Vinnslusamningur

Útgáfa 0.5 (beta) · 11. nóvember 2026

Samningur þessi er hluti af skilmálum Kassify og af þjónustusamningi um bókhald, hafi hann verið gerður, og gildir sjálfkrafa þegar viðskiptavinur samþykkir skilmálana eða undirritar þjónustusamninginn. Viðskiptavinur getur einnig óskað eftir undirrituðu eintaki á support@kassify.is.

Samningurinn uppfyllir kröfur 28. gr. almennu persónuverndarreglugerðarinnar (ESB) 2016/679 (GDPR) og laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga.

1. Aðilar

• Ábyrgðaraðili: viðskiptavinur Kassify, það er fyrirtækið eða einstaklingurinn í rekstri sem skráð er í Kassify.
• Vinnsluaðili: Kassify ehf., kt. 461026-0520, Hlíðasmára 6, 201 Kópavogi.

2. Efni og tilgangur

Vinnsluaðili vinnur persónuupplýsingar fyrir hönd ábyrgðaraðila í þeim eina tilgangi að veita bókhaldsþjónustu Kassify samkvæmt skilmálum og þjónustusamningi. Nánari lýsing á vinnslunni er í viðauka 1.

3. Gildistími

Samningurinn gildir á meðan vinnsluaðili vinnur persónuupplýsingar fyrir ábyrgðaraðila, þar með talið þann tíma sem líður frá lokum þjónustusamnings þar til gögnum hefur verið skilað eða eytt samkvæmt 12. kafla.

4. Skyldur ábyrgðaraðila

Ábyrgðaraðili ber ábyrgð á því að:

• heimild sé fyrir vinnslunni og að hinir skráðu hafi fengið fræðslu, til dæmis starfsfólk og viðskiptamenn,
• upplýsingarnar sem hann setur inn séu réttar og ekki umfram þörf,
• fyrirmæli hans til vinnsluaðila séu lögmæt.

5. Fyrirmæli

Vinnsluaðili vinnur persónuupplýsingar eingöngu samkvæmt skjalfestum fyrirmælum ábyrgðaraðila. Skilmálarnir, þessi samningur og stillingar og aðgerðir notenda ábyrgðaraðila í Kassify teljast fyrirmæli. Telji vinnsluaðili að fyrirmæli brjóti gegn lögum lætur hann ábyrgðaraðila vita án tafar.

Vinnsluaðili selur ekki persónuupplýsingarnar og notar þær ekki að öðru leyti í eigin þágu. Hann notar þær ekki til að þjálfa gervigreindarlíkön, með einni undantekningu: bókhaldslínur þar sem nöfn, kennitölur, fjárhæðir, dagsetningar og frjáls texti hafa verið fjarlægð (eftir standa aðeins flokkar og númer) má nota til að þjálfa eigið flokkunarlíkan Kassify. Líkanið er hýst hjá undirvinnsluaðila (nú OpenAI) samkvæmt vinnslusamningi og er aðeins notað fyrir Kassify. Línurnar eru aldrei notaðar til að þjálfa eigin líkön undirvinnsluaðilans. Línur sem varða einstaklinga eru aldrei notaðar. Vinnsluaðili má líka læra þvert á viðskiptavini sína: fyrir hvern birgi sem viðskiptavinur bókar geymir hann lyklað fingrafar birgisins (af kennitölu hans, eða af nafni hans þegar bankinn gefur enga kennitölu), staðlaða lykilinn og VSK-hlutfallið, án nafns viðskiptavinar, fjárhæðar, dagsetningar eða frjáls texta, og stingur upp á þeim lykli hjá öðrum viðskiptavini þegar að minnsta kosti tveir viðskiptavinir, og flestir þeirra sem bóka birginn, eru sammála. Enginn viðskiptavinur sér frá hvaða viðskiptavinum tillaga kemur, birgir sem er einstaklingur er aldrei notaður, það sem bókhald viðskiptavinar kenndi geymist eftir að honum er eytt án tengingar við hann, og manneskja staðfestir hverja slíka tillögu áður en hún er bókuð. Til að stinga upp á flokki geymir vinnsluaðili einnig flokkaðar línur úr bókhaldi viðskiptavina sinna (heiti birgis, fjárhæð, mánuð, texta vörunnar og flokkinn sem línan var bókuð á, en allt sem nefnir einstakling er fjarlægt) í safni án tengingar við viðskiptavininn sem þær koma frá, og sýnir þær líkustu undirvinnsluaðila (nú Anthropic) við hlið línunnar sem spurt er um; manneskja staðfestir einnig slíka tillögu áður en hún er bókuð.

