Vinnslusamningur

Þetta skjal er birt á nokkrum tungumálum. Ef misræmi er milli tungumálaútgáfnanna er pólska útgáfan bindandi.

Útgáfa 2.2 · Síðast uppfært: 29. október 2026

Samningur um vinnslu persónuupplýsinga fyrir hönd ábyrgðaraðila samkvæmt Art. 28 almennu persónuverndarreglugerðarinnar (GDPR)

milli Viðskiptavinar formexposed sem ábyrgðaraðila („Viðskiptavinurinn“) og LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland, NIP (pólskt skattauðkennisnúmer) 7252266190, sem vinnsluaðila („við“).

Inngangsorð: um hvað þessi Samningur fjallar

formexposed athugar varnir tengiliðaeyðublaða vefsvæða gegn ruslpósti og misnotkun, vaktar þau og tilkynnir um breytingar. Fyrir flest gögn sem verða til við þetta erum við sjálf ábyrgðaraðili: fyrir viðskiptavinaaðganginn, greiðslur, öryggi Þjónustunnar, annála og athuganir án aðgangs. Persónuverndarstefna okkar lýsir þeirri vinnslu; þessi Samningur gildir ekki um hana.

Sumir eiginleikar færa þó persónuupplýsingar þriðju aðila inn í Þjónustuna og það er Viðskiptavinurinn sem ákveður um þau gögn: afrit raunverulegra fyrirspurna gesta á vefsvæði hans, netföng þeirra sem fá viðvaranir hans, innskráningarupplýsingar prófunaraðgangs og kóði sem hann lætur okkur vinna með. Við vinnum þessi gögn aðeins fyrir hönd Viðskiptavinarins. Þessi Samningur gildir um þau. Hvaða eiginleikar þetta eru nákvæmlega kemur fram í viðauka 1 í lok þessa Samnings.

Samningurinn fylgir Art. 28(3) GDPR og hefur stöðluð samningsákvæði framkvæmdastjórnar Evrópusambandsins milli ábyrgðaraðila og vinnsluaðila (framkvæmdarákvörðun (ESB) 2021/915) að fyrirmynd í uppbyggingu og efni. Hann tekur þau ekki upp orðrétt heldur lýsir raunverulegri Þjónustu. Þar sem við útfærum skyldu samkvæmt Art. 28 GDPR nánar má verndarstig reglugerðarinnar ekki skerðast.

§ 1 Efni, gildissvið og hlutverk

(1) Efni þessa Samnings er vinnsla okkar á persónuupplýsingum fyrir hönd Viðskiptavinarins við veitingu Þjónustunnar samkvæmt Þjónustuskilmálum okkar. Efni, eðli og tilgangur vinnslunnar, tegundir persónuupplýsinga og flokkar skráðra einstaklinga eru tilgreind fyrir hvern eiginleika í viðauka 1.

(2) Þessi Samningur nær ekki til vinnslu þar sem við erum sjálf ábyrgðaraðili, einkum viðskiptavinaaðgangsins og meðlima vinnusvæðis, innskráningar og öryggis aðgangs, greiðslna, aðstoðar, annála, öryggisafrita af þessum eigin gögnum okkar, ókeypis athugunarinnar án aðgangs, athugana á lénum í aðganginum sem Viðskiptavinurinn hefur ekki enn lagt fram sönnun um stjórn á, athugunar á mögulegum viðskiptavini, rannsóknarinnar, merkisins og þess sem WordPress-viðbótin og TYPO3-viðbótin senda: daglegar tölur, viðbótaskrána og, fyrir tengda WordPress-viðbót, lén tengla úr stöðvuðum skilaboðum fyrir samvarnir (sjálfgefið virkar). Umfram það innihalda þessi gögn samkvæmt uppbyggingu viðbótanna ekkert innihald, nöfn, netföng eða IP-netföng gesta. Aftur á móti eru öryggisafrit að því marki sem þau innihalda Gögn viðskiptavinar og aðgangur að Gögnum viðskiptavinar vegna rekstrar, bilanaleitar og öryggis hluti vinnslunnar fyrir hönd Viðskiptavinarins; § 7(3) og § 15(5) gilda um það.

(3) Viðskiptavinurinn er ábyrgðaraðili í skilningi Art. 4(7) GDPR fyrir gögnin í viðauka 1. Ef Viðskiptavinurinn starfar sjálfur sem vinnsluaðili fyrir þriðja aðila, til dæmis stofa fyrir viðskiptavini sína, erum við undirvinnsluaðili þeirra gagna. Viðskiptavinurinn tryggir þá að þessi Samningur samræmist skyldum samkvæmt eigin samningi og miðlar fyrirmælum þriðja aðilans til okkar aðeins í gegnum sjálfan sig.

(4) Samningsgerð: Samningurinn er gerður við skráningu ásamt Þjónustuskilmálunum við hvern Viðskiptavin, jafnvel þótt hann noti engan eiginleika í viðauka 1. Hann er gerður rafrænt; það uppfyllir Art. 28(9) GDPR. Í þeim tilgangi vistum við útgáfuna sem birtist, prófsummu hennar og tíma, IP-netfang og vafraauðkenni samþykkisins.

§ 2 Skilgreiningar

Hugtök svo sem „persónuupplýsingar“, „vinnsla“, „ábyrgðaraðili“, „vinnsluaðili“ og „öryggisbrestur við meðferð persónuupplýsinga“ hafa þá merkingu sem gefin er í Art. 4 GDPR. Að auki:

Gögn viðskiptavinar merkja persónuupplýsingar sem við vinnum fyrir hönd Viðskiptavinarins samkvæmt viðauka 1.
Undirvinnsluaðili merkir annan vinnsluaðila sem við ráðum og vinnur þá Gögn viðskiptavinar (Art. 28(2) og (4) GDPR).
Vinnusvæði merkir svæði í Þjónustunni þar sem Viðskiptavinur hefur umsjón með lénum sínum, stillingum og meðlimum. Öll Gögn viðskiptavinar eru tengd vinnusvæði.
Textaform merkir hverja læsilega yfirlýsingu á varanlegum miðli, einkum tölvupóst.
Dagar merkja almanaksdaga. Ef lok frests falla á laugardag, sunnudag eða almennan frídag í Póllandi lýkur honum næsta virka dag.

§ 3 Gildistími

(1) Samningurinn gildir svo lengi sem við vinnum Gögn viðskiptavinar. Hann hefst við skráningu og lýkur ekki við það eitt að greiddri áskriftarleið lýkur: eftir uppsögn heldur aðgangurinn áfram sem ókeypis aðgangur og með honum, eftir því sem við á, Gögn viðskiptavinar. Honum lýkur þegar aðganginum hefur verið eytt og við höfum ekki lengur nein Gögn viðkomandi Viðskiptavinar, nema í öryggisafritum þar til þau renna út (§ 15).

(2) Skyldur sem eðli sínu samkvæmt hafa áfram áhrif gilda eftir samningslok, einkum trúnaður, eyðing, sönnunargögn og ábyrgð.

(3) Venjuleg uppsögn þessa Samnings eins og sér er útilokuð vegna þess að án hans væri ekki hægt að vinna nein Gögn viðskiptavinar svo lengi sem aðgangurinn er til. Ef Viðskiptavinurinn vill ljúka honum eyðir hann aðgangi sínum (§ 15(3)). Uppsagnarréttur samkvæmt § 9(3) og § 16 og uppsagnarréttur samkvæmt Þjónustuskilmálunum haldast óskertir.

§ 4 Fyrirmæli

(1) Við vinnum Gögn viðskiptavinar aðeins samkvæmt skjalfestum fyrirmælum Viðskiptavinarins, einnig að því er varðar flutning til þriðja lands eða alþjóðastofnunar. Þetta gildir ekki þar sem lög Sambandsins eða aðildarríkis sem við erum bundin af krefjast vinnslu af okkar hálfu. Í því tilviki upplýsum við Viðskiptavininn um þá lagaskyldu fyrir vinnslu nema lögin banni slíkar upplýsingar vegna mikilvægra almannahagsmuna (Art. 28(3), annar málsliður, liður (a) GDPR).

(2) Fyrirmæli Viðskiptavinarins eru skjalfest með tæmandi hætti í þessum Samningi, Þjónustuskilmálunum og þeim stillingum sem Viðskiptavinurinn gerir í Þjónustunni. Dæmi: uppsetning afhendingarathugunarinnar er fyrirmæli um að taka við og meta afrit tölvupósts frá eyðublöðunum; skráning áfangastaðar viðvarana er fyrirmæli um að senda tilkynningar þangað; vistun prófunaraðgangs er fyrirmæli um að skrá sig inn með honum við skönnun á bak við innskráningu. Þjónustan er þannig uppbyggð að hún gerir aðeins það sem þessar stillingar gera ráð fyrir.

