Innledende bestemmelser og virkeområde

Denne Personvernregler beskriver hvordan Bizzo Casino behandler personopplysninger i tilknytning til nettstedet bizzo-casin.com og tilhørende tjenester. Dokumentet gjelder for behandling som omfattes av personvernforordningen (GDPR) og personopplysningsloven i Norge, samt relevante krav til konfidensialitet og informasjonssikkerhet. Retningslinjene omfatter både registrerte som oppretter konto, og personer som på annen måte kommuniserer med virksomheten, herunder via kundestøtte. Behandlingen skal være lovlig, rettferdig og gjennomsiktig, og den skal være begrenset til formål som er uttrykkelig angitt. Bizzo Casino legger til grunn prinsippene om dataminimering, riktighet, lagringsbegrensning og integritet og konfidensialitet ved all behandling.

Behandlingsansvar, roller og regulatorisk ramme

Behandlingsansvarlig er den enheten som bestemmer formålet med og midlene for behandlingen av personopplysninger knyttet til tjenesten. Forholdet til databehandlere reguleres gjennom skriftlige avtaler som angir instruks, sikkerhetskrav, underleverandører og kontrollmekanismer. Der det er aktuelt, kan felles behandlingsansvar forekomme, og ansvarsfordelingen skal da være dokumentert og gjort tilgjengelig i samsvar med GDPR artikkel 26. Behandlingen utføres innenfor rammene av krav til ansvarlighet, herunder dokumentasjon av vurderinger og rutiner. Når casino Bizzo benytter eksterne leverandører for drift, verifikasjon eller støttefunksjoner, skjer dette under forutsetning av at leverandørene oppfyller relevante personvern- og sikkerhetsstandarder.

Kategorier av personopplysninger som behandles

Personopplysninger kan omfatte identitetsopplysninger som navn, fødselsdato og bostedsland, samt kontaktopplysninger som e postadresse og telefonnummer. Kontodata kan omfatte brukernavn, kontostatus, innloggingshistorikk og preferanser, samt informasjon om samtykker og reservasjoner. Finansielle og transaksjonsrelaterte opplysninger kan omfatte betalingsreferanser, innskudds og uttakshistorikk og tekniske data for å gjennomføre betalingsprosesser, uten at fullstendige kortdata lagres der dette håndteres av sertifiserte betalingsformidlere. Tekniske opplysninger kan omfatte IP adresse, enhetsidentifikatorer, nettlesertype, språkinnstillinger og sikkerhetslogger. For casino Bizzo kan det også behandles verifikasjonsopplysninger i forbindelse med kundekontroll, herunder dokumentasjonsdata, resultater av kontroller og tilknyttede risikovurderinger.

Innsamlingsmåter og kilder

Personopplysninger innhentes gjennom registreringsprosessen, ved oppdatering av kontoopplysninger og ved kommunikasjon med kundestøtte. Personvernregler omfatter også opplysninger som genereres gjennom bruk av tjenesten, herunder hendelseslogger og transaksjonsdata som er nødvendige for å levere og sikre tjenesten. Opplysninger kan innhentes fra betrodde tredjeparter når dette er nødvendig for identitetsverifikasjon, betalingsbekreftelse, svindelforebygging eller overholdelse av rettslige forpliktelser. Operasjonelt kan innsamling også skje gjennom informasjonskapsler og tilsvarende teknologier, der omfanget avhenger av brukerens innstillinger og samtykker. Når casino Bizzo mottar opplysninger indirekte, skal det så langt mulig gis informasjon om kilde og kategorier i tråd med GDPR artikkel 14.

Formål med behandling av personopplysninger

Behandlingen skjer for å etablere og administrere kundeforhold, herunder opprettelse av konto, tilgangskontroll og kundeservice. Den brukes videre for å gjennomføre innskudd og uttak, håndtere avregning, og sikre sporbarhet ved eventuelle tvister. Opplysninger behandles også for å forebygge misbruk, oppdage svindel, styrke systemstabilitet og dokumentere hendelser i sikkerhetslogger. For casino Bizzo kan behandling være nødvendig for å gjennomføre kontroller knyttet til ansvarlig drift, etterlevelse av interne retningslinjer og oppfyllelse av relevante regulatoriske krav. Analyse av tjenestekvalitet kan utføres på et aggregert nivå for å identifisere tekniske feil og forbedringsbehov, og det etterstrebes at slike analyser gjennomføres med minst mulig identifiserbarhet.

Rettslig grunnlag for behandlingen

Personvernregler bygger på at all behandling skal ha et rettslig grunnlag etter GDPR artikkel 6, og der særlige kategorier opplysninger behandles, også artikkel 9 der dette er aktuelt. Avtale er grunnlag når behandling er nødvendig for å levere tjenestene, herunder kontoetablering, autentisering og transaksjonsgjennomføring. Rettslig forpliktelse kan være grunnlag når opplysninger må behandles for å etterleve krav til bokføring, sikkerhet eller myndighetskrav, og dokumentasjon skal da lagres i tråd med gjeldende regler. Berettiget interesse kan være grunnlag for driftssikkerhet, forebygging av misbruk og forbedring av tjenesten, forutsatt at interessen ikke overstiger den registrertes rettigheter og friheter. Samtykke kan benyttes for spesifikke behandlingsaktiviteter, særlig knyttet til visse typer informasjonskapsler, og samtykke skal være frivillig, informert, spesifikt og like lett å trekke tilbake som å gi.

