Persónu­verndar­stefna Verka

Verka er íslenskt markaðstorg þar sem verkkaupar auglýsa verkefni og iðnaðarmenn senda tilboð. Til að reka þjónustuna þurfum við að vinna tilteknar persónuupplýsingar um notendur. Í þessari stefnu er því lýst hvaða upplýsingar það eru, í hvaða tilgangi og á hvaða lagagrundvelli þær eru unnar, hverjir fá aðgang að þeim, hve lengi þær eru varðveittar og hver réttindi notanda eru.

Stefnan nær til allra sem nota vefinn verka.is: verkkaupa, iðnaðarmanna, þeirra sem koma fram fyrir hönd fyrirtækja og þeirra sem skoða vefinn án þess að skrá sig inn.

Vinnsla persónuupplýsinga hjá Verka fer eftir lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og persónuverndarreglugerð Evrópusambandsins (ESB) 2016/679 („GDPR“).

Verka er ekki félag heldur þjónusta sem rekin er sameiginlega af tveimur einstaklingum, sem eru sameiginlegir ábyrgðaraðilar þjónustunnar: Brynjar Már Sigurjónsson, kt. 260502-2470, og Sigurður P. Ndaw Sigursteinsson, kt. 010202-2640, með aðsetur að Skólagerði 10, 200 Kópavogur.

Fyrirspurnum um persónuvernd má beina á netfangið verka@verka.is. Þú getur beint réttindabeiðnum til hvors ábyrgðaraðilans sem er. Verka hefur ekki skipað persónuverndarfulltrúa (DPO), enda er þjónustan hvorki umfangsmikil né kerfisbundin vöktun í skilningi 37. gr. GDPR.

Fyrirkomulag sameiginlegrar ábyrgðar (26. gr. GDPR): rekstraraðilarnir bera sameiginlega ábyrgð á allri vinnslu sem lýst er í þessari stefnu. Hvor þeirra um sig tekur við og afgreiðir beiðnir og fyrirspurnir um persónuvernd, og sá sem tekur við beiðni sér um að henni sé svarað.

Verði rekstur Verka færður til félags sem rekstraraðilarnir stofna, eða til nýs rekstraraðila, flytjast persónuupplýsingar notenda til hans svo þjónustan geti haldið áfram. Það verður tilkynnt með sama fyrirvara og aðrar efnislegar breytingar (sjá 14. kafla) og nýr ábyrgðaraðili tilgreindur.

Við vinnum eftirfarandi flokka persónuupplýsinga:

