Integritetspolicy

Ansvarig och omfattning

Nostium B.V., Bogert 1, 5612 LX Eindhoven, Nederländerna, är personuppgiftsansvarig för behandlingar där de bestämmer ändamål och medel. Denna förklaring gäller för den offentliga webbplatsen och, där Nostium är ansvarig, Nostium‑konton, bokningsmiljöer, portaler, integrationer, support och affärstjänster. Använd dataprotection@nostium.com för frågor eller begäran om integritet; allmänna frågor kan skickas till support@nostium.com eller +31 (0)40 8200 194.

Roller med anslutna organisationer

När du bokar med en organisation som använder Nostium är den organisationen i allmänhet ansvarig för sin service, innehållet i bokningen och sina egna kundkommunikationer. Nostium behandlar data som personuppgiftsbiträde när det agerar endast enligt den organisationens instruktioner, som självständig personuppgiftsansvarig för egna ändamål såsom plattformsäkerhet och administration, eller som gemensamt ansvarig när parterna faktiskt bestämmer ändamål och medel tillsammans. Gällande avtal dokumenterar fördelningen av roller; du kan utöva dina rättigheter hos vilken relevant part som helst.

Datakategorier och källor

Beroende på tjänst kan Nostium behandla ditt namn, adress, födelsedatum, e‑postadress, telefonnummer, organisations‑ eller anläggningsrelation, konto‑ och auktorisationsdata, bokningsdetaljer, deltagare, preferenser eller kommentarer, betalnings‑ och fakturastatus, korrespondens, supportinformation och tekniska loggar. Data kommer från dig, din arbetsgivare eller organisation, anläggningen du bokar hos, en ansluten biljett-, kupong-, betalnings- eller försäljningsplattform, eller genereras tekniskt vid användning. Vi begär inte mer data än vad som är rimligt nödvändigt för det aktuella ändamålet.

Webbplatsbesök och teknisk data

För nödvändig drift kan IP‑adress, enhets‑ och webbläsarinformation, språkinställning, datum och tid, begärd rutt, hänvisande sida samt fel‑ eller säkerhetsdata behandlas för att hålla tjänsten tillgänglig och säker. Efter ditt separata samtycke kan Google Analytics och Microsoft Clarity dessutom behandla en onlineidentifierare, ungefärlig region, session‑ och kampanjdata, sidvisningar och interaktioner såsom klick, scrollning och renderingbeteende. Clarity kan skapa maskerade sessioninspelningar och värmekartor från detta; inmatningsfält och känsligt innehåll maskeras. Efter marknadsföringssamtycke kan Tracklution behandla kampanjparametrar och konverteringshändelser. Dessa frivilliga behandlingar sker inte utan samtycke.

Kontakt-, demo- och partnerförfrågningar

När du skickar ett formulär behandlar Nostium de kontakt‑, företags‑ och meddelandedata du fyller i som krävs för att registrera, tilldela, besvara och följa upp din kontakt‑, demo‑ eller partnerskapsförfrågan. Företag är frivilligt för en kontaktförfrågan, och efternamn samt telefonnummer är frivilliga för en demo; lämna bort fritext som inte behövs för din förfrågan. Varje förfrågan lagras först i Nostium CMS. Efter att relevant behandling godkänts och aktiverats kan kontakt‑ och demoförfrågningar mejlas till det ansvariga teamet, skickas till Nostium Hub och, om aktiverat, skickas till befintligt HubSpot‑formulär. Partnerskapsförfrågningar kan mejlas efter godkänd mejlbehandling. CMS raderar öppna förfrågningar senast 24 månader efter mottagande och slutförda eller arkiverade förfrågningar senast 12 månader efter avslut. En raderingsbegäran vidarebefordras också till mottagare där det krävs. Denna behandling sker för att hantera din förfrågan och för vårt berättigade intresse av ordnad hantering av relationer och förfrågningar.