(3) Viðskiptavinurinn gefur frekari fyrirmæli í textaformi á contact@lukaswojcik.com eða um aðstoðargluggann. Eigandi og stjórnendur vinnusvæðisins hafa heimild til að gefa fyrirmæli; fyrirmæli með stillingum í Þjónustunni gefur sá sem hefur heimild samkvæmt hlutverki sínu til að gera stillinguna. Viðskiptavinurinn staðfestir munnleg fyrirmæli í textaformi án ótilhlýðilegrar tafar; fram að því megum við bíða með framkvæmd þeirra nema fyrirmælin varði eyðingu eða takmörkun gagna. Við meðhöndlum fyrirmæli sem ganga út fyrir umsamið þjónustuumfang sem beiðni um breytingu á þjónustunni; við megum hafna þeim eða gera þau háð endurgjaldi sem við tilgreinum fyrirfram í textaformi. Við höfnum ekki á þessum grundvelli fyrirmælum sem varða skyldu samkvæmt GDPR, svo sem eyðingu.

(4) Ef fyrirmæli brjóta að okkar mati gegn lögum upplýsum við Viðskiptavininn tafarlaust (Art. 28(3), önnur undirgrein, GDPR). Við megum fresta framkvæmd þeirra þar til Viðskiptavinurinn staðfestir eða breytir fyrirmælunum. Við framkvæmum ekki fyrirmæli sem eru augljóslega ólögmæt. Okkur ber ekki skylda til að framkvæma heildstæða lagalega yfirferð á hverjum fyrirmælum; ábyrgð á lögmæti þeirra er áfram hjá Viðskiptavininum.

§ 5 Tilgangstakmörkun og hvað við gerum ekki við Gögn viðskiptavinar

(1) Við vinnum Gögn viðskiptavinar aðeins í þeim tilgangi sem fram kemur í viðauka 1 og aðeins að því marki sem viðkomandi eiginleiki krefst.

(2) Við notum ekki Gögn viðskiptavinar í eigin tilgangi. Einkum greinum við þau ekki vegna auglýsinga, seljum þau ekki, sameinum þau ekki við gögn annarra viðskiptavina í persónusnið og notum þau ekki til að þjálfa tungumálalíkön. Tungumálalíkanið sem aðstoðar við einstaka eiginleika keyrir á eigin þjóni okkar; ekkert er sent til ytri gervigreindarþjónustu.

(3) Viðskiptavinurinn heimilar okkur að taka saman úr Gögnum viðskiptavinar samanteknar tölur sem ekki er lengur hægt að rekja til neins einstaklings, viðskiptavinar eða léns, til dæmis um afhendingar, villur eða niðurstöður athugana. Samantektin er vinnsla samkvæmt þessum Samningi; tölurnar sem verða til eru ekki lengur persónuupplýsingar og ekki lengur Gögn viðskiptavinar. Við reynum ekki að bera kennsl á einstaklinga á ný út frá þeim.

§ 6 Skyldur Viðskiptavinarins

(1) Viðskiptavinurinn ber ábyrgð á lögmæti vinnslunnar sem hann felur okkur að framkvæma. Það felur í sér að hafa lagagrundvöll fyrir henni og upplýsa skráða einstaklinga samkvæmt Art. 13 og 14 GDPR.

(2) Ef Viðskiptavinurinn notar afhendingarathugunina upplýsir hann gesti vefsvæðis síns í persónuverndarstefnu sinni um að afrit tölvupósts frá eyðublaðinu sé sent til okkar. Þjónustan sýnir tillögu að texta á síðu lénsins; frekari textabútar eru tiltækir á Texti í persónuverndarstefnu fyrir vefsvæðið þitt. Tillagan kemur ekki í stað eigin mats Viðskiptavinarins.

(3) Fyrir skönnun á bak við innskráningu býr Viðskiptavinurinn til sérstakan prófunaraðgang sem hefur aðeins þær heimildir sem þarf til að lesa tilgreindar síður og sýnir engin raunveruleg gögn viðskiptavina, sjúklinga, meðlima eða starfsmanna. Hann vistar ekki innskráningarupplýsingar raunverulegs einstaklings eða innskráningarupplýsingar sem honum er óheimilt að nota. Notkunarreglurnar koma einnig fram í Leyfilegri notkun og misnotkun.

(4) Viðskiptavinurinn lætur ekki vinna sérstaka flokka persónuupplýsinga (Art. 9 GDPR) eða gögn um sakfellingar (Art. 10 GDPR) í gegnum Þjónustuna að því marki sem hann getur komist hjá því. Þegar hann notar „Fix it for me“ límir hann ekki inn kóða sem inniheldur raunverulegar persónuupplýsingar og hann býr aðeins til viðskiptavinagáttir fyrir einstaklinga sem hafa pantað skýrsluna.

(5) Viðskiptavinagáttir: fyrir mánaðarskýrsluna til áskrifenda er Viðskiptavinurinn, yfirleitt stofa, ábyrgðaraðili. Þjónustan aflar staðfestingar hvers áskrifanda með staðfestingartengli (tvöföld staðfesting) og býður afskráningu í hverjum tölvupósti. Það er Viðskiptavinarins að meta hvort samþykkið nái til efnis skýrslunnar.

(6) Ef Viðskiptavinurinn greinir villur eða óreglu í vinnslunni upplýsir hann okkur án ótilhlýðilegrar tafar.

(7) Ef Viðskiptavinurinn fellir merkið inn er það ekki vinnsla fyrir hans hönd; Persónuverndarstefna okkar lýsir vinnslunni sem því fylgir. Viðskiptavinurinn nefnir þetta í persónuverndarstefnu sinni.

§ 7 Trúnaður

(1) Við veitum aðeins þeim aðgang að Gögnum viðskiptavinar sem þurfa hann vegna verkefna sinna og hafa skuldbundið sig til trúnaðar eða eru bundnir viðeigandi lögbundinni þagnarskyldu (Art. 28(3), annar málsliður, liður (b) GDPR). Skuldbindingin gildir áfram eftir að störfum þeirra lýkur.

(2) Sem stendur rekur eigandinn Þjónustuna sjálfur. Ef fleiri einstaklingar bætast við eru þeir bundnir trúnaði og fá leiðbeiningar um meðferð persónuupplýsinga áður en þeir fá fyrst aðgang.

(3) Við skoðum aðeins vinnusvæði að því marki sem nauðsynlegt er vegna rekstrar, bilanaleitar, aðstoðar eða varna gegn misnotkun. Aðstoðareiginleikinn „skoða sem viðskiptavinur“ er takmarkaður við eina klukkustund, lokar fyrir breytingar á lykilorði, netfangi, öðrum auðkenningarþætti, áskrift, útflutningi og eyðingu og er skráður; Viðskiptavinurinn sér aðganginn í gagnaútflutningi sínum.

§ 8 Öryggi vinnslu

(1) Við gerum þær tæknilegu og skipulagslegu ráðstafanir samkvæmt Art. 32 GDPR sem tryggja öryggisstig sem hæfir áhættunni. Þeim er lýst á síðunni Tæknilegar og skipulagslegar ráðstafanir. Sú síða er hluti þessa Samnings (viðauki 2) í þeirri útgáfu sem þar er birt á viðkomandi tíma. Viðskiptavinurinn gat skoðað lýsinguna áður en Samningurinn var gerður. Viðskiptavinurinn metur á eigin ábyrgð hvort ráðstafanirnar veiti viðeigandi öryggisstig fyrir þá vinnslu sem hann felur okkur (Art. 28(1) GDPR), einkum áður en hann virkjar eiginleika úr viðauka 1.

(2) Síðan lýsir aðeins ráðstöfunum sem hafa í raun verið innleiddar. Allt sem er fyrirhugað en ekki enn innleitt er þar sérstaklega merkt „fyrirhugað“ og er ekki hluti þeirra ráðstafana sem við skuldbindum okkur til fyrr en það hefur verið innleitt.

(3) Við megum aðlaga ráðstafanirnar að tækniframförum og þróun Þjónustunnar svo lengi sem heildarverndarstigið lækkar ekki. Við birtum hverja breytingu með nýju útgáfunúmeri og dagsetningu á síðunni og í yfirlitinu Breytingar á samningsskjölunum. Ef breyting fjarlægir áður lýsta ráðstöfun án þess að önnur komi í staðinn eða veikir hana tilkynnum við Viðskiptavininum það einnig í textaformi með að minnsta kosti 30 daga fyrirvara; Viðskiptavinurinn má þá andmæla eins og þegar nýr undirvinnsluaðili bætist við (§ 9(3)). Ef skipta þarf um ráðstöfun með stuttum fyrirvara til að mæta ógn má gera það án fyrirframtilkynningar enda lækki verndarstigið ekki við það; tilkynning fylgir þá án ótilhlýðilegrar tafar.

