Juridisk

FlowBook leveres af Jozeph ApS, Jernbanegade 33, 4000 Roskilde, CVR 38178407 ("FlowBook", "vi" eller "os"). Du kan kontakte os om alt, der handler om persondata, på kontakt@flowbook.dk.

FlowBook er dataansvarlig for oplysninger om vores egne kunder og brugere: saloners konti og abonnementer, henvendelser via hjemmesiden, nyhedsbrev, support, sikkerhed og login til kundeportalen.

Når en salon bruger FlowBook til at registrere sine kunder, bookinger og medarbejdere, er salonen dataansvarlig for de oplysninger, og FlowBook behandler dem kun på salonens vegne som databehandler efter databehandleraftalen. Spørgsmål om en konkret booking eller om de oplysninger, en salon har om dig, skal derfor som udgangspunkt rettes til salonen. Vi hjælper salonen med at svare.

Brugere og saloner: navn, email, telefonnummer, profilbillede, rolle, salonens navn, adresse og virksomhedsoplysninger, login- og sessionsoplysninger samt engangskoder, der sendes på SMS eller email for at bekræfte en konto.

Abonnement og betaling: plan, betalingsperiode, abonnementsstatus, SMS-kreditter, fakturaer og betalingsreferencer. Betalingskort indtastes hos Stripe; FlowBook modtager ikke det fulde kortnummer eller CVC.

Henvendelser via hjemmesiden: når du beder om en demo, skriver til os eller tilmelder dig nyhedsbrevet, behandler vi de oplysninger, du selv indtaster, typisk navn, email, telefonnummer, virksomhedens navn og branche, ønsket tidspunkt og din besked. For at begrænse misbrug gemmer vi midlertidigt en hashværdi af netværksadressen, ikke selve adressen.

Support og sikkerhed: supporthenvendelser og svar, tekniske logs over login, fejl og vigtige handlinger i systemet.

Kundeportalen: hvis du som salonkunde opretter et login, behandler vi dit navn, din email eller dit telefonnummer og dine loginoplysninger. Dine bookinger og kundeoplysninger hos den enkelte salon behandles på salonens vegne.

På vegne af saloner behandler tjenesten blandt andet kunders kontaktoplysninger, bookinghistorik, aflysninger, udeblivelser, noter, gruppe- og samtykkeoplysninger og kommunikationshistorik samt medarbejderes kontaktoplysninger, rolle, arbejdstider, fravær, ydelser og driftsstatistik. Saloner og brugere må ikke skrive unødvendige følsomme oplysninger i fritekstfelter.

AI-funktionerne er deaktiveret. Der sendes derfor ikke tekst eller kundedata til en AI-leverandør.

Oprette og drive konti, levere tjenesten og sende nødvendige driftsbeskeder: opfyldelse af aftalen med salonen, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra b. For de personer, der bruger en salons konto, bygger behandlingen på vores og salonens legitime interesse i, at tjenesten kan bruges, jf. litra f.

Abonnement, fakturering og bogføring: opfyldelse af aftalen (litra b) og vores retlige forpligtelser efter bogføringsloven (litra c).

Besvare demo-, support- og andre henvendelser: skridt på din anmodning før en aftale eller opfyldelse af en aftale (litra b) og vores legitime interesse i at kunne besvare henvendelser fra virksomheder (litra f).

Nyhedsbrev: dit samtykke (litra a) og markedsføringslovens § 10. Du kan altid afmelde dig via linket i nyhedsbrevet eller ved at skrive til os.

Sikkerhed, forebyggelse af misbrug og fejlretning: vores legitime interesse i at beskytte tjenesten, vores kunder og deres data (litra f).

Retskrav: vores legitime interesse i at kunne fastlægge, gøre gældende og forsvare et retskrav (litra f).

Når vi bygger på legitim interesse, har vi vurderet, at interessen ikke overstiges af dine interesser, fordi behandlingen er begrænset til det nødvendige og er forventelig i et forretningsforhold. Du kan gøre indsigelse, se punkt 8.

Vi sælger ikke personoplysninger. Vi bruger disse leverandører, som kun modtager de oplysninger, der er nødvendige for den konkrete funktion:

Supabase Inc. (USA): database, login, filer og serverfunktioner. Data opbevares i et datacenter i Stockholm, Sverige (AWS eu-north-1).

Netlify Inc. (USA): drift af hjemmesiden og webappen. Netlify behandler tekniske oplysninger som netværksadresse og browserdata, når siden vises.

