1. Ábyrgðaraðili (Data Controller)

Herrabyte ehf. (hér eftir „Runur", „við" eða „okkar") ber ábyrgð á vinnslu persónuupplýsinga á vefsvæðinu Runur.is („Vefurinn"). Vinnsla er í samræmi við lög nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga og persónuverndarreglugerð ESB (GDPR). Spurningar um vinnslu persónuupplýsinga má senda á hallo@runur.is.

2. Upplýsingar sem við söfnum

Við söfnum aðeins þeim upplýsingum sem þarf til að reka þjónustuna. Nákvæmlega þessum:

• Aðgangsupplýsingar: netfang, lykilorð (vistað dulkóðað / hashed af Supabase Auth), birtingarnafn (e. display name) og valfrjáls auðkennishlekkur frá Google eða Facebook ef þú skráir þig í gegnum þá.
• Notendaprófíll: heildarstig, myndatákn (avatar URL frá OAuth veitanda ef við á). Vistað í Supabase töflunni profiles.
• Leikjasaga: hver einstök þrautalota (e. game session) er vistuð í Supabase töflunni game_sessions með tegund leiks, dagsetningu, niðurstöðu (sigur/tap), fjölda tilrauna, tíma og ávinningi í stigum. Sömu gögn eru notuð til að reikna stigatöflur.
• Vinir og hópar: Ef þú notar vina- eða hópaaðgerðir vistum við netfang sem þú býður, samþykktar vinabeiðnir, hópameðlimi og boð sem bíða í Supabase (friendships, groups, group_members, group_invites). Aðeins þú og hópameðlimir sjá sömu hóplistann.
• Áskriftargögn: staða áskriftar (virk / uppsögð / í prufutímabili), vara (mánaðarlega eða árlega) og fyrning áskriftar. Við sjáum aldrei greiðslukortið þitt — Kling.is sér eitt um kortafærslur og hýsir kortagögn. Við fáum einungis webhook frá Kling um stöðu áskriftar, vistað í subscriptions og webhook_events.
• Tæknilegar upplýsingar: IP-tala og vafrastrengur við hverja beiðni, eingöngu notað til að verjast árásum og takmarka tíðni beiðna (rate limiting). Ekki vistað langvarandi.

3. Lagalegur grundvöllur vinnslu

• Framkvæmd samnings (gr. 6(1)(b) GDPR): Netfang, birtingarnafn, leikjasaga og áskriftargögn eru nauðsynleg til að reka þjónustuna.
• Lögmætir hagsmunir (gr. 6(1)(f) GDPR): IP-tölur og tæknigögn til að verja Vefinn gegn misnotkun og svindli.
• Samþykki (gr. 6(1)(a) GDPR): OAuth innskráning (Google/Facebook) er keyrð samkvæmt því samþykki sem þú veitir hjá viðkomandi veitanda. Þú mátt hvenær sem er afturkalla samþykki.

4. Vinnsluaðilar og deiling gagna

Við nýtum eftirfarandi þjónustuaðila til að reka vefinn. Allir eru bundnir Data Processing Agreement eða sambærilegum samningum:

• Supabase (Supabase, Inc., Bandaríkin / ESB): Notendaauðkenni (Supabase Auth), gagnagrunnur (Postgres með Row Level Security) og samskipti við netþjóna. Öll notenda- og leikjagögn eru vistuð þar.
• Kling.is (Ísland): Greiðslumiðlun fyrir áskriftir. Kling meðhöndlar kortagreiðslur, sjálfvirka endurnýjun og sendir okkur staðfestingar-webhooks. Runur geymir ekki kortanúmer, CVC né banka­upplýsingar.
• Google Ireland Ltd. (Google Analytics 4): Ópersónugreinanlegar umferðargreiningar (IP anonymized). Hjálpar okkur að skilja hvaða síður eru notaðar og finna villur.
• Google og Meta Platforms Ireland (OAuth): Ef þú skráir þig inn með Google- eða Facebook-reikningi staðfestir viðkomandi veitandi auðkenni þitt og afhendir okkur netfang og mögulega opinbert birtingarnafn og avatar.
• Resend (Resend, Inc., Bandaríkin): Sendir staðfestingar­póst við nýskráningu og lykilorðsupprifjun í gegnum Supabase.

