Persónuverndarstefna
Drög 0.11 – lögfræðiyfirferð eftir. 22. október 2026. Textinn tekur ekki gildi fyrr en lögmaður hefur yfirfarið hann. Tengd skjöl: notendaskilmálar · persónuverndarstefna · vinnslusamningur · staða kerfisins.
1. Hlutverk
Viðskiptavinur (fyrirtækið) er ábyrgðaraðili persónuupplýsinga um starfsfólk sitt, notendur, viðskiptavini og birgja sem skráðar eru í kerfið. Verkstofa, rekin af [Rekstraraðili – fyllist út], kt. [Rekstraraðili – fyllist út], er vinnsluaðili þeirra upplýsinga og vinnur þær aðeins samkvæmt fyrirmælum viðskiptavinar og vinnslusamningi. Starfsfólk Verkstofu skoðar ekki gögn viðskiptavinar nema hann biðji um aðstoð eða öryggi krefjist þess.
Verkstofa er sjálf ábyrgðaraðili upplýsinga um tengiliði sem sækja um aðgang á vefnum (nafn, netfang, sími, fyrirtæki, svör um núverandi kerfi), um áskrift og reikninga til viðskiptavina og samskipti við þá. Heimild til vinnslunnar er samningur eða undirbúningur samnings (b-liður 1. mgr. 6. gr. GDPR) og lögmætir hagsmunir af öryggi kerfisins (f-liður). Umsóknum sem ekki leiða til viðskipta er eytt eftir 24 mánuði.
2. Hvaða upplýsingar eru unnar
| Um hverja | Upplýsingar | Tilgangur | Varðveisla |
|---|---|---|---|
| Starfsfólk | Nafn, kennitala, netfang, sími, bankareikningur, heimilisfang, tungumál, kjör og launaregla, lífeyrissjóður, séreign, stéttarfélag, tímafærslur, verklýsingar og þýðingar þeirra, staðsetning við stimplun, veikindaskráning, launaseðlar, myndir úr verkum, spjallskilaboð | Tímaskráning, verkstjórn, launavinnsla, lögbundin skil | Launa- og bókhaldsgögn 7 ár; annað ákveður ábyrgðaraðili |
| Notendur | Netfang, hlutverk, auðkennisapp (TOTP), innskráningarsaga (tími, forrit, tveggja þátta auðkenning, IP-tala með síðasta hluta földum, tegund tækis og vafra), gagnadagbók (hver breytti hverju) | Aðgangur, öryggi, rekjanleiki | Innskráningarsaga 400 dagar (eyðist sjálfkrafa); gagnadagbók með bókhaldsgögnum |
| Viðskiptavinir og birgjar fyrirtækis | Nafn, kennitala, heimilisfang, netfang, sími, reikningar, kröfur, greiðslur, bankafærslur, kortafærslur | Reikningagerð, innheimta, bókhald | 7 ár (bókhaldslög) |
| Skjöl og myndir | Reikningar og fylgiskjöl, nótur, teikningar og myndir úr verkum – geta innihaldið persónuupplýsingar | Bókhald, verkstjórn | Fylgiskjöl 7 ár; annað ákveður ábyrgðaraðili |
| Bókari og endurskoðandi | Netfang, gildistími aðgangs, aðgerðir | Aðgangur að bókhaldi | Meðan aðgangur gildir og með bókhaldsgögnum |
3. Staðsetning við stimplun
Klukkan vistar staðsetningu símans aðeins á því augnabliki sem starfsmaður stimplar sig inn eða út, til að staðfesta viðveru á verkstað. Engin stöðug vöktun fer fram og staðsetning er ekki skráð þegar klukkan er lokuð. Ábyrgðaraðili ákveður varðveislutíma og upplýsir starfsfólk samkvæmt reglum Persónuverndar um rafræna vöktun; tillaga að texta er í leiðbeiningum.
4. Sjálfvirkur lestur, þýðingar og hjálpari
Reikningar og nótur sem berast eru lesin sjálfkrafa með gervigreindarþjónustu Google (Gemini API) til að finna birgi, upphæðir og línur. Verklýsingar eru þýddar með sömu þjónustu og frumtextinn helst óbreyttur. Hjálparinn svarar spurningum úr leiðbeiningunum; kennitölur eru ekki vistaðar í dagbók hjálparans. Gögn eru send í greidda þjónustu sem notar þau ekki til þjálfunar. Engar sjálfvirkar ákvarðanir með réttaráhrif á einstaklinga eru teknar – niðurstöður eru tillögur sem notandi yfirfer.
