Personuppgiftspolicy för Berg-Hansen AB

Senast uppdaterad: [24.09.2025]

Gällande från: [24.09.2025]

1. Introduktion

Din personliga integritet är viktig för oss på Berg-Hansen. Vi är måna om att behandla dina personuppgifter på ett lagligt, säkert och transparent sätt.

När du bokar resor eller deltar på evenemang – privat eller via din arbetsgivare – behandlar Berg-Hansen personuppgifter om dig. Vi samlar in uppgifter när du bokar resor, evenemang, använder våra tjänster, besöker våra webbplatser eller mobilapplikationer, eller på annat sätt interagerar med oss.

I denna personuppgiftspolicy förklarar vi:

vilka uppgifter vi behandlar om dig,
varför vi samlar in dem,
hur vi använder, delar och skyddar uppgifterna, samt
vilka rättigheter du har.

Denna policy gäller för alla våra tjänster – inklusive webbplatser, appar, bokningslösningar, kundservice och samarbetspartners.

2. Personuppgiftsansvarig

Berg-Hansen AB är personuppgiftsansvarig för de uppgifter vi behandlar om dig.

Berg-Hansen samarbetar med leverantörer, affärspartners och offentliga myndigheter. I samband med detta kan personuppgifter delas när:

vi har en laglig grund,
vi är skyldiga enligt lag, eller
du har lämnat ditt samtycke.

När du bokar resa genom din arbetsgivare eller en annan organisation som har avtal med oss, kan vi agera som personuppgiftsansvarig ensamt eller som gemensamt personuppgiftsansvarig tillsammans med din arbetsgivare, beroende på hur resan bokas:

Privatkunder
När du bokar resor som privatkund är Berg-Hansen ensam personuppgiftsansvarig för behandlingen av dina personuppgifter.
Företagskunder med egna leverantörsavtal
När vi bokar resor baserat på ditt företags egna avtal med leverantörer (t.ex. ett flygbolag eller en hotellkedja), delar vi ansvaret för behandlingen. Ditt företag är personuppgiftsansvarig eftersom de har avtalet och syftet, medan Berg-Hansen är personuppgiftsansvarig eftersom vi bestämmer hur resan genomförs i praktiken. I dessa fall är vi därför gemensamt personuppgiftsansvariga (joint controllers) tillsammans med ditt företag. Vi har ett skriftligt avtal som reglerar ansvarsfördelningen i enlighet med GDPR artikel 26.
Företagskunder utan egna leverantörsavtal
När vi presenterar och koordinerar resealternativ utan att ditt företag har avtal med aktuella leverantörer, agerar Berg-Hansen som ensam personuppgiftsansvarig. Då är det Berg-Hansen som tillhandahåller och presenterar tillgängliga alternativ och genomför bokningen i våra system, medan kunden själv väljer specifik leverantör och avresetid.
Meetings & Events
När vi arrangerar möten, konferenser eller andra evenemang på uppdrag av en kund, agerar Berg-Hansen som personuppgiftsansvarig för den behandling som krävs för att planera och genomföra evenemanget. Kunden definierar ramarna och syftet med evenemanget, medan Berg-Hansen väljer och koordinerar leverantörer som hotell, transport, mat och aktiviteter, samt behandlar de nödvändiga uppgifterna för att kunna leverera en helhetslösning.
Leverantörer (t.ex. flygbolag och hotell)
Flygbolag, hotell och andra reseleverantörer är alltid självständiga personuppgiftsansvariga för de uppgifter de behandlar för att leverera sina tjänster.
Underleverantörer (GDS – Amadeus, Sabre m.fl.)
Berg-Hansen använder bl.a. globala distributionssystem (GDS) för att genomföra bokningar. Dessa fungerar som personuppgiftsbiträden på vårt uppdrag, och vi har personuppgiftsbiträdesavtal i enlighet med GDPR artikel 28.

Om du loggar in eller skapar profil hos oss genom tredjepartslösningar, till exempel BankID eller arbetsgivarens inloggningslösning, delas nödvändiga uppgifter med dessa aktörer. Behandlingen sker enligt deras personuppgiftspolicys.

