Persónuverndarstefna

Útgáfa 0.3 (beta) · Gildir frá 8. október 2026

Kassify er bókhaldskerfi fyrir íslensk fyrirtæki. Í þessari stefnu segjum við frá því hvaða persónuupplýsingar við vinnum, af hverju, hve lengi við geymum þær og hvaða rétt þú átt. Stefnan byggir á lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðinni (ESB) 2016/679 (GDPR).

1. Hver erum við

Kassify ehf., kt. 461026-0520, Hlíðasmára 6, 201 Kópavogi, rekur Kassify.

Fyrirspurnir um persónuvernd sendast á personuvernd@kassify.is.

2. Tvö hlutverk: ábyrgðaraðili og vinnsluaðili

Við vinnum persónuupplýsingar í tveimur ólíkum hlutverkum.

• Kassify sem ábyrgðaraðili. Við berum ábyrgð á upplýsingum um notendur kerfisins og þá sem heimsækja vefinn okkar: aðgang, innskráningu, biðlista, þjónustusamskipti, reikningagerð, notkunargreiningu, villuskráningu og öryggisskráningu. Þessi stefna fjallar fyrst og fremst um þá vinnslu.
• Kassify sem vinnsluaðili. Fyrirtækin sem nota Kassify (viðskiptavinir okkar) setja inn bókhaldsgögn sín: upplýsingar um starfsfólk og laun, viðskiptamenn, reikninga, bankafærslur, fylgiskjöl og hluthafa. Þar er viðskiptavinurinn ábyrgðaraðili og við vinnum gögnin eingöngu samkvæmt fyrirmælum hans og vinnslusamningi. Ef þú ert starfsmaður, viðskiptamaður eða hluthafi fyrirtækis sem notar Kassify og vilt vita um vinnslu upplýsinga um þig skaltu fyrst snúa þér til þess fyrirtækis. Við aðstoðum það við að svara þér.

3. Hvaða upplýsingar við vinnum sem ábyrgðaraðili

Þegar mæling auglýsinga er virk notum við Meta Pixel og Conversions API aðeins með sérstöku samþykki þínu fyrir auglýsingum. Við deilum heimsóknum á opinberar síður, upphafi skráningar og fyrstu stofnun fyrirtækis, auðkennum og tímum viðburða, vafra og IP-tölu, samþykktum auðkennum smella og vafra og SHA-256 hakkgildum netfangs og dulnefndu notandaauðkenni til samsvörunar. Hakkgildi eru enn persónuupplýsingar. Bókhaldsgögn, kennitölur, reikningar, launagögn og slóðir einkasíðna fyrirtækja eru ekki send. Þú getur hafnað án þess að missa aðgang og afturkallað samþykki í Stillingum auglýsinga. Afturköllun stöðvar nýja söfnun og sendingar í bið; hún afturkallar ekki gögn sem þegar hafa verið send eða HTTP-beiðni sem er hafin. Meta vinnur móttekin gögn samkvæmt eigin persónuverndarstefnu, meðal annars til mælinga á auglýsingum og samsvörunar við notendur sína. Áður en mælingin er virkjuð þarf Kassify að ganga frá viðeigandi skilmálum Meta og vernd við miðlun. Valið gildir í 180 daga og upprunamerkingar auglýsinga í 30 daga. Gögn í sendingarbið eru dulkóðuð og eytt eftir sendingu, afturköllun eða úreldingu (innan 6 daga auk hreinsunar í bakvinnslu). Merktum skráningargögnum er eytt eftir 30 daga með uppsettri bakvinnslu. Meta hefur eigin reglur um geymslu. Ef afturköllun nær ekki til netþjónsins vegna nettengingar stöðvast mæling í vafranum strax og reynt er aftur þegar tenging kemst á.

4. Tilgangur og heimild

Þegar við byggjum á lögmætum hagsmunum höfum við metið að þeir vegi þyngra en hagsmunir þínir. Þú getur andmælt slíkri vinnslu (sjá 10. kafla).

5. Gervigreind

Kassify notar gervigreind til að lesa reikninga og kvittanir, flokka bankafærslur og svara spurningum í spjalli. Bankafærslur eru flokkaðar með OpenAI. Annað, og flokkun þegar OpenAI svarar ekki, fer um Google Gemini. Þá eru efni skjalanna og færslnanna send til OpenAI eða Google til vinnslu. Það getur náð til persónuupplýsinga, til dæmis nafna á kvittunum eða upplýsinga á launaseðlum.

