Zásady ochrany osobních údajů

1. Kdo jsme

Micali.online je online rezervační systém, který provozuje REALWEB, s.r.o., se sídlem Vajanského 16/6757, 917 01 Trnava, Slovenská republika, IČO 43899102, DIČ 2022506332, IČ DPH SK2022506332 (registrace podle §7a slovenského zákona o DPH). V těchto zásadách „my“, „nás“ a „služba“ označují tuto společnost provozující Micali.online. Zastihneš nás na support@micali.online.

Vlastníci účtů jsou firmy, organizátoři a jednotlivci, kteří si vytvořili účet, aby mohli přijímat rezervace. Návštěvníci jsou lidé, kteří si přes rezervační stránku vlastníka účtu rezervují termín.

U dat, která vznikají uvnitř účtu – seznamy zákazníků, rezervace, vyplněné formuláře, zprávy – je správcem (controllerem) vlastník účtu a my vystupujeme jako zpracovatel (processor). U dat, která potřebujeme pro chod samotné platformy – účty, přihlášení, bezpečnostní logy a naše vlastní analytika používání – jsme správcem my.

2. Jaké údaje shromažďujeme

Údaje účtu: při vytvoření účtu shromažďujeme tvou e-mailovou adresu, název účtu, jazyk, časové pásmo a všechna nastavení, která si nakonfiguruješ (služby, události, otevírací dobu, šablony zpráv, nastavení konektorů a podobně). Správci se přihlašují kódem zaslaným e-mailem. Správce si může volitelně nastavit i 4místný PIN pro rychlejší přihlášení, který funguje pouze na zařízení už ověřeném e-mailovým kódem; tento PIN uchováváme výhradně jako bcrypt hash.

Ověření telefonu: při registraci nebo když si chceš ponechat demo účet, tě požádáme o číslo mobilního telefonu a pošleme na něj jednorázový kód přes SMS. Uchováváme číslo, čas jeho ověření a počet kódů, které na něj byly odeslány, abychom mohli omezit počet zakládaných účtů a předcházet zneužití.

Údaje návštěvníků: když si návštěvník rezervuje termín, o shromažďovaných údajích rozhoduje formulář vlastníka účtu. Obvykle jde o jméno návštěvníka, e-mailovou adresu a/nebo telefonní číslo, vybranou službu nebo událost a odpovědi vyplněné v rezervačním formuláři. Ukládají se i rezervace návštěvníka, stav platby, účast a členství.

Komunikační údaje: každý e-mail a SMS odeslaná systémem se zaznamená s příjemcem, časem a stavem doručení, aby vlastník účtu viděl, co bylo doručeno, a abychom mohli řešit problémy s doručováním. Odchozí e-maily obsahují malý sledovací pixel, který zaznamená, zda byla zpráva otevřena.

Připojené účty Google: pokud správce připojí Gmail nebo Google Kalendář, uchováváme e-mailovou adresu daného účtu Google a zašifrované přístupové a obnovovací tokeny; u Google Kalendáře také vybraný kalendář, identifikátory událostí, které v něm Micali vytvořilo, a jejich odkazy na Google Meet. Podrobnosti jsou v bodě 10.

Push notifikace: pokud v prohlížeči nebo v nainstalované aplikaci povolíš notifikace, uchováváme adresu odběru, kterou vydala push služba tvého prohlížeče, spolu s jejími šifrovacími klíči a záznam odeslaných notifikací.

Přihlašovací a bezpečnostní údaje: při každém přihlášení ukládáme IP adresu, identifikaci prohlížeče (user agent), typ zařízení a čas poslední aktivity v dané relaci, abychom účty zabezpečili a odhalili zneužití.

Údaje o používání a analytika: při každém zobrazení stránky na našich webech a na rezervačních stránkách naše vlastní analytika ukládá adresu a název stránky, odkud návštěvník přišel, IP adresu, identifikaci prohlížeče, typ zařízení, jazyk, zdroj návštěvy a jak dlouho stránka zůstala otevřená, navázané na dvouletou cookie „micali_track_id“. Podrobnosti jsou v bodě 7.

Údaje AI asistenta: pokud v aplikaci používáš asistenta Ask AI, tvoje otázky a jeho odpovědi se ukládají, aby si konverzace držela kontext, a zprávy starší než 7 dní se odstraní při nejbližším otevření nebo použití asistenta. Co se posílá poskytovateli AI, vysvětluje bod 9.

