Persónuverndarstefna
Útgáfa 2.0 — tekur gildi 1. desember 2026. Kemur í stað kaflans „Persónuvernd“ í skilmálum dags. 1. ágúst 2025.
Í þessari stefnu kemur fram hvaða persónuupplýsingum Regla ehf. safnar, í hvaða tilgangi, á hvaða heimild, hve lengi þær eru varðveittar, hverjum þær eru afhentar, hvernig við notum þær til að þróa þjónustu okkar og hvaða réttindi þú átt. Um vinnsluna gilda lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679 („GDPR“) eins og hún hefur verið lögfest á Íslandi.
1. Hver erum við?
Regla ehf., kt. 521208-0230, Suðurlandsbraut 50, 108 Reykjavík („Regla“, „við“) býður íslenskum fyrirtækjum bókhalds-, verkbókhalds-, launa-, reikninga- og afgreiðslukerfi í skýinu og tengda þjónustu.
Fyrirspurnir um persónuvernd: personuvernd@regla.is, sími 520 1200, eða bréfleiðis merkt „Persónuvernd“. Hafa má samband við persónuverndarfulltrúa okkar á sama netfangi.
2. Tvö hlutverk okkar
- Regla sem ábyrgðaraðili. Við ákveðum tilgang og aðferðir vinnslu upplýsinga um tengiliði og notendur viðskiptavina, gesti vefsins, þá sem hafa samband við okkur, áskrifendur fréttabréfs, þátttakendur á námskeiðum, umsækjendur um störf og birgja. Þessi stefna nær til þeirrar vinnslu.
- Regla sem vinnsluaðili. Gögn sem viðskiptavinir skrá í kerfi okkar – t.d. launa-, bókhalds- og sölugögn – og efni sem viðskiptavinir senda okkur vegna aðstoðar (þ.m.t. fylgiskjöl og skjáupptökur af afgreiðslukerfum) vinnum við fyrir hönd viðskiptavinarins og samkvæmt fyrirmælum hans. Viðskiptavinurinn er að jafnaði ábyrgðaraðili. Ef þú ert t.d. starfsmaður viðskiptavinar Reglu skaltu fyrst snúa þér til vinnuveitanda þíns vegna launaupplýsinga þinna.
3. Hvaða upplýsingum söfnum við og hvers vegna?
| Hverjir | Upplýsingar | Tilgangur | Heimild |
|---|---|---|---|
| Tengiliðir og notendur viðskiptavina | Nafn, kennitala, netfang, sími, fyrirtæki, hlutverk, aðgangsupplýsingar, upplýsingar um áskrift og greiðslur | Veita þjónustuna, notendaumsjón, reikningagerð, tilkynningar um þjónustuna | Lögmætir hagsmunir af umsýslu viðskiptasambandsins (f-liður 1. mgr. 6. gr. GDPR); samningur ef einstaklingurinn er sjálfur viðskiptavinur (b-liður); lagaskylda vegna bókhalds (c-liður) |
| Notendur kerfa okkar | Notkunarupplýsingar: innskráningar, aðgerðir, leiðir um kerfið, villuboð, tæki og vafri, IP-tala, tímasetningar | Rekstur, öryggi, villugreining, álagsstýring og umbætur á þjónustu (5. kafli) | Lögmætir hagsmunir af áreiðanlegri og öruggri þjónustu |
| Þeir sem hafa samband (vefform, tölvupóstur, sími, netspjall, hjálparvefur) | Nafn, samskiptaupplýsingar, fyrirspurnir og svör okkar. Símtöl eru ekki hljóðrituð. | Svara fyrirspurnum, annast þjónustumál, bæta þjónustu (5. kafli) | Lögmætir hagsmunir; samningur ef þú ert viðskiptavinur |
| Þeir sem sjást í skjáupptökum af afgreiðslukerfum | Aðgerðir á skjá, færsluupplýsingar og önnur gögn sem birtast í hljóðritaðri aðstoð | Eingöngu til að greina og lagfæra tilkynnta villu í afgreiðslukerfi | Unnið fyrir hönd viðskiptavinar og samkvæmt fyrirmælum hans |
