Privacyverklaring

01Wie wij zijn

Salnos B.V., die naar buiten treedt onder de naam SalnOS, maakt salonsoftware voor kapsalons, barbershops en schoonheidssalons. Als deze verklaring spreekt over "wij", "ons" of "SalnOS", bedoelen we dit bedrijf.

Statutaire naam

Salnos B.V., handelend onder de naam SalnOS

Adres

Scholeksterstraat 9, 2352 ED Leiderdorp, Nederland

KvK-nummer

42160236

Vestigingsnummer

000066657229

Privacyvragen

marijn@salnos.com

Functionaris gegevensbescherming

Wij zijn niet verplicht een FG aan te stellen en hebben dat op dit moment niet gedaan. Privacyvragen komen binnen bij het adres hierboven en worden intern behandeld door de verantwoordelijke voor gegevensbescherming.

02Onze twee rollen

Dit is het belangrijkste stuk van deze verklaring, want er zitten twee soorten gegevens in SalnOS en de wet behandelt ze verschillend.

03Gegevens die wij zelf bepalen

Hieronder staat per situatie welke gegevens wij verwerken, waarom, op welke grondslag uit de AVG en hoe lang wij ze houden.

Je vraagt een demo aan of neemt contact op

Je bent klant en hebt een account

Je krijgt e-mail van ons over de dienst

Bezwaar maken tegen e-mail op basis van gerechtvaardigd belang kan altijd, met de afmeldlink onderin elke mail of met een bericht aan marijn@salnos.com. Wij stoppen dan direct.

Je solliciteert bij ons

Wij bewaren je sollicitatie tot 4 weken na het einde van de procedure. Wil je dat wij je gegevens langer houden voor een andere functie, dan vragen wij je daar apart toestemming voor en bewaren wij ze maximaal 1 jaar.

04Gegevens van salonklanten

Als een salon met SalnOS werkt, staan er gegevens van haar klanten in het systeem. Denk aan naam, telefoonnummer, e-mailadres, afspraken, behandelingen, kleurformules, notities van de stylist, betaalgegevens en aankoopgeschiedenis.

1. De salon is voor die gegevens de verwerkingsverantwoordelijke. Zij bepaalt wat er wordt vastgelegd, waarom, hoe lang en aan wie het wordt verstrekt. Zij moet daar zelf een geldige grondslag voor hebben en haar klanten daarover informeren.
2. Wij verwerken die gegevens uitsluitend in opdracht van de salon en alleen voor zover dat nodig is om de dienst te leveren, te beveiligen en te ondersteunen. Wij gebruiken ze niet voor onze eigen doelen, niet voor marketing en niet om profielen op te bouwen.
3. Onze medewerkers kunnen alleen bij deze gegevens als dat nodig is voor support of storingsonderzoek. Die toegang is beperkt tot de mensen die het nodig hebben, gaat via persoonlijke accounts met tweefactorauthenticatie en wordt vastgelegd in een log dat de salon kan opvragen.
4. Wij verkopen deze gegevens niet, aan niemand, onder geen enkele voorwaarde. Wij stellen ze ook niet beschikbaar aan andere salons of aan derden voor commerciële doeleinden.
5. Wat wij verder wel en niet mogen, welke beveiliging wij toepassen, welke subverwerkers wij inschakelen en wat er bij beëindiging met de gegevens gebeurt, staat in de verwerkersovereenkomst. Die hoort bij elk contract dat wij met een salon sluiten.

