Persónuverndarstefna

Gildir frá 16. október 2026 · Útgáfa 1.0

Efstahilla geymir upplýsingar um þig og það sem þú skráir svo þú getir haldið utan um safnið þitt. Hér er lýst hvaða upplýsingar það eru, hvers vegna við geymum þær, hverjir koma að vinnslunni og hvaða réttindi þú hefur samkvæmt lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og almennu persónuverndarreglugerðinni (GDPR).

1. Ábyrgðaraðili

[NAFN REKSTRARAÐILA], kt. [000000-0000], [HEIMILISFANG], netfang [NETFANG].

2. Hvaða upplýsingar við geymum

• Aðgangur: nafn, netfang, dulkóðað lykilorð, tími innskráninga og áskriftarleið.
• Safnið þitt: allt sem þú skráir um verk og muni, þar á meðal myndir, verðmöt, ástand, próvenans og skjöl sem þú sendir til innflutnings.
• Beiðnir: þjónustubeiðnir sem þú sendir og tilboð, fyrirspurnir og leigubeiðnir sem gestir senda um verk þín, með nafni og netfangi þess sem sendir.
• Torgið: myndir, spurningar, svör, „sammála“ og tilkynningar sem þú setur inn, merkt nafninu þínu.
• Skipti: nöfn og netföng aðila sem þú skráir í skiptabú og óskir þeirra. Þú berð ábyrgð á að hafa heimild til að skrá aðra.
• Tæknilegt: vafrinn geymir innskráningarlykil og smávægilegar stillingar (t.d. hvaða safn er valið). Á forsíðu efstahilla.is er Google Analytics notað til að telja heimsóknir; inni í safnkerfinu er engin slík mæling.

3. Hvers vegna og á hvaða grundvelli

• Til að veita þjónustuna sem þú skráðir þig í (samningur): aðgangur, skráning, birting opinna verka, miðar, bók, útflutningur, skipti.
• Til að koma beiðnum og skilaboðum áleiðis milli þín, gesta og Efstuhillu (samningur og lögmætir hagsmunir).
• Til að senda þér tölvupóst um aðganginn þinn, til dæmis staðfestingu, nýtt lykilorð og tilkynningar um beiðnir (samningur). Við sendum ekki markaðspóst nema þú samþykkir það sérstaklega.
• Til að halda þjónustunni öruggri, koma í veg fyrir misnotkun og laga villur (lögmætir hagsmunir).
• Til að uppfylla lagaskyldur, svo sem bókhaldslög vegna greiðslna.

4. Hver sér hvað

• Lokuð verk sérð aðeins þú. Starfsfólk Efstuhillu skoðar gögn þín aðeins þegar þú biður um þjónustu sem krefst þess (t.d. innflutning úr skjali, merkingu eða bók) eða til að leysa úr villu.
• Verk sem þú opnar sjást öllum sem hafa hlekkinn á safnið þitt, og nafnið þitt birtist með þeim.
• Efni á torginu er opinbert.
• Aðilar í skiptabúi sjá hlutina í búinu og fjölda óska annarra, en ekki hver óskar eftir hverju.

5. Vinnsluaðilar

Við notum þjónustuaðila sem geyma og flytja gögn fyrir okkar hönd samkvæmt vinnslusamningum:

• Supabase (gagnagrunnur, innskráning og myndageymsla), gögn hýst í Evrópu (Írland).
• Netlify (hýsing vefsins).
• Resend (sending tölvupósts frá kerfinu).
• Google (letur á vefnum og heimsóknatalning á forsíðu).
• Wikidata og Wikimedia (opinberar upplýsingar um listamenn þegar þú tengir höfund við verk; nafn höfundar er sent þangað, ekki þín gögn).

Gögn eru ekki seld eða afhent þriðja aðila í öðrum tilgangi. Ef lög krefjast þess getum við þurft að afhenda stjórnvöldum upplýsingar.

6. Hve lengi

• Safnið þitt og aðgangurinn eru geymd meðan þú ert með aðgang. Þegar þú lokar aðganginum er öllum gögnum hans eytt innan 30 daga, nema upplýsingum sem lög krefjast að séu varðveittar (t.d. reikningar í 7 ár).
• Beiðnir og skilaboð gesta eru geymd í allt að 24 mánuði eftir að þau eru afgreidd.
• Efni á torginu er geymt meðan torgið er starfrækt, nema þú eyðir því eða biður um það.
• Afrit af gagnagrunninum eru tekin daglega og geymd í allt að 7 daga.

7. Réttindi þín

Þú átt rétt á að fá aðgang að upplýsingum um þig, fá þær leiðréttar, fá þeim eytt, takmarka vinnslu, andmæla vinnslu sem byggir á lögmætum hagsmunum og fá gögnin þín afhent á tölvutæku formi. Safnið þitt geturðu sótt sjálf(ur) hvenær sem er sem Excel-skrá. Annað afgreiðum við með tölvupósti á [NETFANG] innan 30 daga. Ef þú telur að við vinnum upplýsingar um þig í andstöðu við lög geturðu kvartað til Persónuverndar.

