Með persónuverndaryfirlýsingu þessari er greint frá því hvernig SORPA bs., kt. 510588-1189, Köllunarklettsvegi 1, 104 Reykjavík, sem ábyrgðaraðili (hér eftir „SORPA“, „byggðasamlagið“ eða „við“) stendur að vinnslu persónuupplýsinga um viðskiptavini og aðra einstaklinga í tengslum við starfsemi byggðasamlagsins.
Öflug persónuvernd er SORPU kappsmál og leggur byggðasamlagið mikla áherslu á að virða réttindi einstaklinga og að öll meðferð persónuupplýsinga sé ávallt í samræmi við gildandi lög og reglur um persónuvernd, sem nú eru lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga (hér eftir „persónuverndarlög“).
Hjá SORPU starfar persónuverndarfulltrúi sem hægt er að leita til með fyrirspurnir, ábendingar eða athugasemdir með því að senda póst á netfangið personuvernd@sorpa.is eða hringja í síma 520-2200.
Hjá SORPU er unnið með persónuupplýsingar í tengslum við rekstur og þjónustu byggðasamlagsins. Yfirlýsing þessi gildir um vinnslu sem SORPA hefur með höndum um viðskiptavini, forsvarsmenn og starfsfólk viðskiptavina ef um lögaðila er að ræða, aðra sem hafa samband við byggðasamlagið eða heimsækja starfsstöðvar eða nota vefsvæði SORPU (vefsíðu Góða hirðisins, vefsíðu SORPU og þjónustuvef), verktaka, birgja og samstarfsaðila (einnig vísað til sem „þú“).
Um vinnslu á persónuupplýsingum starfsumsækjenda og starfsmanna SORPU er fjallað um í sérstökum persónuverndaryfirlýsingum.
Söfnun og vinnsla persónuupplýsinga er forsenda þess að SORPA geti veitt þér eða fyrirtækjum, sem þú starfar hjá eða ert í forsvari fyrir, þá þjónustu sem óskað hefur verið eftir. Ólíkum persónuupplýsingum kann að vera samband eftir eðli viðskiptasambandsins.
SORPA vinnur, eins og við á hverju sinni, einkum eftirfarandi persónuupplýsingar um einstaklinga í viðskiptum við byggðasamlagið:
SORPA vinnur, eins og við á hverju sinni, einkum eftirfarandi persónuupplýsingar um einstaklinga sem veita byggðasamlaginu þjónustu eða koma fram fyrir hönd lögaðila sem SORPA á í samningssambandi við:
Þá styðst vefsvæði SORPU við vefkökur, sem eru litlar textaskrár sem komið er fyrir í tölvu eða snjalltæki notanda, sem safna persónuupplýsingum sem nauðsynlegar eru fyrir virkni vefsvæðis byggðasamlagsins og markaðssetningu. Nánari upplýsingar um vefkökur má finna á vefsíðu SORPU í sérstökum vefkökuborða þar sem hægt er að leyfa eða hafna vefkökum.
Öll vinnsla SORPU á persónuupplýsingum fer fram í skýrum, yfirlýstum og málefnalegum tilgangi. SORPA vinnur aðallega með persónuupplýsingar þínar í þeim tilgangi að:
Persónuupplýsingar sem SORPA vinnur eru oftast fengnar beint frá þér, t.d. þegar þú:
Jafnframt lætur þú af hendi persónuupplýsingar með óbeinum hætti, s.s. þegar þú:
Í öðrum tilfellum kunna persónuupplýsingar þínar að berast okkur frá þriðja aðila, s.s. lögaðila sem er í viðskiptum við byggðasamlagið, samstarfs- og vinnsluaðilum, fjárhagsupplýsingastofum eins og Creditinfo eða opinberum aðilum, s.s. Þjóðskrá Ísland og Samgöngustofu þegar fyrrnefndir aðilar hafa heimild til miðlunar slíkra upplýsinga. Áður en persónuupplýsinga er aflað frá þriðja aðila leitast byggðasamlagið eftir að upplýsa þig um slíkt.
Neitir þú að afhenda SORPU persónuupplýsingar eða andmælir vinnslu þeirra getur það haft áhrif á það hvernig byggðasamlagið veitir þér þjónustu.
4. Hvaða heimild höfum við til að vinna með persónuupplýsingar þínar?
Söfnun og vinnsla persónuupplýsinga þinna fer fram þar sem hún er nauðsynleg til að gera eða efna samning milli þín og SORPU eða fullnægja lagaskyldu í samræmi við 2. og 3. tl. 1. mgr. 9. gr. persónuverndarlaga.