3. Jak tvé údaje používáme

Osobní údaje používáme k provozu rezervační služby: k ověřování uživatelů, k vytváření a správě rezervací, k odesílání potvrzení, připomínek a oznámení o zrušení, k tomu, aby vlastníci účtů mohli spravovat své zákazníky, události a statistiky, ke spolehlivému a bezpečnému chodu systému, k odhalování a prevenci zneužití a k vyřizování požadavků podpory. Osobní údaje neprodáváme, neobchodujeme s nimi a nepoužíváme je k reklamě třetích stran.

Vlastníkům a správcům účtů můžeme občas poslat e-mail nebo SMS o novinkách a změnách v Micali.online. Každý takový e-mail obsahuje odkaz pro odhlášení. Zaznamenáváme, zda byl e-mail otevřen a na které odkazy se kliklo, a adresu každého, kdo se odhlásí, si ponecháváme na seznamu odhlášených, abychom ho už nekontaktovali. Návštěvníkům rezervačních stránek takové zprávy od nás nikdy neposíláme.

4. Právní základ zpracování

Plnění služby, o kterou jsi požádal ty nebo vlastník účtu – vytvoření rezervace, doručení jejího potvrzení, provoz účtu.

Náš oprávněný zájem na tom, aby platforma fungovala, byla bezpečná a nedocházelo k jejímu zneužívání, abychom rozuměli tomu, jak se naše stránky používají, a abychom vlastníky účtů informovali o naší vlastní službě: sem patří naše vlastní analytika, statistiky návštěvnosti poskytované vlastníkům účtů, ověření telefonu při registraci, přihlašovací, bezpečnostní a doručovací logy i novinky, které posíláme vlastníkům účtů.

Tvůj souhlas tam, kde je souhlas správným základem – například cookies Google Analytics na marketingovém webu, které se načtou pouze po tvém přijetí, připojení vlastního účtu Google nebo povolení push notifikací. Souhlas můžeš kdykoli odvolat.

Plnění zákonných povinností tam, kde se nás týkají.

5. Jak dlouho údaje uchováváme a jak se mažou

Údaje účtu – a v něm rezervace, zákazníky, odpovědi formulářů i logy zpráv – uchováváme, dokud účet existuje. Účty nemažeme za neaktivitu.

Smazání účtu je trvalé. Účet, jeho uživatelé, události, služby, rezervace, propojení na zákazníky, odpovědi formulářů, šablony zpráv, nahrané soubory, nastavení konektorů i logy e-mailů a SMS odeslaných z účtu se z databáze odstraní a nedají se obnovit. Root administrátor může o smazání požádat v aplikaci; účinné je po 7 dnech a během této lhůty se dá zrušit (viz Podmínky služby). Demo účty se automaticky mažou 7 dní po vytvoření.

Jednotlivé záznamy – zákazníky, rezervace, odpovědi formulářů, zprávy – může vlastník účtu kdykoli smazat přímo v aplikaci.

Identitní záznam návštěvníka, tedy e-mailová adresa, kterou se přihlašuje, se spolu s jedním účtem nemaže, protože stejný člověk může mít rezervace i u jiných vlastníků účtů na platformě. Pokud chceš takový záznam odstranit, napiš na support@micali.online.

Když správce odpojí Google Kalendář nebo Gmail, uložené tokeny smažeme a přístup u Google zrušíme. Události, které už Micali v kalendáři vytvořilo, v něm zůstanou, dokud je nesmažeš. Telefonní číslo použité k ověření zůstává v evidenci i po smazání účtu, aby nešly obejít limity na jedno číslo; pokud ho chceš odstranit, napiš na support@micali.online.

Konverzace s Ask AI mají 7denní okno: starší zprávy se odstraní při nejbližším otevření nebo použití asistenta daným správcem. Přihlašovací, bezpečnostní a analytické záznamy uchováváme, dokud jsou potřeba k provozu a zabezpečení služby a ke statistikám podle bodu 8; pevnou lhůtu na jejich mazání zatím neuplatňujeme.