05Gezondheidsgegevens en andere gevoelige gegevens

1. In een salon komen soms gegevens voor die de AVG bijzondere persoonsgegevens noemt. Een allergie voor een kleurmiddel, een huidaandoening, een zwangerschap of een medicijngebruik dat invloed heeft op een behandeling zijn gezondheidsgegevens in de zin van artikel 9 AVG. Voor het verwerken daarvan geldt in beginsel een verbod, waarop de wet uitzonderingen kent.
2. De salon bepaalt of zij dit soort gegevens vastlegt en moet zich ervan verzekeren dat zij daarvoor een uitzondering uit artikel 9 lid 2 AVG heeft, in de praktijk vrijwel altijd de uitdrukkelijke toestemming van de klant, en daarnaast een grondslag uit artikel 6 AVG. Wij kunnen dat niet voor de salon beoordelen en doen dat ook niet.
3. Wat wij wel doen: SalnOS biedt een apart, duidelijk gemarkeerd veld voor dit soort informatie, legt vast wie het invulde en wanneer, registreert de toestemming van de klant bij het profiel, en beperkt de toegang tot medewerkers die de behandeling uitvoeren. Bijzondere persoonsgegevens worden versleuteld opgeslagen.
4. Wij adviseren salons om in dit veld alleen vast te leggen wat werkelijk nodig is voor een veilige behandeling, en niets meer.
5. Verwerkt een salon op grote schaal bijzondere persoonsgegevens, dan kan zij verplicht zijn een gegevensbeschermingseffectbeoordeling uit te voeren (art. 35 AVG). Wij leveren op verzoek de informatie die zij daarvoor nodig heeft.

06Website en cookies

1. Op salnos.com staan geen trackingcookies, geen advertentiepixels en geen analyticsdienst die je over websites heen volgt. Wij plaatsen geen Google Analytics, geen Facebook-pixel en geen vergelijkbare techniek. Daarom zie je hier geen cookiebanner: er is niets om toestemming voor te vragen.
2. Wij plaatsen alleen cookies of lezen alleen gegevens van je apparaat uit als dat strikt noodzakelijk is om de website of het inloggen te laten werken. Dat mag zonder toestemming op grond van artikel 11.7a lid 3 van de Telecommunicatiewet. Concreet gaat het om een sessiecookie na het inloggen en om technische opslag die nodig is voor beveiliging.
3. Onze webserver legt standaard bezoeken vast in een logbestand: het IP-adres, het opgevraagde adres, het tijdstip, de verwijzende pagina en het type browser. Wij gebruiken dat alleen om storingen en aanvallen te onderzoeken, op grond van ons gerechtvaardigd belang bij een veilige website. Deze logs worden na 30 dagen verwijderd.
4. Het lettertype op deze site wordt geladen via Google Fonts. Daarbij ziet Google het IP-adres van je browser. Wij hebben hier geen inhoudelijke gegevens bij en gebruiken de dienst alleen voor weergave. Deze verbinding is de enige die je browser naar een partij buiten onze eigen server maakt.
5. Als je op een pagina van ons een video, kaart of ander onderdeel van een andere partij tegenkomt, staat daar altijd bij van wie dat is en wordt het pas geladen nadat je daarop klikt.

07AI-functies

1. SalnOS gebruikt kunstmatige intelligentie om routinewerk af te handelen, bijvoorbeeld om een afspraak in te plannen, een terugkomherinnering op te stellen of een uitzondering aan een medewerker voor te leggen.
2. Voor een deel van die functies schakelen wij Anthropic in, de aanbieder van Claude. Die leverancier is subverwerker en staat met de andere op de subverwerkerslijst in de verwerkersovereenkomst. Met die leverancier is contractueel vastgelegd dat gegevens uit SalnOS niet worden gebruikt om modellen te trainen of te verbeteren, dat ze alleen worden verwerkt om de opdracht uit te voeren en dat ze daarna binnen een korte termijn worden verwijderd.
3. Wij sturen alleen naar de AI-leverancier wat nodig is voor de betreffende taak. Waar dat kan worden gegevens vooraf ontdaan van direct herleidbare kenmerken. Gezondheidsgegevens worden niet naar een AI-leverancier gestuurd.
4. Waar je in SalnOS met een AI-functie praat of AI-gegenereerde tekst voorgeschoteld krijgt, staat dat er duidelijk bij. Dat doen wij omdat wij het juist vinden en omdat artikel 50 van de AI-verordening dat vanaf 2 augustus 2026 voorschrijft.
5. Een AI-functie in SalnOS neemt geen besluit met rechtsgevolg of vergelijkbaar ingrijpend gevolg voor een persoon zonder dat een mens daarnaar kijkt. Er is dus geen sprake van geautomatiseerde besluitvorming in de zin van artikel 22 AVG.
6. De salon kan de AI-functies per onderdeel uitzetten.