• Við notum greidda API-þjónustu Google og OpenAI. Samkvæmt skilmálum þeirra nota hvorki Google né OpenAI gögnin til að þjálfa líkön sín.
• Við biðjum OpenAI að geyma ekki fyrirspurnirnar. OpenAI getur þó geymt þær í allt að 30 daga til að greina misnotkun.
• Gervigreindin tekur engar ákvarðanir um einstaklinga sem hafa réttaráhrif eða snerta þá með sambærilegum hætti. Hún gerir tillögur um bókhald og notandi samþykkir bókun. Bókaðar færslur bera nafn þess sem bókaði og hægt er að leiðrétta þær.
• Ef þú tengir eigin gervigreindaraðstoðarmann við Kassify (til dæmis Claude eða ChatGPT) fara gögnin til þess fyrirtækis sem þú valdir, samkvæmt þínum samningi við það. Við skráum aðgerðir aðstoðarmannsins og þú getur afturkallað samþykkið í stillingum.

6. Hverjir fá upplýsingarnar

Við seljum aldrei persónuupplýsingar. Við notum þjónustuaðila (undirvinnsluaðila) sem vinna gögn fyrir okkur samkvæmt samningi og aðeins í þeim tilgangi sem hér segir:

Við látum viðskiptavini vita áður en nýr undirvinnsluaðili bætist við. Fullur listi, með þeim sem eru í undirbúningi, fylgir vinnslusamningi og fæst sendur á personuvernd@kassify.is.

Airplane Mode, LLC (Delaware, Bandaríkjunum), tengt félag Kassify ehf., gefur fyrst um sinn út reikninga fyrir áskrift fyrir hönd Kassify ehf. og fær til þess nafn tengiliðar, netfang, upplýsingar um fyrirtækið og greiðslur.

Að auki fara upplýsingar til annarra þegar notandi biður um það, til dæmis:

• reikningar til viðskiptamanna og launaseðlar til starfsfólks í tölvupósti,
• skilagreinar til lífeyrissjóða og stéttarfélaga í gegnum skilagrein.is,
• gögn frá banka þegar bankatenging er sett upp.

Við afhendum stjórnvöldum upplýsingar aðeins þegar lög skylda okkur til þess.

7. Miðlun út fyrir EES

Sumir þjónustuaðilar okkar eru bandarísk fyrirtæki eða geta unnið gögn utan Evrópska efnahagssvæðisins. Þá tryggjum við vernd með einni af þessum leiðum:

• vottun samkvæmt Data Privacy Framework milli ESB og Bandaríkjanna, sem framkvæmdastjórn ESB hefur metið fullnægjandi,
• stöðluðum samningsákvæðum framkvæmdastjórnar ESB, ásamt viðbótarráðstöfunum eins og dulkóðun.

Við vinnum að því að færa sem mest af vinnslunni innan EES og að geyma afrit af bókhaldsgögnum á Íslandi.

8. Hve lengi við geymum upplýsingar

Bókhaldsgögn viðskiptavina eru geymd eins og viðskiptavinur ákveður og lög krefjast, að jafnaði í 7 ár frá lokum reikningsárs. Gögn sem hefur verið eytt geta legið í afritum þar til geymslutíma afritanna lýkur, en þau eru ekki notuð nema til að endurheimta kerfið.

Á meðan á beta-prófun stendur: sjálfvirk eyðing samkvæmt töflunni hér að ofan er enn í smíðum. Þangað til eyðum við gögnum handvirkt. Viljir þú að upplýsingum um þig verði eytt skaltu senda beiðni á personuvernd@kassify.is og við afgreiðum hana innan mánaðar.

9. Öryggi

• Öll samskipti eru dulkóðuð (TLS) og gögn eru dulkóðuð í geymslu.
• Kennitölur eru auk þess dulkóðaðar sérstaklega í gagnagrunni.
• Aðgangur er bundinn við fyrirtæki og hlutverk. Hægt er að skrá sig inn með rafrænum skilríkjum.
• Allar aðgerðir eru skráðar í atvikaskrá.
• Starfsfólk Kassify fer aðeins inn í gögn viðskiptavinar þegar það er nauðsynlegt til að veita aðstoð eða laga villu. Slíkur aðgangur er skráður.
• Við tökum reglulega afrit af gögnum.

