Integritetspolicy

Personuppgiftsansvarig

Devox Consulting AB, org.nr 559313-5386, Hälsingbergsvägen 22, 791 44 Falun, är personuppgiftsansvarig för de uppgifter som beskrivs i den här policyn. Kontakta oss på bokningssystem@devox.se om du har frågor eller vill utöva dina rättigheter.

Två roller – läs rätt dokument

Den här policyn gäller uppgifter om salongsägare och besökare på massagetid.se, där vi bestämmer ändamålen och alltså är personuppgiftsansvariga.

För uppgifter om salongernas egna kunder – de som bokar tider – och om salongernas medarbetare, till exempel deras inloggningar och arbetstider, är salongen personuppgiftsansvarig och vi bara personuppgiftsbiträde. Den behandlingen regleras i vårt personuppgiftsbiträdesavtal och faller inte under den här policyn. Bokar du en tid hos en salong är det alltså salongens egen information om personuppgifter som gäller.

Vilka uppgifter vi behandlar

Kategori	Exempel	Varför
Kontouppgifter	Namn, e-postadress, telefonnummer, lösenord (lagrat som kryptografisk hash), salongens namn och adress	Skapa och driva ditt konto, logga in, återställa lösenord
Betal- och faktureringsuppgifter	Faktureringsadress, organisationsnummer, momsnummer, betalningshistorik. Driver du enskild firma är organisationsnumret ditt personnummer; det används bara för fakturering och bokföring. Kortuppgifter hanteras enbart av Stripe och når aldrig våra servrar – slår du på automatisk påfyllning av SMS-krediter sparas kortet hos Stripe för återkommande debitering, och vi lagrar bara en referens till det	Ta betalt för abonnemang, kreditpaket och automatiska påfyllningar, uppfylla bokföringsskyldighet
Användnings- och loggdata	IP-adress, tidpunkter för inloggning och viktiga åtgärder, antal skickade SMS samt din kredithistorik (påfyllningar, förbrukning och saldo)	Säkerhet, felsökning, spärr mot inloggningsförsök i massa, fakturaunderlag, redovisning av outnyttjade krediter
Kalenderkoppling	Om du som kontoinnehavare kopplar salongens kalender hos Google eller Microsoft: e-postadressen för det kopplade kontot och en åtkomstnyckel, som lagras krypterad. Kopplar en av salongens medarbetare sin kalender är det i stället salongens uppgift, och den regleras i personuppgiftsbiträdesavtalet	Lägga in, ändra och ta bort salongens bokningar i den kalender du kopplat
Besökare på webbplatsen	IP-adress, tidpunkt, begärd sida och webbläsarens identifiering i serverns loggar – även för dig som bara besöker sidan utan konto	Drift, felsökning och skydd mot angrepp
Annonsmätning	Bara om du sagt ja i rutan om kakor på massagetid.se: att du kommit hit via en av våra annonser hos Google, vilka sidor du besökt här och om du registrerat en salong, kopplat till en kaka i din webbläsare och din IP-adress	Se vilka annonser som leder till att salonger registrerar sig
Registreringens källa	Om du kom till registreringen via en av våra kampanjlänkar: kanalen och kampanjens namn ur länken (till exempel ”facebook / lansering”) och om du kom via ett annonsklick hos Google eller Meta. Sparas på salongen när du registrerar dig, utan kakor och utan någon identifierare från annonsplattformen	Se vilka kanaler som leder till att salonger registrerar sig
Besöksstatistik	Vilka av plattformens sidor på massagetid.se som visas, vilken sajt eller kampanjlänk besökaren kom ifrån, om besöket görs från mobil, surfplatta eller dator, vilka av sidans knappar som klickas och hur långt registreringen kommer (räknat som antal, utan id), och ett besökar-id som byts varje dygn. Id:t räknas fram ur IP-adressen och webbläsarens identifiering tillsammans med ett slumpat värde som raderas när dygnet är slut, så att samma besökare inte går att känna igen från en dag till nästa. IP-adressen och webbläsarens identifiering sparas inte. Inga kakor, och salongernas sidor räknas aldrig	Se hur många som besöker sidan, vilka sidor de läser och vilka kanaler som leder till registreringar
Kommunikation	E-post och meddelanden du skickar till oss	Ge support och svara på frågor

Konto- och faktureringsuppgifterna krävs för att vi ska kunna leverera tjänsten och uppfylla bokföringslagen. Lämnar du dem inte kan vi inte skapa något konto eller ta betalt för ett abonnemang.