08Wie je gegevens nog meer ziet

1. Wij schakelen leveranciers in die namens ons gegevens verwerken: hosting, e-mailverzending, betaalverwerking, supportsoftware, boekhouding en de AI-leverancier uit hoofdstuk 7. Met al die partijen sluiten wij een verwerkersovereenkomst waarin staat dat zij de gegevens alleen voor onze opdracht gebruiken en passend beveiligen.
2. De volledige, actuele lijst met subverwerkers, inclusief wat zij doen en waar zij de gegevens opslaan, staat in bijlage B van de verwerkersovereenkomst. Wij melden een nieuwe of vervangende subverwerker minimaal 30 dagen van tevoren, zodat een salon bezwaar kan maken.
3. Daarnaast kunnen gegevens terechtkomen bij partijen die zelf verantwoordelijk zijn voor wat zij ermee doen, zoals een betaaldienstverlener met een eigen wettelijke taak, onze accountant of een advocaat.
4. Wij verstrekken gegevens aan een opsporingsinstantie, toezichthouder of rechter alleen als wij daartoe wettelijk verplicht zijn. Wij toetsen zo'n verzoek en verstrekken niet meer dan strikt gevorderd. Betreft het gegevens van een salonklant, dan informeren wij de salon daarover, tenzij de wet dat verbiedt.
5. Bij een fusie, overname of doorstart kunnen gegevens overgaan naar de verkrijgende partij. Wij informeren betrokkenen daar vooraf over en de verkrijgende partij is aan deze verklaring gebonden.
6. Wij verkopen persoonsgegevens niet en verhuren ze niet.

09Doorgifte buiten de EER

1. Alle gegevens uit SalnOS worden opgeslagen en verwerkt in datacentra binnen de Europese Economische Ruimte, concreet in Ierland en in Amsterdam. Je data verlaat dat gebied niet.
2. Een aantal leveranciers waar wij gebruik van maken heeft een moederbedrijf buiten de EER, in de praktijk in de Verenigde Staten. Ook al staat de data in een Europese regio, dan kan er bij support of beheer incidenteel toegang zijn vanuit een derde land.
3. Voor die gevallen zorgen wij voor een geldige grondslag onder hoofdstuk V van de AVG. In de praktijk is dat een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework voor deelnemende Amerikaanse partijen, of anders de standaardcontractbepalingen van de Europese Commissie in combinatie met aanvullende maatregelen zoals versleuteling en toegangsbeperking.
4. Bij welke subverwerker dit speelt en welke waarborg daar geldt, staat per partij vermeld in bijlage B.
5. Een kopie van de gebruikte standaardcontractbepalingen kun je opvragen via marijn@salnos.com.

10Hoe lang wij bewaren

1. Voor de gegevens waarvoor wij zelf verantwoordelijk zijn, gelden de termijnen in de tabellen in hoofdstuk 3. Kort samengevat: contactgegevens van prospects 12 maanden, accountgegevens de duur van de overeenkomst plus 6 maanden, facturen en de administratie 7 jaar wegens de fiscale bewaarplicht, en logs tussen 30 dagen en 24 maanden.
2. Voor de gegevens van salonklanten bepaalt de salon de bewaartermijn. Wij bewaren wat zij in het systeem zet zolang de overeenkomst loopt.
3. Na het einde van de overeenkomst kan een salon 30 dagen lang haar volledige gegevensbestand exporteren. Daarna verwijderen wij de gegevens uit de productieomgeving binnen 30 dagen en uit de back-ups binnen 90 dagen, tenzij de salon schriftelijk om langere opslag vraagt of de wet ons verplicht ze te bewaren.
4. Wij bewaren nooit langer dan nodig. Waar een termijn hierboven niet uitdrukkelijk is genoemd, geldt: zo lang als nodig voor het doel waarvoor de gegevens zijn verzameld, en niet langer.

