Persónuverndarstefna Bóka
Síðast uppfært: 24. september 2026 · Gildistaka: 24. september 2026
Þessi persónuverndarstefna lýsir því hvernig Bóki Hugbúnaður ehf. („Bóki“, „við“) safnar, notar, miðlar og verndar persónuupplýsingar í tengslum við þjónustu Bóka: vefforritið á app.boki.is, Bóka-appið fyrir iOS og Android og tengda þjónustu (saman „þjónustan“).
Við vinnum persónuupplýsingar í samræmi við reglugerð (ESB) 2016/679 (GDPR) og lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Stangist stefnan á við ófrávíkjanleg íslensk persónuverndarlög gilda lögin.
1. Ábyrgðaraðili
Bóki Hugbúnaður ehf. · Kennitala 690725-0530 · VSK-númer 158079 · Grensásvegi 50, 108 Reykjavík Netfang og persónuverndarfyrirspurnir: boki@boki.is
Um persónuupplýsingar í bókhaldsgögnum sem viðskiptavinir okkar halda í þjónustunni („gögn viðskiptavinar“) er viðskiptavinurinn ábyrgðaraðili og Bóki vinnsluaðili fyrir hans hönd (kafli 10).
2. Hverja stefnan nær til
- Notendur — einstaklingar sem skrá sig inn: eigendur, starfsmenn og bókarar viðskiptavina okkar.
- Þriðju aðilar í gögnum viðskiptavinar — t.d. birgjar, viðskiptavinir og starfsmenn viðskiptavina okkar sem koma fyrir á kvittunum, reikningum, bankafærslum og launagögnum. Fyrir þá er viðskiptavinur okkar ábyrgðaraðili.
- Gestir á boki.is og áhugasamir sem hafa samband eða skrá sig á biðlista.
3. Hvaða persónuupplýsingum við söfnum
3.1 Aðgangs- og notendaupplýsingar
Nafn, netfang, tungumálaval, hlutverk í félagi (eigandi, stjórnandi, skanni, starfsmaður), lykilorðshash, stillingar tveggja þátta auðkenningar og skráning um samþykki skilmála.
3.2 Gögn viðskiptavinar sem við vinnum fyrir hans hönd
Viðskiptavinir senda fjárhagsgögn í þjónustuna — fyrst og fremst myndir og PDF-skjöl af kvittunum og reikningum, rafræna reikninga um Peppol-netið, banka- og kortafærslur, sölureikninga og launagögn. Í þeim geta verið persónuupplýsingar um starfsmenn, birgja og viðskiptavini viðskiptavinarins, svo sem nöfn, kennitölur, heimilisföng, bankareikningsnúmer, laun, lífeyrissjóðs- og stéttarfélagsaðild og aðrar fjárhagsupplýsingar.
3.3 Gögn úr appinu
- Myndavél og myndasafn: aðeins notað þegar þú velur sjálfur að mynda eða velja kvittun. Myndin er send í þjónustuna; appið skannar ekki myndasafnið og les ekki myndir sem þú velur ekki.
- Tilkynningar: leyfir þú tilkynningar geymum við push-auðkenni tækisins svo við getum látið vita, t.d. þegar rafrænn reikningur berst. Þú getur afturkallað það í stillingum símans.
- Tækjaupplýsingar: stýrikerfi (iOS/Android) og útgáfa appsins, til bilanagreiningar.
- Í appinu er engin auglýsinga-, rakningar- eða greiningartækni og það rekur þig ekki milli annarra appa eða vefsíðna.
3.4 Notkunar-, tækja- og atburðaskrár
IP-tala, vafra- og tækjaupplýsingar, tímastimplar, aðgerðir í þjónustunni og villu- og greiningargögn. Vefforritið notar aðeins nauðsynlegar vefkökur; kynningarvefurinn boki.is hefur eigin vefkökutilkynningu.
3.5 Reikningsupplýsingar
Áskriftarleið og staða, og reikningar sem við gefum út til þín. Kortagreiðslur, þar sem þær eru í boði, fara um greiðslumiðlun; við geymum ekki kortanúmer.
3.6 Gögn úr tengdri þjónustu
Þegar þú tengir banka, kortaveitu, rafrænt reikninganet eða aðra tengingu berast okkur gögn þaðan eftir þinni heimild. Þau eru unnin sem gögn viðskiptavinar.
