Persónuverndarstefna Grunns / Grunnur Privacy Policy
Síðast uppfært 7. október 2026
1. Um þessa stefnu
Þessi stefna lýsir hvernig Norda ehf. vinnur persónuupplýsingar í tengslum við Grunn: vefinn grunnur.is, Grunn-kerfið (app.grunnur.is) og tengingar Grunns við þjónustu annarra, þar á meðal Facebook Messenger, Instagram og WhatsApp frá Meta.
Norda ehf., kt. 540714-1260, Suðurlandsbraut 10, 4. hæð, 108 Reykjavík, rekur Grunn. Fyrirspurnir um persónuvernd: grunnur@grunnur.is eða sími 583 0303.
Vinnslan fer fram í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðina (GDPR).
2. Hlutverk okkar
Norda er ábyrgðaraðili að upplýsingum um gesti á grunnur.is, um þá sem bóka kynningu og um notendur og tengiliði fyrirtækja sem eru í áskrift að Grunni.
Norda er vinnsluaðili að gögnum sem fyrirtæki („viðskiptavinir okkar“) setja í Grunn eða taka á móti í gegnum hann, t.d. tengiliði, samskipti við þeirra viðskiptavini og skilaboð af Facebook, Instagram og WhatsApp. Viðskiptavinurinn er þá ábyrgðaraðili og við vinnum gögnin aðeins samkvæmt fyrirmælum hans og vinnslusamningi.
Ef þú hefur sent fyrirtæki skilaboð sem notar Grunn og vilt nýta réttindi þín, skaltu fyrst snúa þér til þess fyrirtækis. Við aðstoðum það við að svara beiðninni og getum einnig tekið við henni beint (sjá kafla 9).
3. Hvaða upplýsingum söfnum við?
| Hverjir | Upplýsingar |
|---|---|
| Gestir á grunnur.is | Upplýsingar úr bókunarformi (nafn, vinnunetfang, fyrirtæki, lýsing á þörfum), samtöl við spjallmennið, og með samþykki notkunargögn úr Google Analytics og Meta-pixlinum |
| Notendur Grunns (starfsfólk viðskiptavina) | Nafn, netfang, starfsheiti, sími, mynd, auðkenni frá Microsoft eða Google innskráningu, setuupplýsingar (IP-tala og vafri vistuð sem tætigildi) og aðgerðaskrá |
| Tengiliðir og fyrirtæki í Grunni | Nafn, kennitala fyrirtækis, netfang, sími, starfsheiti, heimilisfang, tækifæri, tilboð (þ.m.t. hver samþykkti og hvenær), vörur og áskriftir, verkefni, minnispunktar og viðhengi |
| Fólk sem hefur samband við viðskiptavini okkar | Skilaboð og viðhengi úr tölvupósti, vefspjalli, Messenger, Instagram og WhatsApp; nafn, netfang eða símanúmer; vefsíða og vafri við vefspjall; ánægjueinkunn (CSAT) |
| Fólk sem bókar í gegnum Grunn | Nafn, netfang, sími, athugasemd, tímasetning og fundarhlekkur; við bókanir í ferðaþjónustu einnig fjöldi þátttakenda, upphæð og staðfestingarnúmer |
Við söfnum ekki viðkvæmum persónuupplýsingum. Viðskiptavinum okkar ber að setja ekki slíkar upplýsingar í Grunn nema þeir hafi heimild til.
4. Facebook Messenger, Instagram og WhatsApp
Grunnur tengist Meta svo fyrirtæki geti svarað skilaboðum af Facebook-síðu sinni, Instagram-aðgangi og WhatsApp Business-númerinu á einum stað í Þjónustuborði Grunns. Tengingin er aðeins virk ef fyrirtækið tengir aðgang sinn sjálft og veitir heimild.
Upplýsingar sem við fáum frá Meta
- Frá fyrirtækinu sem tengir: nafn og auðkenni Facebook-síðu, Instagram-aðgangs og WhatsApp Business-númers, og aðgangslykill (access token) sem við geymum dulkóðaðan.
- Frá þeim sem senda skilaboð: efni skilaboða og viðhengi (myndir, skjöl, hljóð), tímasetning, auðkenni sendanda innan síðunnar (PSID/IGSID), birtingarnafn og prófílmynd ef Meta afhendir þær, og á WhatsApp símanúmer og prófílnafn.
- Staða skilaboða (sent, afhent, lesið).
Hvernig við notum þær
- Aðeins til að birta samtölin í Þjónustuborði fyrirtækisins, gera starfsfólki þess kleift að svara, tengja samtal við réttan tengilið í Grunni og, ef fyrirtækið kveikir á því, láta spjallmenni eða gervigreind styðja við svarið (sjá kafla 5).
