Persónuvernd

Persónuupplýsingar og meðferð þeirra

Síðast uppfært: 21. október 2026

Kritavi leggur áherslu á trúnað, öryggi og áreiðanleika í allri meðferð persónuupplýsinga. Þegar talað er um „félagið“, „við“ eða „okkur“ í þessari stefnu er átt við Kritavi ehf. (kt. 510926-2500), Litlabæjarvör 17, 225 Garðabæ.

Tilgangur stefnunnar

Stefnan skýrir hvaða persónuupplýsingum félagið safnar, í hvaða tilgangi, á hvaða grundvelli og hve lengi þær eru varðveittar. Hún byggir á lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðinni (GDPR).

Hvenær stefnan gildir

Stefnan gildir þegar Kritavi er ábyrgðaraðili vinnslu, þ.e. ákveður sjálft hvers vegna og hvernig persónuupplýsingar eru unnar. Dæmi um það eru upplýsingar um tengiliði viðskiptavina og samstarfsaðila, fólk sem skráir sig á viðburði eða hefur samband í gegnum vefinn, og umsækjendur um störf.

Stefnan gildir ekki þegar Kritavi vinnur í kerfum viðskiptavina, til dæmis við innleiðingu, prófanir eða úttektir. Þá er viðskiptavinurinn ábyrgðaraðili og Kritavi vinnsluaðili á hans vegum. Sú vinnsla fer fram samkvæmt fyrirmælum viðskiptavinarins og skriflegum vinnslusamningi, og um hana gildir persónuverndarstefna viðskiptavinarins.

1. Hvaða persónuupplýsingar vinnum við með?

Það fer eftir tengslum þínum við félagið.

a) Tengiliðir viðskiptavina og samstarfsaðila

Ef þú kemur fram fyrir hönd viðskiptavinar, undirverktaka eða samstarfsaðila vinnum við:

• nafn og starfsheiti
• vinnustað
• vinnunetfang og símanúmer
• samskiptasögu og fundargerðir

Tilgangurinn er að undirbúa og efna samninga og halda utan um viðskiptatengsl. Vinnslan byggir á efndum samnings við vinnustað þinn og lögmætum hagsmunum félagsins.

Áður en samningur er gerður könnum við viðskiptavini og undirverktaka gagnvart opinberum listum yfir þvingunaraðgerðir. Það getur náð til nafna stjórnenda og raunverulegra eigenda. Vinnslan byggir á lögmætum hagsmunum félagsins og lagaskyldu þar sem hún á við.

Við kunnum að senda tengiliðum viðskiptavina upplýsingar um sambærilega þjónustu, viðburði eða stuttar þjónustukannanir. Þú getur alltaf afskráð þig með hlekk neðst í hverjum pósti.

b) Viðtöl og kannanir í verkefnum

Þegar verkefni felur í sér viðtöl eða stuttar kannanir meðal starfsfólks viðskiptavinar, til dæmis um notkun gervigreindar, skráum við nöfn þeirra sem rætt er við og svör þeirra. Niðurstöður eru settar fram þannig að ekki sé hægt að rekja einstök svör til einstaklinga, nema viðkomandi samþykki annað. Gögnunum er eytt eða þau gerð ópersónugreinanleg innan 90 daga frá verklokum.

c) Vefsíða Kritavi

Ef þú hefur samband í gegnum vefinn vinnum við nafn, vinnustað, starfsheiti, vinnunetfang og það sem þú skrifar okkur. Upplýsingarnar eru vistaðar í viðskiptamannakerfi félagsins, sem hýst er innan Evrópusambandsins. Vinnslan byggir á ráðstöfunum að þinni beiðni áður en samningur er gerður og lögmætum hagsmunum félagsins af því að svara fyrirspurnum.

Ef þú skráir þig á póstlista fáum við nafn, netfang, vinnustað og starfsheiti. Póstlistinn byggir á samþykki þínu, sem þú getur afturkallað hvenær sem er.

Vefurinn notar ekki vafrakökur til greiningar eða auglýsinga. Heimsóknir eru taldar án vafrakaka og án þess að auðkenna þig. Tungumálaval þitt er vistað í vafranum svo vefurinn muni það.

d) Viðburðir

Við skráningu á viðburð eða fund á vegum Kritavi, á Íslandi eða erlendis, vinnum við nafn, vinnustað, starfsheiti og netfang. Tilgangurinn er að halda utan um skráningu og fylgja viðburðinum eftir, til dæmis með glærum eða stöku boði á sambærilega viðburði. Vinnslan byggir á lögmætum hagsmunum félagsins.

