Politique de confidentialité

1. Qui nous sommes

Micali.online est un système de réservation en ligne exploité par REALWEB, s.r.o., dont le siège social est à Vajanského 16/6757, 917 01 Trnava, République slovaque, numéro d'entreprise (IČO) 43899102, numéro fiscal (DIČ) 2022506332, numéro de TVA SK2022506332 (immatriculé au titre de l'article §7a de la loi slovaque sur la TVA). Dans cette politique, « nous » et « le service » désignent cette société qui exploite Micali.online. Vous pouvez nous joindre à support@micali.online.

Les propriétaires de comptes sont les entreprises, organisateurs et particuliers qui créent un compte pour accepter des réservations. Les visiteurs sont les personnes qui réservent un créneau via la page de réservation d'un propriétaire de compte.

Pour les données créées à l'intérieur d'un compte – listes de clients, réservations, réponses aux formulaires, messages – le propriétaire du compte est le responsable du traitement et nous agissons en tant que sous-traitant. Pour les données dont nous avons besoin pour faire fonctionner la plateforme elle-même – comptes, connexions, journaux de sécurité et notre propre analytique d'utilisation – nous sommes le responsable du traitement.

2. Quelles données nous collectons

Données de compte : lorsque vous créez un compte, nous collectons votre adresse e-mail, le nom du compte, la langue, le fuseau horaire et tous les paramètres que vous configurez (services, événements, horaires d'ouverture, modèles de messages, configuration des connecteurs, etc.). Les gestionnaires se connectent avec un code envoyé par e-mail. Un gestionnaire peut également définir un code PIN optionnel à 4 chiffres pour une connexion plus rapide, qui ne fonctionne que sur un appareil déjà vérifié par un code envoyé par e-mail ; ce PIN n'est stocké que sous forme de hash bcrypt.

Vérification du téléphone : lorsque vous vous inscrivez, ou décidez de conserver un compte de démonstration, nous vous demandons un numéro de téléphone mobile et lui envoyons un code à usage unique par SMS. Nous stockons le numéro, la date de sa vérification et le nombre de codes qui lui ont été envoyés, afin de pouvoir limiter le nombre de comptes créés et de prévenir les abus.

Données des visiteurs : lorsqu'un visiteur réserve un créneau, le formulaire du propriétaire du compte détermine ce qui est collecté. Il s'agit généralement du nom du visiteur, de son adresse e-mail et/ou de son numéro de téléphone, du service ou de l'événement choisi, et des réponses saisies dans le formulaire de réservation. Les réservations du visiteur, son statut de paiement, sa présence et ses adhésions sont également stockés.

Données de communication : chaque e-mail et SMS envoyé par le système est enregistré avec le destinataire, l'heure et le statut de livraison, afin que le propriétaire du compte puisse voir ce qui a été livré et que nous puissions diagnostiquer les problèmes de livraison. Les e-mails sortants contiennent un petit pixel de suivi qui enregistre si le message a été ouvert.

Comptes Google connectés : si un gestionnaire connecte Gmail ou Google Calendar, nous stockons l'adresse e-mail de ce compte Google ainsi que des jetons d'accès et de rafraîchissement chiffrés ; pour Google Calendar, également l'agenda choisi, les identifiants des événements d'agenda créés par Micali et leurs liens Google Meet. La section 10 décrit cela en détail.

Notifications push : si vous autorisez les notifications dans votre navigateur ou dans l'application installée, nous stockons l'adresse d'abonnement délivrée par le service push de votre navigateur avec ses clés de chiffrement, ainsi qu'un journal des notifications envoyées.

Données de connexion et de sécurité : pour chaque connexion, nous stockons l'adresse IP, l'identifiant du navigateur (user agent), le type d'appareil et l'heure de la dernière activité de cette session, afin de sécuriser les comptes et de détecter les abus.

Données d'utilisation et analytiques : pour chaque affichage de page sur nos sites et sur les pages de réservation, notre propre analytique stocke l'adresse et le titre de la page, la page d'origine, l'adresse IP, l'identifiant du navigateur, le type d'appareil, la langue, la source de trafic et la durée d'ouverture de la page, associés à un cookie « micali_track_id » valable deux ans. La section 7 décrit cela en détail.

Données de l'assistant IA : si vous utilisez l'assistant Ask AI dans l'application, vos questions et ses réponses sont stockées afin que la conversation garde son contexte, et les messages de plus de 7 jours sont supprimés la prochaine fois que l'assistant est ouvert ou utilisé. La section 9 explique ce qui est envoyé au fournisseur d'IA.