• Frá rafrænum skilríkjum við innskráningu: Innskráning á Verka fer fram með rafrænum skilríkjum í gegnum Signet-innskráningarþjónustuna. Við hverja innskráningu berast okkur fullt nafn þitt og kennitala, og við innskráningu með SIM-skilríkjum jafnframt farsímanúmerið sem skilríkin eru skráð á. Nafnið, eins og það er skráð í Þjóðskrá og berst frá rafrænu skilríkjunum, er birtingarnafn þitt á Verka: það birtist öðrum notendum á prófílnum þínum og með verkefnum, tilboðum, skilaboðum og umsögnum sem þú átt aðild að. Þú getur ekki breytt því sjálf/ur en getur beðið um leiðréttingu á netfanginu í 2. kafla.
• Upplýsingar sem þú skráir sjálf/ur: Hlutverk (verkkaupi eða iðnaðarmaður), netfang (staðfest netfang þarf til að auglýsa verkefni, senda tilboð eða skilaboð og skrá fyrirtæki; þangað til býr kerfið til tæknilegt kerfisnetfang fyrir aðganginn, og á það er aldrei sendur póstur), svæði (póstnúmer), kynningartexti (iðnaðarmenn), prófílmynd og iðngreinar.
• Markaðstorgsgögn sem verða til við notkun: Verkefni sem þú auglýsir, tilboð sem þú sendir eða móttekur, skilaboð milli notenda og hvenær þau eru lesin, og umsagnir ásamt einkunnum og myndum — bæði umsagnir verkkaupa um iðnaðarmenn og umsagnir iðnaðarmanna um verkkaupa sem þeir hafa unnið fyrir. Þegar staðfestur iðnaðarmaður opnar verkefni sem er auglýst á Verka skráum við það, svo að verkkaupinn sjái hve margir hafa skoðað verkefnið og svo að rekstraraðili þjónustunnar sjái hvort tilkynningar skili iðnaðarmönnum á verkefni. Verkkaupinn sér aðeins fjöldann, aldrei hverjir. Skráningin er varðveitt meðan verkefnið er til og henni er eytt með því, eða þegar iðnaðarmaðurinn eyðir aðgangi sínum.
• Ábendingar og beiðnir til rekstraraðila: Ábendingar um umsagnir eða myndir, beiðnir um handvirka skoðun á réttindum og athugasemdir rekstraraðila við afgreiðslu þeirra.
• Réttindastaða iðnaðarmanna: Fyrir iðnaðarmenn sækjum við staðfestingu á löggildingu í opinbera löggildingaskrá á grundvelli kennitölu og merkjum staðfest réttindi á prófílnum.
• Upplýsingar um fyrirtæki og aðild að þeim: Skrái einhver fyrirtæki á vettvanginn vinnum við upplýsingar um fyrirtækið sjálft (nafn, kennitölu fyrirtækis, svæði, kynningartexta, símanúmer, vefslóð, merki og forsíðumynd, og verk sem fyrirtækið segir sjálft frá á síðu sinni með lýsingu og myndum), um þann einstakling sem skráði það og um þá sem eru meðlimir í því: aðildarhlutverk, hvort viðkomandi megi senda tilboð fyrir hönd fyrirtækisins, hvort hann kýs að birtast á opinberri síðu þess, og dagsetningu aðildar. Boð um aðild er stílað á kennitölu þess sem boðið er.
• Tilkynningar í tölvupósti: Stillingar þínar um hvaða tilkynningar þú vilt fá. Þegar við sendum þér póst skráum við netfangið sem hann fór á, tegund tilkynningar, tímastimpla og auðkenni sendingarinnar frá póstþjónustunni (Amazon SES). Fáir þú daglegt yfirlit yfir ný verkefni skráum við líka hvenær síðasta yfirlit var sent, svo næsta yfirlit sýni aðeins verkefni sem hafa bæst við síðan. Skili póstur sér ekki eða sé hann merktur sem ruslpóstur skráum við netfangið og ástæðuna, svo ekki sé sent á það aftur.
• Tæknigögn: Nauðsynlegar vafrakökur fyrir innskráningarlotuna (sjá 11. kafla) og aðgerðaskrár (e. logs) hýsingaraðila vegna öryggis og rekstrar.

Verka vinnur ekki nákvæma staðsetningu tækis þíns. Staðsetning á verkefninu er aðeins svæði eða póstnúmer sem þú velur, og heimilisfang birtist aðeins ef þú skrifar það sjálf/ur í texta, t.d. í verklýsingu eða skilaboð. Verka vinnur engar greiðsluupplýsingar.

Öll vinnsla styðst við heimild í 9. gr. laga nr. 90/2018, sbr. 1. mgr. 6. gr. GDPR. Taflan sýnir tilgang hverrar vinnslu, hvaða upplýsingar koma við sögu og á hvaða heimild vinnslan byggir:

Um símanúmer: Farsímanúmer berst frá SIM-skilríkjum sem hluti af auðkenningunni og er varðveitt á aðgangssíðunni þinni sem tengiliðaupplýsingar. Það er hvorki notað til að senda þér tilkynningar né í markaðssetningu. Símanúmer sést öðrum notanda aðeins ef þú sjálf/ur skrifar það í skilaboð til hans.

Markaðssetning: Verka sendir hvorki markaðspóst né fréttabréf; tölvupóstur frá Verka er aðeins tilkynningar og póstur sem tengist aðganginum. Daglegt yfirlit til iðnaðarmanna yfir ný verkefni í iðngrein þeirra og á svæði þeirra er hluti af þjónustunni, ekki markaðspóstur: það ber aðeins verkefni sem verkkaupar hafa auglýst á Verka, ekkert kynningarefni, sértilboð eða fréttir. Verði markaðspóstur tekinn upp verður það aðeins með fyrirfram samþykki þínu, sem þú getur afturkallað hvenær sem er, og andmælaréttur þinn gegn beinni markaðssetningu er skilyrðislaus.

Nafn og kennitala eru forsenda þess að hægt sé að stofna aðgang og nota þjónustuna; án þeirra er ekki unnt að auðkenna þig með rafrænum skilríkjum. Engin sjálfvirk ákvarðanataka eða gerðarprófílun (e. profiling) í skilningi 22. gr. GDPR fer fram á vettvangnum.