Í ákveðnum tilvikum óskar SORPA eftir upplýstu samþykki þínu fyrir vinnslu persónuupplýsinga í samræmi við kröfur persónuverndarlaga. Í þeim tilvikum getur þú hvenær sem er dregið veitt samþykki til baka og er þá þeirri vinnslu sem samþykkið nær til hætt. Afturköllun samþykkis hefur þó ekki áhrif á vinnslu persónuupplýsinga fram að afturkölluninni.
Í ákveðnum tilvikum er unnið með persónuupplýsingar vegna þess að SORPA, þú sjálfur eða þriðji aðili hefur lögmæta hagsmuni af því að upplýsingar séu unnar. Slík vinnsla fer einungis fram ef hagsmunir SORPU og/eða þriðja aðila af því að vinnslan fari fram vegi þyngra en einkalífshagsmunir þínir að undangengnu sérstöku hagsmunamati þar um. Eftirfarandi vinnsluaðgerðir fara fram á grundvelli lögmætra hagsmuna:
Almennt vinnur SORPA ekki með viðkvæmar persónuupplýsingar um þá einstaklinga sem þessi persónuverndaryfirlýsing nær til en það er ekki útilokað t.d. ef upplýsingar um slys verða til í tengslum við rafræna vöktun með öryggismyndavélum. Ef SORPA vinnur viðkvæmar persónuupplýsingar í samræmi við framangreint byggir vinnsla viðkvæmra persónuupplýsinga ávallt á skýrri heimild í 11. gr. persónuverndarlaga t.d. afdráttarlausu samþykki, lagaheimild eða vegna laganauðsynja.
5. Með hverjum deilum við persónuupplýsingum þínum og af hverju?
Persónuupplýsingar um þig geta verið afhentar til þriðju aðila ef slíkt skylt samkvæmt lögum, s.s. til stjórnvalda, löggæslu- og skattyfirvalda eða dómstóla. Á grundvelli lagaskyldu er SORPU t.a.m. skylt að skila skjölum og gögnum til Þjóðskjalasafns Íslands á grundvelli laga nr. 77/2014 um opinber skjalasöfn.
Að auki kann SORPA að veita þriðju aðilum aðgang að persónuupplýsingum þegar það er nauðsynlegt vegna rekstrar og þjónustu. Þetta á við um aðila sem veita upplýsingatækniþjónustu, annast hýsingu kerfa eða veita aðra þjónustu sem tengist vinnslu persónuupplýsinga og er hluti af starfsemi SORPU. Dæmi um slíka aðila eru fjárhagsupplýsingastofur (s.s. Creditinfo), innheimtuaðilar og greiðslumiðlunarfyrirtæki. Í vissum tilvikum geta slíkir aðilar talist vera vinnsluaðilar og gerir SORPA þá vinnslusamning við viðkomandi aðila, þar sem trúnaður og öryggi þeirra persónuupplýsinga sem unnið er með er tryggt, í samræmi við kröfur persónuverndarlaga.
Fjárhagsupplýsingastofur geta fengið aðgang að upplýsingum þegar framkvæma þarf lánshæfismat í tengslum við reikningsviðskipti eða ef skráning í vanskilaskrá verður nauðsynleg vegna vangoldinna krafna. Ef til innheimtu kemur vegna krafna SORPU getur byggðasamlagið einnig þurft að miðla persónuupplýsingum til samstarfsaðila sem aðstoða SORPU við innheimtu Ennfremur kann SORPA að miðla persónuupplýsingum þínum til greiðslumiðlunarfyrirtækja, svo sem banka eða kortafyrirtækja, til að hægt sé að ljúka greiðslu fyrir umsamda vöru eða þjónustu — meðal annars í tengslum við samningssamband þitt við SORPU, eða ef þú ert tengiliður fyrir fyrirtæki sem hefur slíkt samband.
Framangreindir þriðju aðilar kunna að vera staðsettir utan Íslands. SORPA miðlar þó ekki persónuupplýsingum utan Evrópska efnahagssvæðisins nema slíkt sé í samræmi við ákvæði persónuverndarlaga, s.s. á grundvelli staðlaðra samningsskilmála framkvæmdastjórnar Evrópusambandsins eða auglýsingar Persónuverndar um ríki sem veita persónuupplýsingum fullnægjandi vernd.
Með notkun á samfélagsmiðlasíðum SORPU, s.s. Facebook, safnast tölfræðiupplýsingar um heimsóknir á síðuna sem byggðasamlagið vinnur ásamt viðkomandi samfélagsmiðlaþjónustu. Í tengslum við þá vinnslu koma aðilar fram sem svokallaðir sameiginlegir ábyrgðaraðilar. Við hvetjum þig því til að kynna þér vel persónuverndaryfirlýsingar þeirra.