Uppgifter från Google. Kopplar du en Google-kalender får vi bara rätt att läsa ditt kontos e-postadress och att skapa och ändra en egen kalender, "Massagebokningar", i ditt konto – inte att läsa dina övriga kalendrar. Vi använder åtkomsten enbart för att föra in salongens bokningar där, delar den inte med någon och använder den aldrig för reklam eller för att träna AI-modeller. Användningen av information från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use). Du kan när som helst koppla bort kalendern i adminpanelen eller dra tillbaka åtkomsten i ditt Google-konto.

Rättslig grund

• Fullgörande av avtal – kontouppgifter och den behandling som krävs för att leverera tjänsten till dig, liksom support som rör ditt konto.
• Rättslig förpliktelse – faktura- och bokföringsunderlag enligt bokföringslagen.
• Berättigat intresse – säkerhetsloggar, serverloggar, spärrar mot missbruk (däribland kontrollen mot automatiserade anrop med Cloudflare Turnstile), felsökning, vilken kampanjlänk en registrering kom från, besöksstatistiken utan kakor, och svar på frågor från dig som ännu inte har ett konto. Vår bedömning är att intresset av en säker och fungerande tjänst väger tyngre än det begränsade intrånget behandlingen innebär.
• Samtycke – annonsmätningen med Googles kakor på massagetid.se, och om vi någon gång skickar nyhetsbrev eller liknande utskick som inte rör ditt avtal. Du kan alltid återkalla samtycket.

Vi fattar inga beslut om dig som enbart grundas på automatiserad behandling.

Cookies

De nödvändiga cookies som sätts håller dig inloggad (session), kommer ihåg om en salong låst upp sin sida med pinkod, gör att en ännu opublicerad salong kan förhandsgranska sin egen sida och kommer ihåg ditt val om annonskakor (i ett halvår). Nödvändiga cookies kräver inget samtycke, men du kan blockera dem i webbläsaren – då fungerar inte inloggningen.

Annonskakor, bara på massagetid.se och bara med ditt samtycke. Vi annonserar hos Google. Säger du ja i rutan om kakor laddas Googles tagg för Google Ads, och den sätter en kaka (_gcl_au och, om du klickat på en annons, _gcl_aw) som sparas i 90 dagar. Med den ser vi hur många som kommit via en annons och sedan registrerat en salong. Kakan och taggen används inte för annonser riktade till dig. Säger du nej, eller svarar inte, laddas ingenting från Google.

Google Ireland Limited tar emot uppgifterna och är självständigt personuppgiftsansvarigt för sin del av annonsmätningen, enligt Googles villkor för annonsörer. Uppgifterna kan föras över till USA, med stöd av EU–US Data Privacy Framework och standardavtalsklausuler. Hur Google behandlar dem beskrivs i Googles integritetspolicy.

Annonskakorna gäller bara massagetid.se. Salongernas bokningssidor och adminpanelen använder dem aldrig, och den som bokar en tid hos en salong möter dem inte. Du kan ändra ditt val när som helst: Cookieinställningar.

När du registrerar dig, återställer ett lösenord eller begär en kod kontrollerar Cloudflare Turnstile att du inte är ett automatiserat program. Kontrollen läser av uppgifter om din webbläsare och enhet och kan lagra data på enheten. Den behövs för att skydda formulären mot missbruk och används inte för spårning eller reklam.