Um notkun kennitölu gilda sérreglur á Íslandi: samkvæmt 13. gr. laga nr. 90/2018 er notkun kennitölu heimil eigi hún sér málefnalegan tilgang og sé nauðsynleg til að tryggja örugga persónugreiningu. Einnig er höfð hliðsjón af leiðbeiningum Persónuverndar um notkun kennitölu.

Verka telur bæði skilyrðin uppfyllt af eftirfarandi ástæðum:

• Innskráning fer fram með rafrænum skilríkjum og kennitalan er hið einkvæma auðkenni sem skilríkin skila. Hún tryggir að hver einstaklingur eigi aðeins einn aðgang og að enginn geti stofnað aðgang í nafni annars.
• Örugg persónugreining er nauðsynleg fyrir eðli þjónustunnar: verkkaupar hleypa iðnaðarmönnum inn á heimili sín og vinnustaði, og báðir aðilar þurfa að geta treyst því að mótaðilinn sé sá sem hann segist vera.
• Staðfesting á löggildingu iðnaðarmanna í opinberri löggildingaskrá er aðeins möguleg með öruggri persónugreiningu á grundvelli kennitölu.

Kennitala þín er aldrei birt öðrum notendum. Í gagnagrunni er aðgangur að kennitölu og símanúmeri takmarkaður þannig að aðeins þú sjálf/ur sérð þessar upplýsingar á aðgangssíðunni þinni.

Kennitala fyrirtækis: Kennitala lögaðila er ekki persónuupplýsingar í skilningi persónuverndarlöggjafarinnar, enda auðkennir hún félag en ekki einstakling, og hún er opinberlega skráð í fyrirtækjaskrá. Hún er birt með fyrirtækinu á vettvangnum. Upplýsingar um þá einstaklinga sem koma fram fyrir hönd fyrirtækisins eru á hinn bóginn persónuupplýsingar og um þær gildir þessi stefna.

Boð um aðild að fyrirtæki: Sá sem stýrir fyrirtæki býður öðrum aðild með því að slá inn kennitölu þeirra. Kerfið staðfestir hvorki né afhjúpar hvort aðgangur sé til á þeirri kennitölu, og eftir að boðið er sent sést það aðeins dulið á meðlimalistanum (til dæmis 010188-****). Sá sem boðið er sér boðið þegar hann skráir sig inn og ræður sjálfur hvort hann samþykkir það. Hafni hann boðinu verður hann ekki meðlimur og nafn hans birtist hvergi hjá fyrirtækinu.

Athugun rekstraraðila á fyrirtæki: Þegar fyrirtæki er skráð sjá rekstraraðilar Verka kennitölu og símanúmer þess einstaklings sem skráði það, í því skyni einu að staðfesta að hann megi koma fram fyrir hönd fyrirtækisins — að fletta upp fyrirtækinu í fyrirtækjaskrá og eftir atvikum hringja í hann. Þetta er afmörkuð undantekning frá reglunni hér að ofan, byggð á lögmætum hagsmunum af því að fyrirtæki á vettvangnum séu skráð af þeim sem mega það (f-liður 1. mgr. 6. gr. GDPR), og hún nær aðeins til þess sem sjálfur kaus að skrá fyrirtæki. Sama fyrirkomulag gildir um beiðnir um handvirka skoðun á iðnréttindum.

Staðfesting á umboði: Sá sem skráir fyrirtæki getur valið að hlaða upp yfirliti þess úr fyrirtækjaskrá Skattsins eða prókúruumboði, þar sem stjórn og prókúruhafar koma fram. Skjalið er geymt lokað — aðeins þeir sem stýra fyrirtækinu og rekstraraðilar Verka komast að því, og þá gegnum hlekk sem gildir í eina mínútu. Það er notað í þeim eina tilgangi að staðfesta umboðið og því er eytt um leið og staðfestingu lýkur, sem og ef fyrirtækinu eða aðgangi eigandans er eytt.

