Vinnslusamningur Bella Books
Útgáfa 1.0 · 27. október 2026
Þessi vinnslusamningur gildir milli Bella Books ehf. og viðskiptavinar sem hefur gert samning við Bella Books um notkun Bellu og samþykkt vinnslusamninginn, annaðhvort með undirritun samnings sem vísar til hans eða með því að samþykkja hann í Bellu.
Gildissvið
Samningurinn er gerður samkvæmt 28. gr. reglugerðar (ESB) 2016/679 (GDPR) og 25. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Hann er hluti af samningi aðila um notkun Bellu.
Hafi aðilar samið sérstaklega og skriflega um vinnslu persónuupplýsinga gengur það framar þessum samningi. Stangist samningurinn á við notkunarskilmála eða persónuverndarstefnu Bella Books gengur þessi samningur framar að því er varðar vinnslu persónuupplýsinga.
1. Skilgreiningar
- Vinnsluaðili: Bella Books ehf., kt. 510825-0710, Dalsbyggð 10, 210 Garðabæ.
- Ábyrgðaraðili: viðskiptavinur sem hefur gert samning við Bella Books um notkun Bellu og samþykkt samning þennan.
- Þjónustan (Bella): þjónusta Bella Books, það er hugbúnaðurinn sem tekur við gögnum viðskiptavinar og vinnur úr þeim, ásamt þeim kerfum sem hann keyrir á.
- Persónuupplýsingar, vinnsla og öryggisbrestur hafa sömu merkingu og í GDPR og lögum nr. 90/2018.
- Gögn viðskiptavinar: reikningar, fylgiskjöl og önnur gögn sem ábyrgðaraðili, notendur hans eða tengd kerfi hans senda í Bellu eða Bella sækir í tengd kerfi að ósk hans, svo og gögn sem verða til við vinnsluna, svo sem bókunartillögur og svör í „Ask Bella!“.
- Upplýsingar um notendur Bellu sjálfa, svo sem nafn, netfang og innskráningar, vinnur Bella Books sem ábyrgðaraðili samkvæmt persónuverndarstefnu sinni.
2. Lýsing á vinnslu
| Atriði | Lýsing |
|---|---|
| Tilgangur | Móttaka, lestur og flokkun reikninga og fylgiskjala; bókunartillögur; samþykktarferli; sending staðfestra færslna í bókhaldskerfi ábyrgðaraðila; fyrirspurnir í „Ask Bella!“; þjónusta við notendur og villuleit |
| Tegundir upplýsinga | Nöfn, kennitölur, netföng, símanúmer, heimilisföng, bankaupplýsingar, starfsmannanúmer og aðrar upplýsingar sem koma fram í gögnum viðskiptavinar |
| Hinir skráðu | Starfsmenn og notendur ábyrgðaraðila, samþykkjendur, birgjar og tengiliðir þeirra, einyrkjar og aðrir sem nefndir eru í gögnum viðskiptavinar |
| Viðkvæmar upplýsingar | Bella er ekki ætluð til vinnslu viðkvæmra persónuupplýsinga (9. gr. GDPR) eða upplýsinga um refsiverða háttsemi (10. gr. GDPR). Ábyrgðaraðili sendir ekki slíkar upplýsingar í Bellu, nema þær komi fram í reikningum eða fylgiskjölum sem bóka þarf, og þá aðeins að því marki sem nauðsynlegt er |
| Tímalengd | Meðan ábyrgðaraðili notar Bellu, að viðbættum skilatíma skv. 10. gr. |
3. Skyldur vinnsluaðila
3.1 Vinnsluaðili vinnur persónuupplýsingar eingöngu samkvæmt skjalfestum fyrirmælum ábyrgðaraðila. Samningur þessi, stillingar ábyrgðaraðila í Bellu og bókunarreglur sem hann setur teljast skjalfest fyrirmæli.
3.2 Telji vinnsluaðili að fyrirmæli brjóti gegn persónuverndarlögum tilkynnir hann ábyrgðaraðila það án tafar.
3.3 Vinnsluaðili notar gögn viðskiptavinar eingöngu til að veita, viðhalda, tryggja öryggi, styðja og bæta þjónustuna fyrir ábyrgðaraðila, þar á meðal til villuleitar. Gögnin eru hvorki seld né notuð til að þjálfa gervigreindarlíkön.
