Persónuverndarstefna

Síðast uppfært 21. september 2026 · VAKTO ehf., kt. 490806-0400 · hallo@vakto.is

VAKTO er vakta- og launakerfi fyrir vinnustaði. Þessi stefna lýsir því hvaða persónuupplýsingar VAKTO ehf., kt. 490806-0400 („VAKTO“, „við“) vinnur, í hvaða tilgangi, hversu lengi og hvaða réttindi þú hefur. Hún byggir á lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðinni (GDPR).

1. Tvö hlutverk: ábyrgðaraðili og vinnsluaðili

Ábyrgðaraðili. Þegar þú stofnar aðgang, heimsækir vakto.is, notar spjallið á heimasíðunni eða hefur samband við okkur er VAKTO ehf. ábyrgðaraðili þeirra upplýsinga.

Vinnsluaðili. Þegar fyrirtæki (viðskiptavinur okkar) skráir starfsfólk sitt, vaktir, stimplanir og launaupplýsingar í VAKTO er fyrirtækið ábyrgðaraðili og VAKTO vinnsluaðili sem vinnur upplýsingarnar eingöngu samkvæmt fyrirmælum þess. Vinnslusamningur (DPA) er hluti af skilmálum þjónustunnar. Starfsfólk sem hefur spurningar um eigin upplýsingar í VAKTO ætti fyrst að leita til vinnuveitanda síns.

2. Hvaða upplýsingar við vinnum

Um viðskiptavini og notendur (VAKTO er ábyrgðaraðili)

• Aðgangsupplýsingar: nafn, netfang, lykilorð (geymt dulkóðað/hashað), hlutverk og fyrirtæki.
• Fyrirtækisupplýsingar: nafn, kennitala, heimilisfang, sími, netfang, áskriftarleið og greiðslustaða.
• Notkunar- og öryggisskrár: innskráningar, IP-tala, tegund vafra, tímastimplar og aðgerðaskrá (audit log) í kerfinu.
• Samskipti: skilaboð sem þú sendir okkur í tölvupósti eða í spjallinu á heimasíðunni, þ.m.t. nafn og netfang ef þú biður um að tala við manneskju.

Um starfsfólk viðskiptavina (VAKTO er vinnsluaðili)

• Starfsmannaupplýsingar sem vinnuveitandi skráir: nafn, kennitala, netfang, sími, staða, deild, starfshlutfall, ráðningardagur, launaform, launataxti, kjarasamningur, stéttarfélag, lífeyrissjóður, bankaupplýsingar ef þær eru skráðar, prófílmynd.
• Vaktir, stimplanir (inn/út, tími, uppruni: sími eða kiosk), frávik, fríbeiðnir, vaktaskipti, tímabanki og orlofsstaða.
• Launaútreikningar og launakeyrslur, útflutningsskrár í launakerfi (Payday, DK, Excel).
• Skjöl: ráðningarsamningar (þ.m.t. rafrænt samþykki með nafni, tímastimpli og innskráningu), handbækur og önnur skjöl sem vinnuveitandi hleður upp.
• Spjall og fréttaveita innan fyrirtækisins: skilaboð, myndir, talskilaboð, viðbrögð, athugasemdir og lesstaða.
• Starfsmannaskírteini: nafn, staða, deild, starfsmannanúmer og QR-kóði. Sé skírteinið sett í Apple Wallet eða Google Wallet gilda skilmálar Apple/Google um geymslu þess í símanum.
• Push-tilkynningar: auðkenni tækis (push subscription) ef starfsmaður kveikir á tilkynningum.

VAKTO safnar ekki staðsetningargögnum (GPS) og notar engar greiningar- eða auglýsingavafrakökur á vakto.is. Sjá vafrakökur.