Uppfletting í fyrirtækjaskrá: Þegar fyrirtæki er skráð flettir Verka kennitölu þess upp í opinni vefþjónustu fyrirtækjaskrár Skattsins og ber kennitölu þess sem skráði fyrirtækið saman við þá sem skráðir eru forsvarsmenn þess. Kennitala einstaklingsins er ekki send til Skattsins — aðeins kennitala fyrirtækisins — og samanburðurinn fer fram hjá okkur. Einungis niðurstaðan er varðveitt: hvort umboð sé staðfest, hvort nafn og staða fyrirtækisins stemmi, og starfsheiti viðkomandi hjá eigin fyrirtæki. Upplýsingar um aðra einstaklinga sem koma fram í svarinu, svo sem aðra stjórnarmenn, eru hvorki vistaðar né skráðar. Vinnslan byggir á lögmætum hagsmunum (f-liður 1. mgr. 6. gr. GDPR) og niðurstaðan ræður engu sjálfkrafa — rekstraraðili tekur ákvörðunina.

Við seljum aldrei persónuupplýsingar. Eftirtaldir aðilar koma að vinnslunni eða geta fengið upplýsingar:

• Supabase Inc. — hýsing gagnagrunns, auðkenningarkerfis og skráageymslu (t.d. prófílmynda og verkmynda). Gögnin eru hýst í gagnaveri innan Evrópusambandsins. Supabase er vinnsluaðili Verka.
• Advania Ísland ehf. (Signet) og Auðkenni ehf. — Signet-innskráningarþjónustan sannreynir rafræn skilríki sem Auðkenni gefur út og skilar Verka auðkennisupplýsingum (nafni, kennitölu og eftir atvikum símanúmeri). Advania vinnur auðkenningarupplýsingarnar fyrir Verka við hverja innskráningu; Auðkenni er sjálfstæður ábyrgðaraðili útgáfu skilríkjanna.
• Amazon Web Services EMEA SARL (Amazon SES) — sending tölvupósts frá Verka: tilkynninga og pósts sem tengist aðganginum, t.d. staðfestingar á nýju netfangi. AWS fær netfang viðtakanda og póstinn sjálfan, sem er stutt ábending um að eitthvað bíði þín á Verka — heiti verkefnis, iðngrein, svæði og tímasetning þess, nafn og einkunn þess sem sendi tilboð eða skilaboð — en aldrei efni skilaboða, lýsingu verks, myndir eða verð. Sendingin fer um gagnaver AWS í Írlandi (eu-west-1). AWS er vinnsluaðili Verka.
• Vercel Inc. — hýsing vefsins verka.is. Persónuupplýsingar fara um vefþjóna Vercel í flutningi (t.d. þegar þú uppfærir prófílinn þinn eða sækir gögnin þín) en eru ekki geymdar þar. Vercel heldur beiðnaskrár í takmarkaðan tíma vegna öryggis og rekstrar.
• Google Cloud EMEA Limited (Google Workspace) — tölvupósthólf Verka. Sendir þú okkur tölvupóst, t.d. á verka@verka.is, eða svarir tilkynningu frá Verka, berst pósturinn í pósthólf okkar hjá Google Workspace og er geymdur þar ásamt svörum okkar: netfangið þitt, nafn og það sem þú skrifar. Tilkynningar frá Verka eru ekki sendar þaðan heldur um Amazon SES (sjá hér að ofan). Google er vinnsluaðili Verka.
• Aðrir notendur — sjá aðeins það efni sem birt er á vettvangnum samkvæmt aðgangsreglum hans: nafn, svæði, kynningartexta, prófílmynd, staðfest réttindi, verkefni, tilboð í verkefni sem þá varða og umsagnir. Umsagnir iðnaðarmanna um verkkaupa sjá aðeins innskráðir notendur, og þær birtast iðnaðarmönnum á verkefnum verkkaupans svo þeir geti metið hvort þeir bjóði í verkið. Kennitala og símanúmer eru aldrei sýnileg öðrum notendum.
• Aðilar samtals í skilaboðum — skilaboð sjá aðeins aðilar samtalsins. Þegar skilaboð eru send til eða frá fyrirtæki sjá þau þeir meðlimir fyrirtækisins sem mega koma fram fyrir hönd þess í viðkomandi verkefni: þeir sem mega senda tilboð í nafni þess, eða, í verkefnum sem fyrirtækið sjálft auglýsti, þeir sem mega auglýsa og stýra verkefnum fyrir það. Við skráum hvenær skilaboð eru lesin og sýnum sendanda það („Séð“). Í skilaboðum til fyrirtækis er skráð hver meðlimanna opnaði þau; gagnaðilinn sér aðeins að fyrirtækið hafi séð skilaboðin, ekki hver.
• Aðrir meðlimir fyrirtækis — sért þú meðlimur í fyrirtæki sjá aðrir meðlimir þess birtingarnafn þitt, prófílmynd, staðfestar iðngreinar, aðildarhlutverk þitt og hvenær þú gerðist meðlimur. Á opinberri síðu fyrirtækisins birtist þú aðeins kjósir þú það sjálf/ur með rofanum „Sýna mig á síðu fyrirtækisins“, sem er sjálfgefið óvirkur og þú getur slökkt á hvenær sem er. Sendir þú tilboð í nafni fyrirtækisins sér verkkaupinn nafn fyrirtækisins og nafn þitt sem tengiliðar. Kennitala þín og símanúmer eru aldrei sýnileg öðrum meðlimum.
• Rekstraraðilar Verka — þeir tveir einstaklingar sem nefndir eru í 2. kafla hafa aðgang að gögnum á vettvangnum að því marki sem þarf vegna reksturs, þjónustu við notendur, meðferðar ábendinga og beiðna og öryggis. Í stjórnborði Verka sjá þeir ábendingar og beiðnir ásamt efninu sem þær varða, og við athugun á fyrirtækjum og réttindum kennitölu og símanúmer viðkomandi (sjá 5. kafla). Stjórnborðið sýnir ekki efni skilaboða milli notenda, aðeins fjölda þeirra. Sem umsjónarmenn kerfisins hafa rekstraraðilar þó tæknilegan aðgang að gagnagrunninum í heild og nota hann aðeins í þeim tilgangi sem lýst er í þessari stefnu.
• Ráðgjafar — lögmenn, endurskoðendur og aðrir ráðgjafar sem bundnir eru þagnarskyldu, að því marki sem nauðsynlegt er vegna réttarágreinings eða lagaskyldu.
• Stjórnvöld — ef lagaskylda krefur eða vegna lögmætra fyrirmæla þar til bærra yfirvalda. Berist okkur krafa stjórnvalds um upplýsingar um þig látum við þig vita, nema lög eða fyrirmæli yfirvalda banni það.

