Persónuverndarstefna

Vevja AS, org. nr. 938 295 735, Sagrønningen 1, 3271 Larvik, Noregi („við“, „okkur“ eða „okkar“) er ábyrgðaraðili persónuupplýsinga sem safnað er í gegnum vettvang okkar og auðkenningarþjónustu, í samræmi við almennu persónuverndarreglugerð ESB (GDPR) og Personopplysningsloven (norsku persónuverndarlögin). Að því er varðar persónuupplýsingar sem unnar eru fyrir hönd viðskiptavina okkar (vefsíðueigenda sem nota Vevja) er Vevja vinnsluaðili og viðskiptavinurinn ábyrgðaraðili. Um þá vinnslu gildir vinnslusamningur okkar, aðgengilegur á https://login.vevja.no/dpa. Hafðu samband: support@vevja.no

Við söfnum eftirfarandi flokkum persónuupplýsinga: Aðgangsupplýsingar: - Fornafn og eftirnafn - Netfang - Símanúmer (staðfest með SMS við skráningu) - Lykilorð tætt á öruggan hátt (aldrei geymt sem hreinn texti) - Hlutverk aðgangs og heimildir Auðkenningar- og öryggisgögn: - Gögn um staðfestingu tækja, þar á meðal tækjafingrafar sem notað er til að þekkja treyst tæki (vegna tveggja þátta auðkenningar) - IP-tala (tætt vegna greiningar, ekki geymd sem hreinn texti) - Auðkenningarfærslur og tímastimplar - Innskráningarsaga og skrár um 2FA-staðfestingar Notkunargögn: - Síður sem heimsóttar eru í stjórnborðinu - Notkunarmynstur eiginleika - Tegund vafra og stýrikerfi (vegna greiningar) Verslunargögn (ef við á): - Pöntunarsaga og færsluskrár - Upplýsingar um viðtakanda sendingar (nafn, heimilisfang, símanúmer) - Auðkenni greiðslumáta (unnin af greiðsluþjónustuaðilum okkar, ekki geymd af okkur) Gögn um lénaskráningu (ef þú skráir lén í gegnum þjónustuna): - Tengiliðaupplýsingar rétthafa (nafn, heimilisfang, netfang, sími) sem lénaskrár krefjast Smáforritsgögn (ef þú setur upp Vevja-smáforritið fyrir starfsfólk): - Auðkennislykill tækis fyrir ýtitilkynningar (notaður til að koma tilkynningum til skila í tækið þitt) Starfsmannagögn (tímaskráningareining, ef við á — unnin fyrir hönd vinnuveitanda þíns, sem er ábyrgðaraðili; sjá 13. kafla): - Tímastimplar við inn- og útstimplun - Skráningar um hlé - Vaktaáætlanir og saga vaktaskipta - Orlofs- og fjarvistaskrár - Launagrundvöllur og stillingar vinnutímasamninga - Fæðingardagur (þar sem reglur um vinnutíma krefjast þess) - Einkaskilaboð milli einstakra starfsmanna send í gegnum smáforritið

Við vinnum persónuupplýsingar þínar á grundvelli eftirfarandi heimilda samkvæmt GDPR Article 6: Efndir samnings (Art. 6(1)(b)): - Vinnsla aðgangsgagna til að veita þjónustuna - Vinnsla greiðslu- og pöntunargagna vegna verslunarviðskipta - Vinnsla upplýsinga um rétthafa til að skrá lén fyrir þína hönd - Umsýsla áskriftar þinnar og innheimtu Lögmætir hagsmunir (Art. 6(1)(f)): - Persónuverndarvæn greining til að bæta þjónustuna - Öryggisvöktun og varnir gegn svikum - Staðfesting tækja vegna tveggja þátta auðkenningar Samþykki (Art. 6(1)(a)): - Markaðssamskipti (aðeins með virku samþykki) - Ónauðsynlegar vefkökur (ef einhverjar eru) Lagaskylda (Art. 6(1)(c)): - Skatt- og bókhaldsgögn vegna verslunarviðskipta - Fylgni við norskar bókhaldskröfur samkvæmt Bokføringsloven (norsku bókhaldslögunum)

