Vinnslusamningur
Drög 0.11 – lögfræðiyfirferð eftir. 22. október 2026. Textinn tekur ekki gildi fyrr en lögmaður hefur yfirfarið hann. Tengd skjöl: notendaskilmálar · persónuverndarstefna · vinnslusamningur · staða kerfisins.
Samningur þessi er gerður samkvæmt 28. gr. reglugerðar (ESB) 2016/679 (GDPR) og lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Hann er hluti af notendaskilmálum og telst samþykktur við nýskráningu.
1. Aðilar
Ábyrgðaraðili: fyrirtækið sem stofnar aðgang að Verkstofu („viðskiptavinur“). Vinnsluaðili: [Rekstraraðili – fyllist út], kt. [Rekstraraðili – fyllist út], [Rekstraraðili – fyllist út], [Rekstraraðili – fyllist út] („Verkstofa“).
2. Efni og tilgangur vinnslu
Verkstofa vinnur persónuupplýsingar fyrir hönd viðskiptavinar eingöngu til að veita þjónustuna: tímaskráningu með staðsetningu við stimplun, verkstjórn, launavinnslu og skilagreinar, útgáfu og innheimtu reikninga, móttöku og lestur reikninga og nótna, bókhald, afstemmingu banka og korta, kassa, innflutning gagna og samskipti við viðskiptavini og birgja viðskiptavinar. Vinnslan stendur meðan áskrift varir og eftir það fyrir bókhaldsgögn svo lengi sem bókhaldslög krefjast.
3. Tegundir upplýsinga og skráðir einstaklingar
| Skráðir einstaklingar | Upplýsingar |
|---|---|
| Starfsfólk viðskiptavinar | Nafn, kennitala, netfang, sími, heimilisfang, bankareikningur, tungumál, stimplanir með tíma og staðsetningu, verklýsingar, veikindaskráning, laun og launatengd gjöld, stéttarfélag, lífeyrissjóður, launaseðlar, myndir, spjallskilaboð |
| Notendur kerfisins | Netfang, hlutverk, auðkennisapp, innskráningarsaga, gagnadagbók |
| Viðskiptavinir viðskiptavinar | Nafn, kennitala, netfang, heimilisfang, sími, reikningar, kröfur, greiðslusaga |
| Birgjar og tengiliðir | Nafn, kennitala, netfang, reikningar, greiðslur, pantanir |
| Aðrir í skjölum | Upplýsingar sem kunna að vera í reikningum, fylgiskjölum, teikningum og myndum |
Viðkvæmar upplýsingar (9. gr. GDPR) eru aðeins unnar að því marki sem viðskiptavinur skráir þær vegna launavinnslu: stéttarfélagsaðild vegna skilagreina og veikindaskráning vegna launa. Viðskiptavinur ber ábyrgð á heimild til þeirrar vinnslu.
4. Skyldur Verkstofu sem vinnsluaðila
- Vinnur upplýsingar aðeins samkvæmt skjalfestum fyrirmælum viðskiptavinar – notkun hans á kerfinu og stillingum – og aldrei í eigin þágu, til markaðssetningar, sölu eða þjálfunar gervigreindar. Telji Verkstofa fyrirmæli brjóta gegn lögum lætur hún viðskiptavin vita.
- Tryggir að starfsfólk og verktakar sem hafa aðgang séu bundnir trúnaði, einnig eftir að samningi lýkur.
- Gerir tæknilegar og skipulagslegar öryggisráðstafanir samkvæmt 32. gr. GDPR (sjá 6. gr.).
- Aðstoðar viðskiptavin við að svara beiðnum skráðra einstaklinga með aðgerðum í kerfinu eða innan 10 virkra daga frá beiðni, og við mat á áhrifum og samskipti við Persónuvernd.
- Tilkynnir viðskiptavini um öryggisbrest án ótilhlýðilegrar tafar og eigi síðar en 48 klst. eftir að hann verður ljós, með lýsingu á umfangi, afleiðingum og ráðstöfunum, svo viðskiptavinur geti tilkynnt Persónuvernd innan 72 klst.
- Svarar ekki skráðum einstaklingum eða yfirvöldum beint um gögn viðskiptavinar nema með samþykki hans eða samkvæmt lögum.
5. Undirvinnsluaðilar
Viðskiptavinur veitir almennt samþykki fyrir eftirfarandi undirvinnsluaðilum. Fyrirhugaðar breytingar eru tilkynntar með minnst 30 daga fyrirvara. Viðskiptavinur getur andmælt innan þess frests og, sé ekki fundin lausn, sagt upp án kostnaðar. Verkstofa gerir samninga við undirvinnsluaðila sem leggja á þá sambærilegar skyldur.
