regel kun vedrører dokumenter eller e-mails, der indeholder persondata, og således ikke regnskaber, nyhedsbreve, instrukser omkring opgaver, osv.

Hvordan passer jeg på personoplysninger, når jeg arbejder?

Du skal være opmærksom på, at du skal passe godt på alle personoplysninger, ikke kun overfor udenforstående men også overfor dine kollegaer, som ikke arbejder med det samme som dig. Det betyder, at du skal sørge for, at dine kollegaer, som ikke beskæftiger sig med samme arbejde som dig, ikke kigger dig over skulderen og ser med på din skærm, og at du låser din skærm hver gang, du forlader din plads.

Når du tager arbejde med hjem eller arbejder fra toget, på en cafe eller lignende, skal du sikre dig, at uvedkommende personer ikke har mulighed for at kigge med på din skærm.

Hvis du tager arbejde med hjem, skal du også sørge for, at din familie og dine venner ikke kan følge med på din skærm. Derudover skal du sikre dig, at eventuelle printede dokumenter, der indeholder personoplysninger, ikke ligger frit fremme på dit køkkenbord eller på din hjemmearbejdsplads. Er du færdig med at arbejde med printede dokumenter, når du er ude, så skal du altid sørge for at tage dokumenterne med tilbage til kontoret og smide dem ud i en makuleringsspand.

Brug af din mobiltelefon

Du anvender din private mobiltelefon som led i dit arbejde for os, og vi betaler dig derfor et tilskud. I den forbindelse skal du være særligt opmærksom på, at du skal passe godt på alle arbejdsrelaterede oplysninger, du gemmer i din telefon.

Du skal sørge for kun at gemme oplysninger på telefonen som er relevante og nødvendige, dvs. at du skal slette mails og andre modtagne dokumenter, du er færdig med at arbejde med og i stedet gemme dem i vores it-systemer.

Derudover er det vigtigt, at du bruger en kode på din telefon, så andre udefrakommende ikke kan logge sig ind og tilgå vores oplysninger.

Endelig skal du huske på, at du ikke må sende arbejdsrelaterede SMS’er, der indeholder følsomme eller fortrolige personoplysninger, fx et cpr-nummer, en helbredsoplysning, mv., da SMS’er endnu ikke kan undergives en tilstrækkelig sikkerhed.

Registrering af sygdom

Hvis du skal melde dig syg, skal du gøre det i Mobilplan. Det er vigtigt, at du i kommentarfeltet i Mobilplan kun skriver, at du er syg, og ikke hvad du fejler, fx at du har influenza.

Det skyldes, at oplysningen om, at du er syg kun er en almindelig personoplysning, mens oplysningen om, hvad du fejler, er en følsom oplysning, som vi gerne skal undgå at behandle i videst muligt omfang. Hvis du har spørgsmål kontakter du os selvfølgelig bare.

Særligt for HR-medarbejdere

Hvis du beskæftiger dig med HR hos os, er der en række særlige ting, du skal huske på:

• Når du modtager en jobansøgning i en mail eller SMS-beskeden, skal du sørge for at gennemgå oplysningerne, notere de relevante oplysninger ned i vores IT-system og slette mailen eller SMS-beskeden med det samme,
• Du skal sørge for at slette oplysninger om de jobansøgere, der ikke får et job hos jer senest seks måneder efter, du har sendt dem et afslag og
• Du skal slette oplysninger om fratrådte medarbejdere i mobilplan senest efter fem år,

Henvendelser fra de registrerede personer

Når vi behandler oplysninger om personer, så er vi forpligtet til på eget initiativ at give disse en række oplysninger. Du kan læse mere om oplysningspligten over for de registrerede personer i vores interne procedure for underretning.

Alle personer kan derudover anmode om indsigt i, hvilke personoplysninger vi behandler om dem samt om berigtigelse eller sletning af deres personoplysninger. Derudover kan alle personer modsætte sig behandlingen af deres personoplysninger og få behandlingen begrænset, ligesom alle personer har ret til at modtage de personoplysninger, som de selv har afgivet, i et struktureret, almindeligt anvendt og maskinlæsbart format (dataportabilitet).

I det følgende beskrives det, hvordan du skal forholde dig, hvis du modtager sådanne anmodninger.

