1. Um persónuverndarstefnuna
Vinnvinn leggur ríka áherslu á að vernda persónuupplýsingar einstaklinga og virða réttindi þeirra. Í þessari stefnu eru veittar upplýsingar um hvernig fyrirtækið vinnur persónuupplýsingar, í hvaða tilgangi, hversu lengi þær eru varðveittar, miðlun þeirra og hvernig öryggi þeirra er tryggt. Öll vinnsla persónuupplýsinga fer fram í samræmi við persónuverndarlög á hverjum tíma.
2. Skilgreiningar

Persónuupplýsingar eru hvers kyns upplýsingar um persónugreindan eða persónugreinanlegan einstakling. Einstaklingur telst persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, svo sem með tilvísun í auðkenni eins og nafn, kennitölu, notendanafn, staðsetningu o.s.frv.
Vinnsla er aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort sem vinnslan er sjálfvirk eða ekki. Dæmi; söfnun, skráning, flokkun, varðveisla, aðlögun, notkun og eyðing.
Viðskiptavinur er aðili sem kaupir þjónustu af Vinnvinn, s.s. fyrirtæki, stofnanir eða ráðuneyti sem og stjórnendur eða starfsfólk þeirra.
Umsækjandi er einstaklingur sem skráir sig í ráðningakerfi Vinnvinn, sækir um starf sem auglýst er á vegum félagsins eða er skoðaður í starf í gegnum frumkvæðisleit (headhunt).
Umsagnaraðili er einstaklingur sem veitir umsögn um umsækjenda eða aðila sem kemur til greina vegna starfs.

3. Upplýsingar um ábyrgðaraðila
Vinnvinn ehf., kt. 570920-0650, hér eftir nefnt Vinnvinn eða fyrirtækið vinnur og meðhöndlar persónuupplýsingar ýmist sem ábyrgðaraðili eða vinnsluaðili.
4. Persónuupplýsingar sem Vinnvinn vinnur
4.1. Persónuupplýsingar frá viðskiptavinum
Viðskiptavinir kunna að afhenda Vinnvinn persónuupplýsingar í tengslum við vinnslu ráðgjafarverkefna sem Vinnvinn tekur að sér fyrir viðskiptavini. Upplýsingarnar geta varðað starfsfólk eða viðskiptaaðila viðskiptavina, til dæmis en þó ekki takmarkað við munnlegar upplýsingar sem aflað er með viðtölum og í vinnustofum eða upplýsingar úr kerfum sem unnið er með í tengslum við innleiðingu upplýsingakerfa.
4.2. Ráðningar
Umsækjendur sem skrá sig í ráðningakerfi Vinnvinn skrá þar persónuupplýsingar. Þetta er gert bæði í grunnskráningu kerfisins auk þess sem persónuupplýsingar koma jafnan fram í ferilskrá, kynningarbréfi eða öðrum gögnum sem umsækjandi festir við grunnskráningu eða umsókn um starf.
Þær persónuupplýsingar sem umsækjendur gefa alla jafna við skráningu í ráðningarkerfið eru:

Almennar upplýsingar, s.s. nafn, kennitala, netfang, símanúmer, heimilisfang.
Upplýsingar úr ferilskrá, s.s. almennar upplýsingar, upplýsingar um menntun, starfsreynsla, tungumálakunnátta, tölvukunnátta auk annarrar reynslu, færni, hæfni eða þekkingar.

Í umsóknarferli hjá Vinnvinn kunna að verða til persónuupplýsingar eða að aflað er frekari upplýsinga frá umsækjanda. Þær geta til að mynda verið:

Mat á umsóknargögnum út frá þeim hæfniskröfum sem komu fram í auglýsingu um starfið. Umsóknir geta verið flokkaðar eftir hæfni.
Vinnvinn kann að afla upplýsinga um umsækjendur á opinberum veitum s.s. LinkedIn eða fjölmiðlum.
Í viðtölum við ráðgjafa eða ráðgjafa og viðskiptavin kunna að verða til persónuupplýsingar, s.s. um fyrra starf eða verkefni, frammistöðu í fyrra starfi, launavæntingar o.fl. Viðtöl eru jafnan skráð af ráðgjafa og vistuð í ráðningarkerfi Vinnvinn.
Vinnvinn kann að afla og skrá persónuupplýsingar um umsækjendur frá umsagnaraðilum sem umsækjandi hefur gefið leyfi til að hafa samband við. Umsagnir eru alltaf skráðar niður af ráðgjafa og vistaðar í ráðningarkerfi Vinnvinn.
Umsækjandi kann að vera beðinn um að þreyta raunhæft verkefni í tengslum við ráðningarferli. Verkefni er jafnan sent í gegnum vefgátt eða með tölvupósti. Umsækjandi sendir úrlausn til baka til Vinnvinn í gegnum vefgátt eða með tölvupósti.
Umsækjandi kann að vera beðinn um að taka persónuleika-, hæfni eða þekkingarpróf. Niðurstaða umsækjenda er vistuð í þar til gerðu prófakerfi.
Umsækjendur sem hafa óskað eftir skráningu í ráðningakerfi eru á skrá hjá Vinnvinn og hafa samþykkt að koma til greina í leitarverkefnum, þar sem fyrirtæki biðja ráðgjafa um að leita í tiltekið starf, hafa veitt samþykki fyrir því að gögn þeirra verði skoðuð af ráðgjafa Vinnvinn og fest við tiltekin verkefni í ráðningarkerfinu. Ef umsækjandi telst koma til greina í starfið hefur ráðgjafi samband við umsækjanda og biður um leyfi til að senda gögn umsækjanda til fyrirtækis.

