Persónuverndarstefna Málmiðjunnar ehf.

1. Almennt

1.1 Persónuverndarstefna þessi tekur til meðferðar Málmiðjunnar ehf., kt. 681125-0510, Vatnagarðar 22 (hér eftir „félagið“ eða „við“), á persónuupplýsingum. Við leggjum áherslu á persónuvernd og er persónuverndarstefnu þessari ætlað að útskýra hvaða persónuupplýsingum við söfnum, hvernig þær eru notaðar, hvernig öryggi þeirra er tryggt og hver sé réttur þeirra einstaklinga sem unnið er með persónuupplýsingar um (hér eftir „hinn skráði“ eða „hinir skráðu“). Félagið er ábyrgðaraðili við þessa vinnslu persónuupplýsinga.

1.2 Persónuverndarstefna þessi nær til vinnslu þeirra persónuupplýsinga sem unnið er með í tengslum við notkun á vefsíðu, netverslun og pöntunarkerfi félagsins (hér eftir „kerfið“) og öll viðskipti við félagið, hvort sem þau eiga sér stað á netinu eða utan þess.

2. Tegundir persónuupplýsinga sem við öflum

2.1 Við kunnum að safna persónuupplýsingum í tengslum við samskipti okkar við viðskiptavini okkar og eftir atvikum viðskiptasambönd. Ólíkum persónuupplýsingum kann að vera safnað um ólíka aðila og kann vinnsla og söfnun á persónuupplýsingum að fara eftir eðli sambands þeirra við félagið.

2.2 Eftirfarandi eru dæmi um persónuupplýsingar sem við vinnum:

Auðkenningar- og skráningarupplýsingar

2.3 Við kunnum að safna eftirfarandi upplýsingum við skráningu og notkun kerfisins:

• nafn og kennitala þess einstaklings sem skráir sig með rafrænum skilríkum inn á kerfið og hefur aðgang að því (hér eftir „notandi“ eða „notendur“), og eftir atvikum grunnupplýsingar um notanda, svo sem heimilisfang, netfang og símanúmer;
• nafn, kennitala og heimilisfang skráðs fyrirtækis, og eftir atvikum aðrar skráningarupplýsingar, s.s. ÍSAT flokkun;
• starfsheiti og hlutverk notanda innan fyrirtækis; og
• innskráningargögn og auðkenningarfærslur.

Fjárhags- og kreditupplýsingar

2.4 Við kunnum að safna eftirfarandi fjárhags- og kreditupplýsingum um viðskiptavini okkar:

• lánshæfismat og/eða aðrar fjárhagsupplýsingar sem sóttar eru frá Creditinfo við skráningu og eftir þörfum á meðan viðskiptasamband varir;
• greiðslusaga og viðskiptafærslur;
• reiknings- og pöntunarfærslur; og
• bankaupplýsingar og greiðslugögn í tengslum við valdar greiðslulausnir.

Verkupplýsingar og viðskiptavinagögn

2.5 Þegar notendur stofna verk í kerfinu og skrá þar upplýsingar kunnum við að safna eftirfarandi upplýsingum:

• heiti og lýsing verks;
• lýsingar á pöntunum og pöntunarlínum, t.d. vörutegundir;
• nafn og netfang tengiliðs viðskiptavinar notanda;
• símanúmer og heimilisfang viðskiptavinar notanda; og
• aðrar upplýsingar sem notandinn kýs að skrá um verk eða viðskiptavini sína.

Starfsmannaupplýsingar

2.6 Við kunnum að safna eftirfarandi upplýsingum um starfsmenn viðskiptavina okkar:

• nöfn og hlutverk starfsmanna sem notendur skrá í kerfið;
• tengiliðaupplýsingar starfsmanna; og
• aðrar tengdar starfsmannaupplýsingar sem notandi skráir.

Tækni- og notkunarupplýsingar

2.7 Við söfnum sjálfkrafa eftirfarandi upplýsingum um notkun kerfisins:

• IP-tala og staðsetningargögn á netinu;
• tegund vafra og stýrikerfis;
• tíma- og dagsetningar inn- og útskráninga;
• aðgerðir sem framkvæmdar eru í kerfinu (logs), s.s. stofnun og uppfærslur á verkum og pöntunum, breytingar á starfsmannalista viðskiptavina og skráning athugasemda;
• vefkökugögn; og
• hvaða síður eru skoðaðar og hvernig notandi notar kerfið.