3. Tilgangur og lagagrundvöllur

• Að veita þjónustuna (vaktaplan, stimpilklukka, laun, spjall, skjöl): efndir samnings (6. gr. 1. mgr. b GDPR) og fyrir starfsfólk: fyrirmæli ábyrgðaraðila í vinnslusamningi.
• Öryggi, aðgangsstýring, aðgerðaskrá og varnir gegn misnotkun: lögmætir hagsmunir (6. gr. 1. mgr. f).
• Reikningagerð og bókhald: lagaskylda (6. gr. 1. mgr. c), m.a. bókhaldslög.
• Spjallið á heimasíðunni: lögmætir hagsmunir af því að svara fyrirspurnum. Samtöl eru send til gervigreindarþjónustu (sjá kafla 5) og geymd í allt að 12 mánuði.
• Tölvupóstar um þjónustuna (t.d. plan birt, samningur bíður, prufa að renna út): efndir samnings. Við sendum ekki markaðspóst nema með samþykki.

4. Hvar gögnin eru geymd

Öll gögn eru geymd á Evrópska efnahagssvæðinu. Gagnagrunnur og skráageymsla eru hjá Supabase í gagnaveri á Írlandi (AWS eu-west-1). Vefþjónninn keyrir hjá Vercel í Dublin. Öll samskipti eru dulkóðuð (TLS) og gögn í hvíld eru dulkóðuð. Aðgangur að gögnum er afmarkaður við fyrirtæki (row level security) og hlutverk notanda.

5. Vinnsluaðilar (undirvinnsluaðilar)

Við tilkynnum viðskiptavinum um breytingar á undirvinnsluaðilum með a.m.k. 30 daga fyrirvara.

6. Varðveislutími

• Gögn viðskiptavinar eru geymd á meðan áskrift er virk. Við uppsögn getur viðskiptavinur flutt gögnin út (Excel/PDF). Gögnum er eytt innan 90 daga frá lokum áskriftar nema lög krefjist lengri varðveislu.
• Launa- og bókhaldsgögn sem tengjast reikningum VAKTO: 7 ár samkvæmt bókhaldslögum.
• Aðgerðaskrá og öryggisskrár: allt að 12 mánuðir.
• Samtöl í spjalli heimasíðunnar: allt að 12 mánuðir.

7. Réttindi þín

Þú átt rétt á aðgangi að upplýsingum um þig, leiðréttingu, eyðingu, takmörkun vinnslu, flutningi gagna og að andmæla vinnslu sem byggir á lögmætum hagsmunum. Sé vinnslan byggð á samþykki máttu afturkalla það hvenær sem er. Beiðnir sendast á hallo@vakto.is og við svörum innan 30 daga. Starfsfólk viðskiptavina beinir beiðnum fyrst til vinnuveitanda síns (ábyrgðaraðila); við aðstoðum hann við að svara. Þú getur einnig kvartað til Persónuverndar.

8. Öryggi

Aðgangur er varinn með lykilorðum og innskráningarhlekkjum, allar tengingar eru dulkóðaðar, gögn eru aðskilin milli fyrirtækja í gagnagrunni, kiosk-stimpilklukkan er varin með leynilykli fyrirtækisins og allar mikilvægar aðgerðir eru skráðar í aðgerðaskrá. Verði öryggisbrestur sem varðar persónuupplýsingar tilkynnum við viðskiptavinum án ótilhlýðilegrar tafar og Persónuvernd innan 72 klukkustunda þegar það á við.

9. Börn

Þjónustan er ætluð fyrirtækjum og starfsfólki þeirra. Vinnuveitandi ber ábyrgð á að skráning starfsfólks undir 18 ára sé í samræmi við lög.

10. Breytingar

Við getum uppfært þessa stefnu. Efnislegar breytingar eru tilkynntar viðskiptavinum með tölvupósti eða í kerfinu áður en þær taka gildi. Gildandi útgáfa er alltaf á vakto.is/personuvernd.

11. Samband

VAKTO ehf., kt. 490806-0400, Ísland · hallo@vakto.is