Indsigt

En begæring om indsigt kan eksempelvis være en e-mail, hvor en person spørger ind til, hvilke oplysninger vi behandler om vedkommende. En indsigtsbegæring kan også være mundtlig, eksempelvis i forbindelse med en telefonsamtale.

Hvis du modtager en begæring om indsigt, skal du altid rette henvendelse til Lars Valentin, som er ansvarlig for indsigtsbegæringer hos os. Så vil den ansvarlige sørge for enten at besvare henvendelsen for dig eller hjælpe dig med at besvare henvendelsen. Det er vigtigt, at du altid tager kontakt til den ansvarlige og ikke forsøger at besvare den selv. Det skyldes, at der er nogle helt særlige formelle regler, som skal iagttages ved besvarelsen.

Berigtigelse

Vi kan også modtage anmodninger om berigtigelse af personoplysninger, og de anmodninger kan på samme måde som en indsigtsbegæring have mange forskellige former. Hvis du modtager en anmodning om berigtigelse, skal du huske på, at det kun er fejlagtige oplysninger, som vi har registreret om personen, der skal rettes. Det vil sige, at en person ikke har ret til at få subjektive udtalelser eller objektivt rigtige oplysninger rettet. Eksempelvis kan en person ikke få rettet oplysninger om, at personen har haft restance med en betaling, hvis det rent faktisk er tilfældet. En person kan dog bede om få suppleret sine oplysninger med yderligere oplysninger, hvis det vil gøre vedkommendes personoplysninger mere fuldstændige eller ajourførte.

Sletning

Hvis en person retter henvendelse til dig og ønsker at få slettet de personoplysninger, som vi har registreret om vedkommende, er vi som udgangspunkt forpligtet til at slette oplysningerne. Det er dog ikke tilfældet, hvis vi efter love eller andre hensyn er forpligtet til at opbevare oplysningerne. Opbevarer vi for eksempel oplysninger om en tidligere kunde eller medarbejder for at opfylde vores forpligtelser i henhold til bogføringsloven, hverken kan eller skal vi slette oplysningerne.

Hvis du er I tvivl om, hvorvidt du skal slette oplysningerne eller ej, kan du altid rette henvendelse til Lars Valentin.

Begrænsning

I visse tilfælde har de registrerede personer ret til at få begrænset behandlingen af deres personoplysninger, således at oplysningerne ikke må underlægges andre behandlinger end opbevaring. Dette gør sig eksempelvis gældende i situationer, hvor en registreret person bestrider rigtigheden af personoplysningerne. I perioden indtil du har haft mulighed for at fastslå, om personoplysningerne er korrekte, skal du begrænse behandlingen af oplysningerne.

Dataportabilitet

Retten til dataportabilitet indebærer, at de registrerede personer har en ret til at modtage egne personoplysninger, som de har givet til dig, i et struktureret, almindeligt anvendt og maskinlæsbart format til personlig brug uden hindring. Dernæst indebærer retten en mulighed for de registrerede personer til at overføre disse personoplysninger fra én dataansvarlig til en anden. Personoplysningerne skal kunne flyttes, kopieres og overføres fra ét IT-miljø til et andet uden hindring, hvis det er teknisk muligt.

Indsigelse

Endelig har de registrerede personer ret til – af grunde, der vedrører en særlig situation for de pågældende – at gøre indsigelse mod en ellers lovlig behandling af personoplysninger. I indsigelsen mod din ellers lovlige behandling kan de registrerede således komme med så tungtvejende grunde til støtte for, at behandlingen ikke bør finde sted, hvorefter du må vurdere nødvendigheden af din behandling på ny og eventuelt stoppe din behandling i forlængelse heraf.

Databrud og datalæk

Hvis der sker et databrud, har vi i visse tilfælde pligt til at foretage nogle foranstaltninger, og derfor har vi brug for din hjælp til at vurdere og underrette os om eventuelle databrud.