Kategorier av registrerade personer:
Denna personuppgiftspolicy gäller följande grupper:

Privatkunder som bokar resor för egen räkning
Affärsresenärer som reser på arbetsgivarens bekostnad
Evenemangsdeltagare vid möten, konferenser och events
Webbplatsbesökare som använder våra digitala tjänster
Kontaktpersoner hos företagskunder och leverantörer
Anhöriga registrerade som nödkontakter
Potentiella kunder som mottar marknadsföring

Olika kategorier kan ha olika rättigheter och rättsliga grunder beroende på relationen till Berg-Hansen.

Franchise
Berg-Hansen består både av egna kontor och franchise-kontor som drivs av självständiga bolag under Berg-Hansen-varumärket. När du bokar genom ett franchise-kontor är detta kontor personuppgiftsansvarigt för sina behandlingar, medan Berg-Hansen centralt är personuppgiftsansvarigt för de behandlingar vi utför i våra system.

Kontakt med franchise-kontor
Om du har bokat genom ett franchise-kontor och har frågor om behandling av personuppgifter, kan du kontakta det aktuella kontoret direkt. För frågor om behandlingar i Berg-Hansens centrala system, kontakta vårt huvudkontor.

Internationella kontor
Berg-Hansen har verksamhet i Norge och Sverige, och kan etablera kontor i andra länder. Personuppgifter kan därför behandlas och delas internt mellan Berg-Hansen-enheter över landsgränser, alltid i enlighet med gällande dataskyddslagstiftning.

Kontaktinformation
Har du frågor om hur vi behandlar dina uppgifter, kan du kontakta vårt dataskyddsombud:

personuppgift@berg-hansen.se

Dataskyddsombudet har tystnadsplikt.

Tillsynsmyndighet för vår behandling är Integritetsskyddsmyndigheten (IMY) i Sverige.

3. Vilka uppgifter vi behandlar och hur länge vi lagrar dem

Vi behandlar endast personuppgifter som är nödvändiga för att leverera våra tjänster, och lagrar dem så länge det är nödvändigt för syftet, eller så länge lagstiftningen kräver det.