Ef teknar eru myndir eða upptökur á viðburðum Kritavi, þá er það tilkynnt fyrirfram. Við birtum ekki myndir þar sem einstaklingar þekkjast nema með samþykki þeirra.

e) Starfsumsóknir

Ef þú sækir um starf hjá Kritavi vinnum við þær upplýsingar sem koma fram í ferilskrá, kynningarbréfi og viðtölum, og eftir atvikum upplýsingar frá meðmælendum sem þú bendir á. Tilgangurinn er að meta hæfni þína til starfsins. Umsóknum er eytt 6 mánuðum eftir að ráðningarferli lýkur, nema þú samþykkir lengri varðveislu.

2. Hvaðan koma upplýsingarnar og hve lengi eru þær geymdar?

Við fáum upplýsingarnar aðallega frá þér. Í vissum tilvikum koma þær frá vinnustað þínum, úr opinberum skrám eða frá þeim sem kynnti okkur.

Upplýsingar	Varðveislutími
Fyrirspurnir og skráningar sem leiða ekki til samstarfs	24 mánuðir
Tengiliðir og samskipti	Meðan á samstarfi stendur og 3 ár eftir það
Viðtöl og kannanir í verkefnum	Eytt eða gerð ópersónugreinanleg innan 90 daga frá verklokum
Starfsumsóknir	6 mánuðir eftir að ráðningarferli lýkur
Bókhaldsgögn	Sjö ár, samkvæmt lögum um bókhald

3. Hverjum miðlum við upplýsingunum?

Við seljum ekki persónuupplýsingar og notum þær ekki til auglýsinga. Við miðlum þeim aðeins til:

• þjónustuaðila sem vinna fyrir okkur samkvæmt skriflegum samningum: Cloudflare (hýsing vefsins), Resend (afhending skilaboða úr fyrirspurnarformi vefsins), HubSpot (viðskiptamannakerfi, hýst í ESB), Microsoft 365 (tölvupóstur og skjöl, innan gagnamarka ESB) og Payday ehf. (reikningagerð og bókhald)
• undirverktaka sem koma að verkefnum, aðeins því sem verkið krefst og með sömu skyldum og við
• ráðgjafa á borð við lögmenn og endurskoðendur, þegar þörf krefur
• stjórnvalda þegar okkur ber lagaskylda til

Cloudflare, Resend, HubSpot og Microsoft eru bandarísk félög og geta í undantekningartilvikum, til dæmis við þjónustu eða öryggiseftirlit, haft aðgang að gögnum frá Bandaríkjunum. Þar byggjum við á stöðluðum samningsákvæðum ESB eða gagnaverndarramma ESB og Bandaríkjanna.

4. Hvernig verndum við upplýsingarnar?

Öryggisráðstafanir Kritavi taka mið af ISO/IEC 27001: aðgangsstýring, fjölþátta auðkenning, dulkóðun og aðskilnaður gagna hvers viðskiptavinar. Aðeins þeir sem þurfa aðgang vegna starfa sinna hafa hann.

5. Hver eru réttindi mín?

Þú átt rétt á:

• aðgangi — að fá staðfest hvort við vinnum upplýsingar um þig og fá afrit af þeim
• leiðréttingu — að rangar eða ófullkomnar upplýsingar séu leiðréttar
• eyðingu — þegar varðveisla er ekki lengur nauðsynleg eða þú hefur afturkallað samþykki
• takmörkun — að vinnsla sé takmörkuð, til dæmis á meðan farið er yfir beiðni
• andmælum — við vinnslu sem byggir á lögmætum hagsmunum félagsins
• flutningi — að fá upplýsingar sem þú hefur látið okkur í té á tölvutæku formi, þegar vinnslan byggir á samþykki eða samningi
• afturköllun samþykkis — hvenær sem er, þar sem vinnsla byggir á samþykki

Réttindin eru ekki fortakslaus. Ef lög eða réttindi annarra koma í veg fyrir að við getum orðið við beiðni þinni, færðu skýringu á því.

6. Hvernig sendi ég beiðni?

Sendu tölvupóst á info@kritavi.com. Við svörum innan mánaðar. Ef þú ert ekki sátt/ur við svarið geturðu lagt fram kvörtun hjá Persónuvernd (www.personuvernd.is).

7. Breytingar

Við uppfærum stefnuna þegar vinnslan breytist og birtum dagsetninguna efst.