Personvernregler

1. Behandlingsansvarlig

Behandlingsansvarlig er Lubomír Unar, IČO 05000386, med adresse č.p. 220, 768 75 Loukov, Tsjekkia, operatør av tjenesten Resovu tilgjengelig på resovu.com (heretter "Behandlingsansvarlig"). Behandlingsansvarlig er ikke pålagt å utpeke et personvernombud (DPO) i henhold til GDPR art. 37, da kjernevirksomheten ikke innebærer behandling av særlige kategorier av opplysninger i stor skala eller systematisk overvåking i stor skala. For alle henvendelser om personvern, kontakt: resovu@resovu.com. Tilsynsmyndigheten er det tsjekkiske datatilsynet (www.uoou.cz).

2. Omfang av behandlede opplysninger

Vi behandler følgende kategorier av personopplysninger: Kontodata: e-postadresse, fullt navn, firmanavn, forretningsadresse, skatteidentifikasjonsnumre (for fakturering), valgt språk og tidssone. Bestillingsdata: kundenavn, e-postadresser, telefonnumre, bestillingsdatoer og -tidspunkt, valgte tjenester, bestillingsnotater, svar på tilpassede skjemafelt, betalingsstatus. Oppholdsdata (overnatting): datoer for oppholdet og antall gjester; dersom verten trenger dem for lovpålagt gjesteregister og innmelding til myndighetene, også navn, fødselsdato og fødested, kjønn, statsborgerskap, bostedsadresse, type og nummer på identitetsdokument, visumnummer og formål med oppholdet. Omfanget bestemmes av regelverket i landet der overnattingsstedet ligger. Lojalitetspoeng, omtaler og kvitteringer: saldo og bevegelser av lojalitetspoeng, omtaler kunden skriver, og kvitteringer virksomheten utsteder til kunden. Betalingsdata: transaksjonsidentifikatorer, fakturadetaljer, abonnementsplaninformasjon. Betalingskortnumre behandles utelukkende av Stripe og lagres aldri på Resovu-servere. Hvis en gjest ved bestilling av overnatting samtykker til at kortet lagres (automatisk restbetaling eller refunderbart depositum), oppbevarer vi bare kunde- og kortidentifikatoren hos Stripe, kortmerket, de fire siste sifrene, tidspunkt og ordlyd for samtykket og en oversikt over trekk og reservasjoner. Tekniske data: IP-adresser (for sikkerhet og rate limiting), nettlesertype og -versjon, operativsystem, enhetstype, henvisnings-URLer, besøkte sider, sesjonens varighet, informasjonskapsler (som beskrevet i avsnitt 8). Spambeskyttelse av skjemaer: Skjemaer på Resovus nettsted og virksomhetenes bookingskjemaer beskytter vi mot spam med et eget teknisk tiltak: nettleseren utfører en kort beregning ved innsending, og serveren kontrollerer resultatet, et skjult kontrollfelt og hvor lang tid utfyllingen tok. Vi bruker verken informasjonskapsler eller tredjepartstjenester til dette; vi lagrer bare et engangsavtrykk av verifiseringsoppgaven (uten personopplysninger) og IP-adressen din i høyst 3 timer for å begrense antall innsendinger (berettiget interesse, art. 6(1)(f) GDPR). Kommunikasjonsdata: e-postadresser og telefonnumre brukt for å sende bestillingsbekreftelser, påminnelser og systemvarsler. Ansattdata: ansattes navn, e-postadresser, arbeidstider, tildelte tjenester og kalendertilgjengelighet. Data samles inn direkte fra Brukere under registrering og bruk av tjenesten, fra Brukernes kunder under bestillingsprosessen, fra Brukerens nettleser gjennom informasjonskapsler og lignende teknologier (med samtykke der det kreves), og fra tredjepartstjenester (f.eks. Google Kalender-data når synkronisering er aktivert).

