Personuppgiftsansvar inom Stammis

Stammis är en gemensam kundklubb från ICA Sverige (i samverkan med ICA-butikerna), Apotek Hjärtat, ICA Banken och ICA Försäkring (”ICA-bolagen”, ”vi” eller ”oss”).

När två eller flera personuppgiftsansvariga gemensamt fastställer hur och varför personuppgifter behandlas är de gemensamt personuppgiftsansvariga enligt dataskyddsförordningen (GDPR). Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar genom ett så kallat inbördes arrangemang.

På den här sidan sammanfattar vi det väsentliga innehållet i vårt inbördes arrangemang: när ansvaret är gemensamt, hur arbetet har fördelats och vilka rättigheter du har. 

Vi förklarar även i vilka situationer ansvaret inte är gemensamt mellan ICA-bolagen.

ICA-bolagen ansvarar gemensamt inom Stammis

ICA Sverige, Apotek Hjärtat, ICA Banken och ICA Försäkring bestämmer gemensamt ändamålen och de väsentliga medlen för behandlingen av personuppgifter inom Stammis, det vill säga varför och på vilket övergripande sätt uppgifterna ska användas.

Det gemensamma ansvaret omfattar majoriteten av behandlingar för alla de ändamål som beskrivs i vår information om hur och varför vi använder dina personuppgifter inom Stammis. Undantag gäller för vissa behandlingar där ett ICA-bolag kan vara självständigt personuppgiftsansvarig. I så fall anges det särskilt i den informationen.

Det gemensamma personuppgiftsansvaret inkluderar bland annat behandling för att:

• hantera ditt medlemskap,
• hantera bonus,
• anpassa erbjudanden, rekommendationer och innehåll,
• rikta och anpassa annonser för dig på sociala medier och andra webbplatser,
• genomföra event och tävlingar,
• förstå mönster och trender i våra kundgrupper,
• utvärdera och förbättra funktioner, produkter och tjänster, och
• hantera förändringar, rättsliga skyldigheter, IT-system och säkerhet inom Stammis.

Om ett ICA-bolag vill införa en ny gemensam behandling eller göra en väsentlig förändring av hur personuppgifter används inom Stammis ska det hanteras gemensamt av ICA-bolagen.

Att ansvaret är gemensamt innebär inte att alla ICA-bolag har tillgång till alla personuppgifter om dig. Vilket bolag som praktiskt behandlar och kan se en viss uppgift beror på ändamålet, bolagets uppgift inom Stammis, dina val och samtycken samt tillämpliga regler om sekretess och/eller tystnadsplikt.

Så har ICA-bolagen fördelat arbetet

Även om ansvaret är gemensamt utför inte alla ICA-bolag varje behandling. Parterna har därför fördelat det praktiska arbetet mellan sig.

ICA-bolagen beslutar tillsammans om Stammis gemensamma ändamål, väsentliga medel och större förändringar av behandlingarna. Varje bolag ansvarar fortfarande för att kunna visa att GDPR och andra lagar kring dataskydd följs.

ICA Sverige är centralt samordnande och administrerar vissa delar av kundklubben för alla ICA-bolags räkning. Det gäller till exempel tillhandahållandet av centrala IT-plattformar för analys, incidenthantering, lösningar för hantering av dina rättigheter enligt GDPR, huvudsaklig kundservicefunktion för Stammis, samt publiceringen av information om hur dina personuppgifter behandlas.

Den interna ansvarsfördelningen begränsar inte respektive ICA-bolags ansvar gentemot dig eller Integritetsskyddsmyndigheten (IMY).

Din ICA-butik är ibland gemensamt ansvarig med ICA-bolagen

Stammis är en kundklubb som erbjuds i samverkan med ICA-butikerna. När du handlar i en ICA-butik och identifierar dig som stammis (genom till exempel ditt betalkort eller din legitimation) tar butiken emot dina personuppgifter. Förutom att de används av butiken för att köpet ska kunna genomföras, används de också av ICA-bolagen i Stammis. På så sätt kan du samla stammispoäng och få personliga erbjudanden baserat på vad du handlar på ICA.

Den ICA-butik du handlar i är själv ansvarig för hur den använder dina personuppgifter för att exempelvis hantera dina köp eller hantera säkerhet i butiken. Du kan läsa mer om när din ICA-butik är separat personuppgiftsansvarig på en av länkarna under rubriken ”Behandling utanför Stammis” här nedanför. 

I vissa fall är dock din ICA-butik gemensamt ansvarig för personuppgiftsbehandling inom ramen för Stammis. Detta gäller främst när köpinformation samlas in för vidare användning inom Stammis, samt när din ICA-butik riktar erbjudanden och annonsering till målgrupper som tagits fram inom ramen för Stammis. I punktlistan nedan finns mer detaljerad information om när din ICA-butik är gemensamt personuppgiftsansvarig med ICA-bolagen.

ICA-butiken är gemensamt ansvarig med oss när den:

• samlar in och delar din köpinformation för att den ska kunna användas för bonus inom Stammis,
• samlar in och delar din köpinformation för att anpassa erbjudanden, rekommendationer och innehåll,
• samlar in och delar din köpinformation för riktade och anpassade annonser,
• väljer vilka målgrupper inom Stammis som butiken vill kommunicera erbjudanden till, eller
• väljer målgrupper för annonser och deltar i den behandling där uppgifter lämnas till en extern plattform för att butikens annons ska kunna riktas.

När en butik väljer en målgrupp får den inte en lista över vilka personer som ingår i målgruppen. Urvalet och den övriga behandlingen sker centralt hos ICA.

Butikens gemensamma ansvar är begränsat till de behandlingar där just den butiken deltar. Två eller flera ICA-butiker kan aldrig vara gemensamt ansvariga tillsammans inom Stammis, och delar inte heller dina personuppgifter mellan varandra. En ICA-butik som hjälper dig med dina frågor kan bara se köp som du gjort i just den butiken.

För behandling som inte omfattas av situationerna ovan kan ICA-butiken vara:

• självständigt personuppgiftsansvarig, exempelvis för att hantera ett köp, eller
• personuppgiftsbiträde åt ICA Sverige, om butiken endast behandlar uppgifter enligt ICA Sveriges instruktioner.

ICA-bolagen, huvudsakligen ICA Sverige AB, är också i många fall personuppgiftsbiträde till ICA-butiken. Detta gäller exempelvis när ICA Sverige AB tillhandahåller IT-lösningar till ICA-butiken.

Gemensamt ansvar betyder inte att alla uppgifter delas

ICA-bolagen använder bara de uppgifter som behövs för de gemensamma Stammisändamålen. Sekretessregler och dina samtyckesval kan begränsa vilka uppgifter som får användas och vilka bolag som får del av dem.