Persónuverndaryfirlýsing

Um persónuverndaryfirlýsinguna

Einn af hornsteinum indó sparisjóðs er að koma hreint fram. Persónuvernd viðskiptavina skiptir indó miklu máli og er lögð sérstök áhersla á að persónuupplýsingar séu unnar með lögmætum, sanngjörnum og gagnsæjum hætti.

Í persónuverndaryfirlýsingunni er m.a. að finna útskýringar á því hvaða persónuupplýsingum sparisjóðurinn safnar, hvenær og hvers vegna, hve lengi má ætla að upplýsingarnar verði geymdar, hvert upplýsingunum kann að verða miðlað og með hvaða hætti er gætt að öryggi þeirra. Einnig er að finna upplýsingar um réttindi viðskiptavinar vegna þeirra persónuupplýsinga sem sparisjóðurinn vinnur.

indó meðhöndlar og vinnur með persónuupplýsingar um viðskiptavini í samræmi við lög nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga. Allir starfsmenn indó eru jafnframt bundnir ríkri þagnarskyldu um einkamálefni viðskiptavina samkvæmt lögum um fjármálafyrirtæki.

Upplýsingar um ábyrgðaraðila

Ábyrgðaraðili er indó sparisjóður hf., Nóatún 17, 105 Reykjavík, kt. 411018-0400. indó er sparisjóður sem veitir þjónustu á sviði sparnaðar og greiðslumiðlunar. indó hefur starfsleyfi sem sparisjóður samkvæmt lögum um fjármálafyrirtæki og sætir eftirliti Seðlabanka Íslands.

Persónuupplýsingar sem sparisjóðurinn safnar um viðskiptavin

indó safnar persónuupplýsingum til þess að geta boðið vörur og þjónustu, sinnt lagaskyldum og tryggt öryggi. Eftirfarandi eru þeir flokkar persónuupplýsinga sem sparisjóðurinn vinnur með:

Persónuupplýsingar sem viðskiptavinur afhendir: Grunnupplýsingar (nafn, kennitala, heimilisfang, símanúmer, netfang), auðkennisupplýsingar, upplýsingar vegna áreiðanleikakönnunar (uppruni fjármagns, stjórnmálatengsl o.fl.), og fjárhagsupplýsingar (greiðslufyrirmæli o.þ.h.).
Persónuupplýsingar sem verða til hjá sparisjóðnum: Viðskiptasaga, hreyfingayfirlit, upplýsingar um hegðun og notkun í indó appinu, tæknilegar upplýsingar (IP-tala, stýrikerfi), hljóðritanir símtala við þjónustuver og afrit af rafrænum samskiptum.
Persónuupplýsingar sem þriðji aðili afhendir: Upplýsingar frá Þjóðskrá Íslands, lánshæfis- og fjárhagsupplýsingar frá Creditinfo (til að tryggja áreiðanleika upplýsinga og rétt auðkenni) og upplýsingar frá opinberum stjórnvöldum.
Viðkvæmar persónuupplýsingar: Í ákveðnum undantekningartilvikum og að uppfylltum ströngum lagaskilyrðum getur sparisjóðurinn þurft að vinna upplýsingar um þjóðerni, svo og lífkenni (fingraför/andlitsauðkenni) ef viðskiptavinur velur að nota slíkt til innskráningar.

Í hvaða tilgangi eru persónuupplýsingar unnar og á hvaða grundvelli?

indó byggir vinnslu persónuupplýsinga ávallt á lögmætum grundvelli:

Vegna framkvæmdar samnings: Til að geta stofnað til viðskipta, haldið utan um reikninga, gefið út greiðslukort og veitt þá þjónustu sem óskað er eftir skv. skilmálum.
Til að uppfylla lagaskyldu: Til dæmis við áreiðanleikakannanir á grundvelli laga um aðgerðir gegn peningaþvætti, við lögboðið innra eftirlit og áhættustýringu, við varðveislu gagna skv. bókhaldslögum, og við upplýsingagjöf til stjórnvalda (t.d. skattyfirvalda eða lögreglu) þegar skýr lagaheimild stendur til þess.
Vegna lögmætra hagsmuna: Til að þróa og bæta þjónustu, tryggja net- og upplýsingaöryggi (m.a. til að koma í veg fyrir fjársvik) og til að flokka viðskiptavini í hópa til að bjóða viðeigandi og sérsniðna þjónustu. indó notar þennan grundvöll einnig til beinnar markaðssetningar, sem viðskiptavinir geta ávallt afþakkað í indó appinu eða með því að hafa samband.
Byggt á samþykki: Í ákveðnum tilvikum, t.d. vegna notkunar á vefkökum á heimasíðu, eða þegar boðin er þjónusta þriðja aðila. Samþykki má ávallt afturkalla.

Sjálfvirk ákvarðanataka og gerð persónusniðs

Hugbúnaður indó vinnur sjálfvirkt með gögn til að flokka viðskiptavini eða fylgjast með óeðlilegum færslum til að koma í veg fyrir svik. Viðskiptavinur á rétt á að koma á framfæri athugasemdum við sjálfvirkar ákvarðanir sem hafa réttaráhrif og óska eftir mannlegri íhlutun í gegnum netfangið personuvernd@indo.is.

