Umfang og ábyrgðaraðili

Þessi persónuverndarstefna gildir um vefsvæðið dorrit.is, Android-forritið DORRIT:IS og samskipti sem hefjast í gegnum þessa miðla.

Halldór Hrafn, sem rekur DORRIT:IS, er ábyrgðaraðili að þeirri vinnslu persónuupplýsinga sem lýst er í stefnunni.

• Netfang: hh@dorrit.is
• Land: Ísland

Stefnan tekur ekki til sjálfstæðrar vinnslu annarra aðila, svo sem Google Play, tölvupóstþjónustu notandans eða vefsvæða sem opnast með ytri tenglum. Um slíka vinnslu gilda persónuverndarreglur viðkomandi aðila.

Upplýsingar sem við vinnum

Upplýsingar sem þú lætur okkur í té

Þegar þú hefur samband með tölvupósti getur þú látið okkur í té nafn, netfang, efni fyrirspurnar og aðrar upplýsingar sem þú kýst að senda. Ef þjónustusamband stofnast kann jafnframt að verða unnið með tilboð, samskiptasögu, verkbeiðnir, þjónustuskýrslur, reikninga og greiðslustöðu.

Þegar óskað er eftir aðstoð vegna netsvika eða öryggisatviks kunna upplýsingarnar að fela í sér tæknilegar upplýsingar, svo sem IP-tölur, innskráningarsögu, tækjaupplýsingar eða önnur gögn sem þú velur að afhenda til greiningar.

Tæknilegar upplýsingar frá vefnum og forritinu

Þegar þú opnar dorrit.is, þar á meðal örugga vefhlutann í Android-forritinu, geta DORRIT:IS og hýsingaraðilinn Squarespace unnið með tæknilegar upplýsingar sem verða til við venjulega notkun vefþjónustu. Þar geta verið IP-tala, gerð vafra, netkerfis- og tækjaupplýsingar, stýrikerfi, skoðaðar síður, tilvísunarsíða, dagsetning og tími heimsóknar, áætluð staðsetning sem leidd er af IP-tölu og mælingabreytur sem gefa til kynna að heimsókn hafi komið úr forritinu.

Val á tungumáli og útliti getur vistast staðbundið í vafra eða forritinu svo valið haldist milli heimsókna. Þessar staðbundnu upplýsingar eru ekki notaðar til auglýsinga.

Ógnavakt og valfrjáls verkfæri í Nördahorninu

Fréttavaktin sækir fyrirsagnir á þjóni og vistar þær tímabundið. Vafrinn þinn tengist ekki öllum fréttaheimildum við lestur listans. Ógnavaktin er hýst með ChatGPT Sites (OpenAI) og Cloudflare; við opnun hennar berast hýsingaraðilum venjulegar tengiupplýsingar, svo sem IP-tala, vafragerð og tími beiðni.

• Bitdefender-kort: Ytra kortið hleðst aðeins þegar þú velur að hlaða því. Bitdefender og þjónustur þess fá þá IP-tölu, vafraupplýsingar og önnur gögn sem fylgja venjulegri vefbeiðni og geta notað vefkökur samkvæmt eigin reglum. Þú getur afhlaðið kortinu með hnappinum „Loka korti / afturkalla“. Það stöðvar frekari tengingar úr innfellingunni en eyðir ekki gögnum sem þegar hafa borist veitanda. Kortið sýnir valdar uppgötvanir Bitdefender, ekki allar árásir í heiminum.
• IP-leit: Þegar þú ræsir IP-próf tengist vafrinn ipwho.is. Veitan fær IP-töluna og skilar áætlaðri staðsetningu og netupplýsingum; það er ekki nákvæm GPS-staðsetning.
• Lykilorðapróf: Pwned Passwords frá Have I Been Pwned fær fyrstu fimm stafi SHA-1 tætingar þegar þú ræsir prófið, ásamt venjulegum tengiupplýsingum. Lykilorðið sjálft og öll tætingin eru ekki send. SHA-1 er hér aðeins notað fyrir uppflettingu, ekki til að geyma lykilorð.
• Hraðapróf: Við ræsingu tengist vafrinn speed.cloudflare.com. Cloudflare fær tengiupplýsingar og prófumferð; prófið notar gagnamagn.
• GPS, WebRTC og fingrafar: Verkfærin eru ræst að þínu vali. GPS krefst jafnframt staðsetningarleyfis vafrans. Upplýsingar sem birtast á tækinu, svo sem skjástærð, vafraeiginleikar og staðbundnar netvísbendingar, geta verið persónuupplýsingar. Ekki deila niðurstöðum nema þú viljir miðla þeim.

