Privacyverklaring

In het kort

• Wie: Salonya wordt geëxploiteerd door AG Technology B.V. (KvK 42098171). Wij zijn de verwerkingsverantwoordelijke voor je Salonya-account, je boeking op het platform en je betaling.
• De salon waar je boekt is een aparte verwerkingsverantwoordelijke voor de behandeling zelf en voor eventuele gezondheids- of intakegegevens. De behandelovereenkomst sluit je met de salon, niet met Salonya.
• We verkopen je gegevens nooit en gebruiken geen advertentie-tracking. We delen gegevens alleen met de salon waar je boekt en met de verwerkers die we nodig hebben om de dienst te leveren.
• Je rechten: je kunt je gegevens inzien, corrigeren, exporteren, laten verwijderen of bezwaar maken. Een export vraag je zelf aan via je account; voor de rest mail je privacy@salonya.nl.
• Klacht? Je kunt altijd terecht bij de Autoriteit Persoonsgegevens.

Wie is verantwoordelijk voor je gegevens?

Het Salonya-platform (book.salonya.nl en salonya.nl) wordt geëxploiteerd door:

• AG Technology B.V. (handelend onder de naam Salonya)
• KvK-nummer: 42098171
• St. Francisbaai 5, 2904 AC Capelle aan den IJssel
• Privacyvragen: privacy@salonya.nl

We hebben (nog) geen functionaris voor gegevensbescherming (FG/DPO) aangesteld. Een FG is verplicht wanneer de kernactiviteiten bestaan uit grootschalige, stelselmatige monitoring van personen óf grootschalige verwerking van bijzondere persoonsgegevens (art. 37(1)(b)/(c) AVG) — de AVG kent hierbij geen grootte- of omzetdrempel. We toetsen doorlopend of we die drempel bereiken en stellen een FG aan zodra dat het geval is. Privacyvragen worden behandeld door ons eigen team via het bovenstaande adres.

Salonya als platform, de salon als behandelaar

Salonya is een marktplaats die jou en salons bij elkaar brengt. Daardoor zijn er twee verwerkingsverantwoordelijken:

• Salonya (AG Technology B.V.) is verantwoordelijk voor: je account op het platform, het tot stand brengen en beheren van je boeking, de betaling die via het platform loopt, herinneringen en reviews, en de beveiliging en eigen analyse van het platform.
• De salon waar je boekt is zelf verantwoordelijk voor de uitvoering van de behandeling en voor gezondheids- of intakegegevens die je rechtstreeks aan de salon verstrekt. Voor die gegevens treedt Salonya op als verwerker namens de salon; met elke salon willen we uitsluitend werken op basis van een verwerkersovereenkomst. Vragen over die gegevens kun je aan de salon stellen; wij helpen je graag op weg.

Welke persoonsgegevens verwerken we?

• Contact- en accountgegevens — naam, e-mailadres, telefoonnummer, wachtwoord (versleuteld opgeslagen).
• Boekingsgegevens — welke behandeling, bij welke salon en medewerker, datum en tijd, en je boekingsgeschiedenis.
• Betaalgegevens — bedrag, status en betaalkenmerk via onze betaaldienst (Mollie). We bewaren geen volledige kaart- of rekeninggegevens — die verwerkt Mollie.
• Optionele profielgegevens — geboortedatum, geslacht en een profielfoto. Upload je de foto zelf, dan slaan we die op bij Scaleway in Amsterdam (binnen de EER), versleuteld opgeslagen, en leveren we hem uit via ons contentnetwerk op cdn.salonya.nl; wie de directe link heeft kan de foto ook zonder in te loggen bekijken. Verwijder je de foto, dan wissen we het bestand direct en is hij daarna nog maximaal vijf minuten via die link opvraagbaar.
• Profielfoto via Google — log je in met Google, dan nemen we de foto over die aan je Google-account hangt. Die foto slaan wij niet op: we bewaren alleen de verwijzing ernaar, en het beeld wordt op het moment van tonen bij Google opgehaald. Je browser legt daarvoor dus contact met Google. Wil je dat niet, verwijder de foto dan bij je profielgegevens of upload een eigen foto; dan gebruiken we die verwijzing niet meer.
• Inloggegevens van je aanmeldmethode — log je in met Google, dan bewaren we het e-mailadres, de naam en een vast, voor jou uniek accountkenmerk dat Google ons geeft, zodat we je Google-account aan je Salonya-account gekoppeld kunnen houden.
• Reviews — je voornaam, woonplaats en de tekst van een review die je plaatst (deze worden openbaar getoond).
• Meldingen — als je content meldt via /melden: je melding en optioneel je contactgegevens.
• Technische gegevens — IP-adres, apparaat- en browserinformatie en cookies die nodig zijn voor de werking en beveiliging. Dit geldt ook als je niet bent ingelogd en geen account hebt: om een pagina te kunnen tonen en te beveiligen verwerken we het IP-adres, het browserkenmerk en de opgevraagde pagina, en wordt je IP-adres zichtbaar voor het contentnetwerk dat onze afbeeldingen uitlevert (cdn.salonya.nl, Scaleway in Amsterdam).
• Bewijs van je cookiekeuze — maak je een keuze in de cookiemelding, dan leggen we die vast met een pseudoniem bezoekersnummer (dat ook in de cookie zelf staat), het tijdstip, de gekozen categorieën, je IP-adres en je browserkenmerk. We moeten kunnen aantonen welke keuze wanneer en tegen welke versie van onze cookieverklaring is gemaakt. Er staat geen naam of e-mailadres bij en het is niet aan een account gekoppeld.
• Gezondheidsgegevens (bijzondere categorie) — alleen bij behandelingen waarvoor een salon een intake- of consultformulier gebruikt; zie de aparte paragraaf hieronder.