6. Hver eru réttindi þín samkvæmt persónuverndarlögum?
Persónuverndarlög veita öllum einstaklingum þ.m.t. viðskiptavinum, og öðrum sem SORPA kann að vinna persónuupplýsingar um, ákveðin réttindi. Þú átt almennt rétt á að:
Réttindi þín eru ekki fortakslaus og lög eða reglugerðir kunna að heimila eða skylda SORPU til að hafna beiðni þinni um að nýta þér umrædd réttindi. Réttur þinn til að andmæla vinnslu persónuupplýsinga þinna vegna beinnar markaðssetningar er þó ávallt fortakslaus.
Þú hefur einnig rétt á að leita til persónuverndarfulltrúa byggðasamlagsins og/eða leggja fram kvörtun hjá Persónuvernd teljir þú SORPU ekki vinna persónuupplýsingar þínar í samræmi við persónuverndarlög. Netfang persónuverndarfulltrúa er personuvernd@sorpa.is. Upplýsingar um Persónuvernd má finna á heimasíðu stofnunarinnar, www.personuvernd.is.
7. Hversu lengi geymum við persónuupplýsingar um þig?
SORPA varðveitir aðeins persónuupplýsingar eins lengi og þörf krefur miðað við tilgang vinnslunnar, í samræmi við ákvæði laga og varðveislustefnu byggðasamlagsins. Almennt eru persónuupplýsingar varðveittar á meðan á viðskiptasambandi stendur, eins lengi og lög kveða á um eða lögmætir hagsmunir félagsins krefjast og málefnaleg ástæða gefur tilefni til. Sem dæmi er persónuupplýsingum sem verða til við rafræna vöktun sjálfvirkt eytt að 30 dögum liðnum, nema lög kveði á um annað eða laganauðsyn krefji s.s. til að geta stofnað, haft uppi og eftir atvikum varið réttarkröfur, einkum í dómsmáli.
SORPA hefur afhendingarskyldu á grundvelli laga nr. 77/2014 um opinber skjalasöfn og eftir atvikum annarra lagaákvæða sem gilda um vistun gagna byggðasamlagsins. Það þýðir að SORPU er óheimilt að ónýta eða farga nokkru skjali sem fellur undir gildissvið laganna, nema með lagaheimild eða sérstakri heimild þjóðskjalavarðar. Almennt er gögnum og skjölum skilað til Þjóðskjalasafns að 30 árum liðnum frá tilurð þeirra.
8. Öryggi persónuupplýsinga þinna
SORPA leggur ríka áherslu á að tryggja öryggi persónuupplýsinga og hefur innleitt skipulagslegar og tæknilegar öryggisráðstöfunum í þeim tilgangi. Dæmi um slíkar ráðstafanir eru aðgangsstýringar og aðgerðaskráning í upplýsingakerfum og hugbúnaði, notkun eldveggja, örugg innskráning svo dæmi séu tekin auk þess sem starfsfólk fær reglulega þjálfun og fræðslu um persónuvernd og upplýsingaöryggi. Þessum ráðstöfunum er ætlað að koma í veg fyrir mannleg mistök, þjófnað og svik og vernda öll gögn gegn óleyfilegum aðgangi, glötun, eyðileggingu, breytingum fyrir slysni og ólögmætri notkun.
SORPA leggur áherslu á að takmarka skuli aðgang að persónuupplýsingum við þá starfsmenn sem nauðsynlega þurfa slíkan aðgang starfa sinna vegna. Starfsfólk SORPU er jafnframt skylt til að gæta trúnaðar og tryggja öryggi persónuupplýsinga á meðan og eftir að það lætur af störfum fyrir SORPU.
SORPA hefur skjalfest verklag til að tryggja lögmæta meðferð og öryggi persónuupplýsinga þ.m.t. um skilvirk viðbrögð við öryggisbrestum eða öryggisatvikum sem og tilkynningarskyldu. Í slíkum tilvikum er Persónuvernd, viðeigandi eftirlitsstofnunum og eftir atvikum einstaklingum tilkynnt um öryggisbrest í samræmi við persónuverndarlög.
9. Sjálfvirk ákvarðanataka
Ef til þess kemur að SORPA útbúi persónusnið um þig s.s. til að meta eða spá fyrir um ákveðna þætti er varða hagi þína, hegðun eða þjónustunotkun mun byggðasamlagið ávallt tryggja að slík vinnsla fari fram samkvæmt ákvæðum persónuverndarlaga. Sjálfvirk ákvarðanataka og gerð persónusniðs sem hefur mikil áhrif á hagsmuni þína fer einungis fram á grundvelli viðeigandi heimilda þ.m.t samþykkis.
10. Markpóstar
SORPA kann að senda út tilkynningar með fréttum af starfseminni á viðskiptavini eða tengiliði viðskiptavina og aðra þá sem sérstaklega hafa skráð sig á tölvupóstlista byggðasamlagsins. Vinnsla tölvupóstfanga í þeim tilgangi er byggð á lögmætum hagsmunum SORPU af markaðssetningu og því að tryggja viðskiptavinum fyrirmyndar þjónustu.