- Við seljum þær aldrei, notum þær ekki í auglýsingum eða markaðssetningu, búum ekki til notendasnið úr þeim og sameinum þær ekki gögnum annarra viðskiptavina.
- Við notum þær ekki til að þjálfa gervigreindarlíkön.
- Við fylgjum Platform Terms og Developer Policies Meta og WhatsApp Business-skilmálum.
Fyrirtæki getur aftengt Facebook, Instagram eða WhatsApp hvenær sem er í stillingum Grunns. Þá hættum við að taka á móti skilaboðum og eyðum aðgangslyklinum strax. Einnig er hægt að fjarlægja Grunn í stillingum Facebook (Business Integrations). Við fylgjum einnig fyrirmælum Meta um að eyða gögnum (sjá kafla 9).
5. Aðrar tengingar og gervigreind
Fyrirtæki ráða hvaða tengingar það virkjar. Gögn fara aðeins á milli kerfa þegar tenging er virk.
- Microsoft 365 (Outlook). Pósthólf og dagatal tengjast með heimild notanda. Úr sameiginlegum pósthólfum Þjónustuborðs geymum við tölvupósta og viðhengi. Úr persónulegum pósthólfum geymum við aðeins hverjir áttu samskipti, efnislínu og hlekk, ekki meginmál. Úr dagatali sækjum við aðeins hvenær notandi er upptekinn, til að bóka fundi.
- Google og Microsoft innskráning. Við fáum nafn, netfang og auðkenni notanda.
- Bókun. Spjallmennið sækir ferðir og lausa tíma og býr til bókanir. Nafn, netfang, sími og bókunarupplýsingar fara til Bókunar; greiðsla fer fram á greiðslusíðu Bókunar, ekki í Grunni.
- dkPlus. Viðskiptavinir (þ.m.t. kennitala) og vörur eru samstilltar úr bókhaldi.
- Fyrirtækjaskrá og lógó. Við flettum upp fyrirtækjum eftir nafni eða kennitölu og sækjum lógó eftir lénsheiti (logo.dev, Brandfetch). Engar persónuupplýsingar eru sendar.
Gervigreind. Spjallmenni, drög að svörum, samantektir og mat á ánægju (CSAT) nota mállíkön frá Anthropic, OpenAI eða Google. Þá er samtalið og viðeigandi þekkingargrunnur sendur til þjónustunnar til að búa til svar. Þessir aðilar nota gögnin ekki til að þjálfa líkön sín samkvæmt API-skilmálum þeirra. Svar spjallmennis er merkt sem sjálfvirkt og hægt er að biðja um að tala við manneskju. Engar sjálfvirkar ákvarðanir eru teknar sem hafa réttaráhrif á fólk.
Þekkingargrunnur. Fyrirtæki getur látið Grunn lesa sína eigin vefsíðu svo spjallmennið geti svarað út frá henni. Við geymum texta síðunnar.
6. Tilgangur og heimild
| Tilgangur | Heimild (GDPR 6. gr.) |
|---|---|
| Veita Grunn, stofna og viðhalda notendaaðgöngum, þjónusta og reikningsfæra | Samningur (b-liður) |
| Vinna gögn í Grunni fyrir hönd viðskiptavina, þ.m.t. skilaboð frá Meta | Fyrirmæli ábyrgðaraðila samkvæmt vinnslusamningi (28. gr.) |
| Svara fyrirspurnum og undirbúa kynningar | Lögmætir hagsmunir (f-liður) |
| Öryggi, aðgerðaskrá og varðveisla gegn misnotkun | Lögmætir hagsmunir (f-liður) |
| Google Analytics á grunnur.is | Samþykki (a-liður), hægt að draga til baka |
| Meta-pixill á grunnur.is (mæling á árangri auglýsinga) | Samþykki (a-liður), hægt að draga til baka |
| Bókhald og lögbundin skylda | Lagaskylda (c-liður) |
7. Miðlun og undirvinnsluaðilar
Við seljum aldrei persónuupplýsingar. Við miðlum þeim aðeins til aðila sem hjálpa okkur að reka Grunn, til tenginga sem viðskiptavinur virkjar, eða ef lög krefjast.
