Persónustefna

1. Hver er ábyrgðaraðili?

Vinir er þróað af einstaklingi og er ekki rekið af sérstöku félagi (ehf. eða öðrum lögaðila) að svo stöddu. Ábyrgðaraðili vinnslu persónuupplýsinga í Vinir er:

• Nafn: Berglind Dan Róbertsdóttir
• Staða: Einstaklingur (sjálfstæð þróun á appinu)
• Kennitala: 101100-3240
• Netfang: vinir@vinirapp.is

Hafðu samband við okkur á netfanginu hér að ofan ef þú hefur spurningar um meðferð persónuupplýsinga eða ef þú vilt nýta réttindi þín samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðinni (GDPR).

Ef stofnað verður sérstakt félag um rekstur Vinir síðar (t.d. ehf.) mun þessi stefna verða uppfærð, nýr ábyrgðaraðili tilkynntur og notendum gefið skýrt tilkynningarefni um breytinguna.

2. Hvaða upplýsingar söfnum við?

Við söfnum eftirfarandi upplýsingum þegar þú notar Vinir:

Auðkennisupplýsingar sem þú gefur okkur

• Nafn
• Netfang
• Símanúmer
• Prófílmynd (valfrjálst)
• Fæðingardagur (notað til aldursstaðfestingar, 13+; sjá kafla 9)
• Auðkenni úr Apple ID eða Google reikningi þegar þú skráir þig í gegnum „Sign in with Apple" eða „Sign in with Google"

Innihald sem þú býrð til í appinu

• Vinahópar, vinatengsl og makastatus
• Boðslistar (eigin tengilistar með nöfnum og valfrjálsum netfangsmerkingum)
• Viðburðir og hittingar sem þú býrð til eða þiggur boð á
• Aðrir gestgjafar (co-hosts) sem þú býður að skipuleggja með þér
• Lýsingar, cover-myndir og slóðir á miðasölu eða heimasíðu viðburða
• Dagsetningar/tímar sem þú merkir við í atkvæðagreiðslum (voting / tímatillögur)
• Athugasemdir, viðbrögð („reactions"), @-merkingar á aðra notendur og RSVP-svör
• Myndir sem þú bætir við í athugasemdir
• Heimilisföng/staðsetningar viðburða sem þú slærð inn
• Vinnutími sem þú stillir
• Vaktaplan sem þú hleður upp (mynd eða PDF) og útkomu úr greiningu þess

Netfang á póstlista (fyrir launch)

Þegar þú skráir netfangið þitt á póstlistann á vinirapp.is (áður en appið er í App Store) geymum við það til þess að láta þig vita þegar appið kemur út. Netfangið er ekki notað í öðrum tilgangi, ekki selt né deilt með þriðja aðila. Þú getur beðið um að vera fjarlægð(ur) af listanum með því að senda tölvupóst á vinir@vinirapp.is. Listinn er eytt strax eftir að launch-tilkynningin hefur verið send.

Boð til fólks utan appsins

Þegar þú býður einhverjum sem er ekki nú þegar með aðgang í Vinir geymum við netfang og/eða símanúmer viðkomandi þar til þau þiggja boðið eða þú dregur það til baka. Sjá kafla 7 um lagaheimild.

Tæknilegar upplýsingar

• Tæknilegt auðkenni notandans og auðkenni tækis fyrir push-tilkynningar
• Útgáfa af iOS og gerð tækis
• Tími skráningar og síðustu innskráningar
• Atvik (crash logs, villuskrár) ef appið hrynur

Það sem við söfnum EKKI

• Við söfnum ekki staðsetningu þinni
• Við lesum ekki tengiliðalistann þinn nema þú deilir tengilið beint úr boðsflæðinu
• Við lesum eingöngu þá dagatalsfærslu sem þú merkir við að bæta í dagatal — við sækjum ekki dagatalsefnið þitt í heild
• Við trackum þig ekki þvert á önnur öpp eða vefsíður (engin auglýsingaraka, engin third-party analytics)
• Við söfnum ekki greiðsluupplýsingum — appið er endurgjaldslaust og engin innheimta fer fram innan þess