§ 9 Undirvinnsluaðilar

(1) Viðskiptavinurinn veitir okkur almenna skriflega heimild til að ráða undirvinnsluaðila (Art. 28(2) GDPR). Undirvinnsluaðilar sem við notum nú eru taldir upp á síðunni Undirvinnsluaðilar ásamt skráðu aðsetri, tilgangi, gögnum, vinnslustað og grundvelli mögulegs flutnings til þriðja lands. Sá listi er hluti þessa Samnings (viðauki 3) í þeirri útgáfu sem þar er birt. Heimild telst veitt fyrir þeim undirvinnsluaðilum sem þar eru nefndir.

(2) Við upplýsum Viðskiptavininn um fyrirhugaða viðbót eða skipti á undirvinnsluaðila með að minnsta kosti 30 daga fyrirvara með tölvupósti á netfang aðgangshafa. Tilkynningin nefnir undirvinnsluaðilann, skráð aðsetur hans, viðkomandi eiginleika, gögnin, vinnslustaðinn og grundvöll mögulegs flutnings. Á sama tíma er tilkynnt breyting sýnd á síðu undirvinnsluaðila og í breytingayfirlitinu.

(3) Viðskiptavinurinn má andmæla í textaformi innan þessara 30 daga ef hann hefur málefnalega ástæðu sem tengist persónuvernd; hann tilgreinir ástæðuna í andmælunum. Við leitum þá lausnar ásamt Viðskiptavininum, til dæmis með því að halda viðkomandi eiginleika í gangi fyrir hann án nýja undirvinnsluaðilans eða með því að slökkva á honum. Þar til lausn hefur fundist notum við ekki nýja undirvinnsluaðilann fyrir Gögn þessa Viðskiptavinar; ef það er ekki tæknilega mögulegt er viðkomandi eiginleiki stöðvaður fyrir Viðskiptavininn. Ef engin lausn finnst má Viðskiptavinurinn segja samningnum um Þjónustuna eða viðkomandi þjónustu upp með áhrifum frá breytingardeginum og, ef við upplýsum hann fyrst eftir þann dag um að engin lausn sé möguleg, með tafarlausum áhrifum innan 14 daga frá þeirri tilkynningu. Fyrir fyrirframgreitt tímabil sem hann getur ekki lengur nýtt af þessum sökum endurgreiðum við hlutfallslega fjárhæð. Réttur okkar til venjulegrar uppsagnar samkvæmt Þjónustuskilmálunum helst óskertur.

(4) Við leggjum með samningi sömu persónuverndarskyldur á hvern undirvinnsluaðila og þessi Samningur leggur á okkur, einkum nægilegar tryggingar fyrir framkvæmd viðeigandi tæknilegra og skipulagslegra ráðstafana (Art. 28(4), fyrsti málsliður, GDPR). Við veljum hvern undirvinnsluaðila af kostgæfni og athugum hvort þessar tryggingar séu til staðar áður en hann er ráðinn, aftur ef hann breytir skilmálum sínum verulega og að öðru leyti við árlega yfirferð ráðstafana okkar. Þar sem undirvinnsluaðili veitir aðeins gögn í formi vottorðs, úttektarskýrslu eða birtra skilmála byggjum við athugun okkar á þeim gögnum ef þau eru gild og hafa raunhæft upplýsingagildi. Að beiðni sendum við Viðskiptavininum afrit samningsins við undirvinnsluaðilann eða persónuverndarskilmála hans; við megum fyrst afmá viðskiptaleyndarmál og aðrar trúnaðarupplýsingar, svo sem verð.

(5) Ef undirvinnsluaðili uppfyllir ekki persónuverndarskyldur sínar berum við áfram ábyrgð gagnvart Viðskiptavininum á efndum skyldna hans eins og eigin háttsemi (Art. 28(4), annar málsliður, GDPR). Val okkar á undirvinnsluaðila flytur enga ábyrgð til Viðskiptavinarins. Ef undirvinnsluaðili uppfyllir ekki samningsskyldur sínar og það varðar Gögn Viðskiptavinarins upplýsum við Viðskiptavininn án ótilhlýðilegrar tafar. Ef við höfum horfið í reynd, hætt að vera til að lögum eða orðið gjaldþrota án þess að réttareftirmaður taki yfir skyldur okkar á Viðskiptavinurinn að geta krafist þess að undirvinnsluaðilinn eyði Gögnum viðskiptavinar eða skili þeim; við semjum um þetta við hvern undirvinnsluaðila að því marki sem hann heimilar (sbr. ákvæði 7.7(e) stöðluðu samningsákvæðanna 2021/915).

(6) Viðtakendur sem fá aðeins gögn vegna þess að Viðskiptavinurinn setur þá sjálfur upp sem áfangastað í Þjónustunni eru ekki undirvinnsluaðilar: spjallþjónustur (svo sem Slack, Discord, Microsoft Teams og Google Chat) og vefkróksvistföng fyrir viðvaranir. Uppsetning áfangastaðarins er fyrirmæli um að senda tilkynninguna þangað; samningssambandið við þessa veitendur og nauðsynlegur grundvöllur flutnings til þriðja lands eru á ábyrgð Viðskiptavinarins. Eigin skyldur okkar samkvæmt þessum Samningi fram að afhendingu tilkynningarinnar haldast óskertar. Telegram er sömuleiðis áfangastaður sem Viðskiptavinurinn velur en virkar á annan hátt: við sendum skilaboðin um eigin bota í spjallið sem viðtakandinn hefur sjálfur tengt við botann og Telegram vinnur þau utan Evrópska efnahagssvæðisins. Með því að velja Telegram gefur Viðskiptavinurinn okkur skýr fyrirmæli um að flytja tilkynningarnar þangað (Art. 28(3), annar málsliður, liður (a) GDPR); ef flokka þyrfti Telegram sem undirvinnsluaðila okkar að þessu leyti telst val þessa áfangastaðar jafnframt sérstök heimild samkvæmt Art. 28(2) GDPR í þessum tilgangi. Grundvöllurinn samkvæmt V. kafla GDPR fyrir þessum flutningi hefur enn ekki verið endanlega skýrður; sá sem vill forðast flutning án skýrðs grundvallar velur annan áfangastað. Sömuleiðis eru þjónustuveitendur sem aðeins flytja gögn, svo sem internetþjónustuveitandi okkar, ekki undirvinnsluaðilar.

(7) Við rekum sjálf þjónana, gagnagrunninn og reiknigetu, einnig fyrir tungumálalíkanið, í Póllandi. Enginn hýsingar- eða skýjaþjónustuveitandi kemur að því.

§ 10 Flutningur til þriðju landa

(1) Eigin þjónar okkar þar sem við vinnum Gögn viðskiptavinar eru í Póllandi; þar sem undirvinnsluaðili vinnur Gögn viðskiptavinar er staðsetningin tilgreind í viðauka 3. Flutningur til lands utan Evrópska efnahagssvæðisins fer aðeins fram ef skilyrði Art. 44 til 49 GDPR eru uppfyllt og aðeins samkvæmt fyrirmælum Viðskiptavinarins samkvæmt § 4 eða til undirvinnsluaðila sem hefur verið heimilaður samkvæmt § 9.

(2) Grundvöllur fyrir hvern undirvinnsluaðila (ákvörðun um fullnægjandi vernd, svo sem fyrir persónuverndarramma ESB og Bandaríkjanna þegar um vottaða viðtakendur er að ræða, eða stöðluð samningsákvæði samkvæmt Art. 46(2)(c) GDPR) er tilgreindur í lista undirvinnsluaðila. Þar sem listinn segir „á eftir að sannreyna“ fyrir viðtakanda eru Gögn viðskiptavinar ekki send til hans fyrr en grundvöllurinn hefur verið skjalfestur. Ef við ráðum undirvinnsluaðila utan Evrópska efnahagssvæðisins án þess að ákvörðun um fullnægjandi vernd eigi við semjum við við hann um stöðluð samningsákvæði samkvæmt framkvæmdarákvörðun (ESB) 2021/914 (eining 3: vinnsluaðili til vinnsluaðila), metum fyrirfram hvort lög og framkvæmd viðtökulandsins heimili að þeim sé fylgt, gerum nauðsynlegar viðbótarráðstafanir og skráum niðurstöðuna. Viðskiptavinurinn fær samantekt þessa mats að beiðni.

(3) Við flutning til áfangastaða sem Viðskiptavinurinn velur sjálfur (§ 9(6)) ber Viðskiptavinurinn ábyrgð á grundvellinum.

§ 11 Aðstoð við réttindi skráðra einstaklinga

(1) Með hliðsjón af eðli vinnslunnar aðstoðum við Viðskiptavininn með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, að því marki sem það er mögulegt, við að svara beiðnum skráðra einstaklinga samkvæmt III. kafla GDPR (Art. 28(3), annar málsliður, liður (e) GDPR).