Við notum persónuupplýsingar þínar til að: - Veita, viðhalda og bæta þjónustuna. - Auðkenna þig og tryggja öryggi aðgangsins þíns. - Vinna færslur í gegnum vefverslunina. - Senda tölvupósta og SMS-skilaboð tengd viðskiptum (staðfesting aðgangs, endurstilling lykilorðs, 2FA-tenglar, pöntunarstaðfestingar). - Senda ýtitilkynningar í farsímann þinn ef þú setur upp smáforritið fyrir starfsfólk og virkjar tilkynningar (til dæmis um vaktabreytingar og spjallskilaboð starfsfólks; spjalltilkynningar innihalda nafn sendanda og stutta forskoðun skilaboðanna). - Búa til persónuverndarvæna greiningu (með tættum IP-tölum, engum rakningarkökum). - Veita gervigreindarknúna efnisþýðingu og myndaleit (sjá 5. kafla). - Vakta og tryggja öryggi þjónustunnar. - Uppfylla lagaskyldur. Við seljum ekki persónuupplýsingar þínar. Við notum gögnin þín ekki til gerðar persónusniðs eða sjálfvirkrar ákvarðanatöku sem hefur réttaráhrif.

Við notum gervigreind fyrir eftirfarandi eiginleika: Efnisþýðing: Við notum Mistral AI (franskt fyrirtæki með vinnslu innan ESB) til að þýða vefefni yfir á studd tungumál. Efnið sem sent er til þýðingar er sent óbreytt; ef síða inniheldur persónuupplýsingar (til dæmis nafn eða tengiliðaupplýsingar sem birtar eru á síðunni) fylgja þær upplýsingar með í efninu sem sent er til þýðingar. Myndaleit: Við notum gervigreindarþjónustur til að greina upphlaðnar myndir og búa til leitarbærar lýsingar. Myndgreiningargögn eru geymd staðbundið innan aðgangsins þíns. Efni sem sent er til gervigreindarveitenda er eingöngu notað til að veita þessa eiginleika og fellur undir vinnslusamning. Við sendum hvorki aðgangsgögn, viðskiptavinaskrár né aðrar geymdar persónuupplýsingar til gervigreindarveitenda — aðeins efnið sem þú velur að þýða eða myndirnar sem þú hleður upp til greiningar.

Við miðlum persónuupplýsingum aðeins til eftirfarandi flokka viðtakenda, og aðeins að því marki sem nauðsynlegt er: Greiðsluvinnsluaðilar: - Vipps MobilePay (Noregur) — greiðsluvinnsla og, þar sem það er virkjað, Vipps Login til innskráningar viðskiptavina - Stripe (vinnsla innan ESB/EES í gegnum Stripe Payments Europe) - Klarna (Svíþjóð) Þessir aðilar meðhöndla greiðslugögn samkvæmt eigin persónuverndarstefnum. Samskipti: - Bird — sendir tölvupósta og SMS-skilaboð okkar tengd viðskiptum (móttekur netföng, símanúmer og efni skilaboða) - Expo (Bandaríkin) — sendir ýtitilkynningar í farsíma fyrir smáforritið fyrir starfsfólk (móttekur auðkennislykla tækja fyrir ýtitilkynningar og efni tilkynninga, þar á meðal nafn sendanda og stutta forskoðun skilaboða í spjalltilkynningum). Eftir því hvaða tæki þú notar fara tilkynningar einnig um Apple Push Notification service eða Google Firebase Cloud Messaging. Innviðaveitendur: - Bunny.net — efnisdreifikerfi (CDN) og DNS - Hýsingar- og skýjageymsluveitendur (fyrir rekstur þjónustunnar og geymslu dulkóðaðra öryggisafrita gagnagrunna) Staðsetningargögn: - ipinfo.io — áætluð staðsetning út frá IP-tölu vegna öryggis og svæðisbundinna eiginleika Lénaskráning: - Viðurkenndir lénaskráningaraðilar og lénaskrár (fá tengiliðaupplýsingar rétthafa þegar þú skráir lén) Gervigreindarþjónustur: - Mistral AI (efnisþýðing og myndgreining, eins og lýst er í 5. kafla) Myndaleit: - Unsplash (fær aðeins leitarorð þegar þú leitar í myndasafni þeirra úr stjórnborðinu) Tengingar sem þú virkjar (gögnum aðeins miðlað þegar vefsíðueigandinn tengir þær): - Bókhalds- og launakerfi: Fiken, PowerOffice, Tripletex, Conta, Finago, Visma (fá nöfn viðskiptavina, tengiliðaupplýsingar og pöntunargögn vegna reikningagerðar og bókhalds; þar sem launatengingin er virkjuð fá þau einnig launagögn starfsfólks, svo sem unnar vinnustundir og launagrunnslínur) - Flutningsaðilar: Bring/Posten, PostNord, Helthjem (fá nafn, heimilisfang og símanúmer viðtakanda vegna sendingarmiða, verðútreikninga og rakningar) Við miðlum persónuupplýsingum þínum ekki til auglýsenda, gagnamiðlara eða annarra þriðju aðila í markaðstilgangi. Allir vinnsluaðilar þriðja aðila eru bundnir vinnslusamningum í samræmi við GDPR Article 28. Núgildandi lista yfir undirvinnsluaðila er einnig að finna í vinnslusamningi okkar á https://login.vevja.no/dpa.

