Vinnslusamningur QR Code AI

VINNSLUSAMNINGUR (DPA)

Síðast uppfært: 2. mars 2026

Þessi vinnslusamningur („DPA“) er hluti af Notandaskilmálunum („Samningurinn“) milli Supernovae, fyrirtækis sem er skráð í Frakklandi að 27 Rue Wurtz, Juvisy-sur-Orge 91260, með virðisaukaskattsnúmerið FR67948452891 („Vinnsluaðili“, „við“, „okkur“), og þess aðila sem samþykkir þennan DPA („Ábyrgðaraðili“, „þú“), sameiginlega nefnd „Aðilarnir“.

Þessi DPA gildir þegar við vinnum persónuupplýsingar fyrir þína hönd í tengslum við þjónustu QR Code AI, meðal annars í gegnum API.

1. SKILGREININGAR

• „Persónuupplýsingar“ merkir allar upplýsingar um persónugreindan eða persónugreinanlegan einstakling, eins og skilgreint er í 1. tölulið 4. gr. GDPR.
• „Vinnsla“ merkir aðgerð eða röð aðgerða sem framkvæmd er á Persónuupplýsingum, eins og skilgreint er í 2. tölulið 4. gr. GDPR.
• „Skráður einstaklingur“ merkir persónugreindan eða persónugreinanlegan einstakling sem Persónuupplýsingar varða.
• „Undirvinnsluaðili“ merkir þriðja aðila sem Vinnsluaðili felur að vinna Persónuupplýsingar fyrir hönd Ábyrgðaraðila.
• „GDPR“ merkir reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679.
• „UK GDPR“ merkir almennu persónuverndarreglugerð Bretlands eins og hún gildir samkvæmt breskum rétti og er lesin með lögunum Data Protection Act 2018.
• „Stöðluð samningsákvæði“ (SCC) merkir stöðluð samningsákvæði sem framkvæmdastjórn Evrópusambandsins hefur samþykkt vegna flutnings Persónuupplýsinga til þriðju landa.
• „Öryggisbrestur“ merkir brest á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar, glötunar eða breytingar á Persónuupplýsingum, eða birtingar þeirra eða aðgangs að þeim í leyfisleysi.

2. GILDISSVIÐ OG HLUTVERK

2.1 Ábyrgðaraðili og Vinnsluaðili

Í þessum DPA gildir eftirfarandi:

• Þú (Ábyrgðaraðili): Þú ákveður tilgang og aðferðir við vinnslu Persónuupplýsinga þegar þú notar Þjónustuna okkar, einkum þegar þú notar API okkar til að búa til QR-kóða fyrir eigin viðskiptavini eða samþættir Þjónustuna við vörur þínar.
• Við (Vinnsluaðili): Við vinnum Persónuupplýsingar fyrir þína hönd samkvæmt fyrirmælum þínum, eins og lýst er í þessum DPA og Samningnum.

2.2 Hvenær þessi DPA gildir

Þessi DPA gildir þegar:

• Þú notar API QR Code AI til að búa til QR-kóða sem vinna gögn endanotenda þinna (til dæmis vefslóðir með persónuupplýsingum, vCard-gögn eða samskiptaupplýsingar sem eru kóðaðar í QR-kóðum).
• Þú notar rakningar- og greiningareiginleika QR Code AI sem safna skönnunargögnum frá endanotendum þínum.
• Við vinnum Persónuupplýsingar fyrir þína hönd sem vinnsluaðili við aðrar aðstæður.

Þegar þú notar QR Code AI sem einstakur notandi í eigin tilgangi störfum við sem sjálfstæður ábyrgðaraðili og Persónuverndarstefna okkar gildir um vinnsluna.

3. UPPLÝSINGAR UM VINNSLU

3.1 Viðfangsefni og tímalengd

Við vinnum Persónuupplýsingar á gildistíma Samningsins til að veita þjónustu QR Code AI, þar á meðal gerð QR-kóða, rakningu, greiningu og tengda virkni.

