Persónuvernd hjá Telvu.

1. Hver ber ábyrgð

Telva ehf., kt. 490626-0930, Suðurlandsbraut 6, 108 Reykjavík, er ábyrgðaraðili að vinnslu persónuupplýsinga um gesti vefsins telva.is og um þau sem hafa samband við félagið. Netfang: telva@telva.is.

Þegar félag notar Telvu sem kerfi fyrir reksturinn er félagið ábyrgðaraðili að þeim gögnum sem það skráir í kerfið eða sækir úr bókhaldskerfi sínu. Telva er þá vinnsluaðili og vinnur gögnin samkvæmt fyrirmælum félagsins. Starfsfólk og viðskiptavinir félags sem vilja nýta rétt sinn varðandi gögn í kerfinu snúa sér til þess félags.

2. Upplýsingar sem vefurinn vinnur

• Beiðni um kynninguNafn, fyrirtæki, netfang, sími ef hann er sleginn inn, tegund reksturs og þau markmið sem valin eru. Tilgangur: svara erindinu og bóka kynningu. Grunnur: beiðni einstaklings um upplýsingar eða kynningu áður en samningur er gerður (b-liður 1. mgr. 6. gr. reglugerðar (ESB) 2016/679).
• Aðgangur að handbókumNafn, fyrirtæki, netfang, sími ef hann er sleginn inn og heiti þeirrar handbókar sem var opnuð. Tilgangur: veita aðgang að handbókunum og svara fyrirtækjum sem skoða þær. Grunnur: lögmætir hagsmunir Telvu af því að svara þeim sem sýna kerfinu áhuga (f-liður 1. mgr. 6. gr. sömu reglugerðar).
• Mælingar á notkun vefsins (Vercel Web Analytics)Vercel lýsir því að mælingin noti engar kökur frá þriðja aðila, auðkenni gesti með hakki af beiðninni sjálfri og fargi lotunni sjálfkrafa eftir 24 klukkustundir. Skráð er meðal annars slóð síðu, tilvísun, landfræðileg staðsetning, stýrikerfi, vafri og tegund tækis. Tilgangur: vita hvernig vefurinn er notaður. Grunnur: lögmætir hagsmunir Telvu. Nánar í persónuverndarlýsingu Vercel Web Analytics.
• Mælingar á hraða vefsins (Vercel Speed Insights)Vercel lýsir því að mælingin sé nafnlaus og ekki tengd einstökum gesti eða IP-tölu. Skráð er síða, nethraði, vafri, tegund tækis, stýrikerfi, land og hleðslumælingar (Web Vitals). Tilgangur: vita hve hratt vefurinn hleðst. Grunnur: lögmætir hagsmunir Telvu. Nánar í persónuverndarlýsingu Vercel Speed Insights.
• Takmörkun á fjölda erindaIP-tala sendanda er lesin til að takmarka fjölda erinda við fimm á mínútu. Hún er aðeins geymd í minni þjónsins um stund og er ekki skráð með erindinu.

Erindi af vefnum eru skráð í þjónslogg hjá Vercel, sem hýsir vefinn, og send í tölvupósti á telva@telva.is um Resend. Pósturinn er innanhúss hjá Telvu, í tölvupóstkerfi Telvu, og aðeins svar frá starfsfólki Telvu fer til sendanda. Telva sendir enga sjálfvirka kvittun á netfangið sem er slegið inn.

3. Kökur og vafrageymsla

Vefurinn setur engar auglýsinga- eða rakningarkökur.

• Vafrinn geymir dagsetningu aðgangs í localStorage eftir að eyðublað handbókanna er sent, svo ekki þurfi að fylla það út aftur. Hún fer ekki til Telvu og hverfur þegar gögn vefsins eru hreinsuð í vafranum.
• Vafrinn geymir merki í sessionStorage um að opnunarhreyfing forsíðunnar hafi þegar birst. Það fer hvergi og hverfur þegar flipanum er lokað.
• Lokað gagnasvæði, sem aðeins næst með hlekk frá Telvu, setur eina nauðsynlega setuköku sem heldur aðganginum og rennur út sjálfkrafa.
• Skjávarasíðan /skjavari sækir letur frá Google Fonts. Google fær þá tæknilegar upplýsingar úr vafranum, svo sem IP-tölu.

