Vinnslusamningur

Þessi vinnslusamningur ("vinnslusamningur") er hluti af samningi milli Corveria ehf., kt. 590526-1260 ("vinnsluaðili", "við") og viðskiptavinarins sem samþykkir hann ("ábyrgðaraðili", "þú") um notkun á þjónustunni Önnu ("þjónustan"). Hann gildir um vinnslu okkar á persónuupplýsingum fyrir þína hönd skv. 28. gr. GDPR. Með því að samþykkja notkunarskilmála okkar eða nota þjónustuna samþykkir þú þennan vinnslusamning; samþykki á rafrænu formi er gilt skv. 9. mgr. 28. gr. GDPR. Ef notkunarskilmálar og þessi vinnslusamningur stangast á um vinnslu persónuupplýsinga gildir þessi vinnslusamningur.

1. Skilgreiningar

Hugtök á borð við "persónuupplýsingar", "vinnsla", "ábyrgðaraðili", "vinnsluaðili", "undirvinnsluaðili", "skráður einstaklingur" og "öryggisbrestur" hafa þá merkingu sem fram kemur í GDPR (reglugerð (ESB) 2016/679), eins og hún gildir á Íslandi í gegnum EES-samninginn og lög nr. 90/2018. "Persónuupplýsingar viðskiptavinar" merkir persónuupplýsingar sem við vinnum fyrir þína hönd í gegnum þjónustuna, sbr. viðauka 1. "SCC" merkir stöðluð samningsákvæði í framkvæmdarákvörðun framkvæmdastjórnarinnar (ESB) 2021/914.

2. Hlutverk og umfang

Þú ert ábyrgðaraðili og við erum vinnsluaðili persónuupplýsinga viðskiptavinar. Þú berð áfram ábyrgð á lögmæti gagnanna sem þú og endanotendur þínir setja inn í þjónustuna og á þeim tilkynningum og lagagrundvelli sem krafist er gagnvart endanotendum þínum. Viðauki 1 tilgreinir viðfangsefni, tímalengd, eðli og tilgang vinnslunnar, tegundir persónuupplýsinga og flokka skráðra einstaklinga.

3. Skyldur okkar

Við munum:

(a) Skjalfest fyrirmæli. Vinna persónuupplýsingar viðskiptavinar aðeins samkvæmt skjalfestum fyrirmælum þínum, þar á meðal um flutning, nema annað sé áskilið í lögum EES eða Íslands (og munum við þá upplýsa þig, nema lögin banni það). Fyrirmæli þín eru þessi vinnslusamningur, notkunarskilmálarnir, stillingar þínar á þjónustunni og notkun þín á henni. Við munum upplýsa þig ef fyrirmæli, að okkar mati, brjóta í bága við GDPR eða lög nr. 90/2018.

(b) Trúnaður. Tryggja að þeir sem hafa heimild til að vinna gögnin séu bundnir trúnaði.

(c) Öryggi. Innleiða viðeigandi tæknilegar og skipulagslegar ráðstafanir skv. 32. gr. Núverandi ráðstafanir okkar eru lýstar í viðauka 2.

(d) Undirvinnsluaðilar. Ráða undirvinnsluaðila aðeins eins og fram kemur í 4. gr.

(e) Réttindi skráðra einstaklinga. Að teknu tilliti til eðlis vinnslunnar, aðstoða þig með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, eftir því sem unnt er, við að svara beiðnum skráðra einstaklinga skv. III. kafla GDPR.

(f) Aðstoð. Aðstoða þig við að tryggja að farið sé að 32. til 36. gr. (öryggi, tilkynning um öryggisbrest, mat á áhrifum á persónuvernd, fyrirframsamráð), að teknu tilliti til eðlis vinnslunnar og þeirra upplýsinga sem við höfum. Við munum tilkynna þér án ótilhlýðilegrar tafar eftir að við verðum vör við öryggisbrest sem hefur áhrif á persónuupplýsingar viðskiptavinar.

(g) Skil eða eyðing. Við lok þjónustunnar, að þínu vali, eyða eða skila öllum persónuupplýsingum viðskiptavinar og eyða fyrirliggjandi afritum, nema lög EES eða Íslands krefjist geymslu. Sjálfgefið er eyðing innan 30 daga frá lokum, með fyrirvara um lögbundna varðveislu.

(h) Úttektir. Gera þér aðgengilegar þær upplýsingar sem nauðsynlegar eru til að sýna fram á að farið sé að 28. gr., og heimila og leggja sitt af mörkum til úttekta, þar á meðal skoðana, sem þú eða úttektaraðili á þínum vegum framkvæmir. Slíkar úttektir fara fram með hæfilegum skriflegum fyrirvara, ekki oftar en einu sinni á ári (nema eftirlitsyfirvald krefjist annars eða í kjölfar öryggisbrests), á opnunartíma, með trúnaði, og þannig að þær raski ekki þjónustunni; við megum uppfylla beiðni um úttekt með því að leggja fram skriflega sjálfsmatsskýrslu og hvers kyns viðeigandi vottanir eða skýrslur þriðja aðila sem við höfum, og hvor aðili ber sinn eigin kostnað.