3.2 Eðli og tilgangur Vinnslu

• Gerð QR-kóða á grundvelli inntaksgagna frá Ábyrgðaraðila
• Rakning skannana QR-kóða og söfnun greiningargagna
• Geymsla stillinga QR-kóða og tengdra lýsigagna
• Afgreiðsla beiðna um listræna QR-kóða gerða með gervigreind
• Afhending skýrslna og greiningarmælaborða

3.3 Tegundir Persónuupplýsinga

Tegundir Persónuupplýsinga sem eru unnar geta meðal annars verið:

• Samskiptaupplýsingar (nöfn, netföng, símanúmer) sem eru kóðaðar í QR-kóðum
• URL-slóðir og vefföng
• Staðsetningargögn úr skönnunum QR-kóða
• Tækjaupplýsingar og IP-tölur úr skönnunum QR-kóða
• Textafyrirmæli og myndir sem eru lögð fram fyrir gerð QR-kóða með gervigreind
• Önnur gögn sem Ábyrgðaraðili velur að kóða í QR-kóðum

3.4 Flokkar Skráðra einstaklinga

• Endanotendur sem skanna QR-kóða sem Ábyrgðaraðili hefur búið til
• Einstaklingar sem eiga samskiptaupplýsingar sem eru kóðaðar í QR-kóðum
• Notendur vara eða þjónustu Ábyrgðaraðila sem eiga samskipti við QR-kóða

4. SKYLDUR VINNSLUAÐILA

4.1 Fyrirmæli um vinnslu

Við munum aðeins vinna Persónuupplýsingar samkvæmt skjalfestum fyrirmælum þínum, nema lög ESB eða aðildarríkis sem við heyrum undir krefjist vinnslunnar. Í slíku tilviki munum við upplýsa þig um þá lagakröfu áður en vinnsla hefst, nema lög banni slíka upplýsingagjöf vegna mikilvægra almannahagsmuna.

Við munum þegar í stað upplýsa þig ef fyrirmæli brjóta að okkar mati gegn GDPR eða öðrum gildandi ákvæðum ESB eða aðildarríkis um persónuvernd.

4.2 Trúnaður

Við tryggjum að einstaklingar sem hafa heimild til að vinna Persónuupplýsingar hafi skuldbundið sig til trúnaðar eða séu bundnir viðeigandi lögbundinni þagnarskyldu.

4.3 Öryggisráðstafanir

Við framkvæmum viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggisstig sem hæfir áhættunni, þar á meðal:

• Dulkóðun Persónuupplýsinga í flutningi (TLS/HTTPS), með dulkóðun viðkvæmra upplýsinga í geymslu
• Aðgangsstýringu og hlutverkamiðaða auðkenningu í innri kerfum
• Reglulegt öryggismat og leit að veikleikum
• Innviði sem eru hýstir hjá Scaleway og DigitalOcean, með öryggis- og regluvörsluráðstöfunum sem ráðast af veitanda og hýsingarþjónustu
• DDoS-vörn og eldvegg fyrir vefforrit (Cloudflare)
• Reglulega afritun með dulkóðaðri geymslu
• Skráningu og vöktun aðgangs að Persónuupplýsingum

4.4 Undirvinnsluaðilar

Við notum þá undirvinnsluaðila sem eru taldir upp á síðunni um undirvinnsluaðila. Við munum senda þér skriflega tilkynningu um hverja fyrirhugaða viðbót við hóp undirvinnsluaðila eða skipti á undirvinnsluaðila og veita þér 30 daga frá tilkynningunni til að andmæla áður en breytingin tekur gildi. Þú getur andmælt með því að hafa samband við okkur á [email protected] innan þess frests. Ef þú andmælir og við getum ekki með sanngjörnum hætti komið til móts við andmælin getur hvor aðili um sig sagt upp þeim hluta Þjónustunnar sem málið varðar.

