Dataskyddspolicy för Kortmedlemmar

Vi använder dina Personuppgifter antingen enskilt eller tillsammans med annan information. Vi behöver en "rättslig grund" enligt dataskyddslagarna för att behandla dina Personuppgifter, vilka är följande: (i) när det är nödvändigt för att fullgöra ett avtal med dig eller för att vidta åtgärder på din begäran innan vi ingår ett avtal med dig; (ii) när det är nödvändigt för våra berättigade intressen, t.ex. för att förhindra bedrägerier och/eller förbättra våra produkter eller tjänster; (iii) när vi har fått ditt samtycke, t.ex. för marknadsföringsändamål när du väljer att ta emot marknadsföring från oss; eller (iv) för att uppfylla rättsliga förpliktelser och vi är skyldiga enligt lag att behandla dina Personuppgifter, t.ex. för den due diligence som finansinstitut är skyldiga att utföra innan de godkänner kortkonton.

I tabellen nedan anges vad vi använder dina Personuppgifter till och vår rättsliga grund för att göra det. Observera att vi överväger och balanserar eventuell potentiell påverkan på dig och dina rättigheter innan vi behandlar dina Personuppgifter för våra berättigade intressen. Det berättigade intresse som åberopas anges också i tabellen nedan.

Observera att vi kan behandla dina Personuppgifter på mer än en rättslig grund beroende på det specifika syfte för vilket vi använder dina Personuppgifter. Vänligen kontakta oss om du behöver information om den specifika rättsliga grund som vi förlitar oss på för att behandla dina Personuppgifter där mer än en grund har angetts i tabellen nedan.

När du använder open banking-tjänster (när sådana finns tillgängliga) behandlar vi dina Personuppgifter för att tillhandahålla våra open banking-tjänster, t.ex:

• under kortansökningsprocessen, för inkomstkontroll och verifiering; eller
  
  
• ge dig konsoliderad information om det eller de betalkonton som du har hos en eller flera banker eller betalningsinstitut, eller (i förekommande fall) tillmötesgå en begäran som gjorts för din räkning av en leverantör av betalningsinitieringstjänster, när de initierar en betalning för att betala en handlare för din räkning.

I detta sammanhang kommer vi att behandla dina Personuppgifter för att tillhandahålla dig de reglerade open banking-tjänsterna eller på annat sätt som beskrivs i avsnittet "Användning av Personuppgifter".

Vi använder helt automatiserade processer för att hjälpa oss att fatta vissa beslut om dig, inklusive att utvärdera vissa attribut om dig för att tillhandahålla våra tjänster. Detta kan också innebära profilering. Det innebär att vi använder programvara och/eller artificiell intelligens för att automatiskt utvärdera dina personliga omständigheter för att identifiera eller förutse risker eller vissa resultat. Vi använder t.ex. automatiserade processer för att fatta beslut om dig i förhållande till följande

• upptäcka, övervaka och hantera bedrägerier;
  
  
• behandla kortansökningar (t.ex. avgöra om din ansökan om ett kort ska godkännas eller avslås); och
  
  
• bedöma kreditrisker, inklusive för att kontrollera om du uppfyller våra behörighetskriterier och besluta om vi kan utfärda ett kort till dig, eller för att bedöma om vi behöver vidta någon ansvarsfull utlåningsåtgärd i förhållande till ditt konto (till exempel för att minska din kreditgräns)
  
  

Detta kallas "automatiserat beslutsfattande". Vissa av de beslut som fattas enbart på automatiserad väg har rättsverkningar eller liknande verkningar, vilket vi förklarar närmare nedan. Vi kommer dock endast att utföra sådan behandling om det är:

-nödvändigt för att ingå eller fullgöra ett avtal mellan dig och American Express. Vi kan till exempel besluta att vissa av våra produkter och/eller tjänster inte är lämpliga för dig, baserat på din kredithistorik och om du inte uppfyller våra behörighetskriterier

-medges av en lag som American Express omfattas av och som även föreskriver lämpliga åtgärder för att skydda dina rättigheter och friheter och legitima intressen (till exempel för att förhindra bedrägeri); eller

-baserat på ditt uttryckliga samtycke till sådan behandling.