3.4 Tillögur Bellu eru ekki sjálfvirkar ákvarðanir. Notandi ábyrgðaraðila staðfestir hverja tillögu áður en hún er send í bókhaldskerfið. Til að tryggja rekjanleika skráir Bella hver staðfesti tillöguna og hver sendi hana í bókhaldskerfið, og hlekkur á vinnsluna í Bellu fylgir færslunni eða fylgiskjali hennar, eftir því sem bókhaldskerfið leyfir.
3.5 Vinnsluaðili aðstoðar ábyrgðaraðila, eftir því sem við á, við mat á áhrifum á persónuvernd og fyrirframsamráð við Persónuvernd, og heldur skrá yfir vinnslu samkvæmt 30. gr. GDPR.
3.6 Fyrirspurnir um persónuvernd má senda á privacy@bellabooks.ai.
4. Skyldur ábyrgðaraðila
4.1 Ábyrgðaraðili ber ábyrgð á að heimild sé fyrir vinnslunni og að hinir skráðu fái fræðslu um hana.
4.2 Ábyrgðaraðili ber ábyrgð á varðveislu bókhaldsgagna samkvæmt lögum nr. 145/1994 um bókhald.
4.3 Ábyrgðaraðili sér til þess að a.m.k. einn tengiliður hans sé ávallt skráður á póstlista Bella Books um laga- og þjónustuuppfærslur, sbr. 11.2, og að netföng eigenda og stjórnenda aðgangs hans í Bellu séu rétt.
5. Trúnaður
5.1 Vinnsluaðili gætir fyllsta trúnaðar um gögn viðskiptavinar og önnur trúnaðargögn sem hann fær frá ábyrgðaraðila. Það á meðal annars við um fjárhagsupplýsingar, bókhaldsgögn og upplýsingar um viðskiptavini, birgja og starfsmenn.
5.2 Starfsmenn og aðrir sem hafa aðgang að gögnum viðskiptavinar hafa undirgengist trúnaðarskyldu og fá aðeins aðgang að því marki sem nauðsynlegt er vegna starfa þeirra.
5.3 Trúnaðarskyldan helst eftir að samningnum lýkur.
6. Öryggisráðstafanir
6.1 Vinnsluaðili gerir viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggi gagna í samræmi við 32. gr. GDPR. Þar á meðal eru:
- dulkóðun gagna í flutningi (TLS) og í geymslu;
- aðgangsstýring eftir hlutverkum og lágmarksaðgangur starfsmanna;
- auðkenning notenda og örugg lotustýring;
- skráning aðgerða og vöktun kerfa;
- regluleg afritun og viðbragðsáætlun vegna öryggisatvika og bilana.
6.2 Öryggisráðstafanir vinnsluaðila byggja á viðurkenndum starfsháttum samkvæmt ISO/IEC 27001 og vinnsluaðili stefnir að vottun samkvæmt staðlinum. Öryggisráðstafanir eru endurskoðaðar reglulega og öryggisstig þeirra verður ekki lækkað á gildistíma samningsins.
7. Undirvinnsluaðilar og flutningur gagna
7.1 Ábyrgðaraðili veitir almenna heimild til að nota þá undirvinnsluaðila sem taldir eru upp í viðauka 1.
7.2 Vinnsluaðili tilkynnir um fyrirhugaða viðbót eða breytingu á undirvinnsluaðilum með að minnsta kosti 14 daga fyrirvara, sbr. 11.2. Ábyrgðaraðili getur andmælt breytingunni á þeim tíma. Nái aðilar ekki saman getur ábyrgðaraðili sagt upp áskrift sinni án uppsagnarfrests áður en breytingin tekur gildi og fær þá endurgreiddan þann hluta fyrirframgreiddrar áskriftar sem fellur til eftir að uppsögn tekur gildi.
7.3 Vinnsluaðili gerir skriflegan samning við hvern undirvinnsluaðila sem leggur á hann sömu skyldur og þessi samningur, og ber ábyrgð gagnvart ábyrgðaraðila á störfum hans.
7.4 Gögn viðskiptavinar, þar á meðal öryggisafrit þeirra, eru hýst hjá Amazon Web Services innan Evrópusambandsins og þar fer öll gervigreindarvinnsla fram. Aðrir undirvinnsluaðilar í viðauka 1 fá aðeins þau gögn sem hlutverk þeirra þar krefst. Þegar villuleit krefst þess má afrita þau gögn sem málið varðar tímabundið á búnað vinnsluaðila á Íslandi. Þar eru þau geymd dulkóðuð og þeim eytt innan 7 daga frá lokum villuleitar. Gögn viðskiptavinar eru ekki flutt út fyrir Evrópska efnahagssvæðið (EES) nema til undirvinnsluaðila sem tilgreindir eru í viðauka 1 eða tilkynnt er um skv. 7.2, og þá á grundvelli heimildar skv. V. kafla GDPR, svo sem staðlaðra samningsskilmála ESB.