Við munum aðeins fela undirvinnsluaðila að vinna Persónuupplýsingar fyrir þína hönd samkvæmt skriflegum samningi, þar á meðal gildandi rafrænum skilmálum, sem leggur á hann þær persónuverndarskyldur sem krafist er í 4. mgr. 28. gr. GDPR. Við berum áfram ábyrgð á undirvinnsluaðilum okkar eins og krafist er í þeirri grein.

4.5 Réttindi Skráðra einstaklinga

Við munum aðstoða þig við að svara beiðnum Skráðra einstaklinga sem nýta réttindi sín samkvæmt gildandi persónuverndarlögum (aðgang, leiðréttingu, eyðingu, takmörkun, flutning eigin gagna og andmæli). Ef við fáum beiðni beint frá Skráðum einstaklingi munum við vísa honum til þín án tafar, nema önnur fyrirmæli hafi verið gefin.

4.6 Aðstoð við að uppfylla skyldur

Við munum aðstoða þig við að tryggja að skyldur þínar samkvæmt 32. til 36. gr. GDPR séu uppfylltar, með tilliti til eðlis vinnslunnar og þeirra upplýsinga sem við höfum.

5. TILKYNNING UM ÖRYGGISBREST

5.1 Tilkynningarfrestur

Við munum tilkynna þér um Öryggisbrest án ótilhlýðilegrar tafar og í öllum tilvikum innan 72 klukkustunda frá því að við verðum hans vör. Tilkynningin verður send á netfangið sem er tengt reikningnum þínum.

5.2 Efni tilkynningar

Tilkynningin mun innihalda eftirfarandi, að því marki sem upplýsingarnar liggja fyrir:

• Lýsingu á eðli Öryggisbrestsins, þar á meðal flokkum og áætluðum fjölda Skráðra einstaklinga og færslna sem verða fyrir áhrifum.
• Nafn og samskiptaupplýsingar tengiliðar okkar vegna persónuverndar.
• Lýsingu á líklegum afleiðingum Öryggisbrestsins.
• Lýsingu á ráðstöfunum sem hafa verið gerðar eða eru fyrirhugaðar til að bregðast við Öryggisbrestinum, þar á meðal ráðstöfunum til að draga úr hugsanlegum skaðlegum áhrifum hans.

5.3 Áframhaldandi samstarf

Við munum vinna með þér og veita sanngjarna aðstoð við að rannsaka hvern Öryggisbrest, draga úr áhrifum hans og bæta úr honum, ásamt því að senda þær tilkynningar til eftirlitsyfirvalda eða Skráðra einstaklinga sem þér ber að senda.

6. ALÞJÓÐLEGUR FLUTNINGUR GAGNA

6.1 Staðsetning gagna

Persónuupplýsingar eru aðallega geymdar og unnar innan Evrópusambandsins:

• Frakkland (ESB) hjá Scaleway
• Holland (ESB) hjá DigitalOcean

6.2 Flutningur út fyrir ESB/EES

Sumir undirvinnsluaðila okkar eru staðsettir utan ESB/EES, aðallega í Bandaríkjunum. Við þessa flutninga byggjum við á eftirfarandi:

• Persónuverndarramma ESB og Bandaríkjanna: Þar sem við á, vegna flutnings til veitenda í Bandaríkjunum sem eru vottaðir samkvæmt rammanum.
• Stöðluð samningsákvæði (SCC): Við tökum SCC sem framkvæmdastjórn Evrópusambandsins hefur samþykkt (framkvæmdarákvörðun framkvæmdastjórnarinnar (ESB) 2021/914) inn í samninga okkar við undirvinnsluaðila utan ESB/EES þar sem persónuverndarramminn á ekki við.

6.3 Mat á áhrifum flutnings

Við metum áhrif flutnings til þriðju landa og framkvæmum viðbótarráðstafanir þar sem þörf er á til að tryggja fullnægjandi vernd persónuupplýsinga.