4. Undirvinnsluaðilar

Þú veitir almenna heimild fyrir því að við ráðum undirvinnsluaðila. Núverandi undirvinnsluaðilar okkar, hvað þeir gera, hvar þeir vinna gögn og verndarráðstöfun við flutning fyrir hvern, eru talin upp í lista okkar yfir undirvinnsluaðila, sem myndar viðauka 3. Við leggjum á hvern undirvinnsluaðila persónuverndarskyldur sem eru jafngildar þeim sem eru í þessum vinnslusamningi, og við berum áfram fulla ábyrgð gagnvart þér á frammistöðu hvers undirvinnsluaðila (4. mgr. 28. gr.).

Við munum tilkynna þér fyrir fram um fyrirhugaða viðbót eða útskiptingu á undirvinnsluaðila, með að minnsta kosti 30 daga til að andmæla á málefnalegum persónuverndarforsendum. Ef við getum ekki leyst málefnaleg andmæli máttu segja upp þeim hluta þjónustunnar sem um ræðir.

5. Flutningur úr landi

Þar sem undirvinnsluaðili vinnur persónuupplýsingar viðskiptavinar utan EES tryggjum við að viðeigandi ráðstöfun skv. V. kafla sé til staðar: ákvörðun um fullnægjandi vernd, EU-US Data Privacy Framework, eða SCC ásamt viðbótarráðstöfunum. Ráðstöfunin fyrir hvern undirvinnsluaðila er tilgreind í listanum yfir undirvinnsluaðila. Samband þitt (innan EES) og okkar (á Íslandi, EES-ríki) er innan EES og krefst ekki sjálft SCC.

6. Skyldur þínar

Þú ábyrgist að þú hafir lagagrundvöll fyrir persónuupplýsingum viðskiptavinar sem unnar eru í gegnum þjónustuna, að þú hafir veitt endanotendum þínum þær persónuverndarupplýsingar sem 13. og 14. gr. krefjast, og að fyrirmæli þín samræmist gildandi persónuverndarlöggjöf. Við útvegum sniðmát að persónuverndartilkynningu fyrir endanotendur til aðstoðar, en þú ert áfram ábyrgðaraðili sem ber ábyrgð á henni.

7. Ábyrgð og gildistími

Ábyrgð samkvæmt þessum vinnslusamningi er háð takmörkunum á ábyrgð í notkunarskilmálunum. Þessi vinnslusamningur tekur gildi þegar þú samþykkir hann og gildir svo lengi sem við vinnum persónuupplýsingar viðskiptavinar.

8. Lögsaga

Þessi vinnslusamningur lýtur íslenskum lögum. Ef vinnslusamningurinn er veittur á fleiri en einu tungumáli og misræmi kemur upp gildir íslenska útgáfan.

Viðauki 1: Lýsing á vinnslunni

Viðfangsefni: veiting gervigreindarþjónsins Önnu fyrir þjónustu við viðskiptavini.
Tímalengd: út gildistíma þjónustusamningsins.
Eðli og tilgangur: að taka á móti skilaboðum endanotenda, mynda svör með gervigreindarlíkönum, sækja viðeigandi þekkingu, beina samtölum til teymis þíns og tengdar stuðningsaðgerðir.
Tegundir persónuupplýsinga: spjallskilaboð endanotenda og hvers kyns efni í þeim, móttekin í gegnum vefspjallið eða tengda samskiptarás (svo sem Messenger eða Instagram); samskiptaupplýsingar veittar við tilvísun (nafn, netfang, sími) og birtingarnafn sem tengd rás veitir; gögn notenda þinna sem þarf til að reka þjónustuna.
Flokkar skráðra einstaklinga: vefgestir og viðskiptavinir þínir sem senda þér skilaboð í gegnum Önnu (endanotendur), og starfsfólk þitt sem notar þjónustuna.

Viðauki 2: Tæknilegar og skipulagslegar ráðstafanir

Núverandi tæknilegar og skipulagslegar ráðstafanir okkar eru lýstar í skjali okkar um tæknilegar og skipulagslegar öryggisráðstafanir, sem myndar hluta þessa vinnslusamnings.

Viðauki 3: Undirvinnsluaðilar

Núverandi undirvinnsluaðilar okkar eru taldir upp í lista okkar yfir undirvinnsluaðila, sem myndar hluta þessa vinnslusamnings.

Útgáfa 1.0.0. Síðast uppfært 2026-06-23.