Persónuverndarstefna

1.           Inngangur

Lyfjaver ehf. leggur ríka áherslu á vernd persónuupplýsinga og að meðferð þeirra sé ávallt í samræmi við gildandi lög, þar á meðal lög um persónuvernd og vinnslu persónuupplýsinga nr 90/2018 og reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 (GDPR).

Stefna þessi lýsir hvernig Lyfjaver safnar, notar, varðveitir og verndar persónuupplýsingar.

2.           Hlutverk Lyfjavers

Lyfjaver starfar bæði sem:

• Ábyrgðaraðili í tengslum við:
  • Afgreiðslu lyfja í netverslun og verslunum
  • Samskiptum við einstaklinga og í tengslum við markaðsmál
  • Umsækjendur um störf
  • Starfsmannamála

• Vinnsluaðili fyrir:
  • Hjúkrunarheimili
  • Heilbrigðisstofnanir

Þar sem Lyfjaver kemur fram sem vinnsluaðili  vinnur Lyfjaver persónuupplýsingar samkvæmt fyrirmælum viðkomandi ábyrgðaraðila og á grundvelli skriflegs vinnslusamnings. Í stefnu þessari er því hins vegar lýst hvaða vinnslu Lyfjaver hefur með höndum sem ábyrgðaraðili. Sérstök stefna gildir hins vegar um vinnslu Lyfjavers á persónuupplýsingum starfsfólks.

 3.        Viðskiptavinir

3.1        Hvaða persónuupplýsingar eru unnar

Lyfjaver vinnur eftirfarandi persónuupplýsingar um viðskiptavini, eftir því sem við á:

• Tengiliða- og samskiptaupplýsingar, þ.m.t. nafn, kennitala, heimilisfang og netfang
• Upplýsingar um lyf og lyfseðla
• Kaupsaga
• Upplýsingar um lyfjanotkun og skömmtunartíma í tengslum við lyfjaskömmtun

3.2       Tilgangur vinnslu

Persónuupplýsingar viðskiptavina eru unnar í eftirfarandi tilgangi:

• Afgreiðsla lyfja og heilbrigðisþjónusta
• Lyfjaskömmtun og lyfjaumsýsla
• Reikningshald og lögbundin skráning
• Samskipti við viðskiptavini og samstarfsaðila

3.3       Lagagrundvöllur vinnslu

Vinnsla persónuupplýsinga byggir á:

• Lagaskyldu
• Samningum
• Lögmætum hagsmunum

3.4       Móttakendur persónuupplýsinga

Persónuupplýsingar kunna að vera afhentar til:

• Sjúkratrygginga Íslands
• Landlæknisembættisins
• Heilbrigðisstarfsfólks
• Endurskoðenda og bókhaldsaðila
• Tækniaðila (IT þjónusta)

Lyfjaver tryggir að allir vinnsluaðilar uppfylli kröfur persónuverndarlaga.

3.5        Flutningur gagna

Lyfjaver flytur ekki persónuupplýsingar utan Evrópska efnahagssvæðisins nema með viðeigandi verndarráðstöfunum, svo sem staðlaðri samningsákvæðum (SCC).

3.6.       Varðveislutími

Lyfjaver varðveitir persónuupplýsingar eins lengi og nauðsynlegt er miðað við þann tilgang sem lá að baki söfnun þeirra. Varðveislutími er ákvarðaður með hliðsjón af eðli upplýsinganna, lagaskyldu sem hvílir á félaginu og þeim hagsmunum sem liggja að baki vinnslu. Upplýsingar um lyfjaafgreiðslur, lyfseðla og aðrar heilbrigðisupplýsingar eru varðveittar í samræmi við lyfjalög. Þá eru bókhaldsgögn varðveitt í sjö ár í samræmi við ákvæði bókhaldslaga. Aðrar upplýsingar eru almennt varðveittar á meðan viðskiptasambandið varir og í hæfilegan tíma að því loknu, eða þar til hinn skráði óskar eftir að upplýsingunum verði eytt, að því gefnu að ekki standi lagaskylda til lengri varðveislu. Þegar varðveislutíma lýkur er persónuupplýsingum eytt með öruggum hætti eða þær gerðar ópersónugreinanlegar.

