Personvernerklæring

VaVa Flow er et bransjesystem for booking, kunderegister, journal, kasse og kommunikasjon for skjønnhets- og hudpleiesalonger. Plattformen leveres av VaVa Studio (heretter «VaVa», «vi», «oss»).

Denne erklæringen handler om hvordan vi behandler personopplysninger. Den viktigste tingen å forstå er at vi har to forskjellige roller:

1. Behandlingsansvarlig for opplysninger om salongens egen konto, brukere (administratorer og ansatte) og abonnements-/fakturaforholdet mellom salongen og oss. For disse opplysningene bestemmer vi formål og midler.
2. Databehandler for opplysninger om salongens egne kunder (booking, kunderegister, journal/helsedata). Her er det den enkelte salongen som er behandlingsansvarlig, og vi behandler opplysningene kun på salongens vegne og etter salongens instruks, regulert i en databehandleravtale.

Dine rettigheter: Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet, å protestere mot behandling og å trekke tilbake samtykke. Du kan klage til Datatilsynet. Se punkt 13 og 14.

Kontakt for personvernspørsmål: kontakt@vavastudio.no.

Resten av erklæringen (punkt 2 og utover) gir detaljene.

For opplysningene VaVa er behandlingsansvarlig for (salongens konto-, bruker- og fakturadata), er behandlingsansvarlig:

• Virksomhet: ANFINSEN VAVA STUDIO (enkeltpersonforetak)
• Organisasjonsnummer: 937 752 296
• Forretningsadresse: Dovregubben 2E, 1535 Moss
• E-post for personvernhenvendelser: kontakt@vavastudio.no

For opplysninger om salongenes sluttkunder er det den enkelte salongen som er behandlingsansvarlig. Salongens kontaktinformasjon finnes hos salongen selv og i salongens egen personvernerklæring.

Personvernombud

Det er per nå ikke utpekt personvernombud (DPO) for virksomheten. Henvendelser om personvern rettes til kontaktadressen over.

Denne erklæringen beskriver:

• Behandling der VaVa er behandlingsansvarlig (salong-konto, brukere, abonnement, fakturering, support, sikkerhet, drift og produktforbedring).
• Hvordan vi som databehandler behandler salongens kundedata på salongens vegne, slik at du som sluttkunde forstår hvor opplysningene dine ligger og hvilke underleverandører som er involvert.

Den dekker ikke salongens egne formål med kundedata, samtykkeinnhenting eller markedsføring. Det reguleres av salongens egen personvernerklæring, der salongen er behandlingsansvarlig.

Dette er det viktigste særtrekket ved VaVa Flow, og vi gjør det derfor eksplisitt.

4.1 VaVa som behandlingsansvarlig

For følgende opplysninger bestemmer VaVa selv formål og midler, og er behandlingsansvarlig:

• Salongens konto og oppsett.
• Brukere hos salongen (administratorer og ansatte): navn, e-post, telefon, rolle, innlogging.
• Abonnements- og avtaleforholdet mellom salongen og VaVa.
• Fakturering av abonnementet fra salongen til VaVa (via Fiken).
• Kundesupport, sikkerhet, feilsøking, drift og produktforbedring.

4.2 VaVa som databehandler

For følgende opplysninger er salongen behandlingsansvarlig, og VaVa er databehandler som kun behandler etter salongens dokumenterte instruks:

• Salongens kunderegister (navn, kontaktinformasjon, bookinghistorikk).
• Bookinger og kjøpshistorikk.
• Journal-/behandlingsdata, herunder eventuelle helseopplysninger som allergier, hudtilstand og behandlingsnotater (særlige kategorier, se punkt 7).

Vi behandler ikke salongens kundedata til egne formål. Vi har inngått, eller inngår, databehandleravtale etter GDPR art. 28 med hver salong. Som sluttkunde retter du rettighetshenvendelser til salongen din; vi bistår salongen teknisk.

Vi behandler personopplysninger til følgende formål.

