Persónuverndarstefna

Gildir frá 22. júlí 2026

Fivesay er hannað þannig að nafnleynd svarenda sé tæknilega tryggð — ekki bara lofað. Þessi stefna lýsir hvaða upplýsingar við vinnum, hvers vegna, hvar þær eru geymdar og hvaða réttinda þú nýtur samkvæmt persónuverndarlögum nr. 90/2018 og GDPR.

Kjarninn: engin nöfn, netföng, IP-tölur eða tækjaupplýsingar eru vistuð með könnunarsvörum. Við getum ekki rakið svar til einstaklings — og þess vegna getur enginn annar það heldur.

1. Ábyrgðaraðili og hlutverk

Þjónustan er rekin af Nómi ehf., Reykjavík, Íslandi. Fyrirspurnir um persónuvernd: privacy@fivesay.com.

Hlutverk okkar er tvíþætt:

Fyrir vefsíðuna, reikninga og rekstur þjónustunnar er Nómi ehf. ábyrgðaraðili.
Þegar skráður notandi hleður upp póstlista starfsfólks og sendir kannanir er viðkomandi fyrirtæki ábyrgðaraðili þeirrar vinnslu — Nómi ehf. er þá vinnsluaðili sem vinnur netföngin eingöngu til að afhenda könnunina. Vinnslusamningur okkar er birtur á fivesay.com/dpa og er hluti af skilmálum þjónustunnar.

2. Nafnleynd könnunarsvara

Þegar einhver svarar púlsi vistum við einkunnir, eNPS-svar (ef við á) og skriflega umsögn — og ekkert annað. Engin nöfn, netföng, IP-tölur, vafra- eða tækjaupplýsingar fylgja svarinu í gagnagrunninn.

Niðurstöður opnast aðeins þegar minnst 5 svör hafa borist og uppfærast eftir það aðeins í 5-svara skrefum, svo stakt nýtt svar verður aldrei einangrað.
Umsagnir birtast í handahófsröð, án einkunna og án tímasetninga.
Þar sem svör eru ekki tengjanleg við einstaklinga getum við ekki afgreitt beiðnir um aðgang að eða eyðingu á tilteknu svari (sbr. 11. gr. GDPR) — það er eiginleiki hönnunarinnar, ekki undanþága.

3. Hvaða upplýsingar við vinnum

Upplýsingar	Tilgangur og lagagrundvöllur	Varðveisla
Reikningur: vinnunetfang og nafn	Innskráning og rekstur reiknings — samningur (6.1.b GDPR)	Þar til reikningi er eytt
Innskráningarhlekkir í tölvupósti	Örugg innskráning án lykilorða — samningur	Hlekkur gildir í 10 mínútur
Póstlistar (netföng starfsfólks á sama léni)	Afhending kannana fyrir hönd fyrirtækis þíns — unnið sem vinnsluaðili	Þar til eigandi eyðir lista eða reikningi
Kjörseðlar (einnota svarlyklar)	Eitt svar á mann án þess að vista hver svaraði — aðeins tætigildi (SHA-256) er geymt, aldrei tengt við svarið sjálft — lögmætir hagsmunir (heilindi niðurstaðna)	Ónotaðir lyklar falla úr gildi við endursendingu
Könnunarsvör	Samandregnar niðurstöður fyrir hópinn — án persónuauðkenna, sjá 2. kafla	Á meðan púlsinn er til
Tækniannálar hýsingaraðila (þ.m.t. IP-tölur í skamman tíma)	Öryggi, villuleit og varnir gegn misnotkun — lögmætir hagsmunir	Skammtímavarðveisla hjá Vercel
Vefgreining (Vercel Analytics)	Samandregin notkunartölfræði án vafrakaka og án auðkenningar einstaklinga — lögmætir hagsmunir	Aðeins samandregið

4. Vafrakökur

Við notum eingöngu nauðsynlegar vafrakökur — engar auglýsinga- eða rakningarkökur og enga rakningarpixla frá þriðju aðilum.

Kaka	Tilgangur	Líftími
Innskráningarkaka	Heldur skráðum notanda innskráðum	Á meðan lota varir
Tungumálakaka (NEXT_LOCALE)	Man tungumálaval þitt	1 ár
„Þegar svarað“-kaka (ein á hvern púls)	Kemur í veg fyrir tvísvörun — er aðeins í þínum vafra og er aldrei vistuð hjá okkur	30 dagar
Stjórnendakaka niðurstaðna	Veitir þeim sem bjó til púls aðgang að niðurstöðusíðu sinni	30 dagar

5. Hýsing, undirvinnsluaðilar og flutningur úr EES

Við notum eftirtalda undirvinnsluaðila við rekstur þjónustunnar:

Aðili	Hlutverk	Staðsetning gagna
Neon Inc.	Gagnagrunnur (Postgres)	Evrópusambandið (AWS-gagnaver í ESB)
Vercel Inc.	Vefhýsing og keyrsla	Keyrsla í ESB; alþjóðlegt dreifikerfi fyrir statískt efni
Resend Inc.	Sending tölvupósts	Bandaríkin

Gagnagrunnurinn — þar sem svör, listar og reikningar eru geymdir — er hýstur innan ESB. Póstsending og hlutar vefhýsingar fela í sér vinnslu í Bandaríkjunum; sá flutningur styðst við ákvörðun framkvæmdastjórnar ESB um fullnægjandi vernd samkvæmt EU-US Data Privacy Framework og eftir atvikum staðlaða samningsskilmála (SCC). Munum: könnunarsvörin sjálf innihalda engin persónuauðkenni.

6. Réttindi þín

Samkvæmt persónuverndarlögum átt þú rétt á aðgangi að eigin upplýsingum, leiðréttingu, eyðingu, takmörkun vinnslu, flutningi gagna og andmælum við vinnslu byggðri á lögmætum hagsmunum. Beiðnir sendast á privacy@fivesay.com og er svarað innan mánaðar.

Athugaðu: réttindi vegna netfangs á póstlista vinnuveitanda þíns þarf að bera upp við vinnuveitandann, sem er ábyrgðaraðili þeirrar vinnslu — við aðstoðum hann við afgreiðsluna. Réttindi ná ekki til nafnlausra könnunarsvara, sjá 2. kafla.

Þú getur borið fram kvörtun við Persónuvernd (personuvernd.is).

7. Öryggi

Öll umferð er dulkóðuð með TLS og gagnagrunnstengingar sömuleiðis. Gögn eru dulkóðuð í hvíld í gagnagrunni innan ESB.
Svarlyklar eru geymdir sem SHA-256 tætigildi — aldrei í læsilegu formi.
Innskráning er án lykilorða; engin lykilorð eru geymd.
Aðgangskökur eru HttpOnly og varðar gegn þverlénsbeiðnum.
5-svara lágmarkið er innbyggt í kóðann og ekki stillanlegt.

8. Börn

Þjónustan er vinnustaðatól og er hvorki ætluð börnum né beint að þeim.

9. Breytingar á stefnunni

Við uppfærum stefnuna þegar þjónustan breytist — til dæmis ef undirvinnsluaðili bætist við. Verulegar breytingar verða kynntar skráðum notendum. Gildisdagsetning efst á síðunni sýnir alltaf núgildandi útgáfu.

Þjónustuskilmálar →← Til baka á forsíðu