Fréttatenglar og aðrir ytri tenglar opna sjálfstæð vefsvæði; viðkomandi veitandi fær þá venjulegar tengiupplýsingar. Samþykki fyrir einu verkfæri er ekki samþykki fyrir öllum öðrum.

Hvað Android-forritið biður ekki um

Android-forritið DORRIT:IS opnar vefefni frá dorrit.is við ræsingu og getur birt frétta- og kortasýn. Það notar aðeins INTERNET-heimild og veitir vefnum ekki aðgang að staðsetningu, myndavél eða hljóðnema. Frekari upplýsingar um núverandi útgáfur appanna eru í persónuverndarstefnum Nethrafns, SPEED TR1X og DORRIT:IS.

Þegar þú velur tölvupóst-, síma- eða SMS-tengil opnar forritið viðeigandi samskiptaforrit og sendir ekki skilaboð sjálfkrafa. DORRIT:IS-forritið les hvorki tengiliði, tölvupóst né símtalaskrá. Ef þú notar skráaval fær vefurinn aðeins skrá sem þú velur sérstaklega. Vefbeiðnir geta flutt tæknilegar tengiupplýsingar til hýsingaraðila og annarra þjónustuveitenda, og upplýsingar sem þú sendir í samskiptaformi fara til viðkomandi viðtakanda.

Engir notendareikningar eru stofnaðir í forritinu eða á vefnum og engar greiðslukortaupplýsingar eru teknar við þar.

Tilgangur og lagagrundvöllur

Vinnsla fer aðeins fram þegar lögmætur tilgangur og viðeigandi lagagrundvöllur eru fyrir hendi samkvæmt reglugerð (ESB) 2016/679, eins og hún hefur verið tekin upp í EES-samninginn, og lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

Ef vinnsla viðkvæmra persónuupplýsinga reynist nauðsynleg verður lagagrundvöllur hennar samkvæmt 9. gr. reglugerðarinnar metinn sérstaklega og viðeigandi öryggisráðstafanir ákveðnar áður en vinnsla hefst.

Við tökum ekki ákvarðanir sem varða einstaklinga, byggjast eingöngu á sjálfvirkri vinnslu og hafa réttaráhrif eða sambærileg veruleg áhrif.

Vefkökur og staðbundin vistun

Um vistun upplýsinga á tæki eða aðgang að þeim gildir 88. gr. laga nr. 70/2022 um fjarskipti. Undanþága frá samþykki tekur aðeins til þess sem er nauðsynlegt fyrir fjarskipti eða þjónustu sem þú hefur sérstaklega óskað eftir. Lögmætir hagsmunir samkvæmt GDPR eru ekki sjálfstæð heimild til að setja valfrjálsar vefkökur.

Ef greiningar- eða frammistöðukökur sem ekki eru nauðsynlegar eru virkjaðar verða þær aðeins notaðar eftir að þú hefur veitt skýrt samþykki með virkri aðgerð í vefkökuborðanum. Þú getur hafnað þeim eða afturkallað samþykki síðar í persónuverndarstillingum vefsins.

