Persónuverndarstefna

Persónuvernd og trúnaður eru mikilvægur hluti af starfsemi EB. Einarsson ehf. Stefnan lýsir hvernig félagið vinnur persónuupplýsingar þegar einstaklingar heimsækja einarsson.io, eiga samskipti við félagið eða nota stafrænar lausnir þess.

Stefnan tekur mið af lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679, almennu persónuverndarreglugerðinni (GDPR).

Sértæk fræðsla kann einnig að birtast í einstökum lausnum áður en upplýsingum er safnað. Ef sértæk fræðsla og þessi stefna fjalla um sömu vinnslu gildir sértækari fræðslan um þá vinnslu.

Ábyrgðaraðili þeirrar vinnslu sem lýst er í stefnunni er:

Fyrirspurnir, beiðnir um réttindi og önnur erindi vegna persónuverndar má senda á hello@einarsson.io.

EB. Einarsson ehf. getur ýmist verið ábyrgðaraðili eða vinnsluaðili persónuupplýsinga.

• Félagið er ábyrgðaraðili þegar það ákveður tilgang og aðferðir vinnslu, til dæmis vegna samskipta, viðskipta, reikningsgerðar, reksturs eigin vefsvæða og beinnar þjónustu við einstaklinga.
• Félagið er vinnsluaðili þegar það rekur mat eða aðra lausn fyrir viðskiptavin sem ákveður tilgang vinnslunnar, til dæmis fyrirtæki eða stofnun. Þá fer vinnslan fram samkvæmt vinnslusamningi og skjalfestum fyrirmælum viðskiptavinarins.

Viðskiptavinurinn ber þá ábyrgð á að hafa heimild til vinnslunnar, veita þátttakendum viðeigandi fræðslu og afgreiða réttindabeiðnir, nema annað sé sérstaklega samið.

Eftir eðli þjónustunnar kann að vera unnið með eftirfarandi upplýsingar:

• nafn, netfang og aðrar tengiliðaupplýsingar;
• upplýsingar um fyrirtæki, stofnun, teymi eða hóp;
• upplýsingar um þann sem stofnar eða hefur umsjón með mati;
• svör við matsspurningum og valfrjáls opin textasvör;
• skor, flokkun, samantektir, ráðleggingar og aðrar afleiddar niðurstöður;
• upplýsingar vegna samninga, reikningsgerðar og viðskipta;
• IP-tölur, tímasetningar, tæki eða vafraupplýsingar, umbeðnar slóðir, villu- og rekstrarupplýsingar og öryggis- og aðgangsskráningar.

Notendur eru hvattir til að skrá ekki viðkvæmar persónuupplýsingar eða nöfn annarra í opna textareiti nema það sé nauðsynlegt og skýr heimild sé fyrir vinnslunni.

Þegar vinnsla byggist á lögmætum hagsmunum er metið hvort hagsmunir félagsins vegi þyngra en réttindi og frelsi viðkomandi einstaklings. Þegar vinnsla byggist á samþykki má draga það til baka. Afturköllun hefur ekki áhrif á lögmæti vinnslu sem þegar hefur farið fram.

EB. Einarsson ehf. þróar og rekur veflausnir sem styðja meðal annars við sjálfsmat, teymisþróun, breytingastarf og mat á stafrænni stöðu fyrirtækja og stofnana.

Stefnan tekur nú meðal annars til lausnanna PAEI, ChangeReady, TeamCompass og TransformCompass. Nánari lýsing á tilgangi, virkni og notkun hverrar lausnar er aðgengileg frá einarsson.io og, eftir því sem við á, í viðkomandi lausn áður en upplýsingum er safnað.

Í lausnunum kann að vera unnið með tengiliðaupplýsingar, upplýsingar um teymi eða skipulagsheildir, svör við matsspurningum, valfrjáls opin textasvör og niðurstöður sem reiknaðar eru út frá svörum.

