Personvernregler

Personvernregler — Vicatoo

Versjon: 1.0

Sist oppdatert: 29. mars 2026

Key changes in v2.0:

• Added §17 — GCC Personal Data Protection Law (Saudi PDPL + UAE Federal Decree-Law 45/2021)
• Added §13.1 — Data Protection Officer (DPO) and dedicated contact channels
• Added detailed Retention Periods table (§7)
• Added §9.1 — Children Protection (COPPA / GDPR-K)
• Added §16.1 — Right to Human Review of automated decisions (GDPR Article 22)
• Clarified Microsoft Clarity input masking in Cookie Policy
• Unified communication channels: privacy@ for privacy, legal@ for legal, support@ for support

Disse personvernreglene forklarer hvordan Vicatoo, Inc. (som driver virksomhet som "Vicatoo") ("Selskapet", "vi", "oss", "vår") samler inn, bruker, deler og beskytter informasjonen din når du bruker www.vicatoo.com ("Nettstedet") og våre tjenester.

Ved å bruke Nettstedet, opprette en konto, fylle ut et kontaktskjema eller kommunisere med oss via WhatsApp/E-post, godtar du praksisene beskrevet i disse reglene. Vennligst les også våre Bruksvilkår og Bestillings- og avbestillingsregler.

Offisielle kanaler: [email protected] for generelle spørsmål, [email protected] for personvern- og databeskyttelsesforespørsler, og [email protected] for juridiske spørsmål, samt WhatsApp-nummeret nevnt i delen "Kontakt oss". Kommunikasjon fra andre kanaler anses ikke som offisiell.

1. Informasjon vi samler inn

Vi samler inn informasjon du gir direkte til oss og informasjon som samles inn automatisk.

1.1 Informasjon du gir

Vi kan samle inn:

• Kontodata: Navn (hvis aktuelt), e-post, telefon-/WhatsApp-nummer, brukernavn og passord (kryptert).
• Kontaktskjema: Navn, e-post, telefonnummer, meldingsemne og innhold.
• Bestillingsforespørselsdata: Destinasjon, oppholdsdata, antall gjester, preferanser (f.eks. utsiktstype, stille rom, kjøkkentilgjengelighet...) og alle detaljer du sender oss via WhatsApp/E-post.
• Støttekommunikasjon: Innhold i chatter og korrespondanse med teamet vårt.

Merk: Vennligst ikke del sensitive data (som betalingskortopplysninger eller helseinformasjon). Hvis vi mottar slike data ved en feil, vil vi forsøke å slette dem der det er mulig og rimelig.

1.2 Automatisk innsamlet informasjon (Informasjonskapsler og analyse)

Når du bruker Nettstedet, kan vi samle inn:

• IP-adresse, nettlesertype og enhet, operativsystem, besøkte sider, besøksvarighet og henvisningskilde.
• Data via informasjonskapsler og lignende teknologier.

Vi bruker Google Analytics for å forstå nettstedsbruk og forbedre ytelsen. Google kan bruke informasjonskapsler og lignende identifikatorer for å samle inn bruksdata i aggregert form.

Vi bruker Google Tag Manager (GTM) for å administrere analyse- og markedsføringsverktøy. GTM samler ikke inn personopplysninger i seg selv.

Vi bruker Meta (Facebook) Pixel for å måle effektiviteten av våre reklamekampanjer. Aktiveres kun med ditt samtykke.

Vi bruker TikTok Pixel for å måle og optimalisere reklamekampanjer på TikTok. Aktiveres kun med ditt samtykke.

Vi bruker Microsoft Clarity for å forstå brukerinteraksjon via øktopptak og varmekart. Aktiveres kun med ditt samtykke.

Vi bruker Sentry for å overvåke tekniske feil på siden og rette dem raskt. Når det oppstår en feil, sendes tekniske data automatisk til Sentry, inkludert: IP-adresse, nettlesertype, URL-en der feilen oppstod, og øktinformasjon (hvis aktuelt). Disse dataene brukes utelukkende til teknisk feilsøking og forbedring av opplevelsen din. Sentrys personvernpolicy: https://sentry.io/privacy/

Viktig: Meta Pixel, TikTok Pixel og Microsoft Clarity lastes kun etter ditt samtykke til ikke-essensielle cookies.