Alltaf notaðir
| Aðili | Hlutverk | Staðsetning vinnslu |
|---|---|---|
| Supabase Inc. | Gagnagrunnur, auðkenning, skráageymsla, lyklahólf (Vault), bakendaföll og tímastýrðar keyrslur | Frankfurt, Þýskalandi (AWS eu-central-1) |
| Netlify Inc. | Hýsing vefviðmóts (kyrrstæðar síður). Gögn viðskiptavina eru ekki geymd þar; aðgangsskrár (m.a. IP-tala) geta myndast | Alþjóðlegt dreifinet |
| Google LLC – Gemini API | Sjálfvirkur lestur reikninga og nótna, þýðing verklýsinga, hjálpari | Getur verið utan EES |
| Google LLC – Google Fonts og jsDelivr | Letur og opið forritasafn; vafrinn sendir IP-tölu | Alþjóðlegt |
| Tilkynningaþjónustur vafra (Apple, Google, Mozilla) | Ýtitilkynningar í síma – aðeins ef notandi leyfir | Alþjóðlegt |
| Resend Inc. | Kerfispóstur (tilkynningar, endurstilling lykilorðs, beiðni um afrit af nótu) þegar lén Verkstofu er komið; fram að því fer póstur um pósthólf viðskiptavinar | Getur verið utan EES |
Aðeins ef viðskiptavinur tengir þjónustuna sjálfur
| Aðili | Hlutverk | Staðsetning vinnslu |
|---|---|---|
| Google LLC – Gmail / Google Workspace | Lestur reikninga úr pósthólfi, drög að bréfum, sending pósts sem notandi velur | Samkvæmt samningi viðskiptavinar við Google |
| Bankar (Landsbankinn hf., Arion banki hf., Íslandsbanki hf.) | Bankafærslur, kröfur og greiðslur sem notandi samþykkir og staðfestir með rafrænum skilríkjum | Ísland |
| Peppol-miðlari (t.d. InExchange) | Móttaka og sending rafrænna reikninga | ESB/Ísland |
| Skatturinn | VSK-skil og staðgreiðsla sem notandi samþykkir – viðtakandi samkvæmt lögum | Ísland |
| Dokobit, UAB | Rafrænar undirritanir | Litháen (ESB) |
| Dropbox Inc. | Skjalageymsla | Samkvæmt samningi viðskiptavinar |
| dk hugbúnaður ehf., Regla ehf. | Innflutningur gagna úr fyrra kerfi | Ísland |
| Færsluhirðir posa (t.d. Teya) | Kortagreiðslur í kassa | ESB/Ísland |
Lífeyrissjóðir og stéttarfélög taka við skilagreinum sem viðskiptavinur ákveður að skila og eru viðtakendur samkvæmt lögum en ekki undirvinnsluaðilar.
6. Öryggisráðstafanir
- Dulkóðun í flutningi (TLS) og í geymslu; kennitölur og bankareikningar starfsfólks auk þess dulkóðuð í dálki með lykli í lyklahólfi (Vault) sem er skipt út árlega og við grun um leka.
- Raðaðgangsstýring (RLS) á öllum töflum; næturpróf staðfesta einangrun milli fyrirtækja, réttindi og eignarhald falla.
- Tveggja þátta auðkenning fyrir eigendur, stjórnendur, bókara og endurskoðendur; hlutverkaskipt aðgangsstýring; viðvörun við innskráningu af nýju tæki.
- Greiðslur fara aldrei sjálfkrafa – samþykki notanda í kerfinu og staðfesting í banka.
- Innskráningarsaga (400 dagar) og gagnadagbók yfir breytingar; bókhaldi og útgefnum reikningum verður ekki breytt.
- Öryggisstillingar vefsins (CSP, HSTS, vörn gegn innfellingu) og vikuleg sjálfvirk öryggisyfirferð gagnagrunns; vöktun keyrslna allan sólarhringinn og opinber stöðusíða.
- Dagleg afrit innan ESB; skjalfest atvikaferli og lyklaskiptaferli.
7. Flutningur út fyrir EES
Gagnagrunnur og skrár eru hýst innan ESB. Undirvinnsluaðilar utan EES vinna aðeins á grundvelli verndarráðstafana samkvæmt V. kafla GDPR, svo sem staðlaðra samningsskilmála framkvæmdastjórnar ESB eða gagnaverndarramma ESB og Bandaríkjanna.
8. Upplýsingar og úttektir
Verkstofa veitir viðskiptavini upplýsingar sem þarf til að sýna fram á að skyldur samkvæmt samningnum séu uppfylltar. Viðskiptavinur má gera úttekt einu sinni á ári, eða oftar ef lög krefjast, með minnst fjögurra vikna fyrirvara og á eigin kostnað. Óháð úttekt eða vottun getur komið í stað úttektar.
9. Gildistími og lok
Samningurinn gildir meðan Verkstofa vinnur upplýsingar fyrir viðskiptavin. Við lok samnings fær viðskiptavinur gögn sín afhent á stöðluðu sniði innan 14 daga og öðrum gögnum en bókhaldsgögnum er eytt innan 90 daga. Bókhaldsgögn eru varðveitt læst og aðeins til lestrar svo lengi sem bókhaldslög krefjast og síðan eytt.
10. Ábyrgð, lög og varnarþing
Hvor aðili ber ábyrgð á sektum og bótum sem honum er gert að greiða vegna eigin brota. Að öðru leyti fer um ábyrgð samkvæmt notendaskilmálum. Um samninginn gilda íslensk lög og ágreiningur fer fyrir Héraðsdóm Reykjavíkur.