Persónuverndarstefna

Norrstone („Norrstone“, „við“, „okkur“, „okkar“) rekur Norrstone Vault vettvanginn — þjónustu fyrir stafræn skírteini, eignarhald og endursölu vandaðra skartgripa og úra. Þessi persónuverndarstefna lýsir því hvernig við söfnum, notum, miðlum og verndum persónuupplýsingar þegar þú notar vefsíðu okkar, smáforrit eða aðra þjónustu sem vísar til þessarar stefnu (samanlagt „þjónustan“).

Ábyrgðaraðili að vinnslu persónuupplýsinga þinna samkvæmt stefnu þessari er Norrstone ehf., kt. 681025-0490, Haukdælabraut 6, Reykjavík, ásamt Norrstone Ltd. sem sameiginlegir ábyrgðaraðilar þar sem við á.

Ef þú hefur spurningar, hafðu samband á privacy@norrstone.com.

Við söfnum eftirfarandi flokkum persónuupplýsinga:

• Aðgangsupplýsingar — nafn, netfang, auðkenni innskráningar (t.d. Google OAuth-auðkenni, Apple-innskráningarauðkenni), tætigildi lykilorða (þar sem við á) og valið tungumál.
• Kaup- og skírteinisupplýsingar — söluaðilinn sem gaf út skírteinið þitt, pöntunartilvísun, vörulýsing, kaupdagur og staða skírteinis.
• Bálkakeðjugögn — opinbert veskisfang sem tengist skírteininu þínu og færslugögn á keðjunni (auðkenni tákneiningar, vistfang snjallsamnings, færslutæti). Bálkakeðjugögn eru í eðli sínu opinber.
• Notkunargögn — tegund tækis, stýrikerfi, útgáfa forrits, IP-tala, tungumál, hrun- og villutilkynningar og notkunaratburðir sem nauðsynlegir eru til að reka og bæta þjónustuna.
• Samskipti — skilaboð sem þú sendir okkur og þjónustubeiðnir.
• Umsækjandaupplýsingar vegna vátrygginga — aðeins safnað þegar þú hefur tryggingarumsókn og eingöngu notaðar til áhættumats, auðkenningar og uppgjörs tjóna. Þetta eru lögheiti (eiginnafn og kenninafn), fæðingardagur, kennitala eða sambærilegt auðkenni (t.d. personnummer, CPR, fødselsnummer, henkilötunnus eða númer vegabréfs / opinbers skilríkis), símanúmer á alþjóðlegu sniði og lögheimili (gata, póstnúmer, staður, land). Um miðlun þessara gagna fer eftir 10. kafla.

• Til að stofna og halda utan um Norrstone Vault aðganginn þinn.
• Til að gefa út, birta og framselja stafræn eignarskírteini.
• Til að senda þér þjónustutilkynningar, öryggisviðvaranir og færslutengdan tölvupóst.
• Til að reka, vakta, villuleita og bæta þjónustuna.
• Til að greina og koma í veg fyrir svik, misnotkun og óheimilan aðgang.
• Til að uppfylla lagaskyldur og framfylgja þjónustuskilmálum okkar.

Þar sem persónuverndarreglugerð ESB (GDPR) eða bresk útgáfa hennar (UK GDPR) á við, byggist vinnsla okkar á eftirfarandi lagagrundvelli:

• Samningur — til að veita þér þjónustuna sem þú skráðir þig í.
• Lögmætir hagsmunir — til að tryggja öryggi, bæta og reka þjónustuna, að teknu tilliti til réttinda þinna.
• Samþykki — þar sem þú hefur veitt okkur heimild (t.d. markpóstur).
• Lagaskylda — þar sem lög krefjast.

Við seljum ekki persónuupplýsingar. Við miðlum þeim aðeins til þjónustuveitenda og samstarfsaðila sem aðstoða okkur við rekstur þjónustunnar, og aðeins að því marki sem nauðsynlegt er. Núverandi undirvinnsluaðilar okkar eru meðal annars:

