Tietosuojakäytäntö

Tietosuojakäytäntö — Vicatoo

Versio: 1.0

Viimeksi päivitetty: 29. maaliskuuta 2026

Key changes in v2.0:

• Added §17 — GCC Personal Data Protection Law (Saudi PDPL + UAE Federal Decree-Law 45/2021)
• Added §13.1 — Data Protection Officer (DPO) and dedicated contact channels
• Added detailed Retention Periods table (§7)
• Added §9.1 — Children Protection (COPPA / GDPR-K)
• Added §16.1 — Right to Human Review of automated decisions (GDPR Article 22)
• Clarified Microsoft Clarity input masking in Cookie Policy
• Unified communication channels: privacy@ for privacy, legal@ for legal, support@ for support

Tämä tietosuojakäytäntö selittää, miten Vicatoo, Inc. (kauppanimellä "Vicatoo") ("Yhtiö", "me", "meidän") kerää, käyttää, jakaa ja suojaa tietojasi käyttäessäsi sivustoa www.vicatoo.com ("Sivusto") ja palveluitamme.

Käyttämällä Sivustoa, luomalla tilin, täyttämällä yhteydenottolomakkeen tai viestimällä kanssamme WhatsAppin/sähköpostin kautta hyväksyt tässä käytännössä kuvatut menettelytavat. Tutustu myös Käyttöehtoihin ja Varaus- ja peruutuskäytäntöön.

Viralliset kanavat: [email protected] yleisille kysymyksille, [email protected] yksityisyys- ja tietosuoja-asioihin, ja [email protected] oikeudellisiin asioihin, sekä "Ota yhteyttä" -osiossa mainittu WhatsApp-numero. Muista kanavista tulleita viestejä ei pidetä virallisina.

1. Keräämämme tiedot

Keräämme suoraan antamiasi tietoja sekä automaattisesti kerättäviä tietoja.

1.1 Antamasi tiedot

Saatamme kerätä:

• Tilitiedot: Nimi (tarvittaessa), sähköposti, puhelin-/WhatsApp-numero, käyttäjänimi ja salasana (salattu).
• Yhteydenottolomake: Nimi, sähköposti, puhelinnumero, viestin aihe ja sisältö.
• Varauspyyntötiedot: Kohde, oleskelupäivämäärät, vieraiden määrä, toiveet (esim. näkymätyyppi, rauhallinen huone, keittiön saatavuus...) ja kaikki WhatsAppin/sähköpostin kautta lähettämäsi tiedot.
• Tukiviestintä: Keskustelujen ja kirjeenvaihdon sisältö tiimimme kanssa.

Huomautus: Älä jaa arkaluonteisia tietoja (kuten maksukorttitietoja tai terveystietoja). Jos saamme tällaisia tietoja vahingossa, pyrimme poistamaan ne mahdollisuuksien mukaan.

1.2 Automaattisesti kerätyt tiedot (Evästeet ja analytiikka)

Sivuston käytön yhteydessä saatamme kerätä:

• IP-osoite, selaimen tyyppi ja laite, käyttöjärjestelmä, vieraillut sivut, vierailun kesto ja lähettävä lähde.
• Tietoja evästeiden ja vastaavien teknologioiden kautta.

Käytämme Google Analyticsia sivuston käytön ymmärtämiseen ja suorituskyvyn parantamiseen. Google saattaa käyttää evästeitä ja vastaavia tunnisteita käyttötietojen keräämiseen koostetussa muodossa.

Käytämme Google Tag Manager (GTM) -palvelua analytiikka- ja markkinointityökalujen hallintaan. GTM ei itse kerää henkilötietoja.

Käytämme Meta (Facebook) Pixel -palvelua mainoskampanjoidemme tehokkuuden mittaamiseen. Aktivoituu vain suostumuksellasi.

Käytämme TikTok Pixel -palvelua TikTok-mainoskampanjoiden mittaamiseen ja optimointiin. Aktivoituu vain suostumuksellasi.