7. ÚTTEKTIR OG SKOÐANIR

7.1 Réttur til úttekta

Þú átt rétt á að gera úttekt á því hvort við uppfyllum þennan DPA. Við munum veita þér allar upplýsingar sem þarf til að sýna fram á að skyldur séu uppfylltar og heimila og leggja okkar af mörkum við úttektir, þar á meðal skoðanir, sem þú eða úttektaraðili á þínum vegum framkvæmir.

7.2 Fyrirkomulag úttekta

Eftirfarandi fyrirkomulag gildir aðeins um úttektir að því marki sem það takmarkar ekki réttindi eða skyldur samkvæmt gildandi persónuverndarlögum:

• Þú verður að tilkynna skriflega um úttekt með að minnsta kosti 30 daga fyrirvara.
• Úttektir má framkvæma í mesta lagi einu sinni á ári, nema eftirlitsyfirvald krefjist þeirra eða þær fari fram í kjölfar Öryggisbrests.
• Úttektir verða að fara fram á venjulegum skrifstofutíma og mega ekki trufla starfsemi okkar með ósanngjörnum hætti.
• Þú berð kostnað við úttekt, nema hún leiði í ljós verulegt brot á þessum DPA.
• Trúnaðarupplýsingar annarra viðskiptavina okkar má ekki afhjúpa við úttektina.

8. VARÐVEISLA OG EYÐING GAGNA

8.1 Á gildistíma Samningsins

Við varðveitum Persónuupplýsingar á gildistíma Samningsins eftir því sem þarf til að veita Þjónustuna.

8.2 Við lok Samningsins

Við lok Samningsins eða samkvæmt skriflegri beiðni þinni:

• Við munum, að þínu vali, eyða Persónuupplýsingunum eða skila þeim til þín og eyða þeim afritum sem eftir standa úr virkum kerfum okkar innan 30 daga.
• Persónuupplýsingum í afritasöfnum verður eytt innan 6 mánaða. Þangað til verða þær áfram verndaðar og ekki notaðar í öðrum tilgangi, nema gildandi lög krefjist annars.
• Við kunnum að varðveita Persónuupplýsingar að því marki sem gildandi lög krefjast (til dæmis vegna skatta- eða bókhaldsskyldna). Þá munum við aðskilja og vernda gögnin og takmarka frekari vinnslu við það sem lög krefjast.

8.3 Staðfesting

Að beiðni þinni munum við veita skriflega staðfestingu á að Persónuupplýsingum hafi verið eytt samkvæmt þessum kafla.

9. ÁBYRGÐ

Ábyrgð hvors aðila samkvæmt þessum DPA lýtur takmörkunum á ábyrgð í Samningnum. Ekkert í þessum DPA takmarkar ábyrgð hvors aðila gagnvart Skráðum einstaklingum eða eftirlitsyfirvöldum samkvæmt gildandi persónuverndarlögum.

10. GILDANDI LÖG

Frönsk lög gilda um þennan DPA. GDPR og UK GDPR gilda að því marki sem vinnslan fellur undir gildissvið hvorrar reglugerðar. Ágreiningur sem rís vegna þessa DPA verður leystur samkvæmt ákvæðum Samningsins um lausn ágreinings.

11. HVERNIG ÞESSI DPA ER GERÐUR

Þessi DPA er felldur inn í Notandaskilmálana og er hluti þeirra. Með því að nota Þjónustu QR Code AI samþykkir þú þennan DPA.

Ef þú þarft sérstaklega undirritað eintak af þessum DPA fyrir skjöl þín skaltu hafa samband við okkur á [email protected] og við munum afhenda það innan 10 virkra daga.

12. SAMSKIPTI

Vegna spurninga um þennan DPA eða vinnslu persónuupplýsinga hjá okkur:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 Frakkland [email protected]