Et databrud er, hvis personoplysninger ved et uheld bliver ændret eller tabt, hvis personoplysninger uberettiget bliver videregivet til den forkerte person eller enhed, eller når nogen ganske simpelt stjæler oplysninger fra os. Det vil eksempelvis være et databrud, hvis du ved en fejl kommer til at udlevere personoplysninger til en forkert person, fordi du får sendt en e-mail med personoplysninger til en forkert modtager. Et databrud kan ligeledes opstå i tilfælde af en virus på din computer, eller hvis din computer bliver stjålet fra bagagerummet i din bil. Sker det, skal du sørge for at straks give besked til Lars Valentin, der vil vurdere, om databruddet er af så alvorlig karakter, at du skal underrette den person, hvis oplysninger er blevet lækket, samt Datatilsynet herom. Du kan læse mere om, hvad du skal være særligt opmærksom på i tilfælde af et databrud i vores databeredskabsplan som du kan finde her [indsæt link].

Spørgsmål

Hvis du har nogle spørgsmål til denne politik, kan du altid kontakte Lars Valentin via lvp@lka-entreprise.dk.

IT-sikkerhedspolitik hos LKA Entreprise A/S

Formål

Formålet med denne IT-sikkerhedspolitik er at beskrive it-sikkerhedsniveauet i LKA Entreprise A/S (”vi” eller ”os”), ligesom politikken også har til formål at beskrive de sikkerhedsregler- og krav, som du som medarbejder til enhver tid skal iagttage, når IT-aktiver anvendes.

Vedligehold

IT-sikkerhedspolitikken bliver løbende opdateret og bliver som minimum gennemgået en gang årligt.

Alle medarbejdere skal løbende gøre sig bekendt med IT-sikkerhedspolitikken og er forpligtet til at overholde reglerne fastlagt heri.

Organisation og ansvar

Ledelsen har det overordnede ansvar for etablering og vedligeholdelse af IT-sikkerhedspolitikken, der er tilpasset vores behov og opfylder kravene i lovgivningen.

Ledelsen skal derfor:

• Sikre, at IT-sikkerhedspolitikken implementeres effektivt,
• Sikre, at IT-sikkerhedsniveauet altid er i overensstemmelse med IT-sikkerhedspolitikken, se bilag 1 for en nærmere beskrivelse af IT-sikkerhedsniveauet,
• Føre løbende kontroller af, hvor effektivt IT-sikkerheden er implementeret,
• Sikre den tekniske IT-sikkerhed, dvs. netværkssikkerhed, virusbeskyttelse, driftsstabilitet mv.,
• Sikre den administrative sikkerhed, dvs. brugeradministration, dataklassifikation, systemejerskab mv.,
• Sikre, at medarbejderne har det nødvendige kendskab til it-systemernes funktionsmåde og overholder IT-polikkens fastsatte regler,
• Administrere tildelingen af adgangsrettigheder til vores it-systemer med udgangspunkt i karakteren af personoplysninger, der behandles heri.

Medarbejdere og IT-sikkerhed

Før ansættelse

Medarbejdere og andre brugere bliver før tiltrædelse oprettet som brugere på vores IT-ressourcer. Vi anvender Microsoft Best Practice og lignende løsninger til at sikre en optimal adgangsstyring til alle vores IT-løsninger. Det er ledelsens ansvar at bestemme, hvilke rettigheder den enkelte medarbejder skal tildeles.

Under ansættelse

Bevidst såvel som ubevidst overtrædelse af IT-sikkerhedsbestemmelserne kan medføre, at vores medarbejdere oplever ustabilitet, uregelmæssigheder og uhensigtsmæssigheder i indtastning, anvendelse eller bearbejdning af data i et eller flere IT-systemer. Dette er uacceptabelt.

Det er vores politik, at eventuelle overtrædelser af den gældende IT-sikkerhedspolitik bør håndteres af den nærmeste leder, for eksempel i form af kontakt til de involverede medarbejdere med henblik på en nærmere afdækning af hændelsesforløbet og baggrunden for samt karakteren af overtrædelsen. Ved grovere overtrædelser eller i gentagelsestilfælde kan ledelsen inddrages i sagen. Overtrædelse af IT-sikkerhedspolitikken kan således få ansættelsesretlige konsekvenser.

