Personvernerklæring

1. Behandlingsansvarlig

Behandlingsansvarlig for dine personopplysninger er:

Denne erklæringen er utarbeidet i samsvar med EUs personvernforordning (GDPR), som gjelder i Norge gjennom EØS-avtalen og den norske personopplysningsloven av 2018 (lov om behandling av personopplysninger).

2. Hvilke opplysninger samler vi inn?

Vi behandler følgende kategorier av personopplysninger, avhengig av hva du gjør på nettsiden vår:

2a. Booking og behandling

Når du bestiller time hos oss, registrerer vi navn, e-postadresse, telefonnummer, valgt behandling, ønsket tidspunkt og eventuelle kommentarer. Dette er nødvendig for å gjennomføre tjenesteavtalen med deg.

2b. Helse- og allergiopplysninger (særlige kategorier)

For visse behandlinger (f.eks. vippeextensions, permanente behandlinger eller hudbehandlinger) spør vi om du har allergier, hudreaksjoner, graviditet eller annen helseinformasjon som er relevant for den aktuelle behandlingen. Dette er særlige kategorier av personopplysninger etter GDPR art. 9. Vi behandler slike opplysninger kun på grunnlag av ditt uttrykkelige samtykke, og opplysningene benyttes utelukkende for å ivareta din helse og sikkerhet.

2c. Betalingsopplysninger

Ved betaling på nett behandler vi betalingstransaksjonsinformasjon. Vi lagrer ikke kortdetaljer hos oss — all kortdata behandles direkte av vår betalingstjenesteleverandør Stripe (se punkt 5).

2d. Tekniske opplysninger (informasjonskapsler)

Dersom du samtykker, samler vi inn anonymiserte trafikk- og brukeropplysninger via Google Analytics (besøksdata, enhet, nettleser, sider besøkt). Teknisk nødvendige informasjonskapsler settes uavhengig av ditt valg, da disse er nødvendige for at nettsiden skal fungere. Se punkt 6 for mer informasjon om informasjonskapsler.

3. Behandlingsgrunnlag (rettslig grunnlag)

Vi behandler personopplysninger på følgende grunnlag etter GDPR art. 6 og art. 9:

4. Lagringstid

Vi lagrer personopplysninger kun så lenge det er nødvendig for det angitte formålet:

• —Bookingopplysninger: 3 år etter gjennomført behandling, for å kunne håndtere reklamasjoner og dokumentasjonskrav.
• —Helse- og allergiopplysninger: Slettes senest 1 år etter siste behandling, med mindre du aktivt fornyer samtykket.
• —Betalingsopplysninger og kvitteringer: 5 år, i samsvar med bokføringsloven § 13.
• —Analysedata (Google Analytics): Maks 14 måneder, i tråd med Datatilsynets anbefalinger.

5. Databehandlere – hvem har tilgang til dine opplysninger?

Vi benytter følgende tredjepartsleverandører (databehandlere) som behandler personopplysninger på vegne av oss. Alle databehandlere er bundet av databehandleravtale (DPA) med oss, og har ikke lov til å bruke opplysningene til egne formål.

Vi deler ikke personopplysninger med andre tredjeparter, og vi selger aldri dine opplysninger.

6. Informasjonskapsler (cookies)

Vi benytter følgende typer informasjonskapsler:

Du kan når som helst endre dine samtykkevalg ved å klikke på «Informasjonskapsler» i bunnteksten på nettsiden. Dersom du ikke har valgt, vil kun nødvendige informasjonskapsler settes.

7. Dine rettigheter

Som registrert har du en rekke rettigheter etter GDPR (kapittel III). Du kan utøve disse rettighetene ved å kontakte oss på kontakt@sanybeauty.no. Vi vil besvare din henvendelse uten ugrunnet opphold og senest innen 30 dager.

8. Overføring til tredjeland

Noen av våre databehandlere (Stripe, Resend, Google, Vercel) er etablert i USA. USA anses som et trygt tredjeland for overføringer under EU-US Data Privacy Framework (DPF), der leverandørene er sertifisert. For øvrige leverandører benyttes EUs standardkontraktklausuler (SCC, vedtatt av EU-kommisjonen i 2021) som rettslig overføringsmekanisme etter GDPR art. 46.

Supabase-databasen er konfigurert med EU-datalagring (Frankfurt, AWS eu-central-1) og forlater ikke EØS-området ved normal drift.

9. Datasikkerhet

Vi iverksetter tekniske og organisatoriske tiltak for å beskytte personopplysningene dine mot uautorisert tilgang, endring, utlevering eller sletting. Dette inkluderer blant annet:

• —Kryptert tilkobling (HTTPS/TLS) for all kommunikasjon mellom deg og nettsiden
• —Row Level Security (RLS) i databasen — du har kun tilgang til egne data
• —Passordhashing via Supabase Auth (bcrypt)
• —Begrenset tilgang til administrasjonspanelet (kun autorisert personell)
• —Rate limiting for å forhindre automatiserte angrep mot API-endepunkter

10. Rett til å klage til Datatilsynet

Dersom du mener vi behandler personopplysningene dine i strid med personvernregelverket, har du rett til å klage til Datatilsynet — den norske tilsynsmyndigheten for personvern:

Vi oppfordrer deg til å kontakte oss direkte først, slik at vi kan løse eventuelle spørsmål eller bekymringer på en rask og god måte.

11. Endringer i personvernerklæringen

Vi kan oppdatere denne erklæringen ved endringer i tjenestene, regelverket eller vår behandlingspraksis. Vesentlige endringer vil varsles via en synlig melding på nettsiden. Siste revisjonstidspunkt er angitt i bunnteksten nedenfor.