Ábyrgðaraðili: Rubix Ísland ehf., kt. 501110-0190.
Heimilisfang: Dalvegi 32a, 201 Kópavogi.
Netfang persónuverndar: data-privacy@Rubix.com.
Vefur: rubix.is.
Gildir frá: 7.7.2026.
1. UM ÞESSA STEFNU.
Þessi stefna lýsir því hvernig Rubix Ísland ehf. („Rubix“, „við“) safnar og vinnur persónuupplýsingar um einstaklinga í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og reglugerð (ESB) 2016/679 (GDPR).
Stefnan gildir um viðskiptavini, hugsanlega viðskiptavini, notendur vefsins rubix.is og tengiliði hjá fyrirtækjum sem eiga í viðskiptum við okkur. Hún á jafnt við hvort sem þú kaupir sem neytandi eða fyrir hönd fyrirtækis. Þegar keypt er fyrir hönd fyrirtækis beinist vinnslan að þeim einstaklingum sem koma fram fyrir hönd þess (tengiliðum), enda taka persónuverndarlög aðeins til upplýsinga um einstaklinga, ekki lögaðila.
Rubix Ísland ehf. er ábyrgðaraðili þeirrar vinnslu sem hér er lýst.
2. HVAÐA PERSÓNUUPPLÝSINGUM VIÐ SÖFNUM.
Eftir atvikum söfnum við eftirfarandi flokkum upplýsinga:
• Auðkennis- og tengiliðaupplýsingar: nafn, kennitala (þegar nauðsyn krefur, t.d. vegna reikninga og innheimtu), heimilisfang, netfang, símanúmer, notandanafn.
• Upplýsingar um fyrirtæki og starf: nafn fyrirtækis, starfsheiti og hlutverk tengiliðar.
• Viðskipta- og færsluupplýsingar: pantanir, kaupsaga, reikningar, greiðslustaða og samskiptasaga.
• Greiðsluupplýsingar: við tökum ekki við né geymum kortanúmer; kortafærslur fara um örugga greiðslugátt færsluhirðis. Við geymum staðfestingu á greiðslu, ekki kortagögn.
• Tækni- og notkunarupplýsingar: IP-tala, tækja- og vafraupplýsingar, og hegðun á vefnum sem safnast um vafrakökur (sjá 6. og 7. gr.).
• Markaðsupplýsingar: hvort þú hafir samþykkt markaðspóst og hvernig þú bregst við honum.
• Myndefni úr eftirlitsmyndavélum á starfsstöðvum (sjá 11. gr.).
Við söfnum ekki viðkvæmum persónuupplýsingum (t.d. um heilsu, kynþátt, trú eða stjórnmálaskoðanir) um viðskiptavini, og biðjum þig um að senda okkur ekki slíkar upplýsingar að óþörfu.
3. HVERNIG UPPLÝSINGUM ER SAFNAÐ.
Við söfnum upplýsingum (a) beint frá þér þegar þú stofnar aðgang, verslar, skráir þig á póstlista, hefur samband eða tekur þátt í könnun eða leik; (b) sjálfvirkt þegar þú notar vefinn, um vafrakökur og sambærilega tækni; og (c) eftir atvikum frá þriðju aðilum, svo sem úr opinberum skrám, af vef fyrirtækja (vegna B2B-tengiliða) eða frá lánshæfismatsfyrirtæki (t.d. Creditinfo) þegar meta þarf greiðsluhæfi vegna reikningsviðskipta.
4. TILGANGUR VINNSLU OG LAGAGRUNDVÖLLUR.
Við vinnum aðeins persónuupplýsingar þegar til þess er lögmæt heimild skv. 9. gr. laga nr. 90/2018 / 6. gr. GDPR. Hér að neðan er hver tilgangur, þær upplýsingar sem hann tekur til og lagagrundvöllurinn:
• Aðgangur og viðskiptareikningur — Auðkenni, tengiliður. Grundvöllur: efndir samnings (6.1.b).