Staðbundin vistun í vafra getur munað tungumál, útlit og hvort tilkynningu hafi verið lokað tímabundið. Þú getur eytt slíkum upplýsingum í stillingum vafrans. Vefkökur þriðju aðila eru óvirkar inni í Android-forritinu.

Nánari upplýsingar um tæknina sem Squarespace notar eru á síðunni The cookies Squarespace uses.

Miðlun og þjónustuveitendur

Fyrir valfrjálsa ógnavakt og verkfæri eru einnig notaðar veiturnar sem eru taldar upp í kafla 2. Sjá OpenAI, Cloudflare og Bitdefender. Tengill á stefnu veitanda kemur ekki í stað kröfu um viðeigandi samninga og heimildir fyrir miðlun.

Við seljum, leigjum eða skiptum ekki á persónuupplýsingum í markaðsskyni. Aðgangur er takmarkaður við þá sem þurfa upplýsingarnar vegna tiltekins verkefnis.

Upplýsingar kunna að vera unnar af eða afhentar:

• Squarespace, sem hýsir vefinn og veitir öryggis-, tæknilega og, ef virkjað er, greiningarþjónustu;
• tölvupóst-, upplýsingatækni- og öryggisþjónustuveitendum sem nauðsynlegir eru fyrir samskipti og rekstur;
• bókhalds- eða faglegum ráðgjöfum að því marki sem nauðsynlegt er;
• Google Play vegna dreifingar forritsins og tæknilegra skýrslna samkvæmt sjálfstæðum skilmálum Google; og
• stjórnvöldum eða öðrum aðilum þegar lög krefjast þess eða það er nauðsynlegt til að stofna, hafa uppi eða verja réttarkröfur.

Þjónustuveitendur fá aðeins þær upplýsingar sem nauðsynlegar eru og skulu gæta viðeigandi trúnaðar og öryggis. Squarespace vinnur jafnframt ákveðnar upplýsingar um endanotendur sem sjálfstæður ábyrgðaraðili í eigin öryggis- og rekstrartilgangi, eins og lýst er í persónuverndarstefnu Squarespace.

Flutningur utan EES

Sumir þjónustuveitendur, þar á meðal Squarespace, Google, OpenAI, Cloudflare og ytri kortaveitur, kunna að vinna upplýsingar í löndum utan Evrópska efnahagssvæðisins, þar á meðal Bandaríkjunum.

Þegar DORRIT:IS ber ábyrgð á slíkum flutningi skal hann byggjast á viðurkenndum verndarráðstöfunum, svo sem ákvörðun um fullnægjandi vernd, stöðluðum samningsskilmálum framkvæmdastjórnar Evrópusambandsins eða annarri heimild samkvæmt V. kafla almennu persónuverndarreglugerðarinnar. Þú getur óskað eftir frekari upplýsingum um helstu verndarráðstafanir með því að hafa samband.

Varðveislutími

Við varðveitum persónuupplýsingar ekki lengur en nauðsynlegt er miðað við tilgang vinnslunnar:

• Almennar fyrirspurnir sem leiða ekki til viðskipta eru að jafnaði varðveittar í allt að 24 mánuði frá síðustu samskiptum.
• Gögn um veitta þjónustu og venjuleg viðskiptasamskipti eru varðveitt meðan á viðskiptasambandi stendur og að jafnaði í allt að fjögur ár eftir lok þess, nema lengri varðveisla sé nauðsynleg vegna ágreinings eða réttarkröfu.
• Bókhaldsgögn, þar á meðal reikningar, eru varðveitt í sjö ár frá lokum viðkomandi reikningsárs samkvæmt íslenskum bókhaldslögum.
• Tæknileg öryggis- og atvikagögn eru varðveitt eins stutt og unnt er og aðeins meðan þau eru nauðsynleg til að reka og verja þjónustuna eða rannsaka tiltekið atvik.
• Tungumáls- og útlitsstillingar eru geymdar á tækinu þar til þú hreinsar vafragögn eða breytir stillingum.