Gögnin þín eru fyrst og fremst unnin og geymd á netþjónum í Evrópu og dulkóðuð öryggisafrit eru geymd innan ESB (í Þýskalandi). Sum þjónusta felur í sér flutning til Bandaríkjanna — einkum sendingu ýtitilkynninga í farsíma (Expo, Apple, Google). Þegar gögn eru flutt út fyrir EES (til dæmis þegar þriðji aðili vinnur gögn erlendis) tryggjum við að viðeigandi verndarráðstafanir séu til staðar, þar á meðal: - Stöðluð samningsákvæði ESB (SCC) - Ákvarðanir framkvæmdastjórnar Evrópusambandsins um fullnægjandi vernd, þar á meðal persónuverndarrammi ESB og Bandaríkjanna (EU-U.S. Data Privacy Framework) fyrir vottaða bandaríska þjónustuveitendur - Viðbótartækniráðstafanir svo sem dulkóðun Öryggisafrit gagnagrunna eru dulkóðuð og geymd þannig að aðgangur er takmarkaður við starfsfólk með heimild.

Við varðveitum persónuupplýsingar þínar aðeins eins lengi og nauðsynlegt er í þeim tilgangi sem lýst er í þessari stefnu: - Aðgangsgögn: Varðveitt meðan aðgangur þinn er virkur, auk 30 daga eftir eyðingu. - Auðkenningarskrár: Varðveittar í 90 daga af öryggisástæðum. - Aðgerðaskrár stjórnenda: Varðveittar í 90 daga. - Greiningargögn: Samantekin og gerð ópersónugreinanleg; hrágögn varðveitt í 12 mánuði. - Færslugögn verslunar: Varðveitt í 5 ár í samræmi við norsk bókhaldslög (Bokføringsloven). - Tímaskráningargögn: Varðveitt eins lengi og norsk vinnulöggjöf krefst. Að varðveislutíma loknum er gögnum eytt á öruggan hátt eða þau gerð ópersónugreinanleg.

Vevja fylgir persónuverndarvænni nálgun við rakningu: - Við notum ekki rakningarkökur þriðja aðila. - Við notum ekki auglýsingakökur. - Greiningarkerfið okkar notar tættar IP-tölur og reiðir sig ekki á vefkökur. - Við notum eingöngu nauðsynlegar setukökur vegna auðkenningar. Ekki er hægt að slökkva á nauðsynlegum vefkökum þar sem þær eru forsenda þess að þjónustan virki. Þar á meðal eru: - Setukökur til að viðhalda innskráningarstöðu þinni. - Öryggiskökur til staðfestingar á beiðnum.

Sem skráður einstaklingur nýtur þú eftirfarandi réttinda samkvæmt GDPR og norskum persónuverndarlögum: Réttur til aðgangs (Art. 15): Þú getur óskað eftir afriti af öllum persónuupplýsingum sem við geymum um þig. Réttur til leiðréttingar (Art. 16): Þú getur óskað eftir leiðréttingu á röngum persónuupplýsingum. Réttur til eyðingar (Art. 17): Þú getur óskað eftir eyðingu persónuupplýsinga þinna („rétturinn til að gleymast“), með fyrirvara um lögbundnar varðveisluskyldur. Þú getur einnig óskað eftir eyðingu aðgangs beint í aðgangsstillingum þínum. Réttur til takmörkunar á vinnslu (Art. 18): Þú getur óskað eftir því að við takmörkum hvernig við vinnum gögnin þín. Réttur til að flytja eigin gögn (Art. 20): Þú getur óskað eftir gögnum þínum á skipulegu, tölvulesanlegu sniði. Andmælaréttur (Art. 21): Þú getur andmælt vinnslu sem byggist á lögmætum hagsmunum. Réttur til að afturkalla samþykki (Art. 7(3)): Þegar vinnsla byggist á samþykki getur þú afturkallað það hvenær sem er. Til að nýta einhver þessara réttinda skaltu hafa samband við okkur á support@vevja.no. Við svörum án ótilhlýðilegrar tafar og í síðasta lagi innan eins mánaðar, eins og GDPR krefst.