• Afgreiðsla pantana, afhending og þjónusta — Auðkenni, tengiliður, færsla. Grundvöllur: efndir samnings (6.1.b).
• Greiðslur og innheimta ógreiddra krafna — Auðkenni, tengiliður, færsla. Grundvöllur: efndir samnings (6.1.b); lögmætir hagsmunir af innheimtu (6.1.f).
• Bókhalds- og skattskylda — Auðkenni, færsla. Grundvöllur: lagaskylda (6.1.c), sbr. lög nr. 145/1994 um bókhald.
• Mat á greiðsluhæfi vegna reikningsviðskipta — Auðkenni, fjárhagsupplýsingar frá þriðja aðila. Grundvöllur: lögmætir hagsmunir (6.1.f); eftir atvikum samningur.
• Samskipti og þjónusta, þ.m.t. tilkynningar um breytingar á skilmálum eða þessari stefnu — Auðkenni, tengiliður. Grundvöllur: efndir samnings (6.1.b); lagaskylda (6.1.c); lögmætir hagsmunir (6.1.f).
• Markaðspóstur og fréttabréf (Klaviyo) — Auðkenni, tengiliður, markaðsupplýsingar. Grundvöllur: samþykki (6.1.a), sjá 5. gr.
• Tölfræði og greining á notkun vefsins — Tækni, notkun. Grundvöllur: samþykki (6.1.a) um kökur, sjá 6.–7. gr.
• Markaðssetning og endurmarkaðssetning á netinu — Tækni, notkun, markaðsupplýsingar. Grundvöllur: samþykki (6.1.a) um kökur, sjá 6.–7. gr.
• Öryggi vefsins, villuleit og varnir gegn svikum — Tækni, notkun. Grundvöllur: lögmætir hagsmunir (6.1.f).
• Öryggi og eignavarsla á starfsstöðvum (myndavélar) — Myndefni. Grundvöllur: lögmætir hagsmunir (6.1.f); lög nr. 90/2018 og reglur nr. 50/2023.
5. MARKAÐSPÓSTUR OG KLAVIYO.
Við sendum markaðspóst og fréttabréf um tölvupóstkerfið Klaviyo, og eingöngu til þeirra sem hafa skráð sig sérstaklega (opt-in). Skráning á póstlista og kaup á vöru eru tvennt ólíkt: það eitt að versla setur þig ekki á póstlista.
Þú getur hvenær sem er dregið samþykki þitt til baka og afskráð þig, með hlekk í hverjum pósti eða með því að hafa samband við okkur. Afturköllun hefur ekki áhrif á lögmæti vinnslu fram að afturköllun.
Athugið að samþykki fyrir markaðspósti (5. gr.) er aðskilið frá samþykki fyrir markaðskökum á vefnum (6.–7. gr.); hvort um sig er veitt og afturkallað sjálfstætt.
6. VAFRAKÖKUR OG COOKIEHUB.
Vefurinn notar vafrakökur. Samþykki fyrir kökum er sótt og því stýrt í gegnum samþykkislausnina CookieHub. Kökum er skipt í þrjá flokka:
• Nauðsynlegar kökur — bráðnauðsynlegar fyrir grunnvirkni vefsins (t.d. innskráning, karfa og að muna kökuvalið þitt). Þessar keyra á grundvelli lögmætra hagsmuna og undanþágu fyrir bráðnauðsynlegar kökur og eru ekki háðar samþykki.
• Tölfræðikökur — hjálpa okkur að greina notkun vefsins (Google Analytics). Keyra aðeins með samþykki þínu.
• Markaðskökur — notaðar til að rekja gesti og birta viðeigandi auglýsingar (Meta Pixel, Klaviyo). Keyra aðeins með samþykki þínu.
Tölfræði- og markaðskökur eru sjálfgefið óvirkar þar til þú kveikir á þeim, og þær eru ekki keyrðar fyrr en samþykki liggur fyrir. Þú getur hvenær sem er breytt eða dregið til baka kökusamþykki þitt með því að opna kökustillingar á vefnum [tengill / „Kökustillingar“].