Upplýsingum kann að vera eytt fyrr að beiðni ef engin lagaskylda, samningsþörf eða önnur lögmæt ástæða stendur í vegi fyrir því.

Öryggi upplýsinganna

Við beitum viðeigandi tæknilegum og skipulagslegum ráðstöfunum miðað við eðli upplýsinganna og áhættu vinnslunnar. Þær fela meðal annars í sér HTTPS fyrir gögn í flutningi, aðgangsstýringu, fjölþátta auðkenningu þar sem hún er tiltæk, lágmörkun gagna og takmörkun aðgangs við það sem nauðsynlegt er.

Engin rafræn miðlun eða geymsla er fullkomlega áhættulaus. Ef þú telur að öryggisbrestur hafi átt sér stað skaltu hafa samband við hh@dorrit.is án þess að senda lykilorð eða önnur leyndarmál í fyrstu tilkynningu.

Réttindi þín

Að uppfylltum skilyrðum persónuverndarlaga getur þú átt rétt á:

• staðfestingu á því hvort unnið sé með persónuupplýsingar um þig og aðgangi að þeim;
• leiðréttingu rangra eða ófullkominna upplýsinga;
• eyðingu upplýsinga;
• takmörkun vinnslu;
• að andmæla vinnslu sem byggist á lögmætum hagsmunum;
• að flytja eigin gögn þegar vinnslan byggist á samþykki eða samningi og fer fram með sjálfvirkum hætti; og
• að afturkalla samþykki hvenær sem er, án þess að það hafi áhrif á lögmæti vinnslu fram að afturköllun.

Þar sem engir notendareikningar eru stofnaðir er ekki til sérstakur reikningur sem þarf að loka. Þú getur engu að síður óskað eftir eyðingu persónuupplýsinga sem þú hefur sent okkur.

Beiðnir má senda á hh@dorrit.is. Við kunnum að óska eftir nauðsynlegum upplýsingum til að staðfesta auðkenni þitt. Beiðnum er svarað án ótilhlýðilegrar tafar og að jafnaði innan eins mánaðar. Ef fjöldi eða flækjustig beiðna réttlætir framlengingu má bæta við allt að tveimur mánuðum; þá færð þú tilkynningu og rökstuðning innan fyrsta mánaðarins.

Þú átt jafnframt rétt á að leggja fram kvörtun hjá Persónuvernd ef þú telur að vinnsla persónuupplýsinga brjóti gegn gildandi reglum.

Börn

Vefurinn og forritið eru ekki sérstaklega ætluð börnum yngri en 13 ára og við söfnum ekki vísvitandi persónuupplýsingum um þau án viðeigandi samþykkis eða heimildar forsjáraðila. Verði okkur kunnugt um slíka vinnslu verða upplýsingarnar teknar til skoðunar og þeim eytt nema lögmæt ástæða sé til áframhaldandi varðveislu.

Breytingar á stefnunni

Stefnan kann að breytast ef þjónustan, tæknin eða lagakröfur breytast. Ný útgáfa verður birt á þessari síðu með uppfærðri gildisdagsetningu. Verulegar breytingar verða kynntar með skýrum hætti þegar það á við.

Spurningar um persónuvernd

Ef þú hefur spurningu, vilt nýta réttindi þín eða tilkynna mögulegan öryggisbrest skaltu senda tölvupóst á hh@dorrit.is.

Scope and controller

This privacy policy applies to dorrit.is, the DORRIT:IS Android app and communications initiated through those channels.

Halldór Hrafn, who operates DORRIT:IS, is the controller of the personal-data processing described in this policy.

• Email: hh@dorrit.is
• Country: Iceland

This policy does not cover independent processing by other parties, such as Google Play, the user's email provider or websites opened through external links. Their own privacy terms apply to that processing.

