Persónuverndarstefna Borga

Stefnan tekur til einstaklinga sem á einhvern hátt eiga í samskiptum við Borga, þar á meðal:

(a) notendur sem skrá sig inn í söluaðilavef Borga með auðkenningu frá Kenni.is, þar á meðal prókúruhafar, raunverulegir eigendur og starfsmenn söluaðila; (b) greiðendur sem greiða söluaðilum í gegnum hýsta greiðslusíðu Borga eða innfellt greiðsluflæði, að því marki sem Borga vinnur persónuupplýsingar þeirra sem ábyrgðaraðili; (c) tengiliðir hjá söluaðilum, samstarfsaðilum og birgjum; og (d) gestir á borga.is og öðrum vefsvæðum Borga.

Borga safnar og vinnur eftirfarandi flokka persónuupplýsinga:

Auðkennisupplýsingar: nafn, kennitala og fæðingardagur, sótt í Kenni.is auðkenningu þegar notandi skráir sig inn, eða skráð af söluaðila þegar greiðandi er auðkenndur með kennitölu vegna kröfu í netbanka.

Tengiliðaupplýsingar: netfang, símanúmer og heimilisfang, skráð beint af viðkomandi eða af söluaðila.

Fjárhags- og færsluupplýsingar: fjárhæðir, gjaldmiðlar, færslunúmer, staða færslu, lýsing á vöru eða þjónustu og upplýsingar um endurgreiðslur og endurkröfur.

Kortatengdar upplýsingar: tilvísun til vistaðs korts (e. token), síðustu fjórir tölustafir kortnúmers, gildistími korts og útgáfuland. Borga geymir hvorki fullt kortnúmer, öryggisnúmer korts (CVV/CVC) né PIN-númer; slíkar upplýsingar eru einungis slegnar inn hjá færsluhirði.

Bókhaldstengdar upplýsingar: vörulínur, virðisaukaskattsflokkar, kennitala greiðanda þar sem hún er nauðsynleg til útgáfu sölureiknings og auðkenni reiknings hjá bókhaldskerfi söluaðila.

Tæknilegar upplýsingar: IP-tala, gerð vafra og stýrikerfis, tímasvæði, skjástærð og vefsvæði sem vísaði á síðuna (e. referrer).

Notkunarupplýsingar: aðgerðaskráning (e. logs) í söluaðilavef og API, þar á meðal innskráningar, stofnun lykla, atvik og villur.

Upplýsingar um tengingar gervigreindaraðstoðarmanna: Þegar notandi tengir gervigreindaraðstoðarmann (til dæmis Claude eða ChatGPT) við söluaðila í gegnum Borga skráir Borga hvaða notandi heimilaði tenginguna, hvaða söluaðila og umhverfi hún tekur til (prófunar- eða raunumhverfi), hvaða heimildir voru veittar, heiti aðstoðarmannsins og þá merkingu sem notandinn gaf tengingunni, auk aðgerðaskráningar um hverja aðgerð sem aðstoðarmaðurinn framkvæmir.

Samskipta- og samþykkisupplýsingar: samskipti í gegnum spjall á vefsvæði Borga, samþykki fyrir markaðspósti, val um kökur og samskiptastillingar.

Persónuupplýsingar berast Borga ýmist beint frá viðkomandi einstaklingi, frá söluaðila sem hann er í viðskiptum við, frá Kenni.is, frá færsluhirði (vegna færslu, endurkröfu eða áhættumats) eða frá opinberum upplýsingaveitum, til dæmis fyrirtækjaskrá Skattsins, þegar áreiðanleikakönnun krefst þess.

Einstaklingum er ekki skylt að veita Borga persónuupplýsingar. Sumar upplýsingar eru þó nauðsynlegar til að Borga geti veitt þjónustuna eða uppfyllt lagaskyldu. Til dæmis er ekki hægt að stofna aðgang að söluaðilavef án Kenni.is auðkenningar og ekki hægt að virkja raunumhverfi án áreiðanleikakönnunar.