(2) Margt af þessu getur Viðskiptavinurinn gert sjálfur í Þjónustunni: breytt eða eytt áfangastöðum viðvarana, prófunarinnskráningum og eigin vörumerkjaútliti; breytt vafraleiðum að eyðublöðum eða slökkt á þeim; afturkallað viðskiptavinagáttir (áskrifendur þeirra eru áfram vistaðir þar til vinnusvæðinu er eytt); fjarlægt lén ásamt gögnum þess; sótt gagnaútflutning. Þar sem það dugar ekki aðstoðum við að beiðni í textaformi.

(3) Ef skráður einstaklingur hefur samband við okkur með beiðni sem varðar Gögn viðskiptavinar svörum við henni ekki sjálf efnislega heldur framsendum hana til Viðskiptavinarins án ótilhlýðilegrar tafar og eigi síðar en sjö dögum eftir móttöku að því marki sem við getum borið kennsl á Viðskiptavininn og segjum einstaklingnum að við höfum gert það. Ef við getum ekki borið kennsl á Viðskiptavininn segjum við einstaklingnum hvaða upplýsingar við þurfum til að finna hann.

(4) Við tökum eina takmörkun skýrt fram: við vistum ekki afrit tölvupósts frá eyðublöðum úr afhendingarathuguninni í gagnagrunninum og tölvupóstinum er eytt úr pósthólfinu eftir árangursríka vinnslu eða með töf ef villa kemur upp við sókn eða eyðingu. Um tiltekinn gest getum við því yfirleitt aðeins sagt að við höfum ekki lengur neitt innihald.

(5) Ef okkur verður kunnugt um að Gögn viðskiptavinar séu röng eða úrelt upplýsum við Viðskiptavininn án ótilhlýðilegrar tafar. Viðskiptavinurinn getur þá sjálfur leiðrétt þau, eytt þeim eða takmarkað þau í Þjónustunni eða með fyrirmælum til okkar.

§ 12 Aðstoð við öryggi, mat á áhrifum og samráð

(1) Með hliðsjón af eðli vinnslunnar og þeim upplýsingum sem okkur eru tiltækar aðstoðum við Viðskiptavininn við að uppfylla skyldur sínar samkvæmt Art. 32 til 36 GDPR: öryggi vinnslu, tilkynningar og upplýsingagjöf vegna öryggisbresta, mat á áhrifum á persónuvernd og fyrirframsamráð við eftirlitsstjórnvaldið (Art. 28(3), annar málsliður, liður (f) GDPR).

(2) Í þeim tilgangi veitum við einkum lýsingu ráðstafananna, lista undirvinnsluaðila og, að beiðni, frekari upplýsingar um gagnaflæði og varðveislutíma. Við birtum eigið mat á áhættu Þjónustunnar í Mati á áhrifum á persónuvernd; Viðskiptavinurinn má nota það fyrir eigið mat.

(3) Fyrir aðstoð samkvæmt §§ 11 og 12 sem Viðskiptavinurinn getur ekki veitt sér sjálfur með eiginleikum Þjónustunnar eða birtum skjölum, krefst meira en fjögurra klukkustunda vinnu á almanaksári og stafar ekki af broti okkar á þessum Samningi eða GDPR megum við taka endurgjald fyrir tímann umfram það samkvæmt tímagjaldi sem við tilgreinum fyrirfram í textaformi. Framsending beiðna og tilkynningar öryggisbresta eru alltaf án endurgjalds. Við gerum ekki aðstoð sem okkur ber að veita samkvæmt lögum háða greiðslu eða samkomulagi um endurgjald.

§ 13 Öryggisbrestir við meðferð persónuupplýsinga

(1) Ef okkur verður kunnugt um öryggisbrest við meðferð persónuupplýsinga sem hefur áhrif á Gögn Viðskiptavinarins tilkynnum við Viðskiptavininum það án ótilhlýðilegrar tafar, innan 48 klukkustunda ef mögulegt er, með tölvupósti á netfang aðgangshafa (Art. 33(2) GDPR). Tilgangurinn er að skerða ekki 72 klukkustunda frestinn sem Viðskiptavinurinn verður að virða gagnvart eftirlitsstjórnvaldinu. Okkur telst kunnugt um öryggisbrest um leið og við höfum með hæfilegri vissu staðfest að öryggisatvik hafi áhrif á Gögn Viðskiptavinarins; við rannsökum hvern grun án ótilhlýðilegrar tafar. Það sama gildir um öryggisbrest hjá undirvinnsluaðila um leið og hann tilkynnir okkur hann.

(2) Tilkynningin inniheldur, að því marki sem þær eru þekktar, upplýsingar samkvæmt Art. 33(3) GDPR: eðli öryggisbrestsins, þar á meðal tíma eða tímabil hans, þar sem mögulegt er með flokkum og áætluðum fjölda skráðra einstaklinga og færslna sem verða fyrir áhrifum, tengilið fyrir frekari upplýsingar, líklegar afleiðingar og ráðstafanir sem hafa verið gerðar eða lagðar til. Það sem ekki hefur enn verið staðfest við fyrstu tilkynningu veitum við án frekari ótilhlýðilegrar tafar.

(3) Við gerum tafarlaust nauðsynlegar ráðstafanir til að bæta úr öryggisbrestinum og draga úr afleiðingum hans og semjum um frekari skref við Viðskiptavininn. Við skjalfestum hvern öryggisbrest ásamt staðreyndum, áhrifum hans og úrbótum sem voru gerðar og gerum skjölin aðgengileg Viðskiptavininum að beiðni.

(4) Viðskiptavinurinn tilkynnir eftirlitsstjórnvaldinu eða upplýsir skráða einstaklinga. Við gerum það aðeins samkvæmt fyrirmælum hans.

(5) Við tökum við tilkynningum um öryggisveikleika sem þriðju aðilar finna í Þjónustunni á Öryggi.

(6) Tilkynning og samvinna okkar samkvæmt þessum kafla fela ekki í sér viðurkenningu á skyldubroti eða ábyrgð. Ef öryggisbrestur hefur einnig áhrif á gögn sem við erum sjálf ábyrgðaraðili að uppfyllum við eigin skyldur samkvæmt Art. 33 og 34 GDPR fyrir þau gögn; við afhendum þá Gögn Viðskiptavinarins aðeins að því marki sem nauðsynlegt er í þeim tilgangi.

§ 14 Sönnunargögn og úttektir

(1) Við gerum Viðskiptavininum aðgengilegar allar upplýsingar sem nauðsynlegar eru til að sýna fram á að skyldum samkvæmt Art. 28 GDPR sé fullnægt og heimilum og stuðlum að úttektum, þar á meðal skoðunum, sem Viðskiptavinurinn eða úttektaraðili sem hann felur það framkvæmir (Art. 28(3), annar málsliður, liður (h) GDPR).

(2) Við sýnum fyrst og fremst fram á efndir með skjölum: lýsingu ráðstafananna, lista undirvinnsluaðila, Skrá yfir vinnslustarfsemi sem nær til vinnslunnar fyrir hönd viðskiptavina (Art. 30(2) GDPR), skriflegum svörum við spurningalistum og, að beiðni, útdráttum úr annálum eða niðurstöðum endurheimtarprófunar. Við svörum spurningalistum innan 30 daga frá móttöku og, þegar ástæða samkvæmt 4. mgr. er fyrir hendi, eins fljótt og sú ástæða krefst. Sem stendur eru engar ytri úttektarskýrslur eða vottanir til; við tökum það fram svo enginn geri ráð fyrir að þær séu til.

(3) Ef skjölin duga ekki getur Viðskiptavinurinn óskað úttektar, einnig á staðnum. Viðskiptavinurinn tilkynnir hefðbundna úttekt með að minnsta kosti 30 daga fyrirvara í textaformi og tilgreinir efni hennar, áætlaða lengd og úttektaraðila; hún fer fram á venjulegum opnunartíma í Póllandi og er skipulögð þannig að rekstur raskist ekki að óþörfu. Hefðbundnar úttektir á staðnum fara ekki fram oftar en einu sinni á almanaksári; 4. mgr. helst óskert.

(4) Enginn fastur biðtími þegar brýn ástæða er fyrir hendi. Við öryggisbrest við meðferð persónuupplýsinga, við áþreifanlegar vísbendingar um brot á þessum Samningi eða GDPR eða þegar eftirlitsstjórnvald óskar úttektar gildir hvorki 30 daga tilkynningarfresturinn né hámarkið ein úttekt á ári. Úttektin fer þá fram eins fljótt og ástæðan krefst og skipulagslega er mögulegt.