8. Öryggisbrestir
8.1 Verði vinnsluaðili var við öryggisbrest sem varðar gögn viðskiptavinar tilkynnir hann ábyrgðaraðila það án ótilhlýðilegrar tafar og eigi síðar en 48 klukkustundum eftir að hann varð brestsins var. Tilkynningin er send með tölvupósti til eigenda og stjórnenda aðgangs ábyrgðaraðila í Bellu.
8.2 Tilkynningin lýsir eðli brestsins, þeim upplýsingum og einstaklingum sem hann varðar, líklegum afleiðingum og ráðstöfunum sem gripið hefur verið til. Liggi allar upplýsingar ekki fyrir í einu má veita þær í áföngum án ótilhlýðilegrar tafar.
8.3 Vinnsluaðili aðstoðar ábyrgðaraðila við að tilkynna Persónuvernd og hinum skráðu um brestinn þegar það á við, sbr. 33. og 34. gr. GDPR.
9. Réttindi hinna skráðu og úttektir
9.1 Berist vinnsluaðila beiðni frá einstaklingi um aðgang, leiðréttingu, eyðingu eða önnur réttindi varðandi gögn viðskiptavinar vísar hann beiðninni til ábyrgðaraðila án tafar og aðstoðar hann við að svara henni.
9.2 Vinnsluaðili lætur ábyrgðaraðila í té þær upplýsingar sem þörf er á til að sýna fram á að skyldum samkvæmt samningi þessum sé fullnægt.
9.3 Ábyrgðaraðili, eða óháður aðili á hans vegum sem bundinn er trúnaði, getur gert úttekt einu sinni á ári, eða oftar ef öryggisbrestur eða fyrirmæli eftirlitsyfirvalds gefa tilefni til, með að minnsta kosti 30 daga fyrirvara. Vinnsluaðili getur fyrst lagt fram gögn skv. 9.2. Úttekt veitir ekki aðgang að gögnum annarra viðskiptavina. Ábyrgðaraðili ber kostnað af úttekt.
10. Gildistími, lok samnings og eyðing gagna
10.1 Samningurinn tekur gildi þegar ábyrgðaraðili samþykkir hann, sbr. inngang, og gildir á meðan hann notar Bellu.
10.2 Ábyrgðaraðili getur sótt reikninga, fylgiskjöl og bókunargögn úr Bellu hvenær sem er á gildistíma samningsins. Færslur sem sendar eru úr Bellu í bókhaldskerfi ábyrgðaraðila, og fylgiskjöl þeirra eftir því sem bókhaldskerfið leyfir, eru jafnframt varðveittar þar.
10.3 Við lok samnings eru gögn viðskiptavinar geymd í 90 daga. Á þeim tíma getur ábyrgðaraðili óskað eftir afriti af öllum gögnum með beiðni til privacy@bellabooks.ai. Ábyrgðaraðili getur einnig óskað eftir að gögnum sé eytt fyrr.
10.4 Að 90 dögum liðnum eyðir vinnsluaðili gögnum viðskiptavinar í hýsingu eða gerir þau ópersónugreinanleg, nema lög krefjist annars. Dulkóðuð öryggisafrit eyðast þegar þeim er skipt út í reglubundnu ferli, innan 30 daga. Afritum í tölvupósti og kerfisskrám er eytt innan 12 mánaða. Vinnsluaðili staðfestir eyðingu skriflega sé þess óskað.
11. Breytingar, tilkynningar, lög og varnarþing
11.1 Vinnsluaðili getur uppfært samning þennan, þar á meðal leyst hann af hólmi með vinnslusamningi sem birtur er á vef Bella Books. Verulegar breytingar eru tilkynntar skv. 11.2 með að minnsta kosti 14 daga fyrirvara og taka gildi að þeim tíma liðnum. Breytingar sem draga úr vernd persónuupplýsinga verða ekki gerðar nema með samþykki ábyrgðaraðila eða þegar lög krefjast þess. Sætti ábyrgðaraðili sig ekki við breytinguna getur hann sagt upp áskrift sinni áður en hún tekur gildi og fær þá endurgreitt skv. 7.2.
