Sett með vísan til laga nr. 90/2018 um persónuvernd og og vinnslu persónuupplýsinga, sem vísar til persónuverndar reglugerðar Evrópusambandsins nr. 2016/679 (GDPR).

Gildissvið og meðferð persónuupplýsinga

Spesíu er skylt, lögum samkvæmt, að vernda persónuupplýsingar viðskiptavina sinna og tekur þeirri skyldu alvarlega. Traust er lykilatriði í öllum rekstri Spesíu og þess vegna leggjum við ríka áherslu á að tryggja að þessari persónuverndarstefnu sé framfylgt í samræmi við lagalegar kröfur.

Eftirfarandi stefna útskýrir hvernig fyrirtækið safnar, notar, miðlar og verndar persónulegar og fjárhagslegar upplýsingar viðskiptavina sinna. Markmið hennar er að upplýsa viðskiptavini um öryggi og vinnslu persónuupplýsinga hjá Spesíu, tilgang og grundvöll hennar, með það fyrir augum að tryggja gagnsæi í samræmi við gildandi persónuverndarlög.

Þessi persónuverndarstefna gildir um vinnslu persónuupplýsinga hjá Spesíu eignastýringu hf., kt. 430924-0440, Grandagarði 16, 101 Reykjavík (hér eftir „Spesía“) Stefna þessi tekur aðeins til einstaklinga en ekki lögaðila. Hún nær ekki yfir aðrar vefþjónustur á ábyrgð þriðja aðila sem þjónusta Spesíu vísar til með tengli.

Vinsamlega kynntu þér þessa persónuverndarstefnu vel og vandlega. Ef þú samþykkir ekki efni hennar getur þú ávallt hætt að nota þjónustu Spesíu.

Ábyrgðaraðili og vinnsluaðili

Spesía er ábyrgðaraðili vinnslu persónuupplýsinga og ber ábyrgð á því að sú vinnsla sem fram fer samræmist persónuverndarlögum hverju sinni og verður að geta sýnt fram á það. Ábyrgðaraðili ákveður tilgang vinnslunnar og aðferðir við vinnslu persónuupplýsinga.

Vinnsluaðili er sá sem vinnur persónuupplýsingar á vegum ábyrgðaraðila eða f.h. ábyrgðaraðila á grundvelli vinnslusamnings. Nýti Spesía sér þjónustu vinnsluaðila gerir hún vinnslusamning við þávinnsluaðila og tryggir að þeir veiti persónuupplýsingum fullnægjandi vernd í samræmi við gildandi lög.

Í einhverjum tilvikum geta ábyrgðaraðilar verið fleiri en einn en þá fer vinnsla persónuupplýsinga fram á vegum tveggja eða fleiri aðila. Þá bera allir aðilar ábyrgð á afmörkuðum þáttum vinnslunnar og teljast vera sameiginlegir ábyrgðaraðilar. Ef Spesía vinnur á þann hátt með aðila um vinnslu persónuupplýsinga er gert samkomulag um sameiginlega ábyrgð.

Hvaða upplýsingum söfnum við?

Með það að markmiði að veita skilvirka og persónulega þjónustu safnar Spesía margvíslegum upplýsingum um þig, bæði sem þú afhendir Spesíu og frá öðrum aðilum í tengslum við þjónustuna og þá með þínu samþykki. Félagið safnar meðal annars upplýsingum til að uppfylla skyldur sem hvíla á félaginu samkvæmt lögum um markaði fyrir fjármálagerninga, ásamt lögum um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka. Helstu flokkar persónuupplýsinga sem við vinnum með eru:

• Auðkennisupplýsingar: Nafn, kennitala, þjóðerni, skilríki (t.d. rafræn auðkenni) til að félaginu sé kleift að bera kennsl á þig.
• Samskiptaupplýsingar: Heimilisfang, netfang, símanúmer og aðrar tengiliðaupplýsingar sem einnig eru notaðar til að hafa samband við þig á meðan viðskiptasambandi stendur.
• Fjárhagsupplýsingar: Reikningsnúmer, hreyfingar og staða verðbréfasafns, upplýsingar um uppruna og umfang tekna, eignir og skuldir.
• Samningsupplýsingar: Forsendur og efni samninga sem þú gerir við félagið, samþykki og skilmálar. Þessum upplýsingum er safnað í þeim tilgangi að framfylgja ákvæðum þeirra. Þetta geta t.d. verið upplýsingar um fjárhagsstöðu, þekkingu og reynslu af fjárfestingum ásamt viðhorfi gagnvart áhættu.
• Áreiðanleikaupplýsingar: Upplýsingar sem verða til vegna áreiðanleikakönnunar á grundvelli laga nr. 140/2018 um peningaþvætti, þ.m.t. tilgangur viðskipta og uppruni fjármagns.
• Tæknilegar upplýsingar: Vafragerð, stýrikerfi, IP-tala og hvernig þú notar vef og smáforrit Spesíu, í þeim tilgangi að bæta þjónustu og vörur félagsins. Þannig finnum við út hvaða þættir af okkar þjónustu virka best og hvernig megi bæta aðgengi og virkni öllum viðskiptavinum til hagsbóta.
• Samskiptasaga: Afrit af öllum rafrænum samskiptum við viðskiptavini. Símtöl við Spesíu kunna að vera hljóðrituð en símtöl eru hluti af öryggiskerfi félagsins og sækja lagastoð í persónuverndarlögin.
• Kökur (e. cookies): Sjá sérstaka vefkökustefnu Spesíu á www.spesia.is

Ofangreindur listi er ekki tæmandi en Spesía getur safnað öðrum upplýsingum um þig ef nauðsynlegt þykir vegna eðli viðskiptasamband eða samskipta hverju sinni. Séu réttar upplýsingar ekki veittar kann það að hafa áhrif á möguleika Spesíu til að veita þér viðeigandi þjónustu.

Hvers vegna söfnum við þessum upplýsingum?

Við söfnum, geymum og greinum gögn í gegnum þjónustu okkar í eftirfarandi tilgangi:

1. Framkvæmd samnings (GDPR 6. gr. 1. mgr. b-liður)
   Spesía þarf að afla og vinna ákveðnar persónuupplýsingar um þig til að geta veitt þér viðeigandi þjónustu sem byggir á samning milli þín og Spesíu. Upplýsingunum er m.a. aflað til uppfylla lög og reglur en líka að veita þér persónulega ráðgjöf og aðstoða þig við að taka ákvarðanir sem hentar þínum persónulegu aðstæðum og viðhorfum. Unnið er með slíkar upplýsingar á grundvelli samþykki þíns, til að efna samning okkar við þig og lögmætra hagsmuni Spesíu.
   
   
2. Lagaskylda (GDPR 6. gr. 1. mgr. c-liður)
   Vinnsla Spesíu á persónuupplýsingum byggir að miklu leyti á nauðsyn félagsins til að uppfylla lagalegar skyldur. Spesía geymir persónuupplýsingar aðeins eins lengi og nauðsynlegt er til að Spesía geti sinnt þeirri þjónustu sem er í boði en einnig í samræmi við ákvæði laga eða viðskiptahagsmunir krefjast og málefnaleg ástæða þykir til. Þar má helst nefna eftirfarandi lög:
   
   - Lög nr. 161/2002 um fjármálafyrirtæki
   - Lög nr. 140/2018 um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka
   - Lög nr. 115/2021 um markaði fyrir fjármálagerninga
   - Lög nr. 45/2020 um rekstraraðila sérhæfðra sjóða
   - Lög nr. 116/2021 um verðbréfasjóði
   - Lög nr. 145/1994 um bókhald
   - Lög nr. 90/2003 um tekjuskatt
   
   Dæmi um vinnslu á þessum grundvelli eru: áreiðanleikakönnun viðskiptavina, skýrslugjöf til eftirlitsaðila og varðveisla gagna samkvæmt bókhalds- og skattalöggjöf.
   