Borga vinnur persónuupplýsingar í eftirfarandi tilgangi: að veita greiðslu-, áskriftar- og bókhaldsþjónustu; að auðkenna notendur og koma á samskiptum; að framkvæma áreiðanleikakönnun og áhættustýringu; að uppgötva og koma í veg fyrir svik og misnotkun; að uppfylla lagaskyldur og skyldur gagnvart færsluhirði og kortasamtökum; að þróa og bæta þjónustuna; og að senda upplýsingar um þjónustuna að fengnu samþykki.

Vinnslan byggir á eftirfarandi lagagrundvelli samkvæmt persónuverndarlöggjöf:

(a) Efndir samnings: vinnsla sem nauðsynleg er til að veita söluaðila greiðslu-, áskriftar- og bókhaldsþjónustu, þar á meðal að framkvæma greiðslu, halda utan um áskrift eða færa greiðslu yfir í bókhaldskerfi. Einnig er vinnsla nauðsynleg til að gera ráðstafanir að beiðni einstaklings áður en samningur er gerður, eftir því sem við á.

(b) Lagaskylda: vinnsla sem nauðsynleg er til að uppfylla skyldur Borga samkvæmt lögum, þar á meðal lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka nr. 140/2018, lögum um bókhald nr. 145/1994, lögum um virðisaukaskatt og lögum um tekjuskatt.

(c) Lögmætir hagsmunir: vinnsla vegna aðgangsstýringar og auðkenningar notenda sem starfa fyrir söluaðila, áhættustýringar, öryggis kerfa, villuvöktunar og þróunar þjónustunnar, þar sem hagsmunir Borga vega þyngra en hagsmunir hins skráða af því að vinnslan fari ekki fram.

(d) Samþykki: vinnsla á grundvelli samþykkis, til dæmis vegna markaðspósts eða kakna sem ekki eru nauðsynlegar, sbr. 8. gr. Hinn skráði getur dregið samþykki sitt til baka hvenær sem er án þess að það hafi áhrif á lögmæti vinnslu sem fram fór áður en samþykkið var dregið til baka.

Borga tekur ekki ákvarðanir sem byggja eingöngu á sjálfvirkri vinnslu, þar á meðal gerð persónusniðs, og hafa réttaráhrif eða sambærileg veruleg áhrif á einstaklinga. Færsluhirðir og kortaútgefendur kunna að beita sjálfvirkri svikavörn við afgreiðslu kortagreiðslna samkvæmt eigin persónuverndarstefnu.

Borga miðlar persónuupplýsingum til eftirfarandi aðila að því marki sem nauðsynlegt er til að uppfylla þann tilgang sem upplýsingunum var safnað í:

Færsluhirði Borga, nú Straumi greiðslumiðlun hf., vegna framkvæmdar kortagreiðslna, endurgreiðslna og endurkrafna. Færsluhirðir miðlar upplýsingum áfram til kortasamtaka (Visa, Mastercard, American Express o.fl.) og kortaútgefenda eftir því sem nauðsynlegt er til að framkvæma færslu.

Bókhaldskerfi söluaðila, þar á meðal PayDay.is og DK+, þegar söluaðili hefur tengt bókhaldskerfi sitt við Borga og óskað eftir að sölureikningar séu speglaðir þangað.

Kenni.is, sem veitir auðkenningarþjónustu, vegna innskráninga og fyrirtækjaauðkenningar.

Vinnsluaðilum Borga, þar á meðal hýsingaraðilum, gagnagrunnsþjónustu, póstþjónustu, villuvöktunarþjónustu og spjallþjónustu á vefsvæði Borga. Vinnsluaðilar vinna persónuupplýsingar einungis samkvæmt skriflegum vinnslusamningi við Borga og fyrirmælum Borga. Borga veitir upplýsingar um núverandi vinnsluaðila sé þess óskað.

Gervigreindaraðstoðarmönnum sem notandi hefur sjálfur tengt við söluaðila. Aðstoðarmaðurinn fær einungis þær upplýsingar sem hann sækir með þeim heimildum sem notandinn veitti, og einungis um þann söluaðila og það umhverfi sem tengingin nær til. Rekstraraðili aðstoðarmannsins vinnur upplýsingarnar samkvæmt eigin skilmálum og persónuverndarstefnu og Borga stýrir ekki þeirri vinnslu. Notandi getur afturkallað tenginguna hvenær sem er á söluaðilavef Borga.