Käytämme Microsoft Clarity -palvelua käyttäjien vuorovaikutuksen ymmärtämiseen istuntotallenteiden ja lämpökarttojen avulla. Aktivoituu vain suostumuksellasi.

Käytämme Sentryä sivuston teknisten virheiden valvontaan ja nopeaan korjaamiseen. Kun virhe tapahtuu, tekniset tiedot lähetetään automaattisesti Sentryyn, mukaan lukien: IP-osoite, selaimen tyyppi, URL-osoite, jossa virhe tapahtui, ja istuntotiedot (jos saatavilla). Näitä tietoja käytetään yksinomaan teknisten virheiden korjaamiseen ja kokemuksesi parantamiseen. Sentryn tietosuojakäytäntö: https://sentry.io/privacy/

Tärkeää: Meta Pixel, TikTok Pixel ja Microsoft Clarity ladataan vain suostumuksesi jälkeen ei-välttämättömiin evästeisiin.

2. Miten käytämme tietojasi

Käytämme tietoja seuraaviin tarkoituksiin:

• Tilin hallinta ja palvelun tarjoaminen: Tilien luominen, kirjautuminen ja asetusten hallinta.
• Varausten koordinointi: Viestintä kanssasi, pyyntösi ymmärtäminen, koordinointi hotellin kanssa ja vahvistusviestin lähettäminen.
• Asiakaspalvelu: Tiedusteluihin vastaaminen ja ongelmien ratkaiseminen.
• Tuotteen ja sivuston parantaminen: Suorituskyvyn analysointi, käyttökokemuksen parantaminen ja ominaisuuksien kehittäminen.
• Turvallisuus ja petosten ehkäisy: Tilien ja Sivuston suojaaminen sekä epäilyttävien toimintojen tarkistaminen.
• Markkinointi ja mainonta (suostumuksellasi tai lain sallimissa rajoissa): Uutiskirjeiden/tarjousten lähettäminen sekä yhteystietoluetteloiden ja mainoskampanjoiden hallinta.

3. Markkinointi (Uutiskirjeet ja tarjoukset)

Saatamme lähettää sinulle markkinointiviestejä (uutiskirjeitä/tarjouksia/päivityksiä) sähköpostitse ja/tai WhatsAppissa (asetustesi tai suostumuksesi mukaan). Voit peruuttaa tilauksen milloin tahansa:

• Napsauttamalla "Peruuta tilaus" -linkkiä viestissä, tai
• Lähettämällä sähköpostia osoitteeseen [email protected] ja pyytämällä poistamista listoilta.

Tilauksen peruuttamisen jälkeenkin saatamme lähettää välttämättömiä "toiminnallisia" viestejä (esim. tiliisi tai pyytämääsi varaukseen liittyen).

4. Missä säilytämme tietojasi (WhatsApp + Google Sheets)

Jotkin WhatsApp-keskustelut voivat jäädä WhatsApp-alustalle.

Saatamme myös tallentaa yhteystietoja ja asiakaspyyntöjä (kuten Nimi/Puhelin/Sähköposti ja pyynnön yhteenveto) sisäisiin työkaluihin, kuten Google Sheetsiin tai CRM-järjestelmiin työn organisointia, seurantaa ja markkinointia varten.

Toteutamme sisäisiä pääsynhallintoja, jotta tietoja pääsevät käyttämään vain valtuutetut tiimin jäsenet. Rajoitamme käyttöoikeuksia tarpeen mukaan ja saatamme tarkistaa/päivittää käyttöoikeuksia säännöllisesti.

5. Tietojen jakaminen

Emme myy henkilötietojasi. Saatamme jakaa niitä vain seuraavissa tapauksissa:

5.1 Hotellien kanssa

Jaamme varauksen vahvistamiseen tarvittavat tiedot (Nimi, oleskelupäivämäärät, vieraiden määrä, toiveet) hotellin tai sen edustajan kanssa.

