Underleverandører og mottakere

Hvorfor vi publiserer denne siden

Få inkassoselskaper publiserer hele listen over underleverandører og mottakere. Vi gjør det av tre grunner:

• Vi er behandlingsansvarlig for personopplysninger om skyldnere i fremmedinkasso. Vi svarer for hele kjeden i eget navn og kan ikke sende deg videre til fordringshaveren.
• Fordringshaveren, vår kunde, har krav på å vite hvem vi bruker. Det følger av avtalen om deling mellom to behandlingsansvarlige og av alminnelig avtalemessig åpenhet. Personvernforordningen artikkel 28 gjelder bare en eventuell reell behandlertjeneste for fordringshaveren før mislighold.
• Du som skyldner har krav på å vite hvem som mottar opplysninger om deg, etter artikkel 14.

Finanstilsynet fører tilsyn med inkassovirksomheten, IKT-virksomheten og bruken av kontraktsmedhjelpere. Datatilsynet fører tilsyn med personvernet. Inkassobevilling fra Finanstilsynet, nr. bevillingsnummer.

Tre kategorier, og hvorfor skillet betyr noe

(a) Underleverandører. Virksomheter som behandler personopplysninger på vår instruks, etter skriftlig avtale som oppfyller personvernforordningen artikkel 28 nr. 3. Vi bestemmer formål og vesentlige midler.

(b) Selvstendig behandlingsansvarlige og mottakere. Virksomheter og myndigheter som bestemmer egne formål og midler, eller mottar opplysninger fordi lov eller prosessregler krever det. Vi har ikke, og kan ikke ha, databehandleravtale med disse. Betalingsleverandører, banker, BankID og kredittopplysningsforetak hører hit, med egne plikter etter finansregelverket, hvitvaskingsregelverket, kortnettverksreglene og kredittopplysningsloven.

(c) Kilder vi mottar opplysninger fra. Fordringshaverens regnskaps- og faktureringssystemer sender krav inn til oss, med fordringshaverens egen tilgang. De er fordringshaverens databehandlere, ikke våre. Retningen på dataflyten avgjør.

(a) Underleverandører

(a.1) Underleverandører som behandler opplysninger om skyldnere eller om kontaktpersoner hos fordringshaver

Overføringsgrunnlag: der en beslutning om tilstrekkelig beskyttelsesnivå dekker overføringen, er den grunnlaget. Standard personvernbestemmelser (SCC) er en reserveløsning dersom beslutningen kjennes ugyldig, suspenderes, endres, eller importøren ikke lenger er dekket (forordningen artikkel 46 nr. 1). Beslutningen om EU–USA-rammeverket for personvern er innlemmet i EØS-avtalen ved EØS-komiteens beslutning nr. 169/2024, vedlegg XI punkt 5ex, i kraft 6. juli 2024. Standardbestemmelsene er innlemmet ved beslutning nr. 336/2022, vedlegg XI punkt 5ev, i kraft 10. desember 2022. Standardbestemmelsene er skrevet for EU-stater; Norge er en EØS/EFTA-stat, så vi navngir Datatilsynet i vedlegg I.C ved signering.

(a.2) Underleverandører i interne systemer – ingen personopplysninger om skyldnere

Ingen personopplysninger om skyldnere skal inn i disse systemene. En avvisningsliste i loggingen håndhever det. Systemene er ledd i vår IKT-virksomhet.

(b) Selvstendig behandlingsansvarlige og mottakere

Ingen av disse har databehandleravtale med oss.

Betaling, bank og identitet

Kredittopplysninger

Bislab AS – selvstendig behandlingsansvarlig, og du får brev fra dem hver gang

Bislab AS er et norsk kredittopplysningsforetak, oppført i Datatilsynets register over virksomheter som kredittvurderer privatpersoner og virksomheter, og selvstendig behandlingsansvarlig.

Når vi kredittvurderer deg, sender Bislab selv et gjenpartsbrev til deg med det som ble utlevert til oss, og vi er navngitt. Fikk vi bare en kredittscore, skal brevet også inneholde personopplysningene bak scoren. Det følger av norsk lov og kan ikke slås av.