| Gestir vefsins | IP-tala, upplýsingar um tæki og vafra, síður sem eru skoðaðar, auðkenni vafrakaka | Reka og verja vefinn, tölfræði, markaðssetning | Nauðsynlegar kökur: lögmætir hagsmunir; aðrar kökur (vefgreining og markaðssetning): samþykki, sem þú getur breytt eða afturkallað hvenær sem er í kökustillingum vefsins. Sjá vafrakökustefnu. |
| Áskrifendur fréttabréfs og markaðstengiliðir | Nafn, netfang, fyrirtæki; hvort fréttabréf er opnað og hvaða hlekkir eru valdir | Senda fréttir, uppfærslur og tilboð | Samþykki, eða regla 94. gr. laga nr. 70/2022 um fjarskipti um núverandi viðskiptavini |
| Þátttakendur á námskeiðum og viðburðum | Nafn, samskiptaupplýsingar, fyrirtæki, þátttaka; óskir um mataræði eða aðgengi ef þú lætur okkur vita | Halda námskeið og viðburði, reikningagerð | Samningur eða lögmætir hagsmunir; afdráttarlaust samþykki fyrir óskum sem varða heilsufar eða trú |
| Umsækjendur um störf | Ferilskrá, umsókn, umsagnir, minnispunktar úr viðtölum | Meta umsóknir | Ráðstafanir í aðdraganda samnings; samþykki fyrir lengri varðveislu |
| Birgjar og samstarfsaðilar | Nöfn og samskiptaupplýsingar tengiliða | Umsýsla viðskiptasambands | Lögmætir hagsmunir |
Uppruni. Að mestu frá þér eða vinnuveitanda þínum. Við notum einnig opinberar skrár, s.s. Þjóðskrá Íslands og fyrirtækjaskrá Skattsins, til að staðfesta auðkenni og halda skrám réttum.
Markaðssetning. Við sendum rafrænt markaðsefni með samþykki þínu eða, þegar um sambærilegar vörur okkar til núverandi viðskiptavina er að ræða, samkvæmt 94. gr. laga nr. 70/2022. Í hverri sendingu kemur fram hver sendandinn er og þar er einföld og gjaldfrjáls leið til að afskrá sig.
Kennitala. Við notum kennitölu aðeins þegar notkunin á sér skýran tilgang og er nauðsynleg til að tryggja örugga persónugreiningu (13. gr. laga nr. 90/2018).
Nauðsynlegar upplýsingar. Á eyðublöðum og við skráningu kemur fram hvaða upplýsingar eru nauðsynlegar. Án þeirra getum við ekki stofnað aðgang eða veitt þá þjónustu sem beðið er um; aðrar upplýsingar eru valkvæðar.
Skjáupptökur af afgreiðslukerfum. Þjónustuteymið okkar tekur stundum upp skjáinn þegar villa í afgreiðslukerfi er greind. Þér er tilkynnt áður en upptaka hefst. Upptökur eru eingöngu notaðar til að leysa viðkomandi mál, aðeins starfsmenn sem sinna málinu hafa aðgang að þeim og þeim er eytt þegar þeirra er ekki lengur þörf.
Viðkvæmar upplýsingar. Við biðjum ekki um viðkvæmar upplýsingar (t.d. um heilsufar, trú eða stéttarfélagsaðild) vegna notendaumsjónar eða aðstoðar. Viðskiptavinir sem nota launakerfið skrá hins vegar oft slíkar upplýsingar um starfsfólk sitt, t.d. stéttarfélagsaðild vegna félagsgjalda eða veikindi vegna launa í veikindum. Þær upplýsingar vinnum við fyrir hönd viðskiptavinar og samkvæmt fyrirmælum hans.
