Personvernerklaering

1. Behandlingsansvarlig

Behandlingsansvarlig er Magenta Team Korlátolt Felelősségű Társaság (adresse: Petőfi Sándor utca 12/1., 2085 Pilisvörösvár, Ungarn; selskapsregistreringsnummer: 13-09-226488; skattenummer: 26142366-2-13; representert av: Adrian Olajos, Direktor; e-post: legal@bellora.net). Behandlingsansvarlig har ikke utpekt et Personvernombud (DPO), da virksomheten ikke faller inn under de obligatoriske utpekingstilfellene i henhold til GDPR 37. For sporsmaal om personvern kan Behandlingsansvarlig kontaktes paa legal@bellora.net.

2. Omfang av behandlede opplysninger

Under bruken av Tjenesten behandler vi folgende opplysninger:

• Personopplysninger: navn, e-postadresse, telefonnummer, profilbilde
• Salongopplysninger: salongnavn, adresse, aapningstider, bilder, beskrivelse
• Bestillingsopplysninger: avtaler, tjenester, ansatte, avbestillingsopplysninger
• Betalingsopplysninger: Stripe-transaksjonsidentifikatorer, betalingsbeloep, valuta (vi lagrer ikke kreditkortopplysninger)
• Kommunikasjonsopplysninger: e-post- og SMS-varsler, push-varsler, varslingsinnstillinger
• Tekniske opplysninger: IP-adresse, nettlesertype, enhetsinformasjon, informasjonskapsel-identifikatorer
• Intakeskjemaopplysninger: svar paa salongkonfigurerte spoerreskjemaer (som kan inneholde helserelaterte opplysninger)

3. Formaal og rettslig grunnlag for behandling

Folgende rettslige grunnlag gjelder for hvert behandlingsformaal:

• Kontoadministrasjon og autentisering: oppfyllelse av avtale (GDPR Art. 6(1)(b)) -- navn, e-post, passord-hash, profilbilde
• Administrasjon av timebestillinger: oppfyllelse av avtale (GDPR Art. 6(1)(b)) -- bestillingsopplysninger, tjeneste, tidspunkt, ansatt
• Betalingsbehandling (Stripe): oppfyllelse av avtale (GDPR Art. 6(1)(b)) -- transaksjons-ID, beloep, valuta
• Sende varsler (e-post, SMS, push): berettiget interesse (GDPR Art. 6(1)(f)) for transaksjonsvarsler; samtykke (GDPR Art. 6(1)(a)) for markedsforingsvarsler
• Fakturering og regnskap: rettslig forpliktelse (GDPR Art. 6(1)(c)) -- faktureringsopplysninger, transaksjoner
• Feilspoering og systemsikkerhet (Sentry): berettiget interesse (GDPR Art. 6(1)(f)) -- tekniske opplysninger, IP-adresse, feilrapporter
• Informasjonskapsler (analyse): samtykke (GDPR Art. 6(1)(a)) -- informasjonskapsel-identifikatorer, bruksstatistikk
• Intakeskjemaopplysninger: samtykke (GDPR Art. 6(1)(a)); for helseopplysninger, uttrykkelig samtykke (GDPR Art. 9(2)(a))

4. Oppbevaringsperioder for opplysninger

Folgende oppbevaringsperioder gjelder for hver opplysningstype:

• Kontoopplysninger (profil, innstillinger): oppbevares til kontoen slettes, deretter permanent slettet innen 30 dager fra slettingsforesporselen
• Bestillingsopplysninger: 2 aar fra bestillingsdatoen (for skatte- og regnskapsformaal), deretter anonymisert
• Betalingstransaksjoner: 8 aar (i samsvar med den ungarske regnskapsloven (lov C av 2000))
• SMS-transaksjonslogger: 1 aar
• Revisjonslogger: 90 dager
• Sentry-feilopplysninger: 90 dager
• Samtykke for informasjonskapsler: 1 aar
• Endringer i varslingsinnstillinger (samtykke-revisjonslogg): 3 aar

5. Underdatabehandlere

Vi bruker folgende underdatabehandlere for driften av Tjenesten:

• Stripe (Stripe, Inc., San Francisco, USA) -- betalingsbehandling, administrasjon av transaksjonsdata
• Twilio (Twilio Inc., San Francisco, USA) -- levering av SMS-varsler, behandling av telefonnumre
• Resend (Resend, Inc., San Francisco, USA) -- levering av e-postvarsler, behandling av e-postadresser
• Hetzner (Hetzner Online GmbH, Gunzenhausen, Tyskland) -- serverinfrastruktur, lagring av alle plattformopplysninger (Helsinki, EU)
• Cloudflare (Cloudflare, Inc., San Francisco, USA) -- DNS-administrasjon, CDN, behandling av IP-adresser
• Sentry (Functional Software, Inc., San Francisco, USA) -- feilspoering, behandling av tekniske opplysninger
• Szamlazz.hu (KBOSS.hu Kft., Budapest, Ungarn) -- fakturering, behandling av faktureringsopplysninger

6. Internasjonale dataoverfoeringer

Noen av vaare underdatabehandlere (Stripe, Twilio, Resend, Sentry, Cloudflare) behandler opplysninger i USA. Disse leverandoerene er sertifisert under EU-US Data Privacy Framework (DPF), som sikrer tilstrekkelig beskyttelse av personopplysninger basert paa EU-kommisjonens adequathetsbeslutning. Naar EU-US DPF ikke er gjeldende, tjener Standard Contractual Clauses (SCCs) som rettslig grunnlag for overfoeringen. Hetzner og Szamlazz.hu behandler opplysninger utelukkende innenfor Den europeiske union.

7. Registrertes rettigheter

I henhold til GDPR har du folgende rettigheter: rett til innsyn (du kan be om en kopi av dine opplysninger); rett til retting (korrigering av unoeyaktige opplysninger); rett til sletting (du kan be om sletting av dine opplysninger); rett til begrensning av behandling; rett til dataportabilitet (du kan be om dine opplysninger i et maskinlesbart format); rett til aa protestere (mot behandling basert paa berettiget interesse). For behandling basert paa samtykke kan samtykket naar som helst trekkes tilbake uten at det berorer lovligheten av behandlingen for tilbaketrekkingen. For aa utove dine rettigheter, kontakt oss paa legal@bellora.net. Tjenesten bruker ikke automatisert beslutningstaking eller profilering.

8. Datasikkerhet

Vi sikrer datasikkerheten gjennom tekniske og organisatoriske tiltak. Opplysninger overfores via krypterte kanaler og lagres paa sikre servere. Betalingsbehandlingen utfores av Stripe, en PCI DSS Level 1 sertifisert betalingstjenesteleverandor -- den hoyeste sikkerhetsstandarden i betalingsbransjen. Bellora lagrer, behandler eller overforer ikke kreditkortopplysninger. Kortopplysninger haandteres direkte av Stripes krypterte systemer.

9. Tilsynsmyndighet

Hvis du mener at behandlingen av dine personopplysninger bryter med bestemmelsene i GDPR, har du rett til aa klage til tilsynsmyndigheten. I Ungarn er den kompetente tilsynsmyndigheten: Nemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH), adresse: 1055 Budapest, Falk Miksa utca 9-11., e-post: ugyfelszolgalat@naih.hu, telefon: +36 1 391 1400, nettsted: www.naih.hu.