| Aðili | Hlutverk | Staðsetning |
|---|---|---|
| Amazon Web Services | Hýsing á kerfi, gagnagrunni og gögnum | [svæði] |
| Cloudflare | Vernd gegn vefmennum (Turnstile) | Alþjóðlegt |
| Anthropic, OpenAI, Google | Mállíkön fyrir spjallmenni og gervigreind | Bandaríkin |
| Microsoft | Innskráning, póstur og dagatal (ef tengt) | ESB / Bandaríkin |
| Innskráning; Google Analytics á grunnur.is (með samþykki) | ESB / Bandaríkin | |
| Meta | Messenger, Instagram og WhatsApp (ef tengt); Meta-pixill á grunnur.is (með samþykki) | ESB / Bandaríkin |
| Bókun, dkPlus | Tengingar sem viðskiptavinur virkjar | Ísland / EES |
Þegar gögn fara út fyrir EES byggjum við á samþykkt ESB um fullnægjandi vernd (EU–US Data Privacy Framework) eða stöðluðum samningsskilmálum ESB.
8. Geymslutími
| Gögn | Hve lengi |
|---|---|
| Gögn í Grunni, þ.m.t. skilaboð frá Meta | Meðan áskrift er virk, eða þar til viðskiptavinur eyðir þeim. Eytt innan [90] daga eftir að áskrift lýkur |
| Aðgangslyklar að Meta, Microsoft og öðrum tengingum | Þar til tenging er rofin; þá eytt strax |
| Fyrirspurnir og kynningarbeiðnir af grunnur.is | [24] mánuði frá síðustu samskiptum |
| Samtöl við spjallmennið á grunnur.is | [12] mánuði |
| Afrit | Allt að [30] dögum eftir eyðingu |
| Bókhaldsgögn | 7 ár, samkvæmt lögum um bókhald |
9. Eyðing gagna
Þú getur beðið um að upplýsingum um þig verði eytt hvenær sem er. Við staðfestum móttöku innan 3 virkra daga og ljúkum eyðingu innan 30 daga.
Ef þú hefur sent fyrirtæki skilaboð á Facebook, Instagram eða WhatsApp
- Sendu tölvupóst á grunnur@grunnur.is með efnislínunni „Eyðing gagna“.
- Tilgreindu nafn fyrirtækisins sem þú áttir samskipti við, miðilinn (Messenger, Instagram eða WhatsApp) og nafn þitt þar eða símanúmer.
- Við eyðum samtölum, viðhengjum og auðkennum þínum frá Meta úr Grunni og látum fyrirtækið vita. Þú færð staðfestingu með tilvísunarnúmeri.
Ef þú fjarlægir Grunn í Facebook-stillingum
Farðu í Settings & Privacy → Settings → Business Integrations, veldu Grunn og smelltu á Remove. Meta sendir okkur þá beiðni um eyðingu og við eyðum gögnum sem tengjast þér. Þú getur fylgst með stöðu beiðninnar á slóðinni sem birtist.
Ef fyrirtækið þitt notar Grunn
Stjórnandi getur aftengt Facebook, Instagram og WhatsApp í stillingum Grunns, eytt einstökum samtölum og tengiliðum, eða beðið okkur um að eyða öllum gögnum fyrirtækisins.
10. Réttindi, öryggi og annað
Réttindi þín. Þú átt rétt á aðgangi að upplýsingum um þig, leiðréttingu, eyðingu, takmörkun vinnslu, að fá gögnin afhent á tölvutæku formi og að andmæla vinnslu. Ef vinnsla byggir á samþykki geturðu dregið það til baka hvenær sem er. Við svörum innan 30 daga. Þú getur kvartað til Persónuverndar.
Öryggi. Öll samskipti eru dulkóðuð (TLS). Aðgangslyklar að tengingum eru geymdir dulkóðaðir. Aðgangur starfsfólks er bundinn við þá sem þurfa hann og gögn hvers viðskiptavinar eru aðskilin. Innskráning fer fram með Microsoft eða Google og aðgangur er aðeins veittur með boði.
Vafrakökur. grunnur.is notar nauðsynlegar vafrakökur og vefgeymslu. Google Analytics (_ga) og Meta-pixillinn (_fbp) eru aðeins hlaðin ef þú velur „Samþykkja allar“. Meta-pixillinn mælir árangur auglýsinga okkar á Facebook og Instagram: hann skráir heimsóknir á síður og þegar beiðni er send í gegnum formið á /kynning, en ekki það sem þú skrifar í formið. Grunn-kerfið notar aðeins nauðsynlegar setukökur fyrir innskráningu og engar auglýsingakökur.
Börn. Grunnur er ætlaður fyrirtækjum og ekki beint að börnum yngri en 16 ára.
Breytingar. Við uppfærum stefnuna þegar þjónustan breytist. Nýjasta útgáfa er alltaf á þessari síðu og við látum viðskiptavini vita af verulegum breytingum. Síðast uppfært: 7. október 2026.