(5) Viðskiptavinurinn má fela úttektina úttektaraðila sem er bundinn trúnaði og hvorki býður þjónustu sambærilega við formexposed né starfar fyrir slíkan veitanda. Við megum krefjast þess að úttektaraðilar taki ekki með sér eða skrái leyndarmál annarra viðskiptavina, innskráningarupplýsingar eða öryggisupplýsingar. Viðskiptavinurinn og úttektaraðili hans fara með sem trúnaðarmál það sem þeir kynnast um rekstur okkar við úttekt og nota það aðeins til að sannreyna að þessum Samningi og GDPR sé fylgt; þeir mega afhenda það bæru eftirlitsstjórnvaldi, ráðgjöfum sem bundnir eru trúnaði og að því marki sem lög krefjast. Slíkar ráðstafanir mega ekki koma í veg fyrir lögbundinn úttektarrétt.

(6) Hvor aðili ber eigin kostnað af úttekt. Ef heildarvinna okkar vegna úttekta og spurningalista Viðskiptavinar fer yfir átta klukkustundir á almanaksári megum við taka endurgjald fyrir tímann umfram það samkvæmt tímagjaldi sem við tilgreinum fyrirfram í textaformi, en ekki ef úttektin leiðir í ljós brot af okkar hálfu eða fer fram af ástæðu samkvæmt 4. mgr. sem við berum ábyrgð á. Við gerum ekki úttektina sjálfa háða greiðslu.

(7) Valdheimildir eftirlitsstjórnvalda haldast óskertar. Bært eftirlitsstjórnvald fyrir okkur er forseti pólsku persónuverndarstofnunarinnar (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Moniuszki 1A, 00-014 Warszawa. Báðir aðilar gera upplýsingar samkvæmt þessum kafla, þar á meðal niðurstöður úttekta, aðgengilegar bæru eftirlitsstjórnvaldi að beiðni.

§ 15 Eyðing og skil

(1) Á samningstímanum gilda varðveislutímar viðauka 1. Þeim er framfylgt með næturkeyrslu sem eyðir samkvæmt sömu stillingum og birtast einnig í textunum.

(2) Val milli skila og eyðingar. Eftir lok vinnslunnar ákveður Viðskiptavinurinn hvort við skilum Gögnum viðskiptavinar eða eyðum þeim (Art. 28(3), annar málsliður, liður (g) GDPR). Skil fara fram með gagnaútflutningi sem Viðskiptavinurinn getur sjálfur sótt í stillingum sem véllæsilega skrá eða sem við afhendum að beiðni í textaformi innan 30 daga; í síðara tilvikinu nær hann einnig til Gagna viðskiptavinar sem ekki eru í útflutningnum að því marki sem hægt er að skila þeim (4. mgr.). Eyðing fer fram með því að fjarlægja lén, sem eyðir gögnum þess, eða með eyðingu aðgangs, sem Viðskiptavinurinn ræsir sjálfur. Ef Viðskiptavinurinn vill bæði skil og eyðingu sækir hann fyrst útflutninginn og eyðir síðan.

(3) Ef Viðskiptavinurinn velur ekki og eyðir aðgangi sínum telst það val á eyðingu. Þegar aðganginum er eytt er vinnusvæðum sem Viðskiptavinurinn er einn eigandi að eytt tafarlaust í kerfinu í rekstri ásamt öllum Gögnum viðskiptavinar. Ef vinnusvæði hefur fleiri meðlimi færist það til þess meðlims sem hefur tilheyrt því lengst, til stjórnenda á undan skoðendum, og er ekki eytt; sá meðlimur verður þar með Viðskiptavinurinn fyrir það vinnusvæði. Sá sem vill þetta ekki fjarlægir hina meðlimina eða lénin fyrir eyðingu. Ef samningnum um aðganginn lýkur með öðrum hætti, til dæmis með uppsögn okkar samkvæmt Þjónustuskilmálunum, bendum við Viðskiptavininum á útflutninginn samhliða uppsögninni og hann getur sótt hann þar til samningnum lýkur. Eigi síðar en 30 dögum eftir samningslok eyðum við aðganginum ásamt Gögnum viðskiptavinar; sem stendur er það gert handvirkt.

(4) Við tökum fyrirfram fram hverju er ekki hægt að skila: innskráningarupplýsingar fyrir skönnun á bak við innskráningu eru ekki hluti útflutningsins vegna þess að vefþjónninn getur ekki afdulkóðað þær (viðauki 1, liður 5); afrit úr afhendingarathuguninni eru ekki lengur til eftir vinnslu; kóði úr „Fix it for me“ er alls ekki vistaður.

(5) Öryggisafrit. Öryggisafrit er tekið af gagnagrunninum á hverri nóttu. Hverju öryggisafriti er eytt eftir 14 daga. Gögn viðskiptavinar sem eytt hefur verið úr kerfinu í rekstri eru áfram í eldri öryggisafritum þangað til; einstökum færslum er ekki eytt sérstaklega innan öryggisafrits vegna þess að það verður að vera óbreytt mynd af tilteknum tímapunkti. Þar til þau renna út eru öryggisafritin vernduð eins og gagnagrunnurinn sjálfur og aðeins notuð til endurheimtar og prófunar á endurheimt; ekki er leitað í þeim eða þau greind. Ef við þurfum að endurheimta öryggisafrit framkvæmum við aftur eyðingarbeiðnir sem bárust eftir dagsetningu þess, að því marki sem okkur er kunnugt um þær, áður en Þjónustan fer aftur í notkun. Færsla er því einnig horfin úr öryggisafritunum eigi síðar en 14 dögum eftir að henni var eytt úr kerfinu í rekstri.

(6) Eins og staðan er nú ber okkur engin skylda til að varðveita Gögn viðskiptavinar. Ef lögbundin varðveisluskylda samkvæmt lögum Sambandsins eða Póllands kemur til takmörkum við viðkomandi gögn í stað þess að eyða þeim, notum þau aðeins í þeim tilgangi og eyðum þeim þegar skyldunni lýkur.

(7) Að beiðni staðfestum við eyðingu í textaformi innan 30 daga og tilgreinum hvað er enn til samkvæmt 5. og 6. mgr. og þar til hvenær.

§ 16 Brot, stöðvun og uppsögn

(1) Ef við getum ekki uppfyllt skyldu samkvæmt þessum Samningi, hver sem ástæðan er, upplýsum við Viðskiptavininn án ótilhlýðilegrar tafar.

(2) Ef við brjótum gegn þessum Samningi eða GDPR getur Viðskiptavinurinn krafist þess að við stöðvum vinnslu viðkomandi Gagna viðskiptavinar þar til bætt hefur verið úr brotinu. Ef brotið heldur áfram eða er alvarlegt getur Viðskiptavinurinn rift samningnum um Þjónustuna af mikilvægri ástæðu, einkum ef við bætum ekki úr brotinu innan eins mánaðar frá tilkynningu um það eða förum ekki að ákvörðun dómstóls eða eftirlitsstjórnvalds um það. Við endurgreiðum hlutfallslega fyrirframgreidd gjöld fyrir tímabilið eftir samningslok.

(3) Ef Viðskiptavinurinn stendur fast á fyrirmælum sem við teljum ólögmæt samkvæmt § 4(4) megum við segja samningnum um viðkomandi þjónustu upp enda höfum við tilkynnt Viðskiptavininum það fyrirfram og hann breyti ekki fyrirmælunum innan eins mánaðar.

(4) Eftir uppsögn gildir § 15.

§ 17 Ábyrgð

(1) Um tjón sem skráður einstaklingur verður fyrir gildir Art. 82 GDPR. Þessi ábyrgð er ekki takmörkuð af neinni samningsbundinni ábyrgðartakmörkun, þar á meðal þeirri í Þjónustuskilmálunum.

(2) Ef aðili hefur greitt skráðum einstaklingi bætur samkvæmt Art. 82 GDPR má hann endurkrefja hinn aðilann um þann hluta sem samsvarar hlutdeild hins aðilans í ábyrgð á tjóninu (Art. 82(4) og (5) GDPR). Þessi endurkrafa er heldur ekki takmörkuð af ábyrgðartakmörkunum Þjónustuskilmálanna.

(3) Um allar aðrar kröfur milli Viðskiptavinarins og okkar samkvæmt þessum Samningi, til dæmis um bætur fyrir eigin tjón aðila eða kostnað, gilda ábyrgðarreglur Þjónustuskilmálanna að því marki sem lög heimila. Við berum ábyrgð á undirvinnsluaðilum samkvæmt § 9(5) eins og eigin háttsemi. Sekt sem eftirlitsstjórnvald leggur á aðila vegna eigin brots hans ber sá aðili sjálfur.