Opinber birting á netinu: Á meðan Verka er í lokaðri prufuútgáfu er vefurinn aðeins opinn innskráðum notendum og leitarvélar eru beðnar um að skrá ekkert af honum. Þegar vefurinn verður opnaður almenningi verða prófílar iðnaðarmanna og síður staðfestra fyrirtækja opnar öllum á netinu, einnig án innskráningar, og leitarvélar mega skrá þær. Á prófíl iðnaðarmanns birtast umsagnir um hann ásamt nafni þess verkkaupa sem skrifaði hverja umsögn og myndum sem henni fylgja. Opin verkefni á Verkefnatorgi eru einnig sýnileg án innskráningar, en síður einstakra verkefna eru merktar þannig að leitarvélar skrái þær ekki. Í robots.txt biður Verka vefskriðla gervigreindarþjónusta (t.d. GPTBot, ClaudeBot, PerplexityBot, CCBot og Google-Extended) um að sækja ekki síður með efni frá notendum — prófíla, síður fyrirtækja og verkefni. Robots.txt er þó beiðni en ekki tæknileg hindrun, og Verka getur ekki ábyrgst að allir virði hana. Prófílar iðnaðarmanna og síður fyrirtækja eru opinberar í eðli sínu, enda er tilgangur þeirra að verkkaupar finni iðnaðarmenn, og ekki er hægt að gera prófíl iðnaðarmanns óaðgengilegan öðrum en með því að eyða aðganginum.

Myndir: Myndir af verkefnum, myndir með umsögnum og myndir fyrirtækja (merki, forsíðumynd og myndir af verkum fyrirtækisins) eru geymdar í opinni skráageymslu: hver sem hefur slóð myndar getur sótt hana. Prófílmyndir eru afhentar um tímabundna hlekki. Skjöl sem staðfesta umboð fyrir fyrirtæki eru geymd lokuð (sjá 5. kafla).