5.2 Palveluntarjoajien kanssa (Henkilötietojen käsittelijät)

Saatamme jakaa rajoitettuja tietoja palveluntarjoajien kanssa, jotka auttavat meitä Sivuston ja palvelun ylläpidossa, kuten:

• Hotel suppliers and booking partners — to fulfill reservations,
• Payment service providers — to process transactions securely,
• Hosting-, infrastruktuuri- ja sähköpostipalveluntarjoajat,
• Analytiikka- ja seurantatyökalut (Google Analytics, Google Tag Manager, Meta Pixel, TikTok Pixel, Microsoft Clarity),
• Uutiskirjeen lähetystyökalut (jos käytössä),

Nämä palveluntarjoajat käsittelevät tietoja puolestamme, ohjeidemme mukaisesti ja vain palvelun tarjoamiseen tarvittavassa laajuudessa.

5.3 Oikeudelliset syyt

Saatamme luovuttaa tietoja, jos laki sitä edellyttää, Yhtiön/Käyttäjän oikeuksien suojaamiseksi, petosten ehkäisemiseksi tai järjestelmän turvallisuuden vuoksi.

5.4 Liiketoimintajärjestelyt

Sulautumisen, yrityskaupan tai omaisuuden myynnin yhteydessä tietoja voidaan siirtää osana prosessia lain mukaisesti, asianmukaisella ilmoituksella tarvittaessa.

6. Evästeiden ja seurannan hallinta

Voit hallita evästeitä selaimen asetuksista. Evästeiden poistaminen käytöstä voi vaikuttaa joidenkin Sivuston toimintojen käyttöön (esim. kirjautuminen).

Saatamme näyttää ilmoituksen tai bannerin evästeasetuksien hallintaan maan tai sääntelyvaatimusten mukaisesti, jolloin voit hyväksyä/hylätä tietyn tyyppisiä evästeitä.

7. Tietojen säilytys

Säilytämme tietoja vain sen ajan, joka on tarpeen ilmoitettujen tarkoitusten täyttämiseksi. Alla oleva taulukko esittää tarkat säilytysajat:

Tietoluokka	Säilytysaika
Aktiivinen tili	Niin kauan kuin käytät palvelua
Tilin poistamisen jälkeen	Enintään 30 päivää
Varaukset ja laskut	7 vuotta (kirjanpito- ja verovaatimukset)
Turvallisuuslokit	12 kuukautta
Cookies	Enintään 13 kuukautta (ePrivacy)
Markkinointitiedot peruutuksen jälkeen	6 kuukautta
Tuki ja riidat	3 vuotta viimeisestä yhteydenotosta

Ajan päättyessä poistamme, minimoimme tai anonymisoimme tiedot mahdollisuuksien mukaan. Välittömään poistoon ota yhteyttä [email protected].

8. Tietoturva

Käytämme kohtuullisia turvatoimia (esim. pääsynhallinta, suojausteknologiat, salasanojen salaus). Mikään siirto- tai tallennusmenetelmä ei kuitenkaan ole 100 % turvallinen.

9. Oikeutesi ja valintasi

Sovellettavasta lainsäädännöstä riippuen sinulla voi olla oikeus:

• Pyytää pääsyä tietoihisi, niiden oikaisua tai poistamista,
• Peruuttaa markkinointisuostumus,
• Pyytää tietyn käsittelyn rajoittamista.

Saatamme pyytää lisätietoja henkilöllisyyden varmistamiseksi ennen pyyntöjen toteuttamista tilisi suojaamiseksi ja luvattoman pääsyn estämiseksi.

Lähettääksesi tietoihin liittyvän pyynnön, ota yhteyttä [email protected]. Vastaamme kaikkiin vahvistettuihin pyyntöihin 30 päivän kuluessa.