4.           Umsækjendur um störf

4.1        Hvaða persónuupplýsingar eru unnar

Lyfjaver vinnur persónuupplýsingar umsækjenda um störf, svo sem:

• Nafn og tengiliðaupplýsingar
• Ferilskrá (CV)
• Menntun og starfsreynslu
• Umsagnir og meðmæli (ef við á)
• Sakavottorð
• Aðrar upplýsingar sem umsækjandi kýs að veita

4.2        Tilgangur vinnslu

Tilgangur vinnslu er að:

• Meta hæfni umsækjenda
• Ráða starfsmenn
• Hafa samband við umsækjendur

4.3        Lagagrundvöllur vinnslu

• Lögmætir hagsmunir Lyfjavers
• Samningur (undirbúningur ráðningar)

4.4        Varðveislutími

• Umsóknir eru almennt geymdar á meðan ráðningarferli stendur
• Að því loknu er gögnum eytt nema umsækjandi veiti samþykki fyrir lengri geymslu

4.5        Miðlun upplýsinga

Persónuupplýsingar umsækjenda eru ekki afhentar þriðja aðila nema með samþykki umsækjanda eða ef lög krefjast þess.

5.          Rafræn vöktun

Í öryggis- og eignavörsluskyni og á grundvelli lögmætra hagsmuna Lyfjavers, og eftir atvikum starfsfólks félagsins, er notast við myndavélaeftirlit í og við húsnæði félagsins. Vakin er athygli á notkun öryggismyndavéla með þar til gerðum merkingum.

Upplýsingar sem safnast með rafrænni vöktun eru ekki varðveittar lengur en í 90 daga, nema slík varðveisla sé nauðsynleg til að gera eða afmarka kröfu.

6.          Vafrakökur (cookies) og notkun vefsíðu

Vafrakökur (e. cookies) eru litlar textaskrár sem vistaðar eru í vafra notanda þegar hann heimsækir vefsíðu.

6.1        Notkun Lyfjavers á vafrakökum

Lyfjaver notar vafrakökur í eftirfarandi tilgangi:

• Að tryggja virkni vefsíðu
• Að bæta notendaupplifun
• Að greina notkun og bæta þjónustu
• Að birta viðeigandi efni og auglýsingar

Lyfjaver nýtir þjónustu frá þriðja aðila, svo sem:

• Google Analytics
• Cookiehub
• Facebook Pixel
• Aðrir sambærilegir aðilar

Þessir aðilar kunna að safna upplýsingum um notkun vefsins, svo sem IP-tölu og notkunarmynstur.

6.2        Lagagrundvöllur

• Nauðsynlegar kökur: lögmætir hagsmunir
• Aðrar kökur: samþykki notanda

6.3        Stillingar notenda

Notendur geta breytt stillingum vafra síns eða samþykkt/hafnað kökum í gegnum kökuborða á vefnum.

7.          Öryggi persónuupplýsinga

Lyfjaver beitir viðeigandi tæknilegum og skipulagslegum ráðstöfunum til að tryggja öryggi gagna, þar á meðal:

• Aðgangsstýringu
• Tvíþátta auðkenningu
• Dulkóðun þar sem við á
• Rekjanleika (logs)
• Reglulegri afritun gagna
• Þjálfun starfsfólks

8.           Réttindi einstaklinga

Þeir einstaklingar sem Lyfjaver vinnur persónuupplýsingar um eiga rétt á að:

• Fá aðgang að eigin gögnum
• Fá leiðréttingu á röngum upplýsingum
• Fá eyðingu gagna þar sem það á við
• Takmarka vinnslu
• Andmæla vinnslu
• Flytja gögn

Framangreind réttindi eru þó ekki fortakslaus. Þannig kunna lög að skylda félagið til að hafna ósk um eyðingu eða aðgang að gögnum. Þá getur félagið hafnað beiðni vegna réttinda félagsins, s.s. á grundvelli hugverkaréttar, eða réttinda annarra aðila, s.s. til friðhelgi einkalífs, telji félagið þau réttindi vega þyngra.

Beiðnir skulu sendar á: personuvernd@lyfjaver.is

Ef þú ert ósátt/ur við vinnslu félagsins á persónuupplýsingum getur þú sent erindi eða kvörtun til Persónuverndar, sem fer með eftirlit með persónuverndarlögum. Sjá nánar www.personuvernd.is.

9.           Öryggisbrestir

Komi upp öryggisbrot sem varðar persónuupplýsingar mun Lyfjaver bregðast við án tafar og tilkynna til Persónuverndar og viðkomandi einstaklinga eftir því sem lög kveða á um.

10.        Breytingar á stefnunni

Lyfjaver áskilur sér rétt til að uppfæra stefnu þessa. Nýjasta útgáfa er ávallt aðgengileg.

11.        Samskiptaupplýsingar

Fyrirspurnir varðandi persónuvernd skal senda á:

personuvernd@lyfjaver.is

Lyfjaver ehf.

Suðurlandsbraut 22

108 Reykjavík

STE-348 útgáfa 1.0 6. maí 2026