Bokningar, deltagare och betalningar

En bokning kan innehålla identifierings‑ och kontaktuppgifter, datum, tid, aktivitet, plats, antal eller namn på deltagare, särskilda önskemål, belopp, betalningsmetod, betalningsstatus och transaktionsidentifierare. Syften inkluderar skapande och ändring av bokningar, betalningar, accesskontroll, kapacitet och planering, bekräftelser, påminnelser, återbetalningar, support, bedrägeriförebyggande och efterlevnad av skatte‑ eller andra rättsliga skyldigheter. Den anslutna organisationen förblir huvudkontakt för innehållet i sitt erbjudande och sin service.

Konton och användaradministration

För personliga eller företagskonton behandlar Nostium information inklusive namn, e‑postadress, krypterade autentiseringsuppgifter, tvåfaktorsinställningar, organisations‑ och anläggningsrelationer, roller, behörigheter, inloggnings‑ och revisionsdata samt inställningar. Detta är nödvändigt för kontoskapande, autentisering, auktorisation, support, säkerhet och avtalsuppfyllelse. Dela aldrig inloggningsuppgifter; en organisations administratörer ansvarar också för korrekta användarbehörigheter i sin miljö.

Kunder, avtalor och administration

För företagskunder, leverantörer och partner behandlar vi kontaktuppgifter, roll, korrespondens, överenskommelser, offerter, fakturor, betalningsstatus och supporthistorik för att förbereda och utföra avtal, leverera tjänster, vårda relationer, fastställa rättigheter och uppfylla administrativa skyldigheter. Obligatorisk information är angiven som sådan; utan nödvändiga kontakt-, boknings-, konto‑ eller betalningsuppgifter kan aktuell tjänst vara otillgänglig.

Nostium nyhetsbrev och marknadsföring

Efter en frivillig prenumeration behandlar Nostium din e‑postadress, språk, samtyckestid, policyversion och abonnemangsstatus för att skicka relevanta produktuppdateringar eller information. Namn och företag är frivilliga. Marknadsföring som kräver samtycke baseras enbart på samtycket. Prenumerationen och beviset för samtycke förblir aktiva högst 24 månader efter senaste bekräftelse; därefter slutar vi skicka eller begär förnyat samtycke. Du kan återkalla tidigare via avprenumereringsfunktionen eller dataprotection@nostium.com; återkallelsen påverkar inte tidigare laglig behandling. Vid återkallelse raderar webbplatsens CMS väntande lokala e‑postkopior, blockerar ordinarie uppföljning och export i bulk, och raderar den arkiverade begäran senast 12 månader därefter. Eventuell nyhetsbrevtjänst som används måste också omedelbart tillämpa opt‑out och får endast behålla en minimal suppression‑post så länge som behövs för att respektera den.

Kommunikation från anslutna organisationer

En ansluten organisation kan använda Nostium för att skicka nödvändig bokningskommunikation såsom bekräftelser, påminnelser, ändringar, avbokningar eller servicemeddelanden. Den organisationen ansvarar för innehållet och den rättsliga grunden för sin egen marknadsföring; Nostium underlättar den tekniska leveransen inom ramen för tillämpliga sekretess‑ och behandlingsarrangemang. Du kan också vända frågor eller invändningar om sådan marknadsföring till avsändaren.

Cookies och samtycke

Den offentliga webbplatsen använder nödvändiga teknologier för sessionssäkerhet, formulärskydd och för att komma ihåg ditt val. Google Tag Manager, Google Analytics och Microsoft Claritys analysfunktioner förblir avstängda tills du tillåter Analytics; Tracklution och Microsoft‑lagring relaterad till annonser förblir avstängda tills du tillåter Marketing. Nostium använder strikt opt‑in och skickar inga cookieless‑mätningar efter avslag. Aktuella kategorier, teknologier, lagringstider och regler för Nederländerna, EU och Tyskland finns i cookie‑policyn. Samtycke kan återkallas via den permanenta Cookie‑inställningar‑kontrollen lika enkelt som det gavs; inlästa leverantörer får då avslaget, valfri åtkomlig first‑party‑lagring raderas och sidan startas om utan de borttagna skripten.