Upplýsingar sem notendur fá hver um annan: Upplýsingar sem notendur skiptast á í gegnum Verka — t.d. heimilisfang eða símanúmer sem verkkaupi skrifar í skilaboð — og nota utan vettvangsins, t.d. við gerð verksamnings eða reikninga, eru á ábyrgð þess sem tekur við þeim. Iðnaðarmenn og fyrirtæki sem nota upplýsingar um verkkaupa í eigin rekstri eru sjálfstæðir ábyrgðaraðilar þeirrar vinnslu. Vinnsla einstaklings sem eingöngu varðar persónulega hagi hans eða heimilishald, t.d. þegar verkkaupi fær verk unnið heima hjá sér, fellur hins vegar utan gildissviðs persónuverndarlaga. Rekstraraðilar Verka bera ekki ábyrgð á vinnslu notenda utan vettvangsins.

Séu persónuupplýsingar hýstar eða unnar utan Evrópska efnahagssvæðisins (EES) fer slíkur flutningur aðeins fram á grundvelli viðeigandi verndarráðstafana samkvæmt V. kafla GDPR, svo sem staðlaðra samningsskilmála framkvæmdastjórnar ESB (SCC) eða ákvörðunar um fullnægjandi vernd.

Gagnagrunnur, auðkenningarkerfi og skráageymsla Verka eru hýst innan Evrópusambandsins og persónuupplýsingar eru geymdar þar. Vercel Inc. er bandarískt félag; að því marki sem umferð um vefþjóna þess felur í sér flutning út fyrir EES byggir hann á stöðluðum samningsskilmálum framkvæmdastjórnar ESB í vinnslusamningi Vercel.

Tölvupóstur er sendur um gagnaver Amazon Web Services í Írlandi. Samningsaðili Verka er Amazon Web Services EMEA SARL í Lúxemborg, dótturfélag bandaríska félagsins Amazon Web Services Inc.; að því marki sem vinnslan felur í sér flutning út fyrir EES byggir hann á stöðluðum samningsskilmálum framkvæmdastjórnar ESB í vinnslusamningi AWS.

Tölvupóstur sem þú sendir Verka er hýstur hjá Google Workspace. Samningsaðili Verka er Google Cloud EMEA Limited á Írlandi, félag í samstæðu bandaríska félagsins Google LLC; að því marki sem vinnslan felur í sér flutning út fyrir EES byggir hann á stöðluðum samningsskilmálum framkvæmdastjórnar ESB í vinnslusamningi Google.

