Privacy Policy
Last updated: —
Who we are (Controller)
Nord Leads — a web studio based in Reykjavík, Iceland, building websites for local businesses. Contact for privacy matters: hello@nordleads.org · Instagram: @nordleads.
What we collect
When you submit the enquiry form on this site — for a free website review or another request, such as a security check-up — we collect:
- Your name
- Your contact detail (phone number or email address)
- Your website or Instagram handle (optional)
- Your business sector, business name and location (optional)
- Your goal and message (optional)
We also use analytics cookies only after you accept them in the cookie banner. If you choose “Only necessary”, no analytics or marketing trackers load.
Business and business-owner data we collect without asking you (Art. 14 GDPR)
We contact Icelandic businesses by email and by telephone to offer a free website review. If
you received such an email or such a call from us, we did not get your details from you. This
section tells you everything the GDPR requires us to tell you in that case. We never send cold
SMS or cold WhatsApp messages.
- Controller: Nord Leads, Reykjavík, Iceland, hello@nordleads.org. We have not appointed a Data Protection Officer.
- Where we got it: publicly available listings and registers, namely the Google Places API and Google Maps listings; the business's own public website; the public telephone directory at ja.is and 1819.is, which we also use to check whether a number carries an opt-out marking (bannmerki) before we dial it; the Icelandic company register (Fyrirtækjaskrá), to confirm the legal form and the company registration number; and the public register of licensed master tradespeople kept by HMS, to confirm that a business holds a valid licence. We do not buy lists, and we do not use data from Þjóðskrá.
- What we hold: business name, business category, address or area, telephone number, the business email address where one is published, the business website, a Google Place ID, and, for a company, its legal form and company registration number (kennitala). Where the public directory entry behind a telephone number belongs to a natural person rather than to a company, we also record that person's name and a link to their public directory entry. We record it for one reason only: it is the evidence that the number failed our check and must not be called. We calculate an internal score for the business from public signals about its online presence. We never collect special-category data (Art. 9 GDPR), and we do not collect the personal identification number of a natural person.
- Why: to offer web design services to Icelandic businesses whose online presence is missing, broken or out of date, which is direct business-to-business marketing; and, separately, to keep a record of the opt-out checks we carried out, so that we can show a number was excluded rather than called.
- Legal basis: legitimate interests, Art. 6(1)(f) GDPR, which is Art. 9(6) of Icelandic Act No. 90/2018. The interests are named: (i) our interest, as a small studio, in reaching businesses that plausibly need the service we sell, and their own interest in hearing about it; and (ii) our interest in being able to demonstrate that we respected an opt-out. We carried out a balancing test for each channel separately. We do not rely on your consent for this processing, so there is no consent for you to withdraw; instead you have an unconditional right to object, described below.
- How we choose the channel: we send email only to a functional business address at the business's own domain, never to a named person's private address, under Art. 94(4) of the Icelandic Electronic Communications Act No. 70/2022. Before we call a number, we check it against the opt-out marking in the public directory on the day of the call, under Art. 94(6) of the same Act, and we do not call it if the number is marked, or if the entry behind it belongs to a natural person rather than to a company. If we call you, we will say who we are and where we got your number as soon as you ask.
- Who else sees it: Netlify (hosting), Airtable (our CRM) and SendGrid (email delivery), each acting as our processor under a Data Processing Agreement. All three may process data outside the EEA under the EU Standard Contractual Clauses. Where we have prepared a website preview for your business, that page is hosted by Netlify at a non-indexed URL that we share only with you. Write to hello@nordleads.org and we take it down.
- How long: if you do not reply, we delete the record within 9 months of the day we collected it. If you tell us to stop, we keep the minimum needed to make sure we never contact you again, which is your email address or domain, or your telephone number, on a suppression list, and we keep that indefinitely for that single purpose. Where we recorded a name because the number belongs to a natural person, we keep only what is needed to keep that number excluded.
- No automated decision-making about you: we calculate an internal score from public signals about the business's online presence, and we use it to decide which businesses we approach and in what order. The only outcome it can produce is whether a human at Nord Leads contacts the business once. No decision producing legal effects concerning you, or similarly significantly affecting you, is made by automated means (Art. 22 GDPR). Where the business is run by one person, we accept that a statement about the business is also a statement about that person, and we do not claim otherwise.