Uppgiftstyp	Beskrivning och syfte	Lagringstid
Identitets- och kontaktinformation (namn, adress, telefonnummer, e-postadress, kön, födelsedatum, nationalitet)	Vi tar emot uppgifter antingen direkt från dig (till exempel när du bokar resa, registrerar dig för nyhetsbrev eller kontaktar kundtjänst), eller från din arbetsgivare/organisation om de bokar åt dig eller skapar en reseprofil för dig. I samband med evenemang kan vi också ta emot uppgifter om rese- och aktivitetsval, samt kontaktuppgifter till deltagare och samarbetspartners. Vid möten, konferenser och evenemang kan vi behandla uppgifter om allergier och matpreferenser (kan vara hälsouppgifter), rese- och aktivitetsval samt kontaktuppgifter till deltagare, talare och samarbetspartners.	Lagring från bokningstillfället och i upp till 5 år efter att resan är genomförd, eller tills du återkallar ditt samtycke. Om du har ett konto i Berg-Hansen-portalen lagras informationen så länge kontot är aktivt. Uppgifter i samband med Meetings & Events samlas endast in när det är nödvändigt och raderas när evenemanget är genomfört, om inte annat avtalats eller lag kräver längre lagring.
Pass- och visuminformation	Nödvändiga uppgifter om giltiga resehandlingar och visum där detta krävs, mottagna från dig eller din arbetsgivare/organisation. Används för att uppfylla lagkrav.	Lagring från bokningstillfället och så länge du har en aktiv reseprofil i våra system. Kan lagras längre om lag kräver det.
Anhöriginformation	Kontaktuppgifter till anhöriga om detta är avtalat med dig eller din arbetsgivare, för att säkerställa resenärers trygghet.	Lagring så länge uppgifterna är nödvändiga för säkerhetssyftet.
Betalnings- och transaktionsinformation	Uppgifter som används för att genomföra betalningar, fakturering och bokföring. Kortdata lagras i upp till 5 år. Transaktions- och bokföringsdata lagras i 5 år enligt bokföringslagen.	Kortdata lagras i upp till 5 år. Transaktions- och bokföringsdata lagras i 5 år i enlighet med bokföringsreglerna.
Boknings- och aktivitetsinformation (flygbokningar, hotellbokningar, resplaner, resesällskap m.m.)	När du eller din arbetsgivare/organisation gör en bokning eller ett köp samlar vi in nödvändiga uppgifter om din resa.	Uppgifter som destination och resedatum lagras normalt i upp till 5 år, men kan lagras längre om lag kräver det.
Kommunikation med oss	All kontakt mellan dig och Berg-Hansen, inklusive inspelningar av samtal till kundtjänst, e-post, chatt, samt kommentarer och omdömen du lämnar i enkäter eller sociala medier. Om du använder chattjänster kan samtalet börja med en chatbot och sedan överföras till en kundtjänstmedarbetare. Information från chatt och förfrågningar kan kopplas till din kundprofil om du har ett aktivt konto, för att säkerställa god uppföljning.	Kommunikation lagras normalt i upp till 5 år, eller längre om lag kräver det. Ljudinspelningar lagras normalt i upp till 1 år, om inte längre lagring är nödvändig för att uppfylla rättsliga skyldigheter eller tillvarata rättsliga anspråk.
Digital information	Vi samlar in digital information såsom IP-adress, webbläsardata, trafikdata, bokningshistorik, användningsmönster och aktivitet på webbplatser/appar. När du använder våra mobilappar för Android eller iOS kan vi dessutom behandla uppgifter om enhetstyp, operativsystem, användningsmönster, plats (om du har samtyckt) och preferenser för push-notiser. Du kan hantera dessa inställningar i appen eller i enhetens systeminställningar. Uppgifter som samlas in av Google eller Apple genom nedladdning eller användning av apparna regleras av deras egna personuppgiftspolicys.	Data lagras så länge det är nödvändigt för analys och anpassning av tjänster. Uppgifter som används för analys anonymiseras eller aggregeras när syftet kan uppnås utan att identifiera dig.
Nyhetsbrev och marknadsföring	Om du prenumererar på nyhetsbrev registrerar vi vilka utskick du öppnar, var du befinner dig när du öppnar dem och om du klickar på länkar i innehållet.	Lagring så länge du har samtyckt, eller tills du återkallar samtycket.
Hälso- och anpassningsinformation	Om du själv, eller din arbetsgivare/organisation på dina vägnar, lämnar information såsom allergier, matpreferenser eller behov av annan anpassning, registrerar vi detta endast för att kunna genomföra resan eller evenemanget på ett tryggt och ändamålsenligt sätt. Uppgifterna delas endast med relevanta leverantörer när det är nödvändigt.	Lagring endast under den tid som är nödvändig för att leverera tjänsten, eller längre om lag kräver det.

4. Varför vi samlar in uppgifter

Vi behandlar personuppgifter för att kunna leverera resor, evenemang och anpassade tjänster. Detta omfattar bland annat att:

hantera förfrågningar, bokningar och betalningar,
uppfylla lagkrav, till exempel inresebestämmelser och bokföringslagstiftning,
organisera och genomföra resor och evenemang,
erbjuda kundservice och support,
förmedla nödvändig rese- eller evenemangsinformation,
anpassa tjänster efter dina behov och preferenser,
skicka dig marknadsföring baserat på ditt samtycke. För befintliga kunder kan vi också skicka marknadsföring för liknande tjänster baserat på berättigat intresse, om du inte har motsatt dig detta,
uppgifter om hälsa, såsom allergier eller andra särskilda behov, behandlas endast om du själv väljer att lämna dem
om vi använder profilering eller segmentering för att kunna ge dig mer relevant information eller marknadsföring, sker detta endast baserat på ditt samtycke. Profilering innebär automatisk behandling av personuppgifter för att bedöma personliga förhållanden som intressen eller preferenser. Du har rätt att motsätta dig profilering och kan när som helst återkalla ditt samtycke.

Vi kan kontakta dig med nödvändiga resevarningar, säkerhetsmeddelanden eller ändringar som är kritiska för genomförandet av resan. Sådan kommunikation sker med stöd av vårt berättigade intresse eller rättsliga skyldigheter, och kräver inte särskilt samtycke.

Vi använder också personuppgifter för rapportering och analyser. Detta kan ske på två sätt:

Rapportering som en tjänst till kunden: När vi levererar rapporter och statistik direkt till din arbetsgivare eller organisation, till exempel resestatistik, klimatrapportering eller ekonomirapporter, behandlas personuppgifterna i icke-anonymiserad form. Detta sker som en del av avtalet vi har med kunden, och uppgifterna används endast för det syfte som rapporten är framtagen för.

