Persónuverndarstefna Ívera ehf

Þessi stefna nær til allra upplýsinga sem Ívera safnar eða vinnur með og teljast persónugreinanlegar.

1. Ívera hefur innleitt stjórnkerfi upplýsingaöryggis til þess að tryggja öryggi upplýsinga í vörslu félagsins.
2. Upplýsingar eru aðeins varðveittar í þann tíma sem lög heimila. Við lok varðveislutíma er upplýsingum eytt.
3. Aðgangi að upplýsingum er stýrt þannig að aðeins þeir starfsmenn sem á þurfa að halda fá aðgang, vegna t.d. vinnslu umsókna um íbúð, vegna verkferla um peningaþvætti o.fl. Í undantekningartilfellum getur komið til þess að utanaðkomandi þriðji aðili þurfi að fá aðgang að ákveðnum gögnum t.d. aðili sem sér um að innheimta vanskil fyrir Íveru, lögreglan ef upp kemur mál þar sem brot náðist á upptöku eða aðili sem sér um framkvæmd þjónustukönnunar fyrir Íveru o.fl. Sama regla gildir um sjálfvirk verkfæri og gervigreindarlausnir sem starfsmenn Íveru nýta við vinnu sína (t.d. Claude frá Anthropic): slík verkfæri fá ekki víðtækari aðgang að upplýsingum en sá starfsmaður sem stýrir notkun þeirra hefði annars, og aðgangur þeirra að einstökum kerfum er ávallt afmarkaður og skjalfestur, sbr. nýjan kafla um gervigreindarverkfæri hér að neðan.
4. Brugðist er við öllum fyrirspurnum einstaklinga varðandi eigin upplýsingar. Engar upplýsingar eru sendar án staðfestingar á réttmæti móttakanda á upplýsingunum. Eingöngu verður tekið við erindum er varða persónuvernd á netfangið personuvernd@ivera.is.
5. Allar beiðnir um eyðingu gagna verða skoðaðar og brugðist við í samræmi við lög. Ekki er hægt að eyða gögnum sem Íveru er skylt að varðveita eða tryggja t.d. vegna laga um aðgerðir gegn peningaþvætti.
6. Persónugreinanlegum upplýsingum er haldið í lágmarki og þær geymdar í dulkóðuðu skýi eða læstum hirslum á skrifstofu Íveru.
7. Vegna innheimtu er nauðsynlegt að deila persónugreinanlegum upplýsingum með aðilum sem sjá um innheimtu fyrir Íveru.
8. Ívera gerir vinnslusamninga við alla aðila sem hýsa eða vinna með persónugreinanlegar upplýsingar fyrir fyrirtækið, þar á meðal veitendur hugbúnaðar- og gervigreindarlausna sem starfsmenn nýta til að vinna með gögn félagsins. Áður en slíkri lausn er veittur aðgangur að persónugreinanlegum upplýsingum er gengið frá vinnslusamningi — þ.m.t. viðeigandi ráðstöfunum vegna flutnings gagna utan Evrópska efnahagssvæðisins, sbr. staðlaða samningsskilmála ESB — og lagt mat á áhættu vinnslunnar.
9. Engar persónugreinanlegar upplýsingar verða afhentar, seldar eða leigðar þriðja aðila að öðru leyti en fram kemur í lið 7 og í tengslum við markaðsmál félagsins sbr. neðan greinda umfjöllun.
10. Upplýsingar eins og símanúmer eða netfang verða einungis notaðar til samskipta við viðskiptavini eða umsækjendur í tengslum við samning (þessar upplýsingar koma þó fram á leigusamningi, sem leigjendur kjósa í sumum tilfellum að þinglýsa) og markaðssetningu félagsins í samræmi við gildandi lög.
11. Einstaklingar geta ávallt óskað eftir leiðréttingu á upplýsingum um þá og mun Ívera bregðast við slíkum óskum þegar þær liggja fyrir.
12. Vegna tölfræðiúrvinnslu og greininga mun Ívera gera upplýsingar frá viðskiptavinum sínum ópersónugreinanlegar þannig að ekki verði greint frá stöðu einstaka viðskiptavina. Séu skýrslur eða greiningar unnar með sjálfvirkum verkfærum eða gervigreind á einstaklingsstigi — þ.e. þar sem tilgangurinn er að varpa ljósi á stöðu tiltekins einstaklings, ekki að taka saman tölfræði — gilda sömu kröfur um lögmætan grundvöll, gagnalágmörkun og öryggi og um aðra vinnslu, og starfsmaður Íveru yfirfer og staðfestir niðurstöðuna áður en hún er nýtt eða send frá félaginu. Sjálfvirk vinnsla leiðir ekki einn og sér til ákvörðunar sem hefur réttaráhrif á einstakling.
13. Ef lög mæla svo fyrir mun Ívera afhenda persónugreinanlegar upplýsingar til viðeigandi aðila og þá aðeins þær upplýsingar sem eru nauðsynlegar í hverju tilfelli fyrir sig.

