Persónuverndarstefna

Síðast uppfært: 1. nóvember 2025

Persónuvernd þín skiptir BoxUp („við“, „okkur“, „fyrirtækið“, „félagið“, „kerfið“, „vefsíðan“) miklu máli. Stefna þessi tekur til persónuupplýsinga hvort sem þeim er safnað og þær varðveittar með rafrænum hætti, á pappír eða með öðrum sambærilegum hætti. Stefnan tekur til skráningar, vörslu og vinnslu á persónuupplýsingum sem falla undir stefnuna. Stefnan skal vera aðgengileg á heimasíðu okkar, og sérstaklega tekið fram hvenær hún var síðast uppfærð.

Stefnan gildir fyrir allar þjónustur og kerfi sem við rekum eða nýtum, þar á meðal boxup.is og aðrar tengar undirsíður fyrirtækisins.

Stefnan gildir einnig um upplýsingar sem fegnar eru frá viðskiptavinum okkar, upplýsingar sem við höfum rétt á að nýta til að framfylgja þjónustunni og uppfylla kröfur samninga okkar. Þessi gögn eru og verða alltaf flokkuð sem sérstaklega viðkvæm gögn.

Ábyrgðaraðili

BoxUp ehf.
471125-0590
Hafnarfjörður, Ísland
Netfang: hallo@boxup.is

Hvaða persónuupplýsingum er safnað?

Upplýsingar sem þú veitir sem viðskiptavinur

Nafn, netfang, símanúmer, kennitala og heimilisfang. Samskipti við sölu eða þjónustuver. Þessar upplýsingar veitir þú til að

• Pöntunarsaga og upplýsingar um viðskipti
• Samskipti við þjónustuver
  

2.2. Upplýsingar sem safnast sjálfkrafa

• IP-tala (stytt/dulkóðuð þar sem við á)
• Vafra- og tæknitæki upplýsingar
• Notkun mynstur á vefnum
• Kerfis- og villuskrár (error logs)

2.3. Vafrakökur

Við notum þrjár tegundir vafrakakna og notandi velur hvaða valkvæðu kökur eru virkar:

Nauðsynlegar vafrakökur – Nauðsynlegt

• Nákvæmlega þær sem þarf til að þjónustan virki
• Ekki hægt að slökkva á
• Engar persónugreinanlegar upplýsingar

Greiningarvafrakökur – Valfrjálst

• Til að skilja notkun síðunnar
• Engin persónugreinanleg gögn
• Dæmi: Google Analytics með IP-maskeringu

Notendaskoðun – Valfrjálst

• Notkunarupptökur („session recordings“)
• Engin viðkvæm gögn
• Ekki hægt að rekja til einstaklinga

3. Tilgangur vinnslu

Við vinnum gögn til að:

• Veita og reka þjónustu
• Sýsla með pöntanir og notendaaðganga
• Bæta notendaupplifun og þróa kerfið
• Tryggja öryggi, rekjanleika og staðla
• Uppfylla lagalegar skyldur
• Senda markaðsefni (með samþykki)

4. Lagagrundvöllur vinnslu (GDPR)

• Samningur (til að veita þjónustu)
• Samþykki (t.d. vafrakökur, markaðsefni)
• Lögmætur hagur (öryggi og greining)
• Lagaskylda (t.d. bókhald)

5. Öryggi gagna og gagnavarsla

Við notum strangar öryggisráðstafanir sem uppfylla GDPR og íslensk lög:

5.1. Dulkóðun og gagnageymsla

• Öll persónuupplýsingagögn í gagnagrunni eru dulkóðuð, bæði í hvíld (at rest) og í flutningi (in transit).
• Gögn eru hýst á öruggum kerfum með reglulegu viðhaldi og öryggisuppfærslum.

5.2. Aðgangsstýringar

• Aðeins starfsmenn með tilskylda heimild fá aðgang að persónuupplýsingum.
• Aðgangur er háður aðgangsstýringu, lykilorðsöryggi og tveggja þátta auðkenningu.

5.3. Skráning allra aðgangs- og skoðunaraðgerða

• Allar skoðanir á persónuupplýsingum eru skráðar sérstaklega, þar á meðal:
  • hvaða starfsmaður skoðaði gögn,
  • hvaða gögn voru skoðuð,
  • hvenær aðgerðin átti sér stað.
    
• Skoðun gagna umfram eðlilega notkun (t.d. eftir að pöntun hefur verið afgreidd) er sjálfkrafa flagguð sem frávik.

5.4. Eftirlit og tilkynningar

• Kerfin okkar senda sjálfvirkar tilkynningar til stjórnenda ef óeðlileg gögn eru skoðuð.
• Slík tilvik eru rannsökuð strax og gripið til viðeigandi aðgerða.
  

5.5. Varðveislutími

Gögn eru varðveitt aðeins eins lengi og nauðsynlegt er samkvæmt:

• lögum
• samningsskuldbindingum
• tilgangi vinnslu

6. Þriðju aðilar

Við deilum ekki gögnum með óviðkomandi.
Þjónustuaðilar sem vinna gögn fyrir okkar hönd starfa samkvæmt:

• Vinnslusamningi (DPA)
• GDPR reglum
• Ströngum öryggiskröfum

7. Réttindi þín samkvæmt GDPR

Þú átt rétt á að:

• fá upplýsingar um vinnslu
• fá aðgang að gögnum
• leiðrétta gögn
• láta eyða gögnum (þar sem við á)
• takmarka vinnslu
• mótmæla vinnslu
• draga samþykki til baka
• fá gögn afhent (data portability)

Beiðnir: netfang kemur síðar.

8. Flutningur gagna utan EES

Ef gögn eru unnin utan EES tryggjum við:

• Standard Contractual Clauses (SCC)
• eða að flutningur sé löglegur samkvæmt GDPR

9. Breytingar á persónuverndarstefnu

Uppfærslur verða birtar á þessari síðu og gilda frá birtingu.

10. Ágreiningsmál og lögsaga

Ágreiningur um vinnslu persónuupplýsinga skal bera undir:

Héraðsdóm Reykjanes

Kvartanir er einnig hægt að senda til:
Persónuverndar, www.personuvernd.is