Anonymiserade och aggregerade analyser: Vi kan också använda uppgifter i anonymiserad eller aggregerad form för intern rapportering, statistik, analyser och utveckling av våra tjänster. Detta kan omfatta användning av analysverktyg eller metoder såsom maskininlärning. Sådana analyser utförs utan att enskilda personer kan identifieras, och vi tillämpar principen om dataminimering.

Vi använder inte automatiserade beslut som har rättsverkan eller i betydande grad påverkar dig, om inte detta är nödvändigt för att leverera tjänsten och du har samtyckt till det.

Om vi i framtiden använder artificiell intelligens (AI) eller maskininlärning för att behandla personuppgifter, kommer detta ske på ett ansvarsfullt sätt och i enlighet med gällande dataskyddslagstiftning. Vi kommer aldrig att använda AI för automatiserade beslut som har rättsverkan eller på annat sätt väsentligt påverkar dig utan laglig grund och tydlig information

4.1 Rättslig grund för behandling

All behandling av personuppgifter måste ha en laglig grund. Vi behandlar dina personuppgifter baserat på följande rättsliga grunder:

Avtalsuppfyllelse (GDPR art. 6.1.b): för att genomföra resebokningar, evenemang och leverera tjänster som du eller din arbetsgivare har beställt.
Rättslig skyldighet (GDPR art. 6.1.c): för att uppfylla lagkrav såsom bokföringslagstiftning, skatteregler, inresebestämmelser och rapportering till myndigheter.
Berättigat intresse (GDPR art. 6.1.f): för kundservice, kvalitetsförbättring, säkerhet, riskbedömningar och intern administration. Vi har bedömt att våra berättigade intressen inte åsidosätter dina grundläggande rättigheter.
Samtycke (GDPR art. 6.1.a): för marknadsföring, nyhetsbrev, icke-nödvändiga cookies samt profilering/segmentering.

Behandling av särskilda kategorier av personuppgifter (såsom hälsouppgifter vid allergier eller särskilda behov) sker endast baserat på:

Uttryckligt samtycke (GDPR art. 9.2.a): när du frivilligt lämnar sådana uppgifter.
Vitalt intresse (GDPR art. 9.2.c): i nödsituationer där det är nödvändigt för att skydda liv eller hälsa.

4.2 Samtycke och återkallelse

När vi behandlar personuppgifter baserat på samtycke kan du när som helst återkalla samtycket utan att det påverkar lagligheten av behandlingen som skedde före återkallelsen.

Du kan återkalla ditt samtycke genom att:

ändra inställningar i din användarprofil,
använda avregistreringslänken i marknadsföringsmejl,
justera cookie-inställningar via ikonen längst ned på webbplatsen,
kontakta vårt dataskyddsombud på personuppgift@berg-hansen.se

4.3 Omsorgsplikt och resesäkerhet

För företagskunder har arbetsgivare en omsorgsplikt (duty of care) gentemot sina resande anställda. Vi bistår med att uppfylla dessa skyldigheter genom att:

Resespårning och beredskap:

Registrera resplaner och vistelseort.
Dela nödvändig information med arbetsgivaren vid kriser eller nödsituationer.
Koordinera med beredskapspartners vid behov.
Kontakta anhöriga om situationen kräver det.

Säkerhetsmeddelanden:

Skicka resevarningar om säkerhetssituationer.
Informera om förändringar som påverkar resesäkerheten.
Koordinera evakuering eller omlokalisering vid behov.

Hälsoberedskap:

Dela hälsouppgifter med relevanta leverantörer endast när det är nödvändigt för säkerhet.
Koordinera medicinsk assistans vid behov.
Informera om hälsokrav och restriktioner för resmålet.

Detta sker med stöd av berättigade intressen för att tillgodose resesäkerheten, eller enligt rättslig skyldighet när arbetsgivaren har omsorgsplikt.

4.4 Automatiserade system och profilering

Vi använder automatiserade system för att:

fastställa priser och tillgänglighet för resor (baserat på marknadsdata),
föreslå resealternativ baserat på preferenser,
upptäcka ovanliga användningsmönster för säkerhet,
kvalitetskontrollera bokningar och betalningar.