Når du som medarbejder bruger vores IT-systemer, skal du derfor være særligt opmærksom på følgende:

• Dit brugernavn og din adgangskode til din computer er udstedt til dig personligt. Du må derfor ikke dele din adgangskode med andre, hverken med kollegaer, ledere m.v. Hvis du har mistanke om, at andre er blevet gjort med bekendt med din adgangskode, skal du snarest muligt skifte den.
• Hvis du forlader din computer, skal du altid låse den, så uvedkommende ikke kan få adgang til dine data. Det samme gør sig gældende ved hjemmearbejde.
• Vær opmærksom på, hvem der har adgang til din skærm, når du behandler personoplysninger, ligesom du også skal være opmærksom på, at udskrifter med personoplysninger ikke bør ligge offentligt tilgængeligt.
• Du skal altid slukke din computer, når du går forlader arbejdspladsen. Mange system- og sikkerhedsopdateringer sker natten over, når der er færrest brugere på systemet. Hvis din computer ikke er slukket, vil den således ikke have installeret de seneste system- og sikkerhedsopdateringer, når du påbegynder dit arbejde næste dag.
• Endelig forventer vi, at du reagerer aktivt på eventuelle IT-sikkerhedsmæssige problemer eller fejl, og at du i givet fald videregiver dine observationer til os.

Fratrædelse

Ved en medarbejders fratræden skal den nærmeste leder informere ledelsen herom, så det sikres, at den tidligere medarbejders adgange til vores IT-ressourcer fjernes helt. Ydermere skal den nærmeste leder sørge for at få tilbageleveret alle de IT-ressourcer, som den pågældende medarbejder har haft til rådighed under ansættelsen, eksempelvis en bærbar computer eller en arbejdstelefon.

Styring af IT-aktiver

Generelt

Ledelsen sikrer, at der er kontrol med alle IT-aktiver, fra de registreres, til de kasseres.

Ledelsen står for løbende vedligeholdelse og udskiftning af IT-aktiver. Udskiftning sker alene, hvis et IT-aktiv går i stykker, eller såfremt ledelsen planlægger at udskifte disse.

Det er ikke tilladt at benytte udstyr købt uden ledelsens samtykke på vores IT-netværk, ligesom der heller ikke ydes support af dette udstyr.

Klassifikation af IT-aktiver

Klassifikationen stiller krav til håndteringen og opbevaringen af vores data. Eksempelvis sikres det ved introduktionen af et nyt system og tilhørende hardware, at sikkerheden i systemet er i stand til at beskytte de data, som systemet anvender i overensstemmelse med den risikovurdering af data, som er foretaget.

Oversigt over sikkerhedskravene til behandlingen af personoplysninger:

• Autorisation. Ledelsen skal autorisere alle medarbejderes adgang til data.
• Rettighederne skal gennemgås årligt.
• Adgangsforhold. Systemet skal adgangsbegrænses med et bruger-ID og password.
• Videregivelse af fortrolige og følsomme data over offentlige net skal krypteres.
• Logning af adgang. Mislykkede adgangsforsøg skal logges og gennemgås periodisk.
• Logning af brug. Behandlingen af personoplysninger om enkeltpersoner skal logges og gemmes i et halvt år – ved særlige behov helt op til fem år (dette gælder ikke dokumenter under udarbejdelse). Loggen skal indeholde oplysninger om tidspunktet, brugeren, behandlingen af personoplysninger samt den enkelte person, hvis data behandles.
• Opbevaring af data. Data skal opbevares så det sikres, at kun autoriserede medarbejdere har adgang hertil. Al data skal være omfattet af en backup. Fysiske dokumenter, der indeholder data, skal opbevares i aflåste skabe og makuleres, når de ikke længere skal bruges.

Overtrædelse

Denne IT-sikkerhedspolitik er en integreret del af alle ansættelsesforhold hos os. Det betyder, at en overtrædelse af de ovenstående regler og krav kan medføre ansættelsesretlige konsekvenser i form af en påtale, advarsel og efter omstændigheder opsigelse og bortvisning.

Spørgsmål

Spørgsmål til denne IT-sikkerhedspolitik kan rettes til Lars Valentin via e-mail: lvp@lka-entreprise.dk

• Bilag 1: Beskrivelse af vores it-sikkerhedsniveau

Vi har som virksomhed indarbejdet passende tekniske og organisatoriske foranstaltninger for at beskytte data imod identificerede risici som utilsigtet tab, ulovlig behandling samt uvedkommendes adgang. Beskrivelsen opdateres løbende, hvis der skulle ske ændringer i risikobilledet.

