Personvernerklæring – Flow Behandler

Flow Behandler er et arbeidsverktøy levert av VaVa Studio til skjønnhets- og hudpleiesalonger. Appen brukes av salongenes ansatte (behandlere, ledere og eiere), som logger inn med kontoer salongen oppretter for dem. Det er ingen offentlig selvregistrering.

Kontakt for personvern- og slettehenvendelser: hallo@vavastudio.no.

Flow Behandler er et internt verktøy for å se timer og bookinger, føre behandlingsjournal, ta før- og etterbilder for behandlingsdokumentasjon, og – for ledere og eiere – se driftsnøkkeltall for egen salong.

Appen er ikke et medisinsk utstyr og brukes ikke til å stille diagnose, behandle eller forebygge sykdom.

Salongen du er ansatt i eller arbeider for, er behandlingsansvarlig for opplysningene som registreres om salongens kunder og ansatte. VaVa Studio er databehandler og behandler opplysningene på salongens vegne, etter salongens instruks og regulert i en databehandleravtale.

Hver salong har sin egen personvernerklæring overfor sine kunder. Denne erklæringen er plattformens (VaVa Studio) og beskriver hvordan plattformen behandler data på vegne av salongene.

Per salong, logisk adskilt fra øvrige salonger:

• Kundens helseopplysninger (særlige kategorier, GDPR art. 9): journalnotater, allergier, konsultasjon, og før- og etterbilder av hud eller behandlingsområde.
• Personopplysninger om kunder: navn, kontaktinformasjon, bookinghistorikk og samtykker.
• Personopplysninger om ansatte: navn, kontaktinformasjon, innlogging, vaktplan og stempling.
• Forretningsdata: omsetnings- og oppgjørsnøkkeltall (kun lesing, kun for ledere og eier i egen salong).
• Tekniske opplysninger: enhets-token for varsler (push), og feil-/diagnostikkdata ved behov.

Vi behandler ikke flere opplysninger enn det som er nødvendig for formålene (dataminimering).

Opplysningene behandles for å levere behandling og journalføring (helsehjelp, GDPR art. 9 nr. 2 bokstav h; samtykke der det kreves, for eksempel foto eller markedsføring, art. 6 nr. 1 bokstav a og art. 9 nr. 2 bokstav a), og for å drifte salongen.

Behandlingsansvarlig (salongen) fastsetter formålene; VaVa Studio behandler kun etter salongens instruks.

Helsedata behandles kun for behandlings- og dokumentasjonsformål. De brukes aldri til ansettelses- eller forsikringsbeslutninger, og deles ikke for sosial deling.

Hver salongs data er logisk adskilt og tilgangsstyrt på server med rad-nivå-sikkerhet (Row Level Security), slik at én salong aldri ser en annen salongs data. Tilgang er rolle- og salong-scoped.

Data lagres hos vår under-databehandler (Supabase) innenfor EØS, i Stockholm (AWS eu-north-1). All overføring er kryptert med HTTPS/TLS. Helsefelter er kryptert i databasen (kryptering at-rest), og bilder ligger i privat lager med samtykke-kontroll. Tilgang er rolle- og salong-scoped.

Vi selger ikke personopplysninger og deler dem ikke til annonsering. Under-databehandlere behandler data på våre og salongens vegne, under avtale:

• Supabase – database, innlogging, lagring og drift (Stockholm, EØS).
• Google og Apple – levering av push-varsler til mobilenheter.

Oppbevaringstid styres av behandlingsansvarlig salong. Journal- og helsedata oppbevares så lenge dokumentasjonsplikten krever.

Du har rett til innsyn, retting, sletting (art. 17), begrensning og dataportabilitet.

• Er du kunde hos en salong? Rett henvendelsen til salongen (behandlingsansvarlig). VaVa Studio bistår salongen med å oppfylle forespørselen.
• Generelle henvendelser om plattformen, eller ønske om sletting av plattformdata: hallo@vavastudio.no.

Ansattkontoer opprettes av salongen (ikke i appen). Du kan klage til Datatilsynet.

Vi kan oppdatere denne erklæringen ved behov. Gjeldende versjon er merket med dato øverst. Vesentlige endringer varsles i appen eller på denne siden.

Sist oppdatert: 29. juni 2026