Waarvoor en op welke grondslag?

• Je boeking afhandelen en beheren — uitvoering van de overeenkomst (art. 6(1)(b) AVG).
• Betaling en facturatie, inclusief de wettelijke bewaarplicht — wettelijke verplichting (art. 6(1)(c); fiscale bewaarplicht).
• Afspraakherinneringen sturen (e-mail/sms) — uitvoering van de overeenkomst en gerechtvaardigd belang (art. 6(1)(b)/(f)).
• Reviews faciliteren na een echte boeking — gerechtvaardigd belang (art. 6(1)(f)). Na een afgerond bezoek sturen we je één e-mail met een reviewlink — dus ook als je vaker komt. Dit is geen reclame en je krijgt het los van de aanbiedingen van de salon; bezwaar maken kan altijd via de link onderaan dat bericht of via privacy@salonya.nl, en geldt dan voor alle salons waar je met dat e-mailadres boekt.
• Aanbiedingen van de salon waar je boekte (vergelijkbare diensten) — gerechtvaardigd belang en de wettelijke soft opt-in (art. 6(1)(f) / Tw art. 11.7 lid 3). Je kunt je altijd afmelden: via de link in elke e-mail, of door STOP te antwoorden op een sms. Bij deze aanbiedingsmails telt onze mailprovider anoniem hoe vaak een bericht geopend wordt, zodat de salon ziet of een bericht aankomt; die opening wordt niet aan jou als persoon gekoppeld. Onze afspraakbevestigingen, herinneringen en andere zakelijke e-mails bevatten deze teller niet.
• Je profielfoto tonen aan salons waar je een afspraak hebt, zodat je herkend wordt bij aankomst — gerechtvaardigd belang (art. 6(1)(f)). Dit staat aan zodra je zelf een foto plaatst; je kunt het op elk moment uitzetten in je profiel (art. 21 AVG). Zonder foto is er niets te tonen.
• Je bericht aan ons beantwoorden en bewaren — wettelijke verplichting (art. 6(1)(c)) als je een privacyrecht uitoefent, en gerechtvaardigd belang (art. 6(1)(f)) bij gewone vragen. Mail je ons op privacy@salonya.nl of een van onze andere adressen, dan komt dat bericht in een postvak dat Vimexx B.V. voor ons host, in Nederland. Wij bewaren zo'n bericht en ons antwoord: bij een privacyverzoek zolang we moeten kunnen aantonen dát en hóé we het hebben afgehandeld, en bij overige vragen niet langer dan nodig is om je te helpen.
• Fraudepreventie, beveiliging en het naleven van wettelijke plichten — gerechtvaardigd belang en wettelijke verplichting (art. 6(1)(f)/(c)).
• Gezondheids-/intakegegevens voor een behandeling — uitdrukkelijke toestemming (art. 9(2)(a)) of noodzaak voor de behandeling onder de WGBO (art. 9(2)(h)), onder verantwoordelijkheid van de salon.

We gebruiken geen platform-brede nieuwsbrief en doen geen advertentie-targeting of profilering met rechtsgevolg.