Lausnirnar eru ætlaðar til sjálfsmats, fræðslu, umræðu, ráðgjafar og umbótastarfs. Þær fela ekki í sér klínískt eða sálfræðilegt mat og niðurstöður þeirra eiga ekki að vera eini grundvöllur ákvarðana um ráðningu, starfskjör, frammistöðu eða önnur réttindi einstaklinga.

Sumar lausnir nota sérstaka hlekki eða auðkenni til að veita aðgang að matseyðublöðum, könnunum, niðurstöðum eða umsjón tiltekins mats.

Sá sem fær slíkan hlekk kann að geta opnað viðkomandi efni án sérstakrar innskráningar. Meðhöndla skal niðurstöðu- og stjórnunarhlekki sem trúnaðarupplýsingar. Notendur skulu ekki áframsenda slíka hlekki nema til þeirra sem hafa heimild til aðgangs og eru hvattir til að tilkynna félaginu ef grunur vaknar um óheimilan aðgang.

Aðgangshlekkir hafa takmarkaðan gildistíma og er unnt að gera þá ógilda. Nánari reglur geta verið mismunandi eftir lausnum.

Lausnir félagsins geta reiknað skor, flokkað niðurstöður og birt ráðleggingar á grundvelli svara. Úrvinnslan er ætluð til sjálfsmats, fræðslu, umræðu, ráðgjafar og skipulagningar umbóta.

Hún felur ekki í sér sjálfvirka ákvörðun sem hefur lagaleg eða sambærileg veruleg áhrif á einstakling. Niðurstöður eiga ekki að vera eini grundvöllur ákvarðana um ráðningu, starfskjör, frammistöðu eða önnur réttindi einstaklinga.

Matssvör og niðurstöður eru ekki notuð til þjálfunar almennra gervigreindarlíkana af hálfu EB. Einarsson ehf.

EB. Einarsson ehf. selur ekki persónuupplýsingar. Upplýsingar kunna að vera unnar af þjónustuaðilum sem annast hýsingu, gagnagrunna, tölvupóstsendingar, rekstrarvöktun, öryggi og afritun.

Staðsetningarnar og notkun þjónustuaðila hér að framan lýsa þeim stillingum sem hafa verið staðfestar með tæknilegri yfirferð og stjórnborðum þjónustuaðila við gildistöku stefnunnar. Keyrslusvæði Vercel-bakendafalla og sendingarsvæði Resend geta breyst ef verkefnisstillingum er breytt. Staðsetning rekstrarskráninga og annarra þjónustugagna Vercel og nákvæm staðsetning allrar vinnslu hjá Titan Email hafa ekki verið staðfest.

Þjónustuaðilar fá aðeins þann aðgang sem nauðsynlegur er og skulu sæta viðeigandi samningsbundnum kröfum um persónuvernd, trúnað og öryggi. Upplýsingar kunna einnig að vera afhentar stjórnvöldum þegar slíkt er skylt samkvæmt lögum.

Í PAEI og ChangeReady eru matsniðurstöður við gildistöku þessarar útgáfu sendar beint í tölvupósti í gegnum Resend. Þær fara því bæði í gegnum Resend og til póstþjónustu og pósthólfs viðtakanda. Samskiptaform einarsson.io sendir á sama hátt nafn, netfang og efni fyrirspurnar í gegnum Resend. Viðtakendur eru hvattir til að varðveita slíka tölvupósta og viðhengi með öruggum hætti. Í TeamCompass og TransformCompass er Resend ekki notað.

Gagnagrunnar TeamCompass og TransformCompass hjá Neon eru hýstir í Frankfurt í Þýskalandi og þar með innan Evrópska efnahagssvæðisins.