6. Trúnaður

Vinnsluaðili tryggir að starfsfólk og aðrir sem hafa aðgang að persónuupplýsingunum séu bundnir trúnaði. Starfsfólk vinnsluaðila fer aðeins inn í gögn ábyrgðaraðila þegar það er nauðsynlegt til að veita aðstoð, laga villu, tryggja öryggi eða sinna bókhaldi samkvæmt þjónustusamningi. Slíkur aðgangur er skráður í atvikaskrá. Starfsfólk vinnsluaðila skráir ekki færslur í bókhald ábyrgðaraðila nema að beiðni hans eða samkvæmt þjónustusamningi.

7. Öryggi

Vinnsluaðili gerir viðeigandi tæknilegar og skipulagslegar ráðstafanir samkvæmt 32. gr. GDPR. Þær eru taldar upp í viðauka 2.

8. Undirvinnsluaðilar

• Ábyrgðaraðili veitir vinnsluaðila almenna heimild til að nota undirvinnsluaðila. Gildandi listi er í viðauka 3.
• Vinnsluaðili tilkynnir ábyrgðaraðila um nýjan eða breyttan undirvinnsluaðila með minnst 30 daga fyrirvara, með tölvupósti eða í kerfinu.
• Ábyrgðaraðili getur andmælt breytingunni á málefnalegum forsendum innan þess frests. Ef ekki næst samkomulag getur ábyrgðaraðili sagt upp þjónustunni án kostnaðar áður en breytingin tekur gildi.
• Vinnsluaðili gerir skriflegan samning við hvern undirvinnsluaðila sem leggur á hann sambærilegar skyldur og hér greinir. Vinnsluaðili ber ábyrgð gagnvart ábyrgðaraðila á efndum undirvinnsluaðila.

9. Miðlun til þriðju landa

Vinnsluaðili miðlar persónuupplýsingum út fyrir EES aðeins ef fullnægjandi vernd er tryggð samkvæmt V. kafla GDPR, svo sem með ákvörðun framkvæmdastjórnar ESB um fullnægjandi vernd (þar á meðal Data Privacy Framework milli ESB og Bandaríkjanna) eða stöðluðum samningsákvæðum. Hvaða leið á við hverju sinni kemur fram í viðauka 3.

10. Aðstoð við ábyrgðaraðila

Vinnsluaðili aðstoðar ábyrgðaraðila, eftir því sem eðlilegt er miðað við eðli vinnslunnar, við að:

• svara beiðnum hinna skráðu um aðgang, leiðréttingu, eyðingu, takmörkun, flutning og andmæli. Berist vinnsluaðila slík beiðni beint vísar hann henni til ábyrgðaraðila og svarar henni ekki sjálfur nema með samþykki hans,
• tryggja öryggi vinnslunnar,
• meta áhrif á persónuvernd og hafa fyrirframsamráð við Persónuvernd ef þess þarf.

Í Kassify getur ábyrgðaraðili sjálfur tekið út gögn, leiðrétt þau og skoðað atvikaskrá.

11. Öryggisbrestir

Vinnsluaðili tilkynnir ábyrgðaraðila um öryggisbrest við vinnslu persónuupplýsinga án ótilhlýðilegrar tafar og eigi síðar en 48 klukkustundum eftir að hann verður hans var. Tilkynningin lýsir eins og kostur er:

• eðli brestsins, flokkum og áætluðum fjölda hinna skráðu og færslna,
• líklegum afleiðingum,
• ráðstöfunum sem gripið hefur verið til eða lagðar eru til,
• tengilið hjá vinnsluaðila.

Upplýsingar sem ekki liggja fyrir strax eru veittar jafnóðum. Ábyrgðaraðili ber ábyrgð á tilkynningu til Persónuverndar og hinna skráðu, en vinnsluaðili aðstoðar við hana.

