Hvað við vitum um þig og af hverju

Þessi stefna lýsir því hvaða persónuupplýsingar Íslandsvefir fá um þig, í hvaða tilgangi, hverjir sjá þær og hvaða réttindi þú átt samkvæmt evrópsku persónuverndarreglugerðinni (GDPR), sænskum lögum um persónuvernd (dataskyddslagen, 2018:218) og íslenskum lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Hún lýsir því sem gerist í dag, ekki því sem gæti gerst síðar.

Hver ber ábyrgð

Íslandsvefir eru vörumerki Gagnaver Datacenter AB, sem er skráð í Svíþjóð. Félagið er ábyrgðaraðili vinnslu þeirra persónuupplýsinga sem lýst er hér: það ákveður í hvaða tilgangi þær eru unnar og ber ábyrgð á því gagnvart lögum. Sama félag rekur hýsingarþjónustuna Gagnaver.

Af því að félagið hefur staðfestu í Svíþjóð er sænska persónuverndarstofnunin, Integritetsskyddsmyndigheten (IMY), forystueftirlitsyfirvald vegna vinnslunnar. Reglurnar eru þó þær sömu og á Íslandi: persónuverndarreglugerð ESB (2016/679, GDPR) gildir á Íslandi í gegnum EES-samninginn. Þú átt því sömu réttindi og ef félagið væri íslenskt.

Þegar þú hefur samband

Verkefnaformið á vefnum biður um nafn, netfang og nokkur orð um verkefnið. Þú getur líka gefið upp símanúmer, fyrirtæki, hvaða þjónustu þú hefur áhuga á, fjárhagsramma og tímaramma. Þeir reitir eru valfrjálsir.

Í dag geymir vefurinn ekkert af þessu. Þegar þú sendir formið opnast póstforritið þitt með skilaboðunum tilbúnum, og þau berast okkur sem venjulegur tölvupóstur þegar þú sendir hann. Það sama á við þegar þú sendir okkur póst eða hringir beint.

Við notum upplýsingarnar til að svara þér, meta verkefnið og gera tilboð ef við á.

Þegar þú ert viðskiptavinur

Í verkefni verða til samskipti, tilboð, samningar og reikningar með nafni, netfangi, símanúmeri og upplýsingum um fyrirtækið þitt. Þetta þurfum við til að vinna verkið og uppfylla bókhaldsskyldur.

Til að vinna verkið getum við þurft aðgang að kerfunum þínum, til dæmis vefumsjónarkerfi, léni, bókhaldskerfi eins og DK, Reglu eða Payday, eða greiðslugátt. Við notum þann aðgang aðeins í þágu verkefnisins og biðjum þig að loka honum eða breyta lykilorðum þegar verkinu lýkur.

Þegar við vinnum með gögn á þínum vef

Margir vefir sem við smíðum eða viðhöldum geyma persónuupplýsingar um viðskiptavini þína: pantanir í netverslun, skráningar, fyrirspurnir eða bókanir. Um þau gögn gildir annað en um þín eigin:

• Þú ert ábyrgðaraðili. Þú ákveður hvaða gögnum vefurinn safnar og í hvaða tilgangi, og ber ábyrgð á persónuverndarstefnu vefsins þíns.
• Við erum vinnsluaðili. Við meðhöndlum gögnin aðeins að því marki sem verkið krefst — til dæmis þegar við prófum tengingu við bókhald eða lögum villu — og aðeins samkvæmt þínum fyrirmælum.
• Við notum gögnin ekki í öðrum tilgangi, afritum þau ekki til okkar nema verkið krefjist þess og eyðum afritum þegar þeirra er ekki lengur þörf.

Vinnslusamning (e. data processing agreement) gerum við við þig þegar verkið felur í sér slíka vinnslu.

Ef vefurinn er hýstur hjá Gagnaveri gilda um hýsinguna persónuverndarstefna og skilmálar Gagnavers, sem er sama félag.

Þegar þú skoðar þennan vef

Þessi vefur setur engar vafrakökur og keyrir enga heimsóknatölfræði. Hann sækir hvorki letur, skriftur né annað efni til annarra fyrirtækja. Nánar á síðunni um vafrakökur.