3. Hvaðan fáum við persónuupplýsingar?

3.1 Beint frá viðskiptavinum og notendum: Við fáum persónuupplýsingar frá viðskiptavinum og notendum þegar þeir skrá sig inn, leggja inn pantanir, stofna verk eða hafa samband við okkur.

3.2 Sjálfkrafa við notkun kerfisins: Við fáum persónuupplýsingar sjálfkrafa við notkun kerfisins, svo sem tækniupplýsingar (t.d. IP-tölu, vafra, tímasetningar inn- og útskráninga) og atvikaskrár (logs) yfir aðgerðir í kerfinu, í þeim tilgangi að tryggja öryggi, rekjanleika og bæta þjónustu.

3.3 Frá þriðja aðila: Við kunnum jafnframt að fá persónuupplýsingar frá eftirfarandi aðilum:

• Creditinfo Lánstraust hf.: Lánhæfismat og/eða aðrar fjárhagsupplýsingar (eftir atvikum).
• Kenni / Rafræn skilríki: Auðkenningarupplýsingar við innskráningu.
• Greiðslulausnir þriðja aðila: Greiðslugögn og staðfestingar.
• Opinberar skrár: Skráningarupplýsingar viðskiptavina og önnur opinber gögn.

4. Í hvaða tilgangi notum við persónuupplýsingar?

4.1 Við vinnum persónuupplýsingar í þeim tilgangi að:

• efna samninga við viðskiptavini okkar og veita þeim þjónustu;
• veita notendum aðgang að kerfinu, þ.e. að auðkenna notendur og stjórna heimildum;
• taka við og vinna pantanir frá viðskiptavinum, þ.m.t. sérpantanir, og halda utan um verk;
• meta heimildir og/eða greiðsluskilmála og stýra áhættu;
• uppfylla þær lagaskyldur sem á okkur hvíla, t.d. vegna bókhalds og innheimtu, eftir því sem við á;
• mæla notkun og bæta kerfið og þjónustu okkar;
• markaðssetningu og samskipti við viðskiptavini, þ.m.t. beina markaðssetningu, svo sem sendingu fréttabréfa, tilboða og annarra markaðsefna; og
• vernda lögmæta hagsmuni okkar svo lengi sem hagsmunir eða grundvallarréttindi hinna skráðu sem krefjast verndar persónuupplýsinga vegi ekki þyngra.

4.2 Við kunnum einnig að vinna persónuupplýsingar til að uppfylla lagaskyldu eða í undantekningartilfellum til að vernda brýna hagsmuni hinna skráðu eða annarra einstaklinga.

4.3 Við vinnum ekki viðkvæmar persónuupplýsingar nema á grundvelli afdráttarlauss samþykkis.

5. Hverjum afhendum við persónuupplýsingar?

5.1 Við kunnum að miðla persónuupplýsingum þegar um er að ræða:

• Þjónustuaðila: Við kunnum að miðla persónuupplýsingum til aðila sem veita okkur tiltekna þjónustu tengdri kerfinu eða annars konar þjónustu, s.s. greiðsluþjónustu og gæða- og markaðsstarf. Við munum aðeins miðla til þessara þjónustuaðila þeim persónuupplýsingum sem þeir þurfa til að geta veitt okkur slíka þjónustu og þeim er ekki heimilt að vinna með persónuupplýsingarnar í öðrum tilgangi.
• Lögbundna skyldu og lögvarða hagsmuni: Við kunnum að miðla persónuupplýsingum til þriðja aðila til að uppfylla lagaskyldur sem á okkur hvíla, til að verða við beiðnum frá opinberum aðilum, til að geta staðið vörð um lagaleg réttindi okkar, til að stofna, hafa upp og verjast réttar kröfu og til að grípa til aðgerða til að vernda eignir okkar.
• Miðlun utan EES: Hluti þeirra þjónustuaðila sem við notum er staðsettur utan EES, einkum í Bandaríkjunum. Það á við um sendingu tölvupósts (Postmark), sendingu SMS-skeyta (Twilio), innri tilkynningar um pantanir og umsóknir (Slack) og hýsingu kerfisins (Cloudflare). Þá miðlar Google Analytics upplýsingum um heimsóknir til Google LLC í Bandaríkjunum, en aðeins ef þú samþykkir greiningarkökur. Í öðrum undantekningartilvikum gætum við þurft að flytja persónuupplýsingar utan EES ef það er nauðsynlegt á grundvelli sérstakra aðstæðna skv. 49. gr. GDPR.