7. VEFMÆLINGAR OG TÓL ÞRIÐJA AÐILA.
Við notum eftirfarandi tól, sem safna persónuupplýsingum (þ.m.t. netauðkennum á borð við IP-tölu og köku-auðkenni) þegar viðeigandi samþykki liggur fyrir:
• Google Analytics (Google Ireland/Google LLC) — tölfræði um notkun vefsins.
• Meta Pixel (Meta Platforms Ireland) — mæling og endurmarkaðssetning. Að því er varðar söfnun og miðlun gagna um Meta Pixel erum við og Meta sameiginlegir ábyrgðaraðilar í skilningi 26. gr. GDPR, samkvæmt skilmálum Meta um sameiginlega ábyrgð.
• Klaviyo — mæling á vefhegðun tengd markaðssetningu.
Þessi gögn eru ekki nafnlaus. Um flutning þeirra út fyrir EES gildir 9. gr.
8. VIÐTAKENDUR PERSÓNUUPPLÝSINGA.
Við seljum aldrei persónuupplýsingar. Við miðlum þeim aðeins til eftirtalinna, í þeim tilgangi sem lýst er hér að ofan:
• Vinnsluaðilar sem vinna upplýsingar fyrir okkar hönd samkvæmt vinnslusamningi (28. gr. GDPR): hýsingar- og upplýsingatækniþjónusta, CookieHub, Google, Meta, Klaviyo, greiðsluþjónusta (færsluhirðir) og flutningsaðilar.
• Fagaðilar eins og endurskoðendur, lögmenn og innheimtuaðilar, þegar nauðsyn krefur.
• Önnur félög innan Rubix-samstæðunnar, þegar það er nauðsynlegt vegna reksturs og þjónustu.
• Opinber yfirvöld, þegar okkur er það skylt að lögum.
Við krefjumst þess að allir vinnsluaðilar tryggi öryggi upplýsinganna og noti þær aðeins samkvæmt fyrirmælum okkar.
9. FLUTNINGUR ÚT FYRIR EES.
Sum tólanna sem við notum (t.d. Google, Meta og Klaviyo) fela í sér flutning persónuupplýsinga til Bandaríkjanna. Slíkur flutningur fer aðeins fram þegar viðeigandi vernd er tryggð, á grundvelli aðlögunarákvörðunar (EU–US Data Privacy Framework, þegar viðtakandi er vottaður) eða staðlaðra samningsskilmála framkvæmdastjórnar ESB (SCC) ásamt viðbótarráðstöfunum eftir því sem við á. Þú getur fengið nánari upplýsingar um þá heimild sem gildir í hverju tilviki með því að hafa samband.
10. VARÐVEISLUTÍMI.
Við geymum persónuupplýsingar ekki lengur en nauðsynlegt er:
• Bókhaldsgögn (reikningar, færslur): 7 ár frá lokum viðkomandi reikningsárs, sbr. lög nr. 145/1994.
• Viðskiptareikningur og kaupsaga: á meðan aðgangur er virkur og í hæfilegan tíma eftir það vegna þjónustu, ábyrgðar og hugsanlegra krafna.
• Póstlisti / markaðssamþykki: þar til þú afskráir þig eða dregur samþykki til baka.
• Vafrakökur: samkvæmt gildistíma hverrar köku, sem birtur er í kökuupplýsingum CookieHub.
• Myndefni úr eftirlitsmyndavélum: að hámarki 30 dagar (sjá 11. gr.).
• Fyrirspurnir og samskipti: í hæfilegan tíma eftir að erindi er lokið.
11. EFTIRLITSMYNDAVÉLAR (RAFRÆN VÖKTUN).
Þjónusturými, vörugeymslur og almenn svæði á starfsstöðvum eru vöktuð með eftirlitsmyndavélum í öryggis- og eignavörsluskyni og til að tryggja rekjanleika vörusendinga. Vinnslan er í samræmi við lög nr. 90/2018 og reglur Persónuverndar nr. 50/2023 um rafræna vöktun. Vöktuð svæði eru merkt með áberandi hætti.