Hur vi fattar beslut med hjälp av automatiserade processer

Ansökningsförfarande

Vi tar hänsyn till flera faktorer för att avgöra om vi ska godkänna eller avslå en ansökan om ett av våra kort, inklusive information som du lämnat på ansökningsblanketten, din inkomst och dina utgifter. Vi kommer att använda denna information för att avgöra sannolikheten för att du (om du godkänns) inte kommer att betala av på ditt konto. För att hantera vår kreditriskexponering kan vi avslå din ansökan om vi anser att det finns en hög sannolikhet för att du inte kommer att betala under den här perioden. Om din ansökan godkänns kommer vi också att använda denna information för att fastställa din kreditgräns.

Bedrägeri

Vi kommer att bedöma betalningar till och från ditt konto för att identifiera betalningar som är ovanliga. Om det till exempel är en betalning som du vanligtvis inte skulle göra (till exempel en betalning av en betydande summa, som inte överensstämmer med din transaktionshistorik), kan vi vidta åtgärder för att hindra oss från att göra en betalning som sannolikt är bedräglig.

Vi kommer också att bedöma ditt utgiftsbeteende och din transaktionshistorik för att identifiera om du sannolikt utgör en bedrägeririsk (till exempel om en plötslig förändring i ditt utgifts- och återbetalningsbeteende tyder på att du inte har för avsikt att betala utestående skulder till American Express). Detta kan innebära att vi vidtar åtgärder för att minska risken för oss, inklusive att neka debiteringar som du gör med ditt kort.

Bedömning av kreditrisker

Som en del av hanteringen av vår relation med dig kommer vi att bedöma om vi behöver vidta några åtgärder för ansvarsfull kreditgivning (till exempel att minska din kreditgräns). Vi tar hänsyn till flera faktorer för att bedöma om det finns en kreditrisk eller om du håller på att komma i ekonomiska svårigheter. Det kan handla om att bedöma aktiviteten på ditt konto, din betalningshistorik (till exempel om du har missat förfallna och betalbara betalningar), information som du har lämnat i ditt ansökningsformulär (till exempel din inkomst) och information som vi får från kreditupplysningsföretag (till exempel UC AB). Vi kommer att använda denna information för att besluta om vi ska vidta några åtgärder i förhållande till ditt kort för att hantera eventuella kreditrisker. Detta kan innebära att vi minskar din kreditgräns om vi rimligen anser att det är sannolikt att du kommer att försumma framtida betalningar.

Våra metoder för automatiserat beslutsfattande testas regelbundet för att säkerställa att de förblir rättvisa, effektiva och opartiska.

Om vi använder automatiserat beslutsfattande för att ingå eller fullgöra ett avtal med dig, enligt lag eller baserat på ditt uttryckliga samtycke, har du rätt att uttrycka din åsikt, bestrida det beslut som fattats och begära mänsklig inblandning. Se avsnittet "Dina rättigheter" för mer information om dina rättigheter i samband med automatiserat beslutsfattande.

Vi kommer endast att dela dina Personuppgifter med andra där det är lagligt för oss att göra det och för ett specifikt syfte (enligt vad som anges i tabellen ovan eller nedan), inklusive med:

• UC AB för att rapportera eller fråga om dina ekonomiska förhållanden och för att rapportera skulder som du har till oss;
  
  
• polis, tillsynsmyndigheter, domstolar, statliga myndigheter, skattemyndigheter och annan tredje part (t.ex. tredje part som anges i ett domstolsbeslut) för att följa rättsliga påbud, lagstadgade eller regulatoriska krav, begäran om brottsbekämpning och/eller i övrigt i samband med faktiskt eller misstänkt bedrägeri eller brottslig verksamhet eller utredning av detsamma;
  
  
• inkassobyråer och externa juridiska rådgivare för att driva in skulder på ditt konto;
  
  
• våra Tjänsteleverantörer (inklusive deras underleverantörer) som utför tjänster åt oss och hjälper oss att hantera ditt konto och/eller driva vår verksamhet (dvs. alla leverantörer, tredje parter och/eller företag som tillhandahåller tjänster eller utför affärsverksamhet för vår räkning, t.ex. kommunikationstjänster, bedrägerikontroller, marknadsföring, databehandling och outsourcad teknik, service, annonshantering, revisorer, konsulter och professionella rådgivare, t.ex. externa juridiska ombud och revisorer);
  
  
• företag eller andra produkt- och tjänsteområden inom American Express-koncernen. Till exempel när dessa företag tillhandahåller tjänster till oss och/eller när det är nödvändigt för att vi på ett lagligt sätt ska kunna bedriva vår affärsverksamhet;
  