3. Formål med behandlingen

Vi behandler personopplysninger for følgende formål: Levering og administrasjon av Resovu-tjenesten, inkludert administrasjon av bestillinger, kunder, ansatte og tjenester. Behandling av betalinger og administrasjon av abonnementer gjennom Stripe. Sending av bestillingsbekreftelser, påminnelser og systemvarsler via e-post (Resend) og SMS (via SMS-leverandøren virksomheten selv har koblet til, f.eks. BulkGate eller seven.io). Forbedring av tjenestekvaliteten gjennom analyse og bruksstatistikk (kun med samtykke via informasjonskapsel-banneret). Sikring av tjenestens sikkerhet, inkludert rate limiting, svindeldeteksjon og misbruksforebygging. Oppfyllelse av lovpålagte forpliktelser, spesielt regnskaps-, skatte- og dataoppbevaringskrav. Brukerstøtte og svar på henvendelser. Feilovervåking og tjenestepålitelighet gjennom Sentry (kun teknisk feildiagnostikk; sesjonsavspilling er slått av, og personopplysninger fjernes fra feilrapportene før de sendes). Generering av fakturaer og vedlikehold av regnskapsregistre. For overnatting, etter instruks fra verten: føring av gjesteregister og utarbeidelse av grunnlag for innmelding til myndighetene, synkronisering av belegg med bookingportaler og trekk av restbeløp eller reservasjon av depositum på gjestens lagrede kort i det omfanget gjesten har samtykket til.

4. Rettslig grunnlag for behandlingen

Vi behandler personopplysninger på følgende rettslige grunnlag: Oppfyllelse av avtale (art. 6(1)(b) GDPR): Behandling som er nødvendig for levering av Resovu-tjenesten, inkludert kontoadministrasjon, bestillingsbehandling, betalingshåndtering og sending av transaksjonelle meldinger (bekreftelser, påminnelser). Berettiget interesse (art. 6(1)(f) GDPR): Tjenestesikkerhet (rate limiting, misbruksforebygging, spambeskyttelse av skjemaer), feilovervåking (Sentry), tjenesteforbedring gjennom aggregert analyse og sikring av systemintegritet. Vi har gjennomført en balansetest for å sikre at våre berettigede interesser ikke overstiger de registrertes rettigheter. Samtykke (art. 6(1)(a) GDPR): Markedsføringskommunikasjon og, på nettstedet resovu.com, analyseverktøy (Google Analytics 4, Microsoft Clarity) og markedsføringsverktøy (Meta Pixel). Samtykket kan når som helst trekkes tilbake via «Informasjonskapsler» i bunnteksten eller på e-post til resovu@resovu.com. Rettslig forpliktelse (art. 6(1)(c) GDPR): Oppbevaring av regnskaps- og skatteregistre (minst 10 år i henhold til tsjekkisk merverdiavgifts- og regnskapslov), svar på forespørsler fra rettshåndhevelse og overholdelse av rettskjennelser.