Vilka som får ta del av uppgifterna

Vi säljer aldrig personuppgifter. För att kunna driva tjänsten anlitar vi ett fåtal leverantörer som behandlar uppgifter för vår räkning (personuppgiftsbiträden):

Leverantör	Roll	Var uppgifterna behandlas
DigitalOcean	Drift av servern där tjänsten och databaserna körs	Nederländerna (EU). Moderbolaget finns i USA – EU–US Data Privacy Framework och standardavtalsklausuler
Cellsynt	Utskick av SMS	Sverige
Resend	Utskick av e-post	Irland (EU), med överföring till USA – EU–US Data Privacy Framework och standardavtalsklausuler
Microsoft (Microsoft 365)	Vår e-post, där supportkorrespondensen tas emot och lagras	EU/EES, med överföring till USA – EU–US Data Privacy Framework och standardavtalsklausuler
Cloudflare	Skydd mot automatiserade anrop (Turnstile) när du registrerar dig, återställer ett lösenord eller begär en kod. Tar emot din IP-adress och uppgifter om webbläsaren	Globalt, med överföring till USA – EU–US Data Privacy Framework och standardavtalsklausuler

Stripe hanterar betalningar, fakturor och kundportalen. Stripe är delvis vårt personuppgiftsbiträde och delvis självständigt personuppgiftsansvarigt, bland annat för kontroller mot bedrägerier och penningtvätt som Stripe gör enligt egna lagkrav. För den delen gäller Stripes egen integritetspolicy. Uppgifterna behandlas inom EU/EES och i USA, med stöd av EU–US Data Privacy Framework och standardavtalsklausuler.

Säkerhetskopiorna förs krypterade till en server som vi själva äger och driver i Sverige – ingen leverantör får tillgång till dem.

Vi kan också lämna ut uppgifter om vi är skyldiga till det enligt lag eller myndighetsbeslut.

Hur länge vi sparar uppgifterna

• Kontouppgifter – så länge kontot finns. Vill du att kontot raderas hör du av dig, så raderar vi det inom 30 dagar. Ett konto som saknat abonnemang och där ingen administratör loggat in på 24 månader raderas efter varning via e-post (se villkoren, punkt 12).
• Bokföringsunderlag – till och med sju år efter utgången av det kalenderår då räkenskapsåret avslutades, enligt bokföringslagen. Hit hör kvitton och underlag för köpta SMS-krediter, eftersom outnyttjade krediter redovisas som en skuld tills de förbrukats eller gått ut.
• Säkerhets- och aktivitetsloggar – normalt 12 månader.
• Kalenderkoppling – tills du kopplar bort kalendern eller kontot raderas. Då tas åtkomstnyckeln och kontots e-postadress bort direkt; i säkerhetskopiorna finns de kvar, krypterade, i högst 30 dagar.
• Serverloggar – 14 dagar.
• Besöksstatistik – 13 månader. Det slumpade värdet bakom besökar-id:t raderas när dygnet är slut.
• Annonskakor – 90 dagar i din webbläsare, och bara om du sagt ja. Drar du tillbaka samtycket tas de bort.
• Supportkorrespondens – normalt 24 månader.
• Säkerhetskopior – 30 dagar. Raderade uppgifter försvinner ur säkerhetskopiorna i takt med att de roteras ut.

Hur vi skyddar uppgifterna

All trafik till tjänsten går krypterad över HTTPS. Lösenord lagras aldrig i klartext utan som kryptografiska hashvärden. Varje salong har en egen databas, åtkomsten till servern är begränsad och säkerhetskopior tas varje natt och krypteras innan de lämnar servern. Åtkomst till kunddata sker bara när det behövs för drift och support.

Dina rättigheter

Enligt dataskyddsförordningen (GDPR) har du rätt att:

• få veta vilka uppgifter vi behandlar om dig och få en kopia av dem,
• få felaktiga uppgifter rättade,
• få uppgifter raderade när de inte längre behövs och vi inte måste spara dem enligt lag,
• invända mot behandling som vi gör med stöd av berättigat intresse,
• när som helst invända mot direktmarknadsföring – då upphör den,
• begära begränsning av behandlingen,
• få ut de uppgifter du lämnat till oss i ett maskinläsbart format (dataportabilitet),
• återkalla ett samtycke du lämnat.

Hör av dig till bokningssystem@devox.se så hjälper vi dig, normalt inom en månad. Är du missnöjd med hur vi behandlar dina uppgifter kan du klaga hos Integritetsskyddsmyndigheten (IMY).

Ändringar i policyn

Vi kan uppdatera den här policyn. Vid väsentliga ändringar meddelar vi dig via e-post till den adress som är kopplad till ditt konto. Datumet överst visar när policyn senast ändrades.