  
• Affärspartner, t.ex. parter som accepterar American Express-kort för betalning av varor/tjänster som du har köpt (dvs. handlare), din bank eller andra utgivare av betalkort för att tillhandahålla, leverera, erbjuda, anpassa eller utveckla produkter och tjänster till dig och hantera eller lösa anspråk. Vi kommer inte att dela dina kontaktuppgifter med Affärspartner för att de självständigt ska kunna marknadsföra sina egna produkter eller tjänster till dig utan ditt samtycke. Vi kan dock skicka erbjudanden till dig för deras räkning med ditt samtycke. Observera att om du utnyttjar ett erbjudande från en Affärspartner och blir kund hos dem, kan de självständigt skicka meddelanden till dig. I så fall måste du läsa deras integritetspolicy och informera dem separat om du vill avstå från att ta emot framtida kommunikation från dem
  
  
• annan part som godkänts av dig, t.ex. tredje part för tillhandahållande av open banking och relaterade tjänster på din begäran, t.ex. när du vill ansluta din kontoinformation till en annan plattform eller initiera betalningar från andra konton;
  
  
• våra lojalitetspartner för att ansluta ditt Membership Rewards-konto (om tillämpligt) och, beroende på din kortprodukt, med eventuella partner är tillgängliga i ditt kortförmånsprogram;
  
  
• dina rådgivare (såsom revisorer, advokater och andra professionella rådgivare) som du har bemyndigat att företräda dig, eller någon annan person som du har meddelat oss är behörig att ge instruktioner eller använda kontot (till exempel en Extrakortmedlem eller enligt en fullmakt); eller
  
  
• någon till vilken vi överför eller överlåter våra avtalsenliga rättigheter.
  
  

Bestämmelserna i detta integritetsmeddelande gäller för alla Extrakortmedlemmar som du har godkänt för att använda ditt konto. Om du har godkänt av ett Extrakort:

• vi kommer att använda informationen om en Extrakortmedlem för att behandla deras ansökan, utfärda deras kort, hantera kontot och uppfylla våra juridiska eller regulatoriska skyldigheter; och
  
  
• kan den Extrakortmedlemmen behöva förse oss med dina Personuppgifter för identitetsverifiering när de kontaktar oss för att aktivera eller använda sitt kort, registrera sig för online-tjänster och få tillgång till nya eller uppdaterade tjänster och förmåner.
  
  

Extrakortmedlemmar får inte göra några ändringar i dina Personuppgifter om du inte har gett oss fullmakt att göra det (vilket kan vara i en form som vi rimligen kan begära).

Vi överför dina Personuppgifter till organisationer i andra länder och (där så är tillåtet enligt tillämplig lag) till tillsynsmyndigheter i andra länder. Vissa av dessa jurisdiktioner kanske inte tillhandahåller samma skyddsnivå för Personuppgifter som tillhandahålls inom Europeiska ekonomiska samarbetsområdet (EES). Vissa länder kommer att ha olika dataskyddslagar. Detta omfattar överföringar till länder utanför EES, t.ex. till USA där våra huvudsakliga operativa datacenter är belägna. Vi genomför dessa överföringar för att driva vår verksamhet, behandla transaktioner vid utländska köp, administrera ditt konto och tillhandahålla våra produkter och tjänster till dig.

Tänk på att oavsett var vi behandlar dina Personuppgifter kommer vi alltid att skydda dem på det sätt som beskrivs i våra integritetspolicyer och i enlighet med gällande lagar. När vi överför dina Personuppgifter till vissa länder utanför EES:

• Om det landet har fått ett beslut om adekvat skyddsnivå från Europeiska kommissionen (se listan över länder här), kommer vi att förlita oss på det beslutet för att genomföra vår överföring; eller

• När det gäller överföring av Personuppgifter till en tredje part i USA kan vi förlita oss på den tredje partens certifiering enligt EU-US Data Privacy Framework för att överföra dina Personuppgifter.

I andra fall är vi skyldiga att vidta "lämpliga skyddsåtgärder". Det gäller i synnerhet följande:

• När vi delar Personuppgifter med andra bolag inom American Express-koncernen som befinner sig utanför EES säkerställer vi en adekvat skyddsnivå genom våra BCR, som finns tillgängliga här. Våra BCR säkerställer att dina Personuppgifter skyddas genom att kräva att alla våra koncernbolag följer samma regler vid behandling av dina Personuppgifter.