5. Deling av opplysninger med tredjeparter

Vi deler personopplysninger kun med pålitelige tjenesteleverandører som er nødvendige for driften: Supabase (databasehosting, EU), Stripe (betalingsbehandling), Vercel (applikasjonshosting), Resend (transaksjonelle e-poster), Google (kalendersynkronisering, valgfritt; Google Analytics 4 og Google Tag Manager for nettstedsanalyse), Sentry (feilovervåking). Vi har en databehandleravtale (DPA) med hver databehandler. Analyse- og markedsføringsverktøy på nettstedet resovu.com – Google Analytics 4 via Google Tag Manager (Google Ireland Ltd.), Microsoft Clarity (Microsoft Corporation, USA) og Meta Pixel (Meta Platforms Ireland Ltd.) – kjøres bare med samtykke, som beskrevet i punkt 8. Microsoft bruker etter sine vilkår data fra Clarity også til egne formål og er i den grad selvstendig behandlingsansvarlig. For Meta Pixel er vi felles behandlingsansvarlige med Meta for innsamling og overføring av data; videre behandling utføres av Meta som selvstendig behandlingsansvarlig. Data fra disse verktøyene kan overføres til USA; overføringene er sikret gjennom EU-US Data Privacy Framework eller standard personvernbestemmelser. Vi kjører ikke disse verktøyene i Resovu-administrasjonen eller på bedriftenes sider. Enkelte personopplysninger kan overføres til land utenfor EU/EØS (primært USA) gjennom tjenester fra underdatabehandlere (Stripe, Resend, Sentry, Google). Disse overføringene er sikret med standard kontraktsklausuler (SCC) godkjent av EU-kommisjonen og/eller tilstrekkelighetsbeslutninger under EU-US Data Privacy Framework. Detaljer om den enkelte behandlers garantier finnes i seksjonen GDPR – Liste over underdatabehandlere. SMS-påminnelser: SMS sendes bare hvis virksomheten (Brukeren) kobler til sin egen konto hos en SMS-leverandør (f.eks. BulkGate eller seven.io). Resovu overfører da, etter instruks fra virksomheten, mottakerens telefonnummer og påminnelsesteksten til denne leverandøren. SMS-leverandøren behandler disse opplysningene som virksomhetens databehandler i henhold til sin egen avtale med virksomheten, ikke som underdatabehandler for Resovu; leverandørens egen personvernerklæring gjelder. Andre mottakere: Vi gjør om virksomhetens adresse til koordinater for visning på kart via tjenesten Nominatim (OpenStreetMap Foundation, Storbritannia); bare den oppgitte adressen overføres. Kartet på en bedrifts sider lastes fra OpenStreetMaps servere (OpenStreetMap Foundation, Storbritannia), som den besøkendes nettleser da sender IP-adressen sin til. Vi viser kartet på grunnlag av bedriftens berettigede interesse i å vise hvor den ligger, med merkingen © OpenStreetMap contributors. Operatøren av Resovu mottar også varsler om nye støttesaker og tekniske varsler via Telegram; disse varslene inneholder verken innholdet i saken eller kundeopplysninger. Tjenester som virksomheten selv kobler til (egen SMS-leverandør, PriceLabs, bookingportaler via iCal-kalender, webhooks eller Zapier), mottar opplysninger etter instruks fra virksomheten som dens egne databehandlere eller mottakere, ikke som underdatabehandlere for Resovu.

6. Lagringstid for opplysninger

Vi oppbevarer personopplysninger i følgende perioder: Kontodata: For varigheten av Brukerens konto pluss 30 dager etter kontosletting. Regnskaps- og faktureringsdata oppbevares så lenge loven krever, minst 10 år (tsjekkisk merverdiavgiftslov nr. 235/2004 Coll. og regnskapslov nr. 563/1991 Coll.). Bestillingsdata: Konfigurerbart av Brukeren i Resovu-dashbordet. Standard oppbevaringsperiode er 365 dager. Etter oppbevaringsperioden anonymiseres personopplysninger i bestillinger automatisk av systemets PII-rensing cron-jobb, mens statistiske data bevares i anonymisert form. Gjesters registreringsopplysninger (overnatting): Slettes 7 dager etter avreise. Hvis regelverket i landet der overnattingsstedet ligger krever at gjesteregisteret føres lenger (f.eks. Tsjekkia 6 år, Østerrike 7 år, Spania 3 år, Slovakia 2 år, Tyskland 15 måneder, Storbritannia 12 måneder, Frankrike 6 måneder), slettes de når denne fristen er utløpt. Opplysninger om avbestilte opphold slettes umiddelbart. Gjestens lagrede kort: Henvisningen til kortet hos Stripe fjernes senest 7 dager etter avreise (og ikke før depositumet er frigitt eller trukket). Kortmerke, de fire siste sifrene og registreringen av samtykket slettes sammen med bestillingsopplysningene når oppbevaringstiden er utløpt. Data for rate limiting og skjemabeskyttelse: IP-adresser lagret i rate limiting-systemet og engangsavtrykk av verifiseringsoppgaver for skjemabeskyttelsen slettes automatisk etter 2 timer. Slettingen kjøres hver time, slik at ingen oppføring lagres lenger enn 3 timer. Analysedata (bare med samtykke): Google Analytics 4 lagrer data i 14 måneder. Microsoft Clarity lagrer opptak i 30 dager og varmekart og samlet statistikk i 9 måneder. Data fra Meta Pixel lagres etter Metas vilkår. Levetiden til de enkelte informasjonskapslene står i punkt 8. Feilovervåkingsdata: Sentry oppbevarer tekniske feildata i 90 dager. Sesjonsavspilling er slått av, og personopplysninger (e-postadresser, telefonnumre, betalingsidentifikatorer) fjernes automatisk fra feilrapportene før de sendes. Kommunikasjonslogger: E-post- og SMS-leveringslogger oppbevares i 30 dager for feilsøkingsformål. SMS-leverandøren valgt av virksomheten oppbevarer egne logger etter sine egne vilkår. Etter kontosletting slettes alle personopplysninger innen 30 dager, med unntak av tilfeller der lovkrav pålegger lengre oppbevaring. Brukere kan be om tidligere sletting ved å kontakte resovu@resovu.com, underlagt lovpålagte oppbevaringsforpliktelser.

