Integritetspolicy

4.1 Betalningar

Ni väljer själva hur ni betalar. Beroende på betalningssätt medverkar följande parter; den rättsliga grunden är fullgörande av avtal (art. 6.1 b GDPR). Vi ser aldrig era kortuppgifter eller inloggningsuppgifter.

Kort, Apple Pay, Google Pay och SEPA-autogiro: Stripe
Dessa betalningar hanteras av Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin 2, Irland) på en egen krypterad betalningssida. Vi överför belopp, betalningens ändamål, bokningsnummer, boende och resperiod samt er e-postadress till Stripe; era kort- eller kontouppgifter anger ni direkt hos Stripe. Från Stripe får vi betalningsstatus, belopp och betalningssätt samt, för kort, kortmärke, korttyp (kredit-, debet- eller förbetalt kort) och utfärdandeland; utfärdandelandet använder vi för att fastställa och kontrollera kortavgiften för kort utfärdade utanför Europeiska ekonomiska samarbetsområdet, och kortuppgifterna i övrigt endast för intern analys av våra betalningskostnader. För att förebygga bedrägerier och fullgöra sina egna rättsliga skyldigheter, till exempel för att förhindra penningtvätt, är Stripe självständigt personuppgiftsansvarig. Stripe kan överföra uppgifter till Stripe, LLC i USA; Stripe är certifierat enligt EU-US Data Privacy Framework och använder dessutom standardavtalsklausuler. För Apple Pay och Google Pay gäller även Apples respektive Googles integritetspolicyer. Om du ställer depositionen som en kortreservation reserverar Stripe bara beloppet på ditt kort. För att depositionen ska vara säkrad till efter din avresa kan Stripe spara ditt kort för detta ändamål och vid behov automatiskt förnya reservationen med samma belopp; vi får bara en identifierare för kortet hos Stripe, aldrig kortnumret. Vi använder det sparade kortet uteslutande för depositionen för denna bokning.

PayPal
Med PayPal betalar ni direkt till vårt PayPal-konto (info@thebalearian.com). PayPal (Europe) S.à r.l. et Cie, S.C.A. (22-24 Boulevard Royal, L-2449 Luxemburg) hanterar betalningen som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy. Vi får ert namn, er PayPal-e-postadress, beloppet, datumet och det meddelande ni bifogar betalningen.

Banköverföring, även från Wise eller Revolut
Ni överför beloppet till vårt företagskonto hos Banco Santander, S.A. eller, om det anges på betalningssidan, till vårt konto hos Wise (Wise Europe SA, Bryssel, Belgien) eller Revolut (Revolut Bank UAB, Vilnius, Litauen). Vi får endast kontoinnehavarens namn, IBAN eller kontonummer, beloppet och meddelandet till mottagaren. Er egen bank eller app, till exempel Wise eller Revolut, är själv ansvarig för behandlingen av era uppgifter; detsamma gäller de institut där vi har våra konton.

4.2 Tekniska tjänsteleverantörer

Webbhotell och serverloggar: Hetzner
Denna webbplats och vår bokningshantering körs på en server hos Hetzner Online GmbH (Gunzenhausen, Tyskland) i ett datacenter inom EU. Vid varje sidvisning registrerar servern IP-adress, datum och tid, begärd adress, statuskod och webbläsaridentifierare. Detta sker av säkerhetsskäl och för felsökning (art. 6.1 f GDPR); loggen raderas efter 14 dagar. Typsnitt och bilder levereras från vår egen server.

Databas: Supabase
Vår databas tillhandahålls av Supabase Pte. Ltd. (Singapore). Uppgifterna lagras i ett datacenter i Frankfurt am Main (Tyskland). Eventuell åtkomst från länder utanför EU, till exempel för support, omfattas av standardavtalsklausuler.

E-postutskick: MailerSend
Vi skickar e-post som bokningsbekräftelser, betalningslänkar, bekräftelsemeddelandet vid anmälan till nyhetsbrevet, välkomstrabatter och, endast med ert samtycke, vårt nyhetsbrev via MailerSend, Inc. (New York, USA). Uppgifterna lagras inom EU; överföringar till USA omfattas av standardavtalsklausuler. Ni kan när som helst avregistrera er från nyhetsbrevet via länken i varje utskick.