Resend Inc. (USA): afsendelse af emails, fx bookingbekræftelser, påmindelser og loginlinks.

OnlineCity.IO ApS, GatewayAPI (Danmark): afsendelse af SMS, fx påmindelser og engangskoder.

Stripe Payments Europe Ltd. (Irland): betaling og abonnement. Stripe er selvstændig dataansvarlig for en del af sin behandling, blandt andet for at forebygge svindel.

Vores emails henter skrifttypen Sora fra Google Fonts, når din emailklient viser eksternt indhold. Google modtager i så fald din netværksadresse.

Når en leverandør eller dennes underleverandør behandler oplysninger uden for EU/EØS, sker det på et gyldigt overførselsgrundlag, fx EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser. Du kan få en kopi af grundlaget ved at kontakte os.

Vi kan desuden videregive oplysninger til myndigheder, revisor eller rådgivere, når loven kræver det, eller det er nødvendigt for et retskrav.

Konto- og abonnementsoplysninger: så længe kontoen er aktiv. Når et abonnement er ophørt, og kontoen lukkes, sletter eller anonymiserer vi salonens konto og data senest 90 dage efter ophøret, så salonen har tid til at eksportere sine data.

Regnskabs- og betalingsmateriale: fem år fra udgangen af det regnskabsår, materialet vedrører, jf. bogføringsloven.

Demo-, kontakt- og prøveperiodehenvendelser: slettes senest 12 måneder efter den seneste kontakt, hvis henvendelsen ikke fører til et kundeforhold.

Nyhedsbrev: indtil du afmelder dig. Dokumentation for samtykke og afmelding gemmes i op til to år efter afmeldingen.

Supporthenvendelser: op til to år efter, at sagen er lukket.

Sikkerheds- og systemlogs: op til 12 måneder. Engangskoder og forsøg på login med kode slettes automatisk efter kort tid, normalt inden for et døgn.

Backupkopier slettes løbende efter leverandørens backupcyklus, normalt inden for 30 dage. Oplysninger kan opbevares længere, hvis det er nødvendigt for et konkret retskrav.

Salonen fastsætter selv slettefrister for sine kunde- og medarbejderdata. FlowBook har funktioner til dataeksport, kontosletning og automatisk oprydning, som salonen styrer.

Adgang til salondata er begrænset efter bruger, rolle og salon. Data sendes krypteret, og databasen er krypteret, når data ligger lagret. Vi bruger blandt andet adgangskontrol på databaseniveau, sessionsstyring og logning af vigtige handlinger. FlowBooks egne medarbejdere tilgår kun en salons data, når det er nødvendigt for support eller drift. Ingen internetbaseret tjeneste kan garanteres helt risikofri. Ved mistanke om misbrug eller et brud på persondatasikkerheden skal du kontakte kontakt@flowbook.dk hurtigst muligt.

Du har efter databeskyttelsesreglerne ret til indsigt, berigtigelse, sletning, begrænsning af behandling og dataportabilitet. Hvis en behandling bygger på samtykke, kan du til enhver tid trække samtykket tilbage, uden at det påvirker lovligheden af den tidligere behandling.

Du har ret til at gøre indsigelse mod behandling, der bygger på vores legitime interesse. Du kan altid gøre indsigelse mod brug af dine oplysninger til direkte markedsføring, og så stopper vi.

Skriv til kontakt@flowbook.dk for at bruge dine rettigheder. Vi svarer inden for en måned. Hvis henvendelsen handler om en salons kundedata, sender vi den videre til salonen og hjælper den med at svare. Vi kan bede om oplysninger, der er nødvendige for at bekræfte din identitet. Du kan klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, datatilsynet.dk.

FlowBook bruger ikke cookies. Vi sætter ingen cookies, hverken til statistik, markedsføring eller andet, og derfor viser vi heller ikke et cookiebanner.

For at tjenesten virker, gemmer FlowBook nogle få oplysninger lokalt i din browser. Det er teknisk nødvendigt og ikke cookies: loginoplysninger, så du forbliver logget ind, dit valg af lyst eller mørkt tema og lokale visningsindstillinger, for eksempel i kalenderen. Kundeportalen bruger en separat lokal sessionsnøgle, så en salonbruger og en salonkunde kan være logget ind i samme browser uden at overskrive hinanden. Oplysningerne deles ikke med andre.

Betaling sker på Stripes egen betalingsside, hvor Stripes regler for cookies gælder. Du kan slette lokal lagring i browseren; det kan logge dig ud og nulstille lokale indstillinger. Hvis vi en dag tager cookies i brug, opdaterer vi denne politik og indhenter samtykke, hvor det kræves.