6. Kdo další údaje zpracovává

Osobní údaje neprodáváme. Sdílíme je pouze s poskytovateli, kteří jsou technicky nezbytní k provozu služby:

Hosting a infrastruktura – aplikace, databáze a nahrané soubory jsou hostované u Websupport, s.r.o. (Slovensko), na infrastruktuře umístěné v Evropské unii.

Doručování e-mailů a SMS – když si účet připojí vlastní SendGrid, Twilio, SMTP nebo Gmail, obsah každé zprávy a adresa příjemce se odešlou tomuto poskytovateli k doručení podle jeho vlastních podmínek. Výběr a nastavení těchto poskytovatelů je na vlastnících účtů. Zprávy, které posílá samotná platforma (přihlašovací kódy, oznámení), jdou přes našeho SMTP poskytovatele. Ověřovací kódy na telefon a naše vlastní SMS posíláme přes Twilio (Twilio Inc., Spojené státy).

Google Kalendář a Google Meet – když správce připojí Google Kalendář a u události nebo služby zapne online schůzky, do jeho vlastního kalendáře Google se zapíše datum a čas, název události nebo služby a u rezervace služby také jméno klienta, a Google (Google LLC) vytvoří odkaz na Google Meet; viz bod 10.

Mapy a vyhledání adresy – mapy v nastavení účtu, událostí a služeb načítají mapové podklady z OpenStreetMap a tlačítko „Získat souřadnice z adresy“ odešle zadanou adresu službě Nominatim (OpenStreetMap Foundation). Oba požadavky posílá přímo tvůj prohlížeč, takže tyto služby vidí tvou IP adresu.

Push notifikace – notifikace se doručují přes push službu výrobce tvého prohlížeče (například Google, Mozilla nebo Apple). Jejich obsah je zašifrovaný, takže ho push služba nemůže přečíst.

Poskytovatelé AI – viz bod 9.

Analytika – Google Analytics (Google LLC) na marketingovém webu, výhradně s tvým souhlasem; viz bod 7.

Přenosy mimo EU – někteří z těchto poskytovatelů (OpenAI, Google, Twilio a poskytovatelé, které si účet připojí sám) sídlí ve Spojených státech nebo tam mohou údaje zpracovávat. Takový přenos se opírá o záruky, které GDPR umožňuje, například o rámec ochrany údajů EU–USA (Data Privacy Framework) nebo o standardní smluvní doložky Evropské komise.

Údaje můžeme zpřístupnit i tehdy, pokud to vyžaduje zákon, nebo je to potřebné k ochraně práv, bezpečnosti či majetku služby, jejích uživatelů nebo veřejnosti.

7. Cookies a analytika

Aplikace používá cookies a lokální úložiště nezbytně nutné k tomu, abys zůstal přihlášený a aby si zapamatovala základní předvolby, například jazyk.

Zároveň provozujeme vlastní analytiku napříč marketingovým webem, blogem, aplikací i rezervačními stránkami. Prohlížeč identifikuje cookie „micali_track_id“ s platností dva roky a při každém zobrazení stránky se uloží její adresa a název, odkud návštěvník přišel, IP adresa, identifikace prohlížeče, typ zařízení, jazyk, zdroj návštěvy a jak dlouho stránka zůstala otevřená. Běží na základě našeho oprávněného zájmu rozumět tomu, jak se naše stránky používají, a poskytovat vlastníkům účtů statistiky pro jejich vlastní rezervační stránky; není vázaná na cookie lištu. Požadavky vyhledávacích robotů, našeho vlastního týmu a IP adres, které jsme vyloučili, se nezaznamenávají.

Marketingový web navíc používá Google Analytics (Google LLC), který se načte pouze tehdy, pokud analytiku přijmeš v cookie liště. Pokud ji odmítneš, Google Analytics se vůbec nenačte. Vlastní zpracování údajů popisuje Google na https://policies.google.com/privacy

8. Statistiky návštěvnosti pro vlastníky účtů

Vlastníci účtů vidí statistiky svých vlastních veřejných rezervačních stránek, postavené na analytice podle bodu 7: počty zobrazení jednotlivých stránek, zdroj návštěvy, typ zařízení a jazyk a seznam návštěvníků, kteří za těmito zobrazeními stojí.