Met wie delen we je gegevens?

Allereerst met de salon waar je boekt — die heeft je boekingsgegevens nodig om je te ontvangen. Daarnaast schakelen we zorgvuldig geselecteerde verwerkers in die ons helpen de dienst te leveren. Met elke verwerker willen we uitsluitend werken op basis van een verwerkersovereenkomst. Waar zij de gegevens verwerken, staat hieronder per verwerker vermeld.

• Brevo (Sendinblue SAS) (Frankrijk — geen (EER)) — Verzending van nieuwsbrieven en aanbiedingen van salons waarvoor je toestemming hebt gegeven (campagnes, automatische berichten).
• Eigen Nederlandse servers (Nederland — geen (EER)) — Opslag van de database.
• Hetzner Online GmbH (Duitsland — geen (EER)) — Beveiligde opslag van dagelijkse back-ups van onze database in Duitsland, versleuteld voordat ze onze server verlaten zodat Hetzner de inhoud niet kan lezen.
• Mollie B.V. (Nederland — geen (EER)) — Betalingen (iDEAL, kaart).
• Scaleway (Nederland (Amsterdam, nl-ams); entiteit Frankrijk; Edge-PoPs Parijs/Amsterdam/Warschau — geen (EER)) — Opslag en levering van foto's.
• Scaleway Transactional Email (Frankrijk — geen (EER)) — Verzending van e-mail over je afspraken, je account en je facturen (bevestigingen, herinneringen).
• Spryng B.V. (Nederland — geen (EER)) — Sms-berichten.
• Vimexx B.V. (Nederland — geen (EER)) — Opslag van e-mail die je ons stuurt, bijvoorbeeld naar privacy@salonya.nl, en van ons antwoord daarop.

We verkopen of verhuren je gegevens nooit aan derden voor hun eigen doeleinden.

Inloggen met Google

Kies je ervoor om met Google in te loggen, dan sturen we je daarvoor door naar Google. Google is voor die inlogpoging zelfstandig verwerkingsverantwoordelijke: het bepaalt zelf wat het met die gegevens doet, handelt daarbij niet in onze opdracht, en staat daarom niet in de lijst hierboven — die gaat over verwerkers die namens ons werken. Wat Google met je gegevens doet, staat in het privacybeleid van Google.

Van ons krijgt Google niets meer dan wat er bij zo'n inlogverzoek hoort. Wij ontvangen van Google je e-mailadres, je naam, een verwijzing naar je profielfoto en een vast accountkenmerk. Inloggen met Google is optioneel — je kunt je account ook met een wachtwoord of een inloglink gebruiken, en dan komt Google er niet aan te pas.

Doorgifte buiten de EER

Van elke verwerker leggen wij vast waar de verwerking plaatsvindt. Geen van onze verwerkers verwerkt je persoonsgegevens buiten de Europese Economische Ruimte (EER). Alle verwerkers in de lijst hierboven verwerken de gegevens binnen de EER, zodat er geen doorgifte naar een derde land plaatsvindt waarvoor een aanvullende waarborg nodig zou zijn.

Hoe lang bewaren we je gegevens?

• Account- en boekingsgegevens — tot 36 maanden na je laatste activiteit, daarna geanonimiseerd of verwijderd.
• Facturen en btw-administratie — 7 jaar (wettelijke fiscale bewaarplicht).
• Gezondheids-/intakegegevens (behandeldossier) — 20 jaar (wettelijke bewaartermijn onder de WGBO), onder verantwoordelijkheid van de salon.
• Logbestanden van e-mail en sms — 36 maanden.
• Bewijs van je afmeldingen (opt-out) — onbeperkt, zodat we je keuze blijven respecteren.
• Bewijs van je cookiekeuze — onbeperkt, om dezelfde reden: het bewijs dát je koos is precies wat we moeten kunnen tonen, en wissen zou dat onmogelijk maken. Het bevat geen naam of e-mailadres.
• Beveiligings- en audit-logs — 7 jaar.

Een verzoek om verwijdering kan dus geblokkeerd worden door een wettelijke bewaarplicht (bijvoorbeeld de fiscale 7-jaarstermijn of het medisch dossier). In dat geval verwijderen we je gegevens niet, maar beperken we de verwerking ervan totdat de termijn verstrijkt, en leggen we de wettelijke grond daarvoor vast (art. 18 AVG).