Lagringstid og sletting

Som utgangspunkt lagres personopplysninger ikke lenger enn nødvendig for formålene de ble samlet inn for, og lagringstid vurderes etter datakategori og risikokontekst. Kontoopplysninger lagres normalt så lenge kundeforholdet består, og deretter i en begrenset periode for å håndtere etterfølgende krav, tvister eller sikkerhetsundersøkelser. Transaksjonsdata og tilhørende dokumentasjon kan oppbevares i 5 år når dette kreves etter bokføringsrelaterte forpliktelser, eller i en annen periode dersom særskilte regler tilsier det. Sikkerhetslogger kan oppbevares i 180 dager for å muliggjøre hendelsesanalyse og etterprøvbarhet, med forlengelse dersom en konkret sikkerhetshendelse krever videre bevaring. For casino Bizzo kan verifikasjonsdokumentasjon oppbevares i 12 måneder etter avsluttet kontroll når dette er nødvendig for å dokumentere etterlevelse, med tidligere sletting dersom lovgrunnlag ikke lenger foreligger.

Deling, utlevering og mottakere

Personopplysninger kan deles med databehandlere som leverer driftstjenester, betalingsformidling, verifikasjon eller kundestøttesystemer, under forutsetning av kontraktsfestede krav til konfidensialitet og sikkerhet. Utlevering kan skje til offentlige myndigheter når dette følger av rettslig forpliktelse eller gyldig pålegg, og omfanget skal begrenses til det som er nødvendig. I tilfeller av omorganisering, overdragelse eller tilsvarende transaksjoner kan opplysninger overføres som ledd i en juridisk prosess, forutsatt passende garantier og informasjon i tråd med regelverket. Personvernregler innebærer at interne tilgangsrettigheter styres etter behovsprinsippet, og at kun autoriserte personer får tilgang til relevante datasett. For casino Bizzo kan deling også omfatte samarbeidspartnere som bistår med antifraud kontroll, forutsatt at behandlingen skjer innenfor fastsatte formål og med dokumenterte tiltak.

Overføring til tredjeland og nødvendige garantier

Regulatorisk sett er overføring av personopplysninger utenfor EØS kun tillatt når overføringen har et gyldig overføringsgrunnlag og de registrertes rettigheter er ivaretatt. Dersom leverandører eller systemer innebærer behandling i tredjeland, vurderes om landet er omfattet av en adekvansbeslutning, eller om standard personvernbestemmelser benyttes som overføringsmekanisme. Ved bruk av standardklausuler gjennomføres det en vurdering av om tilleggstiltak er påkrevd, herunder tekniske, organisatoriske og kontraktsmessige kontroller. Overføringer begrenses til de opplysninger som er nødvendige for drift og support, og det tilstrebes pseudonymisering der det er praktisk mulig. For casino Bizzo skal eventuelle tredjelandsoverføringer dokumenteres slik at ansvarlighetskravet etter GDPR artikkel 5 nr. 2 ivaretas.

Informasjonskapsler og sporingsmekanismer

Informasjonskapsler og tilsvarende teknologier kan brukes for å levere grunnleggende funksjonalitet, opprettholde innlogging, bekjempe misbruk og sikre stabil drift. Personvernregler forutsetter at ikke nødvendige informasjonskapsler kun benyttes når gyldig samtykke foreligger, og at det gis tydelig informasjon om formål og varighet. Nødvendige informasjonskapsler kan settes for å opprettholde sikkerhetsfunksjoner og sessionstyring, og de deaktiveres normalt når økten avsluttes eller innen 24 timer. Analytiske mekanismer kan benyttes i begrenset omfang for å forstå feiltilstander og ytelsesproblemer, og slik behandling søkes gjennomført med lavest mulig identifiserbarhet. Begrepet Privacy policy kan forekomme i tekniske grensesnitt eller leverandørdokumentasjon, men denne teksten skal være styrende for behandlingen på bizzo-casin.com.

Informasjonssikkerhet og risikoreduserende tiltak

Operasjonelt etableres det tekniske og organisatoriske tiltak for å sikre konfidensialitet, integritet og tilgjengelighet, basert på risikovurderinger og dokumentert sikkerhetsstyring. Tiltak kan omfatte kryptering under overføring, tilgangsstyring, logging, segmentering av systemer og rutiner for sårbarhetshåndtering. Tilgang gis etter rolle og behov, og administrative tilganger underlegges økt kontroll, herunder flerfaktorautentisering der dette er tilgjengelig. Bizzo Casino har som mål at minst 95 % av relevante sikkerhetshendelser skal registreres i sentrale logger for å muliggjøre revisjon og etterkontroll, samtidig som unødvendige personopplysninger unngås. Ved brudd på personopplysningssikkerheten håndteres avvik etter etablerte prosedyrer, herunder vurdering av varslingsplikt til Datatilsynet innen 72 timer og eventuelt varsling til berørte registrerte når risikoen tilsier dette.