• Supabase — gagnagrunnur, auðkenning, skráageymsla og bakvinnsla (ESB, Frankfurt).
• Vercel — hýsing vefforrita (jaðarnet í Bandaríkjunum og ESB).
• Stripe — greiðsluvinnsla vegna markaðstorgskaupa og vátryggingariðgjalda og útgreiðslur til seljenda um Stripe Connect (Bandaríkin, stöðluð samningsákvæði).
• Resend — sending færslutengds tölvupósts (Bandaríkin, stöðluð samningsákvæði).
• Polygon-bálkakeðjan (um RPC-veitu á borð við Alchemy eða QuickNode) — geymir ófalsanlega skráningu hvers skírteinis. Við skráum aldrei nafn þitt, netfang, heimilisfang eða persónulegt veskisfang á bálkakeðjuna.
• Sentry — villuvöktun bakendaferla eingöngu; ekki notað á vefsíðunum eða í smáforritinu (Bandaríkin, stöðluð samningsákvæði).
• Expo, Apple APNs og Google FCM — ýtitilkynningar smáforritsins, kjósir þú að virkja þær.
• Shopify — tengi söluaðili Shopify-verslun sína flæða takmörkuð OAuth- og pöntunargögn um Shopify.
• Google / Apple — aðeins ef þú skráir þig inn með Google eða Apple.
• Vátryggingafélög í samstarfi — sjálfstæð vátryggingafélög sem meta áhættu og þjónusta vátrygginguna þína. Við miðlum aðeins því sem þú samþykkir sérstaklega að miðla þegar þú sækir um eða viðheldur vátryggingu (sjá 10. kafla).
• Stjórnvöld og löggæsla — þegar okkur er það skylt að lögum eða þegar nauðsynlegt er til að vernda réttindi, öryggi eða eignir.

Tæmandi og uppfærður listi, með tilgangi og staðsetningu hvers veitanda, er á síðunni Undirvinnsluaðilar.

Þar sem Norrstone Vault skírteini eru skráð sem NFT á Polygon-bálkakeðjunni eru tiltekin gögn — þar á meðal veskisfangið sem heldur á skírteininu hverju sinni og framsalssagan — geymd í opinberri, dreifðri færsluskrá sem hvorki við né þú getum eytt eða breytt. Við skráum hvorki nafn þitt, netfang né heimilisfang á bálkakeðjuna. Aðeins veskisauðkenni og lýsigögn skírteinisins eru geymd á keðjunni.

Við varðveitum persónuupplýsingar á meðan aðgangurinn þinn er virkur og um tiltekið tímabil eftir það, til að uppfylla lagaskyldur, leysa úr ágreiningi og framfylgja samningum okkar. Varðveislutími er mismunandi eftir gagnaflokkum:

• Aðgangsupplýsingar — þar til þú óskar eftir eyðingu aðgangsins. Við eyðingu eru nafn, netfang og símanúmer gerð nafnlaus í kerfum okkar; undirliggjandi viðskiptavinafærsla varðveitist án persónugreinanlegra upplýsinga svo skírteini og pöntunarsaga haldist samkvæm gagnvart þeim söluaðilum sem þú verslaðir við.
• Skírteini — varðveitt ótímabundið sem sönnun um útgáfu og eignarhaldssögu. Nafn þitt er fjarlægt við eyðingu aðgangs; auðkenni skírteinisins stendur eftir.
• Markaðstorgspantanir og greiðslur — varðveittar vegna skatta, svikavarna og úrlausnar ágreinings í þann tíma sem lög áskilja (sjö ár samkvæmt 20. gr. laga nr. 145/1994 um bókhald).
• Vátryggingarumsóknir, vátryggingar og tjónstilkynningar — vátryggingafélaginu sem tryggir er skylt samkvæmt löggjöf á fjármálamarkaði að varðveita tjónsskjöl og tengd gögn í nokkur ár eftir lok vátryggingar, að jafnaði sex til tíu ár eftir lögsögu. Við varðveitum eigið eintak jafnlengi.
• Samskipti, tilkynningar og atburðaskrár — varðveitt eins lengi og þörf krefur vegna öryggis, regluvörslu og þjónustu.
• Skammlíf gögn (aðgangstakmörkunarfærslur, útrunnin sóknartákn, OAuth-einnotagildi, lotugögn) — hreinsuð sjálfkrafa þegar þeirra er ekki lengur þörf, að jafnaði innan mínútna eða klukkustunda.
• Gögn á bálkakeðju (sjá 6. kafla) — verða ekki afmáð.

Eftir búsetu þinni kannt þú að eiga rétt á að:

• fá aðgang að þeim persónuupplýsingum sem við varðveitum um þig;
• fá leiðréttar rangar eða ófullnægjandi upplýsingar;
• óska eftir eyðingu gagna utan bálkakeðju;
• andmæla tiltekinni vinnslu eða fá hana takmarkaða;
• fá gögnin þín afhent á tölvutæku sniði (gagnaflutningur);
• afturkalla samþykki hvenær sem er, byggist vinnsla á samþykki;
• leggja fram kvörtun hjá persónuverndaryfirvöldum — á Íslandi hjá Persónuvernd (personuvernd.is).