Bakendaföll einarsson.io, PAEI, ChangeReady, TeamCompass og TransformCompass hjá Vercel keyra í Frankfurt í Þýskalandi og þar með innan EES. Vercel afhendir þó vefefni um dreift alþjóðlegt dreifikerfi og staðsetning rekstrarskráninga og annarra þjónustugagna er ekki bundin við keyrslusvæðið. Slík gögn kunna því að vera unnin utan EES.

Resend er í notkun fyrir samskiptaform einarsson.io og niðurstöðupósta PAEI og ChangeReady. Tölvupóstur er sendur frá eu-west-1 á Írlandi, en val á sendingarsvæði ræður ekki hvar reiknings- og þjónustugögn Resend eru geymd. Lýsigögn tölvupósta, sendingarskráningar og API-færslur eru geymd í Bandaríkjunum og API-færslur kunna að innihalda beiðnigögn, þar á meðal efni skilaboða. Resend er hvorki í notkun í TeamCompass né TransformCompass við gildistöku þessarar útgáfu.

GitHub, Bluehost og Titan Email kunna að vinna reiknings-, höfundar-, tæknileg, samskipta- eða þjónustugögn utan EES. GitHub geymir þó hvorki matssvör, matsniðurstöður né erindi úr samskiptaforminu.

Slík vinnsla fer aðeins fram á grundvelli heimildar samkvæmt lögum nr. 90/2018 og almennu persónuverndarreglugerðinni. Eftir atvikum er stuðst við ákvörðun um fullnægjandi vernd, staðlaða samningsskilmála framkvæmdastjórnar Evrópusambandsins eða aðrar viðurkenndar verndarráðstafanir.

Persónuupplýsingar og trúnaðarupplýsingar eru ekki varðveittar lengur en nauðsynlegt er miðað við tilgang vinnslunnar, fyrirmæli viðskiptavinar og lagaskyldur. Almennar varðveislureglur eru eftirfarandi:

Þegar varðveislutíma lýkur er upplýsingum eytt eða þær gerðar varanlega ópersónugreinanlegar. Ópersónugreining telst aðeins fullnægjandi ef ekki er með sanngjörnum hætti unnt að tengja upplýsingarnar aftur við einstakling, teymi, fyrirtæki eða stofnun.

Viðskiptavinur getur óskað eftir öðrum varðveislutíma þegar málefnaleg ástæða er fyrir því og slíkt samræmist lögum. Þegar félagið er vinnsluaðili fer varðveisla og eyðing jafnframt eftir skjalfestum fyrirmælum ábyrgðaraðila.

Eyðing úr virkum gagnagrunni tekur ekki alltaf samstundis til fyrirliggjandi öryggisafrita. Slík gögn verða ekki sett aftur í virka notkun nema við endurheimt vegna rekstrar- eða öryggisatviks og eyðast þegar viðkomandi endurheimtargluggi rennur út.

Félagið kann að nota nauðsynlegar vafrakökur eða sambærilega tækni til að halda þjónustunni virkri, stýra aðgangi og tryggja öruggan rekstur.

Ónauðsynlegar vafrakökur, markaðstækni eða greiningartól verða ekki virkjuð nema notandi hafi fengið viðeigandi upplýsingar og veitt samþykki þegar þess er krafist. Ef slík tækni er notuð verður birt nánari fræðsla um tilgang, þjónustuaðila og gildistíma hennar.

EB. Einarsson ehf. beitir tæknilegum og skipulagslegum ráðstöfunum sem taka mið af eðli upplýsinganna, umfangi vinnslunnar og þeirri áhættu sem henni fylgir. Ráðstafanirnar geta meðal annars náð til:

• dulkóðaðra samskipta;
• aðgangsstýringar og takmörkunar stjórnendaaðgangs;
• verndar leynilykla og tengiupplýsinga;
• sannprófunar inntaks;
• afritunar og endurheimtar;
• rekstrar-, villu- og öryggisvöktunar;
• reglulegra uppfærslna og viðhalds; og
• verklags vegna öryggisbresta.