(4) Ef skráður einstaklingur eða eftirlitsstjórnvald gerir kröfu á hendur aðila upplýsir sá aðili hinn án ótilhlýðilegrar tafar og báðir vinna saman að því að skýra málið. Hvorugur aðili viðurkennir kröfu sem hann hyggst endurkrefja hinn um án samþykkis hins; ekki má synja samþykkis án málefnalegrar ástæðu.

§ 18 Tengiliður og persónuverndarfulltrúi

(1) Viðskiptavinurinn beinir persónuverndarspurningum vegna þessa Samnings, fyrirmælum og tilkynningum á contact@lukaswojcik.com eða um aðstoðargluggann og síðuna Hafa samband. Tilkynningar okkar samkvæmt þessum Samningi eru sendar á netfang aðgangshafa; Viðskiptavinurinn heldur því uppfærðu.

(2) Við höfum ekki tilnefnt persónuverndarfulltrúa vegna þess að að okkar mati eru skilyrði Art. 37(1) GDPR ekki uppfyllt. Ef það breytist tilkynnum við tilnefninguna í þessum Samningi.

§ 19 Lokaákvæði

(1) Forgangur. Ef ákvæði Þjónustuskilmálanna eða annars samnings stangast á við þennan Samning gengur þessi Samningur framar í öllum málum sem varða vinnslu Gagna viðskiptavinar; eigin skilmálar Viðskiptavinarins gilda ekki. Breytingar og viðbætur við þennan Samning í einstöku tilviki krefjast textaforms og verða að vísa sérstaklega til hans; þær verða hluti þessa Samnings og ganga framar honum að því marki sem ákvæði þeirra ná til. Ef þessi Samningur stangast á við ófrávíkjanleg ákvæði GDPR ganga þau ákvæði framar.

(2) Breytingar. Við breytum þessum Samningi aðeins af einhverri eftirfarandi málefnalegri ástæðu: breytingar á lögum eða túlkun þeirra af dómstólum og stjórnvöldum, þar á meðal með nýjum stöðluðum samningsákvæðum framkvæmdastjórnar Evrópusambandsins; breytingar á Þjónustunni, eiginleikum hennar eða tæknilegum grundvelli; breytingar á þriðja aðila sem er nauðsynlegur til að veita Þjónustuna; til að koma í veg fyrir misnotkun eða öryggisáhættu; eða til að leiðrétta villur og tvíræðni. Við tilkynnum breytingar með að minnsta kosti 30 daga fyrirvara með tölvupósti á netfang aðgangshafa og í breytingayfirlitinu og tilgreinum breytt orðalag, ástæðuna og fyrirhugaðan dag. Án þessa tilkynningarfrests breytum við aðeins því sem er eingöngu Viðskiptavininum til hagsbóta, er eingöngu málfarslegt eða leiðréttir augljósar villur, því sem lög, dómstóll eða stjórnvald krefjast með styttri fyrirvara og því sem nauðsynlegt er til að afstýra yfirvofandi öryggisáhættu; einnig í þeim tilvikum tilkynnum við breytinguna eins fljótt og mögulegt er og tilgreinum ástæðuna. Þögn telst ekki samþykki. Þar sem breyting krefst samþykkis Viðskiptavinarins öflum við þess sérstaklega; án þess gildir fyrri útgáfan áfram og lögbundinn og samningsbundinn uppsagnarréttur helst. Viðskiptavinurinn má andmæla tilkynntri breytingu í textaformi þar til hún tekur gildi; um afleiðingarnar gilda ákvæði Þjónustuskilmálanna um andmæli við breytingu. Um breytingar á viðaukum 2 og 3 gilda § 8(3) og § 9(2) og (3). Allar útgáfur eru skráðar í yfirlitinu Breytingar á samningsskjölunum.

(3) Gildandi lög og varnarþing. Þau lög gilda sem Þjónustuskilmálarnir ákvarða; ófrávíkjanleg ákvæði GDPR haldast óskert. Um varnarþing gilda Þjónustuskilmálarnir.

(4) Tungumál. Samningurinn er tiltækur á öllum opinberum tungumálum Evrópusambandsins. Ef misræmi kemur upp gengur pólska útgáfan framar.

(5) Ef ákvæði er ógilt helst Samningurinn að öðru leyti gildur. Í stað ógilda ákvæðisins kemur það lagaákvæði sem kemst næst tilgangi þess; ef vafi leikur á kemur ákvæði sem uppfyllir kröfur Art. 28(3) GDPR.

Viðauki 1 – Vinnsla fyrir hönd Viðskiptavinarins

Fyrir hvern eiginleika lýsir þessi viðauki efni, eðli og tilgangi vinnslunnar, tegundum persónuupplýsinga, flokkum skráðra einstaklinga og eyðingu (Art. 28(3), fyrsti málsliður, GDPR). Nema annað sé tekið fram er eðli vinnslunnar: söfnun, vistun, sókn, samkeyrsla, sending til áfangastaða sem Viðskiptavinurinn tilgreinir og eyðing. Vinnslustaðurinn er eigin þjónar okkar í Póllandi; þar sem undirvinnsluaðili kemur að er það tilgreint. Tímabilin innan slaufusviga eru stillingar sem næturkeyrsla eyðingar vinnur í raun eftir. Lengd vinnslunnar er gildistími þessa Samnings (§ 3); innan hans gilda eyðingartímabil sem tilgreind eru fyrir hvern eiginleika. Vinnslan fer fram samfellt svo lengi sem Viðskiptavinurinn notar eiginleikann. Sérstakir flokkar persónuupplýsinga eru ekki efni vinnslunnar; ef þeir berast engu að síður inn í Þjónustuna með tölvupósti frá eyðublöðum gildir § 6(4).

1. Afhendingarathugun

Tilgangur: að athuga hvort tölvupóstur frá eyðublaði Viðskiptavinarins berist og hvort uppruni hans sé ósvikinn (SPF, DKIM, DMARC).

Virkni: eiginleikinn er valfrjáls. Viðskiptavinurinn setur netfang viðmiðunarpósthólfs sem falið afrit (Bcc) í eyðublaðið sitt. Þar með er afrit hvers tölvupósts frá eyðublaðinu sent til okkar, ekki aðeins afrit prófunarsendinga okkar heldur einnig afrit raunverulegra fyrirspurna gesta hans. Sjálfvirk sókn les um IMAP hausana og að hámarki fyrstu 8 KB textans, tengir tölvupóstinn við lénið og, eftir því sem við á, prófunarsendingu og athugar upprunaeiginleikana. Eftir árangursríka vinnslu er tölvupóstinum eytt úr pósthólfinu. Við villu í sókn eða eyðingu getur hann verið áfram í pósthólfinu þar til næsta keyrsla tekst.

Gögn: innihald og hausar tölvupósts frá eyðublöðum með öllu sem gestir slá inn, svo sem nafni, netfangi, símanúmeri og skilaboðum, ásamt netföngum sendanda og viðtakanda og tæknilegum upplýsingum um viðkomandi póstþjóna.

Skráðir einstaklingar: gestir vefsvæðis Viðskiptavinarins sem senda eyðublaðið inn; viðtakendur tölvupósts frá eyðublöðum hjá Viðskiptavininum.

Vistun og eyðing: aðeins tíminn, tengingin við lénið, eftir því sem við á auðkenni prófunarsendingar og niðurstöður upprunavottunar eru vistuð í gagnagrunninum. Tíminn og tengingin eru varðveitt í 180 daga; nýjasta niðurstaða upprunavottunar er varðveitt með léninu þar til næsti tölvupóstur leysir hana af hólmi eða léninu er eytt. Niðurstaða upprunavottunar inniheldur IP-netfang póstþjónsins sem afhendir og lén sendandanetfangsins; viðvörun nefnir þetta lén aðeins ef það tilheyrir ekki vefsvæðinu. Innihald og heil sendandanetföng gesta eru ekki vistuð í gagnagrunninum. Tölvupóstinum sjálfum er eytt úr pósthólfinu eftir árangursríka vinnslu eða með töf ef villa kemur upp við sókn eða eyðingu.

Aðilar sem koma að vinnslunni: tölvupóstþjónustuveitandinn (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) fyrir pósthólfið; afritin berast honum beint um MX-færslur lénsins okkar en ekki með áframsendingu, sjá Undirvinnsluaðilar.

Takmörkun: samsvörun staðfestir aðeins að viðkomandi afrit hafi borist í viðmiðunarpósthólfið, ekki móttöku hjá raunverulegum viðtakanda eða færslu í CRM. Án viðmiðunarpósthólfs er eiginleikinn ekki tiltækur. Afrit ættu ekki að innihalda sérstaka flokka persónuupplýsinga (§ 6(4)).

2. Viðskiptavinagátt og mánaðarskýrsla til áskrifenda

Tilgangur: sending mánaðarskýrslu um eyðublöð vefsvæðis fyrir hönd Viðskiptavinarins, yfirleitt frá stofu til eigin viðskiptavina, og að veita gátt með þessum skýrslum.

