Þessi stefna lýsir því hvernig weakestlink vinnur persónuupplýsingar sem við sjálf berum ábyrgð á. Ef vinnuveitandi þinn notar weakestlink til öryggisþjálfunar er vinnuveitandinn ábyrgðaraðili starfsmannaupplýsinganna og weakestlink er vinnsluaðili — sjá Viðauka A.

1. Ábyrgðaraðili

WEAKESTLINK ApS (dönsk kennitala/CVR 46614011) er ábyrgðaraðili vinnslu persónuupplýsinga á weakestlink.io. Hafðu samband: info@weakestlink.io.

2. Hvaða upplýsingar við vinnum, í hvaða tilgangi og með hvaða heimild

Við vinnum ekki með kennitölur (CPR-tölur) eða neinar viðkvæmar upplýsingar (GDPR gr. 9).

3. Vinnsla með gervigreind

Við notum gervigreind (Claude frá Anthropic) til að semja þjálfunarefni og sniðmát fyrir hermanir — lexíur, stutt próf og beitupósta — innanhúss, áður en það er gefið út. Engin gögn viðskiptavina og engar persónuupplýsingar um starfsfólk ykkar eru sendar til gervigreindarþjónusta og engin gervigreind er keyrð á gögnum ykkar í rekstri.

4. Vinnsluaðilar og undirvinnsluaðilar

Við notum eftirfarandi vinnsluaðila. Fyrir birgja utan ESB/EES fer flutningur gagna fram á grundvelli fullnægjandi ákvörðunar framkvæmdastjórnar ESB (EU-U.S. Data Privacy Framework) og/eða staðlaðra samningsákvæða (SCC):

Hýsing fer fram á eigin innviðum í Danmörku.

Ef þú greiðir með korti eru kortupplýsingar og greiðslugögn unnin af greiðslugátt okkar QuickPay (QuickPay ApS, Danmörku) og færsluhirðinum Clearhaus (Clearhaus A/S, Danmörku) sem sjálfstæðum ábyrgðaraðilum samkvæmt greiðslulöggjöf — ekki sem vinnsluaðilum fyrir okkar hönd. Við fáum aldrei fullt kortanúmer þitt. Um þá vinnslu gilda persónuverndarstefnur QuickPay og Clearhaus.

5. Miðlun til þriðja aðila

Við miðlum aðeins upplýsingum þegar það er nauðsynlegt til að veita þjónustuna, þegar lög krefjast þess eða með samþykki. Ein undantekning: ef þú komst til okkar í gegnum Google-auglýsingu sendum við smellaauðkenni auglýsingarinnar, tímasetninguna og hvort aðgangur var stofnaður eða greitt fyrir hann til Google Ireland Ltd. (Google Ads), svo við sjáum hvaða auglýsingar skila árangri. Við sendum hvorki nafn, netfang né IP-tölu með. Google kann að flytja upplýsingarnar til Google LLC í Bandaríkjunum. Samkvæmt Google byggist það á EU-U.S. Data Privacy Framework, sem Google LLC hefur vottun samkvæmt, og að öðrum kosti á föstum samningsákvæðum (SCC). Við seljum aldrei upplýsingar.

6. Varðveisla og eyðing

Nánari tímafrestir koma fram í töflunni í kafla 2. Bókhaldsgögn eru varðveitt í 5 ár frá lokum reikningsárs, í samræmi við dönsku bókhaldslögin (bogføringsloven). Að þeim tíma liðnum er upplýsingunum eytt eða þær gerðar ópersónugreinanlegar.

7. Réttindi þín

Þú átt rétt á aðgangi, leiðréttingu, eyðingu, takmörkun vinnslu, flutningi eigin gagna og andmælum (GDPR art. 15–21). Ef þú hefur veitt samþykki getur þú alltaf dregið það til baka með gildi til framtíðar. Skrifaðu til info@weakestlink.io — við svörum eigi síðar en mánuði eftir að erindið berst. Ef þú vilt ekki að við notum smellaauðkenni auglýsingarinnar (kaflar 2 og 5) getur þú andmælt (art. 21) með því að skrifa á sama netfang — þá eyðum við smellaauðkenninu og tilkynnum ekkert um aðganginn þinn til Google. Ef þú ert starfsmaður hjá viðskiptavini getur þú einnig snúið þér til vinnuveitanda þíns, sem er ábyrgðaraðili (sjá viðauka A).

8. Kvörtun

Þú getur kvartað yfir vinnslu okkar til danska Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Þú getur einnig kvartað til Persónuverndar, www.personuvernd.is.

9. Vafrakökur

Við setjum tvær vafrakökur: lotuköku sem er notuð við innskráningu og til öryggis og — ef þú velur sjálf(ur) tungumál í tungumálavalinu — köku sem man valið þitt. Ef þú kemur í gegnum Google-auglýsingu geymum við smellaauðkenni auglýsingarinnar í lotunni á netþjóninum okkar, svo við getum sagt Google hvort smellurinn leiddi til stofnunar aðgangs (sjá kafla 5). Kakan sjálf inniheldur aðeins handahófskennt lotuauðkenni. Við notum engar aðrar rakningarkökur og engar vafrakökur frá þriðja aðila, og heimsóknatölfræðin (Umami) notar engar vafrakökur.

10. Breytingar

Verulegar breytingar á þessari stefnu verða tilkynntar á weakestlink.io og/eða með tölvupósti.

---

Viðauki A — verkaskipting við þjálfun starfsmanna

Þegar fyrirtæki (vinnuveitandi þinn) notar weakestlink til öryggisþjálfunar og phishing-hermana, er fyrirtækið ábyrgðaraðili gagna um starfsmenn og weakestlink er vinnsluaðili. Vinnslan fer fram samkvæmt fyrirmælum í vinnslusamningi sem gerður er við uppsetningu. Þessi stefna á því aðeins við um þær upplýsingar sem við sjálf berum ábyrgð á (tengiliða- og reikningsupplýsingar viðskiptavinar auk reksturs).

Phishing-hermanir eru einungis keyrðar á skjalfestum lagalegum grundvelli (samþykki frá fyrirtækinu og samþykktu mati á lögmætum hagsmunum). Skýrslurnar eru samandregnar og sýna aðeins tölur fyrir hópa með að minnsta kosti fimm einstaklingum. Niðurstöður einstaks starfsmanns (áhættueinkunn, framvinda námskeiða og atvik í hermunum) getur aðeins kerfisstjóri fyrirtækisins séð — og yfirmenn, ef fyrirtækið kveikir sjálft á því. Tilgangurinn er markviss viðbótarþjálfun, aldrei að taka neinn fyrir eða beita viðurlögum. Niðurstöðurnar eru geymdar á meðan viðskiptasambandið varir og þeim eytt þegar því lýkur, samkvæmt vinnslusamningnum. Við vistum aldrei hvað starfsmaður skrifar í hermun, aðeins að atvik hafi átt sér stað.