Endurskoðendum, lögfræðingum og ráðgjöfum Borga, þegar nauðsynlegt er til að uppfylla skyldur Borga eða verja réttarkröfur.

Lögbærum yfirvöldum, þar á meðal Persónuvernd, Fjármálaeftirliti Seðlabanka Íslands, Skattinum, lögreglu, dómstólum og skiptastjórum, þegar Borga er skylt að miðla upplýsingum samkvæmt lögum eða stjórnvaldsfyrirmælum, eða þegar miðlun er nauðsynleg til að verja réttarkröfu.

Þriðju aðilum að fengnu samþykki hins skráða.

Persónuupplýsingar geta verið fluttar út fyrir Evrópska efnahagssvæðið (EES) þegar nauðsynlegt er, til dæmis vegna kortafærslu á erlent kort, vegna lagaskyldu eða þegar vinnsluaðilar eða undirvinnsluaðilar Borga, svo sem hýsingarþjónusta, villuvöktunarþjónusta eða spjallþjónusta, eru staðsettir utan EES.

Þegar slíkur flutningur á sér stað tryggir Borga að viðeigandi verndarráðstafanir séu til staðar, til dæmis með stöðluðum samningsskilmálum framkvæmdastjórnar Evrópusambandsins (e. Standard Contractual Clauses), ákvörðun um fullnægjandi vernd eða öðrum lögmætum verndarráðstöfunum samkvæmt persónuverndarlöggjöf.

Borga varðveitir persónuupplýsingar einungis svo lengi sem nauðsynlegt er til að uppfylla þann tilgang sem upplýsingunum var safnað í, eða svo lengi sem lagaskylda krefst.

Bókhaldsgögn og gögn um færslur eru varðveitt í að minnsta kosti sjö (7) ár frá lokum reikningsárs í samræmi við lög um bókhald nr. 145/1994 og skattalög.

Gögn vegna áreiðanleikakönnunar samkvæmt lögum nr. 140/2018 eru varðveitt í að minnsta kosti fimm (5) ár frá lokum viðskiptasambands.

Aðgerðaskrár eru almennt varðveittar í tólf (12) mánuði, en lengur ef öryggisatvik gerir nauðsynlegt að rannsaka þær frekar.

Upplýsingar um tengingar gervigreindaraðstoðarmanna eru varðveittar á meðan tengingin er virk og í níutíu (90) daga eftir að hún er afturkölluð eða rennur út. Aðgerðaskráning um aðgerðir aðstoðarmanna er hluti af almennri aðgerðaskráningu og fylgir varðveislutíma hennar, óháð því hvort tengingin er enn virk. MCP-þjónn Borga, sem aðstoðarmenn tengjast, vistar hvorki fyrirspurnir aðstoðarmanna né svör við þeim; einu undantekningarnar eru niðurstöður endurgreiðslna, skuldfærslna og nýrra áskrifta, sem eru geymdar í vinnsluminni í allt að tíu (10) mínútur svo sama aðgerð sé ekki framkvæmd tvisvar.

Markaðsupplýsingar eru varðveittar þar til samþykki er dregið til baka eða þar til þær eiga ekki lengur við um hinn skráða.

Að loknum varðveislutíma eru persónuupplýsingar annaðhvort eyðilagðar eða gerðar ópersónugreinanlegar með afmáningu auðkennis ef Borga telur að gögnin hafi tölfræðilegt eða þróunarlegt gildi.

Borga gerir viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda persónuupplýsingar gegn óheimilum aðgangi, tapi og breytingum.

Öll samskipti við kerfi Borga eru dulkóðuð (TLS). Kortanúmer og öryggisnúmer korta eru slegin inn hjá færsluhirði og berast aldrei Borga. Leynilyklar að API eru geymdir sem tætigildi (e. hash), aðgangslyklar að bókhaldskerfum eru dulkóðaðir og prófunarumhverfi er aðskilið frá raunumhverfi. Notendur söluaðilavefs auðkenna sig með Kenni.is.