Den registrertes rettigheter etter Personvernregler

Rettighetsbasert sett har den registrerte rett til innsyn, retting, sletting, begrensning av behandling og dataportabilitet, innenfor rammene av GDPR og nasjonale unntak. Den registrerte har også rett til å protestere mot behandling som bygger på berettiget interesse, og rett til å motsette seg direkte markedsføring dersom slik behandling skulle forekomme. Personvernregler innebærer at forespørsler skal vurderes konkret, og at identitet kan kreves verifisert før utlevering for å hindre uautorisert tilgang. Dersom en forespørsel avslås helt eller delvis, skal det gis en begrunnet tilbakemelding med informasjon om klageadgang. For casino Bizzo skal rettighetsutøvelse tilrettelegges på en måte som ivaretar både den registrertes rettigheter og plikten til å beskytte andre personers opplysninger.

Innsyn og dataportabilitet

Innsyn omfatter bekreftelse på om personopplysninger behandles, samt tilgang til relevante opplysninger om formål, kategorier, mottakere og lagringstid. Dataportabilitet gjelder opplysninger som den registrerte selv har gitt, og som behandles automatisert på grunnlag av samtykke eller avtale, i et strukturert, alminnelig brukt og maskinlesbart format. Utlevering skal skje på en sikker måte, og det kan gjennomføres rimelige sikkerhetstiltak for å redusere risiko for feilutlevering. Behandlingsansvarlig kan be om presiseringer for å avgrense svært omfattende innsynskrav, forutsatt at dette ikke undergraver retten til innsyn.

Retting, sletting og begrensning

Retting skal gjennomføres når opplysninger er uriktige eller ufullstendige, og endringer kan dokumenteres for sporbarhet. Sletting kan gjennomføres når vilkårene er oppfylt, men kan begrenses dersom fortsatt lagring er nødvendig for rettslig forpliktelse, rettskrav eller andre legitime unntak. Begrensning av behandling kan være aktuelt mens riktighet vurderes, eller når behandlingens lovlighet bestrides, og det innebærer at opplysningene som hovedregel kun kan lagres. Når sletting eller begrensning er teknisk krevende på grunn av sikkerhetskopier, kan gjennomføring skje etter en kontrollert syklus, normalt innen 30 dager, med sikring av at opplysningene ikke tas i aktiv bruk i mellomtiden.

Kontakt, henvendelser og prosedyre for datapålegg

Ved henvendelser om personvern, sikkerhet eller rettighetsutøvelse kan Bizzo Casino kontaktes via tilgjengelige kontaktpunkter på bizzo-casin.com, og forespørsler skal journalføres for å sikre sporbarhet. Personvernregler legger til grunn at svar normalt gis uten ugrunnet opphold og senest innen 30 dager, med mulighet for forlengelse i inntil 60 dager ved særlig kompleksitet, i samsvar med GDPR. Det kan kreves ytterligere informasjon for å bekrefte identitet, og slik verifikasjon skal være forholdsmessig og begrenset til formålet. Dersom en registrert mener behandlingen er i strid med regelverket, foreligger det rett til å klage til Datatilsynet i Norge, samt rett til effektivt rettsmiddel etter gjeldende regler. For casino Bizzo kan krav om dokumentasjon eller spesifikasjon av transaksjoner behandles som del av en kontrollert prosess for å hindre utlevering av tredjepartsopplysninger.

Endringer, oppdateringer og etterlevelsesforpliktelse

Denne Personvernregler kan endres når det er nødvendig som følge av endrede rettslige krav, teknologiske endringer, endringer i behandlingsaktiviteter eller forbedrede sikkerhetsrutiner. Endringer skal publiseres på bizzo-casin.com/privacy-policy med oppdatert ikrafttredelsesdato, og vesentlige endringer skal kommuniseres på egnet måte før de trer i kraft, når dette er påkrevd. Ved vurdering av endringer skal Bizzo Casino sikre at prinsippene om formålsbegrensning og dataminimering fortsatt etterleves, og at ny behandling ikke etableres uten gyldig rettslig grunnlag. Dersom endringen innebærer en ny type behandling som krever samtykke, skal slikt samtykke innhentes på forhånd og kunne trekkes tilbake uten negative konsekvenser for behandling som allerede er lovlig gjennomført. For casino Bizzo skal dokumentasjon av endringer inngå i interne styringssystemer, herunder revisjonsspor og vurderinger av risiko, og relevante leverandøravtaler skal oppdateres ved behov. Bizzo Casino bekrefter en løpende forpliktelse til etterlevelse av GDPR og norsk personvernlovgivning, inkludert krav til ansvarlighet, innebygd personvern og personvern som standardinnstilling, og det skal gjennomføres periodiske kontroller minst 1 gang per år for å verifisere at praksis samsvarer med denne Personvernregler.