9.1 Lapset (COPPA / GDPR-K)

Palvelumme eivät ole suunnattu alle 13-vuotiaille. Emme tietoisesti kerää heidän tietojaan. Jos uskot, että lapsi on antanut meille henkilötietoja, ilmoita asiasta osoitteessa [email protected], niin poistamme ne.

10. Kolmannen osapuolen linkit

Sivusto voi sisältää linkkejä muille verkkosivustoille. Emme ole vastuussa näiden sivustojen tietosuojakäytännöistä.

11. Kansainväliset tiedonsiirrot

Tietoja saatetaan käsitellä muissa maissa (esim. Yhdysvallat) riippuen hosting-sijainneista tai palveluntarjoajista (esim. Google). Käyttämällä Sivustoa ymmärrät, että tietojen käsittelyä voi tapahtua yli rajojen tämän käytännön mukaisesti.

12. Muutokset tähän tietosuojakäytäntöön

Saatamme päivittää tätä käytäntöä aika ajoin. Päivitämme "Viimeksi päivitetty" -päivämäärän yläosaan. Sivuston käytön jatkaminen päivitysten jälkeen merkitsee päivitetyn käytännön hyväksymistä.

13. Ota yhteyttä

13.1 Data Protection Officer (DPO)

In accordance with GDPR Article 37, Saudi PDPL Implementing Regulation Article 32, and UAE Federal Decree-Law 45/2021 Article 11, we have appointed a Data Protection Officer (DPO) as the official contact point for all privacy and data protection inquiries.

DPO dedicated email: [email protected]

Postal address: Vicatoo, Inc., Attn: Data Protection Officer, 1111B S Governors Ave, STE 55694, Dover, DE 19904, USA

Response time: The DPO will respond to all verified inquiries within 30 calendar days maximum (per GDPR Art. 12(3) and PDPL Art. 8).

For data-related rights (access, rectification, erasure, portability), you may also use our online Data Subject Request form.

Security breach reporting: If you notice any leak or unauthorized access to your data, please notify the DPO immediately at [email protected]. We will notify the relevant regulators (SDAIA / UAE Data Office / EU DPA) within 72 hours as required by law.

14. Kalifornian tietosuojaoikeudet (CCPA)

Jos olet Kalifornian asukas, sinulla on seuraavat oikeudet California Consumer Privacy Actin (CCPA) mukaisesti:

• Oikeus tietää, mitä henkilötietoja keräämme sinusta
• Oikeus poistaa henkilötietosi
• Oikeus kieltäytyä henkilötietojesi myynnistä
• Oikeus syrjimättömyyteen oikeuksiesi käyttämisessä

Emme myy henkilötietojasi kolmansille osapuolille. Jaamme tietoja vain palveluntarjoajien kanssa, jotka ovat välttämättömiä alustamme toiminnalle (maksunkäsittely, hotellivarausinfrastruktuuri, analytiikka).

Käyttääksesi mitä tahansa oikeuttasi, ota meihin yhteyttä: [email protected]

Vastaamme kaikkiin vahvistettuihin pyyntöihin 45 päivän kuluessa Kalifornian lain mukaisesti.

15. Legal Bases for Processing (GDPR)

If you are located in the European Economic Area (EEA), we process your personal data based on the following legal grounds under the General Data Protection Regulation (GDPR):

• Performance of a Contract: Processing necessary to fulfill our obligations to you, such as processing bookings, managing your account, and providing customer support.
• Consent: Where you have given us explicit consent, such as subscribing to our newsletter, accepting non-essential cookies, or enabling marketing communications. You may withdraw consent at any time.
• Legitimate Interests: Processing necessary for our legitimate business interests, such as improving our services, preventing fraud, ensuring platform security, and conducting analytics — provided these interests do not override your rights.
• Legal Obligation: Processing required to comply with applicable laws, regulations, or legal proceedings.

Your GDPR Rights

In addition to the rights listed in Section 9, EEA residents may also:

• Request data portability (receive your data in a structured, machine-readable format)
• Object to processing based on legitimate interests
• Lodge a complaint with your local Data Protection Authority (DPA)

To exercise any of these rights, contact us at [email protected].