6. Hversu lengi varðveitum við persónuupplýsingar?

6.1 Við reynum eftir fremsta megni að halda persónuupplýsingum nákvæmum og áreiðanlegum og uppfæra þær eftir þörfum. Við varðveitum persónuupplýsingar í þann tíma sem telst nauðsynlegur nema lengri geymslutíma sé krafist eða hann leyfður samkvæmt lögum.

7. Öryggi persónuupplýsinga

7.1 Öryggi og meðhöndlun upplýsinga lýtur stöðugu eftirliti ásamt því að tæknilegar og skipulagslegar ráðstafanir eru gerðar til að tryggja viðunandi öryggi persónuupplýsinga og ábyrga meðhöndlun þeirra.

7.2 Verði öryggisbrestur við vinnslu persónuupplýsinga hjá okkur er unnið samkvæmt verklagi í samræmi við persónuverndarlög.

8. Sjálfvirk ákvarðanataka

8.1 Við kunnum að styðjast við sjálfvirka úrvinnslu persónuupplýsinga við upphaf og á meðan á viðskiptasambandi stendur, m.a. til að meta heimildir og/eða greiðsluskilmála (t.d. með aðstoð upplýsinga frá Creditinfo).

8.2 Hafi slík sjálfvirk úrvinnsla í för með sér ákvörðun sem hefur veruleg áhrif á hina skráðu, eiga þeir rétt á að óska eftir mannlegri íhlutun, koma sínum sjónarmiðum að, og mótmæla ákvörðun, í samræmi við persónuverndarlög.

9. Réttindi hinna skráðu

9.1 Í ákveðnum tilvikum eiga hinir skráðu tiltekin réttindi á grundvelli persónuverndarlaga. Þeir geta átt rétt á því að fá staðfest hvort að við vinnum með persónuupplýsingar um þá og óskað eftir aðgangi að þeim. Þeir eiga rétt á því að óska eftir leiðréttingu á þeim persónuupplýsingum sem unnið er með um þá og í ákveðnum tilvikum óskað eftir því að við eyðum persónuupplýsingum þeirra eða að vinnsla þeirra verði takmörkuð.

9.2 Þetta eru ekki fortakslaus réttindi og því kann beiðni hinna skráðu að vera hafnað. Ef þú vilt nýta þér rétt þinn er þér velkomið að senda skriflega beiðni á malmidjan@malmidjan.is.

9.3 Komi upp ágreiningur við vinnslu persónuupplýsinga getur þú sent kvörtun til Persónuverndar.

10. Afturköllun samþykkis

10.1 Ef vinnsla persónuupplýsinga hins skráða byggir á samþykki viðkomandi er honum heimilt, á hvaða tímapunkti sem er, að afturkalla samþykki sitt með því að senda okkur skriflega beiðni á malmidjan@malmidjan.is. Afturköllun á samþykki hefur ekki áhrif á lögmæti vinnslunnar fram að afturköllun.

11. Kerfið okkar

11.1 Við vinnum með persónuupplýsingar varðandi notkun á kerfinu okkar, s.s. staðsetningargögn, upplýsingar um búnað og tæki sem notaður er til að tengjast kerfinu og tegund vafra. Við vinnum með persónuupplýsingarnar m.a. til að útbúa tölfræðilegar upplýsingar og bæta notendaupplifun.

11.2 Við vinnum með nokkrar tegundir af vefkökum, nánari upplýsingar um vefkökur má finna í vefkökustefnu félagsins.

12. Breytingar á persónuverndarstefnu þessari

12.1 Persónuverndarstefna þessi er endurskoðuð reglulega og kann því að taka breytingum. Uppfærð útgáfa er ávallt aðgengileg á heimasíðu okkar.

Persónuverndarstefna þessi var gerð þann 13. maí 2026.