Vinnvinn kann að miðla upplýsingum til þriðja aðila:

Ef sótt er um starf hjá opinberum aðila (ráðuneyti, stofnun eða sveitarfélagi) mun Vinnvinn veita fulltrúum hins opinbera aðila aðgang að öllum þeim persónuupplýsingum og öðrum upplýsingum sem verða til í ráðningarferlinu í gegnum rafræna og aðgangsstýrða gátt. Þetta er gert til að hinn opinberi aðili geti vistað gögn tengd ráðningunni í sínum kerfum í samræmi við lög um Þjóðskjalasafn. Þegar persónuupplýsingar eru komnar til viðskiptavinar ber hann ábyrgð á persónuupplýsingunum hjá sér og ber að varðveita þær með viðeigandi hætti.
Ef sótt er um tiltekið starf hjá nafngreindu fyrirtæki í gegnum ráðningarvef Vinnvinn mun Vinnvinn veita fulltrúum fyrirtækisins aðgang að ferilskránni og kynningarbréfinu sem tengist starfinu auk mögulegra annarra gagna sem kunna að verða til í ráðningarferlinu, s.s. viðtölum, umsögnum og niðurstöðum prófa eða verkefna. Þetta er gert í gegnum almennt viðurkenndar öruggar leiðir. Þegar persónuupplýsingar eru komnar til viðskiptavinar eru þær á hans ábyrgð sem m.a. felst í varðveislu með viðeigandi hætti.
Ef umsækjandi er á skrá hjá Vinnvinn en hefur ekki sótt um tiltekið starf er gögnum hans aldrei miðlað til þriðja aðila án samþykkis umsækjanda.
Ef óskað er nafnbirtingar (á grundvelli upplýsingalaga) í opinberu starfi/embætti sendir Vinnvinn nafnalista umsækjenda með menntun og síðasta starfsheiti til viðkomandi opinbers aðila til birtingar. Ef sótt er um tiltekið starf hjá nafngreindu fyrirtæki í gegnum ráðningarvef Vinnvinn mun Vinnvinn veita fulltrúum fyrirtækisins aðgang að ferilskránni og kynningarbréfinu sem tengist starfinu auk mögulega annarra gagna sem kunna að verða til í ráðningarferlinu, s.s. viðtölum, umsögnum og niðurstöðum prófa eða verkefna. Þetta er gert í gegnum öruggar leiðir. Þegar persónuupplýsingar eru komnar til viðskiptavinar eru þær á hans ábyrgð sem m.a. felst í varðveislu með viðeigandi hætti.
Ef umsækjandi er á skrá hjá Vinnvinn en hefur ekki sótt um tiltekið starf er gögnum hans aldrei miðlað til þriðja aðila án samþykkis umsækjanda.
Ef óskað er nafnbirtingar (á grundvelli upplýsingalaga) í opinberu starfi/embætti sendir Vinnvinn nafnalista umsækjenda með menntun og síðasta starfsheiti til opinbers aðila til birtingar.

