Persónuverndarstefna

1. Um þessa stefnu

Þessi persónuverndarstefna gildir um vefinn vidskiptastofan.is og þjónustuna Viðskiptastofuna – gervigreindaraðstoðarmann sem útbýr reikningsuppkast, svör við tölvupósti og flokkar útgjöld og virðisaukaskatt (VSK) fyrir lítil fyrirtæki.

Stefnan byggir á lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679 (almennu persónuverndarreglugerðinni, „GDPR“), sem hefur lagagildi á Íslandi samkvæmt lögunum.

Útgáfa: 2026-10-04-drog-2 · Síðast uppfært: 4. október 2026 · Tekur gildi: [PLACEHOLDER: gildistökudagur]

2. Hver ber ábyrgð á vinnslunni?

Ábyrgðaraðili vinnslu persónuupplýsinga um notendur þjónustunnar er [PLACEHOLDER: heiti félags, t.d. Viðskiptastofan ehf.], kt. [PLACEHOLDER: kennitala], [PLACEHOLDER: heimilisfang] („Viðskiptastofan“, „við“). Samskiptaupplýsingar eru í kafla 15.

Persónuverndarfulltrúi: [PLACEHOLDER: nafn og netfang, ef skipaður]. [LÖGFRÆÐINGUR þarf að staðfesta] – hvort skylt sé að skipa persónuverndarfulltrúa (37. gr. GDPR) miðað við umfang vinnslunnar.

3. Tvö hlutverk: ábyrgðaraðili og vinnsluaðili

Viðskiptastofan gegnir tveimur ólíkum hlutverkum eftir því hvaða gögn eiga í hlut:

• Við erum ábyrgðaraðili fyrir upplýsingar um þig sem notanda: aðganginn þinn, innskráningu, öryggi þjónustunnar og samskipti við þig.
• Við erum vinnsluaðili fyrir það efni sem þú og fyrirtæki þitt setjið inn um aðra – t.d. viðskiptavini, reikninga, kvittanir, tölvupósta sem þú límir inn og spjall. Þar er fyrirtæki þitt ábyrgðaraðili og ber ábyrgð á að hafa heimild til vinnslunnar og að upplýsa þá sem upplýsingarnar varða. Við vinnum aðeins með þessi gögn samkvæmt fyrirmælum þínum, þ.e. til að veita þjónustuna (28. gr. GDPR).

Skilmálar um vinnslu okkar sem vinnsluaðila eru í 6. kafla notkunarskilmálanna. [LÖGFRÆÐINGUR þarf að staðfesta] – hvort sá kafli fullnægi kröfum 3. mgr. 28. gr. GDPR eða hvort gera þurfi sérstakan vinnslusamning.

4. Hvaða upplýsingar vinnum við með?

Viðkvæmar upplýsingar. Við biðjum ekki um viðkvæmar persónuupplýsingar (t.d. um heilsu, trúarbrögð eða stéttarfélagsaðild). Settu slíkar upplýsingar ekki inn í texta, tölvupósta eða kvittanir nema brýna nauðsyn beri til.

Kennitölur. Kennitala fyrirtækis er valfrjáls og aðeins snið hennar er athugað (10 tölustafir) – engin uppfletting fer fram. Hjá einstaklingum í eigin rekstri getur kennitala fyrirtækis verið persónuleg kennitala. Kennitölur viðskiptavina eru aðeins skráðar ef þú setur þær inn, t.d. til að þær birtist á reikningi. Notkun kennitalna þarf að eiga sér málefnalegan tilgang og vera nauðsynleg til öruggrar persónugreiningar (13. gr. laga nr. 90/2018). [LÖGFRÆÐINGUR þarf að staðfesta]

Demo. Hnappurinn „Prófa demo“ býr til einkasandkassa með uppspunnum gögnum án þess að þú gefir upp nafn eða netfang. Sandkassanum er eytt eftir um sólarhring. Það sem þú skrifar í demo er þó unnið eins og annað efni, líka af gervigreind ef hún er virk – settu ekki raunveruleg gögn inn í demo.

5. Tilgangur og lagagrundvöllur

Við byggjum vinnsluna ekki á samþykki samkvæmt a-lið 1. mgr. 6. gr. GDPR. Hakið við nýskráningu staðfestir að þú hafir lesið og samþykkt notkunarskilmálana og kynnt þér þessa stefnu; það er ekki samþykki fyrir vinnslu persónuupplýsinga í skilningi GDPR. [LÖGFRÆÐINGUR þarf að staðfesta]

Við seljum ekki persónuupplýsingar, notum þær ekki í markaðssetningu og notum efnið þitt ekki til að þjálfa gervigreindarlíkön. Um meðferð gervigreindarveitna á gögnum, sjá kafla 6.