Myndefni er eytt eigi síðar en að 30 dögum liðnum (og aldrei varðveitt lengur en 90 daga nema lög eða dómsúrskurður heimili). Aðgangur að myndefni er takmarkaður og að jafnaði eru upptökur ekki skoðaðar nema nauðsyn beri til, t.d. vegna rakningar vörusendinga eða öryggisbrests. Sá sem sætt hefur vöktun á rétt á að fá að sjá myndefni af sér, og skal slík beiðni afgreidd eigi síðar en innan eins mánaðar. Nánar er fjallað um vöktunina í sérstökum verklagsreglum sem eru aðgengilegar á vef félagsins.
12. ÖRYGGI PERSÓNUUPPLÝSINGA.
Við beitum viðeigandi tæknilegum og skipulagslegum ráðstöfunum til að vernda persónuupplýsingar gegn því að þær glatist, breytist, verði birtar eða aðgangur fáist að þeim í heimildarleysi. Aðgangur starfsfólks er takmarkaður við þá sem hans þurfa vegna starfa sinna og bundinn þagnarskyldu. Komi upp öryggisbrestur sem líklegur er til að hafa í för með sér áhættu fyrir réttindi einstaklinga tilkynnum við hann til Persónuverndar, og til þín þegar okkur er það skylt.
13. RÉTTINDI ÞÍN.
Þú átt eftirfarandi rétt varðandi persónuupplýsingar um þig:
• Aðgangur — að fá staðfest hvort við vinnum upplýsingar um þig og fá afrit af þeim.
• Leiðrétting — að fá rangar eða ófullnægjandi upplýsingar leiðréttar.
• Eyðing („réttur til að gleymast“) — að fá upplýsingum eytt þegar ekki er lengur málefnaleg ástæða til vinnslu.
• Takmörkun vinnslu við tilteknar aðstæður.
• Andmæli gegn vinnslu sem byggist á lögmætum hagsmunum, og ávallt gegn vinnslu í beinum markaðstilgangi.
• Flutningsréttur — að fá upplýsingar sem þú lést okkur í té, og unnar eru á grundvelli samnings eða samþykkis, á tölvutæku formi.
• Afturköllun samþykkis hvenær sem er, þar sem vinnsla byggist á samþykki (t.d. markaðspóstur og kökur), án þess að það hafi áhrif á lögmæti fyrri vinnslu.
Til að nýta réttindi þín skaltu hafa samband við data-privacy@Rubix.com. Við svörum að jafnaði innan eins mánaðar. Við kunnum að þurfa að staðfesta auðkenni þitt áður en beiðni er afgreidd.
14. SJÁLFVIRK ÁKVARÐANATAKA.
Við tökum ekki ákvarðanir sem hafa réttaráhrif fyrir þig eða snerta þig á sambærilega verulegan hátt eingöngu á grundvelli sjálfvirkrar vinnslu, sbr. 22. gr. GDPR.
15. KVÖRTUN TIL PERSÓNUVERNDAR.
Ef þú telur að vinnsla okkar á persónuupplýsingum um þig samrýmist ekki lögum getur þú lagt fram kvörtun hjá Persónuvernd, Rauðarárstíg 10, 105 Reykjavík, personuvernd.is. Við óskum þess þó að þú hafir fyrst samband við okkur svo við fáum tækifæri til að leysa úr málinu.
16. BREYTINGAR Á STEFNUNNI.
Við kunnum að uppfæra þessa stefnu. Nýjasta útgáfa er ávallt birt á rubix.is með uppfærðri dagsetningu. Verði gerðar verulegar breytingar upplýsum við um þær með viðeigandi hætti.
17. TENGILIÐUR.
Fyrirspurnir um persónuvernd sendist á data-privacy@Rubix.com eða Rubix Ísland ehf., Dalvegi 32a, 201 Kópavogi.