Persónuverndarstefna

Síðast uppfært 20. október 2026

Þessi stefna útskýrir hvaða persónuupplýsingar Korti meðhöndlar, hvers vegna, og hvað þú getur gert í því. Korti er rekið af Korti ehf., kt. 591026-0380, Skógarási 7, 110 Reykjavík. Við fylgjum almennu persónuverndarreglugerðinni (ESB) 2016/679, sem hefur lagagildi hér á landi samkvæmt 2. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Þú getur haft samband við okkur á korti@korti.is.

Tvenns konar gögn, tvö hlutverk

• Fyrirtæki sem nota Korti (þú og teymið þitt). Vegna aðgangsins þíns og greiðslna er Korti ábyrgðaraðili.
• Viðskiptavinir þínir, fólkið sem fær kortin þín. Fyrirtækið sem gefur kortið út er ábyrgðaraðili; Korti vinnur gögnin fyrir þess hönd sem vinnsluaðili. Ef þú ert viðskiptavinur skaltu hafa samband fyrst við fyrirtækið sem er á kortinu þínu. Samskiptaupplýsingar þess eru á bakhlið kortsins.

Hvaða gögnum við söfnum frá fyrirtækjum

• Nafn, netfang og aðgangslykla (aðeins opinbera lykla) til að skrá þig inn.
• Upplýsingar um fyrirtækið: nafn, kennitölu, heimilisfang og samskiptaupplýsingarnar sem eru prentaðar á kortin þín. Áður en þú gefur út fyrsta virka kortið flettum við kennitölu fyrirtækisins upp í fyrirtækjaskrá. Við geymum nafnið og heimilisfangið sem við fyllum út fyrirfram út frá henni og niðurstöðu athugunarinnar (virkt, hvorki gjaldþrota né í slitameðferð), en ekki færsluna úr skránni sjálfa.
• Apple-skírteinið þitt, ef þú tengir það (Leið A): skírteinið, Pass Type ID og gildistíma þess, og einkalykil þess, dulkóðaðan.
• Ef Korti gefur út Apple-kortin þín (Leið B) er samningurinn undirritaður með eigin hendi. Við geymum upplýsingarnar sem þú skráir um undirritanda (nafn, kennitölu, hlutverk, netfang og, ef þú gefur það upp, símanúmer), hvenær þú samþykktir samninginn, stafrænt fingrafar af textanum sem var samþykktur, og færsluna úr fyrirtækjaskrá sem sýndi að viðkomandi mátti skrifa undir (hlutverk hans og firmaritun félagsins), en ekki alla færsluna úr skránni. Við geymum líka undirritaða PDF-skjalið sem þú hleður upp (eða sendir okkur í tölvupósti), en á því eru nafn undirritanda, kennitala og undirskrift. Aðeins eigendur og stjórnendur fyrirtækisins og kerfisstjórar Korti geta opnað það. Starfsmaður Korti fer yfir hvern undirritaðan samning og við geymum ákvörðun hans og rökstuðning. Við geymum undirritaða PDF-skjalið meðan samningurinn er í gildi og eyðum því ef samningnum er hafnað eða þú byrjar upp á nýtt.
• Greiðslur: Rapyd-viðskiptamannsnúmerið þitt, tegund greiðslukorts og síðustu fjóra stafina, reikninga. Fullt kortanúmer fer beint til Rapyd og berst aldrei til Korti.
• Notkunar- og öryggisskrár: IP-tölu, vafra, innskráningar og villur, geymdar í allt að 90 daga. Innskráningarlotur skrá IP-töluna og vafrann sem þær voru stofnaðar úr, meðan lotan varir. Skrárnar okkar eru vistaðar á þjónum sem við rekum sjálf og við hyljum netföng, kennitölur og símanúmer í þeim.

Hvað við vinnum fyrir fyrirtæki um viðskiptavini þeirra

• Það sem fyrirtækið velur að setja á kortið, yfirleitt nafn, netfang eða símanúmer, kortanúmer og gildi eins og stimpla eða inneign.
• Netfang eða símanúmer þegar fyrirtækið sendir viðskiptavini hlekk á kortið sitt í tölvupósti eða SMS. SMS fara aðeins á íslensk númer.
• Tæknileg auðkenni frá veskjunum, svo uppfærslur berist í réttan síma: Apple-tækja- og push-tákn og Google Wallet-hlutarauðkenni.
• Atburði eins og hvenær kort var bætt við, skannað eða uppfært.

Við seljum ekki persónuupplýsingar og notum þær ekki í auglýsingaskyni.

Hvers vegna og á hvaða grundvelli

Hverjir vinna gögn fyrir okkur

Við notum þessa undirvinnsluaðila. Gögn eru geymd innan ESB þar sem við getum valið.

Vegna athugana á fyrirtækjum flettum við upp í fyrirtækjaskrá sem Skatturinn heldur. Við spyrjum aðeins um kennitöluna sem þú gefur okkur og, í Leið B, færsluna í skránni sem sýnir hvort sá sem undirritaði megi skrifa undir fyrir félagið.

Hversu lengi við geymum gögnin

• Aðgangsgögn: meðan aðgangurinn þinn er opinn, síðan eytt innan 30 daga frá því að honum er lokað.
• Kortagögn viðskiptavina: þar til fyrirtækið lokar aðgangi sínum, síðan innan 30 daga. Fyrirtæki sem vill að gögnum viðskiptavinar sé eytt fyrr getur beðið okkur um það á korti@korti.is. Að óvirkja kort í Korti eyðir ekki gögnum viðskiptavinanna.
• Undirritaður Leið B-samningur: meðan samningurinn er í gildi, síðan í sjö ár sem sönnunargagn. Hafnað eða útskipt undirritað eintak er eytt strax.
• Reikningar og greiðslufærslur: 7 ár, eins og íslensk bókhaldslög (lög um bókhald) krefjast.
• Afrit: næturafrit af gagnagrunninum, geymd í 14 daga á þjóninum okkar og 30 daga í Cloudflare R2. Gögn sem hefur verið eytt hverfa úr afritunum innan þessara 30 daga.

Réttindi þín

Þú getur beðið um að sjá gögnin sem við höfum um þig, leiðrétta þau, eyða þeim, takmarka eða andmæla því hvernig við notum þau og fá afrit til að taka með þér annað. Sendu póst á korti@korti.is og við svörum innan mánaðar. Ef þér finnst við hafa rangt fyrir okkur geturðu kvartað til Persónuverndar (personuvernd.is).

Vafrakökur

Korti notar aðeins þær vafrakökur sem þarf til að halda þér innskráðum og öruggum. Engar auglýsinga- eða rakningarkökur eru notaðar, svo það er enginn kökuborði. Cloudflare Turnstile, mannprófunin á skráningarsíðum korta, er hluti af þjónustu Cloudflare; hún er til að stöðva vélmenni, ekki til að rekja þig.

Öryggi

Tengingar eru dulkóðaðar, skírteinislyklar eru dulkóðaðir í geymslu, lykilorð eru ekki til (við notum kóða í tölvupósti og aðgangslykla) og aðgangur að framleiðslukerfum er takmarkaður við þá sem reka Korti. Ef öryggisbrestur hefur áhrif á gögnin þín látum við þig vita og, þar sem þess er krafist, Persónuvernd innan 72 klukkustunda.

Breytingar

Ef við breytum þessari stefnu á þann hátt sem skiptir máli sendum við handhöfum aðgangs tölvupóst áður en breytingin tekur gildi.