Bokningsplattformar: Channex
Om ni bokar via en plattform som Airbnb eller Booking.com får vi de bokningsuppgifter som plattformen lämnar vidare (till exempel namn, resdatum, pris och kontaktuppgifter) via vår kanalhanterare Channex.io Ltd (Carmarthen, Storbritannien). Channex lagrar uppgifterna inom EU; för Storbritannien finns ett beslut om adekvat skyddsnivå från EU-kommissionen. För själva plattformen gäller dess egen integritetspolicy.

Tidigare bokningssystem: vOffice
Tills vi helt har gått över till vårt nya bokningssystem lagrar vi även boknings- och gästuppgifter i bokningsprogrammet från vOffice GmbH (Neustadt in Holstein, Tyskland).

AI-funktioner: Anthropic
För AI-villasökningen på denna webbplats och för interna svarsutkast och översättningar använder vi AI-modellen Claude från Anthropic (Anthropic Ireland, Limited, Dublin, Irland, och Anthropic, PBC, USA). Vi överför endast den text ni skriver i sökningen eller, för ett svarsutkast, det meddelande eller den recension vi besvarar, tillsammans med förfrågans grunduppgifter (tilltal och namn, ursprungsland, önskat boende, resperiod, antal personer) och den tidigare korrespondensen. E-postadresser och telefonnummer gör vi oigenkännliga i förväg; er IP-adress överförs aldrig. Anthropic använder inte dessa uppgifter för att träna sina modeller. Överföringar till USA omfattas av standardavtalsklausuler. Varje svarsutkast granskar och skickar vi själva. Ange inga känsliga uppgifter i AI-sökningen. Den rättsliga grunden är art. 6.1 b och f GDPR.

Karta på villasidorna: Google Maps
På villasidorna kan ni visa en karta från Google Maps (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Kartan laddas först när ni har tillåtit ”Marknadsföring” i cookiebannern eller tryckt på ”Visa karta”; er webbläsare kommer ihåg detta val på denna enhet. När kartan laddas får Google er IP-adress samt uppgifter om enhet och webbläsare och kan sätta egna cookies; uppgifter kan överföras till Google LLC i USA (EU-US Data Privacy Framework, standardavtalsklausuler). Kartan visar villans ort, inte dess adress. Rättslig grund är ert samtycke (art. 6.1 a GDPR); ni återkallar det via ”Cookieinställningar” längst ned på sidan och raderar det sparade valet via webbplatsdata i er webbläsare.

WhatsApp
Om ni skriver till oss på WhatsApp går era meddelanden och ert telefonnummer via WhatsApp Ireland Limited (Dublin, Irland), ett företag i Meta-koncernen. Uppgifter kan då överföras till USA, och WhatsApps integritetspolicy gäller. Om ni hellre avstår från WhatsApp når ni oss via e-post eller telefon.

4.3 Gästregistrering hos myndigheterna

Spansk lag (Real Decreto 933/2021) ålägger oss att för varje vistelse rapportera uppgifter om samtliga resenärer till inrikesministeriet (plattformen SES.HOSPEDAJES, Ministerio del Interior). Vi rapporterar namn, kön, uppgifter från identitetshandling, födelsedatum, medborgarskap, adress, kontaktuppgifter, resdatum samt betalningssätt, betalningsdatum och betalare; för minderåriga även släktskapet med en medföljande vuxen. Den rättsliga grunden är art. 6.1 c GDPR. Enligt lag sparar vi dessa uppgifter i tre år och raderar dem därefter.

4.4 Överföringar utanför EU

Några av de nämnda leverantörerna har sitt säte utanför EU eller kan behandla uppgifter där. Det sker endast om EU-kommissionen har fastställt en adekvat skyddsnivå (till exempel för Storbritannien eller för amerikanska företag certifierade enligt EU-US Data Privacy Framework) eller om EU-kommissionens standardavtalsklausuler har avtalats (art. 45 och 46 GDPR). En kopia av dessa skyddsåtgärder kan ni begära via info@thebalearian.com.

