Persónuverndarstefna

Gildissvið

Þessi stefna gildir um öll persónuupplýsingar sem við söfnum í gegnum vefsíður okkar veratrace.xyz (aðalsíða), veratrace.eu (Evrópusíða) og veratrace.net (alþjóðleg síða), farsímaforrit okkar (VeraTrace Producteur, VeraTrace Client), tengiliðaeyðublöð okkar, IoT-sett og NFC-merki okkar, og hvers kyns önnur samskipti við þjónustu okkar.

Þessi stefna nær ekki yfir persónuverndarvenjur þriðja aðila vefsíðna sem við kunnum að tengja á. Við hvetjum þig til að lesa persónuverndarstefnu allra þriðja aðila vefsíðna sem þú heimsækir.

Ábyrgðaraðili vinnslu

Ábyrgðaraðili vinnslu persónuupplýsinga þinna er:

Persónuverndarfulltrúi okkar (DPO) er til taks fyrir allar spurningar varðandi vernd persónuupplýsinga þinna. Þú getur haft samband við hann hvenær sem er til að nýta réttindi þín eða vegna hvers konar spurninga um vinnslu gagna þinna.

Gögn sem safnað er

Við söfnum eftirfarandi flokkum gagna í samræmi við notandasnið þitt og samskipti þín við þjónustu okkar:

Gagnaflokkar

Viðkvæm gögn

Við söfnum ekki viðkvæmum gögnum í skilningi 9. greinar GDPR (kynþáttar- eða þjóðernisuppruna, stjórnmálaskoðana, trúarskoðana, heilsufarsgagna, kynhneigðar o.s.frv.) nema það sé bráðnauðsynlegt og með skýru samþykki þínu.

Ólögráða börn

Þjónusta okkar er ekki ætluð ólögráða einstaklingum yngri en 16 ára. Við söfnum ekki vísvitandi persónuupplýsingum um ólögráða einstaklinga. Ef þú ert foreldri eða forráðamaður og telur að barnið þitt hafi veitt okkur persónuupplýsingar, vinsamlegast hafðu tafarlaust samband við okkur á [email protected] svo við getum eytt þeim.

Gagnauppsprettur

• •Beint frá þér (eyðublöð, handvirk innsláttur)
• •Sjálfvirkt (kökur, logar, IoT-skynjarar)
• •Í gegnum þriðja aðila (samstarfs-API, tengd upplýsingakerfi)
• •Opinberar heimildir (opinberar skrár til staðfestingar)

Tilgangur vinnslu

Persónuupplýsingar þínar eru unnar í eftirfarandi tilgangi, hver og einn byggður á sérstökum lagagrundvelli:

Lagagrundvöllur vinnslu

Í samræmi við GDPR verður öll vinnsla persónuupplýsinga að byggjast á lagalegri forsendu. Hér eru lagalegu forsendurnar sem við byggjum vinnslu okkar á:

Jafnvægi hagsmuna

Þegar við beitum lögmætum hagsmunum höfum við framkvæmt jafnvægi milli hagsmuna okkar og réttinda og frelsis þíns. Þessi greining er skráð og aðgengileg eftir beiðni frá DPO okkar.

Geymslutími

Við varðveitum persónuupplýsingar þínar einungis eins lengi og nauðsynlegt er fyrir þá tilgangi sem þeim var safnað fyrir, í samræmi við lagalegar skyldur:

Geymsla

Að loknum varðveislutíma í virkum gagnagrunni geta tiltekin gögn verið geymd í milligagnagrunni með takmörkuðu aðgengi til að uppfylla lagalegar skyldur okkar eða til að staðfesta, beita eða verja lagaleg réttindi.

Eyðing

Þegar varðveislu- og geymslutíminn er liðinn eru gögn þín eydd með öruggum hætti eða nafnleynt á óafturkræfan hátt.

Viðtakendur gagna

Persónuupplýsingar þínar kunna að vera sendar eftirfarandi viðtakendum, innan strangra marka þess sem nauðsynlegt er til að ná þeim markmiðum sem lýst er að ofan:

Innanhúss

Aðeins meðlimir VeraTrace teymisins sem þurfa aðgang að gögnum þínum í starfi sínu hafa aðgang:

• •Tækniteymi (stuðningur, þróun)
• •Söluteymi (samskipti við viðskiptavini)
• •Stjórnsýsluteymi (reikningar, bókhald)
• •Stjórn (umsjón)

Aðgangur er stýrður samkvæmt meginreglunni um minnstu heimild og rakinn í úttektarskrám okkar.

Undirverktakar og þjónustuaðilar

Við nýtum tæknilega þjónustuaðila til að reka þjónustu okkar. Allir eru háðir ströngum samningsbundnum skyldum (28. gr. GDPR):

Þessi listi er reglulega uppfærður. Síðasta endurskoðun: janúar 2026.