10. Réttindi þín

Þú átt rétt á að:

• fá aðgang að upplýsingum um þig og afrit af þeim,
• fá rangar upplýsingar leiðréttar,
• fá upplýsingum eytt, nema lög skyldi okkur til að geyma þær (til dæmis bókhaldslög),
• fá vinnslu takmarkaða,
• andmæla vinnslu sem byggir á lögmætum hagsmunum,
• fá upplýsingar sem þú lést okkur í té afhentar á tölvulesanlegu formi (flutningsréttur),
• afturkalla samþykki hvenær sem er, án þess að það hafi áhrif á vinnslu fram að því.

Sendu beiðni á personuvernd@kassify.is. Við svörum innan mánaðar. Við gætum þurft að staðfesta hver þú ert áður en við svörum.

Ef beiðnin varðar gögn sem fyrirtæki hefur sett inn í Kassify (til dæmis launaupplýsingar) sendum við hana áfram til þess fyrirtækis, sem er ábyrgðaraðili þeirra gagna.

11. Kvörtun til Persónuverndar

Þú getur kvartað til Persónuverndar ef þú telur að vinnsla okkar brjóti gegn lögum. Upplýsingar eru á www.personuvernd.is. Við vildum gjarnan fá tækifæri til að leysa málið fyrst.

12. Vafrakökur og geymsla í vafra

• Nauðsynlegar: innskráningarþjónustan okkar (Clerk) notar vafrakökur til að halda þér innskráðum. Án þeirra virkar kerfið ekki.
• Stillingar: tungumálsval er vistað í vafranum.
• Notkunargreining án vafrakaka: frá fyrstu heimsókn skráir PostHog hvaða síður eru opnaðar og hvar smellt er, án þess að vista nokkuð í vafranum þínum: engin vafrakaka, engin staðbundin geymsla. Atburðirnir bera ekkert auðkenni notanda, fyrirtækis eða tækis. PostHog greinir heimsóknir að með gildi (hash) sem reiknað er á netþjónum þess og skipt er út á hverjum sólarhring. Þannig er ekki hægt að rekja þig á milli daga. Þetta gildir líka ef þú hafnar.
• Full notkunargreining (aðeins með samþykki): þegar þú opnar Kassify í fyrsta sinn birtist borði neðst á skjánum þar sem þú velur „Samþykkja allt“ eða „Hafna öllu“. Ef þú samþykkir vistar PostHog auðkenni í vafraköku og í staðbundinni geymslu vafrans (localStorage), bæði á innskráningarsíðum og inni í kerfinu, og innskráður notandi og fyrirtæki eru tengd atburðunum. Þá sjáum við hvernig sami notandi notar Kassify yfir lengri tíma.
• Söfnun án vafrakaka: síðuheimsóknir og smellir eru áfram skráðir áður en þú velur og eftir að þú hafnar, en texti og eigindi síðueininga eru hulin og engar skjáupptökur gerðar.
• Skjáupptökur með samþykki: eftir samþykki skráir PostHog sýnilegt efni síðna, myndir, aðgerðir og innslátt til að við getum skilið og bætt vöruna. Lykilorðareitir eru áfram huldir og reitir með API-lyklum og aðgangstenglar eru undanskildir. Upptökum lýkur þegar þú afturkallar samþykki.
• Í báðum tilvikum: slóðir eru skráðar án leitarstrengja eða akkerishluta. Innihald og hausar netbeiðna eru ekki skráð. Ef vafrinn þinn sendir „Do Not Track“ eða „Global Privacy Control“ er engin notkunargreining skráð, hvorki án vafrakaka né með samþykki.
• Val þitt og hvernig þú breytir því: valið er vistað í vafraköku frá okkur (kassify_consent) í 12 mánuði. Þú getur skipt um skoðun hvenær sem er með „Vafrakökustillingar“ neðst á innskráningarsíðunni og á þessari síðu, eða í notandavalmyndinni inni í kerfinu. Ef þú hafnar eða afturkallar samþykkið eru vafrakökur PostHog og geymsla fjarlægð úr vafranum og aðeins notkunargreining án vafrakaka heldur áfram.
• Forsíða kassify.is: leturgerðir eru sóttar frá Google Fonts og því berst IP-tala þín til Google þegar þú opnar forsíðuna.

13. Breytingar

Við kunnum að breyta stefnunni, til dæmis þegar þjónustan breytist eða nýr þjónustuaðili bætist við. Nýjasta útgáfan er alltaf á kassify.is/personuvernd. Ef breytingar eru verulegar látum við notendur vita með tölvupósti eða í kerfinu.

14. Hafðu samband

Kassify ehf., Hlíðasmára 6, 201 Kópavogi. Netfang: personuvernd@kassify.is.