Last updated 3 September 2026
This notice explains what we do with your personal information when you book a stay, send us an enquiry, or use medusabungalow.com. It describes what actually happens — not a template.
Hasitha Dias, sole proprietor trading as Medusa Bungalow Business registration no. 1/16/85/2021-03-08/59 Akmeemana, Galle, Sri Lanka bungalowmedusa@gmail.com · +94 77 770 5398
When you book. Your name, email address, the number of guests, your arrival and departure dates, any extras you choose, the currency you pay in, and the date and time you accepted our cancellation policy. We need all of it to hold the villa for you and to prove what was agreed. Legal basis: performance of a contract (Art. 6(1)(b) GDPR).
When you send an enquiry. Your name, email address, your message, your phone number if you give one, and the dates you asked about. Legal basis: steps taken at your request before entering a contract (Art. 6(1)(b) GDPR).
When you pay. Card payments are handled by Sampath Bank on the bank's own secure page. We never see your card number, and it is never stored on our systems. What we keep is the amount, the currency, whether the payment was approved or declined, and the bank's transaction reference — enough to match a payment to a booking and to refund you if you cancel. Legal basis: performance of a contract, and our legal obligation to keep accounting records (Art. 6(1)(b) and (c) GDPR).
When we write to you. We send booking confirmations, cancellation notices and replies to enquiries by email, through Google's mail service. If you message us on WhatsApp we reply there, using the WhatsApp Business platform operated by Meta. We also read booking-notification emails sent to us by Airbnb and Booking.com so that reservations made there appear in our calendar.
When you visit the website. Our hosting provider records ordinary server logs, including your IP address, for security and to keep the site working. We limit how often a single address can submit the booking form, to prevent abuse. Legal basis: our legitimate interest in keeping the site secure and available (Art. 6(1)(f) GDPR).
This website sets no cookies on your device, and we use no analytics or advertising trackers. There is nothing here to consent to and nothing to opt out of. Two small exceptions, for accuracy:
flagcdn.com, which — like any image request — means that service can see your IP address. No cookie is set.If you sign in to the site as a member of staff, WordPress sets a login cookie. That does not apply to guests.
We use a small number of service providers, each only for the purpose named:
| Provider | What for | Where |
|---|---|---|
| Sampath Bank (Bancstac) | card payment processing | Sri Lanka |
| Google (Gmail) | sending and receiving our email | USA |
| Meta Platforms | WhatsApp messaging, if you write to us there | USA / EU |
| Render, Supabase | hosting the booking system and its database | USA / EU |
| OrangeHost | hosting this website | USA |
| Anthropic | the AI assistant described below | USA |
Several of these providers operate outside Sri Lanka and outside the EEA, which means your information is transferred internationally when we use them. We rely on the standard data-protection terms those providers offer, where they offer them. We do not sell your personal information, and we do not share it for advertising.
We keep our availability in step with Airbnb and Booking.com by exchanging calendar files. The calendar we publish contains only dates and the word "Unavailable". It carries no names, no reservation numbers, no email addresses and no booking details of any kind. Nothing identifying you leaves our systems through this route.
We use an AI assistant to help answer guest questions on the website and on WhatsApp. Your message is processed by Anthropic to produce the reply. It is not used to train anyone's models. A person reviews and sends anything that involves prices, changes to a booking, refunds or cancellations — those are never answered automatically.
We keep your booking and payment records for as long as we need them for your stay, and for as long as we are required to keep accounting records by law. Enquiries that do not lead to a booking, and message threads, are kept while they remain useful and are then deleted. Server logs are kept for a short period — typically weeks — and then discarded. If you want to know how long we hold something in particular, ask us and we will tell you.
You can ask us for a copy of the information we hold about you, ask us to correct it, ask us to delete it, ask us to restrict or stop a particular use, and ask for it in a portable format. If you are in the EU or UK you also have the right to complain to your national data protection authority. Write to bungalowmedusa@gmail.com and we will answer within one month.
Some information we cannot delete on request — a paid booking has to stay in our accounting records for as long as the law requires.
If we change this notice we will change the date at the top. Material changes affecting existing bookings will be sent to you by email.
Stand: 3. September 2026
Diese Erklärung beschreibt, was mit Ihren personenbezogenen Daten geschieht, wenn Sie einen Aufenthalt buchen, uns eine Anfrage senden oder medusabungalow.com nutzen. Sie beschreibt die tatsächlichen Abläufe — keine Mustervorlage.
Hasitha Dias, Einzelunternehmer, handelnd unter dem Namen Medusa Bungalow Gewerberegisternummer 1/16/85/2021-03-08/59 Akmeemana, Galle, Sri Lanka bungalowmedusa@gmail.com · +94 77 770 5398
Bei einer Buchung. Ihren Namen, Ihre E-Mail-Adresse, die Anzahl der Gäste, An- und Abreisedatum, gewählte Zusatzleistungen, die Zahlungswährung sowie Datum und Uhrzeit Ihrer Zustimmung zu unseren Stornierungsbedingungen. All dies benötigen wir, um die Villa für Sie zu reservieren und das Vereinbarte nachweisen zu können. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Bei einer Anfrage. Ihren Namen, Ihre E-Mail-Adresse, Ihre Nachricht, auf Wunsch Ihre Telefonnummer sowie die angefragten Daten. Rechtsgrundlage: vorvertragliche Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO).