4. Gögn félaga í kerfinu

Telva vinnur þau gögn sem félag skráir í kerfið eða sækir úr eigin rekstrarkerfum, svo sem bókhaldskerfi. Félagið ákveður hvaða gögn fara í kerfið og í hvaða tilgangi. Gögn hvers félags eru tengd við félagið og aðgangsheimildir notenda þess, og notendur fá aðgang eftir hlutverki.

Gagnagrunnur kerfisins á app.telva.is er í dag hýstur hjá Supabase í Stokkhólmi (eu-north-1). Hvaða aðilar vinna gögn félags fer eftir uppsetningu þess, tengingum og þeim einingum sem það notar. Nánari lýsing á innviðum og aðgangsstýringu er á síðunni Öryggi.

5. Pósttenging við Google og Microsoft

Félag getur tengt pósthólf sitt við Telvu hjá Google (Gmail og Google Workspace) eða Microsoft (Outlook og Microsoft 365), svo reikningar, tilboð, áminningar og viðskiptayfirlit fari frá netfangi félagsins. Notandi á vegum félagsins samþykkir tenginguna hjá Google eða Microsoft.

• Heimildin er eingöngu til að senda póst: gmail.send hjá Google og Mail.Send hjá Microsoft. Hjá Microsoft biður Telva einnig um Mail.Send.Shared, sem er heimild til að senda frá sameiginlegu pósthólfi sem notandinn hefur aðgang að. Telva sendir í dag aðeins frá pósthólfinu sem var tengt.
• Telva biður einnig um auðkenni (openid, email, profile) til að staðfesta hvaða netfang er tengt. Hjá Microsoft bætast við User.Read og offline_access, svo hægt sé að senda án þess að notandi sé innskráður á sama augnabliki.
• Telva biður ekki um heimild til að lesa, leita í, breyta eða eyða pósti, og sækir engan póst úr pósthólfinu.
• Telva sendir aðeins bréf sem notandi félagsins hefur útbúið og staðfest í Telvu eftir forsýn. Prufupóstur er sendur þegar notandi ýtir á takka. Kerfispóstar Telvu fara áfram frá Telvu sjálfri, ekki úr pósthólfi félags.

Telva geymir netfang tengda pósthólfsins, hjá hvorri veitunni það er, auðkenni reikningsins hjá veitunni, hver tengdi og hvenær, hvaða heimildir voru veittar og sendiheimildina sjálfa (endurnýjunartóka). Tókinn er dulkóðaður með AES-256-GCM og lykli sem er útleiddur sérstaklega fyrir hvert félag, og er bundinn félaginu. Aðgangstóki lifir aðeins í minni meðan póstur er sendur. Hver aðgerð (tengt, aftengt, prufa, synjun) er skráð í gögn félagsins án tóka.

Bréfin sem Telva sendir eru útbúin í Telvu. Telva heldur skrá um hverja sendingu (sendanda, viðtakendur, tíma og niðurstöðu) og geymir bréfið dulkóðað í gögnum félagsins.

Stjórnandi félagsins getur aftengt pósthólfið hvenær sem er í Stillingum. Þá eyðir Telva sendiheimildinni úr kerfinu og afturkallar heimildina hjá Google. Takist það ekki getur notandi fjarlægt aðgang Telvu í öryggisstillingum Google-reiknings síns. Hjá Microsoft býður veitan ekki upp á afturköllun fyrir forrit eftir þessari leið, svo þar eyðir Telva heimildinni úr kerfinu og notandi getur að auki fjarlægt aðganginn í stillingum eigin Microsoft-reiknings. Rofni tengingin, til dæmis vegna þess að heimild er afturkölluð hjá veitunni, hættir Telva að senda og lætur félagið vita í kerfinu. Póstur fer þá ekki frá netfangi Telvu í staðinn.