Data we process

Information you provide

When you contact us by email, you may provide your name, email address, the content of your enquiry and any other information you choose to send. If a service relationship is established, we may also process quotations, communication history, work requests, service reports, invoices and payment status.

When you request help with online fraud or a security incident, the information may include technical details such as IP addresses, sign-in history, device information or other material you choose to provide for analysis.

Technical information from the website and app

When you open dorrit.is, including the secure website section inside the Android app, DORRIT:IS and the hosting provider Squarespace may process technical information generated through ordinary use of a web service. This may include your IP address, browser type, network and device information, operating system, pages viewed, referring page, date and time of visit, approximate location derived from the IP address and campaign parameters indicating that a visit came from the app.

Your language and appearance preferences may be stored locally in the browser or app so that the selection persists between visits. This local information is not used for advertising.

Threat watch and optional Nerd Corner tools

The news service retrieves and temporarily caches headlines on the server. Your browser does not contact every news publisher simply to read the list. Threat watch is hosted with ChatGPT Sites (OpenAI) and Cloudflare; opening it sends ordinary connection metadata, such as IP address, browser type and request time, to its hosting providers.

• Bitdefender map: The external map loads only when you choose to load it. Bitdefender and its service providers then receive your IP address, browser information and other ordinary web-request data, and may use cookies under their own policies. The unload/withdraw button removes the embed and stops further connections from it; it does not erase data already received by the provider. The map shows selected Bitdefender detections, not every attack worldwide.
• IP lookup: Starting the IP test connects your browser to ipwho.is. The provider receives your IP address and returns estimated location and network information; this is not precise GPS location.
• Password check: When you start the test, Have I Been Pwned Pwned Passwords receives the first five characters of a SHA-1 hash and ordinary connection metadata. The password itself and its complete hash are not sent. SHA-1 is used here for lookup, not password storage.
• Speed test: Starting the test connects to speed.cloudflare.com. Cloudflare receives connection metadata and test traffic; the test uses data.
• GPS, WebRTC and fingerprint: These tools run at your choice. GPS also requires browser location permission. Device results, such as screen size, browser characteristics and local network indicators, can be personal data. Share results only when you intend to disclose them.

News links and other external links open independent websites, which then receive ordinary connection information. Choosing one tool is not consent to every other tool.

What the Android app does not request

The DORRIT:IS Android app opens web content from dorrit.is at launch and can display the news and map view. It uses only INTERNET permission and does not grant the website location, camera or microphone access. Details about the current app versions are available in the privacy policies for Nethrafn, SPEED TR1X and DORRIT:IS.

When you select an email, telephone or SMS link, the app opens the relevant communication app and does not automatically send a message. DORRIT:IS does not read contacts, emails or call history. If you use the document picker, only the file you specifically select is exposed to the website. Web requests can send technical connection information to hosting and other service providers, and information you submit through a contact form goes to its recipient.

No user accounts are created in the app or on the website, and no payment-card information is accepted through them.

Purposes and legal bases

We process personal data only for legitimate purposes and where an appropriate legal basis exists under Regulation (EU) 2016/679, as incorporated into the EEA Agreement, and Icelandic Act No. 90/2018 on Data Protection and the Processing of Personal Data.

If processing special-category personal data becomes necessary, the applicable basis under Article 9 of the GDPR will be assessed separately and appropriate safeguards determined before processing begins.

We do not make decisions about individuals based solely on automated processing that produces legal or similarly significant effects.

Cookies and local storage

Article 88 of Icelandic Electronic Communications Act No. 70/2022 governs storing or accessing information on a device. The consent exemption is limited to what is necessary for communications or a service you have expressly requested. Legitimate interests under the GDPR do not independently authorise optional cookies.

If non-essential analytics or performance cookies are enabled, they will be used only after you provide unambiguous consent through the cookie banner. You can refuse them or later withdraw consent in the site's privacy settings.

