Persónuverndarstefna socialPost
Gildir frá 1. september 2026. Síðast uppfært 4. september 2026.
1. Um okkur
OÞ ehf., kt. 671113-1520, Byggakri 3, 210 Garðabær, Ísland.
OÞ ehf. starfar undir heitinu OT AI. Þar sem stendur „OT AI" í þessu skjali er átt við OÞ ehf.
Fyrirspurnir um persónuvernd: personuvernd@otai.is
Þessi stefna gildir um socialPost, stafrænan starfsmann sem OT AI rekur og birtir efni á Facebook og Instagram fyrir hönd viðskiptavina. Hún gildir ekki um aðra þjónustu OT AI.
2. Hverjir nota socialPost
socialPost er þjónusta fyrir fyrirtæki. Notendur eru starfsmenn þeirra fyrirtækja sem gera samning við OT AI. Þjónustan er ekki ætluð einstaklingum í eigin nafni og ekki fólki yngra en 18 ára.
Gagnvart þeim persónuupplýsingum sem viðskiptavinur sendir okkur er viðskiptavinurinn ábyrgðaraðili og OT AI vinnsluaðili. Um þau gögn sem OT AI safnar í eigin þágu, svo sem samskipti við tengiliði viðskiptavinar, er OT AI ábyrgðaraðili.
3. Hvaða gögn við söfnum
3.1 Gögn sem berast í tölvupósti frá viðskiptavini
Viðskiptavinur sendir tölvupóst á sérstakt netfang sem OT AI útvegar honum. Úr þeim pósti vistum við:
- netfang og nafn sendanda
- efnislínu og meginmál póstsins
- myndir sem fylgja póstinum
- slóð á auglýsingu á vef þriðja aðila, ef hún er í póstinum
- þær staðreyndir sem lesnar eru úr textanum, svo sem heimilisfang, verð, stærð, herbergjafjölda, eiginleika eignar og tímasetningu opins húss
3.2 Starfsmannaskrá
Viðskiptavinur afhendir okkur fyrirfram lista yfir þá starfsmenn sem mega senda inn efni. Fyrir hvern þeirra vistum við nafn, starfsheiti, netfang, símanúmer og andlitsmynd. Þessar upplýsingar birtast í auglýsingunni sjálfri.
3.3 Gögn frá Meta
Þegar viðskiptavinur tengir Facebook- og Instagram-reikninga sína við socialPost veitir hann okkur tilteknar heimildir. Á grundvelli þeirra fáum við aðgang að:
- lista yfir þær Facebook-síður sem hann stjórnar, ásamt auðkenni og heiti hverrar síðu (
pages_show_list) - aðgangslykli fyrir þær síður sem hann velur, og heimild til að birta færslur á þeim (
pages_manage_posts) - samtölum um viðbrögð við þeim færslum sem við birtum: fjölda birtinga, viðbragða, ummæla og deilinga (
pages_read_engagement) - auðkenni og notandanafni þess Instagram-reiknings í atvinnuskyni sem tengdur er síðunni (
instagram_basic) - heimild til að birta á þeim Instagram-reikningi (
instagram_content_publish) - tengslum milli reikninga viðskiptavinarins í Meta Business Manager, svo við getum staðfest að hann eigi þá síðu sem birt er á (
business_management)
Við sækjum engar persónuupplýsingar um það fólk sem sér færslurnar, líkar við þær eða skrifar ummæli. Við sjáum aðeins samtölur. Við lesum ekki einkaskilaboð og biðjum ekki um heimild til þess.
3.4 Tæknileg gögn
Við skráum tímasetningar, stöðu verkefna og villuboð svo við getum rekið þjónustuna og fundið bilanir. Efni tölvupósta, myndir og aðgangslyklar eru aldrei skrifuð í villuskrár.
4. Til hvers við notum gögnin
Við notum gögnin eingöngu til að veita þá þjónustu sem viðskiptavinur hefur samið um:
- að útbúa drög að færslu á Facebook og Instagram
- að senda viðskiptavini tölvupóst þar sem hann samþykkir eða hafnar drögunum
- að birta samþykkta færslu á þeim Facebook- og Instagram-reikningum sem viðskiptavinurinn á sjálfur
- að sýna stöðu færslna í stjórnborði viðskiptavinarins
- að finna og laga villur í þjónustunni
Lagagrundvöllur fyrir vinnslu OT AI á gögnum í eigin þágu, svo sem tengiliðaupplýsingum og reikningagerð, er efndir samnings við viðskiptavin, sbr. b-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679. Vinnsla á gögnum sem viðskiptavinur leggur til fer fram á grundvelli vinnslusamnings milli aðila og fyrirmæla viðskiptavinar, sem ber ábyrgð á lögmæti vinnslunnar gagnvart hinum skráðu.
5. Hvað við gerum ekki
- Við seljum engin gögn og skiptum ekki á þeim.
- Við notum hvorki efni viðskiptavina né gögn frá Meta til að þjálfa gervigreindarlíkön.