3.7 Samskipti
Skilaboð sem þú skiptist á við bókara Bóka í spjalli appsins, tölvupóstur til þjónustu og viðhengi.
4. Tilgangur vinnslu og lagagrundvöllur
| Tilgangur | Lagagrundvöllur (GDPR 6. gr. 1. mgr.) |
|---|---|
| Veita, reka og styðja þjónustuna; auðkenna þig; lesa kvittanir með OCR og gervigreind og útbúa bókhaldsfærslur; para færslur; afhenda rafræna reikninga og tilkynningar | Samningur (b) |
| Yfirferð bókhalds af innri bókurum Bóka, að beiðni viðskiptavinar eða sem hluti þjónustunnar | Samningur (b) |
| Þjónustuskilaboð (reikningar, öryggi, vara, lög) | Samningur (b) |
| Varðveisla bókhaldsgagna í lögbundinn tíma | Lagaskylda (c) — lög nr. 145/1994 um bókhald, lög um virðisaukaskatt og skatta |
| Öryggi, varnir gegn misnotkun, rannsókn atvika, framfylgd skilmála | Lögmætir hagsmunir (f) |
| Bæta þjónustuna: samanteknar mælingar, villuvöktun og að læra af leiðréttingum bókara til að bæta sjálfvirka bókun. Bókunarreglur sem verða til við það eru bundnar við birgja og bókhaldslykla, ekki einstaka viðskiptavini, og geta nýst öðrum viðskiptavinum. Við þjálfum ekki gervigreindarlíkön á gögnum viðskiptavina og heimilum undirvinnsluaðilum okkar ekki að gera það. | Lögmætir hagsmunir (f) |
| Markaðssetning til núverandi viðskiptavina um sambærilega þjónustu | Lögmætir hagsmunir (f), með afþökkun |
| Markaðssetning til áhugasamra og biðlista | Samþykki (a) |
Sjálfvirk vinnsla. Þjónustan notar OCR og gervigreindarlíkön til að draga upplýsingar úr kvittunum og leggja til bókhaldsfærslur. Tillögurnar eru yfirfarnar af þér eða bókara Bóka; við tökum ekki sjálfvirkar ákvarðanir sem hafa réttaráhrif eða sambærileg áhrif á þig (22. gr. GDPR).
5. Undirvinnsluaðilar og flutningur utan EES
| Undirvinnsluaðili | Tilgangur | Staðsetning |
|---|---|---|
| Supabase, Inc. | Gagnagrunnur, auðkenning, skráageymsla | ESB (Stokkhólmur, eu-north-1) |
| Google Cloud (Google Ireland Ltd. / Google LLC) | Geymsla og vinnsla kvittanamynda, textalestur (Cloud Vision), verkraðir | Bandaríkin (us-central1), með stöðluðum samningsskilmálum ESB |
| OpenAI, L.L.C. | Gervigreindarútdráttur úr kvittunum og reikningum | Bandaríkin, með stöðluðum samningsskilmálum ESB |
| Vercel Inc. | Hýsing vefforrits | Bandaríkin/ESB, með stöðluðum samningsskilmálum ESB |
| Resend, Inc. | Tölvupóstsendingar | Bandaríkin, með stöðluðum samningsskilmálum ESB |
| Sentry (Functional Software, Inc.) | Villuvöktun (vefur) | ESB (Þýskaland) |
| Expo (650 Industries, Inc.), Apple Inc., Google LLC | Afhending tilkynninga í síma | Bandaríkin |
| Arion banki hf., Íslandsbanki hf., Landsbankinn hf. | Banka- og kortagögn (að frumkvæði viðskiptavinar) | Ísland |
| InExchange Factorum AB | Rafrænir reikningar (Peppol) | Svíþjóð (ESB) |
| Creditinfo Lánstraust hf. / Þjóðskrá Íslands | Uppflettingar á félögum og auðkennum | Ísland |
Séu persónuupplýsingar fluttar út fyrir EES styðjumst við við staðlaða samningsskilmála framkvæmdastjórnar ESB ásamt viðbótarráðstöfunum þar sem þörf er. Afrit fæst gegn beiðni. Listinn er haldinn uppfærðum og viðskiptavinum tilkynnt um verulegar breytingar.
6. Miðlun
Við miðlum persónuupplýsingum aðeins til undirvinnsluaðilanna að ofan, sem vinna eftir okkar fyrirmælum; til annarra heimilaðra notenda í félagi þínu; til þjónustu sem þú tengir sjálfur; til ráðgjafa bundinna trúnaði; og til yfirvalda þegar lög krefjast. Við seljum ekki persónuupplýsingar og miðlum þeim ekki til auglýsinganeta.