6. Gervigreind og hvað er sent til hennar

Þegar gervigreind er virk sendir Viðskiptastofan texta í gegnum OpenRouter (OpenRouter, Inc., Bandaríkjunum), sem kemur honum áfram til gervigreindarlíkans. Eins og þjónustan er stillt núna eru notuð:

• Reikningsuppkast, flokkun kvittana og lestur mynda/PDF af kvittunum: líkanið GPT-6 Luna frá OpenAI (Bandaríkjunum).
• Svör við tölvupósti og spjall: líkanið Claude Sonnet 5.5 frá Anthropic (Bandaríkjunum).

Hvað er sent: textinn sem þú skrifar eða límir inn (lýsing á reikningi, tölvupóstur, texti kvittunar eða spjallskilaboð). Auk þess: nafn fyrirtækis þíns og nafn þitt (sem undirskrift í svörum við tölvupósti), nöfn viðskiptavina sem þú hefur skráð (svo uppkast að reikningi noti rétt nafn) og samtölur útistandandi reikninga (í spjalli). Kennitölur, heimilisföng og netföng viðskiptavina og bankareikningur eru ekki send nema þau komi fram í textanum sem þú setur sjálf(ur) inn.

Myndir og PDF af kvittunum: þegar þú hleður upp kvittun er textalag PDF-skjals sent ef það er til; annars er myndin (minnkuð, án staðsetningar- og annarra EXIF-lýsigagna) eða PDF-skjalið sent til líkansins. Allt sem sést á kvittuninni getur því borist líkaninu, t.d. síðustu tölustafir greiðslukorts eða nafn starfsmanns. Upprunalega skráin (mynd sem JPEG án lýsigagna, PDF óbreytt) er geymd í gagnagrunni okkar með útgjaldafærslunni, fylgir gagnaútflutningi og er eytt þegar færslunni eða aðganginum er eytt. [LÖGFRÆÐINGUR þarf að staðfesta]

Gögnin fara út fyrir EES. OpenRouter, OpenAI og Anthropic eru bandarísk fyrirtæki og textinn er unninn utan Evrópska efnahagssvæðisins. Sjá kafla 8 um þær verndarráðstafanir sem miðlunin byggir á.

Varðveisla hjá gervigreindarveitum: [PLACEHOLDER: hve lengi OpenRouter og líkanaveitur geyma fyrirspurnir og svör, og staðfesting á að efni sé ekki notað til þjálfunar – t.d. með því að slökkva á skráningu fyrirspurna hjá OpenRouter og velja aðeins veitur sem geyma engin gögn („zero data retention“)]. [LÖGFRÆÐINGUR þarf að staðfesta] OpenRouter getur beint fyrirspurn til fleiri en eins hýsingaraðila sama líkans; staðfesta þarf hvaða aðilar geta tekið við gögnunum. [LÖGFRÆÐINGUR þarf að staðfesta]

Þú tekur ákvörðunina. Allt sem gervigreindin skilar er uppkast. Ekkert er sent til viðskiptavina, bókhaldskerfa eða Skattsins, og reikningar, útgjöld og VSK-yfirlit verða ekki hluti af yfirlitum fyrr en þú samþykkir þau. Því eru engar sjálfvirkar ákvarðanir teknar um einstaklinga í skilningi 22. gr. GDPR. Gervigreind getur gert mistök – farðu alltaf yfir uppkastið.

Án gervigreindar. Í prufuham („mock“) er engin gervigreind notuð og ekkert sent til þriðju aðila; uppkast er þá búið til með föstum reglum á okkar þjóni. Sama gildir þegar dagleg mörk gervigreindarkalla hafa náðst.

7. Vinnsluaðilar sem við notum

Við notum eftirfarandi þjónustuaðila (undirvinnsluaðila) til að reka Viðskiptastofuna. Þeir fá aðeins aðgang að gögnum að því marki sem þarf til að veita sína þjónustu.