Um upplýsingar sem berast frá Google gildir eftirfarandi yfirlýsing, sem Google krefst:

Telva's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Það þýðir í stuttu máli að Telva notar upplýsingar frá Google aðeins til að veita sendingarvirknina sem notandinn sér í viðmótinu. Telva flytur þær ekki til annarra nema til að veita þá virkni með samþykki notandans, af öryggisástæðum, til að fara að lögum eða við samruna eða sölu eigna að fengnu skýru samþykki. Telva leyfir ekki að fólk lesi þær nema notandi hafi samþykkt það sérstaklega eða öryggi eða lög krefjist þess. Telva selur þær ekki, notar þær ekki í auglýsingar og ekki til að meta lánshæfi. Sjá Google API Services User Data Policy.

6. Vinnsluaðilar

Þessir aðilar koma að þjónustu Telvu með ólíkum hætti. Hvaða aðilar vinna gögn félags fer eftir uppsetningu, tengingum og þeim einingum sem það notar.

• VercelHýsing og afhending vefsins og kerfisins, og mælingar á notkun vefsins
• ResendTölvupóstur, þar á meðal tilkynning til Telvu um erindi af vefnum
• SupabaseGagnageymsla kerfisins
• CloudflareNetþjónusta
• Microsoft AzureTenging við Business Central
• AnthropicVinnsla með gervigreind í kerfinu
• GitHubFrumkóði og útgáfa
• Google WorkspaceTölvupóstkerfi Telvu, þar sem erindi af vefnum berast
• Google og MicrosoftAðeins þegar félag tengir pósthólf sitt, samkvæmt kaflanum um pósttengingu hér að ofan

Sumir þessara aðila eru bandarísk félög. Vinnsla eða aðgangur getur því átt sér stað utan Evrópska efnahagssvæðisins. Slíkur flutningur verður að byggjast á heimild samkvæmt persónuverndarlögum, svo sem stöðluðum samningsákvæðum eða aðild að EU-U.S. Data Privacy Framework. Resend lýsir því í vinnslusamningi sínum að það sé aðili að rammanum. Nánari upplýsingar um vernd við flutning veitir Telva sé þess óskað.

7. Hversu lengi upplýsingar eru geymdar

• Erindi af vefnum eru geymd ekki lengur en þörf krefur vegna samskipta við sendanda.
• Vercel Web Analytics: lotu gests er fargað sjálfkrafa eftir 24 klukkustundir.
• Pósttenging: sendiheimildin er geymd þar til tengingin er aftengd. Við aftengingu er hún fjarlægð úr kerfinu.
• Gögn félaga í kerfinu: varðveislutími ræðst af uppsetningu og þjónustusamningi hvers félags.
• Sendingarskrá og dulkóðuð bréf: varðveisla fylgir varðveislutíma gagna félagsins í kerfinu, samkvæmt línunni hér á undan.

8. Réttindi og kvartanir

Einstaklingur sem Telva vinnur upplýsingar um á rétt á aðgangi að þeim, leiðréttingu, eyðingu og takmörkun á vinnslu. Viðkomandi má andmæla vinnslu sem byggist á lögmætum hagsmunum og fá gögn afhent á skipulegu sniði. Hafi vinnslan byggst á samþykki má afturkalla það hvenær sem er.

Erindi um réttindi berast á telva@telva.is. Svar berst innan mánaðar frá því að erindið berst. Gildi erindið gögn sem félag hefur skráð í kerfið þarf að snúa sér til þess félags, sem er ábyrgðaraðili þeirra gagna.

Hver sem telur vinnslu brjóta gegn persónuverndarlögum getur kvartað til Persónuverndar: personuvernd.is.

9. Breytingar á stefnunni

Breytist vinnslan er þessi síða uppfærð og dagsetningin efst breytt. Verði breyting á notkun upplýsinga frá Google sem notandi hefur ekki þegar samþykkt er samþykkis aflað á ný áður en upplýsingarnar eru notaðar á nýjan hátt.