Vi innhenter kredittopplysninger bare ved saklig behov, vurdert og loggført for hver forespørsel mot en lukket liste over tillatte grunner. En kredittforespørsel krever et menneske; automatisk beslutningsstøtte skal ikke utløse en. Den tekniske sperren er under arbeid.

Grunnlaget er berettiget interesse etter artikkel 6 nr. 1 bokstav f, med skriftlig interesseavveining du kan be om å se. Protesterer du, stanser vi innhentingen. Den er ikke nødvendig for å fastsette eller inndrive kravet.

Vi har ikke funnet offentlig personverndokumentasjon fra Bislab og har bedt om den skriftlig.

Offentlige registre, nemnd og tvangsfullbyrdelse

Finanstilsynet, Datatilsynet, Nkom, Skatteetaten i sin kontrollfunksjon og Økokrim kan få personopplysninger fra oss når loven gir dem rett til det i en konkret sak. De er ikke «mottakere» etter personvernforordningen artikkel 4 nr. 9.

(c) Kilder vi mottar opplysninger fra

Fordringshaveren gir oss tilgang til krav og opplysninger i disse systemene. De er fordringshaverens databehandlere, ikke våre.

Tripletex AS (org.nr. 914 286 018) · Fiken AS · Visma · PowerOffice AS · Billogram AB (org.nr. 556801-7155) · Audun Claims API, vår egen mottaksflate.

Vi mottar også opplysninger fra deg, fra fordringshaveren, fra den opprinnelige fordringshaveren hvis kravet er overdratt, og fra registrene i punkt (b).

Vi avviser fødselsnummer fra fordringshaveren. Mottaksflaten gir feilmelding og lagrer ikke nummeret.

Det vi bevisst ikke setter ut

1. Virusskanning av dokumenter er bygd for vår egen infrastruktur i regionen, ikke i en skytjeneste. Slått på i produksjon: clamav prod status.
2. Kortopplysninger kommer aldri inn i våre systemer.
3. Fødselsnummer fra fordringshaver avvises i mottaket.
4. Ingen analyseverktøy, sesjonsopptak eller markedsføringssporing på Min side, bare det strengt nødvendige.

Det vi ikke gjør

1. Vi utfører ikke sanksjonsscreening. sanctions screening status. Funksjonen finnes ikke.
2. Vi har ingen kjent løsning for å registrere betalingsanmerkninger. credit bureau relationship. Ingen kredittopplysningsforetak er oppført som mottaker av rapportering fra oss.
3. Vi bruker ikke automatiserte eller AI-genererte taleanrop i produksjon. En taletjenesteleverandør er satt opp i et testmiljø i USA, uten opplysninger om skyldnere. Den er ikke en mottaker og står derfor ikke i listen; hele kjeden må dokumenteres før eventuell bruk.
4. Vi har ingen ISO 27001-sertifisering, ingen SOC 2-rapport og ingen personvernsertifisering. Sertifiseringene i tabellene er leverandørenes.

Endringer i listen over underleverandører

Vi varsler fordringshavere subproc notice days dager før en ny underleverandør begynner å behandle personopplysninger – på e-post til oppgitt kontaktperson, her og i den maskinlesbare utgaven. Abonner ved å skrive til personvernombudets e-postadresse.

Fordringshaveren kan protestere innen subproc objection days dager på saklig personvernmessig grunnlag, skriftlig til personvernombudets e-postadresse eller Møllergata 6, 0179 Oslo. Vi foreslår da en annen leverandør eller flere sikkerhetstiltak. Er ingen av delene forretningsmessig gjennomførbare, kan fordringshaveren avslutte den berørte tjenesten mot forholdsmessig tilbakebetaling av forhåndsbetalt vederlag.

Bytte i en nødssituasjon. Må en leverandør erstattes raskt av sikkerhets- eller kontinuitetshensyn, varsler vi så snart det er praktisk mulig etterpå – men aldri for oppgaver med bevillingskrav. Når den nye inkassoloven trer i kraft, kan slike oppgaver bare settes ut til kontraktsmedhjelpere med egen bevilling, og de kan ikke motta eller besitte klientmidler.

Versjonshistorikk

Kontakt

Personvernombud personvernombudets navn · personvernombudets e-postadresse · Møllergata 6, 0179 Oslo. Du kan også klage til Datatilsynet.

Personvernerklæringene for skyldnere og fordringshavere henviser til denne siden.