Til að neyta þessara réttinda sendu póst á privacy@norrstone.com. Við svörum innan þeirra tímamarka sem lög áskilja. Þú getur sömuleiðis neytt réttar þíns til gagnaútflutnings og eyðingar beint í smáforritinu undir Aðgangur → Persónuvernd og gögn.

Aðalgagnagrunnur okkar og skráageymsla eru hýst innan Evrópusambandsins (Frankfurt, Þýskalandi). Sumir undirvinnsluaðilar okkar — til dæmis Stripe, Resend og Sentry — eru með starfsemi í Bandaríkjunum. Þegar persónuupplýsingar eru fluttar til lands utan Evrópska efnahagssvæðisins eða Bretlands styðjumst við við viðeigandi verndarráðstafanir, svo sem stöðluð samningsákvæði framkvæmdastjórnar ESB og bresk hliðstæð ákvæði, og eftir atvikum ákvarðanir um fullnægjandi vernd.

Óskir þú eftir vátryggingarvernd fyrir skírteini söfnum við (a) áhættumatsupplýsingum — skírteininu, yfirlýstu verðmæti, hvernig og hvar gripurinn er geymdur og hversu oft er ferðast með hann — og (b) auðkennisupplýsingum umsækjanda, þ.e. lögheiti, fæðingardegi, kennitölu eða sambærilegu auðkenni, símanúmeri og lögheimili. Auðkennisupplýsingar eru nauðsynlegar því evrópskum vátryggingafélögum ber að staðreyna hver vátryggingartaki er samkvæmt reglum um áreiðanleikakönnun og aðgerðir gegn peningaþvætti, að ná í þig vegna tjónsuppgjörs og að greiða tjónabætur til sannreynds einstaklings.

Auðkennisupplýsingum umsækjanda er aðeins safnað þegar þú hefur tryggingarumsókn — ekki við nýskráningu. Lagagrundvöllur vinnslunnar er framkvæmd samnings að þinni beiðni (6. gr. 1. mgr. b-liður pvrg.). Við geymum þessar upplýsingar undir aðgangsstýringum sem heimila aðeins þér að lesa þær og breyta þeim, og endurnýtum þær í síðari umsóknum þínum svo þú þurfir ekki að slá þær inn aftur.

Við miðlum þessum gögnum til vátryggingafélags aðeins þegar þú sendir umsókn til þess tiltekna félags og staðfestir samþykkisyfirlýsinguna á yfirlitsskjánum. Við skráum hverja veitingu og afturköllun samþykkis fyrir miðlun vátryggingagagna, ásamt tímasetningu og tækjaupplýsingum, til sönnunar um samþykki samkvæmt 7. gr. pvrg.

Þegar vátrygging hefur verið staðfest er vátryggingafélagið sjálfstæður ábyrgðaraðili að áhættumats-, auðkennis- og tjónagögnum og varðveitir tjónsskjöl í þann tíma sem löggjöf á fjármálamarkaði áskilur (að jafnaði sex til tíu ár eftir lok vátryggingar). Tjónagögn sem þú hleður upp (ljósmyndir, skjöl) eru geymd í lokaðri geymslu með aðgangi takmörkuðum við þig, vátryggingafélagið sem tryggir viðkomandi vátryggingu og rekstrarteymi okkar þegar brýna nauðsyn ber til vegna þjónustu.

Við gerum viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda persónuupplýsingar þínar, þar á meðal dulkóðun í flutningi, dulkóðaða geymslu, hlutverkabundnar aðgangsstýringar og reglubundna vöktun. Engin netþjónusta er fullkomlega örugg og við getum ekki ábyrgst algjört öryggi gagna þinna.

Norrstone Vault er ekki ætlað börnum yngri en 16 ára. Við söfnum ekki vitandi vits persónuupplýsingum um börn yngri en 16 ára. Teljir þú að barn hafi látið okkur í té persónuupplýsingar, hafðu samband og við eyðum þeim.

Við kunnum að uppfæra þessa persónuverndarstefnu. Verði gerðar verulegar breytingar á stefnunni tilkynnum við þér það með hæfilegum fyrirvara (t.d. með tölvupósti eða áberandi tilkynningu í þjónustunni). Breytt stefna tekur gildi við birtingu.

Norrstone ehf.
Haukdælabraut 6, Reykjavík, Ísland
privacy@norrstone.com