1. Hver ber ábyrgð?
Slapp Work er vinnustaðavettvangur sem fyrirtæki og stofnanir („viðskiptavinir“) kaupa fyrir starfsfólk sitt. Ábyrgðin skiptist því svona:
- Viðskiptavinur er ábyrgðaraðili fyrir upplýsingum um starfsfólk sitt og öllu efni sem sett er inn í fyrirtæki hans (prófílum, færslum, athugasemdum, skilaboðum, skrám og viðburðum). Við vinnum þær upplýsingar sem vinnsluaðili samkvæmt fyrirmælum hans og vinnslusamningi. Fyrirspurnum um þá vinnslu er best að beina til vinnuveitanda.
- Vestra AI ehf. er ábyrgðaraðili fyrir upplýsingum sem við þurfum til að reka þjónustuna og eiga í viðskiptum: innskráningar- og öryggisupplýsingum, samskiptum við stjórnendur, reikningsupplýsingum og rekstrargögnum.
Vestra AI ehf., kt. 570125-0360, Bolholt 8, 105 Reykjavík. Netfang: vestra@vestra.is.
2. Hvaða upplýsingar vinnum við?
| Flokkur | Dæmi |
|---|---|
| Aðgangsupplýsingar | Nafn, netfang, lykilorð (geymt dulkóðað hjá innskráningarþjónustu okkar), innskráningarkóðar og tengingar við einskráningu fyrirtækis |
| Vinnuprófíll | Starfsheiti, deild, starfsstöð, símanúmer, yfirmaður, prófílmynd, forsíðumynd og kynning, eftir því hvað notandi eða fyrirtæki skráir |
| Efni | Færslur, athugasemdir, viðbrögð, kannanir, spjallskilaboð, myndir, skrár, viðburðir, svör við viðburðum og greinar í þekkingarsafni |
| Notkun | Hvenær notandi var síðast virkur, hvaða færslur hafa verið séðar og staðfestar, lestrarstaða spjalls og tilkynninga |
| Tæki | Tilkynningatókar fyrir ýtitilkynningar í síma og tæknilegar annálaskrár (IP-tala, tími, villur) sem verða til við rekstur |
| Viðskipti | Nafn og kennitala fyrirtækis, tengiliður og netfang stjórnanda, áskriftarleið, fjöldi notenda og reikningar. Kortaupplýsingar fara beint til greiðsluaðila og eru ekki geymdar hjá okkur |
3. Í hvaða tilgangi og á hvaða grundvelli?
- Að veita þjónustuna (innskráning, birting efnis, tilkynningar, leit): vegna samnings við viðskiptavin og lögmætra hagsmuna hans af innri samskiptum (6. gr. 1. mgr. b- og f-liðir GDPR), eða samkvæmt fyrirmælum hans sem ábyrgðaraðila.
- Öryggi og misnotkunarvarnir (annálar, ógilding innskráninga, meðferð tilkynnts efnis): lögmætir hagsmunir af öruggri þjónustu.
- Áskriftir, reikningar og bókhald: vegna samnings og lagaskyldu, meðal annars samkvæmt lögum nr. 145/1994 um bókhald.
- Samskipti við stjórnendur um þjónustuna, breytingar og reikninga: vegna samnings og lögmætra hagsmuna.
Við notum ekki persónuupplýsingar til auglýsinga, seljum þær ekki, byggjum ekki á þeim sjálfvirkar ákvarðanir sem hafa réttaráhrif og notum efni viðskiptavina ekki til að þjálfa gervigreindarlíkön.
4. Hverjir fá aðgang?
Innan fyrirtækis sjá aðrir notendur upplýsingar eftir aðgangsstillingum (t.d. starfsmannaskrá, opnir og lokaðir hópar, spjall). Stjórnendur fyrirtækis geta séð og stýrt notendum og efni. Við veitum starfsfólki okkar aðeins aðgang að gögnum þegar það er nauðsynlegt til að veita þjónustuna eða aðstoð, og það er bundið trúnaði.