• Ívera getur nýtt gervigreindarverkfæri (t.d. Claude frá Anthropic) til að taka saman gögn úr kerfum félagsins, greina þau og setja fram skýrslur að beiðni starfsmanna.
• Áður en slíkt verkfæri fær aðgang að kerfum sem geyma persónugreinanlegar upplýsingar gerir Ívera vinnslusamning við viðkomandi þjónustuveitanda þar sem fram kemur tilgangur vinnslu, tegund gagna, öryggisráðstafanir og ákvæði um eyðingu/skil gagna, sbr. lið 8 hér að ofan.
• Aðgangur gervigreindarverkfæra að kerfum félagsins er afmarkaður við það sem nauðsynlegt er hverju sinni og fylgir sömu aðgangsstýringu og gildir um starfsmenn, sbr. lið 3 hér að ofan.
• Gögn sem unnin eru með gervigreindarverkfærum falla undir sömu varðveislureglur og önnur gögn félagsins, sbr. lið 2 hér að ofan, og Ívera leitast við að tryggja í vinnslusamningi að þjónustuveitandi varðveiti gögn ekki lengur en tæknilega er nauðsynlegt.
• Þar sem þjónustuveitandi gervigreindarlausnar er staðsettur utan Evrópska efnahagssvæðisins byggir flutningur gagna á viðeigandi lagagrundvelli, s.s. stöðluðum samningsskilmálum ESB (SCC).
• Niðurstöður sem gervigreindarverkfæri taka saman um einstaka einstaklinga eru yfirfarnar af starfsmanni Íveru áður en þær eru nýttar til ákvarðana eða sendar frá félaginu. Slík verkfæri taka ekki sjálfstæðar ákvarðanir sem hafa réttaráhrif á einstaklinga.

1. Markaðssamskipti Íveru byggir meðal annars á persónugreinanlegum gögnum, sem félagið aflar í gegnum fótspor eða með öðrum leiðum.
2. Markaðssamskipti Íveru er í sumum tilfellum sérsniðin að leigutökum félagsins eftir t.d. búsetu leigutaka, samningslengd, afmælisdegi eða út frá öðrum gildum með það að markmiði að markaðssetja félagið, vekja athygli á tilboðum til leigutaka eða styrkja samband Íveru við leigutaka sína.
3. Sömu reglur gilda um þær upplýsingar og þau gögn sem aflað er í markaðssetningarskyni, þ.e. hægt er að óska eftir því að gögnum, verði eytt, færð eða þau leiðrétt og mun Ívera bregðast við því í samræmi við lög.

1. Ívera leggur mikla áherslu á að þjónustuupplifun leigutaka félagsins sé sem best. Til að stuðla að ánægju leigutaka nýtir félagið meðal annars netföng, símanúmer og upplýsingar um það svæði sem leigutaki býr á.
2. Þjónustuupplifun viðskiptavina félagsins skiptir Íveru miklu máli og því mikilvægt að eiga í góðum samskiptum við leigutaka félagsins svo unnt sé að auka gæði þjónustu félagsins jafnt og þétt. Ívera styðst við mismunandi þjónustukannanir (við afhendingu og skil á íbúðum t.d.) og eru niðurstöður þeirra kannana greindar, flokkaðar og settar saman í skýrslur sem félagið nýtir síðan til að bæta úr því sem betur mætti fara í þjónustuferli félagsins.
3. Sömu reglur gilda um þær upplýsingar og þau gögn sem aflað er í markaðssetningarskyni, þ.e. hægt er að óska eftir því að gögnum verði eytt, þau færð eða leiðrétt og mun Ívera bregðast við því í samræmi við lög.

1. Ívera styðst við notkun fótspora á heimasíðu sinni. Nánar um vafrakökustefnu.

1. Ívera flokkast sem tilkynningarskyldur aðili skv. lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka og ber því skylda skv. þeim lögum að afla ákveðinna persónugreinanlegra gagna og geyma þau.
2. Í umsóknarferli á heimasíðu félagsins er kallað eftir tilteknum upplýsingum um umsækjenda undir liðnum „Lög nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka" og byggir sá hluti umsóknarferlisins á þeim skyldum sem framangreind lög leggja á herðar Íveru.
3. Ívera þarf einnig að endurskoða áhættumat sitt er varðar hugsanlegt peningaþvætti í starfsemi félagsins og mun því reglulega biðja leigutaka um að uppfæra áður gefnar upplýsingar til að gera félaginu kleift að uppfylla skyldur sínar sem tilkynningarskyldur aðili. Gögn sem safnað er á grundvelli þessa kafla eru undanskilin sjálfvirkri vinnslu gervigreindarverkfæra, sbr. kaflann um gervigreindarverkfæri hér að ofan, nema sérstaklega sé ákveðið og skjalfest af Íveru.

1. Ívera kallar eftir ýmsum gögnum vegna atvinnuumsókna hjá félaginu. Þau gögn sem umsækjandi leggur fram í því ferli, hvort sem um er að ræða ferilskrá, sakavottorð eða aðrar tegundir af upplýsingum eða gögnum, geymir félagið í 3 mánuði frá afhendingu þeirra, hvort sem af ráðningu verður eða ekki. Ástæðan fyrir geymslu gagnanna er til að geta haft síðar samband við umsækjandann ef breytingar verða hjá félaginu og félagið vill bjóða umsækjanda í viðtal.
2. Starfsmenn gætu þurft að afhenda Íveru gögn sem í sumum tilfellum gætu flokkast sem viðkvæmar persónuupplýsingar (læknisvottorð t.d.). Slík gögn eru geymd af félaginu ef lögmætir hagsmunir félagsins eru til staðar vegna t.d. veikindaleyfis, uppsagnar eða annarra ástæðna. Slík gögn eru undanskilin sjálfvirkri vinnslu gervigreindarverkfæra, sbr. kaflann um gervigreindarverkfæri hér að ofan, nema sérstaklega sé ákveðið og skjalfest af Íveru.
3. Sömu reglur gilda um þær upplýsingar og þau gögn sem aflað er í markaðssetningarskyni, þ.e. hægt er að óska eftir því að gögnum verði eytt, þau færð eða leiðrétt og mun Ívera bregðast við því í samræmi við lög.