4. Hve lengi geymum við upplýsingar?
| Upplýsingar | Varðveislutími |
|---|---|
| Eigin reikningar og bókhaldsgögn Reglu | 7 ár frá lokum reikningsárs; ársreikningar 25 ár (20. gr. laga nr. 145/1994 um bókhald) |
| Gögn viðskiptavina í kerfum Reglu (þ.m.t. bókhalds- og launagögn, auk reikninga sem viðskiptavinir senda sínum viðskiptavinum) | Á meðan viðskiptasamband varir; eftir að áskrift lýkur eyðum við gögnunum í reglulegri hreinsun, þó eigi síðar en 12 mánuðum frá lokum áskriftar, nema viðskiptavinur óski eftir lengri geymslu. Komi viðskiptavinur aftur innan þess tíma geta gögnin enn verið til staðar, en við ábyrgjumst það ekki. Viðskiptavinur ber sjálfur ábyrgð á lögbundinni varðveislu eigin bókhalds. |
| Aðgangs- og samningsupplýsingar viðskiptavina | Á meðan viðskiptasamband varir |
| Fyrirspurnir og þjónustumál | 3 ár frá lokun máls |
| Skjáupptökur af afgreiðslukerfum | Þar til málið er leyst, að hámarki 60 dagar |
| Aðgerðasaga í kerfinu (hver gerði hvað og hvenær) | Sem hluti af gögnum viðskiptavinar, á meðan viðskiptasamband varir nema viðskiptavinur eyði þeim; eftir það eins og önnur gögn viðskiptavina |
| Tæknilegir notkunar- og kerfisannálar | 12 mánuðir; öryggisannálar allt að 24 mánuðum |
| Póstlisti | Þar til þú afskráir þig; eftir það geymum við aðeins það sem þarf til að virða afskráninguna |
| Starfsumsóknir | 6 mánuðir eftir að ráðningarferli lýkur, nema þú samþykkir lengri tíma |
| Gögn tekin saman til þjálfunar líkana | Eytt um leið og upprunagögnunum er eytt, viðskiptavinur afþakkar þjálfun eða þeirra er ekki lengur þörf |
5. Þróun þjónustu og gervigreind
Regla getur notað gögn til að þjálfa vélnámslíkön sem gera þjónustu Reglu sjálfvirkari og nákvæmari. Um það gilda eftirfarandi reglur:
- Þjálfun er bundin við afmarkaðan tilgang sem bætir þjónustu við viðskiptavini Reglu, t.d. lestur reikninga, tillögur að bókhaldslyklum og VSK-meðferð og greiningu villna.
- Áður en persónuupplýsingar eru notaðar skjalfestum við tilgang, heimild (að jafnaði lögmæta hagsmuni) og verndarráðstafanir og framkvæmum mat á áhrifum á persónuvernd þegar þess er krafist.
- Við fjarlægjum bein auðkenni eða skiptum þeim út fyrir gerviauðkenni; notum aldrei viðkvæmar upplýsingar, upplýsingar um börn, lykilorð, bankaupplýsingar eða skjáupptökur; og prófum líkön svo þau birti ekki gögn.
- Gögn úr vefgreiningu eru ekki notuð til þjálfunar.
- Við seljum ekki persónuupplýsingar og utanaðkomandi gervigreindarveitum er óheimilt að þjálfa eigin líkön á gögnum okkar eða viðskiptavina okkar.
- Gervigreind stingur upp á; fólk ákveður. Engar ákvarðanir sem hafa réttaráhrif eða sambærileg veruleg áhrif eru teknar af gervigreind eingöngu.
- Þú getur hvenær sem er andmælt þjálfun á gögnum um þig (8. kafli). Við hættum þá að nota þau og metum hvað þarf að gera varðandi fyrirliggjandi gagnasöfn og líkön, sem getur falið í sér eyðingu eða endurþjálfun.