- Við notum gögnin ekki til markaðssetningar á öðrum vörum.
- Við deilum gögnum frá Meta ekki með neinum öðrum en þeim þjónustuaðilum sem taldir eru í 6. kafla.
- Við færum gögn ekki milli viðskiptavina. Hver viðskiptavinur sér aðeins sín eigin gögn.
6. Hverjum við deilum gögnum með
Við deilum gögnum með eftirfarandi þjónustuaðilum, hverjum um sig í þeim eina tilgangi að reka þjónustuna. Hver þeirra er bundinn vinnslusamningi við OT AI.
| Þjónustuaðili | Hlutverk | Gögn sem hann sér |
|---|---|---|
| Meta Platforms Ireland Ltd. | Birting á Facebook og Instagram | Færslan sjálf, myndir og auðkenni reiknings |
| Supabase | Gagnagrunnur | Öll vistuð gögn |
| Railway | Keyrsla þjónustunnar | Gögn í vinnslu |
| Vercel | Vefur og stjórnborð | Gögn sem birtast í stjórnborði |
| AgentMail | Móttaka og sending tölvupósts | Efni tölvupósta |
| Anthropic | Máltæknilíkan sem semur drögin | Texti auglýsingar og staðreyndir eignar |
Sumir þessara aðila vinna gögn utan Evrópska efnahagssvæðisins, meðal annars í Bandaríkjunum. Í þeim tilvikum byggist flutningurinn á fullnægjandi verndarákvörðun framkvæmdastjórnar ESB (EU-U.S. Data Privacy Framework) eða stöðluðum samningsákvæðum framkvæmdastjórnarinnar.
Við afhendum stjórnvöldum engin gögn nema lög skyldi okkur til þess.
7. Hversu lengi við geymum gögn
| Gögn | Geymslutími |
|---|---|
| Drög, staðreyndir eignar og myndir | Meðan samningur er í gildi, og 90 daga eftir að honum lýkur |
| Starfsmannaskrá | Meðan samningur er í gildi |
| Aðgangslyklar frá Meta | Eytt um leið og tenging er rofin, í síðasta lagi innan sólarhrings |
| Villuskrár | 90 dagar |
Bókhalds- og reikningagögn eru varðveitt í sjö ár í samræmi við lög um bókhald nr. 145/1994. Þau falla ekki undir eyðingu samkvæmt 8. kafla.
Að þeim tíma liðnum eyðum við gögnunum varanlega úr virkum kerfum og úr afritum við næstu reglubundnu hringrás afrita, í síðasta lagi innan 30 daga þar á eftir.
8. Hvernig þú biður um eyðingu gagna
Þú getur beðið um eyðingu allra gagna sem tengjast þér eða fyrirtæki þínu, hvar sem þú býrð. Rétturinn er ekki bundinn við tiltekið land eða löggjöf. Við krefjumst hvorki innskráningar né samþykkis frá okkur.
Svona gerir þú það:
- Sendu tölvupóst á personuvernd@otai.is með efnislínuna Eyðing gagna.
- Láttu koma fram það netfang sem þú sendir efni frá, eða heiti þeirrar Facebook-síðu sem um ræðir.
- Við staðfestum móttöku innan fimm virkra daga.
- Við eyðum gögnunum innan 30 daga frá staðfestingu og sendum þér skriflega staðfestingu þegar því er lokið.
Þetta er eytt: öll drög, staðreyndir eigna, myndir, upplýsingar úr starfsmannaskrá, aðgangslyklar frá Meta og tengingin sjálf.
Þú getur líka rofið tenginguna sjálf hvenær sem er. Farðu í Meta Business Manager, veldu Business settings → Apps, finndu OT AI og fjarlægðu appið. Þá fellur aðgangur okkar úr gildi samstundis. Sendu okkur svo póst samkvæmt skrefunum að ofan til að láta eyða því sem eftir stendur.
Nánari leiðbeiningar eru á otai.is/socialpost/data-deletion.
9. Réttindi þín
Þú átt rétt á aðgangi að gögnum um þig, leiðréttingu þeirra, eyðingu, takmörkun vinnslu, flutningi gagna og andmælum við vinnslu. Við veitum þessi réttindi öllum notendum, óháð búsetu.
Sendu erindi á personuvernd@otai.is. Við svörum innan 30 daga.
Þú getur einnig kvartað til Persónuverndar, personuvernd.is.
10. Öryggi
Gögn eru dulkóðuð í flutningi og í geymslu. Aðgangur starfsfólks er takmarkaður við þá sem þurfa hans við. Aðgangslyklar frá Meta eru geymdir dulkóðaðir og eru aldrei skrifaðir í kóða, skrár eða villuskrár.
11. Breytingar á stefnunni
Ef við breytum stefnunni tilkynnum við það í tölvupósti með 30 daga fyrirvara.
12. Samband
OÞ ehf. (OT AI) · personuvernd@otai.is · Byggakri 3, 210 Garðabær