Norda ehf., Suðurlandsbraut 10, 108 Reykjavík · grunnur@grunnur.is · 583 0303
Grunnur Privacy Policy
Last updated 7 October 2026
1. About this policy
This policy explains how Norda ehf. processes personal data in connection with Grunnur: the website grunnur.is, the Grunnur platform (app.grunnur.is), and Grunnur's integrations with other services, including Facebook Messenger, Instagram and WhatsApp from Meta.
Grunnur is operated by Norda ehf., Reg. No. 540714-1260, Suðurlandsbraut 10, 4th floor, 108 Reykjavík, Iceland. Privacy questions: grunnur@grunnur.is or +354 583 0303.
We process personal data in accordance with the Icelandic Data Protection Act No. 90/2018 and the EU General Data Protection Regulation (GDPR).
2. Our role
Norda is the controller of data about visitors to grunnur.is, people who book a demo, and the users and contacts of companies that subscribe to Grunnur.
Norda is a processor of data that companies ("our customers") put into Grunnur or receive through it, such as contacts, communications with their own customers, and messages from Facebook, Instagram and WhatsApp. The customer is then the controller, and we process that data only on their instructions and under a data processing agreement.
If you messaged a business that uses Grunnur and want to exercise your rights, contact that business first. We help them respond, and we also accept requests directly (see section 9).
3. What data we collect
| Who | Data |
|---|---|
| Visitors to grunnur.is | Demo booking form details (name, work email, company, description of needs), chatbot conversations, and, with consent, usage data from Google Analytics and the Meta pixel |
| Grunnur users (our customers' staff) | Name, email, job title, phone, photo, identifiers from Microsoft or Google sign-in, session data (IP address and browser stored as hashes) and an activity log |
| Contacts and companies in Grunnur | Name, company registration number, email, phone, job title, address, deals, quotes (including who accepted and when), products and subscriptions, tasks, notes and attachments |
| People who contact our customers | Messages and attachments from email, web chat, Messenger, Instagram and WhatsApp; name, email or phone number; page URL and browser for web chat; satisfaction score (CSAT) |
| People who book through Grunnur | Name, email, phone, note, time and meeting link; for tour bookings also number of participants, amount and confirmation code |
We do not collect special categories of personal data. Our customers must not put such data into Grunnur unless they have a lawful basis to do so.
4. Facebook Messenger, Instagram and WhatsApp
Grunnur connects to Meta so businesses can answer messages from their Facebook Page, Instagram account and WhatsApp Business number in one place, the Grunnur service desk. The connection is active only when the business connects its own account and grants permission.
Data we receive from Meta
- From the business that connects: the name and ID of its Facebook Page, Instagram account and WhatsApp Business number, and an access token, which we store encrypted.
- From people who send messages: message content and attachments (images, files, audio), timestamps, the sender's page-scoped ID (PSID/IGSID), display name and profile picture where Meta provides them, and on WhatsApp the phone number and profile name.
- Message status (sent, delivered, read).
How we use it
- Only to show conversations in the business's service desk, let its staff reply, link a conversation to the right contact in Grunnur and, if the business turns it on, let a chatbot or AI assist with the reply (see section 5).
- We never sell this data, use it for advertising or marketing, build profiles from it, or combine it with other customers' data.
- We do not use it to train AI models.
- We comply with Meta's Platform Terms, Developer Policies and the WhatsApp Business Policy.
A business can disconnect Facebook, Instagram or WhatsApp at any time in Grunnur's settings. We then stop receiving messages and delete the access token immediately. Grunnur can also be removed in Facebook settings (Business Integrations). We also act on data deletion requests from Meta (see section 9).
5. Other integrations and AI
Businesses choose which integrations to enable. Data moves between systems only while an integration is active.
- Microsoft 365 (Outlook). Mailboxes and calendars connect with the user's permission. From shared service-desk mailboxes we store emails and attachments. From personal mailboxes we store only participants, subject and a link, not the body. From calendars we read only busy times, to book meetings.
- Google and Microsoft sign-in. We receive the user's name, email and ID.
- Bókun. The chatbot reads tours and availability and creates bookings. Name, email, phone and booking details go to Bókun; payment happens on Bókun's payment page, not in Grunnur.
- dkPlus. Customers (including registration numbers) and products are synced from accounting.
- Company registry and logos. We look up companies by name or registration number and fetch logos by domain (logo.dev, Brandfetch). No personal data is sent.