11.2 Tilkynningar samkvæmt 7.2 og 11.1 eru sendar með tölvupósti til áskrifenda að póstlista Bella Books um laga- og þjónustuuppfærslur (bellabooks.ai/is/legal-updates) og eftir atvikum birtar í Bellu. Tilkynning telst komin fram þegar hún hefur verið send á listann. Um tilkynningar vegna öryggisbresta fer skv. 8.1.
11.3 Fyrri útgáfur samningsins fást sendar sé þess óskað.
11.4 Um samninginn gilda íslensk lög. Rísi ágreiningur sem aðilar leysa ekki með samkomulagi skal reka málið fyrir Héraðsdómi Reykjavíkur.
11.5 Samningur þessi er birtur á íslensku, ensku og þýsku. Bindandi er sú tungumálaútgáfa sem ábyrgðaraðili samþykkti í Bellu eða undirritaði, og það á einnig við um síðari útgáfur samningsins skv. 11.1. Hinar tungumálaútgáfurnar eru til hægðarauka.
Viðauki 1 við vinnslusamning: Undirvinnsluaðilar
| Undirvinnsluaðili | Hlutverk | Staðsetning gagna |
|---|---|---|
| Amazon Web Services EMEA SARL (Lúxemborg) | Aðalhýsing, gagnagrunnar, gagnageymsla og öll gervigreindarvinnsla | ESB |
| Twilio Inc. (SendGrid) | Móttaka reikninga og fylgiskjala sem send eru í tölvupósti, og sending tilkynninga úr Bellu | Bandaríkin, með stöðluðum samningsskilmálum ESB |
| Google Ireland Ltd. (Google Workspace) | Tölvupóstur, þar á meðal samskipti við þjónustuver og rekstrartilkynningar úr Þjónustunni | ESB, með stöðluðum samningsskilmálum ESB |
| Maventa Oy (Finnlandi), hluti af Visma-samstæðunni (Inexchange) | Móttaka rafrænna reikninga (Peppol-aðgangspunktur og innra net Maventa) fyrir ábyrgðaraðila sem tekur á móti rafrænum reikningum í gegnum Bellu, og afhending þeirra til Bellu. Aðeins fyrir þá ábyrgðaraðila sem hafa óskað eftir því | EES |
| Enable Banking Oy (Finnlandi) | Lestur á stöðu og færslum bankareikninga ábyrgðaraðila (leyfisskyld reikningsupplýsingaþjónusta, eftirlit Fjármálaeftirlits Finnlands) og afhending þeirra til Bellu vegna afstemmingar. Aðeins fyrir þá ábyrgðaraðila sem hafa tengt bankareikning | EES |
| Maesn GmbH (Þýskalandi) | Tenging við Microsoft Dynamics 365 Business Central fyrir ábyrgðaraðila sem tengir bókhaldskerfi sitt við Bellu á þann hátt | ESB |
| Quarter ehf. (Íslandi) | Þjónustuborð (Cardinal): móttaka og svörun fyrirspurna til þjónustuvers í tölvupósti og spjalli, ásamt gögnum sem fylgja þeim | EES |
Tengingar við bókhaldskerfi, rafræna skeytamiðlara, banka og kortafyrirtæki, svo og MCP-biðlara og önnur gervigreindarverkfæri ábyrgðaraðila, eru settar upp að ósk ábyrgðaraðila. Gögn sem send eru þangað eru á ábyrgð hans og fara eftir samningum hans við viðkomandi aðila. Þegar vinnsluaðili tekur sjálfur á móti rafrænum reikningum fyrir ábyrgðaraðila í gegnum Maventa er Maventa undirvinnsluaðili samkvæmt þessum viðauka. Þegar vinnsluaðili les bankareikninga ábyrgðaraðila í gegnum Enable Banking er Enable Banking undirvinnsluaðili samkvæmt þessum viðauka. Tenging Bellu við Microsoft Dynamics 365 Business Central fer um Maesn, sem er þá undirvinnsluaðili samkvæmt þessum viðauka; bókhaldskerfið sjálft er á ábyrgð ábyrgðaraðila.
Til rekstrar vinnsluaðila, utan Þjónustunnar, eru einnig notaðir Pipedrive (viðskiptatengiliðir), Brevo (póstlistar, þar á meðal um laga- og þjónustuuppfærslur) og eSigna frá [e]core ehf. (rafrænar undirritanir og staðfesting á þeim sem undirritar fyrir hönd ábyrgðaraðila). Þessir aðilar fá ekki gögn viðskiptavinar.