Notandi Fons Juris ehf. hvort sem um er að ræða lögaðila eða einstakling
(hér eftir nefndur „ábyrgðaraðili“)

OG

Fons Juris ehf., kt. 460611-2450, Laugavegi 7, 101 Reykjavík, Ísland, netfang: fonsjuris@fonsjuris.is
(hér eftir nefndur „vinnsluaðili“)

gera með sér eftirfarandi vinnslusamning:

I. Tilgangur samnings
Tilgangur þessa samnings er að skilgreina skyldur og ábyrgð vinnsluaðila sem vinnur persónuupplýsingar fyrir hönd ábyrgðaraðila, í samræmi við ákvæði almennu persónuverndarreglugerðarinnar (GDPR) og viðeigandi íslenskra laga. Samningur þessi mun vera hluti af og stjórna vinnslu persónuupplýsinga sem tengjast eftirfarandi þjónustusamningi („Þjónustusamningur“) milli aðila: Almennir viðskiptaskilmálar Fons Juris.

II. Lýsing á vinnslunni
Þjónusta vinnsluaðila:
Vinnsluaðili vinnur, fyrir hönd ábyrgðaraðila, persónuupplýsingar sem fram koma í þeim skjölum sem ábyrgðaraðili hleður upp í kerfi vinnsluaðila.

Hér getur verið um að ræða öll þau gögn sem gætu flokkast sem lögfræðileg, fræðileg, stjórnsýsluleg eða söguleg í eðli sínu, sem og gögn sem tengjast opinberum málefnum, deilum, samningum eða úrlausnum réttarágreinings.

Dæmi um slík skjöl eru m.a.:

Lögfræðileg málskjöl: Stefnur, greinargerðir, viðaukar, dómskjöl, skjöl sem tengjast réttarmálum eða kærum, málflytjendasamningar, málsmeðferðargögn, dómar og úrskurðir dómstóla eða stjórnvalda, minnisblöð lögmanna, skýrslur lögfræðinga, skjalaskrár og gagnaöflunarlisti sem unnin eru í tengslum við málsmeðferð.

Opinber skjöl og réttarheimildir: Lög, reglugerðir, tilskipanir, úrskurðir úrskurðarnefnda, stjórnvaldsbréf, stjórnsýsluleg erindi, bréfaskipti við opinberar stofnanir, lagafrumvörp, nefndarálit, skýrslur Alþingis, skjöl frá umboðsmanni Alþingis eða persónuverndaryfirvöldum.

Samningsskjöl og skjöl um lögskipti: Samningar, minnisblöð um samningagerð, samstarfsyfirlýsingar, kaupsamningar, leigusamningar, lánssamningar, tryggingarbréf, skuldabréf, erfðaskrár, kaupmálar og önnur skjöl sem varða lagaleg samskipti milli einstaklinga, fyrirtækja eða stofnana.

Rannsóknar- og saksóknarskjöl: Lögregluskýrslur, rannsóknargögn, yfirlýsingar eða skýrslur vitna, saksóknargögn, ákærur, fyrirmæli um rannsóknarathuganir, matsgerðir dómkvaddra matsmanna eða sérfræðinga.

Læknis- eða heilsufarsvottorð og önnur opinber vottorð: Vottorð lækna, geðlækna, sálfræðinga eða annarra heilbrigðisstarfsmanna sem tengjast málum, lögfræðileg framvísun heilsufarsgagna sem eru nauðsynleg fyrir málsmeðferð, vottorð frá sérfræðingum, slysaskýrslur, matsgerðir og önnur gögn sem tengjast líkamlegu, andlegu eða félagslegu ástandi einstaklinga.

Fræðileg og fræðsluupplýsingagögn: Tímaritsgreinar, fræðiritgerðir, bókarúrdrættir, rannsóknarskýrslur, söguleg gögn, skýrslur um dómaframkvæmd, fræðilegar greinar um réttarframkvæmd eða lagahugmyndir sem varða mál sem til meðferðar er eða höfð eru til viðmiðunar.

Fjölmiðlagögn og almannatengslaskjöl: Fréttagreinar, viðtöl, umfjöllun fjölmiðla um tiltekin mál, greinarskrif í dagblöðum eða á netmiðlum, opinberar yfirlýsingar, fréttatilkynningar, bloggfærslur eða samfélagsmiðlapóstar sem tengjast málum beint eða óbeint.