11Beveiliging

Wij nemen passende technische en organisatorische maatregelen, zoals artikel 32 AVG voorschrijft. Onder meer:

• Al het verkeer tussen je browser en SalnOS loopt over TLS. Gegevens op de opslag zijn versleuteld, bijzondere persoonsgegevens aanvullend op veldniveau.
• Wachtwoorden worden nooit leesbaar opgeslagen, maar gehasht met een modern, traag algoritme.
• Tweefactorauthenticatie is beschikbaar voor elk account en verplicht voor beheerdersrollen en voor al onze eigen medewerkers.
• Toegang binnen ons team is verdeeld op basis van rol en op basis van noodzaak. Toegang tot klantdata wordt gelogd en periodiek gecontroleerd.
• Elke salon heeft een strikt gescheiden gegevensruimte. Wij testen bij elke release dat gegevens niet tussen salons kunnen weglekken.
• Dagelijkse back-ups, versleuteld opgeslagen, met periodieke hersteltests.
• Beveiligingsupdates worden met voorrang doorgevoerd. Wij monitoren afhankelijkheden op bekende kwetsbaarheden.
• Nieuwe medewerkers tekenen een geheimhoudingsverklaring en krijgen instructie over het omgaan met klantgegevens.

Denk je dat je een kwetsbaarheid hebt gevonden? Meld het op marijn@salnos.com. Wij reageren binnen 3 werkdagen, lossen het op en ondernemen geen juridische stappen tegen wie een melding in redelijkheid en zonder schade doet.

12Datalekken

1. Gaat er ondanks alles iets mis, dan onderzoeken wij dat direct, beperken wij de schade en leggen wij vast wat er is gebeurd.
2. Betreft het gegevens waarvoor wij verantwoordelijk zijn en levert het waarschijnlijk een risico op voor betrokkenen, dan melden wij het binnen 72 uur bij de Autoriteit Persoonsgegevens en, bij een hoog risico, ook aan de betrokkenen zelf.
3. Betreft het gegevens van een salon, dan melden wij het onverwijld aan die salon, uiterlijk binnen 24 uur nadat wij het lek hebben ontdekt, met alle informatie die zij nodig heeft om haar eigen melding te doen. De melding bij de toezichthouder is in dat geval aan de salon, want zij is de verantwoordelijke.

13Jouw rechten

Je hebt de volgende rechten. Ze gelden voor de gegevens waarvoor wij verwerkingsverantwoordelijke zijn. Gaat het om gegevens die een salon over jou heeft vastgelegd, richt je dan tot die salon.

Inzage

Opvragen welke gegevens wij van je hebben en een kopie daarvan krijgen.

Rectificatie

Onjuiste gegevens laten corrigeren en onvolledige gegevens laten aanvullen.

Verwijdering

Je gegevens laten wissen, tenzij wij ze wettelijk moeten bewaren, bijvoorbeeld facturen.

Beperking

De verwerking tijdelijk laten stilleggen, bijvoorbeeld terwijl wij een bezwaar behandelen.

Bezwaar

Bezwaar maken tegen verwerking op grond van gerechtvaardigd belang. Tegen direct marketing kun je altijd bezwaar maken en dan stoppen wij zonder afweging.

Overdraagbaarheid

De gegevens die je zelf hebt aangeleverd in een gangbaar, machineleesbaar bestand ontvangen of rechtstreeks naar een andere partij laten sturen.

Toestemming intrekken

Waar wij om toestemming hebben gevraagd, kun je die op elk moment intrekken. Wat daarvoor gebeurde blijft rechtmatig.

Stuur je verzoek naar marijn@salnos.com. Wij reageren binnen een maand. Is je verzoek ingewikkeld, dan kunnen wij die termijn met twee maanden verlengen en laten wij je dat binnen de eerste maand weten. Wij kunnen om aanvullende gegevens vragen om zeker te weten dat jij het bent. Aan een verzoek zijn geen kosten verbonden, tenzij het kennelijk ongegrond of buitensporig is.

14Klacht indienen

Ben je het niet eens met hoe wij met je gegevens omgaan, laat het ons eerst weten via marijn@salnos.com. Wij lossen het liever zelf op. Kom je er met ons niet uit, dan heb je het recht een klacht in te dienen bij de Nederlandse toezichthouder:

Woon je in een ander EU-land, dan kun je ook terecht bij de toezichthouder van jouw land.

15Wijzigingen

1. Verandert onze dienst of de wet, dan passen wij deze verklaring aan. De actuele versie staat altijd op salnos.com/privacy, met het versienummer en de datum bovenaan.
2. Bij een wijziging die wezenlijk is voor onze klanten, bijvoorbeeld een nieuw doel of een nieuwe categorie ontvangers, informeren wij hen minimaal 30 dagen van tevoren per e-mail.
3. Eerdere versies zijn op te vragen via marijn@salnos.com.