Vefurinn er hýstur hjá Gagnaveri, hýsingarþjónustu sama félags, á netþjónum frá UpCloud í Stokkhólmi í Svíþjóð, innan EES. Netþjónninn sem afgreiðir síðurnar skráir venjulegar tæknilegar upplýsingar um hverja heimsókn: IP-tölu, tímasetningu, hvaða slóð var sótt, svarkóða og hvaða vafri var notaður. Það er notað til að reka vefinn, finna villur og verjast árásum. Þessar skrár eru geymdar í 30 daga og síðan eytt.

Á hvaða grundvelli

Persónuverndarlöggjöfin krefst þess að hver vinnsla eigi sér heimild. Okkar eru þessar:

• Samningur: til að gera tilboð að þinni beiðni, vinna verkið og senda reikninga.
• Lögmætir hagsmunir: til að svara fyrirspurnum, verjast misnotkun og halda kerfum öruggum.
• Lagaskylda: varðveisla bókhaldsgagna sem lög krefjast.

Hverjir sjá upplýsingarnar

Starfsfólk Gagnaver Datacenter AB sér þær aðeins þegar þess þarf til að vinna verkið. Við notum þessa þjónustu til að reka starfsemina:

• Google Workspace (Google Ireland Limited, Írlandi) fyrir tölvupóst. Google getur unnið gögn utan EES. Slíkur flutningur byggir á stöðluðum samningsákvæðum framkvæmdastjórnar ESB eða gildandi ákvörðun um fullnægjandi vernd.
• Fortnox AB (Svíþjóð) fyrir bókhald og reikningagerð.
• Gagnaver (sama félag, Gagnaver Datacenter AB) hýsir þennan vef á netþjónum frá UpCloud (UpCloud Ltd, Finnlandi) sem standa í Stokkhólmi í Svíþjóð, innan EES.
• Cloudflare (Cloudflare, Inc., Bandaríkjunum) kann að miðla þessum vef um net sitt til að gera hann hraðari og verja hann gegn árásum. Umferð á vefinn fer þá um Cloudflare, sem vinnur IP-tölur og upplýsingar um beiðnir í þeim tilgangi. Flutningur til Bandaríkjanna byggir á gagnaverndarramma ESB og Bandaríkjanna (EU–US Data Privacy Framework) eða stöðluðum samningsákvæðum framkvæmdastjórnar ESB.

Þjónustuaðilar utan félagsins vinna aðeins samkvæmt okkar fyrirmælum.

Við seljum ekki persónuupplýsingar og afhendum þær ekki til auglýsinga. Við afhendum upplýsingar til yfirvalda ef okkur ber lagaskylda til þess.

Hversu lengi við geymum upplýsingar

Við geymum upplýsingar eins lengi og þarf í þeim tilgangi sem þeim var safnað, og ekki lengur. Bókhaldsgögn eru geymd þann tíma sem bókhaldslög krefjast. Aðgangsskrár netþjónsins eru geymdar í 30 daga og síðan eytt. Fyrirspurnir sem verða ekki að verkefni eru geymdar á meðan samtalið er í gangi og um tíma eftir það, svo við getum flett því upp síðar.

Réttindin þín

Samkvæmt GDPR átt þú rétt á að:

• fá að vita hvaða upplýsingar við höfum um þig og fá afrit af þeim,
• fá rangar upplýsingar leiðréttar,
• fá upplýsingum eytt þegar við þurfum þær ekki lengur,
• takmarka vinnslu á meðan mál er skoðað,
• andmæla vinnslu sem byggir á lögmætum hagsmunum,
• fá upplýsingarnar afhentar á tölvutæku formi.

Hafðu samband og segðu okkur hverju þú vilt ná fram. Við svörum innan þess frests sem GDPR setur, sem er að jafnaði einn mánuður.

Ef þér finnst við fara illa með upplýsingarnar þínar getur þú kvartað til Integritetsskyddsmyndigheten (imy.se), sem fer með eftirlit með okkur. Samkvæmt GDPR getur þú líka kvartað til persónuverndarstofnunarinnar í landinu þar sem þú býrð. Á Íslandi er það Persónuvernd (personuvernd.is).

Breytingar á stefnunni

Ef við breytum því hvernig við vinnum persónuupplýsingar uppfærum við þessa síðu og dagsetninguna efst.