[PLACEHOLDER: staðfesta að vinnslusamningar hafi verið samþykktir við alla aðilana hér að ofan og hvenær]. Við upplýsum um fyrirhugaðar breytingar á vinnsluaðilum með [PLACEHOLDER: t.d. 30 daga] fyrirvara, svo fyrirtæki þitt geti andmælt þeim (2. mgr. 28. gr. GDPR). [LÖGFRÆÐINGUR þarf að staðfesta]

Við kunnum að þurfa að afhenda upplýsingar ef lög eða bindandi ákvörðun stjórnvalda eða dómstóla krefjast þess.

8. Miðlun út fyrir Evrópska efnahagssvæðið (EES)

Gagnagrunnurinn er í Evrópusambandinu (Frankfurt). Hins vegar eru OpenRouter, OpenAI, Anthropic, Vercel og Resend með höfuðstöðvar í Bandaríkjunum, og texti sem sendur er til gervigreindar er unninn þar. Bandaríkin eru „þriðja ríki“ í skilningi GDPR.

Miðlunin byggir á stöðluðum samningsákvæðum framkvæmdastjórnar ESB (Standard Contractual Clauses, SCCs) sem eru hluti af vinnslusamningum viðkomandi aðila, og eftir atvikum á vottun þeirra samkvæmt gagnaverndarramma ESB og Bandaríkjanna (EU–U.S. Data Privacy Framework). [LÖGFRÆÐINGUR þarf að staðfesta] – hvaða aðilar eru vottaðir, hvort ákvörðun um gagnaverndarrammann taki til Íslands í gegnum EES-samninginn, hvaða einingar (modules) SCC eiga við og hvort mat á áhrifum miðlunar (TIA) liggi fyrir.

Viðbótarráðstafanir: öll samskipti eru dulkóðuð í flutningi (TLS), og við sendum gervigreind aðeins þann texta sem þarf til verksins (sjá kafla 6).

Þú getur óskað eftir afriti af viðeigandi verndarráðstöfunum með því að hafa samband við okkur (kafli 15).

9. Hve lengi geymum við gögnin?

10. Réttindi þín

Þú átt eftirfarandi réttindi samkvæmt GDPR og lögum nr. 90/2018. Mörg þeirra getur þú nýtt sjálf(ur) í appinu:

• Aðgangur og flutningur gagna (15. og 20. gr.): Stillingar → Sækja gögnin mín gefur þér öll gögn aðgangsins og fyrirtækisins í véllesanlegu JSON-skjali (lykilorðs-hash og innri tákn eru undanskilin).
• Leiðrétting (16. gr.): Þú getur breytt nafni þínu og upplýsingum fyrirtækis í Stillingum og breytt reikningum sem eru uppkast. Netfangi er ekki hægt að breyta í appinu enn – hafðu samband við okkur.
• Eyðing (17. gr.): Stillingar → Eyða aðgangi (staðfest með lykilorði og orðinu „EYÐA“) eyðir aðganginum, fyrirtækinu og öllum gögnum þess óafturkræft. Sjá kafla 9 um afrit og bókhald. Útgefnir áskriftarreikningar sem við gefum út til þín falla undir lagaskyldu um varðveislu bókhaldsgagna og eru því ekki eyddir með aðganginum (undantekning skv. c-lið 3. mgr. 17. gr. GDPR). [LÖGFRÆÐINGUR þarf að staðfesta]
• Takmörkun vinnslu (18. gr.) og andmæli (21. gr.), sérstaklega gegn vinnslu sem byggir á lögmætum hagsmunum (t.d. öryggisteljurum). Hafðu samband og við metum beiðnina.
• Kvörtun til Persónuverndar: Þú getur alltaf kvartað til Persónuverndar, Laugavegi 166, 105 Reykjavík, netfang postur@personuvernd.is, sími 510 9600, www.personuvernd.is.

Við svörum beiðnum án ótilhlýðilegrar tafar og innan mánaðar (12. gr. GDPR). Við gætum þurft að staðfesta hver þú ert áður en við verðum við beiðni.

Viðskiptavinir notenda og aðrir sem efnið varðar skulu beina beiðnum sínum til viðkomandi fyrirtækis, sem er ábyrgðaraðili. Berist slík beiðni til okkar komum við henni áleiðis eða aðstoðum fyrirtækið við að svara henni.

Demo-sandkassar eru nafnlausir og þeim er eytt sjálfkrafa eftir um sólarhring; þar er ekki hægt að sækja eða eyða gögnum handvirkt.