7. Dine rettigheter

I samsvar med GDPR har du følgende rettigheter: Rett til innsyn (art. 15): Du har rett til å få bekreftet om personopplysninger om deg behandles, og i så fall få tilgang til opplysningene og motta en kopi. Rett til retting (art. 16): Du har rett til å be om retting av unøyaktige personopplysninger eller utfylling av ufullstendige opplysninger. Rett til sletting / rett til å bli glemt (art. 17): Du har rett til å be om sletting av dine personopplysninger når de ikke lenger er nødvendige for formålet de ble samlet inn for, når du trekker tilbake samtykket, eller når det ikke er noe annet rettslig grunnlag for behandlingen. Rett til begrensning av behandling (art. 18): Du har rett til å be om begrensning av behandling under visse omstendigheter, for eksempel når du bestrider nøyaktigheten av opplysningene. Rett til dataportabilitet (art. 20): Du har rett til å motta dine personopplysninger i et strukturert, alminnelig brukt og maskinlesbart format (CSV-eksport er tilgjengelig i Resovu-dashbordet). Rett til innsigelse (art. 21): Du har rett til å protestere mot behandling basert på berettiget interesse. Vi vil stanse behandlingen med mindre vi kan påvise tvingende berettigede grunner. Rett til å trekke tilbake samtykke (art. 7(3)): Der behandlingen er basert på samtykke, kan du trekke samtykket tilbake når som helst. Tilbaketrekning påvirker ikke lovligheten av behandling som skjedde før tilbaketrekningen. Rett til å klage: Du har rett til å inngi en klage til en tilsynsmyndighet, spesielt det tsjekkiske datatilsynet (ÚOOÚ, www.uoou.cz). For å utøve noen av disse rettighetene, kontakt oss på resovu@resovu.com. Vi svarer innen 30 dager. Identitetsverifisering kan kreves. Det er ingen avgift for å utøve disse rettighetene, med mindre forespørslene er åpenbart grunnløse eller uforholdsmessige.

