Personvernerklæring

1. Behandlingsansvarlig

SmartBook AS, org.nr. 937 622 252, er behandlingsansvarlig for opplysninger vi behandler for våre egne formål: brukerkontoer for bedrifter på plattformen, tekniske logger og sikkerhet, kundeforholdet med bedriften, og opplysninger vi må behandle for å oppfylle rettslige plikter som bokføring, hvitvasking og betaling. Kontakt: hello@smartbook.now.

For opplysninger om gjester som bestiller en tjeneste, er det bedriften du bestiller hos som er behandlingsansvarlig. SmartBook er databehandler og behandler opplysningene på bedriftens vegne etter en databehandleravtale som oppfyller personvernforordningen artikkel 28. Henvendelser om dine rettigheter som gjest rettes til bedriften du bestilte hos. Kontakter du oss, henviser vi deg videre og varsler bedriften.

2. Hvilke opplysninger samler vi inn?

For kunder som bestiller tjenester: navn, e-postadresse, telefonnummer.

For bedrifter: e-post, passord (kryptert), bedriftsinformasjon, bankopplysninger (via Stripe).

For bedrifter som kobler til Google Calendar: Google-kontoe-post, kalender-ID og kalendernavn, OAuth refresh token, samt kalenderhendelser (tidspunkt og titler) som synkroniseres mellom SmartBook og Google Calendar.

Teknisk data: IP-adresse, nettlesertype, tidssone (for feilsøking og sikkerhet).

3. Formål og rettslig grunnlag

Gjennomføring av avtale (GDPR art. 6(1)(b)): Behandle bestillinger, sende bekreftelser og påminnelser.

Berettiget interesse (GDPR art. 6(1)(f)): Forebygge svindel, forbedre tjenesten.

Samtykke (GDPR art. 6(1)(a)): Markedsføring (kun med eksplisitt samtykke).

4. Deling av opplysninger

Vi deler personopplysninger med den bedriften du bestiller hos, og med disse databehandlerne: Supabase, Inc. (database, innlogging og fillagring, EU), Vercel Inc. (drift av nettsted og applikasjon, EU), Stripe (betalingsformidling og utbetaling), Twilio Inc. (SMS), Resend, Inc. (e-post), Functional Software, Inc. / Sentry (feilsporing og driftsovervåking, EU) og OpenRouter, Inc. med Google LLC som modellleverandør (KI-funksjoner).

Google LLC mottar i tillegg kalenderdata når en bedrift frivillig kobler til Google Calendar, og et regnskapssystem som Tripletex mottar regnskapsdata når bedriften aktiverer den integrasjonen.

Når bookingsidene vises på et annet språk enn norsk eller engelsk, oversettes bedriftens tekster (tjenestebeskrivelser, nettsideinnhold og knappetekster) maskinelt av Google Cloud Translation (Google Ireland Ltd., EU-endepunkt). Bare bedriftens publiserte innhold sendes til oversettelse – aldri navn, kontaktinformasjon eller bestillingsdetaljer du skriver inn. Oversettelsene lagres i vår database for gjenbruk. Språkvalget ditt lagres i en informasjonskapsel (GUEST_LANG) i 12 måneder.

Alle har databehandleravtaler eller tilsvarende forpliktelser. Der behandling skjer utenfor EØS, bygger overføringen på EU-kommisjonens standard personvernbestemmelser (SCC), supplert av EU–US Data Privacy Framework der leverandøren er sertifisert. Oppdatert liste over databehandlere fås ved henvendelse til oss.

5. Google Calendar-integrasjon

Bedriftseiere kan frivillig koble SmartBook til Google Calendar for toveis synkronisering. Formålet er å opprette kalenderhendelser for bekreftede bestillinger i Google Calendar, og å lese opptatte tider i Google Calendar slik at disse tidene blokkeres i SmartBook sin tilgjengelighet.

Rettslig grunnlag: samtykke når du godkjenner tilkobling via Google (GDPR art. 6(1)(a)), og avtaleoppfyllelse for å levere bookingtjenesten (GDPR art. 6(1)(b)).

Vi ber kun om én OAuth-tilgang: lese/skrive-tilgang til kalenderhendelser (calendar.events) i din primære kalender. Fra eksisterende hendelser leser vi bare start- og sluttidspunkt – aldri tittel, beskrivelse, deltakere eller sted.

Refresh token og synkroniseringsstatus lagres i organisasjonens innstillinger i vår database (Supabase), beskyttet av tilgangsstyring (RLS). Opplysningene slettes når du kobler fra Google Calendar under Innstillinger → Koble fra Google.

Kalenderhendelser som synkroniseres kan inneholde kundenavn og bestillingsdetaljer knyttet til den aktuelle bedriften. Oppbevaring av bestillingsdata følger punkt 8 nedenfor.

Google API Services User Data Policy (Limited Use)

Bruk og overføring av rå eller utledet brukerdata mottatt fra Google API-er vil følge Google API Services User Data Policy, inkludert Limited Use-kravene. Se: https://developers.google.com/terms/api-services-user-data-policy

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

SmartBook bruker Google Calendar-data utelukkende for å levere toveis kalendersynk til bedriftseieren som kobler til: opprette og oppdatere hendelser for bekreftede bookinger, og lese opptatte tider for å blokkere tilgjengelighet. Vi bruker ikke Google-data til annonsering, profilering utenfor tjenesten, eller salg til tredjeparter. Data deles ikke med andre enn nødvendige underleverandører (hosting/database) under databehandleravtale, og kun for å drive integrasjonen du har aktivert.

Innhold fra Google Calendar sendes aldri til KI-modeller. Bookingassistenten ser bare hvilke tider som er ledige for booking, som kan gjenspeile at en dag er blokkert. Google-data – rå, aggregerte, anonymiserte eller utledede – brukes ikke til å utvikle, forbedre eller trene generaliserte KI- eller maskinlæringsmodeller, og KI-leverandøren vi bruker trener ikke på API-data.

Menneskelig tilgang til Google Calendar-data skjer bare ved teknisk feilsøking, sikkerhetshendelser, eller når loven krever det — ikke for markedsføring eller uavhengig analyse.

Du kan trekke tilbake tilgang når som helst via Innstillinger → Koble fra Google; da slettes OAuth-token og vi stopper synkronisering.

6. AI-behandling

SmartBook bruker KI-modeller til å generere tekstforslag, drive gjestechat og gi innsikt. KI-kall formidles via OpenRouter, Inc. til modellleverandøren, per i dag Google (Gemini). Samtaler logges for kvalitetssikring og feilsøking. Verken innhold eller personopplysninger brukes til å trene KI-modeller.

KI-funksjonene gir forslag og beslutningsstøtte. De treffer ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for deg, jf. personvernforordningen artikkel 22.

7. Dine rettigheter

Du har rett til: innsyn, retting, sletting, dataportabilitet, begrensning av behandling, og til å trekke tilbake samtykke. Kontakt hello@smartbook.now.

8. Oppbevaring

Bestillingsdata lagres i 3 år etter siste aktivitet (regnskapslovens krav). Google Calendar OAuth-tokens slettes ved frakobling. Du kan be om sletting av ikke-regnskapspliktige data når som helst.

9. Klagerett

Du kan klage til Datatilsynet (datatilsynet.no) dersom du mener dine rettigheter ikke er ivaretatt.