Persónuverndarstefna

Við vinnslu gagna í kerfinu skiptist ábyrgðin í tvennt á grundvelli laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga:

Við sem ábyrgðaraðili (Data Controller): Við erum ábyrgðaraðili þegar kemur að persónuupplýsingum sem tengjast notendum kerfisins hjá tilkynningarskyldum aðilum (svo sem innskráningarupplýsingar, tölvupóstar, nafn og samskiptasaga).

Notandinn (tilkynningarskyldi aðilinn) sem ábyrgðaraðili: Þegar þú notar kerfið til að framkvæma áreiðanleikakönnun á þínum viðskiptavinum, þá ert þú ábyrgðaraðili þeirra gagna. Kerfið starfar þá sem vinnsluaðili (Data Processor) fyrir þína hönd. Með því að nota kerfið samþykkir þú vinnslusamning okkar sem tryggir örugga vinnslu þeirra gagna.

Kerfið vinnur með eftirfarandi flokka persónuupplýsinga á mismunandi lagagrundvelli:

A. Upplýsingar um notendur kerfisins (starfsfólk tilkynningarskyldra aðila):

Gögn: Nafn, tölvupóstfang, símanúmer, kennitala, tengsl við fyrirtæki, og — í öryggisskyni — IP-tala og áætluð landfræðileg staðsetning við innskráningu.

Tilgangur: Til að halda utan um aðgangsstýringu, auðkenningu, innskráningu og samskipti vegna kerfisins, og til að greina óvenjulega eða grunsamlega innskráningarhegðun (t.d. innskráningu frá tveimur fjarlægum stöðum á stuttum tíma).

Lagagrundvöllur: Uppfylling samnings og lögmætir hagsmunir (upplýsingaöryggi).

B. Upplýsingar um viðskiptavini tilkynningarskyldra aðila (KYC/CDD gögn):

Gögn: Nafn, kennitala, heimilisfang, ríkisfang, upplýsingar um raunverulega eigendur (UBO), athuganir á þvingunarlistum, staða stjórnmálalega tengdra aðila (PEP) og skjöl tengd uppruna fjármagns. Þetta á einnig við um þá sem koma fram fyrir hönd viðskiptavinar, svo sem þann sem undirritar spurningalista hans með rafrænum skilríkjum.

Tilgangur: Að gera notanda kleift að framkvæma lögbundna áreiðanleikakönnun (KYC/CDD) og áhættumat.

Lagagrundvöllur: Lagaskylda sem hvílir á notanda kerfisins samkvæmt lögum nr. 140/2018 (peningaþvættislög).

C. Tilkynningar um grunsamleg viðskipti (SAR):

Gögn: Nafn, kennitala, upplýsingar um viðkomandi bankareikning og önnur gögn sem liggja til grundvallar tilkynningu til Skrifstofu fjármálagreiningar lögreglu (SFL) um grunsamleg viðskipti.

Tilgangur: Að gera notanda kleift að uppfylla tilkynningarskyldu sína samkvæmt lögum nr. 140/2018.

Lagagrundvöllur: Lagaskylda sem hvílir á notanda kerfisins samkvæmt 21. gr. laga nr. 140/2018. Athugið: tilvist og efni slíkrar tilkynningar er sérstaklega lögverndað skv. 27. gr. sömu laga (bann við upplýsingagjöf) — sjá nánar undir lið 5 hér að neðan um takmörkun á réttindum þínum vegna þessa.

Við nýtum trausta þriðju aðila til að hýsa kerfið og veita nauðsynlega innviðaþjónustu. Meginhýsing og -vinnsla gagna fer fram innan Evrópska efnahagssvæðisins (EES). Fyrir tiltekna, afmarkaða þjónustu (talin upp hér að neðan) getur vinnsla farið fram utan EES; hvaða yfirfærslugrundvöllur á við fer eftir eðli hverrar þjónustu og er tilgreint sérstaklega þar sem það á við:

Gagnahýsing og skýjaþjónusta: Gögn kerfisins eru vistuð í lokuðu og öruggu skýjaumhverfi hjá viðurkenndum hýsingaraðila innan Evrópska efnahagssvæðisins (EES). Öll gögn eru dulkóðuð í hvíld og í flutningi, og innviðirnir uppfylla ströngustu alþjóðlegu öryggisvottanirnar (t.d. ISO 27001).

Rafræn auðkenning og undirskriftir: Auðkenning notenda og undirritun skjala fer fram í gegnum Auðkenni, sem tryggir örugga og lagalega bindandi auðkenningu.

Kerfispóstar: Sendingar á sjálfvirkum tölvupóstum (svo sem vegna endurstillingar á lykilorði eða tilkynninga) fara í gegnum örugga og dulkóðaða póstþjónustu.

Greiðslu- og áskriftarþjónusta: Umsýsla áskrifta og greiðslna fer fram í gegnum Kling, sem tekur við nafni, netfangi og greiðsluupplýsingum notanda. Kortaupplýsingar sjálfar eru ekki varðveittar af okkur.