Som behandlingsansvarlig (salong-konto m.m.)

1. Opprette og administrere salongens konto, brukere og tilganger.
2. Levere funksjonaliteten i plattformen (booking, kasse, journal, kommunikasjon) til salongen.
3. Fakturere abonnementet fra salongen til VaVa.
4. Yte kundesupport og besvare henvendelser.
5. Ivareta sikkerhet, oppdage og forebygge misbruk, feilsøke og drifte tjenesten.
6. Forbedre og videreutvikle produktet, herunder bruk av aggregert/statistisk innsikt.

Som databehandler (på vegne av salongen)

7. Lagre og gjøre tilgjengelig salongens kunderegister.
8. Gjennomføre og administrere bookinger og kjøp.
9. Lagre journal-/behandlingsdata salongen registrerer.
10. Sende bookingbekreftelser, påminnelser og andre meldinger på salongens vegne.

Formålene under punkt 7 til 10 er styrt av salongen som behandlingsansvarlig.

Vi kobler hvert formål til et lovlig behandlingsgrunnlag.

Berettiget interesse (art. 6 nr. 1 bokstav f): Der vi bygger på berettiget interesse, er interessen å kunne drive en sikker, stabil og forbedret tjeneste. Vi har vurdert at denne interessen ikke overstiges av dine interesser eller grunnleggende rettigheter. Du kan protestere mot slik behandling, se punkt 13.

Viktig avgrensning: Avtale som grunnlag dekker kun behandling som er objektivt nødvendig for å levere tjenesten. Behandling som er nyttig for oss, men ikke nødvendig for selve leveransen, bygger vi på berettiget interesse eller samtykke.

Markedsføring: Eventuell elektronisk markedsføring fra salongen til deg som kunde bygger på samtykke eller eksisterende kundeforhold etter markedsføringsloven, og styres av salongen som behandlingsansvarlig.

Salongene kan registrere opplysninger som regnes som særlige kategorier etter art. 9, typisk allergier, hudtilstand og behandlingsnotater i journalen.

• For disse opplysningene er VaVa databehandler. Det er salongen som er behandlingsansvarlig og som har ansvaret for å sikre et gyldig grunnlag etter art. 9, typisk uttrykkelig samtykke (art. 9 nr. 2 bokstav a) eller helsehjelp-unntaket (art. 9 nr. 2 bokstav h).
• VaVa behandler slike opplysninger kun etter salongens instruks.
• Helseopplysninger lagres kryptert i databasen (kryptering at-rest) og ligger innenfor EØS, se punkt 10 og 11.

8.1 Opplysninger VaVa er behandlingsansvarlig for

• Navn, e-post, telefonnummer og rolle for salongens administratorer og ansatte.
• Innloggings- og kontoopplysninger.
• Tekniske opplysninger: IP-adresse, enhets-/logginformasjon, tidsstempler.
• Faktura- og betalingsopplysninger for abonnementet (salong til VaVa).

8.2 Opplysninger VaVa behandler på vegne av salongen (som databehandler)

• Navn og kontaktinformasjon for salongens kunder.
• Bookinghistorikk og kjøps-/betalingsopplysninger (betalingsreferanser; kortdata lagres ikke hos oss, se punkt 9).
• Behandlingspreferanser og notater.
• Journal-/helseopplysninger (særlige kategorier, se punkt 7).

Vi behandler ikke flere opplysninger enn det som er nødvendig for de angitte formålene (dataminimering).

For å levere tjenesten bruker vi underleverandører som behandler personopplysninger på våre og salongenes vegne. Vi inngår databehandleravtale med disse, og pålegger dem samme forpliktelser som vi selv har.

Overføring skjer primært innenfor EØS. Eventuelle underleverandører eller deler av tjenester utenfor EØS skjer under EU-kommisjonens standard personvernbestemmelser (SCC) eller en gyldig adekvansbeslutning. Se punkt 10.

