Persónuverndarstefna — Rafræni Riddarinn

Síðast uppfært: 2. september 2026

1. Hver er ábyrgðaraðili

SMART Ráðgjöf ehf., kt. 501006-0410, Sjávargötu 13, Ísland, rekur vefinn https://rr.smr.is undir merkinu Rafræni Riddarinn. Endursöluaðilar kunna að hafa endurnefnt kerfið, en það fellur undir þessa persónuverndarstefnu.

Tengiliður persónuverndar: personuvernd@smr.is

Þessi stefna gildir um notendur kerfisins (þá sem fá aðgang að Rafræna Riddaranum). Um reikninga, birgja og bókhaldsgögn félagsins sem þú vinnur í gilda kafli 3: þar er félagið ábyrgðaraðili og við erum vinnsluaðili.

2. Hvaða gögn við vinnum um þig sem notanda, og hvers vegna

Gögn	Tilgangur	Lögmætur grundvöllur (6. gr.)
Nafn, notandanafn, lykilorð	Aðgangur að kerfinu	Samningur, 6. gr. 1. mgr. b
Kennitala	Að bókhaldskerfi félagsins geti tengt þig sem samþykkjanda við rafrænan reikning	Samningur / lögmætir hagsmunir, 6. gr. 1. mgr. b og f
Netfang, sími	Tilkynningar, endurstillt lykilorð, samskipti	Samningur, 6. gr. 1. mgr. b
Hlutverk og aðgangur að félögum/deildum	Aðgangsstýring	Lögmætir hagsmunir (öryggi), 6. gr. 1. mgr. f
Innskráningar- og aðgerðaskrá (þ.m.t. IP-tala)	Öryggi, sönnun, rekjanleiki bókunar	Lögmætir hagsmunir og lagaskylda, 6. gr. 1. mgr. c og f
Vafrastillingar (tölusnið, dagsetning, þéttleiki)	Að viðmótið virki fyrir þig	Lögmætir hagsmunir, 6. gr. 1. mgr. f

Við byggjum ekki kjarnaþjónustuna á samþykki. Samþykki er ekki notað sem skilyrði fyrir aðgangi.

Kennitala er nauðsynleg vegna samþykktarferlisins gagnvart bókhaldskerfi sem er tengt við kerfið. Hún er ekki notuð til markaðssetningar.

3. Gögn félagsins (reikningar, birgjar, starfsmenn)

Þegar þú vinnur í félagi í kerfinu (reikningar, PDF, birgjar, kennitölur lánardrottna, útlagðir reikningar, bankaupplýsingar) er félagið ábyrgðaraðili. Við vinnum þau gögn eingöngu samkvæmt fyrirmælum félagsins og vinnslusamningi (28. gr.).

Greining reikninga. Til að lesa línur, fjárhæðir og birgja af PDF-skjali eða mynd sendum við afrit af skjalinu til Anthropic PBC (Claude). Sú vinnsla fer fram í Bandaríkjunum. Anthropic er undirvinnsluaðili okkar, ekki ábyrgðaraðili. Gögnin eru notuð til að greina reikninginn sem þú baðst um, ekki til að þjálfa grunnlíkan Anthropic, og aðeins það sem þarf fyrir greininguna er sent.

Ef þú ert einstaklingur á reikningi eða í birgjaskrá og vilt nýta réttindi þín, beindu erindinu fyrst til þess félags. Við aðstoðum félagið við að svara.

4. Viðtakendur

Við miðlum gögnum aðeins til:

DK Plus (bókhaldskerfi félagsins), samkvæmt tengingu sem félagið stillir.
Unimaze (áður Sendill) — rafrænt skeytakerfi, samkvæmt tengingu sem félagið stillir.
Anthropic PBC (Claude), til að greina reikninga. Vinnslan fer fram í Bandaríkjunum. Sjá kafla 5.
Ríkisskattstjóra / skatturinn.is, þegar VSK-númer birgja er staðfest.
Hetzner Online GmbH (hýsing vefþjóns og gagnagrunns), Helsinki, Finnlandi — innan EES.
Yfirvalda, ef lög krefjast.

Allir slíkir aðilar fá aðeins það sem þarf fyrir sitt hlutverk.

5. Millifærsla út fyrir EES

Aðalvinnsla kerfisins fer fram á EES — vefþjónn og gagnagrunnur eru hjá Hetzner Online GmbH í Helsinki, Finnlandi. Unimaze (áður Sendill) er íslensk þjónusta; umhverfin mapi.sendill.is og mapi-eu.unimaze.com eru sama þjónustan.

Bandaríkin — Anthropic. Reikningsskjöl (PDF/myndir og texti sem lesinn er úr þeim) eru send til Anthropic PBC í Bandaríkjunum til greiningar. Millifærslan byggir á stöðluðum samningsákvæðum framkvæmdastjórnar ESB (SCC, eining 3: vinnsluaðili til vinnsluaðila) sem eru hluti af vinnsluviðauka (DPA) Anthropic við Commercial Terms. Við höfum gert millifærslumat vegna þessarar vinnslu.

Letur er hýst á okkar eigin þjóni. Vefsíður kerfisins sækja ekkert til þriðja aðila og senda því enga IP-tölu út fyrir EES við að teiknast upp.

6. Varðveisla

Aðgangur notanda: á meðan aðgangur er virkur, og í 12 mánuði eftir að hann er gerður óvirkur, nema bókhald eða sönnun krefjist lengri tíma.
Notendaskrá (innskráning, samþykktir, sending í bókhald, IP): 7 ár frá atburði, í samræmi við bókhaldsskyldu. Henni verður ekki eytt úr kerfinu; gagnagrunnurinn hafnar breytingu og eyðingu.
Reikningar og fylgiskjöl: samkvæmt fyrirmælum félagsins og bókhaldslögum, að jafnaði 7 ár.
Gögn send til Anthropic: Anthropic geymir skjalið og svarið í allt að 30 daga samkvæmt vinnsluviðauka sínum, til öryggiseftirlits, og notar það ekki til að þjálfa líkön. Afrit reikningsins sem við geymum sjálf fer eftir línunni um reikninga hér að ofan.
Lykilorðatenglar: einnota og útrunnir.

7. Réttindi þín

Þú getur óskað eftir aðgangi, afriti, leiðréttingu, takmörkun og — þar sem lög leyfa — eyðingu. Þú getur mótmælt vinnslu sem byggir á lögmætum hagsmunum.

Sum réttindi víkja fyrir bókhaldsskyldu og rekjanleika samþykktra reikninga. Óvirkur aðgangur er ekki það sama og eyðing: nafn og kennitala samþykkjanda geta þurft að standa á vottorði og í notendaskrá.

Til að nýta réttindi: personuvernd@smr.is. Við svörum innan 30 daga.

Þú getur kvartað til Persónuverndar, www.personuvernd.is.

8. Kökur og staðbundin vistun

Við notum nauðsynlega lotuköku til að halda þér innskráðum. Vafrinn geymir einnig valið félag og þéttleika viðmóts (localStorage). Engar markaðs- eða greiningarkökur.

9. Öryggi

Samband er dulkóðað (HTTPS). Aðgangur er hlutverkatengdur og félagsskorðaður. Leyndarmál gagnvart DK og Unimaze eru dulkóðuð og lesast ekki til baka. Notendaskrá er óumbreytanleg. Sending reikninga til Anthropic fer um dulkóðað API.

10. Breytingar

Ef vinnslan breytist að ráði uppfærum við þessa stefnu og birtum dagsetninguna hér efst.