Hvert er persónuupplýsingum miðlað og hverjir eru viðtakendur?

indó miðlar aðeins persónuupplýsingum til annarra þegar slíkt er nauðsynlegt til að veita þjónustuna, byggir á lagaskyldu eða samþykki.

Vinnsluaðilar: indó nýtir sér þjónustu utanaðkomandi samstarfsaðila sem vinna gögn fyrir hönd sparisjóðsins (vinnsluaðilar). Þetta eru aðilar sem veita t.d. tölvuskýjaþjónustu, hýsingu og rekstur upplýsingakerfa (s.s. Reiknistofa bankanna), greiðslumiðlun og póst- og samskiptaþjónustu. indó gerir strangar kröfur um öryggi í vinnslusamningum við þessa aðila.
Opinber stjórnvöld og dómstólar: Afhending gagna vegna lagaskyldu eða dómsúrskurðar til aðila s.s. Seðlabanka Íslands, skattyfirvalda eða lögreglu.
Sameiginleg ábyrgð vegna PEP-gagnagrunns: Þegar indó flettir viðskiptavinum upp í svokölluðum PEP-gagnagrunni Creditinfo, til að kanna stjórnmálaleg tengsl vegna laga um peningaþvætti, bera indó og Creditinfo sameiginlega ábyrgð á þeirri vinnslu. Hægt er að kynna sér megininntak þeirrar ábyrgðarskiptingar nánar á vefsíðum félaganna.

Flutningur gagna úr landi

Í tengslum við tölvuskýjaþjónustu og upplýsingatækni getur indó þurft að flytja gögn út fyrir Evrópska efnahagssvæðið (EES). Í slíkum tilvikum tryggir indó að flutningurinn byggi á lögmætum grundvelli, svo sem á stöðluðum samningsskilmálum (SCC) framkvæmdastjórnar Evrópusambandsins ásamt viðbótaröryggisráðstöfunum, eða á ákvörðun um fullnægjandi verndarstig í viðkomandi ríki.

Hversu lengi eru gögnin geymd?

Persónuupplýsingar eru varðveittar á meðan viðskiptasamband varir. Að viðskiptasambandi loknu eru gögnin geymd í fimm ár til að uppfylla ríkar skyldur laga um aðgerðir gegn peningaþvætti. Að þeim tíma liðnum er gögnum að jafnaði eytt, nema önnur lög (t.d. bókhaldslög) krefjist lengri varðveislu, eða varðveisla sé nauðsynleg til að hægt sé að stofna til eða verjast réttarkröfu. Hljóðritanir símtala við þjónustuver eru geymdar í 90 daga og eyðast þá sjálfkrafa.

Réttindi viðskiptavinar og lagalegar takmarkanir

Viðskiptavinir eiga rétt á að óska eftir aðgangi að persónuupplýsingum sínum, fá rangar upplýsingar leiðréttar, óska eftir eyðingu gagna, andmæla vinnslu eða krefjast þess að hún sé takmörkuð, og fá gögn afhent (flutningsréttur).

Vinsamlegast athugið: Réttindi til aðgangs, upplýsingagjafar og eyðingar geta sætt takmörkunum á grundvelli 29. gr. laga um aðgerðir gegn peningaþvætti og fjármögnun hryðjuverka, ef upplýsingagjöfin eða eyðingin gæti hindrað lögboðnar greiningar, rannsóknir stjórnvalda eða vinnu sparisjóðsins gegn fjársvikum. Eins getur sparisjóðurinn ekki eytt gögnum sem honum er skylt að varðveita samkvæmt lögum. Ef viðskiptavinur telur að vinnsla indó brjóti í bága við lög getur hann lagt fram kvörtun hjá Persónuvernd, nánari upplýsingar er að finna á heimasíðunni www.personuvernd.is.

Öryggi og samskipti vegna persónuverndar

indó beitir ströngum aðgangsstýringum, dulkóðun og öðrum tæknilegum og skipulagslegum öryggisráðstöfunum til að vernda persónuupplýsingar. Persónuverndarfulltrúi indó hefur eftirlit með fylgni við lög og reglur.

Hvernig þú kemur erindum á framfæri

Viðskiptavinir og aðrir skráðir einstaklingar geta beint fyrirspurnum, ábendingum eða beiðnum um að nýta sér réttindi sín (svo sem um aðgang, leiðréttingu, takmörkun eða eyðingu persónuupplýsinga) til persónuverndarfulltrúa indó með því að senda tölvupóst á netfangið personuvernd@indo.is.

Meðferð erinda og kvartana

Við leggjum áherslu á að greiða fljótt og vel úr öllum erindum sem varða persónuvernd. Þegar þú sendir inn kvörtun eða formlegt erindi staðfestum við móttöku þess. Erindinu verður að jafnaði svarað skriflega og efnislega eins fljótt og auðið er, og eigi síðar en innan fjögurra vikna, í samræmi við reglur um eðlilega og heilbrigða viðskiptahætti.

Ef þú telur að vinnsla okkar á persónuupplýsingum þínum brjóti í bága við lög, átt þú ávallt rétt á að beina kvörtun til Persónuverndar. Varði ágreiningur einkaréttarlega hagsmuni er einnig hægt að vísa málinu til Úrskurðarnefndar um viðskipti við fjármálafyrirtæki.

Þessi yfirlýsing var síðast uppfærð 17. ágúst 2026.