5. Tilgangur og grundvöllur vinnslu persónuupplýsinga
5.1. Viðskiptavinir
Tilgangur vinnslu persónuupplýsinga sem viðskiptavinir afhenda Vinnvinn er að geta veitt þeim umbeðna þjónustu. Í verkefnum þar sem unnið er með persónuupplýsingar er gerður vinnslusamningur (DPA) milli Vinnvinn og viðskiptavinarins. Vinnslusamningur fjallar um hvernig unnið er með persónuupplýsingar í því verkefni sem um ræðir.
5.2. Ráðningar og umsækjendur
Vinnvinn vinnur persónuupplýsingar í ráðningum eingöngu í þeim tilgangi að meta umsækjendur í stöður sem eru auglýstar eða koma inn til Vinnvinn án auglýsingar. Við skráningu í ráðningarkerfi Vinnvinn er gefinn kostur á að samþykkja eða hafna vinnslu persónuupplýsinga.
Upplýsingar um samþykki varðveitast sem hluti af skráningu og getur umsækjandi alltaf skoðað hvað felst í samþykki sínu. Hægt er að breyta stöðu samþykkis meðan ráðning er opin en eftir að ráðningu líkur er ekki hægt að afturkalla samþykki.
5.3. Markaðsstarf Vinnvinn
Vinnvinn kann að skrá nöfn, póstföng og símanúmer aðila sem veita samþykki fyrir skráningu í tengslum við viðburði á vegum Vinnvinn. Þessar upplýsingar notum við til að senda áhugasömum upplýsingar um fyrirtækið eða viðburði á vegum þess.
6. Hvert er persónuupplýsingum miðlað?
Vinnvinn miðlar almennt ekki persónuupplýsingum til þriðja aðila nema á grundvelli samþykkis. Í kafla 4 er því lýst hvernig persónuupplýsingum sem vistaðar eru vegna ráðninga kann að vera miðlað til þriðja aðila.
Vinnvinn kann að vera nauðsynlegt eða skylt að afhenda opinberum eftirlitsaðilum, dómstólum eða öðrum þriðja aðila persónuupplýsingar ef afhending byggir á lagaskyldu eða er nauðsynleg til að vernda þar til greind réttindi.
Ef afhending upplýsinga er vegna samstarfs við þriðja aðila sem Vinnvinn ber ábyrgð á fer hún eingöngu fram á grundvelli vinnslusamnings.
Að öðru leyti deilir Vinnvinn ekki upplýsingum um einstaklinga til þriðja aðila nema á grundvelli samþykkis. Undir engum kringumstæðum mun Vinnvinn selja upplýsingar til þriðja aðila eða nýta þær í öðrum tilgangi en þeim sem gerð er grein fyrir í persónuverndarstefnu þessari.
7. Hvernig er öryggi persónuupplýsinga tryggt?
Vinnvinn leggur áherslu á að tryggja að varðveisla og vinnsla persónuupplýsinga sé háttað á öruggan máta með viðeigandi tæknilegum og skipulagslegum öryggisráðstöfunum.
7.1. Ráðningar
Vinnvinn verndar viðkvæmar persónuupplýsingar umsækjenda með aðgangsstýringum í tölvukerfum sínum. Aðeins starfsmenn sem vinna við ráðningar hafa aðgang að þeim kerfum þar sem unnið er með persónuupplýsingar umsækjenda.
8. Varðveislutími
8.1. Upplýsingar frá viðskiptavinum
Gögn á verkefnasvæðum fyrir viðskiptavini, s.s. samningar, afurðir frá Vinnvinn, innkomin gögn, minnispunktar og samskiptagögn, eru varðveitt í ótilgreindan tíma nema samningar við viðskiptavini eða lög kveði á um annað.
8.2 Ráðningar
Í ráðningarkerfi Vinnvinn getur umsækjandi getur sótt um störf, skráð sig á póstlista
og óskað eftir að gögnum sínum sé eytt. Vinnvinn mun ekki eyða þessum gögnum án þess að umsækjandi biðji um það sérstaklega.
9. Réttindi einstaklinga
91. Réttur til leiðréttingar
Mikilvægt er að upplýsingar um viðskiptavini og umsækjendur séu réttar og uppfærðar. Viðskiptavinur eða umsækjendur geta gert þá kröfu að fá persónuupplýsingum um sig breytt séu þær rangar.
9.2. Réttur til aðgangs að upplýsingum
Viðskiptavinur eða umsækjandi getur gert þá kröfur að fá aðgang að þeim persónuupplýsingum sem Vinnvinn vinnur með um hann. Réttur viðskiptavinar til aðgangs að upplýsingum getur takmarkast af lögum en í þeim tilvikum mun Vinnvinn upplýsa og útskýra það sérstaklega.
9.3. Réttur til eyðingar upplýsinga og takmörkun vinnslu
Viðskiptavinur eða umsækjandi getur farið fram á að upplýsingum um hann sé eytt. Vinnvinn verður við öllum slíkum beiðnum nema lögmætar ástæður séu til geymslu upplýsinganna.
9.4. Sjálfvirkar ákvarðanatökur
Vinnvinn notast ekki við sjálfvirkar ákvarðanatökur, þar með talið gerð persónusniðs, í tengslum við vinnslu persónuupplýsinga umsækjenda eða viðskiptavina félagsins. Ef notast verður við sjálfvirkar ákvarðanatökur mun félagið upplýsa um slíka notkun í samræmi við ákvæði laga þar um.
9.5. Aðrar mikilvægar upplýsingar
Ef umsækjandi eða viðskiptavinur hefur spurningar um persónuverndarstefnuna eða frekari spurningar um vinnslu persónuupplýsinga hjá Vinnvinn er hægt að hafa beint samband við Vinnvinn með því að senda tölvupóst á netfangið vinnvinn@vinnvinn.is.
10.Breytingar á persónuverndarstefnu þessari
Vinnvinn getur gert breytingar á persónuverndarstefnu þessari til þess að mæta laga- eða reglugerðarbreytingum, tilmælum stjórnvalda eða vegna breytinga á vinnslu persónuupplýsinga um umsækjendur eða viðskiptavini félagsins. Breytingar á stefnunni öðlast gildi við birtingu uppfærðrar stefnu á vefsíðu félagsins, www.vinnvinn.is. Ný útgáfa verður hverju sinni auðkennd með útgáfudegi.
Þessi nýjasta útgáfa af persónuverndarstefnu Vinnvinn var samþykkt og útgefin þann 19. september 2020.

Sérfræðingur í net- og upplýsingaöryggi

Sérfræðingur í net- og upplýsingaöryggi 