Kökur (e. cookies) eru litlar skrár sem vefsvæði vista í vafra notanda. Borga notar kökur og sambærilega vafrageymslu á vefsvæðum sínum.

Nauðsynleg geymsla: söluaðilavefur Borga geymir innskráningu notanda í vafranum og borga.is geymir val notanda um kökur. Þessi geymsla er nauðsynleg til að þjónustan virki og krefst ekki samþykkis.

Spjall: á borga.is er spjallþjónusta frá Gist (getgist.com) sem gestir geta notað til að hafa samband við Borga. Spjallið vistar kökur og skráir hvaða síður gestur skoðar, og er einungis hlaðið ef gestur samþykkir kökur.

Borga notar ekki kökur í auglýsingaskyni. Gestur getur hvenær sem er breytt vali sínu með hlekknum „Kökur“ neðst á borga.is, eða eytt kökum í stillingum vafra síns.

Hinn skráði nýtur eftirfarandi réttinda samkvæmt persónuverndarlöggjöf, með þeim takmörkunum sem í lögum greinir:

Réttur til upplýsinga og aðgangs: að fá staðfestingu á því hvort Borga vinni persónuupplýsingar um viðkomandi og afrit af þeim.

Réttur til leiðréttingar: að fá rangar eða ófullnægjandi upplýsingar leiðréttar eða uppfærðar.

Réttur til eyðingar: að fá upplýsingar eyddar þegar þær þjóna ekki lengur upphaflegum tilgangi, samþykki er dregið til baka og enginn annar vinnslugrundvöllur er fyrir hendi, eða ef vinnsla er ólögmæt.

Réttur til takmörkunar vinnslu: að fá vinnslu takmarkaða í tilteknum tilvikum, til dæmis þegar deilt er um nákvæmni upplýsinganna.

Réttur til flutnings: að fá upplýsingar afhentar á skipulegu, algengu og tölvulesanlegu sniði og fluttar til annars ábyrgðaraðila þegar lagaskilyrði eru uppfyllt.

Réttur til andmæla: að andmæla vinnslu sem byggir á lögmætum hagsmunum, þar á meðal gerð persónusniðs, og að andmæla vinnslu vegna beinnar markaðssetningar.

Réttur til að draga samþykki til baka hvenær sem er, án þess að það hafi áhrif á lögmæti fyrri vinnslu sem byggði á samþykkinu.

Réttur til að leggja fram kvörtun hjá Persónuvernd, Rauðarárstíg 10, 105 Reykjavík, www.personuvernd.is.

Til að nýta réttindi þín skaltu senda beiðni á personuvernd@borga.is. Borga svarar beiðnum innan eins mánaðar frá móttöku, eða innan tveggja mánaða til viðbótar þegar það er nauðsynlegt vegna þess hve beiðnin er flókin eða fjölda beiðna. Ef frestur er framlengdur tilkynnir Borga hinum skráða um framlenginguna og ástæður hennar innan eins mánaðar frá móttöku beiðninnar. Ef beiðnin varðar upplýsingar sem Borga vinnur fyrir hönd söluaðila er henni vísað til söluaðilans.

Borga endurskoðar stefnu þessa reglulega og kann að gera á henni breytingar vegna lagabreytinga, breytinga á þjónustunni, breytinga á færsluhirði eða vinnsluaðilum, eða þróunar á vinnsluaðferðum. Nýjasta útgáfa stefnunnar er ávallt aðgengileg á borga.is og taka breytingar gildi við birtingu nema annað sé sérstaklega tilgreint.

Borga hvetur einstaklinga til að lesa stefnuna reglulega og fylgjast með breytingum.

Fyrirspurnum um persónuvernd, beiðnum um aðgang að upplýsingum og öðrum erindum sem snerta réttindi hins skráða má beina til:

Greiða ehf., Nóatún 17, 105 Reykjavík.

Netfang: personuvernd@borga.is.