12. Lok vinnslu: skil og eyðing

• Ábyrgðaraðili getur hvenær sem er tekið út gögn sín úr Kassify á algengu sniði (töflureiknir og fylgiskjöl í zip-skrá).
• Við lok þjónustusamnings hefur ábyrgðaraðili 90 daga til að taka út gögn sín. Að þeim tíma liðnum eyðir vinnsluaðili persónuupplýsingunum nema lög krefjist varðveislu eða aðilar hafi samið um annað.
• Gögnum er eytt úr afritum þegar geymslutíma afrita lýkur samkvæmt viðauka 2. Þangað til eru afritin varin á sama hátt og önnur gögn og aðeins notuð til endurheimtar.
• Varðveisluskylda bókhaldsgagna samkvæmt lögum nr. 145/1994 hvílir á ábyrgðaraðila.

13. Úttektir

Vinnsluaðili veitir ábyrgðaraðila allar upplýsingar sem þarf til að sýna fram á að skyldur samkvæmt þessum samningi séu uppfylltar. Ábyrgðaraðili, eða óháður úttektaraðili sem bundinn er trúnaði, getur gert úttekt með minnst 30 daga fyrirvara, á skrifstofutíma og ekki oftar en einu sinni á ári nema öryggisbrestur gefi tilefni til. Ábyrgðaraðili ber kostnað af úttekt.

14. Ábyrgð

Um bótaábyrgð fer samkvæmt 82. gr. GDPR og takmörkunum skilmála Kassify, að því marki sem lög leyfa.

15. Forgangur og lög

Ef ósamræmi er milli þessa samnings og skilmála eða þjónustusamnings gengur þessi samningur framar um vinnslu persónuupplýsinga. Um samninginn gilda íslensk lög og ágreiningur fer fyrir Héraðsdóm Reykjaness.

Viðauki 1: Lýsing á vinnslu

Eðli vinnslu: söfnun, skráning, geymsla, flokkun, uppfletting, útreikningur, miðlun að beiðni ábyrgðaraðila, afritun og eyðing.

Tilgangur: færsla bókhalds, launavinnsla, útgáfa reikninga, afstemming við banka, móttaka og lestur fylgiskjala, skil á skilagreinum, skýrslugerð og aðstoð gervigreindar við þessi verk.

Hinir skráðu:

• starfsfólk ábyrgðaraðila og fyrrverandi starfsfólk,
• viðskiptamenn ábyrgðaraðila og tengiliðir þeirra,
• birgjar og tengiliðir þeirra,
• hluthafar,
• notendur sem ábyrgðaraðili veitir aðgang,
• aðrir sem nefndir eru í fylgiskjölum, bankafærslum eða skýringum.

Tegundir persónuupplýsinga:

• auðkenni og samskiptaupplýsingar: nafn, kennitala, heimilisfang, netfang, sími,
• ráðningar- og launaupplýsingar: laun, launataxtar, starfshlutfall, upphafs- og lokadagur starfs, persónuafsláttur (einnig maka), lífeyrissjóður og séreign, orlof, launaseðlar,
• fjárhagsupplýsingar: bankareikningar, bankafærslur, reikningar, greiðslur, arður og hlutafjáreign,
• efni fylgiskjala, svo sem kvittana, reikninga og yfirlita,
• spjall notenda við gervigreind Kassify.

Viðkvæmar persónuupplýsingar: aðild að stéttarfélagi (vegna félagsgjalda) og upplýsingar um veikindadaga (vegna launaútreiknings). Þær eru unnar til að ábyrgðaraðili geti uppfyllt skyldur sínar á sviði vinnuréttar, sbr. b-lið 2. mgr. 9. gr. GDPR. Ábyrgðaraðili skal ekki setja aðrar viðkvæmar upplýsingar í Kassify, til dæmis sjúkdómsgreiningar.

Tíðni: samfelld á meðan þjónustusamningur er í gildi.