Gögn: netfang, tungumál, tími og IP-netfang skráningar, tími staðfestingar (tvöföld staðfesting) og afskráningar; innihald skýrslunnar (lén, niðurstöður athugana og tölur).

Skráðir einstaklingar: viðskiptavinir og tengiliðir Viðskiptavinarins sem gerast áskrifendur að skýrslunni.

Eyðing: óstaðfestar skráningar eftir 30 daga. Eftir afskráningu er færslan um skráningu, staðfestingu og afskráningu varðveitt í þrjú ár svo Viðskiptavinurinn geti sýnt fram á samþykki. Öllu er eytt í síðasta lagi ásamt vinnusvæðinu; afturköllun gáttar ein og sér eyðir ekki áskrifendum hennar.

Aðilar sem koma að vinnslunni: tölvupóstþjónustuveitandinn (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) fyrir sendingu.

3. Viðvaranir, skýrslur og atvik

Tilgangur: að afhenda viðvaranir, samantektir og skýrslur á áfangastaði sem Viðskiptavinurinn setur upp og hafa umsjón með atvikum.

Gögn: netföng, vistföng vefkróka og spjallrása, auðkenni Telegram-spjalls eftir að viðtakandinn hefur tengt það; innihald tilkynninganna (lén, atburður, tími og tengill inn í Þjónustuna, fyrir viðvaranir um athuganir skýrslutengillinn sem veitir aðgang að niðurstöðum og skjáskotum án innskráningar; Telegram fær aðeins tengil á lénssíðuna á aðganginum sem krefst innskráningar í stað skýrslutengilsins); sendingarannáll; afhendingartilraunir vegna stighækkunar viðvarana fyrir hvert atvik og áfangastað (fjöldi, tímar, niðurstaða og villa); nafn eða netfang einstaklingsins sem staðfestir móttöku atviks og ábyrgðaraðili ásamt lokafresti.

Skráðir einstaklingar: starfsmenn og þjónustuveitendur Viðskiptavinarins sem fá viðvaranir eða meðhöndla atvik.

Eyðing: áfangastaðir þar til Viðskiptavinurinn fjarlægir þá eða eyðir léninu; sendingarannáll eftir 90 daga; safnaðar tilkynningar 30 dögum eftir sendingu; atvik meðan þau eru óleyst og í 180 daga eftir lausn ásamt afhendingartilraunum vegna stighækkunar viðvarana þeirra.

Aðilar sem koma að vinnslunni: tölvupóstþjónustuveitandinn (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) fyrir tölvupóst; fyrir spjallþjónustur og vefkróka þeir veitendur sem Viðskiptavinurinn velur (§ 9(6)).

4. Athugun á vefsvæðum Viðskiptavinarins: einstaklingar sem eru sýnilegir fyrir tilviljun

Tilgangur: athugun og vöktun á eyðublöðum og vörnum þeirra á lénum Viðskiptavinarins sem hann hefur lagt fram sönnun um stjórn á. Svo lengi sem sönnun vantar fyrir lén athugum við það aðeins án inngripa og erum sjálf ábyrgðaraðili þeirra athugana; þessu er lýst í Persónuverndarstefnunni.

Gögn: skönnun les opinberar síður lénsins: slóðir síðnanna, uppbyggingu eyðublaðanna (heiti reita, gerðir, merkingar og eigindi fyrir skyldureiti og sýnileika en engin gildi; skanninn les upphaf fyrirframútfylltra falinna reita og gagnaeiginda aðeins meðan á athugun stendur og vistar það ekki), innfellda forritabúta og varnarráðstafanir. Hún tekur skjáskot af sýnilegum hluta forsíðunnar og eyðublaðanna og við virkar prófunarsendingar einnig af svarsíðunni; engar upplýsingar eru afmáðar af þeim. Þau og lesið innihald síðunnar geta innihaldið persónuupplýsingar sem Viðskiptavinurinn birtir sjálfur, svo sem nöfn og tengiliðaupplýsingar tengiliða, myndir eða umsagnir. Við vistum netföng viðtakenda eyðublaða aðeins sem lén. Fyrir hverja athugun býr Þjónustan til skýrslu undir slembivöldum tengli sem veitir aðgang að niðurstöðum og skjáskotum án innskráningar þar til athuguninni er eytt; tengillinn birtist á aðganginum og í viðvörunum (liður 3). Sá sem miðlar tenglinum miðlar skýrslunni.

Skráðir einstaklingar: einstaklingar sem hafa upplýsingar sýnilegar á vefsvæði Viðskiptavinarins.

Eyðing: niðurstöður athugana ásamt skjáskotum í að hámarki 13 mánuði; nýjasta athugunin er varðveitt svo lengi sem lénið er á aðganginum. Þegar lénið er fjarlægt er gögnum þess eytt, þar á meðal athugunum, einstökum niðurstöðum og skjáskotum.

Athugasemd: tungumálalíkan á eigin þjóni okkar hjálpar að flokka eyðublöð þegar reglurnar einar duga ekki til að greina tilgang þeirra. Aldrei er sent inn í eyðublöð sem eru flokkuð á þennan hátt og þau telja ekki með í stigatölu eða úrskurði. Virkar prófunarsendingar (að hámarki fimm í hverri athugun) innihalda aðeins merkta prófunartexta án persónuupplýsinga.

Aðgerðaáætlun í skýrslum sem uppfylla skilyrðin. Fyrir athuganir staðfestra léna sem lýst er í lið 4 getur staðbundna tungumálalíkanið okkar einnig myndað stutta, forgangsraðaða aðgerðaáætlun út frá vélarheiti, slóðum eyðublaðssíðna, gerðum eyðublaða, upplýsingum um vefumsjónarkerfi, fyrirliggjandi áhættustigi og stigatölu þar sem þau eru tiltæk, greindri viðbót ef einhver er og völdum neikvæðum eða óljósum niðurstöðum athugana. Þessir reitir geta fyrir tilviljun innihaldið persónuupplýsingar. Fyrirmælatextinn inniheldur ekki skjáskot, innsláttargildi eyðublaða eða allan frumkóða síðunnar. Áætlunin styður sömu athugun á vörnum eyðublaðs, breytir ekki vefsvæðinu og ákvarðar ekki stigatölu þess eða úrskurð. Tímabundnar beiðnir og svör eru geymd í innri verkbiðröð þar til þau eru sótt eða þar til áætluð hreinsun færslna eldri en einnar klukkustundar fer fram; þetta er ekki skilyrðislaus eyðingartrygging þegar þjónusturof verður. Sótt áætlun er vistuð með skönnuninni samkvæmt sömu reglum um varðveislu og eyðingu. Hlutverkaskiptingin fyrir athuganir án inngripa á óstaðfestum lénum í lið 4 gildir áfram.

5. Innskráningarupplýsingar prófunaraðgangs fyrir skönnun á bak við innskráningu

Tilgangur: lestur eyðublaða á allt að fimm síðum á bak við innskráningu sem Viðskiptavinurinn tilgreinir. Aðeins fyrir staðfest lén, aðeins hjá eigendum og stjórnendum vinnusvæðis og aðeins í greiddum áskriftarleiðum. Prófunaraðgangurinn er aðeins notaður við heildarathugunina en ekki við vafraathuganirnar (liður 6).

Gögn: innskráningarslóð, notandanafn og lykilorð prófunaraðgangsins, upplýsingar um innskráningarreitina; það sem er sýnilegt þessum aðgangi á lesnum síðum að því marki sem það varðar uppbyggingu eyðublaðanna.

Skráðir einstaklingar: einstaklingurinn sem prófunaraðgangurinn er skráður á ef hann er tengdur einstaklingi; einstaklingar sem hafa upplýsingar sýnilegar á prófunaraðgangnum.

Vernd: notandanafn og lykilorð eru dulkóðuð á vefþjóninum með opinberum lykli skönnunarþjónsins og bundin við lénið. Aðeins skönnunarþjónninn getur afdulkóðað þau meðan skönnun stendur yfir; vefþjónninn, gagnagrunnurinn og öryggisafritin innihalda aðeins dulmálstexta. Innskráningarupplýsingarnar eru aldrei birtar, aldrei skráðar í annála og aldrei sendar út um viðmótið; notandaviðmótið sýnir aðeins fyrsta staf og lengd notandanafnsins. Á bak við innskráningu er ekkert sent inn, engin virk prófun framkvæmd og ekkert skjáskot tekið; síður til útskráningar, eyðingar eða afturköllunar eru ekki heimsóttar.

Eyðing: þar til Viðskiptavinurinn fjarlægir innskráningarupplýsingarnar eða eyðir léninu; fjarlæging skrifar yfir dulmálstextann og hreinsar verk sem bíða. Afritið sem fylgir einstöku skönnunarverki er hreinsað eftir keyrsluna og mögulegar leifar í síðasta lagi eftir eina klukkustund.