Rättsliga grunder

Nostium behandlar personuppgifter när det är nödvändigt för ett avtal eller åtgärder på din begäran, för att uppfylla en rättslig skyldighet, på grund av ditt samtycke eller för ett berättigat intresse såsom säkerhet, kontinuitet, bedrägeriförebyggande, support och varsam kundrelation. För berättigat intresse väger vi detta mot dina rättigheter och förväntningar. Känsliga personuppgifter behandlas endast när ett lämpligt GDPR‑undantag gäller; lämna inte sådana uppgifter om inte tjänsten eller anläggningen uttryckligen begär det.

Mottagare, personuppgiftsbiträden och Cherry B.V.

Åtkomst är begränsad till auktoriserad personal, den anslutna organisationen och tjänsteleverantörer som behövs för hosting, e‑post, support, säkerhet, betalningar, formulär, CRM eller integrationer. Kontakt‑ och demoformulär kan överföras till Nostium Hub och HubSpot enligt ovan. Efter motsvarande samtycke kan Google Ireland Limited, Microsoft Ireland Operations Limited och Tracklution Oy erhålla de data som krävs för den beskrivna mätningen; Tracklution kan skicka samtyckesbaserade händelser till förhandsinventerade reklammottagare. Nostium kan dela nödvändiga data med moderbolaget Cherry B.V., Galvanistraat 23A, 3861 NJ Nijkerk, för interna operationer, support, säkerhet, revision, efterlevnad och administration. En extern personuppgiftsbiträde aktiveras först efter att dess roll, instruktioner, säkerhet, underbiträden, raderings‑ och revisionsrättigheter har kontraktsfästts; där parter gemensamt bestämmer ändamål och medel, registreras ansvar enligt artikel 26 i GDPR.

Överföringar utanför EES

Tracklution behandlar primärt hos AWS i Stockholm. Google, Microsoft, deras underleverantörer och i förväg uppräknade annonssyften kan också behandla data från eller utanför EES, inklusive i USA. Innan aktivering dokumenterar Nostium för varje överföring land, mottagare, eventuell adekvathetsbeslutning eller EU:s standardavtalsklausuler, överföringsbedömning och kompletterande tekniska och organisatoriska åtgärder. En aktuell lista över relevanta underleverantörer och skyddsåtgärder finns på begäran via dataprotection@nostium.com.