Vi opdaterer politikken, når tjenesten, leverandørerne eller reglerne ændrer sig. Den gældende version og dato vises på denne side. Væsentlige ændringer meddeles i tjenesten eller via email.

FlowBook leveres af Jozeph ApS, Jernbanegade 33, 4000 Roskilde, CVR 38178407 ("FlowBook" eller "vi"). Kontakt: kontakt@flowbook.dk.

Tjenesten er beregnet til erhvervsdrivende, der arbejder med tidsbestilling, for eksempel frisører, barberer, negle- og skønhedssaloner, massører og klinikker. I vilkårene kaldes kunden "salonen". Aftalen er en aftale mellem erhvervsdrivende, og forbrugerbeskyttende regler, herunder fortrydelsesretten, gælder derfor ikke. Den person, der opretter eller køber et abonnement, bekræfter at have ret til at indgå aftalen på virksomhedens vegne.

Aftalen består af disse servicevilkår, databehandleraftalen og den plan og pris, der vises før køb. Ved uoverensstemmelse om behandling af personoplysninger går databehandleraftalen forud.

FlowBook er en webbaseret tjeneste til blandt andet kalender, online booking, kundeportal, kundeadministration, medarbejderplanlægning, påmindelser, kommunikation og driftsoversigt. De konkrete funktioner og brugsgrænser følger den valgte plan og den beskrivelse, der vises før køb.

Salonen er ansvarlig for sine ydelser, priser, åbningstider, medarbejdere, kundeaftaler og det indhold, salonen indtaster eller sender. FlowBook er ikke part i aftalen mellem salonen og salonens kunder og leverer ikke frisør- eller behandlingsydelser. FlowBook er ikke et journalsystem og må ikke bruges til patientjournaler eller helbredsoplysninger ud over det, der er strengt nødvendigt for en booking.

Kontooplysninger skal være korrekte og holdes opdaterede. Brugere skal beskytte deres login og må ikke dele personlige brugerprofiler. Salonen administrerer medarbejdernes roller og skal fjerne adgangen, når en person ikke længere skal bruge systemet. Mistanke om misbrug skal straks meddeles til kontakt@flowbook.dk.

De aktuelle standardpriser er 199 kr. pr. måned for Solo, 399 kr. pr. måned for Team og 899 kr. pr. måned for Salon. Alle priser er ekskl. moms. Ved årsbetaling betales prisen for ti måneder for en periode på tolv måneder. Den valgte plan, betalingsperiode, samlede pris og eventuel rabat vises før betaling.

Abonnementet betales forud for hver periode og fornyes automatisk for samme periode, indtil det opsiges. Betaling og betalingskort håndteres af Stripe, og fakturaer kan hentes i betalingsportalen. Salonen er ansvarlig for gyldige betalingsoplysninger. Ved manglende betaling kan nye handlinger i systemet begrænses, indtil betalingen er på plads, mens adgang til fakturering og salonens data så vidt muligt bevares. Data slettes ikke alene på grund af en betalingsfejl.

Nye kunder får den første kalendermåned gratis, når de opretter et abonnement første gang. Tilbuddet gælder én gang pr. virksomhed og emailadresse og kan ikke kombineres med en tidligere prøveperiode eller et tidligere abonnement. Betalingskort registreres hos Stripe, og der betales 0 kr. ved oprettelsen. Slutdato, efterfølgende pris og betalingsperiode vises før bekræftelse. Prøveperioden fortsætter som et betalt abonnement, medmindre salonen opsiger inden udløbet. Opsiges der inden, betales intet.

Kampagnekoder kan have særskilte vilkår, udløbsdatoer og begrænsninger. Den rabat, der faktisk gælder, vises i betalingsforløbet.

Der er ingen binding. Abonnementet kan opsiges når som helst i betalingsportalen, også efter en gratis prøveperiode. En opsigelse standser næste fornyelse, og adgangen fortsætter til udløbet af den allerede betalte periode. Allerede betalte abonnementer og købte SMS-pakker refunderes ikke, heller ikke delvist, medmindre andet udtrykkeligt er aftalt eller følger af ufravigelig lov.

Salonen er ansvarlig for, at kontaktoplysninger er korrekte, og at bookingbeskeder og markedsføring har et lovligt grundlag. Marketingfunktioner må kun bruges til modtagere med gyldigt samtykke eller andet lovligt grundlag, og afmeldinger skal respekteres.