Við beitum viðeigandi tæknilegum og skipulagslegum ráðstöfunum til að vernda persónuupplýsingar þínar, þar á meðal: - Lykilorð eru tætt á öruggan hátt (aldrei geymd sem hreinn texti). - Tveggja þátta auðkenning með staðfestingu tækja. - Örugg auðkenning byggð á aðgangslyklum (tókum) með skammlífum setum. - Dulkóðuð öryggisafrit með sjálfvirkum varðveislureglum. - Hlutverkamiðuð aðgangsstýring með nákvæmum heimildum. - Einangrun gagna sem tryggir aðskilnað milli viðskiptavina. - Regluleg öryggisvöktun og viðbrögð við öryggisatvikum. Þrátt fyrir þessar ráðstafanir er ekkert kerfi fullkomlega öruggt. Verðum við vör við öryggisbrest við meðferð persónuupplýsinga sem líklegt er að hafi í för með sér áhættu fyrir réttindi þín og frelsi munum við tilkynna hann norsku persónuverndarstofnuninni (Datatilsynet) innan 72 klukkustunda, eins og GDPR Article 33 krefst, og tilkynna þér það án ótilhlýðilegrar tafar sé líklegt að bresturinn hafi í för með sér mikla áhættu fyrir réttindi þín, eins og GDPR Article 34 krefst.

Notendur verða að vera að minnsta kosti 15 ára til að stofna aðgang á eigin vegum; notendur á aldrinum 13 til 15 ára þurfa samþykki foreldris eða forráðamanns. Þetta aldursskilyrði er okkar eigin stefna og er strangara en 13 ára lágmarksaldurinn sem börn þurfa að hafa náð til að geta sjálf veitt samþykki fyrir vinnslu persónuupplýsinga sinna í tengslum við þjónustu í upplýsingasamfélaginu samkvæmt Personopplysningsloven (norsku persónuverndarlögunum) §5. Við söfnum ekki vísvitandi persónuupplýsingum frá börnum yngri en 13 ára. Komumst við að því að við höfum safnað persónuupplýsingum frá barni yngra en 13 ára án samþykkis foreldris munum við eyða þeim gögnum án tafar.

Hver viðskiptavinur á Vevja-vettvangnum hefur einangrað umhverfi: - Gögn viðskiptavina eru geymd aðskilin og á öruggan hátt. - Viðskiptavinir hafa ekki aðgang að gögnum annarra viðskiptavina. - Þegar viðskiptavinur safnar gögnum frá gestum vefsíðu sinnar er viðskiptavinurinn ábyrgðaraðili og Vevja vinnsluaðili, eins og fram kemur í vinnslusamningi okkar (https://login.vevja.no/dpa). - Viðskiptavinir bera ábyrgð á eigin persónuverndarstefnum og fylgni við GDPR vegna gagna sem þeir safna frá gestum sínum.

Ef þú telur að brotið hafi verið gegn persónuverndarréttindum þínum átt þú rétt á að leggja fram kvörtun til norsku persónuverndarstofnunarinnar: Datatilsynet Postboks 458 Sentrum 0105 Oslo, Norway Website: www.datatilsynet.no Email: postkasse@datatilsynet.no Þú átt einnig rétt á að leggja fram kvörtun til eftirlitsstjórnvalds í því aðildarríki ESB/EES þar sem þú hefur fasta búsetu eða starfar.

Við kunnum að uppfæra þessa persónuverndarstefnu öðru hverju til að endurspegla breytingar á starfsháttum okkar, tækni eða lagakröfum. Við tilkynnum þér um verulegar breytingar með tölvupósti eða í gegnum þjónustuna að minnsta kosti 30 dögum áður en þær taka gildi. Núgildandi útgáfa þessarar persónuverndarstefnu er ávallt aðgengileg á þessari síðu.

Ef þú hefur spurningar um þessa persónuverndarstefnu eða vilt nýta persónuverndarréttindi þín, vinsamlegast hafðu samband við okkur: Vevja AS, org. nr. 938 295 735 Sagrønningen 1, 3271 Larvik, Noregi Netfang: support@vevja.no Vefsíða: https://vevja.no Vegna fyrirspurna um persónuvernd getur þú einnig haft beint samband við persónuverndarteymi okkar á privacy@vevja.no.