Samstarfsaðilar (með samþykki þínu)

Með beinu samþykki þínu kunna tiltekin gögn að vera deilt með samstarfsaðilum okkar:

• •Landbúnaðarsamvinnufélög sem þú ert meðlimur í
• •Samstarfs sveitarfélög (aðeins samanlögð gögn)
• •Vottunaraðilar (til staðfestingar)

Yfirvöld og lagalegar skyldur

Gögn þín kunna að vera send til þar til bærra yfirvalda á grundvelli lagalegrar beiðni:

• •Skattayfirvöld (eftirlit)
• •Dómsyfirvöld (beiðnir)
• •CNIL (eftirlit)
• •Matvælaeftirlitsyfirvöld (DGCCRF, DDPP)

Sala gagna

Við seljum ALDREI persónuupplýsingar þínar til þriðja aðila. Við deilum þeim ekki í auglýsingaskyni án beins samþykkis þíns.

Flutningar utan ESB

Sumir þjónustuveitendur okkar eru staðsettir utan Evrópusambandsins, aðallega í Bandaríkjunum. Í slíkum tilvikum tryggjum við að viðeigandi verndarráðstafanir séu til staðar í samræmi við V. kafla persónuverndarreglugerðarinnar (GDPR):

Verndarráðstafanir til staðar

Viðkomandi lönd

Þú getur fengið afrit af stöðluðum samningsskilmálum eða verndarráðstöfunum sem eru til staðar með því að hafa samband við okkur á [email protected]

Sjálfvirkar ákvarðanir og persónugreining

Í samræmi við 22. grein GDPR upplýsum við yður um vinnslu sem felur í sér sjálfvirkar ákvarðanir:

Útreikningur á rekjanleikaeinkunn

Við reiknum sjálfvirkt út rekjanleikaeinkunn (frá A til E) byggða á þeim gögnum sem þér veitið: heildleika upplýsinga, vottorðum, keðjuumfangi o.s.frv.

Þessi einkunn er til upplýsingar og hefur engin veruleg réttaráhrif. Hún hefur ekki áhrif á möguleika yðar á að nota þjónustuna.

Þér getið mótmælt þessari einkunn með því að hafa samband við þjónustuteymi okkar.

Úthlutun VRT-stiga

Stigin eru reiknuð sjálfvirkt samkvæmt reiknirit sem tekur tillit til: farinnar vegalengdar, vottorða, vörutegundar, kælikeðju o.s.frv.

Þessi útreikningur hefur áhrif á fjölda stiga sem þér safnið.

Þér getið óskað eftir handvirkri endurskoðun ef þér teljið að villa hafi átt sér stað.

Engin alfarið sjálfvirk ákvörðun

Engin ákvörðun sem hefur réttaráhrif eða hefur veruleg áhrif á yður er tekin eingöngu með sjálfvirkum hætti. Ávallt er hægt að fá mannlega íhlutun að beiðni.

Réttindi þín

Í samræmi við GDPR hefur þú eftirfarandi réttindi varðandi persónuupplýsingar þínar:

Hvernig nýta réttindi þín

Til að nýta réttindi þín eru nokkrir möguleikar í boði:

Vinsamlegast láttu afrit af skilríkjum fylgja með öllum beiðnum (kennivottorð, vegabréf). Þessi ráðstöfun er til þess að vernda gögn þín gegn sviksamlegum beiðnum.

Við skuldbindum okkur til að svara beiðni þinni innan eins mánaðar frá móttöku. Þennan frest má framlengja um tvo mánuði með hliðsjón af flækjustigi og fjölda beiðna, og í því tilviki verður þér tilkynnt um framlenginguna.

Nýting réttinda þinna er gjaldfrjáls. Hins vegar getum við krafið þig um greiðslu sanngjarns gjalds eða neitað að verða við beiðninni ef beiðnir eru augljóslega tilhæfulausar eða óhóflegar, einkum vegna endurtekinnar eðlis þeirra.

Kvörtun til eftirlitsaðila

Ef þú telur að vinnsla persónuupplýsinga þinna brjóti gegn reglugerðum, hefur þú rétt til að leggja fram kvörtun til Persónuverndar, íslenska eftirlitsaðilans: www.personuvernd.is. Fyrir íbúa annarra EES-landa, hafðu samband við staðbundna eftirlitsaðila (CNIL í Frakklandi, BfDI í Þýskalandi, o.s.frv.).

Vafrakökur og rekjarar

Vefsvæði okkar notar vefkökur og svipaða tækni (pixla, vefvita, staðbundna geymslu). Vefkaka er lítil textaskrá sem geymd er á tæki þínu (tölvu, snjallsíma, spjaldtölvu) þegar þú heimsækir vefsvæði.

Hvað er vefkaka?