2. Hvordan vi bruker informasjonen din

Vi bruker informasjon til å:

• Administrere konto og tjenesteleveranse: Opprette kontoer, logge inn og administrere innstillinger.
• Koordinere bestillinger: Kommunisere med deg, forstå forespørselen din, koordinere med hotellet og sende Bekreftelsesmeldingen.
• Kundeservice: Svare på henvendelser og løse problemer.
• Produkt- og nettstedsforbedring: Analysere ytelse, forbedre brukeropplevelsen og utvikle funksjoner.
• Sikkerhet og svindelforebygging: Beskytte kontoer og Nettstedet samt verifisere mistenkelige aktiviteter.
• Markedsføring og annonsering (med ditt samtykke eller der det er tillatt ved lov): Sende nyhetsbrev/tilbud og administrere kontaktlister og annonsekampanjer.

3. Markedsføring (Nyhetsbrev og tilbud)

Vi kan sende deg markedsføringsmeldinger (nyhetsbrev/tilbud/oppdateringer) via e-post og/eller WhatsApp (avhengig av dine preferanser eller samtykke). Du kan melde deg av når som helst ved å:

• Klikke på lenken "Avmeld" hvis den er tilgjengelig i meldingen, eller
• Sende oss en e-post på [email protected] med forespørsel om fjerning fra listene.

Selv etter avmelding kan vi sende nødvendige "operasjonelle" meldinger (f.eks. relatert til kontoen din eller en bestilling du har forespurt).

4. Hvor vi lagrer dataene dine (WhatsApp + Google Regneark)

Noen WhatsApp-samtaler kan forbli innenfor WhatsApp-plattformen selv.

Vi kan også registrere kontaktdata og kundeforespørsler (som navn/telefon/e-post og forespørselssammendrag) i interne verktøy som Google Regneark eller CRM-systemer for å organisere arbeid, oppfølging og markedsføring.

Vi implementerer interne tilgangskontroller slik at data kun er tilgjengelig for autoriserte teammedlemmer. Vi begrenser tilgangsrettigheter basert på behov og kan gjennomgå/oppdatere rettigheter periodisk.

5. Deling av informasjon

Vi selger ikke din personlige informasjon. Vi kan kun dele den i følgende tilfeller:

5.1 Med hoteller

Vi deler nødvendig informasjon for å bekrefte bestillingen (navn, oppholdsdata, antall gjester, preferanser) med hotellet eller dets representant.

5.2 Med tjenesteleverandører (Databehandlere)

Vi kan dele begrensede data med leverandører som hjelper oss med å drifte Nettstedet og Tjenesten, for eksempel:

• Hotel suppliers and booking partners — to fulfill reservations,
• Payment service providers — to process transactions securely,
• Hosting-, infrastruktur- og e-postleverandører,
• Analyse- og sporingsverktøy (Google Analytics, Google Tag Manager, Meta Pixel, TikTok Pixel, Microsoft Clarity),
• Nyhetsbrevutsendelsesverktøy (hvis brukt),

Disse leverandørene behandler data på våre vegne, under våre instrukser og kun i den grad det er nødvendig for å levere tjenesten.

5.3 Juridiske årsaker

Vi kan utlevere data hvis det kreves for å overholde loven, beskytte Selskapets/Brukerens rettigheter, forebygge svindel eller for systemsikkerhet.

5.4 Forretningstransaksjoner

Ved en fusjon, oppkjøp eller salg av eiendeler kan data overføres som en del av prosessen i samsvar med loven, med passende varsel der det kreves.

6. Administrasjon av informasjonskapsler og sporing

Du kan kontrollere informasjonskapsler via nettleserinnstillingene dine. Deaktivering av informasjonskapsler kan påvirke visse nettstedsfunksjoner (f.eks. pålogging).

Vi kan vise en melding eller banner for å administrere informasjonskapselinnstillinger avhengig av land eller regulatoriske krav, slik at du kan akseptere/avvise visse typer informasjonskapsler.