Jouw rechten

Je hebt onder de AVG de volgende rechten:

• Inzage (art. 15) en dataportabiliteit (art. 20) — vraag een volledige export van je gegevens aan via book.salonya.nl/account/data-export. Je ontvangt een bestand met onder meer je profiel, boekingen, reviews en — indien van toepassing — je intakeantwoorden en je toestemmingsgeschiedenis.
• Rectificatie (art. 16) — pas je gegevens zelf aan in je profiel.
• Verwijdering (art. 17) — vraag dit aan via privacy@salonya.nl. Houd er rekening mee dat een wettelijke bewaarplicht verwijdering kan blokkeren (zie hierboven).
• Beperking (art. 18) en bezwaar (art. 21) — tegen marketing kun je altijd en zonder opgaaf van reden bezwaar maken: voor e-mail via de afmeldlink in elk bericht, voor sms door STOP te antwoorden (dat stopt alle sms van die salon, e-mail regel je apart via de afmeldlink). Tegen ons reviewverzoek maak je bezwaar via de link onderaan dat bericht of via privacy@salonya.nl; dat geldt meteen voor alle salons waar je met dat e-mailadres boekt. Tegen de andere verwerkingen op grond van gerechtvaardigd belang (art. 6(1)(f)) kun je bezwaar maken via privacy@salonya.nl — we stoppen ermee tenzij we dwingende gerechtvaardigde gronden hebben die zwaarder wegen, en dan leggen we uit welke.
• Inzage in wie je medische gegevens heeft ingezien — als een salon gezondheidsgegevens van je verwerkt, kun je een overzicht opvragen van wie die gegevens heeft geraadpleegd (NEN 7513 / Wabvpz). Dit overzicht vraag je op via privacy@salonya.nl; het zit niet automatisch in je gegevensexport.

Wil je een recht uitoefenen of heb je een vraag? Mail privacy@salonya.nl. We reageren binnen de wettelijke termijn (uiterlijk één maand).

Gezondheidsgegevens (bijzondere persoonsgegevens)

Sommige salons — vooral in de medisch-esthetische hoek — gebruiken een intake- of consultformulier om bijvoorbeeld allergieën of een behandelhistorie uit te vragen. Dit zijn bijzondere persoonsgegevens (gezondheidsgegevens, art. 9 AVG). We verwerken ze alleen:

• op basis van je uitdrukkelijke toestemming of omdat ze nodig zijn voor de behandeling (WGBO);
• onder verantwoordelijkheid van de salon (Salonya verwerkt ze namens de salon);
• met extra waarborgen: toegang alleen voor wie het nodig heeft, en logging van elke raadpleging (NEN 7513), waarvan je op verzoek een overzicht kunt opvragen via privacy@salonya.nl.

Deze gegevens vallen onder de wettelijke medische bewaartermijn (WGBO, 20 jaar) en worden meegenomen in je gegevensexport.

Cookies

Op de boekingsomgeving gebruiken we alleen de cookies die nodig zijn voor de werking en beveiliging, en — met jouw toestemming — voor marketing-attributie. De interactieve kaart plaatst zelf geen cookies; we tonen hem pas nadat je daarvoor toestemming geeft, omdat je IP-adres daarbij naar het Kadaster gaat. We gebruiken geen Google Analytics en doen geen advertentie-tracking. Welke cookies we plaatsen en hoe je je keuze aanpast, lees je in ons cookiebeleid.

Geautomatiseerde besluitvorming

We nemen geen besluiten met rechtsgevolg of vergelijkbaar gevolg die uitsluitend op geautomatiseerde verwerking (waaronder profilering) zijn gebaseerd (art. 22 AVG).

Bron van je gegevens

De meeste gegevens verzamelen we rechtstreeks van jou, op het moment dat je een account aanmaakt, een boeking doet of contact met ons opneemt. Een deel ontstaat tijdens het gebruik van de dienst (bijvoorbeeld de status van je boeking of een betaling). Log je in met Google, dan komen je e-mailadres, je naam, je profielfoto en een vast accountkenmerk van Google.

Klachtrecht

Ben je het niet eens met hoe we met je gegevens omgaan? Neem dan eerst contact op via privacy@salonya.nl — we lossen het graag samen op. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder (autoriteitpersoonsgegevens.nl).

Wijzigingen

We kunnen deze privacyverklaring van tijd tot tijd bijwerken, bijvoorbeeld bij nieuwe functies of gewijzigde regelgeving. De datum bovenaan toont wanneer we de verklaring voor het laatst hebben aangepast.