   
3. Lögmætir hagsmunir (GDPR 6. gr. 1. mgr. f-liður)
   Í afmörkuðum tilvikum vinnur Spesía persónuupplýsingar á grundvelli lögmætra hagsmuna félagsins, þegar hagsmunir félagsins eru taldir vega þyngra en réttindi og frelsi viðkomandi einstaklings. Slík vinnsla fer ekki fram ef grundvallarréttindi og frelsi einstaklings um persónuvernd vega þyngra. Dæmi um vinnslu á þessum grundvelli eru þróun og umbætur á þjónustu félagsins, markaðssetning til núverandi viðskiptavina, og öryggi upplýsingakerfa og varnir gegn svikum. Þú getur andmælt vinnslu á þessum grundvelli, sjá kafla um réttindi hér að neðan.
   
   
4. Samþykki (GDPR 6. gr. 1. mgr. a-liður)
   Í ákveðnum tilvikum byggist vinnsla persónuupplýsinga á þínu samþykki, t.d. með vefkökum á vefsíðum Spesíu. Þú getur afturkallað samþykki þitt hvenær sem er án þess að það hafi áhrif á lögmæti þeirrar vinnslu sem átti sér stað á meðan samþykkið var í gildi.
   
   
5. Þróun og viðhald á vörunni
   Spesía greinir einnig notkun þína á smáforriti eða vefþjónustum Spesíu til að geta bætt og þróað þjónustuna enn frekar. Í þessari greiningu felst meðal annars að greina hvaða virkni þú notar helst og hversu oft þú skráir þig inn, hvaðan og með hvaða vafra, síma og stýrikerfi. Við söfnum einnig upplýsingum á annan hátt frá viðskiptavinum í sama tilgangi, m.a. út frá ábendingum í gegnum tölvupóst, samfélagsmiðla eða notendaprófanir. Þú getur afþakkað markaðspóst hvenær sem er, t.d. með því að smella á afskráningarhnapp í tölvupóstum eða með því að hafa samband við Spesíu. Unnið er með slíkar upplýsingar á grundvelli samþykki þíns, til að efna samning okkar við þig og lögmætra hagsmuna Spesíu.
   
   
6. Til þess að veita þér samanburð
   Auk þess kann Spesía að nýta þínar upplýsingar til að búa til lýðfræðilegar eða tölfræðilegar samantektir sem eru m.a. notaðar í þeim tilgangi að sýna þér hvernig þínar upplýsingar, hegðun eða aðstæður eru í samanburði við upplýsingar, hegðun eða aðstæður annarra. Unnið er með slíkar upplýsingar á grundvelli samþykki þíns og til að efna samning okkar við þig um þjónustu.
   
   
7. Til þess að eiga í góðum samskiptum
   Það er Spesíu mjög mikilvægt að geta átt í opnum samskiptum við þig og aðra viðskiptavini. Bæði svo við getum upplýst þig um uppfærslur, nýjungar eða aðrar mikilvægar breytingar á þjónustunni en einnig svo þú eigir auðvelt með að láta okkur vita ef þú vilt koma ábendingum eða tillögum á framfæri við okkur. Við fögnum allri endurgjöf og reynum að bregðast við henni fljótt og vel. Unnið er með slíkar upplýsingar á grundvelli samþykki þíns, til að efna samning okkar við þig og lögmætra hagsmuni Spesíu.
   

Hvernig miðlum við persónuupplýsingum?

Persónuupplýsingum getur verið miðlað til þriðja aðila að því marki sem það er nauðsynlegt til að framfylgja samningsskyldum við viðskiptavini. Þá miðlar Spesía upplýsingum til opinberra aðila þegar það er skylt lögum samkvæmt og þess er óskað, svo sem til Fjármálaeftirlits Seðlabanka Íslands eða öðrum eftirlitsaðilum, skattayfirvalda, dómstóla eða ríkislögreglustjóra. Auk framangreinds kunna aðrir aðilar líkt og viðskiptabankar viðskiptavina að fá persónuupplýsingar frá félaginu í afmörkuðum tilvikum.

Við sérstakar aðstæður getur persónuupplýsingum verið miðlað út fyrir evrópska efnahagssvæðið (EES). Slíkt er einungis gert ef það er nauðsynlegt til að verða við beiðnum viðskiptavinar eða þess sé krafist lögum samkvæmt. Þegar slík miðlun á sér stað er þó gætt að ítrustu öryggiskröfum í samræmi við persónuverndarlög.