- Your rights: access, rectification, erasure, restriction, and data portability. You have the right to object at any time to this processing (Art. 21 GDPR). If you object, we stop immediately and permanently. You do not have to give a reason. If we called you, saying so to the caller is enough, and we record it while still on the call. If we emailed you, use the one-click unsubscribe link. In either case you can write to hello@nordleads.org. You may also lodge a complaint with Persónuvernd, the Icelandic Data Protection Authority.
Why we use it and legal basis
| Data | Purpose | Legal basis (GDPR) |
|---|
| Form details | Prepare and deliver your free website audit and reply to your enquiry | Steps prior to a contract at your request (Art. 6(1)(b)) |
| Form details kept in our CRM | Follow up on your enquiry and manage the relationship | Legitimate interest (Art. 6(1)(f)): running our business and responding to people who contacted us. You can object to this at any time at hello@nordleads.org |
| Analytics cookies | Understand site usage | Consent (Art. 6(1)(a)), collected via the cookie banner |
Who we share it with
We use trusted service providers that process data on our behalf, each under a Data Processing Agreement:
- Netlify — website hosting and form submission storage (servers may be outside the EEA under appropriate safeguards).
- Airtable — our CRM, where your enquiry is stored so we can follow up.
We do not use analytics at the moment. If we start using analytics, this will only happen after your consent, and this policy will be updated to name the provider.
We do not sell your data. We do use publicly listed business and business-owner contact details for direct business-to-business marketing by email and telephone, as described in the section above.
How long we keep it
- Enquiries that do not become clients: kept for up to 12 months after the last contact, then deleted or anonymised.
- Clients: kept for the duration of the engagement and for any period afterwards required by Icelandic accounting and tax law.
Your rights
You can request access, correction, deletion, restriction of processing, or portability of your data, and you can object at any time to us keeping your enquiry in our CRM for follow-up. Where we rely on consent (analytics cookies), you can withdraw it at any time. To do any of this, contact us at hello@nordleads.org. You also have the right to lodge a complaint with Persónuvernd (the Icelandic Data Protection Authority), personuvernd.is.
Cookies
This site loads analytics cookies only after consent. You can change or withdraw your choice at any time via the cookie banner.
← Back to nordleads
Persónuverndarstefna
Síðast uppfært: —
Hver við erum (ábyrgðaraðili)
Nord Leads — vefstofa með aðsetur í Reykjavík sem gerir heimasíður fyrir lítil fyrirtæki. Tengiliður vegna persónuverndar: hello@nordleads.org · Instagram: @nordleads.
Hvaða upplýsingum við söfnum
Þegar þú sendir inn fyrirspurn hér á síðunni — um ókeypis yfirferð á heimasíðu eða aðra beiðni, svo sem öryggisskoðun — söfnum við:
- Nafni þínu
- Tengiliðaupplýsingum (símanúmeri eða netfangi)
- Heimasíðu þinni eða Instagram-reikningi (valfrjálst)
- Atvinnugrein, nafni fyrirtækis og staðsetningu (valfrjálst)
- Markmiði þínu og skilaboðum (valfrjálst)
Við notum einnig vafrakökur fyrir tölfræði aðeins eftir að þú samþykkir þær í vafrakökuborðanum. Ef þú velur „Aðeins nauðsynlegar“ hlaðast engar tölfræði- eða markaðskökur.
Upplýsingar um fyrirtæki og rekstraraðila sem við söfnum án þess að spyrja þig (14. gr. GDPR)
Við höfum samband við íslensk fyrirtæki með tölvupósti og í síma til að bjóða ókeypis
yfirferð á vefsíðu. Ef þú fékkst slíkan póst eða slíkt símtal frá okkur fengum við
upplýsingarnar ekki frá þér. Hér kemur fram allt sem okkur ber að upplýsa um í því tilviki.
Við sendum aldrei óumbeðin SMS eða WhatsApp-skilaboð.
- Ábyrgðaraðili: Nord Leads, Reykjavík, hello@nordleads.org. Við höfum ekki skipað persónuverndarfulltrúa.
- Hvaðan upplýsingarnar koma: opinberar skrár og skráningar á netinu, nánar tiltekið Google Places API og skráningar á Google Maps; opinber vefsíða fyrirtækisins sjálfs; símaskráin á ja.is og 1819.is, sem við notum einnig til að kanna hvort númer beri bannmerkingu áður en hringt er; fyrirtækjaskrá, til að staðfesta rekstrarform og kennitölu fyrirtækisins; og opinber skrá HMS yfir löggilta iðnmeistara, til að staðfesta að fyrirtækið hafi gilda löggildingu. Við kaupum ekki lista og við notum ekki gögn úr þjóðskrá.