8. Informasjonskapsler og lignende teknologier

Nettstedet resovu.com (markedsføringssider, blogg, registrering og innlogging): Nødvendige informasjonskapsler er alltid aktive. Analyse- og markedsføringsverktøy kjører vi bare med ditt samtykke. – I EU/EØS og Storbritannia lastes verken Google Tag Manager eller noen av disse verktøyene før du gir samtykke. Vi bruker Google Consent Mode v2 i grunnmodus, så ikke engang anonyme signaler sendes til Google før samtykke. – Utenfor disse landene lastes verktøyene med en gang, og du kan reservere deg. – Regionen fastslår vi ut fra IP-adressen. Hvis den ikke kan fastslås, går vi fram som i EU. Resovu-administrasjonen og bedriftenes sider (offentlig profil, bestilling, gavekort, betalinger, avbestilling og angrerett, anmeldelser, kundeportal, innsjekking på nett og widgeten på bedriftens nettsted): Resovu kjører ingen egne analyse-, opptaks- eller reklameverktøy her og bruker bare nødvendige informasjonskapsler. – Hvis en bedrift kobler til sin egen Google Analytics 4 eller Meta Pixel, vises et banner med bedriftens navn. Disse verktøyene starter først etter ditt samtykke. – Behandlingsansvarlig for disse dataene er bedriften, som gir detaljer i sin egen personvernerklæring (lenke i bunnteksten på sidene). – Samtykke gitt på resovu.com og samtykke gitt til en bedrift overføres ikke til hverandre. Nødvendige informasjonskapsler (alltid aktive): – cc_cookie: ditt valg av informasjonskapsler på resovu.com, 182 dager – cc_tenant_*: ditt valg av informasjonskapsler på bedriftens sider, 182 dager – sb-*-auth-token: innlogging, for økten – locale: språk, 1 år – admin_locale: språk i administrasjonen, 1 år – rv_lang_*: språket du valgte på en bedrifts sider, 1 år – geo_consent_region: region for samtykkemodus, 182 dager – _rpc: husker valget ditt om kundeportalen ved bestilling; lagrer bare en hash av e-posten, ikke selve e-posten, 60 dager – rv_wl_offer: tilbud om plass fra ventelisten, 1 dag Analyseinformasjonskapsler (bare med samtykke): – _ga, _ga_*: Google Analytics 4, besøksstatistikk, 2 år. GA4 lagrer ikke IP-adresser. – _clck (1 år), _clsk (1 dag): Microsoft Clarity. Registrerer musebevegelser, klikk og rulling slik at vi ser hvor nettstedet er uoversiktlig. Innholdet i skjemafelt maskeres og kommer ikke med i opptaket. Markedsføringsinformasjonskapsler (bare med samtykke): – _fbp: Meta Pixel, måling av annonseeffekt, 90 dager Lignende teknologier: Til små innstillinger bruker vi også nettleserens lagring (localStorage), for eksempel for å huske at du har takket nei til tilbudet om et annet språk. Hvis vi tar i bruk et nytt verktøy, legger vi det til her før vi slår det på. Du kan når som helst endre eller trekke tilbake valget ditt via «Informasjonskapsler» i bunnteksten. Informasjonskapsler som allerede er lagret, sletter du i nettleserens innstillinger.

9. Barns opplysninger

Bare personer over 18 år kan opprette en Resovu-konto. Virksomheter som bruker Resovu – blant dem barneaktiviteter, kurs og leirer – kan likevel samle inn opplysninger om barn i bestillingsskjemaet sitt, typisk barnets navn. Da er den aktuelle virksomheten behandlingsansvarlig for disse opplysningene, og Resovu behandler dem utelukkende etter dens instruks, som databehandler. Alderen der et barn kan samtykke selv, varierer mellom landene vi betjener (Tyskland, Polen, Ungarn og Slovakia 16 år, Tsjekkia og Frankrike 15, Spania 14, Norge 13); under denne alderen gis samtykket av foresatte, og virksomheten er ansvarlig for å innhente det. Tror du barnets opplysninger behandles uten rettslig grunnlag, skriv til resovu@resovu.com, så setter vi deg i kontakt med den behandlingsansvarlige eller sletter opplysningene etter dens instruks.

10. Automatisert beslutningstaking

Resovu utfører ikke automatisert beslutningstaking eller profilering i henhold til GDPR artikkel 22 som ville ha rettslige eller tilsvarende betydelige virkninger for de registrerte. Automatisert behandling er begrenset til: rate limiting, sortering og filtrering av bestillinger, automatisk utsendelse av bekreftelser og påminnelser.