• När vi delar dina Personuppgifter med tredje part (eller American Express Group icke-deltagande Binding Corporate Rules-företag) utanför EES till länder som inte har fått ett beslut om adekvat skyddsnivå från Europeiska kommissionen, inkluderar vi lämpliga avtalsskydd (inklusive Europeiska kommissionens standardavtalsklausuler) i dessa avtal. Dessutom bedömer vi om andra tekniska och organisatoriska åtgärder krävs för dessa överföringar. Om vi har att göra med offentliga myndigheter eller tillsynsmyndigheter behöver vi inte ha avtalsskydd på plats, men det betyder inte att dina uppgifter inte skyddas av lämpliga säkerhetsåtgärder när de överförs.

Du kan få en kopia av sådana avtalsmässiga skydd genom att kontakta oss, se avsnittet "Frågor eller klagomål" nedan.

Vi använder organisatoriska, administrativa, tekniska och fysiska säkerhetsåtgärder för att skydda dina Personuppgifter och för att säkerställa att dina uppgifter behandlas snabbt, korrekt och fullständigt. Vi kräver att Tjänsteleverantörerna skyddar dina Personuppgifter och endast använder dina Personuppgifter för de ändamål som vi anger.

Vi behåller dina Personuppgifter endast så länge du är kund hos oss och vi behöver fullgöra avtalsförhållandet med dig och leverera de produkter och tjänster som du har begärt. När vår relation med dig har upphört (t.ex. ditt konto har avslutats) kommer vi endast att behålla dina Personuppgifter under en tidsperiod som är lämplig med hänsyn till uppgifternas art och känslighet och vad vi fortsätter att behålla dem för.

Vi kommer endast att behålla Personuppgifter för specifika ändamål, inklusive när det gör det möjligt för oss att:

• följa eller bevisa efterlevnad av våra rättsliga och regulatoriska krav (till exempel lagar som rör penningtvätt)
  
  
• försvara eller vidta rättsliga åtgärder
  
  
• upprätthålla affärsregister för analys- eller revisionsändamål
  
  
• föra register över personer som inte vill ta emot marknadsföring från oss
  
  

Till exempel kommer dina Personuppgifter att lagras av American Express i 10 år efter att du avslutat ditt konto. Detta är kopplat till den tid som är tillgänglig för att väcka ett rättsligt anspråk. Vi kommer att behålla dina Personuppgifter efter denna tid om ditt konto är i dröjsmål och saldot förblir obetalt eller oreglerat, eller av juridiska eller regleringsmässiga skäl eller krav.

När dina Personuppgifter inte längre är nödvändiga för ovanstående ändamål kommer vi att förstöra sådan information på ett säkert sätt. För mer information om vår datalagringspraxis kan du kontakta oss se avsnittet "Frågor eller klagomål".

Vi uppmuntrar dig att regelbundet kontrollera att alla Personuppgifter som vi innehar är korrekta och uppdaterade. Om du anser att någon information som vi har om dig är felaktig eller ofullständig kan du be oss att korrigera eller ta bort denna information från våra register. Vi rekommenderar att du går till https://www.americanexpress.com/sv-se/ loggar in och uppdaterar dina Personuppgifter. Om du föredrar det kan du kontakta oss - se avsnittet "Frågor eller klagomål". All information som visar sig vara felaktig eller ofullständig kommer att korrigeras omedelbart.

Du har rätt att få tillgång till, uppdatera, begränsa, överföra, radera eller invända mot behandlingen av dina Personuppgifter. Mer specifikt har du rätt att:

• Återkalla ditt samtycke till vår användning av dina Personuppgifter när som helst, där vår behandling baseras på ditt samtycke.
  
  Detta kommer inte att påverka lagligheten av någon behandling som utförts innan du återkallar ditt samtycke. Om du återkallar ditt samtycke kan det hända att vi inte kan tillhandahålla vissa produkter eller tjänster till dig. Om så är fallet kommer vi att informera dig om detta när du återkallar ditt samtycke.
  
  
• Begära begränsning av användningen av dina Personuppgifter i vissa fall.
  
  Du kan be oss att begränsa behandlingen av dina Personuppgifter i följande fall:
  
  
  • om du vill att vi ska fastställa att Personuppgifterna är korrekta;
    
    
  • när vår användning av Personuppgifterna är olaglig, men du inte vill att vi raderar dem;
    
    
  • där du behöver oss för att behålla Personuppgifterna även om vi inte längre behöver dem eftersom du behöver dem för att fastställa, göra gällande eller försvara rättsliga anspråk; eller
    
    
  • du har invänt mot vår användning av dina Personuppgifter men vi måste kontrollera om vi har övervägande legitima skäl att använda dem.
     
• I vissa fall begära radering av dina Personuppgifter.
  