6. Miðlun upplýsinga
Við seljum ekki persónuupplýsingar. Við miðlum þeim aðeins til:
- þjónustuaðila sem vinna gögn fyrir okkar hönd, t.d. vegna hýsingar, reksturs og afritunar kerfa, sendingar tölvupósts, reikninga og launaseðla, skrifstofuhugbúnaðar, þjónustukerfis, fréttabréfa, vefgreiningar og umsýslu viðskiptatengsla. Þeir eru bundnir af samningum sem leggja á þá sambærilegar skyldur og hvíla á okkur;
- þriðju aðila sem þú eða fyrirtæki þitt tengir við þjónustuna, t.d. banka, bókara, endurskoðenda, Skattsins eða lífeyrissjóða;
- innheimtuaðila vegna vanskila;
- opinberra aðila þegar lög krefjast þess;
- kaupanda eða arftaka við samruna eða sölu Reglu, enda njóti upplýsingarnar sambærilegrar verndar.
7. Flutningur út fyrir EES
Ef þjónustuaðili vinnur gögn utan EES notum við gilda flutningsheimild, s.s. EU–US Data Privacy Framework (ef viðtakandinn er vottaður) eða stöðluð samningsákvæði ásamt viðbótarráðstöfunum eftir þörfum. Kerfi Reglu og gögn viðskiptavina eru hýst innan EES. Sumir þjónustuaðilar, t.d. vegna þjónustukerfis, vefgreiningar og hýsingar vefsins, geta unnið gögn í Bandaríkjunum. Þú getur óskað eftir upplýsingum um staðsetningar og afriti af verndarráðstöfunum.
8. Réttindi þín
Þú átt rétt á að fá aðgang að upplýsingum um þig, fá þær leiðréttar eða þeim eytt, fá vinnslu takmarkaða, fá upplýsingar sem þú hefur látið í té afhentar á tölvutæku formi, andmæla vinnslu sem byggir á lögmætum hagsmunum (þ.m.t. þjálfun líkana og beinni markaðssetningu) og afturkalla samþykki hvenær sem er.
Andmælaréttur þinn. Þú getur hvenær sem er andmælt vinnslu sem byggir á lögmætum hagsmunum okkar – þ.m.t. notkun gagna um þig til þjálfunar líkana – og beinni markaðssetningu. Við hættum beinni markaðssetningu strax og annarri vinnslu nema við getum sýnt fram á brýnar lögmætar ástæður sem ganga framar hagsmunum þínum.
Beiðnir sendist á personuvernd@regla.is; ekki þarf sérstakt orðalag. Beiðnir eru gjaldfrjálsar. Við svörum innan eins mánaðar; ef við þurfum allt að tvo mánuði til viðbótar vegna flókinnar beiðni látum við þig vita af ástæðunni innan fyrsta mánaðarins. Við biðjum aðeins um staðfestingu á auðkenni ef rökstuddur vafi leikur á því. Ef við höfnum beiðni útskýrum við hvers vegna.
Þú getur lagt fram kvörtun hjá Persónuvernd, Laugavegi 166, 105 Reykjavík, www.personuvernd.is.
9. Öryggi
Við verndum persónuupplýsingar með tæknilegum og skipulagslegum ráðstöfunum sem hæfa áhættunni, m.a. hýsingu innan EES í gagnaverum með ISO/IEC 27001-vottun, dulkóðun í flutningi og geymslu, fjölþátta auðkenningu og takmörkuðum aðgangi starfsmanna, reglulegri afritun á aðskilinn stað og vöktun kerfa.
10. Börn
Þjónusta okkar er ætluð fyrirtækjum. Í gögnum viðskiptavina geta verið upplýsingar um einstaklinga yngri en 18 ára, t.d. unga starfsmenn; þau gögn eru unnin fyrir hönd viðskiptavinar og aldrei notuð til þjálfunar.
11. Breytingar
Við tilkynnum viðskiptavinum um verulegar breytingar með tölvupósti og í kerfinu a.m.k. 30 dögum áður en þær taka gildi. Gildandi útgáfa er ávallt á þessari síðu og fyrri útgáfur fást afhentar sé þess óskað.