Viðauki 2: Tæknilegar og skipulagslegar ráðstafanir

• Dulkóðun: öll samskipti fara um TLS. Gögn eru dulkóðuð í geymslu hjá hýsingaraðilum. Kennitölur starfsfólks og notenda eru auk þess dulkóðaðar með AES-lykli sem geymdur er utan gagnagrunns, og leitað er eftir þeim með HMAC-tætigildi. Aðgangsupplýsingar að lífeyrissjóðum og bönkum eru dulkóðaðar.
• Aðgangsstýring: hvert fyrirtæki er aðskilið og hver fyrirspurn er bundin við fyrirtæki notanda. Hlutverk stýra hvað notandi má. Innskráning fer fram hjá Clerk, með stuðningi við rafræn skilríki (Kenni). API-lyklar eru geymdir sem tætigildi og geta verið eingöngu til lesturs.
• Atvikaskrá: allar aðgerðir eru skráðar með notanda, tíma, IP-tölu og leið (vefur, API-lykill, gervigreindaraðstoðarmaður). Bókaðar færslur bera fylgiskjalsnúmer og hver bókaði þær. Bókuðum færslum er ekki breytt heldur leiðrétt með nýrri færslu, og hægt er að læsa tímabilum.
• Gervigreind: aðeins það sem þarf hverju sinni er sent til gervigreindar. Villuboð og notkunargreining eru hreinsuð af netföngum, kennitölum, upphæðum og texta áður en þau fara frá okkur.
• Afritun: gagnagrunnur er afritaður reglulega hjá hýsingaraðila. Í undirbúningi er dulkóðað (age) afrit á hverri nóttu í gagnaver á Íslandi: dagleg afrit geymd í 30 daga, mánaðarleg í 84 mánuði og árleg í 25 ár. Einkalykill afritanna er ekki geymdur á netþjónum.
• Starfsfólk: fáir starfsmenn hafa stjórnandaaðgang og hann er skráður. Starfsfólk er bundið trúnaði.
• Þróun: breytingar eru yfirfarnar og prófaðar sjálfvirkt áður en þær fara í loftið. Gögn viðskiptavina eru ekki notuð í prófunum.
• Öryggisbrestir: skrifleg viðbragðsáætlun er til (sjá viðbragðsáætlun vegna öryggisbresta).

Viðauki 3: Undirvinnsluaðilar

Listinn er birtur með þessum samningi á kassify.is/vinnslusamningur og er hluti af honum.

Undirvinnsluaðilar

Síðast uppfært 11. nóvember 2026

Viðauki 3 við vinnslusamning Kassify ehf., kt. 461026-0520. Við tilkynnum viðskiptavinum um breytingar með minnst 30 daga fyrirvara.

Í notkun

Í undirbúningi

Þessir aðilar eru ekki komnir í notkun. Viðskiptavinir fá tilkynningu með 30 daga fyrirvara áður en þeir bætast við.

Viðtakendur sem ekki eru undirvinnsluaðilar

Þessir aðilar fá gögn þegar notandi biður um það. Þeir eru sjálfstæðir ábyrgðaraðilar eða stjórnvöld.

• Lífeyrissjóðir og stéttarfélög í gegnum skilagrein.is (Landssamtök lífeyrissjóða): skilagreinar með kennitölu starfsfólks, launum og iðgjöldum.
• Skatturinn: notandi skilar sjálfur skýrslum á þjónustusíðu Skattsins. Kassify sendir Skattinum engin gögn.
• Viðtakendur tölvupósts: viðskiptamenn sem fá reikninga og starfsfólk sem fær launaseðla.
• Payday og dk: þegar viðskiptavinur flytur gögn úr eldra kerfi með eigin aðgangslykli.
• Mollie B.V. (Holland): þegar viðskiptavinur tengir kortagreiðslur á sölureikningum (Mollie Connect), nafn fyrirtækisins, kennitala, VSK-númer og heimilisfang og nafn og netfang þess sem tengir vegna skráningar, síðan fjárhæð, númer sölureiknings og nöfn fyrirtækisins og viðskiptamanns þess fyrir hvern greiðslutengil. Kortaupplýsingar fara beint til Mollie.
• Gervigreindaraðstoðarmenn sem notandi tengir sjálfur (til dæmis Claude eða ChatGPT): samkvæmt samningi notandans við þann aðila.