Vefkaka gerir vefsvæðinu kleift að þekkja vafra þinn og muna tilteknar upplýsingar (stillingar, lotu o.s.frv.). Vefkökur geta ekki keyrt forrit né sent veirur.

Tegundir vefkaka sem notaðar eru

Það sem við notum EKKI

• Auglýsinga- eða miðunarvefkökur
• Rekjarar samfélagsmiðla (Facebook Pixel o.s.frv.)
• Google Analytics eða nokkur Google rekjaraþjónusta
• Vefkökur þriðja aðila í markaðssetningartilgangi

Stjórnun vefkaka

Þú getur hvenær sem er breytt stillingum vefkaka:

Hlekkir á stillingar helstu vafra

Að slökkva á ákveðnum vefkökum getur haft áhrif á virkni vefsvæðisins og vafraupplifun þína.

Gagnaöryggi

Við beitum viðeigandi tæknilegum og skipulagslegum ráðstöfunum til að vernda persónuupplýsingar þínar gegn óvæntri eða ólögmætri eyðingu, glötun, breytingu, óheimilli birtingu eða aðgangi:

Tæknilegar ráðstafanir

• •Dulkóðun gagna í flutningi (HTTPS/TLS 1.3)
• •Dulkóðun viðkvæmra gagna í hvíld (AES-256)
• •Tætun lykilorða (bcrypt með salti)
• •Sterk auðkenning fyrir aðgang að kerfum (2FA skylda)
• •Forritaeldveggur (WAF) og DDoS-vernd
• •Vöktun og greining innbrota (IDS/IPS)
• •Daglegar dulkóðaðar afritanir með mánaðarlegri endurheimtarprófun
• •Aðskilið þróunar-, prófunar- og framleiðsluumhverfi

Skipulagslegar ráðstafanir

• •Ströng aðgangsstýring byggð á meginreglunni um lágmarksréttindi
• •Rekjanleiki gagnaaðgangs (endurskoðunarskrár)
• •Regluleg þjálfun teyma í öryggi og persónuverndarmálum
• •Stefna um meðferð öryggisatvika
• •Regluleg endurskoðun aðgangsréttinda
• •Trúnaðarákvæði fyrir alla starfsmenn og þjónustuaðila

Prófanir og úttektir

Við gerum reglulega öryggisprófanir (innbrotaprófanir, varnarleysisskannanir) og úttektir á starfsháttum okkar.

Gagnabrot

Ef brot verður á persónuupplýsingum sem gæti skapað áhættu fyrir réttindi þín og frelsi:

1. Við tilkynnum CNIL innan 72 klukkustunda frá því að við fáum vitneskju um brotið
2. Við upplýsum þig eins fljótt og auðið er ef áhættan fyrir réttindi þín og frelsi er mikil
3. Við skráum hvert brot í innri skrá okkar
4. Við grípum til ráðstafana til að lagfæra brotið og takmarka afleiðingar þess

Sérstök atriði tengd bálkakeðju

VeraTrace notar bálkakeðjutækni til að votta rekjanleikagögn. Hér er það sem þér þurfið að vita:

Óbreytanleiki

Kjörnunargildi sem skráð eru á bálkakeðjuna eru í eðli sínu óbreytanleg og ekki er unnt að eyða þeim. Hins vegar gera þessi gildi ekki kleift að endurgera persónuupplýsingar yðar. Eyðing gagna yðar úr kerfum okkar gerir þessi gildi ónothæf.

Réttur til eyðingar og bálkakeðja

Ef þér nýtið rétt yðar til eyðingar eyðum vér öllum persónuupplýsingum yðar úr gagnagrunnum okkar. Bálkakeðjukjörnunargildin eru áfram til staðar en er ekki lengur unnt að tengja við auðkenni yðar og gera ekki kleift að endurgera gögn yðar.

Breytingar á þessari stefnu

Við áskiljum okkur rétt til að breyta þessari persónuverndarstefnu hvenær sem er til að endurspegla breytingar á starfsháttum okkar eða kröfum eftirlitsaðila.

Hvernig þér verður tilkynnt

• •Tölvupóstur um verulegar breytingar (notendur með reikning)
• •Upplýsingaborði sýnilegur á vefsvæðinu í 30 daga
• •Uppfærsla á dagsetningu „síðast uppfært" efst í skjalinu

Áframhaldandi notkun á þjónustu okkar eftir birtingu breytinga jafngildir samþykki á nýju stefnunni.

Útgáfusaga er aðgengileg samkvæmt beiðni hjá DPO okkar.

Hafðu samband

Vegna allra spurninga um þessa persónuverndarstefnu eða vinnslu persónuupplýsinga þinna:

Við skuldbindum okkur til að svara öllum beiðnum innan 5 virkra daga með fyrstu staðfestingu og innan lögbundins frests eins mánaðar með fullnaðarsvari.