Dessa system fattar inte automatiserade beslut som har betydande inverkan på dina rättigheter utan mänsklig inblandning. Du kan när som helst begära en granskning av automatiserade bedömningar som påverkar dig.

5. Delning av personuppgifter

För att kunna leverera våra tjänster delar vi nödvändiga personuppgifter med följande kategorier av mottagare:

Researrangörer och leverantörer:

Flygbolag för biljettutställning och incheckning
Hotell och boendeanläggningar för reservationer
Biluthyrningsföretag och transportleverantörer
Kryssnings- och reseoperatörer
Försäkringsbolag vid skadetillfällen
Visumleverantörer och konsulat

Tekniska tjänsteleverantörer (personuppgiftsbiträden):

Globala distributionssystem (GDS) såsom Amadeus, Sabre
Betalningsförmedlare för transaktioner
IT-driftleverantörer och molnlösningar
Kundsupportplattformar och CRM-system

Företagsrelaterade partners:

Din arbetsgivare eller organisation (vid affärsresor)
Arbetsgivarens leverantörer och samarbetspartners när detta är avtalat
Rapportpartners för reseanalyser och statistik
Redovisnings- och faktureringssystem

Beredskap och säkerhet:

Kris- och beredskapspartners vid nödsituationer
Säkerhetsleverantörer och övervakningspartners
Offentliga myndigheter vid lagstadgade krav

Koncernbolag:

Andra Berg-Hansen-enheter i Sverige, Norge och övriga länder
Franchise-partners för lokala tjänster

Vi ingår personuppgiftsbiträdesavtal och genomför riskbedömningar med alla personuppgiftsbiträden. Vi delar aldrig mer information än vad som är nödvändigt för det specifika syftet.

6. Överföring av data till andra länder

När resor eller evenemang äger rum utanför EU/EES kan det vara nödvändigt att överföra personuppgifter till leverantörer och samarbetspartners i tredjeland. Detta gäller särskilt flygbolag, hotell, kryssningsoperatörer och andra researrangörer som är självständigt personuppgiftsansvariga. Dessa mottagare behandlar uppgifterna i enlighet med sina egna integritetspolicyer och regelverk i det land de verkar i.

Överföringsmekanismer: När vi delar personuppgifter med våra egna leverantörer utanför EU/EES prioriterar vi följande överföringsmekanismer:

· EU-kommissionens beslut om adekvat skyddsnivå (adequacy decisions) där dessa finns

· EU-kommissionens standardavtalsklausuler (SCC), eventuellt kompletterade med nödvändiga tilläggsåtgärder

· Bindande företagsbestämmelser (BCR) hos godkända mottagare

Överföring baserad på avtalsuppfyllelse: När du beställer resa till ett tredjeland och det inte är möjligt att etablera ovanstående överföringsmekanismer, kan vi överföra dina personuppgifter baserat på GDPR artikel 49 nr. 1 punkt b, eftersom överföringen är strikt nödvändig för att uppfylla den resa du har beställt. I sådana fall överförs endast de personuppgifter som är nödvändiga för att leverera den konkreta tjänsten (till exempel namn, passinformation och resedetaljer till flygbolag eller hotell i destinationslandet). Genom att välja att resa till ett tredjeland utan adekvat skyddsnivå är du informerad om att dina personuppgifter kommer att överföras dit det är nödvändigt för att genomföra resan.

För Meetings & Events i tredjeland överförs endast uppgifter om faktiska deltagare, och endast när evenemanget är enskilt och överföringen är strikt nödvändig för genomförandet.

Myndighetskrav: Som resebyrå kan vi vara rättsligt skyldiga att dela nödvändiga uppgifter med lokala myndigheter i inreseland, till exempel vid immigrationskontroll eller smittspårning.

Koncernöverföringar: Vi kan också dela uppgifter mellan Berg-Hansen-enheter i Norge, Sverige eller andra länder där vi etablerar verksamhet.

Var uppgifterna lagras: Dina personuppgifter lagras primärt i:

· Norge och EU/EES-länder hos våra huvudleverantörer

· Tredjeland endast när nödvändigt för tjänsteutförande i enlighet med ovanstående överföringsmekanismer

· Säkrade datacenter hos godkända molnleverantörer

Vi ser alltid till att datalagring sker i länder med adekvat skyddsnivå eller med kompletterande skyddsåtgärder.

