Undirvinnsluaðilar

Þetta skjal er birt á nokkrum tungumálum. Ef misræmi er milli tungumálaútgáfnanna er pólska útgáfan bindandi.

Útgáfa 1.1 · Síðast uppfært: 22. október 2026

Hvaða þriðju aðilar fá gögn hjá formexposed, í hvaða tilgangi, hvar og á hvaða grundvelli. Þessi listi er hluti Vinnslusamningsins sem viðauki 3. Heimilaðir undirvinnsluaðilar í skilningi þess samnings eru aðeins þeir sem taldir eru upp í kafla 2; kaflar 3 til 6 veita upplýsingar um frekari viðtakendur og fela ekki í sér heimild.

1. Stutta svarið

Við rekum sjálf þjónana, gagnagrunninn og reiknigetu, einnig fyrir tungumálalíkanið, í Póllandi. Enginn hýsingar-, skýja- eða gervigreindarþjónustuveitandi kemur að því. Undirvinnsluaðilar í skilningi Art. 28(2) og (4) GDPR, það er þriðju aðilar sem vinna gögn Viðskiptavina okkar fyrir okkar hönd, eru aðeins til vegna eins verkefnis: tölvupósts.

Auk þess eru viðtakendur sem eru ekki undirvinnsluaðilar. Við teljum þá engu að síður upp hér, aðgreinda eftir ástæðu, svo myndin sé fullkomin:

• viðtakendur sem vinna gögn sem sjálfstæðir ábyrgðaraðilar (kafli 3),
• viðtakendur sem Viðskiptavinurinn velur þegar hann lætur senda viðvaranir þangað (kafli 4),
• fyrirspurnir til þriðju aðila sem innihalda engar persónuupplýsingar (kafli 5).

2. Undirvinnsluaðilar

Viðtakandi og skráð aðsetur	Tilgangur	Gögn	Vinnslustaður	Grundvöllur flutnings
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Sending tölvupósts þjónustunnar (staðfestingar, viðvaranir, skýrslur og mánaðarskýrslur til áskrifenda viðskiptavinagáttar); pósthólf afhendingarathugunar	Netföng viðtakenda, efni og innihald tölvupósta. Í pósthólfi afhendingarathugunar: afrit tölvupósts frá eyðublöðum á vefsvæðum Viðskiptavina með öllu sem gestir slá þar inn þar til við vinnum þau	Enn á eftir að sannreyna	Vinnslusamningur veitandans; hvort gögn fari til þriðja lands og á hvaða grundvelli er enn ósannreynt, sjá kafla 7
Namecheap, Inc., Phoenix, Arizona, USA	Skráning léna, DNS; þar til pósthólfið hjá Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er sett upp, áframsending almenns tölvupósts á netföng á léni okkar. Viðmiðunarafrit afhendingarathugunarinnar fara ekki um Namecheap heldur beint í pósthólfið	Lénsgögn; við áframsendingu innihald og hausar almenns tölvupósts til okkar, engin afrit tölvupósts frá eyðublöðum	Bandaríkin, á eftir að sannreyna	Data Processing Addendum frá Namecheap; stöðluð samningsákvæði eða persónuverndarrammi ESB og Bandaríkjanna – á eftir að sannreyna, sjá kafla 7

Hvort gögn sem unnin eru fyrir hönd Viðskiptavinar berist yfirleitt þessum viðtakendum ræðst af stillingum hans: án afhendingarathugunar fara engir tölvupóstar frá eyðublöðum þangað; án viðskiptavinagáttar fara engir tölvupóstar til áskrifenda hennar. Við veitum tengiliðaupplýsingar vegna persónuverndar hvers undirvinnsluaðila að beiðni.

Koma ekki að vinnslunni: Enginn þriðji aðili kemur að athugunum, skjáskotum, innskráningarupplýsingum fyrir skönnun á bak við innskráningu, vafraleiðum eða „Fix it for me“. Tungumálalíkanið keyrir á eigin þjóni okkar. Við ákvarðum land IP-netfangs út frá staðbundinni gagnagrunnsskrá; ekkert vistfang fer til landstaðsetningarþjónustu. Internetþjónustuveitandi okkar miðlar aðeins umferð, að mestu dulkóðaðri, og er ekki undirvinnsluaðili.

3. Viðtakendur sem starfa sem sjálfstæðir ábyrgðaraðilar

Viðtakandi og skráð aðsetur	Tilgangur	Gögn	Staðsetning	Grundvöllur
Stripe Payments Europe, Ltd., Dublin, Ireland; fyrir flutning til Bandaríkjanna, Stripe, Inc.	Greiðsluvinnsla og reikningar fyrir viðskiptavinaaðganga	Netfang, nafn, reikningsfang, virðisaukaskattsnúmer og greiðsluupplýsingar (aðeins slegnar inn hjá Stripe, berast okkur aldrei); hjá okkur aðeins viðskiptavina- og áskriftarauðkenni og staða	ESB / Bandaríkin	Fyrir greiðsluupplýsingar starfar Stripe að mestu sem sjálfstæður ábyrgðaraðili; nákvæm hlutverkaskipting er ósannreynd. Flutningur til Bandaríkjanna: persónuverndarrammi ESB og Bandaríkjanna eða stöðluð samningsákvæði – á eftir að sannreyna
Google Ireland Limited, Dublin, Ireland; Google LLC, USA	Vörn gegn botum (reCAPTCHA) á eigin eyðublöðum okkar: nýskráningu, innskráningu, lykilorði, ókeypis athugun, hausverkfæri, útilokun, aðstoð og tengiliðum	IP-netfang, vafra- og tækjagögn, hegðun á síðunni og Google-vafrakökur. Forritabúturinn hleðst aðeins við innsendingu. Hann keyrir ekki á vefsvæðum Viðskiptavina	ESB / Bandaríkin	Skilmálar Google; persónuverndarrammi ESB og Bandaríkjanna eða stöðluð samningsákvæði – á eftir að sannreyna

Þessir viðtakendur varða eigin vinnslu okkar en ekki gögn sem unnin eru fyrir hönd viðskiptavina. Nánari upplýsingar eru í Persónuverndarstefnunni.

4. Viðtakendur sem Viðskiptavinurinn velur

Viðvaranir og samantektir fara þangað sem Viðskiptavinurinn vill: með tölvupósti (um tölvupóstþjónustuveitandann í kafla 2), á vefkróksvistfang eða til spjallþjónustu. Núverandi valkostir eru:

• Slack, Discord, Microsoft Teams og Google Chat um vistfang sem Viðskiptavinurinn býr til í aðgangi sínum hjá þeirri þjónustu;
• Telegram: áfangastaður sem Viðskiptavinurinn velur; við sendum skilaboðin um botann okkar eftir að viðtakandinn hefur sjálfur tengt spjallið við botann;
• vefkrókar á hvaða opinbera HTTPS-slóð á staðalgátt sem er, undirritaðir að beiðni.

Gögn: lén, atburður, tími og tengill inn í þjónustuna, fyrir viðvaranir um athugun tengill á skýrslu hennar sem er læsileg um þennan tengil án innskráningar; fyrir vefkróka sömu upplýsingar á véllæsilegu formi. Ekkert innihald tölvupósts frá eyðublöðum; viðvörun frá afhendingarathuguninni getur nefnt tölvupóstlén sendandans ef það tilheyrir ekki vefsvæðinu.

Hlutverk: Slack, Discord, Microsoft Teams, Google Chat og viðtakendur vefkróka eru ekki undirvinnsluaðilar okkar. Flutningurinn fer aðeins fram vegna þess að Viðskiptavinurinn setur áfangastaðinn upp; það eru fyrirmæli Viðskiptavinarins. Fyrir Slack, Discord, Microsoft Teams, Google Chat og vefkróka er samningssambandið við viðkomandi veitanda og nauðsynlegur grundvöllur flutnings til þriðja lands á ábyrgð Viðskiptavinarins. Fyrir Telegram sendum við skilaboðin um eigin bota; einnig hér er val áfangastaðarins skýr fyrirmæli Viðskiptavinarins um að flytja viðvaranirnar þangað. Hvort Telegram sé undirvinnsluaðili okkar að þessu leyti og á hvaða grundvelli þessi flutningur fer fram hefur enn ekki verið endanlega skýrt og er til yfirferðar hjá lögmanni okkar. Ef Telegram telst undirvinnsluaðili telst val Viðskiptavinarins á þessum áfangastað sérstök heimild hans samkvæmt Art. 28(2) GDPR í þeim tilgangi. Nokkrir þessara veitenda vinna gögn í Bandaríkjunum; Telegram hefur aðsetur utan ESB í landi án ákvörðunar um fullnægjandi vernd og grundvöllurinn samkvæmt V. kafla GDPR fyrir flutningi til Telegram hefur enn ekki verið endanlega skýrður. Sá sem vill þetta ekki velur tölvupóst eða annan áfangastað.

5. Fyrirspurnir án persónuupplýsinga

Sumir eiginleikar senda fyrirspurnir til þriðju aðila. Aðeins lénsheiti, vistföng þjóna, sannprófunargildi eða útgáfunúmer fara út en engar upplýsingar um Viðskiptavini eða gesti. Þessir þriðju aðilar eru því ekki undirvinnsluaðilar.

Viðtakandi	Tilgangur	Hvað fer út
RDAP-þjónustur lénaskráa, fundnar í gegnum IANA-skrána; fyrir athugun á aldri léns í ókeypis athuguninni í gegnum miðlunarþjónustuna rdap.org	Aldur og gildistími léns	aðeins lénsheitið
WPVulnerability (wpvulnerability.net)	Þekktir öryggisveikleikar í WordPress, WordPress-viðbótum og þemum	aðeins auðkenni viðbótar eða þema eða útgáfunúmer WordPress
Stöðusíður veitenda sem Viðskiptavinir nota (svo sem CAPTCHA- og tölvupóstþjónustur)	Tilkynning um þjónusturof hjá þessum veitendum	ekkert annað en beiðnin sjálf
Tímastimplunarþjónusturnar Certum (Asseco Data Systems S.A., Póllandi), til vara DigiCert, Inc. (Bandaríkjunum)	Tímastimplar fyrir yfirlit til sönnunar	aðeins sannprófunargildi (SHA-512) yfirlitsins en ekki innihald þess
DNS-bannlistar fyrir ruslpóst: SpamCop, PSBL, Mailspike og SURBL (Spamhaus aðeins með eigin aðgangi)	Athugun á því hvort póstþjónn eða lén Viðskiptavinar sé á lista	lén og IP-netföng þjóna (póstþjóna og vefþjóna), engar persónuupplýsingar gesta
Google Web Risk, aðeins ef það er sett upp	Athugun á því hvort forsíða Viðskiptavinar sé skráð vegna spilliforrita eða vefveiða	aðeins slóð forsíðunnar
Telegram, rekstrartilkynningar	Merki til rekstraraðilans við þjónusturof og nýjar aðstoðarbeiðnir	fastir textar án sendanda, innihalds eða vistfanga
Vottunaraðili fyrir TLS	Útgáfa skilríkja fyrir lénin okkar	aðeins okkar eigin lénsheiti

6. Undirbúið, ekki í notkun sem stendur

Þjónustan getur látið staðfesta vafraathuganir og eyðublaðabeiðnir til viðbótar frá öðrum, óháðum stað. Þessi athugunarstaður hefur ekki verið settur upp sem stendur. Ef þriðji aðili rekur hann síðar er sá aðili undirvinnsluaðili og verður tilkynntur fyrirfram samkvæmt kafla 8. Hann fengi lénið, hreinsaðar stillingar vafraleiðarinnar og verkauðkenni en engar innskráningarupplýsingar eða upplýsingar frá gestum.

7. Hvað er enn ófrágengið

Þessi listi er drög fyrir opnun. Við tökum skýrt fram hvað hefur ekki enn verið frágengið:

• Tölvupóstþjónustuveitandi: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA er fyrirhugaður. Enn á eftir að sannreyna hvar veitandinn vinnur gögnin og á hvaða grundvelli þau mega fara til þriðja lands. Enn á eftir að skjalfesta hvort vinnslusamningur veitandans hafi verið samþykktur fyrir þessa notkun, hvar pósthólfin séu í raun, hvaða frekari undirvinnsluaðila veitandinn notar og hvaða eining stöðluðu samningsákvæðanna gildi. Opinberlega tiltækur Data Processing Addendum einn og sér sannar ekki að samningur hafi verið gerður. Þar til þetta hefur verið skjalfest fara engin gögn sem unnin eru fyrir hönd viðskiptavina út um þennan veitanda; því verður að ganga frá þessu fyrir opnun.
• Persónuverndarrammi ESB og Bandaríkjanna: Við höfum ekki athugað fyrir þessa útgáfu hvort Namecheap, Stripe og Google séu vottuð samkvæmt persónuverndarramma ESB og Bandaríkjanna fyrir viðkomandi þjónustur. Við fullyrðum því ekki að svo sé; þar sem vottun vantar gilda stöðluð samningsákvæði.
• Hlutverk Stripe fyrir einstök gögn.
• Telegram-viðvaranir: grundvöllur flutningsins þegar Viðskiptavinur velur Telegram sem áfangastað og við sendum skilaboðin um botann okkar.

8. Breytingar á þessum lista

Við ráðum undirvinnsluaðila á grundvelli almennu heimildarinnar í Vinnslusamningnum. Áður en nýr undirvinnsluaðili byrjar vinnslu eða öðrum er skipt út upplýsum við Viðskiptavini með að minnsta kosti 30 daga fyrirvara með tölvupósti á netfang aðgangshafa og tilkynnum breytinguna á þessari síðu og í yfirlitinu Breytingar á samningsskjölunum. Tilkynningin tilgreinir viðtakanda, skráð aðsetur, tilgang, gögn, staðsetningu og grundvöll flutningsins.

Innan þessa tímabils getur Viðskiptavinurinn andmælt í textaformi af málefnalegri persónuverndarástæðu. Þar til lausn hefur fundist notum við ekki nýja undirvinnsluaðilann fyrir gögn sem unnin eru fyrir hönd Viðskiptavinarins eða stöðvum viðkomandi eiginleika fyrir hann. Ef engin lausn finnst getur Viðskiptavinurinn sagt samningnum um þjónustuna eða viðkomandi þjónustuhluta upp; við endurgreiðum hlutfallslega fyrirframgreidd gjöld fyrir tímabilið eftir uppsögn. Nánari atriði koma fram í Vinnslusamningnum. Við berum ábyrgð gagnvart Viðskiptavininum á undirvinnsluaðilum eins og eigin athöfnum.

Breytingar á köflum 3 til 5 sem varða ekki undirvinnsluaðila birtum við hér með nýju útgáfunúmeri án fyrirvara.

9. Staða og útgáfa

• Útgáfa 1.1 · Síðast uppfært: 22. október 2026 · ef misræmi er milli tungumálaútgáfa gengur pólska útgáfan framar í stað þeirrar þýsku; engin önnur breyting.
• Útgáfa 1.0 · Síðast uppfært: 11. október 2026 · fyrsta útgáfa sem aðskilin síða; áður viðauki 3 við Vinnslusamninginn. Nýtt: aðgreining í undirvinnsluaðila, viðtakendur sem starfa sem sjálfstæðir ábyrgðaraðilar, áfangastaði sem Viðskiptavinurinn velur og fyrirspurnir án persónuupplýsinga; opin atriði nefnd sérstaklega.
• Ef misræmi er milli tungumálaútgáfa gengur pólska útgáfan framar.