• Aðgangs- og prófílupplýsingar eru varðveittar á meðan aðgangurinn þinn er virkur.
• Þegar þú eyðir aðganginum eru persónuauðkenni fjarlægð — nafn, kennitala, símanúmer, netfang, prófílmynd og kynningartexti — og aðgangnum lokað varanlega. Til að framfylgja lokunum og til að umsagnir fylgi iðnaðarmanni eða verkkaupa sem skráir sig aftur geymum við dulkóðaða tilvísun (hash) í kennitölu í allt að þrjú ár eftir eyðingu. Hún er ekki rekjanleg án lykils sem aðeins kerfið hefur og er eingöngu notuð í þessum tilgangi. Hafi aðgangi verið lokað er tilvísunin geymd á meðan lokunin varir. Færslur sem varða aðra notendur standa eftir án tengingar við persónuauðkenni (dulnefndar), svo saga mótaðila þíns — til dæmis umsagnir sem aðrir notendur reiða sig á — raskist ekki: verkefni sem tilboð, skilaboð eða umsagnir tengjast, tilboðin, skilaboðin, umsagnirnar og myndir sem fylgja þeim, ásamt myndum af verkefnum sem standa eftir. Verkefnum sem enginn annar notandi hefur átt aðild að er eytt, ásamt myndum þeirra.
• Texti og myndir sem þú hefur sjálf/ur sett inn eru ekki ritstýrð við eyðingu. Hafir þú skrifað persónuupplýsingar inn í texta, t.d. heimilisfang í verklýsingu, standa þær því áfram. Þú getur hvenær sem er beðið um að tiltekið efni verði fjarlægt á netfanginu í 2. kafla og verður sú beiðni metin samkvæmt 17. gr. GDPR.
• Sért þú meðlimur í fyrirtæki er aðild þinni eytt þegar þú eyðir aðganginum og nafn þitt hverfur af síðu fyrirtækisins. Hafir þú sjálf/ur skráð fyrirtækið er því lokað við eyðingu: það hverfur af vettvangnum, aðild allra meðlima fellur niður og ósvöruð boð eru afturkölluð. Boð sem stíluð voru á kennitöluna þína er eytt, enda bera þau kennitöluna sjálfa. Tilboð sem fyrirtækið sendi standa eftir með tilvísun í fyrirtækið sem hluti af sögu markaðstorgsins, með sama hætti og önnur tilboð.
• Öryggisafrit gagnagrunnsins eru tekin daglega hjá hýsingaraðila og sjö nýjustu afritin varðveitt. Eydd gögn hverfa úr afritum þegar þau renna út, í síðasta lagi um sjö dögum eftir eyðingu.
• Ábendingar um umsagnir og myndir, ásamt ákvörðun rekstraraðila og athugasemdum við hana, eru varðveittar jafn lengi og efnið sem þær varða, svo ákvörðunin sé rekjanleg. Eyðir sá sem sendi ábendingu aðgangi sínum stendur hún eftir dulnefnd, eins og annað efni sem varðar aðra notendur. Beiðnum um handvirka skoðun á réttindum, og skráningu um að löggildingaskrá staðfesti ekki lengur réttindi, er hins vegar eytt þegar aðganginum er eytt.
• Gögn sem lagaskylda stendur til að varðveita, t.d. bókhaldsgögn ef við á, eru varðveitt svo lengi sem viðkomandi lög mæla fyrir um.
• Aðgangs- og aðgerðaskrár (innskráningar, tæknigögn) eru varðveittar í allt að 90 daga vegna öryggis og rekstrar.
• Skrá yfir sendan tölvupóst (netfang við sendingu, tegund tilkynningar, tímastimplar og auðkenni sendingar frá Amazon SES) er varðveitt í 90 daga og síðan eytt. Þegar þú eyðir aðganginum er ósendum tilkynningum og stillingum þínum um tilkynningar eytt strax.
• Netföng sem skilað hafa varanlegri villu eða kvörtun um ruslpóst eru varðveitt á meðan netfangið telst óvirkt, einnig eftir að aðgangi er eytt, svo ekki sé sent á það aftur. Skráin geymir netfangið, ástæðuna og tímasetningar en enga tengingu við aðgang. Þú getur beðið um að netfang verði tekið af skránni á netfanginu í 2. kafla.
• Tölvupóstur sem þú sendir Verka, og svör okkar, eru varðveitt á meðan erindið er til meðferðar og eftir það aðeins svo lengi sem þörf er á til að fylgja því eftir eða sýna fram á hvernig það var afgreitt. Þú getur beðið um að póstinum verði eytt fyrr á netfanginu í 2. kafla.
• Afrit Verka af opinberri löggildingaskrá iðnaðarmanna (nafn, iðngrein, útgáfuár og fyrstu sex tölustafir kennitölu) er endurnýjað með því að skipta gamla afritinu út fyrir nýtt. Engin saga eldri afrita er geymd og afritið er ekki aðgengilegt notendum, aðeins notað til samsvörunar.

Samkvæmt persónuverndarlöggjöfinni átt þú rétt á að:

• Aðgangi — fá staðfestingu á því hvort og hvaða upplýsingar um þig eru unnar og afrit af þeim.
• Leiðréttingu — fá rangar eða ófullkomnar upplýsingar leiðréttar.
• Eyðingu — fá upplýsingum um þig eytt þegar skilyrði standa til þess.
• Takmörkun vinnslu — við tilteknar aðstæður.
• Flutningi eigin gagna — fá upplýsingar sem þú hefur látið okkur í té á tölvulesanlegu formi og, sé það tæknilega framkvæmanlegt, fá þær sendar beint til annars ábyrgðaraðila.
• Afturköllun samþykkis — hvenær sem er, án þess að það hafi áhrif á lögmæti fyrri vinnslu.

Réttur til að andmæla. Þú getur hvenær sem er andmælt vinnslu sem byggir á lögmætum hagsmunum (f-lið 1. mgr. 6. gr. GDPR, sjá 4. kafla) vegna sérstakra aðstæðna þinna. Við hættum þá vinnslunni nema við sýnum fram á mikilvægar lögmætar ástæður sem ganga framar hagsmunum þínum, réttindum og frelsi, eða vinnslan sé nauðsynleg til að stofna, hafa uppi eða verja réttarkröfur. Andmælum gegn beinni markaðssetningu verður alltaf orðið við.