Lagringstider

Personuppgifter sparas inte längre än vad som behövs för ändamålet, rättsliga skyldigheter och eventuella tvister. Öppna webbplatsförfrågningar sparas i CMS i högst 24 månader efter mottagandet; avslutade eller arkiverade förfrågningar i högst 12 månader efter stängning. Samtycke till nyhetsbrev förblir aktivt i högst 24 månader efter den senaste bekräftelsen. Applikationen raderar förfallna CMS-poster dagligen, misslyckade köjobb som innehåller formulärdata efter högst sju dagar, och CMS-granskningar efter ett år. Tillfälliga autosave för sidor äldre än 24 timmar raderas varje timme. Sida- och katalogrevisioner raderas efter högst ett år och begränsas till de tjugo nyaste snapshots per post; när räknegränsen överskrids tidigare, förfaller de äldsta snapshots. Tillfälliga CMS-redigeringslås upphör efter 90 sekunder och tas bort från databasen senast fem minuter därefter. Säkra ratebegränsningar för formulär och CMS-inloggning upphör efter en minut; förfallna databas-cache- och cache-lock-poster raderas fysiskt senast fem minuter efter, och anpassade CMS-inloggningsnycklar innehåller ingen läsbar e-postadress eller IP-adress. CMS erbjuder ingen persistenta inloggning: äldre remember tokens ogiltigförklaras och en kvarvarande recaller-cookie tas bort på inloggningsskärmen. En separat CMS-aktivitetstidsstämpel förnyas endast av CMS-förfrågningar; efter två timmar utan CMS-aktivitet loggas användaren ut även om den publika webbplatsen besöks. Vanlig webb-browsing kan därför inte förlänga CMS-gränsen. När en webbplatsförfrågning permanent raderas, raderar applikationen också omedelbart dess återstående lokala köjobb och misslyckade kökopior. Under en giltig behandlingsbegränsning markerar CMS förfrågan för lagring och sekretesshantering, raderar återstående lokala kökopior, blockerar ordinarie uppföljning och massexport och planerar en granskning inom 30 dagar. Automatisk radering pausas endast medan begränsningen kräver bevarande och återupptas efter att begränsningen lagligen lyfts. Website-CMS-sessioner är giltiga högst två timmar och lösenordsåterställningstokens högst en timme; förfallna poster raderas inom femton minuter och lokala applikationsloggar behålls högst fjorton dagar. Inaktiverade CMS-personalkonton kan raderas permanent med autentiseringsrester och identifierande granskningskopior när de inte längre behövs och där bevarande inte krävs. En offentlig CMS-uppladdning förblir tillgänglig så länge den behövs för webbpublicering; efter att den flyttats till papperskorgen raderas filen, mediametadat och relaterade granskningskopior permanent inom 30 dagar. Andra konto- och kunduppgifter förblir vanligtvis under relationen och raderas därefter, anonymiseras eller begränsas i åtkomst; boknings-, transaktions- och fakturaregister kan i allmänhet behållas i sju år för nederländsk administration. Google Analytics-cookies kan som standard finnas kvar i upp till två år; Nostium konfigurerar Google Analytics händelsedata-bevarande till två månader. Clarity-inspelningar sparas i 30 dagar och märkta inspelningar samt heatmap-/klickdata i upp till nio månader. Tracklution-händelsedata sparas i upp till tolv månader. Exakta webbläsarlagringsperioder finns i cookie-inventariet. En incident, ett rättsligt krav eller en lagstadgad bevaringsplikt kan kräva en längre period; åtkomsten är begränsad och skälet dokumenteras i så fall.

Säkerhet och incidenter

Nostium använder lämpliga tekniska och organisatoriska åtgärder, inklusive krypterade anslutningar, roller och behörigheter, stark autentisering där det är lämpligt, nätverks‑ och miljöseparering, loggning, säkerhetskopior, uppdateringar, åtkomstgranskningar samt utvecklings‑ och incidenthanteringsrutiner. Bilder som laddas upp via webbplatsens CMS omkodas före publicering så att inbäddad plats-, enhets-, författar‑ och kommentarmetadata inte blir offentliga. Åtkomst är begränsad till personer som behöver uppgifterna för sina arbetsuppgifter och som är bundna av sekretess. Säkerhetsincidenter utreds och dokumenteras och, när GDPR kräver det, anmäls till myndighet inom 72 timmar och till berörda personer vid hög risk.

Dina integritetsrättigheter

Med förbehåll för GDPR‑villkoren kan du begära åtkomst och en kopia, rättelse, radering, begränsning eller överförbarhet av dina uppgifter. Du kan invända mot behandling baserad på berättigat intresse och alltid invända mot direktmarknadsföring. Om behandlingen bygger på samtycke kan du återkalla detta för framtiden. Du kan också begära information om mottagare, källor, lagringstider och relevanta skyddsåtgärder för internationella överföringar.

Förfrågningar och klagomål

Skicka förfrågningar till dataprotection@nostium.com och bifoga tillräcklig kontext för att lokalisera relevant data. För att förhindra missbruk kan vi kontrollera din identitet proportionerligt. För en giltig radering tar vi också bort identifierbara lokala kö‑kopior. Vid rättelse, radering eller begränsning underrättar vi andra mottagare där artikel 19 i GDPR kräver det; innan en begränsning tas bort underrättar vi dig. Nostium svarar normalt inom en månad; för en komplicerad eller omfattande begäran tillåter GDPR en förlängning med två månader och vi meddelar dig inom den första månaden. Du kan klaga till den nederländska dataskyddsmyndigheten eller myndigheten i det EU‑land där du bor, arbetar eller där den påstådda överträdelsen inträffade.