6. Vafraleiðir að eyðublöðum og vafraathuganir

Tilgangur: endurteknar athuganir á því hvort stillt eyðublöð virki í raunverulegum vafra fram að innsendingu.

Gögn: slóðir eyðublaða, veljarar, smellir á undan og athugunarskref, val vafra, ábyrgðaraðili og lokafrestur; niðurstöður með stöðu, tæknilegum villuflokkum, hreinsuðum villuboðum, tímamælingum og skjáskoti af eyðublaðinu þar sem innsláttarreitir eru huldir. Tengsl við einstakling skapast einkum vegna ábyrgðaraðilans og efnis sem Viðskiptavinurinn skrifar sjálfur í skref eða merkingar.

Skráðir einstaklingar: starfsmenn Viðskiptavinarins sem hafa fengið eyðublöðum úthlutað.

Eyðing: stillingar þar til léninu er eytt; Viðskiptavinurinn getur breytt þeim eða slökkt á þeim hverri fyrir sig en getur sem stendur ekki fjarlægt þær hverja fyrir sig. Niðurstöður eftir 13 mánuði.

Takmörkun: vafraathuganir senda ekkert inn. Gert er ráð fyrir óháðri annarri prófun í Þjónustunni en hún hefur ekki verið sett upp sem stendur; án hennar er engin staðfesting frá öðrum stað. Ef hún er sett upp hjá þriðja aðila gildir § 9.

7. „Fix it for me“

Tilgangur: innfelling varnaríhlutar í eyðublaðakóða sem Viðskiptavinurinn límir inn.

Gögn: innlímdi kóðinn ef hann inniheldur persónuupplýsingar, til dæmis í athugasemdum, dæmigildum eða harðkóðuðum vistföngum.

Skráðir einstaklingar: einstaklingar sem hafa upplýsingar í kóðanum.

Vinnsla og eyðing: tungumálalíkan á eigin þjóni okkar fellir íhlutinn inn. Kóðinn er aðeins unninn meðan beiðnin stendur yfir og er ekki vistaður. Þjónustan virkar án innskráningarupplýsinga fyrir kerfi Viðskiptavinarins og setur ekkert upp á þjónum hans.

8. Eigið vörumerki (white-label)

Tilgangur: að birta vörumerki Viðskiptavinarins á skýrslum og í viðskiptavinagáttinni.

Gögn: heiti fyrirtækis, vefsvæði, tengiliðaupplýsingar og merki, eftir því sem við á nafn og tengiliðaupplýsingar tengiliðar.

Skráðir einstaklingar: tengiliðir Viðskiptavinarins.

Eyðing: þar til Viðskiptavinurinn breytir upplýsingunum eða eyðir þeim, í síðasta lagi ásamt vinnusvæðinu.

9. Viðbótartölur án tengsla við einstakling

Valfrjálsar tölur WordPress-viðbótarinnar um villur í eyðublöðum og reitum innihalda engan innslátt, reitaheiti eða auðkenni gesta og eru varðveittar í 13 mánuði. Leiðaskráningartól fyrir eyðublöð geymir skref í vafra Viðskiptavinarins í að hámarki 15 mínútur; staðbundnir dagteljarar eru á vefsvæði hans í að hámarki 14 daga. Við teljum þetta upp hér svo myndin sé fullkomin; samkvæmt uppbyggingu þeirra eru þetta ekki Gögn viðskiptavinar.

10. Eyðublaðavörn (formconfirmed)

Þessi liður gildir aðeins ef Viðskiptavinurinn kveikir á eyðublaðavörninni (ákvæði 5.7 í Þjónustuskilmálunum).

Tilgangur: að meta innsendingar í gegnum eyðublöð á vefsvæðum Viðskiptavinarins til að greina sjálfvirkar innsendingar.

Hvernig það virkar: Þegar síða með vörðu eyðublaði er opnuð sækir forritabútur í vafra gestsins undirritað verkefni frá netþjóninum okkar og leysir það (útreikningssönnun). Við innsendingu leggur netþjónn Viðskiptavinarins niðurstöðuna fyrir athugunarviðmót okkar. Við athugum undirskrift, aldur, einnota notkun og lén athugunarauðkennisins auk frekari merkja svo sem útfyllingartíma, ósýnilegs gildrureits og tíðra beiðna frá sama stytta IP-netfanginu. Ef Viðskiptavinurinn kveikir á efnisathuguninni metur mállíkan texta skilaboðanna sem netþjónn Viðskiptavinarins sendir með. Til baka er send stigatala ásamt ráðlagðri aðgerð og ástæðum; Viðskiptavinurinn ákveður hvað verður um innsendinguna. Engar vafrakökur eru notaðar, ekkert er vistað í vafranum og ekkert fingrafar tækis er búið til.

Gögn: IP-netfang gestsins þegar verkefnið er sótt og við athugunina, slóð og lén síðunnar, tímasetningar og útfyllingartími, hvort gildrureiturinn hafi verið fylltur út, auðkenni vafra í annál vefþjónsins; aðeins þegar kveikt er á efnisathugun, texti skilaboðanna.

Skráðir einstaklingar: gestir á vefsvæðum Viðskiptavinarins sem opna síðu með vörðu eyðublaði eða senda slíkt eyðublað.

Vistun og eyðing: IP-netfangið er aðeins vistað stytt (IPv4 án síðasta bætisins, IPv6 fyrstu 48 bitarnir) og sem tætigildi með lykli sem er skipt út daglega, í eina klukkustund; notuð athugunarauðkenni í mesta lagi ellefu mínútur; niðurstöður athugana án IP-netfangs og án texta (aðgerð, stigatala, ástæður, lén, flokkur efnisathugunar) í 30 daga; daglegar tölur án tengsla við einstakling í 400 daga; annáll vefþjónsins í 14 daga. Texti skilaboða er aðeins unninn í vinnsluminni og er hvorki vistaður, skráður í annál né notaður til þjálfunar.

Hvar: á okkar eigin netþjónum í Póllandi, mállíkanið á eigin vélbúnaði; engir frekari undirvinnsluaðilar koma við sögu.

Viðauki 2 – Tæknilegar og skipulagslegar ráðstafanir

Ráðstafanirnar koma fram á síðunni Tæknilegar og skipulagslegar ráðstafanir. Hún er hluti þessa Samnings í þeirri útgáfu sem birt er á viðkomandi tíma; um breytingar gildir § 8(3).

Viðauki 3 – Undirvinnsluaðilar

Heimilaðir undirvinnsluaðilar eru taldir upp á síðunni Undirvinnsluaðilar. Hún er hluti þessa Samnings í þeirri útgáfu sem birt er á viðkomandi tíma; um breytingar gilda § 9(2) og (3).

Ófrágengið fyrir opnun: fyrirhugaður tölvupóstþjónustuveitandi er Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Enn á eftir að skjalfesta vinnslusamninginn sem gildir um þessa notkun, raunverulega vinnslustaði og viðeigandi grundvöll flutnings. Þessi útgáfa staðfestir hvorki gerðan samning né vottun samkvæmt persónuverndarramma ESB og Bandaríkjanna.

Útgáfa

Útgáfa 2.2 frá 29. október 2026 kemur í stað útgáfu 2.1. Breytt: nýr liður 10 í viðauka 1 um eyðublaðavörnina formconfirmed; hann gildir aðeins ef Viðskiptavinurinn kveikir á henni. Ekkert annað ákvæði breytist.

Útgáfa 2.1 frá 22. október 2026 kemur í stað útgáfu 2.0. Breytt: ef misræmi kemur upp gengur pólska útgáfan nú framar í stað þeirrar þýsku; Samningurinn er tiltækur á öllum opinberum tungumálum Evrópusambandsins (tungumálaákvæði). Ekkert annað ákvæði breytist.

Útgáfa 2.0 frá 11. október 2026 kemur í stað útgáfunnar frá 9. október 2026. Breytt: uppbygging samkvæmt Art. 28(3) GDPR með vísun til stöðluðu samningsákvæðanna 2021/915; viðauki 1 fullgerður fyrir hvern eiginleika og inniheldur nú einnig innskráningarupplýsingar fyrir skönnun á bak við innskráningu, vafraleiðir að eyðublöðum og takmarkanir afhendingarathugunarinnar; tæknilegu og skipulagslegu ráðstafanirnar og listi undirvinnsluaðila eru aðskildar síður og hluti Samningsins sem viðaukar 2 og 3; val milli skila og eyðingar, öryggisafrit með lokatíma og endurframkvæmd eyðingarbeiðna, enginn fastur biðtími fyrir brýnar úttektir, ábyrgð á undirvinnsluaðilum eins og eigin háttsemi.

Hvernig getum við hjálpað?