- Hvað við geymum: nafn fyrirtækis, starfsgrein, heimilisfang eða svæði, símanúmer, netfang fyrirtækisins þar sem það er birt opinberlega, vefsíðu, Google Place ID og, þegar um fyrirtæki er að ræða, rekstrarform þess og kennitölu. Þegar skráning símanúmers í símaskrá tilheyrir einstaklingi en ekki lögaðila skráum við einnig nafn viðkomandi og hlekk á opinberu skráninguna. Við gerum það af einni ástæðu: það er sönnun þess að númerið féll á athugun okkar og að ekki megi hringja í það. Við reiknum innri einkunn um fyrirtækið út frá opinberum vísbendingum um vefviðveru þess. Við söfnum aldrei viðkvæmum persónuupplýsingum (9. gr. GDPR) og við söfnum ekki kennitölu einstaklinga.
- Tilgangur: að bjóða vefþjónustu íslenskum fyrirtækjum þar sem vefviðvera er engin, biluð eða úrelt, sem er bein markaðssetning milli fyrirtækja; og, sérstaklega, að halda til haga skráningu á þeim bannmerkingarathugunum sem við framkvæmdum, svo að við getum sýnt fram á að númer hafi verið útilokað en ekki hringt í það.
- Vinnsluheimild: lögmætir hagsmunir, 6. gr. 1. mgr. f-liður GDPR, sbr. 9. gr. 6. tölul. laga nr. 90/2018. Hagsmunirnir eru tilgreindir: (i) hagsmunir okkar, sem lítillar vefstofu, af því að ná til fyrirtækja sem líklega þurfa á þjónustunni að halda, og hagsmunir þeirra af því að heyra af henni; og (ii) hagsmunir okkar af því að geta sýnt fram á að bannmerking hafi verið virt. Við höfum framkvæmt hagsmunamat fyrir hvern samskiptamáta fyrir sig. Við byggjum þessa vinnslu ekki á samþykki þínu, og því er ekkert samþykki til að afturkalla; í staðinn átt þú skilyrðislausan andmælarétt, sbr. hér að neðan.
- Hvernig við veljum samskiptamáta: við sendum tölvupóst eingöngu á almennt netfang fyrirtækis á léni fyrirtækisins sjálfs, aldrei á einkanetfang tiltekins einstaklings, sbr. 94. gr. 4. mgr. laga nr. 70/2022 um fjarskipti. Áður en hringt er könnum við bannmerkingu númersins í símaskrá samdægurs, sbr. 94. gr. 6. mgr. sömu laga, og við hringjum ekki ef númerið er bannmerkt eða ef skráningin að baki því tilheyrir einstaklingi en ekki lögaðila. Ef við hringjum í þig segjum við hver við erum og hvaðan við fengum númerið um leið og þú spyrð.
- Hverjir aðrir sjá þær: Netlify (hýsing), Airtable (viðskiptavinakerfi) og SendGrid (póstsending), sem vinnsluaðilar samkvæmt vinnslusamningi. Öll þrjú kunna að vinna gögn utan EES á grundvelli stöðluðu samningsákvæðanna. Ef við höfum útbúið forskoðun af vefsíðu fyrir fyrirtækið ykkar er sú síða hýst hjá Netlify á vefslóð sem er ekki skráð í leitarvélar og er einungis send ykkur. Sendið línu á hello@nordleads.org og við tökum hana niður.
- Varðveislutími: svarir þú ekki eyðum við skráningunni innan 9 mánaða frá því að gögnunum var safnað. Biðjir þú okkur að hætta geymum við það lágmark sem þarf til að tryggja að við höfum aldrei samband aftur, það er netfangið eða lénið, eða símanúmerið, á bannlista okkar, og þann lista geymum við ótímabundið í þeim eina tilgangi. Hafi nafn verið skráð vegna þess að númerið tilheyrir einstaklingi geymum við eingöngu það sem þarf til að halda númerinu útilokuðu.