7. Dataoppbevaring

Vi oppbevarer data kun i den perioden som er nødvendig for å oppfylle de angitte formålene. Tabellen viser spesifikke oppbevaringsperioder:

Datakategori	Oppbevaringsperiode
Aktiv konto	Så lenge du bruker tjenesten
Etter sletting av konto	Inntil 30 dager
Bestillinger og fakturaer	7 år (regnskaps-/skattekrav)
Sikkerhetslogger	12 måneder
Cookies	Inntil 13 måneder (ePrivacy)
Markedsføring etter avmelding	6 måneder
Support og tvister	3 år fra siste interaksjon

Når perioden utløper, sletter, minimerer eller anonymiserer vi data hvor mulig. For umiddelbar sletting kontakt [email protected].

8. Informasjonssikkerhet

Vi bruker rimelige sikkerhetstiltak (f.eks. tilgangskontroller, beskyttelsesteknologier, passordkryptering). Ingen overførings- eller lagringsmetode er imidlertid 100 % sikker.

9. Dine rettigheter og valg

Avhengig av gjeldende lovgivning kan du ha rett til å:

• Be om tilgang til, retting av eller sletting av dataene dine,
• Trekke tilbake samtykke for markedsføring,
• Be om begrensning av visse behandlinger.

Vi kan be om ytterligere informasjon for å verifisere identiteten før vi utfører forespørsler for å beskytte kontoen din og forhindre uautorisert tilgang.

For å sende inn en datarelatert forespørsel, kontakt [email protected]. Vi besvarer alle bekreftede forespørsler innen 30 dager.

9.1 Barn (COPPA / GDPR-K)

Tjenestene våre er ikke rettet mot personer under 13 år. Vi samler ikke bevisst inn deres data. Hvis du tror et barn har gitt oss personlige opplysninger, varsle oss på [email protected], så sletter vi dem.

10. Tredjepartslenker

Nettstedet kan inneholde lenker til andre nettsteder. Vi er ikke ansvarlige for disse nettstedenes personvernpraksis.

11. Internasjonale dataoverføringer

Data kan behandles i andre land (f.eks. USA) avhengig av hostinglokasjoner eller tjenesteleverandører (f.eks. Google). Ved å bruke Nettstedet forstår du at databehandling kan skje på tvers av landegrenser i samsvar med disse reglene.

12. Endringer i disse personvernreglene

Vi kan oppdatere disse reglene fra tid til annen. Vi vil oppdatere datoen "Sist oppdatert" øverst. Fortsatt bruk av Nettstedet etter endringer utgjør aksept av de oppdaterte reglene.

13. Kontakt oss

13.1 Data Protection Officer (DPO)

In accordance with GDPR Article 37, Saudi PDPL Implementing Regulation Article 32, and UAE Federal Decree-Law 45/2021 Article 11, we have appointed a Data Protection Officer (DPO) as the official contact point for all privacy and data protection inquiries.

DPO dedicated email: [email protected]

Postal address: Vicatoo, Inc., Attn: Data Protection Officer, 1111B S Governors Ave, STE 55694, Dover, DE 19904, USA

Response time: The DPO will respond to all verified inquiries within 30 calendar days maximum (per GDPR Art. 12(3) and PDPL Art. 8).

For data-related rights (access, rectification, erasure, portability), you may also use our online Data Subject Request form.

Security breach reporting: If you notice any leak or unauthorized access to your data, please notify the DPO immediately at [email protected]. We will notify the relevant regulators (SDAIA / UAE Data Office / EU DPA) within 72 hours as required by law.

14. Personvernrettigheter i California (CCPA)

Hvis du er bosatt i California, har du følgende rettigheter i henhold til California Consumer Privacy Act (CCPA):

• Retten til å vite hvilke personopplysninger vi samler inn om deg
• Retten til å slette dine personopplysninger
• Retten til å nekte salg av dine personopplysninger
• Retten til ikke-diskriminering for utøvelse av dine rettigheter

Vi selger ikke din personlige informasjon til tredjeparter. Vi deler data kun med tjenesteleverandører som er nødvendige for å drifte plattformen vår (betalingsbehandling, hotellbookinginfrastruktur, analyser).

For å utøve noen av dine rettigheter, kontakt oss på: [email protected]

Vi vil svare på alle verifiserte forespørsler innen 45 dager i henhold til California-loven.