Önnur gögn og fylgiskjöl: Reikningar, kvittanir, bréfaskipti, samskiptatölvupóstar, skjáskot af samskiptum, tölvuskjöl, ljósmyndir, myndbönd eða önnur sönnunargögn sem ábyrgðaraðili metur nauðsynleg til greiningar, úrvinnslu eða meðferðar mála.
Í stuttu máli nær vinnslan til alls konar gagna sem gætu skipt máli við lögfræðilega úrvinnslu, rannsókn mála eða tengda upplýsingaleit og greiningu, hvort sem þau eru komin frá opinberum aðilum, lögmönnum, viðskiptavinum, sérfræðingum, rannsakendum, fjölmiðlum eða öðrum heimildum.
Tilgangur vinnslu:
Tilgangurinn er að gefa ábyrgðaraðila möguleika á að vinna með skjöl sín á skilvirkan, sveigjanlegan og fjölbreyttan hátt með aðstoð gervigreindar og tengdra leitartóla.

Fá innsýn í innihald skjala, t.d. með því að draga saman helstu atriði, gera útdrætti, greina lykilorð og finna tengsl milli hugtaka eða málefna.
Svara spurningum um innihald skjala, hvort sem um ræðir einfaldar fyrirspurnir um einstök atriði eða flóknari spurningar sem kalla á djúpa innsýn í textann.
Tengja efni skjala við aðrar heimildir sem vinnsluaðili hefur yfir að ráða, þannig að ábyrgðaraðili geti byggt betur á fyrirliggjandi þekkingu, heimildum eða fordæmum.
Mynda ný skjöl út frá eldri gögnum með því að nota þau sem fyrirmyndir, s.s. gera uppkast að nýjum samningum, stefnum, greinargerðum eða álitsgerðum með stoð í áður hlöðnum skjölum. Ábyrgðaraðili getur þannig nýtt fyrri skjöl til að hraða samningsgerð, staðla verklag eða draga úr fyrirsjáanlegri vinnu við uppstillingu og samningu texta.
Samkeyra upplýsingar úr mörgum skjölum til að fá heildaryfirlit, sbr. t.d. við að bera saman mismunandi útgáfur samninga, fylgjast með þróun réttarfarsumræðu eða fylgja eftir málum sem tengjast ólíkum gögnum.
Með þessum hætti nýtir ábyrgðaraðili gervigreind og leitartól vinnsluaðila ekki einungis til að leita, tengja og greina gögn, heldur einnig til að skapa ný verk, nýta eldri málsgögn sem fyrirmyndir og auka gæði, skilvirkni og nákvæmni í daglegum störfum sínum.
Tegundir persónuupplýsinga:
Vinnsluaðili getur unnið almennar persónuupplýsingar (s.s. nafn, kennitölu, samskiptaupplýsingar, starfsheiti) sem koma fram í skjölunum. Einnig er mögulegt að viðkvæmar persónuupplýsingar birtist í gögnum (s.s. heilsufarsupplýsingar, sakamálaupplýsingar eða önnur gögn sem falla undir viðkvæmar upplýsingar skv. GDPR), þar sem um getur verið að ræða lögregluskýrslur, vottorð og sambærileg gögn.