Barn

Nostium‑tjänster är inte avsedda att samla in barns uppgifter utan lämplig involvering av en förälder, vårdnadshavare eller ansluten organisation. En aktivitet eller anläggning kan behöva deltagaruppgifter för en bokning; den organisationen avgör vad som är nödvändigt och dess rättsliga grund. Om du tror att ett barns uppgifter har behandlats felaktigt eller utan lämplig grund, kontakta oss så att situationen kan utredas och uppgifter raderas där det krävs.

Automatiserade beslut och profilering

Enligt gällande policy fattar Nostium inte beslut som har rättsliga eller liknande betydande effekter enbart baserat på automatiserad behandling. Operativa regler, tillgänglighetsberäkningar, bedrägerilarm och rapportering kan stödja processer men ger inte ett sådant individuellt beslut utan lämplig mänsklig inblandning. Om detta ändras kommer vi i förväg att lämna den information som krävs om logik, betydelse, konsekvenser och dina rättigheter.

Offentliga teamprofiler och kundomdömen

Nostium kan visa en medarbetares förnamn, roll, initialer och — där det är lämpligt — ett foto och en frivilligt delad länk till den professionella profilen för att tydliggöra vem som levererar våra tjänster. Vi minimerar uppgifterna, granskar publicering vid rolländring och minst årligen, och tar bort eller ändrar en profil efter giltigt invändning eller när publicering inte längre behövs. Nostium visar också ett begränsat urval kundomdömen som publicerats offentligt på Google, inklusive det namn eller pseudonym som använts där, datum, betyg och omdömes­text. Detta material tillhandahålls direkt av Nostium utan Google‑widget, profilbild eller föregående begäran till Google. Dessa publiceringar bygger på vårt berättigade intresse av igenkännbar, trovärdig information och marknadsföring, avvägt mot de berördas intressen. Du kan invända av skäl som rör din särskilda situation eller begära borttagning via dataprotection@nostium.com. Knappen fler omdömen öppnar Google endast efter att du aktiverat den.

Ändringar och kontakt

Vi uppdaterar detta uttalande när tjänster, leverantörer, roller eller lagar förändras. Vid väsentliga förändringar informerar vi berörda personer via webbplatsen, kontot eller e‑post när det är lämpligt. Den senaste versionen ersätter tidigare versioner för framtida behandling. Integritetsfrågor och förfrågningar: dataprotection@nostium.com. Post: Nostium B.V., Bogert 1, 5612 LX Eindhoven, the Netherlands. Senast uppdaterad: 25 augusti 2026.

Inaktiverade CMS‑konton

När CMS‑åtkomst inaktiveras avslutar Nostium omedelbart de relaterade sessionerna och möjligheten att återställa lösenord. Senast 30 dagar därefter måste en administratör granska om namn, företags‑e‑postadress och kvarvarande konto‑ eller revisionsdata fortfarande behövs för säkerhet, en tvist eller en lagstadgad lagringsplikt. Utan dokumenterat behov raderas kontot, autentiseringsrester och identifierande revisionskopior permanent; när bevarande är nödvändigt antecknas skälet och ett nytt granskningsdatum i det begränsade registret.

Mottagar‑frigivningsjournaler

För nya webbplatsförfrågningar loggar CMS vilka godkända leveranskanaler som köades för den förfrågan, och använder endast mottagarkategori, syfte, kanal och tid. Loggen kopierar inte namn, e‑postadress, telefonnummer, meddelande eller annat inskickat innehåll och följer samma lagringstid som förfrågan. En köpost bevisar inte att en extern mottagare behandlat uppgifterna; för en integritetsbegäran verifierar och dokumenterar Nostium därför separat mottagande, rättelse, begränsning eller radering med varje berörd mottagare.