Inkluderede SMS-kreditter følger den valgte plan og betalingsperiode og overføres ikke til næste periode. Der kan købes ekstra SMS-pakker; pris og antal vises før køb. Købte kreditter kan bruges, så længe abonnementet er aktivt, og bortfalder ved ophør. Levering af email og SMS afhænger af tredjepartsnetværk og kan ikke garanteres.

Salonen ejer sine data og materialer og giver FlowBook den begrænsede ret, der er nødvendig for at levere, sikre og supportere tjenesten. Salonen skal have lovligt grundlag for de personoplysninger og det materiale, den indlæser.

Salonen er dataansvarlig for oplysninger om sine kunder og medarbejdere, og FlowBook er databehandler. Behandlingen sker efter databehandleraftalen, som salonens administrator accepterer i tjenesten, og som er en del af denne aftale. Privatlivspolitikken beskriver, hvornår FlowBook selv er dataansvarlig. Brugere må ikke indtaste ulovligt indhold, skadelig kode eller unødvendige følsomme oplysninger.

Hver part skal holde fortrolige oplysninger om den anden part fortrolige, også efter aftalens ophør.

Support ydes via kontakt@flowbook.dk og supportfunktionen i appen på hverdage. Vi svarer normalt inden for én hverdag. Der gives ingen garanti for oppetid eller svartid.

Vi tilstræber stabil drift, men kan foretage vedligeholdelse, sikkerhedsopdateringer og ændringer af tjenesten. Planlagt vedligeholdelse lægges så vidt muligt uden for normal åbningstid. Væsentlige forringelser af betalte kernefunktioner varsles mindst 30 dage før.

Prisændringer varsles via email mindst 30 dage før, de træder i kraft, og gælder fra den næste fornyelse efter varslet. Salonen kan opsige inden den nye pris træder i kraft.

Vi kan begrænse eller suspendere adgang, hvis det er nødvendigt for sikkerhed, lovkrav, manglende betaling eller væsentlig misligholdelse. Hvor situationen tillader det, får salonen besked og mulighed for at rette forholdet først. FlowBook må ikke bruges til ulovlig overvågning, spam, chikane eller behandling af oplysninger uden lovligt grundlag.

Hver part er ansvarlig efter dansk rets almindelige regler med de begrænsninger, der følger af dette punkt. FlowBook er ikke ansvarlig for indirekte tab, herunder driftstab, tabt omsætning, tabt avance, tabte data, der kunne være eksporteret, eller tab, der skyldes salonens opsætning, salonens indhold, tredjepartstjenester eller manglende internetforbindelse.

FlowBooks samlede ansvar efter aftalen er begrænset til det beløb, salonen har betalt for tjenesten i de 12 måneder før det forhold, der begrunder kravet. Begrænsningerne gælder ikke ved forsæt eller grov uagtsomhed eller for ansvar, der ikke lovligt kan begrænses.

Ingen part er ansvarlig for manglende opfyldelse, der skyldes forhold uden for partens kontrol, som parten ikke burde have forudset, for eksempel nedbrud hos internet-, hosting- eller telefoniudbydere, strømsvigt, cyberangreb, krig, naturkatastrofer, strejke eller myndighedspåbud.

Inden ophør kan salonen eksportere sine data i tjenesten. Senest 90 dage efter ophør sletter eller anonymiserer FlowBook salonens konto og salondata efter privatlivspolitikken og databehandleraftalen, dog med undtagelse af oplysninger, der skal bevares efter loven, fx bogføringsmateriale.

Vi kan ændre vilkårene. Væsentlige ændringer til ugunst for salonen varsles mindst 30 dage før, de træder i kraft, og salonen kan opsige inden. Den gældende version og dato vises på den juridiske side, og nye versioner skal accepteres i tjenesten.

Aftalen er underlagt dansk ret. Tvister søges først løst ved dialog og afgøres ellers ved de almindelige danske domstole ved FlowBooks hjemting.

Denne databehandleraftale indgås mellem salonen, som bruger FlowBook ("den dataansvarlige"), og Jozeph ApS, Jernbanegade 33, 4000 Roskilde, CVR 38178407, der leverer FlowBook ("databehandleren").

Aftalen indgås, når salonens administrator accepterer den i FlowBook. Accepten registreres med version, tidspunkt, bruger og salon. Aftalen opfylder kravene i databeskyttelsesforordningens artikel 28, stk. 3, og er en del af servicevilkårene. Ved uoverensstemmelse om behandling af personoplysninger går denne aftale forud for servicevilkårene.