Flokkar skráðra einstaklinga:
Flokkar skráðra einstaklinga geta verið mjög fjölbreyttir eftir því hvaða skjöl og gögn ábyrgðaraðili hleður upp. Persónuupplýsingar kunna að varða, en takmarkast ekki við:
Starfsmenn ábyrgðaraðila (t.d. lögmenn, laganema, stjórnendur, skrifstofufólk).
Viðskiptavini ábyrgðaraðila (t.d. einstaklinga, fyrirtæki eða stofnanir sem njóta lögfræðiráðgjafar eða annarrar þjónustu).
Samstarfsaðila ábyrgðaraðila (t.d. aðrarlögmannsstofur, ráðgjafafyrirtæki, sérfræðinga eða birgja).
Aðra einstaklinga sem nefndir eru í skjölum sem ábyrgðaraðili hleður upp (t.d. gagnaðilar í dómsmálum, vitni, sérfræðingar, brotaþolar, sakborningar, opinberir starfsmenn, dómstólasembættismenn, starfsmenn opinberra stofnana, fjölskyldumeðlimir eða aðrir tengdir aðilar).
Einstaklinga sem koma fram í opinberum gögnum, fjölmiðlamálum, vísindagreinum eða fréttaskýrslum sem vísað er til í skjölum.
Einstaklinga er koma fram í vottorðum, læknisfræðilegum gögnum, matsgerðum eða öðrum sérfræðigögnum sem notuð eru til stuðnings eða skýringa í málum.
Með öðrum orðum er um að ræða alla þá einstaklinga sem kunna að vera nefndir, vísað til eða eiga hlut að máli í þeim skjölum sem ábyrgðaraðili hleður upp, hvort sem þeir tengjast beint eða óbeint starfsemi, viðskiptum, málaferlum, rannsóknum, samningum eða öðrum viðfangsefnum ábyrgðaraðila.
Upplýsingar frá ábyrgðaraðila:
Ábyrgðaraðili ber ábyrgð á að afhenda vinnsluaðila þau gögn sem vinna skal með. Ábyrgðaraðili skal tryggja að öflun og afhending gagnanna samrýmist lögum og reglum.

III. Gildistími samnings
Samningur þessi gildir frá undirritunardegi og þar til ábyrgðaraðili segir honum upp eða viðskiptasambandi aðila lýkur, hvort sem kemur fyrr.

IV. Skyldur vinnsluaðila gagnvart ábyrgðaraðila
Vinnsluaðili skal:
Eingöngu vinna persónuupplýsingar samkvæmt tilgangi og skriflegum fyrirmælum ábyrgðaraðila.
Taka strax tilkynningu til ábyrgðaraðila ef fyrirmæli ábyrgðaraðila brjóta í bága við GDPR eða önnur viðeigandi lög.
Tryggja trúnað um persónuupplýsingarnar og að starfsmenn sem komast í tæri við þær séu bundnir trúnaði.
Tryggja innbyggða og sjálfgefna persónuvernd í starfsemi sinni.
Veita starfsmönnum sem vinna með upplýsingarnar viðeigandi fræðslu um persónuvernd og öryggi gagna.

V. Notkun undirvinnsluaðila
Hér að neðan er dæmigert yfirlit yfir mögulega undirvinnsluaðila, með fyrirvara um breytingar. Vinnsluaðili mun tilkynna ábyrgðaraðila skriflega um fyrirhugaðar breytingar a.m.k. 7 dögum áður en nýr undirvinnsluaðili er notaður, sbr. kafla V. í samningnum. Ábyrgðaraðili getur andmælt notkun tiltekins undirvinnsluaðila innan þess frests.
Mögulegir undirvinnsluaðilar geta verið (en eru ekki endilega takmarkaðir við):
OpenAI: Veitir gervigreindarþjónustu, náttúrulega málvinnslu, spurninga- og svarsamskipti, textaúrvinnslu og tengda virkni.
Anthropic (Claude): Veitir gervigreindarþjónustu svipaða og OpenAI, með áherslu á samræðugervigreind, textaúrvinnslu, summarization og annars konar úrvinnslutól.
Microsoft Azure eða Amazon Web Services (AWS): Skýjaþjónusta fyrir hýsingu, gagnageymslu, gagnavinnslu, afritun, örugga gagnameðhöndlun og dreifingu efnis.
Google Cloud Platform: Skýja- og gagnalausnir, tól til gögnunar, leitartækni, öryggisprófanir, auðkenningar og tengd þjónusta.
Dulkóðunar- og öryggishugbúnaðarframleiðendur (t.d. HashiCorp Vault, Cloudflare, eða sambærilegir aðilar): Til að tryggja örugga meðhöndlun og dulkóðun gagna, vernd gegn netárásum og innbyggða persónuvernd.
Þjónustukerfi: Loops og Intercom.
Sérhæfðir hugbúnaðaraðilar fyrir greiningu og vísun gagna: Geta stutt við leit, flokkun, tengingar milli gagnaheimilda og auðveldað daglega notkun ábyrgðaraðila.
Listi þessi er ekki tæmandi en sýnir helstu flokka og dæmi um þá undirvinnsluaðila sem gætu komið að vinnslu í tengslum við samninginn. Vinnsluaðili mun ávallt leitast við að velja trausta og áreiðanlega þjónustuaðila sem fylgja lögum um persónuvernd og tryggja fullnægjandi öryggi gagna.