7. Geymslutími
- Bókhaldsgögn (gögn viðskiptavinar) eru geymd í sjö ár frá lokum viðkomandi reikningsárs eins og lög nr. 145/1994 um bókhald krefjast, einnig eftir að aðgangi er eytt eða áskrift lýkur. Að þeim tíma liðnum er þeim eytt eða þau gerð ópersónugreinanleg.
- Aðgangs- og notendaupplýsingar eru geymdar meðan aðgangur er virkur. Þegar þú eyðir aðgangi eru nafn og netfang afmáð og innskráning gerð óvirk; bókhaldsgögn eru geymd eins og að ofan greinir.
- Samskipti og þjónustubeiðnir: allt að þrjú ár frá síðustu samskiptum.
- Kerfis- og öryggisskrár: allt að tólf mánuðir.
- Markaðsgögn: þar til þú afþakkar.
- Dulkóðuð afrit hverfa samkvæmt föstu afritunarskipulagi.
8. Öryggi
Við notum dulkóðun í flutningi (TLS) og í geymslu, hlutverkabundna aðgangsstýringu með raðaöryggi í gagnagrunni, tveggja þátta auðkenningu fyrir aðganga með auknum réttindum, óbreytanlegar atburðaskrár á fjárhagstöflum og afritunar- og endurheimtarferla. Sé líklegt að öryggisbrestur skapi áhættu fyrir réttindi þín tilkynnum við Persónuvernd innan 72 klukkustunda (33. gr. GDPR) og hlutaðeigandi einstaklingum eða ábyrgðaraðilum þar sem krafist er (34. gr.).
9. Réttindi þín
Þú átt rétt á aðgangi (15. gr.), leiðréttingu (16.), eyðingu (17.), takmörkun (18.), flutningi (20.) og andmælum (21.), á að afturkalla samþykki hvenær sem er og á að leggja fram kvörtun hjá Persónuvernd (personuvernd.is). Hafðu samband við boki@boki.is; við svörum innan mánaðar og gætum þurft að staðfesta auðkenni þitt. Séu gögnin hluti af bókhaldi viðskiptavinar vísum við beiðninni til hans og aðstoðum. Lögbundin varðveisla bókhaldsgagna getur takmarkað eyðingu.
Eyðing aðgangs. Þú getur eytt aðgangi þínum í appinu (Minn aðgangur → Eyða aðgangi) eða með því að hafa samband. Eyðingin tekur strax gildi fyrir innskráningu og persónuupplýsingar; bókhaldsgögn eru varðveitt eins og lýst er í 7. kafla.
10. Þegar við erum vinnsluaðili
Um gögn viðskiptavinar vinnur Bóki aðeins eftir skjalfestum fyrirmælum viðskiptavinar; tryggir að starfsfólk með aðgang — þar með taldir innri bókarar Bóka — sé bundið trúnaði; beitir viðeigandi tæknilegum og skipulagslegum ráðstöfunum; semur skriflega við undirvinnsluaðila; aðstoðar viðskiptavin við beiðnir skráðra einstaklinga og tilkynningar um öryggisbresti; og eyðir eða skilar gögnum við lok samnings með fyrirvara um lögbundna varðveislu. Vinnsluskilmálar okkar eru hluti af samningi við viðskiptavini.
11. Börn
Þjónustan er ætluð fyrirtækjum og notendum 18 ára og eldri. Við söfnum ekki vitandi vits upplýsingum um börn.
12. Breytingar
Við kunnum að uppfæra stefnuna. Minniháttar breytingar taka gildi við birtingu á app.boki.is/personuvernd með nýrri dagsetningu; verulegar breytingar eru tilkynntar með tölvupósti eða í þjónustunni fyrirfram þar sem því verður við komið.
13. Ráðandi tungumál
Stefnan er birt á íslensku og ensku. Íslenska útgáfan er gildandi texti; enska útgáfan er til hægðarauka og víki þeim á, gildir sú íslenska.
14. Samskipti
Bóki Hugbúnaður ehf. · Grensásvegi 50, 108 Reykjavík · Kennitala 690725-0530 · VSK 158079 boki@boki.is (almenn samskipti og persónuvernd) Eftirlitsstjórnvald: Persónuvernd, personuvernd.is