- Engin sjálfvirk ákvarðanataka um þig: við reiknum innri einkunn út frá opinberum vísbendingum um vefviðveru fyrirtækisins og notum hana til að ákveða við hvaða fyrirtæki við höfum samband og í hvaða röð. Eina niðurstaðan sem hún getur haft er hvort starfsmaður Nord Leads hafi samband við fyrirtækið einu sinni. Engin ákvörðun sem hefur réttaráhrif að því er þig varðar, eða snertir þig með sambærilega verulegum hætti, er tekin með sjálfvirkum hætti (22. gr. GDPR). Þegar einn einstaklingur rekur fyrirtækið viðurkennum við að umsögn um fyrirtækið er um leið umsögn um þann einstakling, og við höldum ekki öðru fram.
- Réttindi þín: aðgangur, leiðrétting, eyðing, takmörkun og flutningur gagna. Þú átt rétt á að andmæla þessari vinnslu hvenær sem er (21. gr. GDPR); geri þú það hættum við strax og fyrir fullt og allt. Þú þarft ekki að gefa ástæðu. Hafi verið hringt í þig nægir að segja það í símtalinu og við skráum það á meðan á símtalinu stendur. Hafi þér verið sendur tölvupóstur er fljótlegast að nota afþökkunarhlekkinn. Í báðum tilvikum má senda línu á hello@nordleads.org. Þú getur einnig kvartað til Persónuverndar.
Af hverju við notum þær og vinnsluheimild
| Gögn | Tilgangur | Vinnsluheimild (GDPR) |
|---|
| Upplýsingar úr fyrirspurnareyðublaði | Undirbúa og afhenda ókeypis yfirferð og svara fyrirspurn þinni | Ráðstafanir að beiðni þinni áður en samningur er gerður (6. gr. 1. mgr. b) |
| Upplýsingar geymdar í viðskiptavinakerfi okkar | Fylgja eftir fyrirspurn þinni og halda utan um samskiptin | Lögmætir hagsmunir (6. gr. 1. mgr. f): að reka fyrirtækið og svara þeim sem hafa samband við okkur. Þú getur hvenær sem er andmælt þessari vinnslu á hello@nordleads.org |
| Vafrakökur fyrir tölfræði | Skilja notkun á síðunni | Samþykki (6. gr. 1. mgr. a), fengið í gegnum vafrakökuborðann |
Með hverjum við deilum þeim
Við notum trausta þjónustuaðila sem vinna gögn fyrir okkar hönd, hver undir vinnslusamningi:
- Netlify — hýsing heimasíðu og geymsla á innsendum fyrirspurnum (netþjónar geta verið utan EES með viðeigandi öryggisráðstöfunum).
- Airtable — viðskiptavinakerfið okkar, þar sem fyrirspurnin þín er geymd svo við getum fylgt eftir.
Við notum ekki vefgreiningar (analytics) eins og er. Ef við byrjum að nota þær, verður það aðeins með samþykki þínu, og þessi stefna verður uppfærð með nafni þjónustuaðilans.
Við seljum ekki gögnin þín. Við notum opinberar samskiptaupplýsingar fyrirtækja og rekstraraðila í beina markaðssetningu milli fyrirtækja, með tölvupósti og í síma, eins og lýst er hér að ofan.
Hversu lengi við geymum þær
- Fyrirspurnir sem verða ekki að viðskiptum: geymdar í allt að 12 mánuði eftir síðustu samskipti, síðan eytt eða gerðar ópersónugreinanlegar.
- Viðskiptavinir: geymd á meðan á samstarfinu stendur og í þann tíma sem íslensk bókhalds- og skattalög krefjast eftir það.
Réttindi þín
Þú getur óskað eftir aðgangi, leiðréttingu, eyðingu, takmörkun á vinnslu eða flutningi á gögnum þínum og þú getur hvenær sem er andmælt því að fyrirspurnin þín sé geymd í viðskiptavinakerfinu okkar vegna eftirfylgni. Þar sem vinnslan byggir á samþykki (vafrakökur fyrir tölfræði) getur þú afturkallað það hvenær sem er. Hafðu samband við okkur á hello@nordleads.org. Þú átt einnig rétt á að leggja fram kvörtun hjá Persónuvernd, personuvernd.is.
Vafrakökur
Þessi síða hleður tölfræðikökum aðeins eftir samþykki. Þú getur breytt eða afturkallað valið hvenær sem er í vafrakökuborðanum.
← Til baka á nordleads