AI. The chatbot, reply drafts, summaries and satisfaction scoring use language models from Anthropic, OpenAI or Google. The conversation and relevant knowledge base content are sent to the provider to generate a response. Under their API terms these providers do not use the data to train their models. Chatbot replies are marked as automated and you can ask to talk to a person. No automated decisions with legal effects are made about anyone.
Knowledge base. A business can have Grunnur read its own website so the chatbot can answer from it. We store the page text.
6. Purposes and legal basis
| Purpose | Legal basis (GDPR Art. 6) |
|---|---|
| Provide Grunnur, create and maintain user accounts, support and billing | Contract (b) |
| Process data in Grunnur on behalf of customers, including messages from Meta | Controller's instructions under a data processing agreement (Art. 28) |
| Answer enquiries and prepare demos | Legitimate interests (f) |
| Security, activity logs and abuse prevention | Legitimate interests (f) |
| Google Analytics on grunnur.is | Consent (a), which you can withdraw |
| Meta pixel on grunnur.is (measuring ad performance) | Consent (a), which you can withdraw |
| Accounting and other legal obligations | Legal obligation (c) |
7. Sharing and subprocessors
We never sell personal data. We share it only with providers that help us run Grunnur, with integrations a customer enables, or where the law requires.
| Provider | Purpose | Location |
|---|---|---|
| Amazon Web Services | Hosting of the platform, database and data | [region] |
| Cloudflare | Bot protection (Turnstile) | Global |
| Anthropic, OpenAI, Google | Language models for chatbot and AI | United States |
| Microsoft | Sign-in, email and calendar (if connected) | EU / United States |
| Sign-in; Google Analytics on grunnur.is (with consent) | EU / United States | |
| Meta | Messenger, Instagram and WhatsApp (if connected); Meta pixel on grunnur.is (with consent) | EU / United States |
| Bókun, dkPlus | Integrations a customer enables | Iceland / EEA |
Where data leaves the EEA we rely on the EU adequacy decision (EU–US Data Privacy Framework) or the EU Standard Contractual Clauses.
8. Retention
| Data | How long |
|---|---|
| Data in Grunnur, including messages from Meta | While the subscription is active, or until the customer deletes it. Deleted within [90] days after the subscription ends |
| Access tokens for Meta, Microsoft and other integrations | Until the integration is disconnected; then deleted immediately |
| Enquiries and demo requests from grunnur.is | [24] months from last contact |
| Chatbot conversations on grunnur.is | [12] months |
| Backups | Up to [30] days after deletion |
| Accounting records | 7 years, as required by the Icelandic Bookkeeping Act |
9. Data deletion
You can ask us to delete data about you at any time. We confirm receipt within 3 business days and complete deletion within 30 days.
If you messaged a business on Facebook, Instagram or WhatsApp
- Email grunnur@grunnur.is with the subject "Data deletion".
- Tell us the name of the business you contacted, the channel (Messenger, Instagram or WhatsApp) and your name there or phone number.
- We delete your conversations, attachments and Meta identifiers from Grunnur and notify the business. You receive a confirmation with a reference number.
If you remove Grunnur in Facebook settings
Go to Settings & Privacy → Settings → Business Integrations, select Grunnur and click Remove. Meta then sends us a deletion request and we delete the data linked to you. You can check the status of the request at the link shown.
If your business uses Grunnur
An administrator can disconnect Facebook, Instagram and WhatsApp in Grunnur's settings, delete individual conversations and contacts, or ask us to delete all of the business's data.
10. Rights, security and other matters
Your rights. You have the right to access, rectify and erase your data, to restrict processing, to data portability and to object to processing. Where processing is based on consent, you can withdraw it at any time. We respond within 30 days. You can lodge a complaint with the Icelandic Data Protection Authority, Persónuvernd.
Security. All traffic is encrypted (TLS). Integration access tokens are stored encrypted. Staff access is limited to those who need it, and each customer's data is kept separate. Sign-in is through Microsoft or Google and access is by invitation only.
Cookies. grunnur.is uses necessary cookies and local storage. Google Analytics (_ga) and the Meta pixel (_fbp) load only if you choose "Accept all". The Meta pixel measures the performance of our ads on Facebook and Instagram: it records page visits and when a request is sent through the form on /kynning, but not what you type into the form. The Grunnur platform uses only necessary session cookies for sign-in and no advertising cookies.
Children. Grunnur is a business service and is not directed at children under 16.
Changes. We update this policy when the service changes. The latest version is always on this page, and we notify customers of material changes.
Norda ehf., Suðurlandsbraut 10, 108 Reykjavík, Iceland · grunnur@grunnur.is · +354 583 0303