Hoveddelen av personopplysningene lagres innenfor EØS, i Stockholm (Supabase på AWS, eu-north-1). Helseopplysninger forlater ikke EØS og lagres kryptert.

Enkelte underleverandører kan likevel innebære overføring til land utenfor EØS, for eksempel enkelte deler av betalingstjenester. Der overføring skjer, bygger den på et gyldig overføringsgrunnlag, typisk EU-kommisjonens standard personvernbestemmelser (SCC) og/eller en gyldig adekvansbeslutning.

Vi lagrer personopplysninger så lenge det er nødvendig for formålet, eller så lenge loven krever.

Vi har tekniske og organisatoriske tiltak for å beskytte personopplysningene, blant annet:

• Kryptering at-rest av særlige kategorier (helseopplysninger).
• Lagring innenfor EØS (Stockholm).
• Tilgangsstyring basert på roller, og isolasjon mellom salonger i databasen (Row Level Security).
• Flerfaktorautentisering på administratorkontoer og innloggingssperre.
• Logging av tilgang og endringer, og uforanderlige spor for sensitive operasjoner.
• Rutiner for sikkerhetskopiering og gjenoppretting.

Vi beskriver tiltakene på et overordnet nivå for ikke å avsløre detaljer som kan svekke sikkerheten.

Du har følgende rettigheter etter personvernforordningen:

• Innsyn i hvilke opplysninger vi behandler om deg (art. 15).
• Retting av uriktige opplysninger (art. 16).
• Sletting («retten til å bli glemt») (art. 17).
• Begrensning av behandlingen (art. 18).
• Dataportabilitet, å få utlevert opplysningene i et maskinlesbart format (art. 20).
• Innsigelse mot behandling basert på berettiget interesse, og mot direkte markedsføring (art. 21).
• Å trekke tilbake samtykke der behandlingen bygger på samtykke. Tilbaketrekking påvirker ikke lovligheten av behandling utført før tilbaketrekkingen.

Hvordan utøve rettighetene

• Er du kunde hos en salong? Kontakt salongen din. Salongen er behandlingsansvarlig for opplysningene om deg, og vi bistår salongen teknisk med å oppfylle forespørselen.
• Gjelder det din egen salong-konto hos VaVa (administrator/ansatt)? Kontakt oss på kontakt@vavastudio.no.

Vi, eller salongen, svarer uten ugrunnet opphold og senest innen én måned.

Hvis du mener vi behandler personopplysninger i strid med regelverket, kan du klage til tilsynsmyndigheten. Vi oppfordrer deg til å kontakte oss, eller salongen din, først, slik at vi kan rette opp.

• Datatilsynet: www.datatilsynet.no

For å opprette en salong-konto eller for å gjennomføre en booking må visse opplysninger oppgis, typisk navn og kontaktinformasjon. Uten disse kan vi, eller salongen, ikke levere tjenesten eller gjennomføre bookingen.

Vi treffer ikke helautomatiserte avgjørelser som har rettsvirkning for deg eller på tilsvarende måte i betydelig grad påvirker deg, etter GDPR art. 22.

Opplysninger om salongens administratorer og ansatte får vi direkte fra salongen eller fra brukeren selv ved registrering.

Opplysninger om salongens kunder mottar vi fra salongen, og/eller de registreres når kunden selv bestiller time eller oppretter konto via plattformen. Som databehandler for disse opplysningene viser vi til salongens egen personvernerklæring for nærmere informasjon om kilde og behandling.

Vi bruker informasjonskapsler og lignende teknologi der det er nødvendig for at tjenesten skal fungere, og for personvernvennlig webanalyse uten personidentifiserende data. Der det kreves samtykke for cookies, innhentes dette.

Vi kan oppdatere denne erklæringen ved behov, for eksempel ved endringer i tjenesten, underleverandører eller regelverk. Gjeldende versjon er merket med dato øverst. Ved vesentlige endringer varsler vi på egnet måte.

Sist oppdatert: 21. juni 2026