11. Vefkökur

Viðskiptastofan notar aðeins eina vefköku, og hún er nauðsynleg til að halda þér innskráðum:

Við notum engar greiningar-, auglýsinga- eða samfélagsmiðlakökur og enga rakningu. Letur og önnur skráasöfn eru hýst hjá okkur sjálfum, svo vafrinn sækir ekkert til þriðju aðila. Þar sem kakan er bráðnauðsynleg til að veita þjónustuna sem þú biður um er ekki óskað eftir samþykki fyrir henni. [LÖGFRÆÐINGUR þarf að staðfesta] (lög nr. 70/2022 um fjarskipti)

12. Öryggi

Við beitum m.a. eftirfarandi tæknilegum og skipulagslegum ráðstöfunum:

• Öll samskipti eru dulkóðuð (HTTPS/TLS, HSTS).
• Lykilorð eru geymd með scrypt og einstöku salti; þau eru aldrei geymd eða skráð í læsilegu formi.
• Innskráningarkakan er undirrituð, HttpOnly og SameSite. Innskráningar ógildast þegar lykilorði er breytt.
• Vörn gegn CSRF (uppruni beiðna er athugaður) og öryggishausar (m.a. Content-Security-Policy).
• Gögn hvers fyrirtækis eru aðskilin: hver fyrirspurn í gagnagrunn er bundin við fyrirtæki innskráðs notanda, og sjálfvirk próf sannreyna að einn notandi komist ekki í gögn annars.
• Takmörkun á fjölda innskráningartilrauna, nýskráninga og gervigreindarkalla. IP-tölur og netföng í teljurum eru geymd sem söltuð hash-gildi.
• Gagnagrunnurinn er dulkóðaður í hvíld hjá hýsingaraðila. [LÖGFRÆÐINGUR þarf að staðfesta] (staðfesta hjá Neon)
• [PLACEHOLDER: aðgangsstýring starfsmanna að framleiðsluumhverfi, tveggja þátta auðkenning á stjórnendaaðgöngum hjá Vercel, Neon og OpenRouter, verklag við afritun og endurheimt]

Takmarkanir sem við viljum að þú vitir af: tveggja þátta auðkenning er ekki enn í boði fyrir notendur, og útskráning eyðir kökunni í vafranum en ógildir ekki innskráninguna á þjóninum fyrr en hún rennur út eða lykilorði er breytt.

Öryggisbrestir. Verði öryggisbrestur sem varðar persónuupplýsingar tilkynnum við hann til Persónuverndar innan 72 klukkustunda þar sem það á við og látum þig vita án ótilhlýðilegrar tafar. Varði bresturinn efni sem við vinnum sem vinnsluaðili tilkynnum við fyrirtæki þínu um hann án ótilhlýðilegrar tafar (33. og 34. gr. GDPR). [LÖGFRÆÐINGUR þarf að staðfesta]

13. Börn

Viðskiptastofan er ætluð fyrirtækjum og einstaklingum í rekstri sem eru 18 ára eða eldri. Við söfnum ekki vísvitandi upplýsingum um börn. Ef efni sem þú setur inn varðar börn (t.d. tölvupóstur frá foreldri) berð þú, sem ábyrgðaraðili, ábyrgð á að vinnslan sé heimil. [LÖGFRÆÐINGUR þarf að staðfesta]

14. Breytingar á stefnunni

Við kunnum að uppfæra þessa stefnu, t.d. ef þjónustan eða vinnsluaðilar breytast. Hver útgáfa hefur útgáfunúmer og dagsetningu efst. Við efnislegar breytingar látum við þig vita með tölvupósti eða í appinu með [PLACEHOLDER: t.d. 30 daga] fyrirvara. Útgáfan sem þú samþykktir við nýskráningu er skráð með aðganginum þínum. Eldri útgáfur fást sendar sé þess óskað. [LÖGFRÆÐINGUR þarf að staðfesta]

15. Hafðu samband

• [PLACEHOLDER: heiti félags, t.d. Viðskiptastofan ehf.]
• Kennitala: [PLACEHOLDER: kennitala félags]
• Heimilisfang: [PLACEHOLDER: heimilisfang, póstnúmer og staður]
• Netfang vegna persónuverndar: [PLACEHOLDER: t.d. personuvernd@vidskiptastofan.is]
• Almennt netfang: [PLACEHOLDER: t.d. hallo@vidskiptastofan.is]
• Vefur: vidskiptastofan.is