16. Use of Artificial Intelligence & Automated Decision-Making

Vicatoo uses artificial intelligence (AI) technologies to enhance your experience:

• Smart Search: AI-powered natural language search to help you find hotels matching your preferences (e.g., "family hotel near the beach with a pool").
• Content Generation: AI may assist in generating or translating hotel descriptions and room summaries to provide you with relevant information in your preferred language.
• Personalized Suggestions: AI may analyze your search patterns and preferences to suggest hotels and destinations that may interest you.
• Third-party AI providers (sub-processors): To power these features, limited data may be processed by external AI providers: OpenAI (to understand your search queries and to assist our customer-support chat) and Anthropic (Claude) (used together with our human team for post-booking customer support). We never share your name, email, or payment details with them. They act as data processors under their own privacy and security terms and do not use API data to train public AI models.

No Automated Decisions with Legal Effect: We do not use AI or automated processing to make decisions that produce legal effects or similarly significant effects on you (such as credit decisions or pricing discrimination). All booking confirmations and payment decisions involve human oversight or direct user action.

Oikeus inhimilliseen tarkasteluun (GDPR Art. 22): Jos automaattinen päätös vaikuttaa sinuun merkittävästi, sinulla on oikeus pyytää inhimillistä tarkastelua, ilmaista näkemyksesi ja kiistää päätös. Lähetä pyyntö osoitteeseen [email protected], vastaamme 30 päivän kuluessa.

AI features process your search queries and interaction data. This data is handled in accordance with the data protection principles described throughout this policy.

17. Henkilötietojen suoja GCC-maissa (PDPL)

Jos asut Saudi-Arabiassa, Yhdistyneissä arabiemiirikunnissa tai muussa GCC-maassa, sinuun sovelletaan seuraavia oikeuksia:

• Saudi-Arabia: Henkilötietojen suojalaki (PDPL) — Kuninkaallinen asetus nro M/19 vuodelta 2021, muutokset 2023.
• UAE: Liittovaltion asetus-laki nro (45) vuodelta 2021 henkilötietojen suojasta.

Oikeutesi sisältävät:

• Oikeus saada tietoa.
• Oikeus tutustua tietoihin.
• Oikeus tietojen oikaisuun.
• Oikeus tietojen poistamiseen.
• Oikeus vastustaa käsittelyä.
• Oikeus peruuttaa suostumus.
• Oikeus siirtää tiedot.

Valitus sääntelijöille: Saudi-Arabia: SDAIA — sdaia.gov.sa. UAE: UAE Data Office — uaedo.gov.ae.

Käyttääksesi näitä oikeuksia, ota yhteyttä [email protected].

17.2 UAE Federal Decree-Law on Personal Data Protection (45/2021)

If you are a resident or citizen of the United Arab Emirates, the processing of your data is also governed by UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data, supervised by the UAE Data Office.

We commit to:

• Obtaining your explicit consent (Article 6): before any processing of your personal data unless another legal basis applies.
• Guaranteeing your rights (Articles 13-19): right of access, rectification, erasure, restriction of processing, data portability, and objection.
• Security breach reporting (Article 9): We will notify the UAE Data Office and affected users within 72 hours of discovering any breach.
• Cross-border data transfer (Articles 22-23): We apply strict contractual and technical safeguards when transferring your data to overseas processors (such as Stripe in the US, ETG (RateHawk) in Turkey, HostGator/cPanel for server hosting).
• Parental consent for minors: UAE law sets the age of consent at 21 years — we do not accept registrations from minors without verified parental consent.

Filing a complaint: For any complaint regarding the processing of your data, you may contact the UAE Data Office or write to our DPO at [email protected].

Penalties under UAE law may reach AED 5 million (~USD 1.36M) per violation, plus service suspension. We take our obligations toward UAE users with utmost seriousness.