Þú getur nýtt helstu réttindin beint á síðunni Stillingar: þar leiðréttir þú prófílupplýsingar, sækir afrit af gögnunum þínum með hnappnum „Sækja gögnin mín“ og eyðir aðganginum með hnappnum „Eyða reikningi“. Hafi aðganginum verið lokað sendir þú beiðni um eyðingu á verka@verka.is og hún er framkvæmd handvirkt innan sama frests. Hafir þú ekki lengur aðgang að rafrænum skilríkjum sendir þú beiðnina á verka@verka.is með kennitölu þinni og hún er framkvæmd innan sama frests. Öðrum beiðnum — t.d. um leiðréttingu nafns, sem kemur frá skilríkjunum og er ekki hægt að breyta sjálf/ur, um takmörkun vinnslu eða andmæli — má beina á verka@verka.is og verður þeim svarað eins fljótt og unnt er og eigi síðar en innan mánaðar. Til að staðfesta hver þú ert kunnum við að biðja þig um að senda beiðnina úr innskráðum aðgangi eða staðfesta hana með rafrænum skilríkjum.

Beiðnir eru afgreiddar án endurgjalds. Sé beiðni augljóslega tilefnislaus eða óhófleg, t.d. vegna endurtekningar, getum við krafist hæfilegs gjalds eða synjað henni. Réttindin eru ekki fortakslaus; getum við ekki orðið við beiðni skýrum við ástæðuna og bendum á rétt þinn til að kvarta til Persónuverndar (sjá 10. kafla).

Tilkynningum í tölvupósti stýrir þú undir Stillingar → Tilkynningar, þar sem þú getur slökkt á þeim öllum eða einstökum flokkum. Hver tilkynning ber jafnframt afskráningartengil sem slekkur á þeim öllum, án innskráningar. Tengillinn í daglegu yfirliti yfir ný verkefni slekkur þó aðeins á yfirlitinu; aðrar tilkynningar berast áfram.

Ef þú telur að vinnsla Verka á persónuupplýsingum brjóti gegn persónuverndarlöggjöfinni átt þú rétt á að leggja fram kvörtun hjá Persónuvernd, Rauðarárstíg 10, 105 Reykjavík — personuvernd.is. Við hvetjum þig þó til að hafa fyrst samband við okkur svo við getum leyst málið.

Verka notar aðeins nauðsynlegar vafrakökur: kökur sem halda utan um innskráningarlotuna þína og tímabundna öryggisköku sem ver innskráninguna gegn fölsuðum beiðnum (CSRF-vörn). Engar greiningarkökur, auglýsingakökur eða vöktunartæki þriðju aðila eru notuð. Breytist það verður stefna þessi uppfærð og samþykkis aflað eftir því sem lög áskilja.

Við beitum viðeigandi tæknilegum og skipulagslegum ráðstöfunum til að vernda persónuupplýsingar, meðal annars aðgangsstýringum á gagnagrunnsstigi — sem takmarka m.a. aðgang að kennitölu og símanúmeri við notandann sjálfan. Gögn eru dulkóðuð í flutningi og í geymslu hjá hýsingaraðilum. Aðgangur að stjórnborði Verka er aðeins veittur rekstraraðilum og verður ekki veittur í gegnum vefinn sjálfan.

Verði öryggisbrestur tilkynnum við hann Persónuvernd innan 72 klukkustunda frá því að við verðum hans vör þegar það er skylt, og þér án ótilhlýðilegrar tafar ef hann er líklegur til að hafa í för með sér mikla áhættu fyrir réttindi þín og frelsi. Grunir þig að einhver hafi komist inn í aðganginn þinn, hafðu strax samband á verka@verka.is.

Þjónustan er ætluð lögráða einstaklingum, 18 ára og eldri, og er ekki beint að börnum. Innskráning með rafrænum skilríkjum styður við að aðgangar séu stofnaðir af réttum einstaklingum.

Stefna þessi kann að taka breytingum, t.d. vegna breytinga á þjónustunni eða löggjöf. Efnislegar breytingar verða kynntar á vefnum og við næstu innskráningu að minnsta kosti 14 dögum áður en þær taka gildi, og dagsetning síðustu uppfærslu uppfærð hér að ofan.

Sjá einnig notendaskilmála Verka.