3. Til hvers notum við upplýsingarnar?

Við notum persónuupplýsingar þínar til að:

• Stofna og halda úti notendareikningi þínum
• Auðkenna þig (símanúmer, Apple, Google) og verja reikninginn (t.d. Face ID-læsing á tæki)
• Birta þér viðburði, hittinga, vini, hópa og maka sem þú átt þátt í
• Senda push-tilkynningar um boð, RSVP, atkvæðagreiðslur, athugasemdir, @-merkingar og áminningar
• Deila viðburðum með maka þínum sem skugga á dagatali þeirra þegar þú stillir þá deilingu á
• Greina vaktaplan sem þú hleður upp svo appið geti sýnt þér hvenær þú ert á vakt þegar verið er að skipuleggja hittinga
• Bæta hittinga inn í dagatalið þitt þegar þú velur það
• Leyfa þér að finna vini eftir nafni, notendanafni eða netfangi
• Sinna lögbundnum skyldum (t.d. svara fyrirspurnum frá Persónuvernd)
• Vinna gegn misnotkun, svindli og brotum á skilmálum

4. Hver er lagaheimild okkar?

Vinnsla persónuupplýsinga byggir á eftirfarandi heimildum samkvæmt 9. gr. laga nr. 90/2018 / 6. gr. GDPR:

• Samningur (6.gr.b) — Til að veita þér þjónustuna sem þú samþykktir í notendaskilmálunum (auðkenning, prófíll, viðburðir, vinir, push o.s.frv.).
• Lögmætir hagsmunir (6.gr.f) — Til að verja kerfið, koma í veg fyrir misnotkun og bæta þjónustuna. Þú getur mótmælt þessari vinnslu hvenær sem er.
• Samþykki (6.gr.a) — Fyrir valfrjálsa eiginleika eins og dagatalsaðgang, Face ID, push-tilkynningar og vaktaplan-upload. Þú getur dregið samþykki til baka hvenær sem er í stillingum tækisins eða í appinu.

5. Hverjum deilum við upplýsingunum með?

Við seljum aldrei persónuupplýsingar þínar. Við deilum þeim eingöngu með eftirfarandi vinnsluaðilum okkar:

Google / Firebase (Google Ireland Limited)

Notað fyrir auðkenningu, gagnageymslu (Firestore), prófílmynda-geymslu (Storage), Cloud Functions og push-tilkynningar (FCM). Gögn eru að mestu hýst innan EES. Við höfum gert vinnslusamning (DPA) við Google. Frekari upplýsingar: policies.google.com/privacy.

Apple Inc.

Þegar þú notar Sign in with Apple færðu auðkenni frá Apple. Apple sendir okkur ekki einkennisupplýsingar umfram þær sem þú velur að deila. Apple Push Notification Service flytur push-skilaboðin okkar í tækið þitt. Sjá apple.com/legal/privacy.

Anthropic, PBC (Bandaríkin)

Þegar þú hleður upp vaktaplani (mynd eða PDF) er það sent til Anthropic API (Claude líkanið) til vélrænnar greiningar í gegnum Cloud Function. Anthropic vinnur gögnin samkvæmt sínum API-skilmálum og notar þau ekki til þjálfunar á líkönum sínum. Þetta felur í sér flutning persónuupplýsinga út fyrir EES; flutningurinn er studdur af staðlaðum samningsákvæðum framkvæmdastjórnar ESB (SCCs). Frekari upplýsingar: anthropic.com/legal/privacy.

Google Maps / Apple Maps

Þegar þú smellir á staðsetningu í viðburði opnast utanaðkomandi kortaapp. Við sendum þá staðsetninguna sem þú slóst inn til kortaforritsins; við deilum engum öðrum upplýsingum um þig.

