Persónuverndarstefna

1. Hver við erum

Sóley er rekin af Cognia ehf (kennitala 670421-0900), íslensku félagi. Við erum ábyrgðaraðili fyrir persónuupplýsingar sem unnar eru í gegnum Sóley, vefinn soley.travel, MCP-þjón Sóleyjar og WhatsApp-aðstoðina.

Tengiliður: privacy@soley.travel

2. Hvaða gögnum við söfnum

2.1 MCP-þjónn (aðgangur fyrir gervigreindaraðstoðarmenn)

Þegar gervigreindaraðstoðarmenn tengjast api.soley.travel/mcp söfnum við:

• IP-tölu og lýsigögnum beiðna, til að takmarka álag og koma í veg fyrir misnotkun
• Tækjaköllum og breytum, til að veita þjónustuna og finna villur
• OAuth2-aðgangslyklum og auðkennum biðlara, til að staðfesta aðgang

Upplýsingatólin (veður, færð á vegum, öryggisviðvaranir, flug, norðurljós, jarðskjálftar, strætóáætlanir, eldsneytisverð, loftgæði, gengi gjaldmiðla, snjóflóðahætta, fréttir) krefjast engra persónuupplýsinga. Tenging gervigreindaraðstoðarmanns við MCP-þjóninn notar OAuth2; tvö upplýsingatól (yfirlit um Sóley og leit í opinberri leyfisskrá rekstraraðila) má einnig kalla án aðgangs, með álagstakmörkun á hverja IP-tölu.

Við leit í leyfisskránni skráum við jafnframt dulnefnda notkunartölfræði: efnisflokkun leitarinnar (aldrei leitartextann sjálfan), hvaða skráningar leitin birti og daglega notkunarteljara hvers tóls, tengda ópersónugreinanlegu tengingarauðkenni. Þessi tölfræði inniheldur aldrei nafn, tengiliðaupplýsingar eða innihald samtala.

2.2 Bókunar- og notendagögn

Þegar þú bókar í gegnum Sóley söfnum við:

• Fullu nafni (til að rekstraraðili þekki gestinn)
• Netfangi (fyrir staðfestingar og eftirfylgni)
• Símanúmeri (fyrir WhatsApp og samband við rekstraraðila)
• Bókunaratriðum: dagsetningar, fjöldi gesta, séróskir, valinn rekstraraðili og þjónusta

2.3 Hvað við söfnum ekki

• Greiðslukortaupplýsingum. Greiðslur fara beint í gegnum greiðsluveitanda rekstraraðilans (Valitor / Teya). Sóley sér aldrei kortaupplýsingar.
• Vegabréfa- eða skilríkjanúmerum
• Innihaldi samtala gervigreindaraðstoðarmanna. Við skráum tækjaköll, ekki samtalið sjálft

3. Hvernig við notum gögnin

• Þjónusta. Vinnsla bókana, sending staðfestinga, samskipti við rekstraraðila.
• Rekstur kerfisins. Álagstakmörkun, varnir gegn misnotkun, villuleit og afköst kerfisins.
• Lögbundnar skyldur. Fylgja reglum sem gilda á Íslandi og innan EES.

Við seljum ekki persónuupplýsingar. Við notum þær ekki í auglýsingaskyni og gerum ekki notendaprófíla fyrir markaðssetningu.

4. Lagagrundvöllur (6. gr. GDPR)

• Framkvæmd samnings, 6. gr. (1)(b). Vinnsla bókunargagna til að efna samninginn um bókunina milli þín og rekstraraðila.
• Lögmætir hagsmunir, 6. gr. (1)(f). Öryggi kerfisins, álagstakmörkun, varnir gegn misnotkun, þróun þjónustunnar.
• Lagaskylda, 6. gr. (1)(c). Skatta- og bókhaldsskyldur samkvæmt íslenskum lögum.

5. Miðlun gagna

Við miðlum persónuupplýsingum aðeins til:

• Ferðaþjónustuaðila. Nafn þitt, samskiptaupplýsingar og bókun fara til þess rekstraraðila sem þú bókar hjá. Hann er sjálfstæður ábyrgðaraðili fyrir þau gögn sem hann tekur við.
• Innviðaveitendur. Neon (PostgreSQL, ESB), Upstash (Redis-skyndiminni, ESB), Railway (forritsumhverfi), Vercel (vefur), Twilio (WhatsApp), Clerk (auðkenning).
• Veitendur gervigreindarlíkana. Anthropic (Claude API) vinnur ópersónugreinanlegt samtalssamhengi fyrir svör gervigreindaraðstoðarmannsins, samkvæmt vinnslusamningi.

Allir undirvinnsluaðilar eru bundnir vinnslusamningum. Við flytjum ekki gögn út fyrir EES nema með viðunandi tryggingum (staðlaðir samningsskilmálar þar sem við á).

6. Varðveisla gagna

• Skrár um MCP-tækjaköll. Geymdar í 90 daga og að þeim tíma liðnum gerðar ópersónugreinanlegar.
• Bókunarskrár. Varðveittar skv. íslenskum skattalögum (7 ár fyrir fjárhagsgögn).
• Reikningsgögn. Varðveitt þar til þú biður um eyðingu.
• Redis-skyndiminni. Líftími yfirleitt 15 mínútur til 24 klst.

7. Réttindi þín

Ef þú býrð eða dvelur á EES-svæðinu áttu samkvæmt GDPR rétt á:

• Aðgangi. Fá afrit af persónuupplýsingum þínum.
• Leiðréttingu. Lagfæra rangar upplýsingar.
• Eyðingu. Biðja um eyðingu („réttur til að gleymast").
• Flytjanleika. Fá gögnin þín á tölvulesanlegu sniði.
• Takmörkun. Setja skorður á vinnslu.
• Andmælum. Andmæla vinnslu sem byggir á lögmætum hagsmunum.

Til að nýta þessi réttindi, sendu tölvupóst á privacy@soley.travel. Við svörum innan 30 daga.

8. Vafrakökur

Sóley-vefurinn notar aðeins nauðsynlegar vafrakökur: innskráningarsetu (Clerk), tungumálsval og CSRF-vörn. Engar mæligagnakökur, engar auglýsingakökur, engin rakning frá þriðja aðila.

9. Öryggi

Öll gögn eru send með TLS-dulritun. Gagnagrunnstengingar eru dulritaðar. Aðgangur að framleiðslukerfum er takmarkaður við viðeigandi starfsfólk. Við fylgjum bestu starfsvenjum: álagstakmörkun, staðfestingu inntaks og atvikaskráningu án persónuupplýsinga.

10. Börn

Sóley er ekki ætlað börnum yngri en 16 ára. Við söfnum ekki vísvitandi persónuupplýsingum um börn. Hafðu samband ef þú telur að við höfum gert það.

11. Breytingar á stefnunni

Stefnan kann að breytast. Veigamiklar breytingar verða tilkynntar í gegnum kerfið. Dagsetningin „Síðast uppfært" efst sýnir nýjustu útgáfu.

12. Eftirlitsstofnun

Ef þú telur réttindi þín hafa verið brotin getur þú lagt fram kvörtun til Persónuverndar: personuvernd.is.