5. Kassi, viðskiptavinir og innheimta
Í kassa og sölukerfi eru skráðar upplýsingar um viðskiptavini fyrirtækisins að því marki sem þarf til að gefa út og innheimta reikning. Staðgreiðslusala í kassa er nafnlaus. Kortanúmer eru aldrei geymd í kerfinu; kortagreiðslur fara um posa færsluhirðis.
6. Hýsing og öryggi
- Gagnagrunnur og skrár eru hýst hjá Supabase í Frankfurt, Þýskalandi (AWS eu-central-1). Vefviðmótið er hýst hjá Netlify. Gögn eru dulkóðuð í flutningi (TLS) og í geymslu.
- Hvert fyrirtæki er aðskilið með raðaðgangsstýringu (RLS) á öllum töflum. Næturpróf staðfesta á hverri nóttu að notandi eins fyrirtækis sjái ekki gögn annars.
- Tveggja þátta auðkenning er skylda fyrir eiganda, stjórnanda, bókara og endurskoðanda. Innskráning af nýju tæki og endurteknar rangar tilraunir kalla á viðvörun.
- Kennitölur og bankareikningar starfsfólks eru geymd dulkóðuð og aðeins afkóðuð í lokuðum bakendaföllum fyrir eiganda með tveggja þátta auðkenningu (t.d. við launagreiðslu). Dulkóðunarlykillinn er í lyklahólfi (Supabase Vault), aldrei í kóða eða gögnum, og honum er skipt út árlega og strax við grun um leka.
- Aðgangsupplýsingar tenginga (banki, pósthólf o.fl.) eru í lokuðu hólfi, aldrei sýndar aftur og aldrei notaðar fyrir annað fyrirtæki.
- Greiðslur fara aldrei sjálfkrafa – samþykki notanda og staðfesting með rafrænum skilríkjum í banka þarf alltaf.
- Vikuleg sjálfvirk öryggisyfirferð gagnagrunns (réttindi, raðaðgangsstýring, opin föll) og vöktun keyrslna allan sólarhringinn; staða birt á stöðusíðu.
- Afrit: hýsingaraðili tekur dagleg afrit (7 daga varðveisla) og kerfið tekur auk þess daglegt afrit af lykiltöflum.
7. Undirvinnsluaðilar
Listinn er í 5. gr. vinnslusamnings: aðilar sem alltaf eru notaðir (Supabase, Netlify, Google Gemini o.fl.) og aðilar sem aðeins eru notaðir ef viðskiptavinur tengir þjónustuna sjálfur (pósthólf, banki, Dokobit, posi o.fl.).
8. Réttindi einstaklinga
Einstaklingar eiga rétt á upplýsingum um vinnsluna, aðgangi, leiðréttingu, eyðingu, takmörkun, flutningi eigin gagna og að andmæla vinnslu samkvæmt lögum nr. 90/2018 og GDPR. Beiðnum um upplýsingar sem fyrirtæki skráði skal beina til fyrirtækisins (ábyrgðaraðila); Verkstofa aðstoðar það við að svara innan 30 daga. Bókhaldsgögnum verður þó ekki eytt fyrr en lögbundnum varðveislutíma lýkur. Einstaklingar geta kvartað til Persónuverndar (personuvernd.is).
9. Öryggisbrestur
Verði öryggisbrestur sem varðar persónuupplýsingar tilkynnir Verkstofa viðkomandi viðskiptavinum án ótilhlýðilegrar tafar og eigi síðar en 48 klst. eftir að hans verður vart, með upplýsingum um eðli brests, áhrif og ráðstafanir, svo ábyrgðaraðili geti tilkynnt Persónuvernd innan 72 klst. (33. gr. GDPR). Varði bresturinn upplýsingar sem Verkstofa ber sjálf ábyrgð á tilkynnir hún Persónuvernd innan 72 klst. og hinum skráðu ef áhætta er mikil (34. gr.). Viðbrögð fylgja skjalfestu atvikaferli.
10. Við lok samnings
Gögn eru afhent ábyrgðaraðila innan 14 daga. Bókhaldsgögn eru síðan varðveitt læst og aðeins til lestrar svo lengi sem bókhaldslög krefjast; öðrum gögnum er eytt innan 90 daga.
11. Samskipti
Fyrirspurnir um persónuvernd: [Rekstraraðili – fyllist út], [Rekstraraðili – fyllist út].