Návštěvník, který už je v seznamu zákazníků daného účtu, se zobrazí jménem a e-mailovou adresou. Protože je prohlížeč rozpoznán podle dlouhodobé cookie, zobrazení stránek, ke kterým došlo ještě před přihlášením nebo rezervací, mu mohou být přiřazena dodatečně – ve chvíli, kdy je stejný prohlížeč identifikován. Všichni ostatní zůstávají anonymní a jsou popsáni pouze typem zařízení, zdrojem návštěvy a jazykem.

IP adresy ani identifikaci prohlížeče vlastník účtu nikdy nevidí. Zobrazení stránek správci samotného účtu a vyhledávacími roboty jsou vyloučena. Pokud nechceš být takto rozpoznáván, můžeš si v prohlížeči cookies smazat nebo blokovat, případně požádat vlastníka účtu o smazání svého zákaznického záznamu.

9. Umělá inteligence (AI)

Aplikace nabízí funkce s umělou inteligencí: asistenta „Ask AI“ pro správce účtu, generování textů rezervačních zpráv a AI Insights – doporučení pro vlastníka účtu na základě jeho vlastních čísel.

Který poskytovatel tyto údaje zpracuje, závisí na nastavení AI v účtu. Ve výchozím stavu účet používá Micali AI, které běží na našem vlastním účtu u OpenAI (OpenAI, L.L.C., Spojené státy). Účet si místo toho může připojit vlastní API klíč pro OpenAI nebo Google Gemini (Google LLC) – požadavky pak jdou tomuto poskytovateli podle vlastního ujednání účtu s ním.

Co se odesílá: u asistenta Ask AI otázka správce spolu se snímkem vlastních dat účtu sestaveným pro danou konverzaci – nastavení, členové týmu, události a termíny, služby, členství a až 150 kontaktů návštěvníků účtu včetně jmen, e-mailových adres a telefonních čísel. Při generování zpráv zadání správce a údaje rezervace, které se zpráva týká. U AI Insights agregovaná čísla o účtu (počty rezervací a účasti, míra naplnění, statistiky doručování zpráv) spolu s názvy událostí a služeb – žádné kontakty návštěvníků.

Údaje se odesílají pouze tehdy, když někdo AI funkci skutečně použije. AI Insights je pro účet vypnuté, dokud ho někdo nezapne, a jeho návrhy procházejí kontrolou našeho týmu, než se zobrazí vlastníkovi účtu. Obsah těchto požadavků nepoužíváme k trénování žádného modelu. Jak s údaji odeslanými do svého API naloží poskytovatel AI, se řídí jeho vlastními podmínkami, které neovládáme: https://openai.com/policies/ a https://policies.google.com/privacy

10. Uživatelská data Google a Limited Use

Micali.online používá Google API pouze tehdy, když si správce připojí svůj vlastní účet Google, a pouze ke dvěma účelům uvedeným níže. Připojení vždy probíhá přes standardní obrazovku souhlasu Google OAuth.

Gmail – aby rezervační zprávy byly odesílány z vlastní adresy správce. Vyžaduje pouze oprávnění k odesílání e-mailů (https://www.googleapis.com/auth/gmail.send) spolu s e-mailovou adresou připojeného účtu. Micali.online nemůže číst, prohledávat, stahovat ani ukládat obsah tvé poštovní schránky – může pouze odesílat rezervační zprávy, které vyvoláš ty nebo automatické připomínky tvého účtu.

Google Kalendář a Google Meet – aby online události a služby dostaly odkaz na Google Meet. Vyžaduje oprávnění vytvářet, měnit a mazat události v kalendářích, které vlastníš (https://www.googleapis.com/auth/calendar.events.owned), oprávnění zobrazit seznam tvých kalendářů, abys jeden mohl vybrat (https://www.googleapis.com/auth/calendar.calendarlist.readonly), a e-mailovou adresu připojeného účtu. Micali.online pracuje pouze s událostmi, které samo vytvořilo – tvé ostatní události nečte, nemění ani nemaže. Pro každou potvrzenou rezervaci online služby a pro každý termín online události vytvoří ve vybraném kalendáři jednu událost s datem a časem, názvem události nebo služby a u rezervace služby také se jménem klienta, a požádá Google o připojení odkazu na Google Meet. Tyto události nemají hosty a Google neposílá žádné pozvánky; odkaz účastníkům posílá samo Micali.online ve svých rezervačních e-mailech. Když se rezervace nebo termín přesune, zruší nebo smaže, Micali.online svou událost upraví nebo smaže.