15. Legal Bases for Processing (GDPR)

If you are located in the European Economic Area (EEA), we process your personal data based on the following legal grounds under the General Data Protection Regulation (GDPR):

• Performance of a Contract: Processing necessary to fulfill our obligations to you, such as processing bookings, managing your account, and providing customer support.
• Consent: Where you have given us explicit consent, such as subscribing to our newsletter, accepting non-essential cookies, or enabling marketing communications. You may withdraw consent at any time.
• Legitimate Interests: Processing necessary for our legitimate business interests, such as improving our services, preventing fraud, ensuring platform security, and conducting analytics — provided these interests do not override your rights.
• Legal Obligation: Processing required to comply with applicable laws, regulations, or legal proceedings.

Your GDPR Rights

In addition to the rights listed in Section 9, EEA residents may also:

• Request data portability (receive your data in a structured, machine-readable format)
• Object to processing based on legitimate interests
• Lodge a complaint with your local Data Protection Authority (DPA)

To exercise any of these rights, contact us at [email protected].

16. Use of Artificial Intelligence & Automated Decision-Making

Vicatoo uses artificial intelligence (AI) technologies to enhance your experience:

• Smart Search: AI-powered natural language search to help you find hotels matching your preferences (e.g., "family hotel near the beach with a pool").
• Content Generation: AI may assist in generating or translating hotel descriptions and room summaries to provide you with relevant information in your preferred language.
• Personalized Suggestions: AI may analyze your search patterns and preferences to suggest hotels and destinations that may interest you.
• Third-party AI providers (sub-processors): To power these features, limited data may be processed by external AI providers: OpenAI (to understand your search queries and to assist our customer-support chat) and Anthropic (Claude) (used together with our human team for post-booking customer support). We never share your name, email, or payment details with them. They act as data processors under their own privacy and security terms and do not use API data to train public AI models.

No Automated Decisions with Legal Effect: We do not use AI or automated processing to make decisions that produce legal effects or similarly significant effects on you (such as credit decisions or pricing discrimination). All booking confirmations and payment decisions involve human oversight or direct user action.

Rett til menneskelig vurdering (Art. 22 GDPR): Hvis en automatisert beslutning påvirker deg vesentlig, har du rett til å be om menneskelig vurdering. Send forespørsel til [email protected], vi svarer innen 30 dager.

AI features process your search queries and interaction data. This data is handled in accordance with the data protection principles described throughout this policy.

17. Personvern i GCC-land (PDPL)

Hvis du er bosatt i Saudi-Arabia, De forente arabiske emirater eller andre GCC-land, gjelder følgende rettigheter:

• Saudi-Arabia: Personvernloven (PDPL) — Kongelig dekret nr. M/19 fra 2021 med endringer 2023.
• UAE: Føderal dekret-lov nr. (45) fra 2021 om personvern.

Dine rettigheter inkluderer:

• Rett til informasjon.
• Rett til innsyn.
• Rett til retting.
• Rett til sletting.
• Rett til å protestere.
• Rett til å trekke samtykke.
• Rett til dataportabilitet.

Klage til regulatorer: Saudi-Arabia: SDAIA — sdaia.gov.sa. UAE: UAE Data Office — uaedo.gov.ae.

For å utøve disse rettighetene: [email protected].

17.2 UAE Federal Decree-Law on Personal Data Protection (45/2021)

If you are a resident or citizen of the United Arab Emirates, the processing of your data is also governed by UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data, supervised by the UAE Data Office.

We commit to:

• Obtaining your explicit consent (Article 6): before any processing of your personal data unless another legal basis applies.
• Guaranteeing your rights (Articles 13-19): right of access, rectification, erasure, restriction of processing, data portability, and objection.
• Security breach reporting (Article 9): We will notify the UAE Data Office and affected users within 72 hours of discovering any breach.
• Cross-border data transfer (Articles 22-23): We apply strict contractual and technical safeguards when transferring your data to overseas processors (such as Stripe in the US, ETG (RateHawk) in Turkey, HostGator/cPanel for server hosting).
• Parental consent for minors: UAE law sets the age of consent at 21 years — we do not accept registrations from minors without verified parental consent.

Filing a complaint: For any complaint regarding the processing of your data, you may contact the UAE Data Office or write to our DPO at [email protected].

Penalties under UAE law may reach AED 5 million (~USD 1.36M) per violation, plus service suspension. We take our obligations toward UAE users with utmost seriousness.