4.5 Analys och reklam (endast med ert samtycke)

Följande tjänster använder vi bara om ni har samtyckt i cookiebannern, separat för ”Analys” och ”Marknadsföring”. Rättslig grund är ert samtycke (art. 6.1 a GDPR; för lagring och läsning av information på er enhet art. 22.2 LSSI-CE respektive § 25.1 TDDDG). Ni kan när som helst återkalla det med verkan framåt via ”Cookieinställningar” längst ned på sidan. Namn, e-postadresser, telefonnummer och meddelanden skickar vi aldrig i klartext till dessa tjänster, inte heller söktexter. Leverantörerna kan överföra uppgifter till USA; Google och Meta är certifierade enligt EU-US Data Privacy Framework, och dessutom gäller standardavtalsklausuler (art. 45 och 46 GDPR).

Analys: Google Analytics 4
Leverantör är Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics visar oss pseudonymiserat hur vår webbplats används: besökta sidor, klick på kontakt-, sök- och förfrågningselement, skrolldjup, besökstid, visade villor, filter och sökningar (utan fritext), återkommande besök samt enhet, webbläsare, språk och ungefärlig plats. Enligt Google används IP-adressen bara för att bestämma platsen och sparas inte i Google Analytics. Cookies: _ga och _ga_<ID> (livslängd 2 år). Analysdata sparar vi i 14 månader. Mer information på policies.google.com/privacy.

Reklam: Google Ads
Leverantör är Google Ireland Limited (Dublin, Irland). Med Google Ads mäter vi om en förfrågan kommer in efter ett klick på någon av våra annonser (konvertering) och visar er senare relevanta annonser utifrån besökta sidor och visade villor (remarketing, målgrupper). Skickar ni en förfrågan överför vi, för en mer exakt mätning (förbättrade konverteringar), er e-postadress och ert telefonnummer endast som SHA-256-hashvärde, som beräknas i er webbläsare och inte kan räknas tillbaka; Google matchar det mot egna konton. Cookies: _gcl_au, _gcl_aw och _gcl_dc (livslängd 90 dagar). Vid varje händelse får Google er IP-adress, uppgifter om webbläsare och enhet samt adressen till den besökta sidan och till sidan ni kom ifrån (referrer); Google kan dessutom läsa och sätta egna cookies på doubleclick.net och google.com, till exempel IDE (livslängd upp till 13 månader). Mer information på policies.google.com/technologies/ads.

Reklam: Meta-pixeln (Facebook och Instagram)
Leverantör är Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland). Meta-pixeln rapporterar till Meta besökta sidor, visade villor, sökningar, kontaktklick, öppnade och skickade förfrågningar samt signalen ”särskilt intresse”. Meta använder det för att mäta hur våra annonser på Facebook och Instagram fungerar, visa er relevanta annonser och skapa målgrupper. Vid en förfrågan överför vi er e-postadress och ert telefonnummer endast som SHA-256-hashvärde (avancerad matchning). Samma händelser, ”förfrågan skickad” och ”nyhetsbrev bekräftat”, överför vi dessutom från vår server till Meta (Conversions API), även det endast med ert samtycke, med samma hashvärden, er IP-adress, uppgifter om webbläsare samt cookievärdena _fbp och _fbc; ett händelse-ID ser till att Meta bara räknar dem en gång. För insamlingen och överföringen till Meta är vi gemensamt personuppgiftsansvariga med Meta (art. 26 GDPR; avtal på facebook.com/legal/controller_addendum); för den fortsatta behandlingen ansvarar Meta ensamt. Cookies: _fbp och _fbc (livslängd 90 dagar). Vid varje händelse får Meta er IP-adress, uppgifter om webbläsare och enhet samt adressen till den besökta sidan och till sidan ni kom ifrån (referrer); Meta kan dessutom läsa och sätta egna cookies på facebook.com, till exempel fr (livslängd 90 dagar). Mer information på facebook.com/privacy/policy.

Besöksräknare i er webbläsare
Med ert samtycke till analys eller marknadsföring räknar vår webbplats i er webbläsare hur många villor ni har tittat på under denna session och när ni har besökt oss under de senaste 30 dagarna (sessionStorage och localStorage, högst 10 tidpunkter). Det enda som härleds är signalen ”särskilt intresse”, som går till de tjänster ni har tillåtit; själva räknarna lämnar aldrig er enhet. Vi raderar dem när ni återkallar ert samtycke.