7. Hur vi skyddar dina uppgifter

Vi skyddar dina personuppgifter genom tekniska och organisatoriska säkerhetsåtgärder, inklusive åtkomstkontroll, kryptering och löpande riskbedömningar.

7.1 Hantering av dataintrång

Vid allvarliga dataintrång som kan innebära hög risk för dina rättigheter och friheter, kommer vi att informera dig utan onödigt dröjsmål och senast inom 72 timmar efter att vi blivit medvetna om intrånget.

Informationen kommer att innehålla:

Beskrivning av dataintrånget och sannolika konsekvenser
Åtgärder vi har vidtagit för att hantera intrånget
Rekommendationer för hur du kan skydda dig
Kontaktinformation för vidare uppföljning

8. Dina rättigheter

Som registrerad har du följande rättigheter:

Rätt till tillgång och dataportabilitet: Du har rätt att få tillgång till de personuppgifter vi behandlar om dig, inklusive information om behandlingsändamål, kategorier av uppgifter och mottagare. Du kan också begära att få de uppgifter du själv har lämnat till oss i ett strukturerat och maskinläsbart format (dataportabilitet).

Rättelse och radering: Du har rätt att begära att vi rättar felaktiga eller ofullständiga uppgifter om dig, samt att begära radering av personuppgifter. Observera att vi i vissa fall är skyldiga att behålla information för att uppfylla våra avtal med dig, eller för att följa gällande lagar och myndighetskrav.

Begränsning och invändning: Du kan begära att vi begränsar behandlingen av dina uppgifter i vissa fall, till exempel om du bestrider att uppgifterna är korrekta. Du har också rätt att invända mot behandling som sker med stöd av berättigat intresse.

Återkallelse av samtycke: När behandlingen baseras på samtycke kan du när som helst återkalla detta utan att det påverkar lagligheten av behandlingen som skedde före återkallelsen.

Så här utövar du dina rättigheter:

Skicka e-post till personuppgift@berg-hansen.se
Ring vår kundtjänst
Skicka brev till: Berg-Hansen AB, Box 465 Centrum, 101 05 Stockholm (märk ”Dataskyddsombud”)

Vi svarar normalt inom 30 dagar. Vid komplexa förfrågningar kan tidsfristen förlängas med ytterligare 60 dagar.

Klagomål till Integritetsskyddsmyndigheten (IMY): Om du anser att vi behandlar dina personuppgifter på ett otillåtet sätt kan du lämna in klagomål till Integritetsskyddsmyndigheten (www.imy.se). Vi uppmuntrar dig dock att kontakta oss för.

9. Kakor (cookies)

Vi använder kakor för att säkerställa att våra webbplatser fungerar som de ska, förbättra användarupplevelsen och leverera relevanta tjänster.

Typer av kakor:

Nödvändiga kakor (kan inte avvisas):

Sessionskakor som raderas när du stänger webbläsaren
Säkerhetskakor för att skydda mot attacker
Inställningskakor för språk och preferenser
Varaktighet: Session till 12 månader

Analytiska kakor (kan avvisas):

Matomo för besöksstatistik och användarbeteende
Prestandamätning av webbplatsen
Varaktighet: 13 månader
Data anonymiseras efter 26 månader

Marknadsföringskakor (kräver samtycke):

Spårning av marknadsföringskampanjer
Anpassat innehåll baserat på intressen
Varaktighet: 6–24 månader beroende på leverantör

Tredjepartskakor: Vi använder också kakor från våra partners såsom betalningsleverantörer och reseportaler. Dessa regleras av deras egna personuppgiftspolicys.

Hantering: Du kan när som helst ändra dina cookie-inställningar via ikonen längst ned på webbplatsen eller i dina webbläsarinställningar. Observera att avvisning av kakor kan begränsa funktionaliteten.

10. Ändringar i personuppgiftspolicyn

Vi kan uppdatera denna policy när våra tjänster eller regelverket förändras. Den uppdaterade versionen publiceras på våra webbplatser, och väsentliga ändringar kommer att meddelas särskilt.