Ef þú óskar ekki eftir því að vera á tölvupóstlista SORPU getur þú ávallt afskráð þig með því að smella afskráningarhlekk sem fylgir sérhverjum tölvupósti. Þá minnir SORPA jafnframt tengiliði tölvupósta reglulega á rétt þeirra til afskráningar af tölvupóstlistanum.
11. Rafræn vöktun með öryggismyndavélum
Rafræn vöktun fer fram með öryggismyndavélum á starfsstöðvum SORPU og við önnur mannvirki byggðasamlagsins, s.s. við endurvinnslustöðvar, móttöku- og flokkunarstöðvar, urðunarstaði, grenndarstöðvar og húsnæði Góða hirðisins. Vöktunin fer fram á grundvelli lögmætra hagsmuna SORPU í þágu öryggis- og eignavörslu. Þá eru persónuupplýsingar sem safnast við rafræna vöktun einungis notaðar í þágu yfirlýsts tilgangs með söfnun þeirra og ekki afhentar öðrum en löggæsluyfirvöldum vegna lögreglurannsóknar eða öðrum aðilum á grundvelli skýrrar heimildar, t.d. vátryggingafélögum vegna tjónamála.
Rafræn vöktun samkvæmt framangreindu fer fram á grundvelli lögmætra hagsmuna byggðasamlagsins í þeim tilgangi að tryggja öryggi og eignavörslu. Efni sem safnast við rafræna vöktun er ekki varðveitt lengur en reglur Persónuverndar heimila, eða í 30 daga, nema skýr heimild sé til staðar fyrir lengri varðveislu.
Strangar aðgangstakmarkanir gilda um aðgang að efni sem safnast við rafræna vöktun öryggismyndavéla og það er eingöngu skoðað ef laganauðsyn er til staðar t.d. í tilefni af ágreiningi, slysi, innbroti, ef uppi er grunur um refsiverða háttsemi eða í þágu innra eftirlits.
Persónuupplýsingar sem verða til við notkun öryggismyndavéla verða einungis notaðar ef upp koma atvik er varða eignavörslu eða öryggi einstaklinga, s.s. þjófnaður, skemmdaverk eða slys. Þær má ekki afrita eða afhenda öðrum aðila, nema á grundvelli lagaheimildar, samþykki skráðra aðila eða samkvæmt ákvörðun Persónuverndar hverju sinni. Persónugreinanlegar myndupptökur eru því almennt ekki afhentar öðrum en lögreglu og þá ef um slys eða meintan refsiverðan verknað er að ræða. Þá kann myndupptökum jafnframt að vera miðlað í þeim tilgangi að SORPA geti stofnað, haft uppi og eftir atvikum varið réttarkröfur. Í þeim tilvikum sem unnið er með myndupptökur í þeim tilgangi er, eins og nauðsyn krefur, heimilt að veita stjórnendum, lögmönnum og tryggingarfélagi SORPU og gagnaðila, auk dómstóla, aðgang að myndefninu.
Á endurvinnslustöðvum SORPU skrá myndavélar inn- og útakstur bifreiða og bílnúmer ökutækja með sérstökum bílnúmeragreini í þágu greiningar á samsetningu gesta og mats á dreifingu viðskiptavina. Í framhaldi eru upplýsingar um skráð ökutæki sóttar úr ökutækjaskrá, s.s. tegund, flokkun og burðargetu ökutækis, hvort eigandi/umráðamaður sé einstaklingur eða lögaðili, sem og póstnúmer aðseturs. Upplýsingar um ökutæki eru varðveittar í að hámarki 7 daga á persónugreinanlegu formi, en að þeim tíma liðnum er þeim umbreytt í ópersónugreinanleg tölfræðigögn. Framangreind vinnsla fer fram á grundvelli lögmætra hagsmuna SORPU í þeim tilgangi að betrumbæta og þróa þjónustu SORPU.
Nánari upplýsingar um notkun öryggismyndavéla, framkvæmd rafrænnar vöktunar, meðferð myndefnis og réttindi einstaklinga er hægt að nálgast í sértækri fræðslu sem aðgengileg er á vefsíðu SORPU.
12. Endurskoðun og uppfærslur
SORPA áskilur sér rétt til að endurskoða persónuverndaryfirlýsingu þessa reglulega og uppfæra eftir þörfum. Ef um efnislega uppfærslu er að ræða mun þér verða tilkynnt um slíkt áður en uppfærð yfirlýsing tekur gildi. Minni háttar breytingar s.s. orðalagsbreytingar taka gildi við birtingu á vefsvæði SORPU.
Yfirlýsing þessi var síðast uppfærð þann 6. maí 2025.