1. Identifikation og vurdering af risici

Vi behandler og opbevarer al data på virksomhedens egne servere, som vi selv er ansvarlige for. [Mobilplan/ Onedrive/ Øconomics/ Bluegarden lønsystem ].

Derudover benytter vi Fx Microsoft 365 til bl.a. at sende e-mails, hvorfor der kan ske overførsel af personoplysninger til lande uden for EU. Du kan se listerne over Microsofts underdatabehandlere på Microsofts hjemmeside, her, her og her. Vi sikrer i den forbindelse, at der er fornødne garantier ved brug af Kommissionens standardkontrakter, som publiceres af Kommissionen, eller ved andre kontrakter godkendt af kompetente myndigheder.

Når vi behandler og opbevarer data på vores servere og giver vores medarbejdere adgang hertil, opstår der en risiko for utilsigtet tab, ulovlig behandling, opbevaring, adgang og offentliggørelse samt at uvedkommende får adgang til dem. Når vi sender e-mails, er der også en risiko for, at uvedkommende får kendskab til de personoplysninger, der sendes og anvender dem på en ulovlig måde.

1. Idenfikation af foranstaltninger

For at imødegå risikoen for utilsigtet tab, ulovlig behandling og at uvedkommende får adgang til personoplysninger i vores IT-systemer, sørger vi for:

• At kun autoriseret personale har adgang til data og udstyr og alene anvender disse til på forhånd aftalte formål,
• Al brug af IT sker via sporbare konti, der kan spores ved navn og som ved brug bliver tilstrækkelig logget,
• At personoplysningerne er sikret bag firewalls, ligesom der til enhver tid opdateres til nyeste antivirusprogrammel,
• At der foretages nødvendig og løbende patching af ovennævnte servere, ligesom vi sørger for at sikre Microsoft good practice, for så vidt angår sikkerhed og adgangsstyring,
• At tage løbende back-up af al data, vi opbevarer, ligesom vi tester den foretagne back-up ved at iværksætte periodiske gendannelser af vores anvendte servere,
• At segmentere netværk, således at eksterne brugere ikke kan få adgang til interne netværk og
• At logge alle forsøg på log-in og benytter to-faktorgenkendelse på så mange systemer som muligt. Derudover overvåger vores IT-systemer kodemønstre og generelle adfærdsmønstre, således at unormal adfærd spores og sikkerhedsbrud undgås. Desuden uddanner vi personale og brugere i vores IT-Politik, så disse til enhver tid er informeret om den rette håndtering af vores IT-udstyr og personlige adgange.

For at imødegå risikoen for at uvedkommende får adgang til personoplysninger og behandler dem på en ulovlig måde, når vi sender e-mails, sørger vi for:

• At anonymisere eller pseudonymisere samt foretage kryptering af data indeholdende fortrolige og følsomme personoplysninger, herunder ved transmission. Vores databehandlere sikrer, at al transmission af personoplysninger via netværk og internettet krypteres i transportlaget, ligesom vores databehandlere vurderer, om der skal ske supplerende end-to-end kryptering fra gang til gang.

Formål:

LKA Entreprise A/S sætter en positiv og bæredygtig samarbejdsrelation med vores kunder i højsædet. Denne Kundefokuspolitik præsenterer vores overordnede tilgang til kunderelationer og de retningslinjer, der styrer vores valg af samarbejdspartnere.

Grundlæggende Principper:

Fælles Værdier:

Vi søger kunder, der deler vores fundamentale værdier og engagerer sig i ansvarlig forretningsadfærd og bæredygtighed.

Langsigtet Partnerskab:

Vi prioriterer langvarige samarbejder og søger kunder, der er villige til at opbygge et bæredygtigt partnerskab baseret på gensidig tillid og respekt.

Kundefremgangsmåde:

Ansvarlig Forretningsadfærd:

Vi udvælger kunder, der udviser ansvarlig forretningsadfærd og overholder etiske standarder og regler.