Databehandleren behandler personoplysninger på vegne af den dataansvarlige for at levere FlowBook: kalender, online booking, kundeportal, kundeadministration, medarbejderplanlægning, påmindelser, kommunikation, statistik, dataimport og -eksport samt support. Behandlingens art, kategorier af registrerede og oplysninger er beskrevet i punkt 14.

Aftalen gælder, så længe databehandleren behandler personoplysninger for den dataansvarlige, og ophører derefter uden særskilt opsigelse.

Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige. Instruksen består af denne aftale, servicevilkårene og de valg og indstillinger, som den dataansvarlige foretager i FlowBook. Behandling, som EU-retten eller dansk ret pålægger databehandleren, må ske uden instruks; i så fald underretter databehandleren den dataansvarlige før behandlingen, medmindre loven forbyder det.

Databehandleren underretter straks den dataansvarlige, hvis en instruks efter databehandlerens opfattelse strider mod databeskyttelsesreglerne.

Databehandleren giver kun adgang til personoplysningerne til personer, der har behov for det for at levere, supportere eller sikre tjenesten. Disse personer har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgangen gennemgås løbende og lukkes, når behovet ophører.

Databehandleren træffer de tekniske og organisatoriske foranstaltninger, der kræves efter artikel 32, under hensyn til risikoen for de registrerede. Foranstaltningerne er beskrevet i punkt 16. Den dataansvarlige er selv ansvarlig for brugeradgange, roller og indstillinger i sin egen konto.

Den dataansvarlige giver en generel godkendelse til, at databehandleren bruger underdatabehandlere. De underdatabehandlere, der bruges ved aftalens indgåelse, står i punkt 15 og er hermed godkendt.

Databehandleren varsler planlagte tilføjelser eller udskiftninger af underdatabehandlere mindst 30 dage før via email eller i FlowBook. Den dataansvarlige kan inden for varslet gøre saglig indsigelse. Kan parterne ikke finde en løsning, kan den dataansvarlige opsige abonnementet til ophør, før ændringen træder i kraft, og få refunderet forudbetalt abonnement for den ubrugte periode.

Databehandleren pålægger hver underdatabehandler de samme databeskyttelsesforpligtelser som i denne aftale gennem en skriftlig aftale og er over for den dataansvarlige ansvarlig for underdatabehandlerens opfyldelse.

Personoplysninger opbevares i EU/EØS. Overførsel til eller adgang fra lande uden for EU/EØS må kun ske efter dokumenteret instruks og på et gyldigt grundlag efter forordningens kapitel V, fx EU-Kommissionens tilstrækkelighedsafgørelse for EU-U.S. Data Privacy Framework eller EU-Kommissionens standardkontraktbestemmelser. Den dataansvarlige giver med denne aftale instruks om de overførsler, der følger af punkt 15.

Databehandleren bistår så vidt muligt den dataansvarlige med at besvare anmodninger fra registrerede om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet og indsigelse. FlowBook indeholder funktioner til at rette, eksportere, anonymisere og slette kunders oplysninger. Hvis databehandleren modtager en anmodning direkte fra en registreret, sendes den videre til den dataansvarlige uden unødig forsinkelse.

Databehandleren bistår også med den dataansvarliges forpligtelser efter artikel 32 til 36 om sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring af Datatilsynet, under hensyn til behandlingens art og de oplysninger, databehandleren har.

Databehandleren underretter den dataansvarlige uden unødig forsinkelse og senest 48 timer efter at være blevet opmærksom på et brud på persondatasikkerheden. Underretningen sendes til salonens administrator og indeholder så vidt muligt en beskrivelse af bruddets karakter, de berørte kategorier og omtrentlige antal registrerede og oplysninger, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslås. Oplysninger, der ikke er kendt med det samme, gives løbende.

Det er den dataansvarlige, der vurderer og eventuelt anmelder bruddet til Datatilsynet og underretter de registrerede.

Under aftalen kan den dataansvarlige til enhver tid eksportere sine data i FlowBook. Ved ophør af abonnementet sletter eller anonymiserer databehandleren personoplysningerne senest 90 dage efter ophøret, medmindre EU-retten eller dansk ret kræver opbevaring. Kopier i backup slettes løbende efter den normale backupcyklus. Den dataansvarlige kan inden sletningen bede om en eksport.

Databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise, at artikel 28 og denne aftale overholdes. Det sker som udgangspunkt skriftligt, fx ved en beskrivelse af sikkerhedsforanstaltningerne og underdatabehandlernes egne revisionserklæringer eller certificeringer.