4.6 Personlig rådgivning (besökshistorik, endast med ert samtycke)

Om ni väljer ”Personlig rådgivning” i cookiebannern registrerar vi själva ert besök på denna webbplats, utan tredjepartsleverantörer. Personuppgiftsansvarig är Balearian Hospitality Services S.L. (avsnitt 1). Uppgifterna lagras på vår server hos Hetzner och i vår databas hos Supabase i Frankfurt (avsnitt 4.2). Rättslig grund är ert samtycke (artikel 6.1 a i GDPR; för identifieraren i er webbläsare artikel 22.2 i LSSI-CE respektive § 25.1 i TDDDG).

Vad vi registrerar
En slumpmässig identifierare i kakan balearian-jv som bara vår server kan läsa (giltig lika länge som ert samtycke, högst 180 dagar). Därtill för varje besök: visade sidor utan sökparametrar, visade villor, öppnade gallerier, förfrågningar om tillgänglighet och pris med datum och antal gäster, valda filter, sökningar, er önskelista, klick på WhatsApp, telefon eller e-post, språk och typ av enhet. Vid AI-sökningen sparar vi bara de identifierade sökkriterierna (till exempel ö, antal gäster, datum, utrustning) och de föreslagna villorna, inte er söktext. Om ursprunget sparar vi kampanjuppgifterna i adressen (utm-parametrar), om ni kom via en annons från Google, Microsoft eller Meta (klickidentifierare som gclid eller fbclid, i ursprunglig form högst 90 dagar och därefter endast typen) och från vilken webbplats ni kom, till exempel en sökmotor, ChatGPT eller en annan AI-assistent (endast webbplatsens namn). Om ni bara har sett en annons vet vi inte. Er IP-adress sparar vi inte för detta.

Koppling till er person
Skickar ni oss en förfrågan kopplar vi historiken till denna förfrågan. Till er kontakt i vår kunddatabas kopplar vi den först när ni har bekräftat er e-postadress för önskelistan, när er förfrågan blir en bokning eller när vårt team tilldelar förfrågan till er kontakt. Så ser vi vilka villor och önskemål som intresserar er och kan ge er träffsäker rådgivning. Detta är profilering; vi använder den inte för automatiserade beslut med rättsliga följder. Uppgifterna lämnas inte ut till någon.

Lagringstid, återkallelse och radering
En historik som inte är kopplad till någon förfrågan, bokning eller kontakt raderar vi 180 dagar efter ert senaste besök. Enskilda sidvisningar och händelser raderar vi 13 månader efter besöket; därefter finns vid en förfrågan eller bokning endast sammanfattningen av ursprunget kvar (kanal, kampanj, ingångssida, första och senaste kontakt), högst tre år efter ert senaste besök (sex år vid en bokning, liksom bokningshandlingarna) och bara så länge förfrågan, bokningen eller er kontakt finns sparad hos oss. Ni kan när som helst återkalla ert samtycke via ”Cookieinställningar” i sidfoten. Då raderar vi omedelbart identifieraren och hela besökshistoriken, även sådan som är kopplad till en förfrågan, en bokning eller er kontakt; vid förfrågan finns bara dess ursprung enligt avsnitt 4.7 kvar. En historik som inte är kopplad till ert namn kan vi inte hänföra till er (artikel 11 i GDPR); ni kan själva radera den när som helst via ”Cookieinställningar” på respektive enhet.

4.7 Ursprunget till er förfrågan (utan samtycke)

För varje förfrågan sparar vi, även utan ert samtycke, från vilken sida på vår webbplats den skickades, vilka kampanjuppgifter (till exempel utm-parametrar) som fanns i dess adress och den kanal som framgår av dem (till exempel en Google-annons eller vårt nyhetsbrev). Er webbläsare överför dessa uppgifter med förfrågan; vi sätter ingen cookie för detta och sparar inget i er webbläsare. Rättslig grund är vårt berättigade intresse av att känna till effekten av vår reklam (artikel 6.1 f i GDPR). Ni kan när som helst invända mot detta (artikel 21 i GDPR). Vi sparar uppgifterna lika länge som förfrågan.