Aðrir notendur Vinir

Aðrir notendur sjá það efni sem þú deilir með þeim:

• Vinir sjá nafn þitt, prófílmynd, notendanafn og þau viðburði sem þú deilir með þeim.
• Hópmeðlimir sjá efni sem þú setur í þann hóp og hver staða þín er gagnvart hittingum hópsins.
• Boðsgestir á viðburði sjá nafn þitt, prófílmynd og RSVP-stöðu þína á þeim viðburði.
• Maki (ef þú hefur samþykkt makasamband) sér skugga af viðburðum þínum á sínu dagatali ef þú hefur stillt þá deilingu á.

Lögbundin afhending

Við gætum afhent upplýsingar yfirvöldum þegar lög skylda okkur til þess (t.d. dómsúrskurður).

6. Hvar eru gögnin geymd?

Gögn í Firebase eru að meginstefnu vistuð á þjónum innan EES. Þegar gögn eru send til Anthropic í Bandaríkjunum (við vaktaplan-greiningu) flytjast þau tímabundið út fyrir EES og eru varin með stöðluðum samningsákvæðum (SCCs).

7. Hversu lengi geymum við gögnin?

• Notendareikningur: Þangað til þú eyðir reikningnum eða biður um eyðingu.
• Viðburðir og athugasemdir: Þangað til þú eyðir þeim eða eyðir reikningnum.
• Aflýstir viðburðir: Sjálfvirkt eytt 10 dögum eftir aflýsingu.
• Ytri boð (ósamþykkt): Allt að 12 mánuðir eða þar til þú dregur boðið til baka.
• Vaktaplan-myndir/PDF: Eytt strax eftir vinnslu Anthropic; aðeins úrvinnsluniðurstaðan (start/end-tími á dag) er geymd.
• Atvik / villuskrár: Allt að 90 daga (Firebase Crashlytics).
• Tilkynningasaga í appinu (bjalla): Allt að 50 nýjustu tilkynningar á notanda.
• Backup gögn: Allt að 30 dagar eftir eyðingu úr aðalkerfi.
• Póstlisti (waitlist): Geymt fram að launch-tilkynningu og eytt strax eftir hana. Þú getur beðið um að vera fjarlægð(ur) fyrr með tölvupósti.

8. Réttindi þín

Samkvæmt persónuverndarlögum hefur þú eftirfarandi réttindi:

• Rétt til upplýsinga og aðgangs að gögnum þínum
• Rétt til leiðréttingar á röngum upplýsingum
• Rétt til eyðingar („réttur til að gleymast")
• Rétt til takmörkunar á vinnslu
• Rétt til andmæla við vinnslu sem byggir á lögmætum hagsmunum
• Rétt til flytjanleika gagna (data portability)
• Rétt til að draga samþykki til baka, þar sem það á við

Þú getur eytt reikningnum þínum beint í appinu (Profile → Stillingar → Eyða reikningi) eða haft samband við vinir@vinirapp.is.

Þú átt einnig rétt á að senda kvörtun til Persónuverndar (personuvernd.is).

9. Börn

Vinir er ætlað fólki 13 ára og eldri. Notendur undir 13 ára aldri eiga ekki að skrá sig. Ef þú telur að barn yngra en 13 ára hafi skráð sig hafðu samband við okkur og við munum eyða reikningnum tafarlaust. Notendur yngri en 16 ára (samkvæmt íslenskri framkvæmd 8. gr. GDPR) þurfa samþykki forráðamanns fyrir vinnslu sem byggir á samþykki.

10. Öryggi

Við notum staðlaðar öryggisráðstafanir til að verja gögnin: TLS-dulkóðun í flutningi, dulkóðun á diski hjá Google Cloud, Firestore Security Rules sem takmarka aðgang, og aðgangsstýringu á starfsfólk. Engin kerfi eru fullkomlega örugg og við hvetjum þig til að nota sterkt lykilorð á Apple ID/Google reikning þinn.

11. Breytingar á þessari stefnu

Við getum uppfært þessa stefnu þegar þjónusta eða lög breytast. Veigamiklar breytingar verða tilkynntar í appinu sjálfu eða með tölvupósti með a.m.k. 14 daga fyrirvara.

12. Tengiliður

Ábyrgðaraðili: Berglind Dan Róbertsdóttir (einstaklingur)
Netfang: vinir@vinirapp.is