Gervigreindarþjónusta: Þegar gervigreind er notuð til stuðnings við greiningu — hvort sem er að frumkvæði notanda (t.d. spjallaðstoð) eða sjálfvirkt sem hluti af reglubundinni vöktun (t.d. mat á fjölmiðlaumfjöllun) — eru viðeigandi textar unnir í gegnum Anthropic. Sérstakur vinnslusamningur (DPA) tryggir að gögnin séu ekki notuð til að þjálfa mállíkön og að þeim sé eytt strax að vinnslu lokinni. Hvorki kennitölur né gögn úr SAR-tilkynningum eru send til þessa þjónustuaðila. Fyrirhugað er að þessi vinnsla fari að hluta eða öllu leyti fram í gegnum AWS Bedrock í náinni framtíð — sömu takmarkanir (engin notkun til þjálfunar mállíkana, eyðing strax að vinnslu lokinni) munu þá gilda samkvæmt samsvarandi vinnslusamningi við Amazon Web Services.

Opinberar og alþjóðlegar gagnaleitir (OSINT): Notandi getur að eigin frumkvæði óskað eftir víðtækari bakgrunnsleit á fyrirtæki eða einstaklingi, þar sem nafn viðkomandi er borið saman við opinberar heimildir á borð við ICIJ Offshore Leaks og OpenCorporates. Þessi þjónusta er ekki sjálfvirkur hluti af hefðbundinni áreiðanleikakönnun. ICIJ er staðsett utan EES (í Bandaríkjunum); miðlun til þeirra byggir á að fyrirspurnin (nafn) sé nauðsynleg til að framkvæma umbeðna leit.

Gögnum er ekki breytt eða eytt handahófskennt, þar sem starfsemi kerfisins lýtur ströngum lagakröfum:

AML/KYC gögn (áskrift): Gögn tengd áreiðanleikakönnunum eru geymd á meðan áskrift Notanda er virk. Við uppsögn gefst Notanda 60 daga frestur til að flytja út öll gögn úr kerfinu. Að þeim tíma liðnum áskiljum við okkur rétt til að eyða gögnunum varanlega, og við eyðum þeim fyrr ef Notandi óskar þess. Lagaleg skylda til að varðveita AML/KYC gögn í að lágmarki 5 ár skv. 28. gr. laga nr. 140/2018 hvílir á Notanda sem ábyrgðaraðila, og það er á hans höndum að uppfylla hana með útflutningi eða geymslu á öðrum stað.

Stakt sjálfsmat (einskiptiskaup): Fyrir einskiptiskaup án áskriftar geymum við PDF-skýrslur og tengd gögn í að lágmarki 5 ár frá kaupdegi, svo að Notandi geti uppfyllt skyldu sína til að varðveita áhættumat í fimm ár frá útgáfu (1. mgr. 11. gr. reglugerðar nr. 545/2019). Ólíkt áskriftargögnum er þessum gögnum ekki eytt eftir 60 daga. Gögnin eru eingöngu aðgengileg þeim notanda sem keypti og varðveitt með sama öryggisstigi og önnur KYC-gögn í kerfinu. Að þeim tíma liðnum áskiljum við okkur rétt til að eyða gögnunum varanlega.

Aðgangsgögn notenda: Þegar Notandi eyðir aðgangi sínum eru nafn, tölvupóstfang og innskráningarupplýsingar afmáð samstundis. Gögn sem Notandi skráði um viðskiptavini sína fylgja reglunum hér að ofan, og bókhaldsgögn eru varðveitt eins og bókhaldslög krefjast.

Samkvæmt persónuverndarlögum átt þú ákveðin réttindi varðandi þínar upplýsingar. Athugið að ef um er að ræða gögn um viðskiptavini notanda kerfisins, verður að beina þeim erindum beint til viðkomandi notanda (ábyrgðaraðila).

Þú átt rétt á að:

• Fá aðgang að þeim persónuupplýsingum sem við vinnum um þig sem ábyrgðaraðili.
• Fá rangar eða úreltar upplýsingar leiðréttar.
• Óska eftir eyðingu gagna þinna (rétturinn til að gleymast), að því tilskildu að lagaskylda (svo sem 5 ára geymsluskylda peningaþvættislaga) krefjist ekki áframhaldandi varðveislu.
• Andmæla vinnslu eða biðja um takmörkun á vinnslu.

Sérstök takmörkun vegna tilkynninga um grunsamleg viðskipti (SAR): Samkvæmt 27. gr. laga nr. 140/2018 er óheimilt að upplýsa þann sem tilkynning fjallar um að slík tilkynning hafi verið gerð eða sé til skoðunar (svokölluð „tipping-off“-regla). Réttindi þín samkvæmt þessum lið eru af þeim sökum takmörkuð að því leyti sem það varðar slík gögn, sbr. heimild til takmörkunar í 4. mgr. 17. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sem m.a. tekur til aðgerða til að koma í veg fyrir, rannsaka eða koma upp um refsiverð brot. Við getum af þessum sökum hvorki staðfest né neitað tilvist SAR-tilkynningar sem hluta af beiðni um aðgang, leiðréttingu eða eyðingu.

Við höfum gripið til viðeigandi tæknilegra og skipulagslegra öryggisráðstafana til að vernda persónuupplýsingar þínar gegn glatningu, misnotkun eða óleyfilegum aðgangi. Þetta felur meðal annars í sér dulkóðun gagna í flutningi og í hvíld, ásamt ströngum aðgangsstýringum.

Ef þú hefur einhverjar spurningar um persónuverndarstefnu þessa, eða vilt neyta réttinda þinna, getur þú sent okkur póst á [email protected].

Þú átt einnig ávallt rétt á að leggja fram kvörtun til Persónuverndar (www.personuvernd.is) ef þú telur að vinnsla okkar á persónuupplýsingum brjóti í bága við gildandi lög.