  Detta gör att du kan be oss att radera eller ta bort Personuppgifter om det inte finns någon god anledning för oss att fortsätta behandla dem. Du har också rätt att be oss att radera eller ta bort dina Personuppgifter om du framgångsrikt har utövat din rätt att invända mot behandlingen (se nedan), om vi kan ha behandlat dina uppgifter på ett olagligt sätt eller om vi måste radera dina Personuppgifter för att följa tillämplig lag. Observera dock att vi kanske inte alltid kan tillmötesgå din begäran av särskilda skäl som anges i lagen och som du, om tillämpligt, kommer att informeras om vid tidpunkten för din begäran.
  
  
• Begära en mänsklig granskning av automatiserade beslut som påverkar dina lagliga eller avtalsenliga rättigheter eller som kan ha en liknande betydande effekt.
  
  Under vissa omständigheter har du rätt att begära att ett automatiserat beslut omprövas, att uttrycka din åsikt och att bestrida beslutet. Denna rättighet gäller endast helt automatiserade beslut, så den gäller inte om någon redan har lämnat synpunkter som en del av beslutsprocessen.
  
  
• Begära överföring av dina Personuppgifter till dig eller till en tredje part.
  
  Vi kommer att tillhandahålla dig, eller (där det är tekniskt möjligt) en tredje part som du har valt, dina Personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format. Observera att denna rättighet endast gäller för automatiserad information som du ursprungligen gav oss samtycke till att använda eller där vi använde informationen för att fullgöra ett avtal med dig
  
  
• Begära en kopia av dina Personuppgifter som vi har om dig (ofta kallad "begäran om tillgång till uppgifter från den registrerade" eller "DSAR").
  
  Detta gör det möjligt för dig att få en kopia av de Personuppgifter vi har om dig och att kontrollera att vi behandlar dem på ett lagligt sätt.
  
  
• I enlighet med tillämplig lag kan du upprätta riktlinjer för dina Personuppgifter för när du avlider i enlighet med tillämplig lag. I detta avseende kan personer som uttryckligen utsetts av avlidna registrerade eller den allmänna åklagaren när det gäller minderåriga eller personer med funktionsnedsättning begära att få tillgång till den avlidna registrerades Personuppgifter eller rättelse av den avlidna registrerades Personuppgifter.

Du kan välja hur du vill ta emot marknadsföringskommunikation, inklusive direktmarknadsföring - om vi skickar den till dig via post, e-post, SMS och/eller telefon. Se avsnittet ovan för våra lagliga skäl som motiverar att vi använder din information för att skicka marknadsföringskommunikation till dig. De lagliga skälen för att skicka direktmarknadsföring till dig varierar beroende på ett antal faktorer, inklusive vilken marknadsföringskanal som används (t.ex. SMS, e-post, telefon), om vi har en befintlig relation med dig eller om du är en enskild kund eller en företagskund.

Om du efter att ha gjort dina inställningar vill välja bort att ta emot marknadsföring rekommenderar vi att du går till americanexpress.se loggar in och uppdaterar dina preferenser. Om du föredrar det kan du också kontakta oss - se avsnittet "Frågor eller klagomål" nedan. Om du väljer att inte ta emot marknadsföringskommunikation från oss kommer vi att respektera ditt val.

Tänk på att om du väljer att inte ta emot sådan kommunikation kan vissa erbjudanden som är kopplade till de produkter eller tjänster du har valt påverkas.

Vi kommer fortfarande att kommunicera med dig i samband med att vi hanterar ditt konto, uppfyller dina önskemål eller administrerar någon kampanj eller något program som du har valt att delta i. Denna kommunikation är nödvändig för att tillhandahålla den service du förväntar dig att få från oss och du kan inte välja bort att ta emot den.

Om du har frågor om denna Dataskyddspolicy för Kortmedlemmar eller hur dina uppgifter hanteras eller om du vill lämna ett klagomål eller utöva dina rättigheter, ring oss på det kostnadsfria telefonnumret på baksidan av ditt kort eller kontakta vårt dataskyddsombud på DPO-Europe@aexp.com . Du kan också skriva till följande adress och ange vilken American Express-enhet du vill skicka din fråga till: Avenida Partenon 12-14. 28042 Madrid, Spain.

Du har också rätt att kontakta Integritetsskyddsmyndigheten direkt på www.imy.se eller myndigheten i den EU-medlemsstat där du bor, arbetar eller där det kan ha skett en överträdelse. Om din begäran inte löses på ett tillfredsställande sätt kan du också ta ditt ärende till domstol.