Við höfum engan hag af sölu eða afhendingu persónuupplýsinga — gögn þín eru ekki notuð í auglýsingaskyni og verða ekki afhent þriðja aðila utan þeirra vinnsluaðila sem taldir eru upp hér að ofan.

5. Flutningur gagna utan EES

Supabase, Google og Resend starfrækja gagnaver utan Evrópska efnahagssvæðisins (m.a. í Bandaríkjunum). Þegar gögn þín eru flutt þangað treystum við á Standard Contractual Clauses (SCCs) Framkvæmdastjórnar ESB eða samsvarandi viðurkenndar verndarráðstafanir. Kling.is vistar gögn á Íslandi.

6. Öryggi gagna

• Öll samskipti eru dulkóðuð með TLS 1.2+ (HTTPS).
• Gagnagrunnstöflur eru lokaðar aðgangi utanaðkomandi; öll lesing og skrif eru varin af Row Level Security (RLS) reglum sem tryggja að notendur sjái aðeins eigin gögn og gögn sem þeir eiga samkvæmt sambandi (t.d. hópameðlimir í sama hóp).
• Lykilorð eru hashed með bcrypt af Supabase Auth og eru aldrei aðgengileg í textaformi — ekki einu sinni starfsfólki okkar.
• Takmörkun beiðna (rate limiting) kemur í veg fyrir árásir og sjálfvirka skröpun.

7. Varðveislutími

• Virkur aðgangur: meðan aðgangur þinn er virkur vistum við öll leik­tengd gögn án tímamarka.
• Eyða aðgang: Notandi getur eytt sínum eigin aðgang tafarlaust í stillingum sínum inn á vefnum. Afleidd tölfræði (t.d. heildarfjöldi spilara) getur verið geymd áfram á nafnlausu formi.

8. Réttindi þín samkvæmt GDPR

• Aðgangsréttur: þú mátt óska eftir afriti af þeim gögnum sem við höfum um þig.
• Leiðréttingarréttur: breyting á birtingarnafni er hægt að framkvæma í stillingum aðgangs.
• Eyðingarréttur: þú getur óskað eftir algjörri eyðingu aðgangs og gagna.
• Flutningsréttur: þú getur fengið gögn þín afhent á véllæsilegu sniði (JSON).
• Mótmælaréttur og afturköllun samþykkis: þú mátt hætta vinnslu sem byggir á samþykki hvenær sem er.
• Kvörtun: þú mátt leggja fram kvörtun hjá Persónuvernd.

Til að nýta þessi réttindi, sendu tölvupóst á hallo@runur.is. Við svörum innan 30 daga.

9. Vefkökur og staðbundin geymsla

Við notum þrjár gerðir af staðbundnum gögnum í vafra:

• Nauðsynlegar vefkökur: innskráningartóki frá Supabase (sb-…-auth-token), geymdur svo þú þurfir ekki að skrá þig inn aftur í hvert sinn.
• Virkni í localStorage: leikjastaða dagsins, þema (ljóst/dökkt), klárað-í-dag merki. Vistast í þínum vafra og er aldrei sent annað.
• Skyndiminni í sessionStorage: vinalisti, hóplisti og hópaupplýsingar eru vistaðar tímabundið svo að endurheimsóknir innan sama flipa hlaðist strax. Skyndiminnið eyðist þegar flipinn lokast og er bundið við þitt notendaauðkenni.
• Umferðargreiningar: Google Analytics vefkökur (_ga, _ga_…) með IP-anonymization virkjað.

Þú getur eytt öllum þessum gögnum hvenær sem er í gegnum stillingar vafrans.

10. Breytingar á stefnunni

Nýjasta útgáfan er ávallt aðgengileg hér. Veigamiklar breytingar sem hafa áhrif á réttindi þín eru tilkynntar með tölvupósti og/eða skilaboðum í vafra. Með áframhaldandi notkun eftir uppfærslu staðfestir þú samþykki við nýju stefnuna.