Notendur bera jafnframt ábyrgð á að varðveita aðgangshlekki og niðurstöður með öruggum hætti.

Komi upp öryggisbrestur við meðferð persónuupplýsinga verður umfang hans og áhætta metin og gripið til ráðstafana til að takmarka áhrif.

Persónuvernd verður tilkynnt um brest þegar lagaskilyrði þess eru uppfyllt. Viðkomandi einstaklingum verður einnig tilkynnt ef líklegt er að bresturinn leiði af sér mikla áhættu fyrir réttindi þeirra og frelsi.

Þegar EB. Einarsson ehf. starfar sem vinnsluaðili verður ábyrgðaraðila tilkynnt um öryggisbrest án ótilhlýðilegrar tafar.

Einstaklingur kann eftir aðstæðum að eiga rétt á að:

• fá upplýsingar um hvort unnið sé með persónuupplýsingar um hann og fá aðgang að þeim;
• fá rangar eða ófullkomnar upplýsingar leiðréttar;
• óska eftir eyðingu eða takmörkun vinnslu;
• mótmæla vinnslu sem byggist á lögmætum hagsmunum;
• fá upplýsingar afhentar á tölvulesanlegu formi þegar réttur til gagnaflutnings á við; og
• draga samþykki sitt til baka.

Réttindin eru ekki algild og geta sætt undantekningum samkvæmt lögum. Beiðni skal senda á hello@einarsson.io. Nauðsynlegt kann að vera að staðfesta auðkenni beiðanda áður en beiðni er afgreidd.

Beiðnum verður svarað án ótilhlýðilegrar tafar og almennt innan eins mánaðar. Ef félagið vinnur upplýsingarnar fyrir hönd annars ábyrgðaraðila kann beiðninni að vera vísað til hans.

Telji einstaklingur að vinnsla persónuupplýsinga brjóti gegn lögum getur hann haft samband við EB. Einarsson ehf. og óskað eftir að málið verði kannað. Hann á einnig rétt á að leggja fram kvörtun hjá:

Þjónusta EB. Einarsson ehf. er ætluð fyrirtækjum, stofnunum og fullorðnum einstaklingum. Hún er ekki sérstaklega ætluð börnum.

Áður en börnum yrði boðin þátttaka í mati þyrfti að meta sérstaklega tilgang, heimild, aldur þátttakenda, fræðslu og hvort samþykki forsjáraðila væri nauðsynlegt.

Matssvör og niðurstöður kunna að innihalda verðmætar upplýsingar um starfsemi, stjórnendur, starfsfólk, ferla, tækni eða öryggi fyrirtækja og stofnana.

Félagið meðhöndlar slíkar upplýsingar sem trúnaðarupplýsingar og notar þær aðeins til að veita og reka umbeðna þjónustu, nema annað hafi verið sérstaklega samþykkt eða leiði af lögum.

Upplýsingar um tiltekin fyrirtæki verða ekki birtar opinberlega eða notaðar til samanburðar án skýrrar heimildar og viðeigandi verndarráðstafana. Matssvör verða ekki notuð til viðmiðunargreiningar eða samanburðar milli fyrirtækja nema sú vinnsla hafi verið sérstaklega virkjuð og viðkomandi fyrirtæki fengið skýrar upplýsingar um tilgang hennar og fyrirkomulag. Slík samanburðarvinnsla er ekki virk við gildistöku þessarar útgáfu.

Stefnan verður endurskoðuð þegar breytingar verða á þjónustu eða lausnum, vinnslu persónuupplýsinga, þjónustuaðilum, lögum eða opinberum leiðbeiningum eða öryggis- og persónuverndarráðstöfunum.

Nýjasta útgáfan verður birt á einarsson.io ásamt útgáfunúmeri og dagsetningu síðustu uppfærslu. Verulegar breytingar verða kynntar með viðeigandi hætti.

Fyrirspurnir og beiðnir vegna persónuverndar má senda á: