Persónuverndarstefna

1. Ábyrgðaraðili

Quickstart ehf., kt. 570823-0190, Borgartúni 27, 105 Reykjavík, er ábyrgðaraðili persónuupplýsinga sem við vinnum til að reka þjónustuna, þar á meðal aðgangs-, auðkenningar-, greiðslu- og þjónustugagna. Þegar þú hleður upp skjölum eða gögnum til vinnslu fyrir þína hönd eða félagsins þíns — þar á meðal bókhaldsgögn, kvittanir, reikninga og samninga — ert þú eða félagið þitt ábyrgðaraðili og Quickstart er vinnsluaðili sem vinnur það efni eingöngu samkvæmt fyrirmælum þínum. Samband: dp@brutto.is.

2. Upplýsingar sem við söfnum

• Auðkenni og innskráning: nafn og kennitala í gegnum rafræn skilríki; netfang; aðildir að fyrirtækjum og heimildir.
• Fyrirtækja- og fjárhagsgögn: fyrirtækjaskjöl, upplýsingar um bankareikninga og kort, færslur, kvittanir, reikningar, samningar og undirritunargögn.
• Greiðsluupplýsingar: áskriftarleið og greiðslustaða (kortaupplýsingar eru meðhöndlaðar af greiðsluþjónustuveitanda okkar og ekki geymdar hjá okkur).
• Notkunar- og tæknigögn: atburðaskrár, upplýsingar um tæki/vafra og vafrakökur sem þarf til að reka og verja þjónustuna.

Við vinnum kennitölu þína þar sem örugg persónugreining er nauðsynleg vegna fyrirtækjastofnunar, bókhalds og aðgerða gegn peningaþvætti, í samræmi við skilyrði 13. gr. laga nr. 90/2018 um notkun kennitölu.

3. Tilgangur vinnslu (lagagrundvöllur)

• Til að veita þjónustuna og efna samning okkar við þig (6. gr. 1(b) GDPR).
• Til að uppfylla lagaskyldur, t.d. bókhalds- og peningaþvættisreglur (6. gr. 1(c)).
• Lögmætir hagsmunir: öryggi þjónustunnar, varnir gegn misnotkun og umbætur á þjónustunni á grundvelli samantekinna eða ópersónugreinanlegra notkunargagna (6. gr. 1(f)). Við notum ekki innihald skjala þinna til að þjálfa gervigreindarlíkön og gervigreindarveitendur okkar nota það ekki heldur til að þjálfa sín líkön.
• Samþykki, þar sem við óskum sérstaklega eftir því (6. gr. 1(a)) — það má afturkalla hvenær sem er.

4. Gervigreindarveitendur

Við notum OpenAI, L.L.C. og tengd félög („OpenAI“) til ljóslesturs (OCR) og skipulagðs gagnaútdráttar úr skjölum sem þú hleður upp.

Þjálfun. Gögnin þín eru ekki notuð til að þjálfa eða bæta líkön OpenAI. Það er sjálfgefin regla OpenAI fyrir API-vettvang þess, og við höfum að auki slökkt á öllum stillingum í aðganginum okkar sem myndu heimila að efni sé deilt með OpenAI til að bæta líkön.

Skráning. Við höfum slökkt á geymslu OpenAI á API-beiðnum okkar, þannig að skjölin sem þú hleður upp eru ekki varðveitt í skrám sem aðgengilegar eru okkur eða verkfærum OpenAI.

Varðveisla veitanda. OpenAI kann að varðveita API-inntak og -úttak í allt að 30 daga í því skyni að greina misnotkun á þjónustu sinni; að þeim tíma liðnum er því eytt. Þessi varðveisla er eingöngu í öryggisskyni; efnið er ekki notað til þjálfunar og er okkur ekki aðgengilegt.

Nákvæmni. Útdregin gögn verða til með sjálfvirkri vinnslu og geta innihaldið villur. Þau eru birt þér sem tillaga til yfirferðar. Þú berð áfram ábyrgð á að sannreyna gögnin áður en þú reiðir þig á þau.

Við vinnum að því að ná fram engri gagnavarðveislu og vinnslu eingöngu innan Evrópu hjá gervigreindarveitendum okkar og munum uppfæra þessa stefnu þegar þær ráðstafanir hafa verið gerðar.

5. Undirvinnsluaðilar

Við deilum gögnum aðeins að því marki sem þarf til að reka þjónustuna, með vinnsluaðilum sem bundnir eru vinnslusamningum: hýsing og innviðir (t.d. Vercel, gagnagrunnshýsing, Google Cloud Storage fyrir innsend skjöl), gervigreind og skjalavinnsla (OpenAI), banka- og kortaþjónusta (Landsbankinn og Enable Banking, að þinni fyrirskipan), bókhaldstenging (Payday, að þinni fyrirskipan), rafrænar undirritanir (Taktikal), reikninga- og greiðsluþjónustur, tölvupóstsendingar, villuvöktun og notkunargreining (Sentry, PostHog). Við afhendum stjórnvöldum gögn aðeins þegar lagaskylda krefst.

Uppfærður listi yfir undirvinnsluaðila, þar á meðal hlutverk hvers veitanda og vinnslustað, er birtur á app.brutto.is/subprocessors. Við tilkynnum með a.m.k. 30 daga fyrirvara áður en undirvinnsluaðila er bætt við eða skipt út.

6. Upplýsingar um aðra einstaklinga í skjölum sem þú hleður upp

Skjöl sem þú hleður upp kunna að innihalda persónuupplýsingar um aðra en þig — til dæmis mótaðila, undirritendur, nafngreinda forsvarsmenn eða viðtakendur greiðslna. Þegar þú hleður upp skjölum í tengslum við eigin rekstur eða rekstur félagsins þíns ákveður þú eða félagið tilgang þeirrar vinnslu og ert ábyrgðaraðili þess efnis; við erum vinnsluaðili og meðhöndlum það eingöngu samkvæmt fyrirmælum þínum.

Þú berð ábyrgð á því að hafa lagagrundvöll til að hlaða upp skjölum með persónuupplýsingum annarra — og til að láta vinna þau með sjálfvirkum hætti, þar á meðal af þeim gervigreindarveitendum sem taldir eru upp á app.brutto.is/subprocessors — og á því að veita þeim einstaklingum þær upplýsingar sem þeir eiga rétt á samkvæmt 13. og 14. gr. GDPR. Þú berð einnig ábyrgð á að engin trúnaðarskylda komi í veg fyrir að þú deilir skjali með okkur eða þessum veitendum.

Ef þú ert einstaklingur sem nafngreindur er í skjali sem unnið hefur verið í brutto og vilt nýta persónuverndarréttindi þín, hafðu samband á dp@brutto.is og við beinum erindinu til viðeigandi ábyrgðaraðila.

7. Flutningur milli landa

Gögn eru geymd innan EES þar sem því verður við komið. Vinni þjónustuveitandi gögn utan EES styðjumst við við jafngildisákvarðanir eða stöðluð samningsákvæði (SCC).

Nánar tiltekið eru skjöl sem send eru inn til gervigreindarstudds gagnaútdráttar unnin af OpenAI utan EES, þar á meðal í Bandaríkjunum. Þeir flutningar styðjast við stöðluð samningsákvæði samþykkt af framkvæmdastjórn Evrópusambandsins, sem felld eru inn í vinnslusamning okkar við OpenAI, ásamt tæknilegum viðbótarráðstöfunum, þar á meðal dulkóðun í flutningi og að slökkt hefur verið á skráningu beiðna.

8. Varðveisla

Við geymum gögn á meðan aðgangur þinn eða vinnusvæði fyrirtækis er virkt. Eftir lok þjónustu varðveitum við gögnin þín í 90 daga svo að þú getir flutt þau; að þeim tíma liðnum er þeim eytt, að undanskildum bókhaldsgögnum (kvittunum, reikningum, færslum) sem okkur ber að varðveita í sjö ár samkvæmt íslenskum bókhaldslögum. Öryggisafritum er eytt innan frekari takmarkaðs tíma.

9. Öryggi

Gögn eru dulkóðuð í flutningi og í hvíld; bankaaðgangslyklar (t.d. API-lyklar) eru geymdir dulkóðaðir og aldrei birtir aftur í heild. Aðgangur er takmarkaður með hlutverkatengdum heimildum og stjórnendaaðgangur er atburðaskráður.

10. Réttindi þín

Þú átt rétt á aðgangi, leiðréttingu, eyðingu, takmörkun vinnslu, andmælum og flutningi gagna, auk þess að afturkalla samþykki. Hafðu samband á dp@brutto.is til að nýta réttindin. Þú getur einnig lagt fram kvörtun til Persónuverndar (personuvernd.is).

11. Vafrakökur

Við notum nauðsynlegar vafrakökur fyrir innskráningu og öryggi, og valkvæðar greiningarkökur aðeins með samþykki. Þú velur hvaða valkvæðu vafrakökur eru leyfðar í samþykkisborðanum sem birtist við fyrstu heimsókn og getur breytt því vali hvenær sem er í stillingum.

12. Breytingar

Verulegar breytingar á stefnunni verða tilkynntar í þjónustunni eða með tölvupósti áður en þær taka gildi.