Spesía notar vinnsluaðila í ákveðnum tilvikum, einkum í tengslum við útvistun á starfsemi sem heimilt er að útvista samkvæmt lögum nr. 45/2020 um rekstraraðila sérhæfðra sjóða, s.s. bókhalds- og uppgjörsþjónustu, viðhaldi skráa yfir eigendur hlutdeildarskírteina, vörsluþjónustu, og innri endurskoðun. Spesía gætir þess að þjónustuaðilar sem vinna í þágu félagsins veiti persónuupplýsingum fullnægjandi vernd samkvæmt þessari persónuverndarstefnu.

Hvernig varðveitum við persónuupplýsingar?

Öryggi persónuupplýsinga þinna er lykilatriði í öllum rekstri Spesíu sem hefur gert ýmsar öryggisráðstafanir til að vernda persónuupplýsingar þínar. Tilgangurinn er að uppfylla lagalegar kröfur Spesíu í tengslum við upplýsingaöryggi og koma í veg fyrir óheimila notkun, afritun, aðgang eða afhendingu til þriðja aðila. Dulkóðun gagna, notkun gerviauðkenna og viðamiklar öryggisprófanir eru dæmi um slíkar öryggisráðstafanir.

Einungis starfsmenn Spesíu með tilskilin réttindi hafa aðgang að þeim gögnum sem snúa að eftirlitsskyldri starfsemi. Allar uppflettingar starfsmanna eru auk þess skráðar. Allir starfsmenn Spesíu eru með hreint sakavottorð og bundnir þagnarskyldu um allt sem þeir kunna að verða áskynja um hagiviðskiptavina. Spesía rekur virkt eftirlit með starfsmönnum og áskilur sér rétt til að kæra öll brot á þagnarskyldu til viðeigandi yfirvalda.

Hve lengi geymum við persónuupplýsingar?

Spesía varðveitir persónuupplýsingar um viðskiptavini á meðan samningssambandi stendur. Að því loknu eyðir Spesía persónuupplýsingum í samræmi við gildandi reglur, nema lagalegar skyldur krefjist frekari varðveislu. Almennt séð eru persónuupplýsingar geymdar í 5-7 ár frá lokum viðskiptasambands, með hliðsjón af þeim lögum sem gilda um starfsemina, þ.m.t. þau lög sem talin eru upp hér að ofan um hvers vegna þessara upplýsinga er aflað.

Hvaða réttindi hefur þú?

Í samræmi við persónuverndarlögin átt þú rétt á því að ákveðnar ráðstafanir séu gerðar til að tryggja réttindi þín við vinnslu persónuupplýsinga. Þessi réttindi eru eftirfarandi:

• Upplýsingaréttur: Þú átt rétt á að fá upplýsingar um þau gögn sem verið er að vinna með um þig þannig að þú getir gætt annarra réttinda þinna samkvæmt persónuverndarlögum.
• Aðgangsréttur: Þú átt rétt á að fá upplýsingar um það hvort verið sé að vinna með persónuupplýsingar um þig. Í því felst réttur til að fá staðfestingu á því, afrit af upplýsingunum sem er verið að vinna með og aðrar upplýsingar um vinnsluna, s.s. tilgang og afleiðingar slíkrar vinnslu fyrir þig.
• Andmælaréttur: Réttur til að mótmæla því að persónuupplýsingar um þig séu notaðar í sérstökum tilgangi s.s. í markaðslegum tilgangi.
• Flutningsréttur. Réttur til að flytja eigin gögn sem þú hefur afhent ábyrgðaraðila, t.a.m. ef þú vilt endurnýta þau hjá annarri þjónusta eða ábyrgðaraðila.
• Réttur til leiðréttingar og/eða eyðingar: Þú átt rétt á að láta leiðrétta eða eyða persónuupplýsingum um þig sem eru óáreiðanlegar eða rangar. Þá átt þú einnig rétt á að óska eftir að persónuupplýsingum um þig séu eytt þegar þær eru ekki lengur nauðsynlegarljósi upphaflegs tilgangs fyrir vinnslu. Í ákveðnum tilvikum getur Spesía þurft að hafna slíkri beiðni á grundvelli lagaskyldna, ef svo er verður þér gerð grein fyrir ástæðunum.
• Réttur til takmörkunar á vinnslu: Þú átt rétt á að krefjast þess að vinnsla persónuupplýsinga verði takmörkuð í ákveðnum tilvikum, t.d. meðan ágreiningur um nákvæmni gagna er til meðferðar.
• Afturköllun samþykkis: Í þeim tilvikum þar sem vinnsla á persónuupplýsingum byggist á samþykki þínu getur þú afturkallað það hvenær sem er, án þess að það hafi áhrif á lögmæti vinnslu sem átti sér stað á meðan samþykkið var í gildi, t.d. með því að eyða Spesíu aðgangi þínum eða hafa beint samband við Spesíu og láta loka aðganginum. Í því felst einnig afturköllun á samþykki fyrir miðlun og vinnslu reikningsupplýsinga í þjónustu Spesíu. Ef þú afturkallar samþykki þitt þýðir það hins vegar að þú getur ekki notað þjónustu Spesíu lengur í heild eða að hluta, eða þá að ákveðnir þjónustuþættir virki ekki sem skyldi. Athygli er þó vakin á því að ef lög kveða á um skyldu til að varðveita persónuupplýsingar lengur ganga þau framar, sbr. umfjöllun um öryggi og varðveislu upplýsinga.

Í einhverjum tilvikum geta undantekningar á rétti þínum átt við, svo sem ef ákvæði annarra laga kveða á um hið gagnstæða eða réttindi annarra vega þyngra. Meginreglan er þó að réttindi þín eiga við.

Vinnsla persónuupplýsinga um börn

Vinnsla á persónuupplýsingum um börn getur farið fram af hálfu Spesíu ef það er nauðsynlegt í þeim tilgangi að veita þá þjónustu sem óskað er eftir. Ef barn sem nýtir sér þjónustu eða vöru Spesía hefur ekki náð 13 ára aldri mun Spesía ávallt afla samþykkis forráðamanns fyrir vinnslu persónuupplýsinga um barnið, í samræmi við persónuverndarlög.

Breytingar á persónuverndarstefnu Spesíu

Spesía áskilur sér rétt til að uppfæra stefnuna til samræmis við breytta viðskiptahætti og lagaskyldur.

Komi til breytinga verða þær aðgengilegar á vefsíðu Spesíu og er litið svo á að þú hafir samþykkt breytingarnar með áframhaldandi notkun á þjónustu Spesíu. Ef breytingarnar eru stórvægilegar aðmati Spesíu verður þér tilkynnt um það sérstaklega áður en þær taka gildi. Litið er svo á að þú hafir samþykkt minni háttar breytingar með áframhaldandi notkun á þjónustu Spesíu.

Tengiliður og réttarúrræði

Ef þú hefur einhverjar spurningar um þessa stefnu eða vinnslu persónuupplýsinga þinna getur þú haft samband við persónuverndarfulltrúa Spesíu. Persónuverndarfulltrúi er tengiliður við hinn skráða, veitir ráðgjöf um réttindi hans og hefur það hlutverk að sjá til þess að Spesía fari að persónuverndarlögum.

Ef þú telur að brotið hafi verið á rétti þínum vinsamlega hafðu samband. Allar fyrirspurnir, athugasemdir og ábendingar sem varða persónuvernd má senda á netfangið personuvernd@spesia.is.

Komi upp ágreiningur um meðferð persónuupplýsinga er hægt að senda kvörtun til Persónuverndar á netfangið postur@personuvernd.is eða með því að senda bréfpóst til Persónuverndar, heimilisfang: Rauðarárstígur 10, 105 Reykjavík. Sjá nánar á vefnum www.personuvernd.is

Útgáfa

Framkvæmdastjóri ber ábyrgð á stefnunni og skal hún endurskoðuð árlega, eða oftar ef tilefni gefst til.

Persónuverndarstefna þessi var síðast endurskoðuð í maí 2026.