Přístupové a obnovovací tokeny jsou uchovávány zašifrovaně a slouží výhradně k těmto účelům. Gmail i Google Kalendář můžeš kdykoli odpojit v aplikaci – tokeny pak smažeme a přístup u Google zrušíme – nebo přístup odvolat na https://myaccount.google.com/permissions.

Informace získané z Google API Micali používá a předává jiným aplikacím v souladu se zásadami Google API Services User Data Policy, včetně požadavků Limited Use. Tyto zásady jsou dostupné na https://developers.google.com/terms/api-services-user-data-policy.

Uživatelská data Google Workspace nejsou používána, předávána ani prodávána za účelem vytváření, trénování nebo vylepšování obecných či základních modelů umělé inteligence nebo strojového učení.

Micali neposkytuje obsah e-mailů, data z kalendáře ani jiná uživatelská data Google Workspace modelům AI/ML. Obsah generovaný umělou inteligencí vzniká nezávisle a je přes Gmail odeslán až poté, co jej uživatel iniciuje nebo schválí.

11. Tvá práva

V souladu s platnými zákony (včetně GDPR EU) máš právo na přístup k osobním údajům, které o tobě uchováváme, požádat o jejich opravu nebo smazání, namítat proti určitému zpracování nebo ho omezit a získat své údaje v přenosném formátu. Máš také právo kdykoli odvolat udělený souhlas (například změnou volby v cookie liště, odpojením účtu Google nebo vypnutím notifikací) a podat stížnost dozorovému úřadu – na Slovensku Úřadu na ochranu osobních údajů Slovenské republiky (https://dataprotection.gov.sk), případně dozorovému úřadu země EU, ve které žiješ.

Pokud jsi návštěvník, který si rezervoval termín přes nějaký účet, primárním kontaktem pro tvé údaje je vlastník daného účtu – ten rozhoduje, co shromažďuje a jak dlouho to ve svém účtu uchovává. O úpravu nebo smazání svých rezervací a vyplněných formulářů můžeš požádat přímo jeho. Při požadavcích na úrovni platformy nám napiš na support@micali.online.

12. Bezpečnost

Opatření, která máme dnes zavedená: weby, aplikace i API běží přes HTTPS; správci se přihlašují kódem zaslaným e-mailem a volitelný přihlašovací PIN uchováváme výhradně jako bcrypt hash, funguje pouze na zařízení dříve ověřeném e-mailovým kódem a po třech nesprávných pokusech se zneplatní; tokeny důvěryhodných zařízení jsou uloženy pouze jako SHA-256 hash; přístupové tokeny mají omezenou platnost a dají se zneplatnit; API má rate limiting a při každém přihlášení zaznamenává IP adresu a zařízení; tajemství konektorů – hesla SMTP, API klíče SendGrid a Twilio, OAuth tokeny Google (Gmail, Google Kalendář), přihlašovací údaje webhooků – jsou uložena šifrovaně s autentizovaným šifrováním (libsodium); každý požadavek na API je vázán na jeden účet, takže se účet nedostane k cizím datům; a přístup našeho týmu k platformě je oddělený od přístupu k účtům.

Žádný systém nemůže slíbit absolutní bezpečnost. Pokud by došlo k porušení zabezpečení osobních údajů, budeme ho řešit a dotčené informovat tak, jak to vyžaduje zákon.

Tvůj export a naše infrastruktura jsou dvě různé věci. Neposkytujeme obnovu jednotlivého účtu – neexistuje funkce, která by účet vrátila do dřívějšího stavu – proto vlastníkům účtů doporučujeme pravidelně exportovat to, na čem jim záleží (aplikace exportuje rezervace událostí a služeb do CSV), a kopii si uchovat u sebe.

13. Změny a kontakt

Tyto zásady ochrany osobních údajů můžeme čas od času aktualizovat. Aktuální verze je vždy zveřejněna na této stránce spolu s datem účinnosti a podstatné změny oznámíme předem e-mailem nebo v aplikaci. Pokud máš k těmto zásadám otázky nebo chceš uplatnit svá práva, napiš nám na support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, Slovenská republika.