Bei der Zahlung. Kartenzahlungen werden von der Sampath Bank auf deren eigener gesicherter Seite verarbeitet. Ihre Kartennummer sehen wir zu keinem Zeitpunkt; sie wird in unseren Systemen nicht gespeichert. Wir speichern den Betrag, die Währung, ob die Zahlung genehmigt oder abgelehnt wurde, und die Transaktionsreferenz der Bank — genug, um eine Zahlung einer Buchung zuzuordnen und Ihnen im Stornierungsfall den Betrag zu erstatten. Rechtsgrundlage: Vertragserfüllung sowie gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und c DSGVO).
Wenn wir Ihnen schreiben. Buchungsbestätigungen, Stornierungsmitteilungen und Antworten auf Anfragen versenden wir per E-Mail über den Maildienst von Google. Schreiben Sie uns über WhatsApp, antworten wir dort über die von Meta betriebene WhatsApp-Business-Plattform. Außerdem lesen wir die Buchungsbenachrichtigungen, die Airbnb und Booking.com uns senden, damit dort getätigte Reservierungen in unserem Kalender erscheinen.
Beim Besuch der Website. Unser Hosting-Anbieter erstellt gewöhnliche Server-Protokolle einschließlich Ihrer IP-Adresse, zur Sicherheit und zum Betrieb der Website. Wir begrenzen, wie oft eine einzelne Adresse das Buchungsformular absenden kann, um Missbrauch zu verhindern. Rechtsgrundlage: unser berechtigtes Interesse an Sicherheit und Verfügbarkeit (Art. 6 Abs. 1 lit. f DSGVO).
Diese Website setzt keine Cookies auf Ihrem Gerät, und wir verwenden weder Analyse- noch Werbe-Tracker. Es gibt hier nichts einzuwilligen und nichts abzulehnen. Zwei kleine Ausnahmen, der Genauigkeit halber:
flagcdn.com; wie bei jeder Bildanfrage kann dieser Dienst dabei Ihre IP-Adresse sehen. Ein Cookie wird nicht gesetzt.Melden Sie sich als Mitarbeitende:r auf der Website an, setzt WordPress ein Anmelde-Cookie. Für Gäste gilt dies nicht.
Wir setzen wenige Dienstleister ein, jeweils ausschließlich zum genannten Zweck:
| Dienstleister | Zweck | Ort |
|---|---|---|
| Sampath Bank (Bancstac) | Abwicklung der Kartenzahlung | Sri Lanka |
| Google (Gmail) | Versand und Empfang unserer E-Mails | USA |
| Meta Platforms | WhatsApp-Nachrichten, sofern Sie uns dort schreiben | USA / EU |
| Render, Supabase | Hosting des Buchungssystems und seiner Datenbank | USA / EU |
| OrangeHost | Hosting dieser Website | USA |
| Anthropic | die unten beschriebene KI-Unterstützung | USA |
Mehrere dieser Anbieter haben ihren Sitz außerhalb Sri Lankas und außerhalb des EWR; bei ihrer Nutzung werden Ihre Daten daher international übermittelt. Wir stützen uns auf die Standard-Datenschutzbedingungen dieser Anbieter, soweit sie solche anbieten. Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht zu Werbezwecken weiter.
Wir halten unsere Verfügbarkeit mit Airbnb und Booking.com über den Austausch von Kalenderdateien synchron. Der von uns veröffentlichte Kalender enthält ausschließlich Datumsangaben und das Wort „Unavailable". Er enthält keine Namen, keine Reservierungsnummern, keine E-Mail-Adressen und keinerlei Buchungsdetails. Auf diesem Weg verlassen keine Sie identifizierenden Daten unsere Systeme.
Zur Beantwortung von Gästefragen auf der Website und über WhatsApp setzen wir einen KI-Assistenten ein. Ihre Nachricht wird zur Erstellung der Antwort von Anthropic verarbeitet. Sie wird nicht zum Training von Modellen verwendet. Alles, was Preise, Buchungsänderungen, Rückerstattungen oder Stornierungen betrifft, wird von einer Person geprüft und versendet — diese Themen werden niemals automatisch beantwortet.
Buchungs- und Zahlungsunterlagen bewahren wir so lange auf, wie wir sie für Ihren Aufenthalt benötigen und wie wir gesetzlich zur Aufbewahrung von Buchhaltungsunterlagen verpflichtet sind. Anfragen, aus denen keine Buchung wird, sowie Nachrichtenverläufe bewahren wir auf, solange sie nützlich sind, und löschen sie anschließend. Server-Protokolle werden nach kurzer Zeit — in der Regel wenigen Wochen — gelöscht. Möchten Sie wissen, wie lange wir etwas Bestimmtes speichern, fragen Sie uns; wir sagen es Ihnen.
Sie können Auskunft über die zu Ihrer Person gespeicherten Daten verlangen, deren Berichtigung oder Löschung fordern, die Einschränkung einer bestimmten Verarbeitung verlangen sowie Ihre Daten in einem übertragbaren Format erhalten. Sie können einer Verarbeitung widersprechen, die auf unserem berechtigten Interesse beruht. In der EU und im Vereinigten Königreich haben Sie zudem das Recht, sich bei Ihrer nationalen Datenschutzaufsichtsbehörde zu beschweren. Schreiben Sie an bungalowmedusa@gmail.com; wir antworten innerhalb eines Monats.
Bestimmte Daten können wir auf Verlangen nicht löschen — eine bezahlte Buchung muss so lange in unseren Buchhaltungsunterlagen verbleiben, wie das Gesetz es verlangt.
Ändern wir diese Erklärung, ändern wir das Datum oben. Wesentliche Änderungen, die bestehende Buchungen betreffen, teilen wir Ihnen per E-Mail mit.