8. Öryggi

Öll umferð er dulkóðuð (HTTPS), lykilorð eru geymd dulkóðuð, aðgangur að gögnum er takmarkaður með aðgangsreglum í gagnagrunni þannig að hver notandi sér aðeins sitt, og skjöl sem send eru til innflutnings eru í lokaðri geymslu. Daglegt afrit er tekið af gagnagrunninum. Þú berð ábyrgð á lykilorðinu þínu.

9. Vafrakökur og geymsla í vafra

Safnkerfið notar ekki rakningarkökur. Vafrinn geymir innskráningarlykil frá Supabase (svo þú haldist innskráð(ur)) og örfáar stillingar, til dæmis hvaða safn þú valdir síðast og nafn og netfang sem þú slóst inn sem gestur, svo þú þurfir ekki að slá þau inn aftur. Á forsíðu efstahilla.is setur Google Analytics kökur til að telja heimsóknir; þú getur lokað á þær í vafranum án þess að það hafi áhrif á safnkerfið.

10. Breytingar

Við uppfærum þessa stefnu þegar þjónustan breytist. Verulegar breytingar tilkynnum við með tölvupósti eða á vefnum. Dagsetning efst sýnir hvenær stefnan var síðast uppfærð.

[Draft translation: a lawyer should review it and decide which language version governs.]

Privacy Policy

Effective from 16 October 2026 · Version 1.0

Topshelf (topshelf.is) stores information about you and what you register so that you can keep track of your collection. Topshelf is the same service as Efstahilla (efstahilla.is) in Icelandic. This policy describes what information that is, why we store it, who is involved in processing it and what rights you have under Act No. 90/2018 on Data Protection and the Processing of Personal Data and the General Data Protection Regulation (GDPR).

1. Controller

[OPERATOR NAME], ID no. [000000-0000], [ADDRESS], email [EMAIL].

2. What information we store

• Account: name, email address, encrypted password, login times and subscription plan.
• Your collection: everything you register about items and objects, including images, valuations, condition, provenance and documents you send for import.
• Requests: service requests you send, and offers, enquiries and rental requests that visitors send about your items, with the sender’s name and email address.
• The Forum: images, questions, answers, “agree” marks and reports that you post, labelled with your name.
• Division: names and email addresses of parties you add to a division, and their wishes. You are responsible for having the authorisation to register other people.
• Technical: your browser stores a login token and minor settings (e.g. which collection is selected). On the front page of topshelf.is, Google Analytics is used to count visits; inside the collection system there is no such tracking.

3. Why, and on what legal basis

• To provide the service you signed up for (contract): account, registration, display of public items, labels, catalogue book, export, division.
• To pass requests and messages on between you, visitors and Topshelf (contract and legitimate interests).
• To send you emails about your account, for example confirmations, new passwords and notifications about requests (contract). We do not send marketing emails unless you specifically consent to them.
• To keep the service secure, prevent misuse and fix errors (legitimate interests).
• To comply with legal obligations, such as accounting law in connection with payments.

4. Who sees what

• Only you can see private items. Topshelf staff only look at your data when you request a service that requires it (e.g. import from a document, labelling or a catalogue book) or to resolve an error.
• Items you make public are visible to anyone who has the link to your collection, and your name is shown with them.
• Content on the Forum is public.
• Parties to a division see the items in the estate and the number of wishes from others, but not who wished for what.

5. Processors

We use service providers that store and transfer data on our behalf under data processing agreements:

• Supabase (database, login and image storage), data hosted in Europe (Ireland).
• Netlify (website hosting).
• Resend (sending email from the system).
• Google (fonts on the website and visit counting on the front page).
• Wikidata and Wikimedia (public information about artists when you link an artist to an item; the artist’s name is sent there, not your data).

Data is not sold or disclosed to third parties for any other purpose. If the law requires it, we may have to disclose information to the authorities.

6. How long

• Your collection and your account are kept for as long as you have an account. When you close your account, all of its data is deleted within 30 days, except information that the law requires to be retained (e.g. invoices for 7 years).
• Requests and messages from visitors are kept for up to 24 months after they have been dealt with.
• Content on the Forum is kept for as long as the Forum is in operation, unless you delete it or ask for it to be deleted.
• Backups of the database are taken daily and kept for up to 7 days.

7. Your rights

You have the right to access information about you, to have it corrected, to have it deleted, to restrict processing, to object to processing based on legitimate interests and to receive your data in a machine-readable format. You can download your collection yourself as an Excel file at any time. We handle other requests by email at [EMAIL] within 30 days. If you believe that we process information about you in breach of the law, you can lodge a complaint with the Icelandic Data Protection Authority (Persónuvernd).

8. Security

All traffic is encrypted (HTTPS), passwords are stored encrypted, access to data is restricted by access rules in the database so that each user sees only their own, and documents sent for import are kept in private storage. A backup of the database is taken daily. You are responsible for your password.

9. Cookies and browser storage

The collection system does not use tracking cookies. Your browser stores a login token from Supabase (so that you stay logged in) and a very few settings, for example which collection you last selected and the name and email address you entered as a visitor, so that you don’t have to enter them again. On the front page of topshelf.is, Google Analytics sets cookies to count visits; you can block them in your browser without affecting the collection system.

10. Changes

We update this policy when the service changes. We will give notice of significant changes by email or on the website. The date at the top shows when the policy was last updated.