Bæredygtighed:

Vi foretrækker kunder, der aktivt arbejder mod bæredygtige mål og integrerer miljømæssige, sociale og økonomiske hensyn i deres forretningspraksis.

Innovation og Vækst:

Vi søger kunder, der er åbne for innovation og stræber efter vækst, da dette bidrager til en sund og dynamisk forretningsrelation.

Kommunikation og Kundeforhold:

Tydelig Kommunikation:

Vi kommunikerer åbent med kunder om vores virksomhedens værdier og forventninger for at sikre klarhed og forståelse.

Gensidig Værdi:

Vi stræber efter at etablere relationer, hvor både vi og kunden oplever værdi og gensidig fordel.

Evaluering og Tilpasning:

Regelmæssig Evaluering:

Vi vil løbende evaluere vores kundeportefølje for at sikre, at den forbliver i overensstemmelse med vores virksomhedens mål og værdier.

Tilpasning af Strategi:

Vi forbeholder os retten til at tilpasse vores kundefokus i overensstemmelse med ændringer i vores virksomhedsmæssige strategi og mål.

Ved at implementere denne Kundefokuspolitik sikrer vi, at vores kunder ikke kun er forretningspartnere, men også medspillere i vores bestræbelser på at etablere en ansvarlig og bæredygtig forretningspraksis.

Formål:

Ved LKA Entreprise tror vi på, at bæredygtighed er nøglen til en ansvarlig forsyningskæde. Denne Bæredygtige Leverandørpolitik er udviklet for at skabe en ramme, hvor vores leverandører aktivt deltager i vores vision om at tilbyde bæredygtige løsninger som vores første prioritet og samtidig opretholde de højeste standarder for miljømæssig, social og økonomisk ansvarlighed.

Grundlæggende Principper:

Bæredygtighed som Førsteprioritet:

Vi forpligter os til altid at prioritere og tilbyde bæredygtige løsninger som det første valg i vores forsyningskæde og forretningspraksis.

Miljømæssig Ansvarlighed:

Leverandører opfordres til at integrere miljøvenlige metoder og teknologier for at minimere vores samlede påvirkning på planeten.

Social Rettigheder og Arbejdstagerforhold:

 Leverandører skal aktivt fremme retfærdige arbejdsforhold, respektere menneskerettigheder og støtte sociale initiativer.

Leverandørvalg og Evaluering:

Bæredygtighedskriterier ved Valg af Leverandører:

Vi vælger leverandører baseret på deres evne og engagement i at levere bæredygtige produkter og tjenester.

Leverandørdialog og Samarbejde:

Vi opfordrer til løbende dialog og samarbejde med leverandører for at udvikle og implementere innovative bæredygtige løsninger.

Specifikke Bæredygtighedsforanstaltninger:

Klima- og Miljøinitiativer:

Leverandører skal aktivt deltage i initiativer, der reducerer klimapåvirkningen og fremmer bæredygtige produktionsmetoder.

Social Ansvarlighed:

Forventning om, at leverandører støtter lokale samfund, undgår diskrimination og fremmer diversitet i deres arbejdsstyrke.

Etisk Forretningsadfærd:

Leverandører forventes at følge etiske forretningsprincipper og modarbejde korruption, bestikkelse og unfair forretningspraksis.

Rapportering og Gennemsigtighed:

Bæredygtighedsrapportering:

Leverandører opfordres til at rapportere deres fremskridt inden for bæredygtighed og bidrage til vores fælles mål om øget gennemsigtighed.

Revision og Overvågning:

Vi vil regelmæssigt overvåge og evaluere leverandørernes bæredygtighedsindsats og samarbejde om forbedringer.

Incitamenter og Anerkendelse:

Incitamenter til Bæredygtighed:

Vi vil anerkende og belønne leverandører, der demonstrerer en fremragende indsats inden for bæredygtighed.

Kontinuerlig Forbedring:

Vi opfordrer vores leverandører til kontinuerligt at forbedre deres bæredygtighedspræstationer for at skabe en mere bæredygtig fremtid.

Ved at omfavne denne Bæredygtige Leverandørpolitik forpligter vores leverandører sig til at levere bæredygtige løsninger som standard og bidrage til vores kollektive mål om at forme en mere bæredygtig og ansvarlig forsyningskæde.