Local browser storage may remember language, appearance and the temporary dismissal of notices. You can remove this information through your browser settings. Third-party cookies are disabled inside the Android app.

For more information about the platform technology, see The cookies Squarespace uses.

Sharing and service providers

The optional threat watch and tools also use the providers listed in section 2. See OpenAI, Cloudflare and Bitdefender. Linking a provider policy does not replace appropriate contracts or lawful transfer arrangements.

We do not sell, rent or trade personal data for marketing purposes. Access is limited to those who need the information for a defined task.

Information may be processed by or disclosed to:

• Squarespace, which hosts the website and provides security, technical and, if enabled, analytics services;
• email, IT and security service providers required for communications and operations;
• accounting or professional advisers where necessary;
• Google Play for app distribution and technical reports under Google's independent terms; and
• public authorities or other parties where required by law or necessary to establish, exercise or defend legal claims.

Service providers receive only the information they need and must maintain appropriate confidentiality and security. Squarespace also processes certain end-user information as an independent controller for its own security and operational purposes, as described in the Squarespace Privacy Policy.

Transfers outside the EEA

Some service providers, including Squarespace, Google, OpenAI, Cloudflare and external map providers, may process information in countries outside the European Economic Area, including the United States.

Where DORRIT:IS is responsible for such a transfer, it will rely on recognised safeguards, such as an adequacy decision, European Commission Standard Contractual Clauses or another mechanism permitted under Chapter V of the GDPR. You may request further information about the principal safeguards by contacting us.

Retention

We do not retain personal data longer than necessary for the purpose of processing:

• General enquiries that do not lead to a customer relationship are normally retained for up to 24 months after the last communication.
• Service records and ordinary customer correspondence are retained for the duration of the customer relationship and normally for up to four years after it ends, unless longer retention is necessary because of a dispute or legal claim.
• Accounting records, including invoices, are retained for seven years after the end of the relevant financial year under Icelandic accounting law.
• Technical security and incident data is kept for the shortest practical period and only while needed to operate and protect the service or investigate a specific incident.
• Language and appearance preferences remain on your device until you clear browser data or change the settings.

Information may be deleted sooner on request if no legal obligation, contractual need or other lawful reason prevents deletion.

Information security

We apply technical and organisational measures appropriate to the nature of the information and the risk of processing. These include HTTPS for data in transit, access controls, multi-factor authentication where available, data minimisation and limiting access to what is necessary.

No electronic transmission or storage is entirely risk-free. If you believe a security breach has occurred, contact hh@dorrit.is without including passwords or other secrets in the initial report.

Your rights

Subject to the conditions of applicable data-protection law, you may have the right to:

• confirmation of whether we process personal data about you and access to that data;
• rectification of inaccurate or incomplete data;
• erasure of data;
• restriction of processing;
• object to processing based on legitimate interests;
• data portability where processing is based on consent or a contract and carried out by automated means; and
• withdraw consent at any time, without affecting the lawfulness of processing before withdrawal.

As no user accounts are created, there is no separate app account to close. You may nevertheless request deletion of personal data you have sent to us.

Requests can be sent to hh@dorrit.is. We may ask for information necessary to verify your identity. Requests are answered without undue delay and normally within one month. Where the complexity or number of requests justifies an extension, up to two further months may be used; we will notify you and explain the reasons within the initial month.

You also have the right to complain to the Icelandic supervisory authority, Persónuvernd, if you believe that personal-data processing infringes applicable law.

Children

The website and app are not specifically directed at children under 13, and we do not knowingly collect their personal data without appropriate parental or guardian authorisation. If we become aware of such processing, the information will be reviewed and deleted unless a lawful reason requires continued retention.

Changes to this policy

This policy may change when the service, technology or legal requirements change. A new version will be posted on this page with an updated effective date. Material changes will be communicated clearly where appropriate.

Privacy questions

If you have a question, wish to exercise your rights or report a possible security breach, email hh@dorrit.is.