Persónuverndarstefna

1. Ábyrgðaraðili

SB Invest (kt. 562-6221560), Laxalind 4, ber ábyrgð á vinnslu persónuupplýsinga á virdi.is. Hægt er að hafa samband á hello@virdi.is.

2. Hvaða gögnum er safnað

Við söfnum eftirfarandi gögnum:

• Reikningsupplýsingar: Netfang og nafn við skráningu. Ef þú skráir þig inn með Google fáum við netfang og nafn frá Google.
• Ársreikningar: PDF skjöl sem þú hleður upp til greiningar.
• Greiningarniðurstöður: Fjárhagstölur og kennitölur sem dregnar eru úr ársreikningunum.
• Notkunarupplýsingar: Fjöldi greininga sem þú hefur framkvæmt.
• Tæknilegar upplýsingar: IP-tala, tegund vafra og stýrikerfis. Þessum gögnum er safnað sjálfkrafa af hýsingaraðila.

3. Tilgangur og lagagrundvöllur

• Veita þjónustuna: Við vinnum ársreikningana þína til að veita greininguna sem þú baðst um. Lagagrundvöllur: efndir samnings (GDPR 6(1)(b)).
• Reikningsstjórnun: Við geymum netfang og notkunarfjölda til að halda utan um reikninginn þinn. Lagagrundvöllur: efndir samnings (GDPR 6(1)(b)).
• Greiðslur: Þegar greiðsluþjónusta verður virkjuð mun Stripe vinna greiðsluupplýsingar. Lagagrundvöllur: efndir samnings (GDPR 6(1)(b)).
• Tölvupóstsamskipti: Ef þú gefur samþykki gætum við sent þér fréttir og uppfærslur. Lagagrundvöllur: samþykki (GDPR 6(1)(a)).

4. Þriðju aðilar og gagnavinnsla

Við deilum gögnum með eftirfarandi þjónustuaðilum sem vinna gögn í okkar umboði:

• Supabase (gagnagrunnur og auðkenning): Gögn geymd á netþjónum í Evrópu (AWS eu-central-1, Frankfurt).
• Vercel (hýsing): Vefþjónustan keyrð á Vercel netþjónum.
• Anthropic (gervigreind): Texti úr ársreikningum er sendur til Anthropic Claude API til greiningar. Anthropic geymir ekki gögn eftir vinnslu.
• Resend (tölvupóstur): Netfang þitt er notað til að senda tölvupóst ef við á.
• Stripe (greiðslur): Þegar greiðsluþjónusta verður virkjuð mun Stripe vinna greiðsluupplýsingar. Stripe er með PCI DSS vottun.

Við seljum aldrei persónuupplýsingar til þriðja aðila.

5. Hvar gögn eru geymd

Persónuupplýsingar og ársreikningar eru geymdir á Supabase netþjónum í Evrópu (Frankfurt, Þýskaland). Greiningarvinnsla fer í gegnum Anthropic API sem getur unnið gögn í Bandaríkjunum, en gögn eru ekki geymd eftir vinnslu.

6. Geymslutími

• Ársreikningar og greiningarniðurstöður: Geymdar þar til þú eyðir þeim eða lokar reikningnum þínum.
• Reikningsupplýsingar: Geymdar á meðan reikningurinn er virkur. Við eyðingu reiknings eru gögn fjarlægð innan 30 daga.
• Tæknilegar upplýsingar: Loggar eru geymdir í allt að 90 daga.

7. Réttindi þín

Samkvæmt persónuverndarlögum nr. 90/2018 og GDPR átt þú rétt á:

• Aðgangi að þeim gögnum sem við geymum um þig.
• Leiðréttingu rangra eða ófullkominna upplýsinga.
• Eyðingu gagna þinna ("rétturinn til að gleymast").
• Flutningi gagna þinna á véllæsilegu formi.
• Takmörkun á vinnslu í ákveðnum tilvikum.
• Andmælum við vinnslu á grundvelli lögmætra hagsmuna.
• Afturköllun samþykkis hvenær sem er, án þess að það hafi áhrif á lögmæti fyrri vinnslu.

Til að nýta réttindi þín, sendu tölvupóst á hello@virdi.is. Við svörum innan 30 daga.

8. Vafrakökur

Virði notar eingöngu nauðsynlegar vafrakökur:

• Innskráningarkökur (Supabase Auth): Halda þér innskráð/um á milli heimsókna. Þessar kökur eru nauðsynlegar til að þjónustan virki.
• Samþykkiskaka: Man hvort þú hefur samþykkt vafrakökustefnuna.

Við notum engar auglýsingakökur, rakningarkökur eða kökur frá þriðja aðila.

9. Öryggi

Við notum dulkóðun (HTTPS/TLS) á öllum samskiptum. Gögn í gagnagrunni eru dulkóðuð í geymslu (encryption at rest). Aðgangur að gögnum er takmarkaður við þann notanda sem hleður þeim upp (Row Level Security).

10. Kvartanir

Ef þú telur að vinnsla persónuupplýsinga þinna brjóti gegn persónuverndarlögum getur þú lagt fram kvörtun hjá Persónuvernd (personuvernd.is), eftirlitsstofnun um persónuvernd á Íslandi.

11. Breytingar á stefnunni

Við áskiljum okkur rétt til að uppfæra þessa persónuverndarstefnu. Ef um verulegar breytingar er að ræða munum við láta vita með tölvupósti eða tilkynningu á vefsíðunni.