Við notum eftirfarandi þjónustuaðila (undirvinnsluaðila) sem vinna upplýsingar fyrir okkar hönd samkvæmt samningum:
| Aðili | Hlutverk | Staðsetning |
|---|---|---|
| Convex, Inc. | Gagnagrunnur, skráageymsla og bakendi | Írland (AWS eu-west-1); fyrirtækið í Bandaríkjunum |
| Cloudflare, Inc. | Geymsla og miðlun mynda, skráa og myndbanda (R2 og Stream) | Bandaríkin; alþjóðlegt dreifinet |
| Clerk, Inc. | Innskráning, einskráning (SSO), notendaskrá (SCIM) og tölvupóstur vegna innskráningar og boða | Bandaríkin |
| Vercel Inc. | Hýsing vefforrits | Bandaríkin og ESB |
| 650 Industries, Inc. (Expo) | Miðlun ýtitilkynninga í farsíma | Bandaríkin |
| Apple Inc. og Google LLC | Afhending ýtitilkynninga í iOS- og Android-tæki | Bandaríkin |
| Polar Software, Inc. | Áskriftir, kortagreiðslur og reikningar (söluaðili gagnvart viðskiptavini); greiðslur eru unnar af Stripe | Bandaríkin |
| Payday ehf. | Reikningagerð og kröfur vegna Enterprise-samninga | Ísland |
Upplýsingar eru ekki afhentar öðrum nema viðskiptavinur feli okkur það, lög skyldi okkur til þess eða það sé nauðsynlegt til að verja réttindi okkar.
5. Flutningur út fyrir EES
Gagnagrunnur Slapp Work er hýstur innan EES (Írlandi). Myndir, skrár og myndbönd sem notendur hlaða upp eru geymd hjá Cloudflare utan EES. Sumir þjónustuaðilar, þar á meðal Cloudflare, eru í Bandaríkjunum. Flutningur þangað byggir á vottun samkvæmt gagnaverndarramma ESB og Bandaríkjanna (EU-U.S. Data Privacy Framework) eða stöðluðum samningsákvæðum framkvæmdastjórnar ESB, ásamt viðbótarráðstöfunum eftir því sem við á.
6. Hversu lengi?
- Efni og prófílar eru varðveitt meðan fyrirtækið er í viðskiptum, nema notandi eða stjórnandi eyði þeim fyrr.
- Þegar notandi er gerður óvirkur er aðgangi hans lokað strax. Stjórnandi fyrirtækis ákveður hvort efni hans er varðveitt.
- Eftir að viðskiptum lýkur eru gögn fyrirtækis varðveitt í 90 daga og þeim síðan eytt. Öryggisafrit eyðast innan 30 daga þar á eftir.
- Tæknilegar annálaskrár eru varðveittar í allt að 30 daga.
- Reikningar og bókhaldsgögn eru varðveitt í 7 ár samkvæmt lögum um bókhald.
7. Öryggi
Öll samskipti eru dulkóðuð (TLS) og gögn eru dulkóðuð í geymslu. Aðgangur er bundinn við innskráða notendur fyrirtækis og heimildir innan þess. Fyrirtæki geta krafist einskráningar (SSO) og stýrt notendum í gegnum notendaskrá (SCIM). Við takmörkum aðgang starfsfólks okkar, fylgjumst með rekstri og tilkynnum öryggisbresti í samræmi við lög.
8. Réttindi þín
Þú átt rétt á að:
- fá aðgang að upplýsingum um þig og afrit af þeim;
- fá rangar upplýsingar leiðréttar og láta eyða upplýsingum þegar skilyrði eru fyrir hendi;
- fá vinnslu takmarkaða, andmæla vinnslu sem byggir á lögmætum hagsmunum og fá upplýsingar fluttar;
- kvarta til Persónuverndar (personuvernd.is).
Þú getur sjálf(ur) breytt prófílnum þínum, eytt eigin efni og eytt aðganginum þínum í Slapp Work. Beiðnum sem varða upplýsingar sem vinnuveitandi þinn ber ábyrgð á (sjá 1. gr.) skaltu beina til hans. Við aðstoðum hann við að svara þeim. Aðrar beiðnir má senda á vestra@vestra.is og við svörum innan mánaðar.
9. Vafrakökur og geymsla í tækjum
Vefurinn notar eingöngu nauðsynlegar vafrakökur til að halda þér innskráðum og vista stillingar eins og ljóst eða dökkt þema. Farsímaforritin geyma innskráningu í öruggri geymslu tækisins. Við notum hvorki auglýsinga- né rakningarkökur.
10. Börn
Slapp Work er ætlað fólki á vinnumarkaði og ekki börnum yngri en 13 ára.
11. Breytingar
Við getum uppfært stefnuna. Verulegar breytingar eru tilkynntar stjórnendum fyrirtækja með fyrirvara og dagsetning síðustu uppfærslu kemur fram efst á síðunni.