Den dataansvarlige eller en uafhængig revisor med tavshedspligt kan derudover gennemføre en inspektion højst én gang om året med mindst 30 dages varsel, medmindre et konkret brud eller en myndighed kræver det. Den dataansvarlige afholder sine egne omkostninger og databehandlerens rimelige tidsforbrug ved en inspektion. Tilsyn hos underdatabehandlere sker via databehandleren og på grundlag af underdatabehandlernes revisionserklæringer.

Den dataansvarlige er ansvarlig for, at behandlingen har et lovligt grundlag, at de registrerede er oplyst om behandlingen, og at der kun registreres de oplysninger, der er nødvendige. Den dataansvarlige må ikke registrere følsomme oplysninger, fx helbredsoplysninger, eller oplysninger om strafbare forhold eller CPR-numre i FlowBook, medmindre det er strengt nødvendigt for en booking og lovligt. FlowBook er ikke et journalsystem.

Parternes ansvar følger servicevilkårene, herunder ansvarsbegrænsningen, i det omfang loven tillader det. Databehandleren kan ændre aftalen, når lovgivning, myndighedspraksis eller tjenesten gør det nødvendigt; ændringer varsles mindst 30 dage før og skal accepteres i FlowBook. Aftalen er underlagt dansk ret, og tvister afgøres efter servicevilkårene.

Kategorier af registrerede: den dataansvarliges kunder og potentielle kunder, kunders kontaktpersoner, den dataansvarliges medarbejdere og brugere samt modtagere af beskeder.

Kategorier af personoplysninger: navn, telefonnummer, email, adresse og fødselsdag, hvis den dataansvarlige registrerer det; bookinger, ydelser, priser, aflysninger, udeblivelser og ventelister; noter; kundegrupper, samtykker og afmeldinger; sendte emails og SMS; login til kundeportalen; for medarbejdere kontaktoplysninger, rolle, arbejdstider, fravær, ydelser og statistik; tekniske logs over handlinger i systemet.

Behandlingens art: indsamling, registrering, opbevaring, tilpasning, søgning, brug, videregivelse ved afsendelse af beskeder, eksport, anonymisering og sletning.

Behandlingssted: Supabase-databasen i Stockholm, Sverige (AWS eu-north-1). Databehandlerens medarbejdere tilgår data fra Danmark.

Supabase Inc., USA: database, login, filer og serverfunktioner. Data opbevares hos Amazon Web Services i Stockholm, Sverige. Supabase kan få adgang fra USA til support og drift på grundlag af EU-Kommissionens standardkontraktbestemmelser.

Netlify Inc., USA: drift af webappen. Behandler tekniske oplysninger som netværksadresse og browserdata, når appen bruges. Overførsel sker på grundlag af EU-U.S. Data Privacy Framework og standardkontraktbestemmelser.

Resend Inc., USA: afsendelse af emails til den dataansvarliges kunder og medarbejdere, fx bekræftelser, påmindelser og kampagner. Behandler modtageradresse, emne og indhold. Overførsel sker på grundlag af EU-Kommissionens standardkontraktbestemmelser.

OnlineCity.IO ApS (GatewayAPI), Danmark: afsendelse af SMS. Behandler telefonnummer, afsendernavn og beskedens indhold. Data behandles i EU.

Stripe er ikke underdatabehandler for salonens kundedata. Stripe behandler kun salonens egne betalingsoplysninger, hvor FlowBook er dataansvarlig.

Kryptering: al trafik sendes krypteret med TLS, og databasen og filer er krypteret, når de ligger lagret.

Adgangsstyring: hver salons data er adskilt med adgangsregler på databaseniveau, så brugere kun ser data fra deres egen salon og efter deres rolle. Adgangskoder gemmes kun som hash. Login kan bekræftes med engangskode på email eller SMS.

Databehandlerens egne adgange: kun udpegede personer har administratoradgang. Adgang til en salons konto i forbindelse med support registreres.

Logning og overvågning: vigtige handlinger, fx ændringer i bookinger, kunder, roller og eksport, logges. Fejl og driftsjob overvåges.

Udvikling og test: ændringer gennemgås og testes før udrulning. Testdata adskilles fra kundedata.

Dataminimering og sletning: den dataansvarlige kan eksportere, anonymisere og slette data og indstille automatisk oprydning af gamle data.

Medarbejdere: personer med adgang er underlagt fortrolighed og instrueres i sikker behandling af personoplysninger.