VI. Réttur skráðra til upplýsinga
Ábyrgðaraðili ber ábyrgð á að veita skráðum einstaklingum þær upplýsingar sem þeim ber að fá um vinnsluna, samkvæmt 13. og 14. gr. GDPR.

VII. Réttindi skráðra einstaklinga
Vinnsluaðili skal, eftir föngum, aðstoða ábyrgðaraðila við að bregðast við beiðnum skráðra einstaklinga um réttindi sín skv. GDPR. Berist slík beiðni beint til vinnsluaðila skal hann án tafar framsenda hana til ábyrgðaraðila.

VIII. Tilkynning vegna öryggisbrots
Vinnsluaðili skal tilkynna ábyrgðaraðila um öryggisbrot sem varðar persónuupplýsingar eigi síðar en 24 klst. eftir að hann uppgötvar brotið. Tilkynningin skal innihalda nauðsynlegar upplýsingar til að ábyrgðaraðili geti tilkynnt brotið til Persónuverndar.

IX. Aðstoð við mat á áhrifum og fyrirframsamráð
Vinnsluaðili skal aðstoða ábyrgðaraðila við að framkvæma mat á áhrifum á persónuvernd og, ef við á, við fyrirframsamráð við Persónuvernd.

X. Öryggisráðstafanir
Vinnsluaðili skal gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að tryggja öryggi persónuupplýsinga. Dæmi um slíkar ráðstafanir eru:
Dulkóðun gagna í hvíld og í flutningi
Aðgangsstýring með viðeigandi auðkenningu
Reglubundnar prófanir, mat og úttektir á öryggi kerfa
Afritun gagna og prófanir á endurheimt gagna
Fylgni við almennar viðurkenndar öryggisstaðla, t.d. ISO 27001
Innbyggð og sjálfgefin persónuvernd í þróun og rekstri kerfa

XI. Hvað verður um persónuupplýsingar við lok vinnslu
Við lok samningssambands skal vinnsluaðili, eftir fyrirmælum ábyrgðaraðila:
Eyða persónuupplýsingum, eða
Skila þeim til ábyrgðaraðila, eða
Skila þeim til annars vinnsluaðila sem ábyrgðaraðili tilnefnir.
Vinnsluaðili skal staðfesta skriflega að gögn hafi verið eytt eða skilað, eftir því sem við á.

XII. Persónuverndarfulltrúi
Ef vinnsluaðili hefur tilnefnt persónuverndarfulltrúa skal hann upplýsa ábyrgðaraðila um nafn hans og samskiptaupplýsingar.

XIII. Skrá yfir vinnslustarfsemi
Vinnsluaðili skal halda skrá yfir vinnslustarfsemina í samræmi við 30. gr. GDPR.

XIV. Skjölun vegna sönnunar á reglufylgni
Vinnsluaðili skal veita ábyrgðaraðila aðgang að öllum nauðsynlegum gögnum til að sýna fram á reglufylgni og heimila úttektir, þ.m.t. skoðanir, á starfsemi sinni að beiðni ábyrgðaraðila eða úttektaraðila hans.

XV. Skyldur ábyrgðaraðila gagnvart vinnsluaðila
Ábyrgðaraðili skal:
Afhenda vinnsluaðila þau gögn sem nauðsynleg eru til vinnslunnar.
Gefa skrifleg fyrirmæli um vinnsluna.
Tryggja að vinnslan samrýmist ákvæðum GDPR.
Framkvæma eða láta framkvæma úttektir, ef þurfa þykir, á vinnsluaðilanum.

XVI. Ábyrgð
Til að taka af allan vafa eru samningsaðilar sammála og viðurkenna að hver samningsaðili skuli vera ábyrgur fyrir og dreginn til ábyrgðar á að greiða stjórnvaldssektir og skaðabætur beint til hinna skráðu sem samningsaðili hefur verið gert að greiða af persónuverndaryfirvöldum eða viðurkenndum dómstólum skv. persónuverndarlöggjöf. Um ábyrgðarmál aðila fer eftir ábyrgðarákvæðum í þjónustusamningi aðila.

XVII. Lög og varnarþing
Samningur þessi fellur undir íslensk lög og mál vegna hans skulu rekin á heimilisvarnarþingi vinnsluaðila.