3. Comment nous utilisons vos données

Nous utilisons les données personnelles pour exploiter le service de réservation : pour authentifier les utilisateurs, créer et gérer les réservations, envoyer des confirmations, des rappels et des avis d'annulation, permettre aux propriétaires de comptes de gérer leurs clients, événements et statistiques, maintenir le système fiable et sécurisé, détecter et prévenir les abus, et répondre aux demandes de support. Nous ne vendons ni n'échangeons de données personnelles et nous ne les utilisons pas à des fins publicitaires de tiers.

Nous pouvons également envoyer aux propriétaires de comptes et aux gestionnaires, de temps à autre, des e-mails ou des SMS concernant les nouveautés et les changements de Micali.online. Chacun de ces e-mails contient un lien de désabonnement. Nous enregistrons si ces e-mails ont été ouverts et quels liens ont été cliqués, et nous conservons l'adresse de toute personne qui se désabonne sur une liste d'opposition afin qu'elle ne soit plus contactée. Les visiteurs des pages de réservation ne reçoivent jamais ces messages de notre part.

4. Base légale du traitement

L'exécution du service que vous ou le propriétaire du compte avez demandé – créer une réservation, livrer sa confirmation, faire fonctionner le compte.

Notre intérêt légitime à maintenir la plateforme opérationnelle, sécurisée et exempte d'abus, à comprendre comment nos pages sont utilisées et à informer les propriétaires de comptes de notre propre service : cela couvre notre propre analytique, les statistiques de visiteurs que nous fournissons aux propriétaires de comptes, la vérification du téléphone à l'inscription, les journaux de connexion, de sécurité et de livraison, ainsi que les nouveautés que nous envoyons aux propriétaires de comptes.

Votre consentement, lorsque c'est le consentement qui s'applique – par exemple les cookies Google Analytics sur le site marketing, qui ne se chargent que si vous les acceptez, la connexion de votre propre compte Google ou l'autorisation des notifications push. Vous pouvez le retirer à tout moment.

Le respect des obligations légales, lorsqu'elles nous concernent.

5. Combien de temps nous conservons les données, et comment elles sont supprimées

Les données de compte – et les réservations, clients, réponses aux formulaires et journaux de messages qu'il contient – sont conservées tant que le compte existe. Nous ne supprimons pas les comptes pour inactivité.

Lorsqu'un compte est supprimé, la suppression est définitive. Le compte, ses utilisateurs, événements, services, réservations, liens vers les clients, réponses aux formulaires, modèles de messages, fichiers téléversés, paramètres de connecteurs et journaux des e-mails et SMS envoyés depuis ce compte sont retirés de la base de données et ne peuvent pas être récupérés. Un administrateur racine peut demander la suppression dans l'application ; elle prend effet après 7 jours et peut être annulée durant cette période (voir les Conditions d'utilisation). Les comptes de démonstration sont supprimés automatiquement 7 jours après leur création.

Les propriétaires de comptes peuvent supprimer des enregistrements individuels – clients, réservations, réponses aux formulaires, messages – à tout moment depuis l'application.

L'enregistrement d'identité d'un visiteur, c'est-à-dire l'adresse e-mail avec laquelle il se connecte, n'est pas supprimé en même temps qu'un seul compte, car la même personne peut avoir des réservations chez d'autres propriétaires de comptes sur la plateforme. Écrivez à support@micali.online si vous souhaitez que cet enregistrement soit supprimé.

Lorsqu'un gestionnaire déconnecte Google Calendar ou Gmail, nous supprimons les jetons stockés et révoquons notre accès chez Google. Les événements d'agenda que Micali a déjà créés restent dans cet agenda jusqu'à ce que vous les supprimiez. Un numéro de téléphone utilisé pour la vérification reste enregistré même après la suppression du compte, afin que les limites par numéro ne puissent pas être contournées ; écrivez à support@micali.online si vous souhaitez qu'il soit supprimé.

Les conversations Ask AI ont une fenêtre de 7 jours : les messages plus anciens sont supprimés la prochaine fois que ce gestionnaire ouvre ou utilise l'assistant. Les enregistrements de connexion, de sécurité et d'analytique d'utilisation sont conservés aussi longtemps que nécessaire pour faire fonctionner et sécuriser le service et pour produire les statistiques de visiteurs décrites à la section 8 ; nous n'appliquons actuellement pas de durée de conservation fixe pour ceux-ci.

6. Qui d'autre traite les données

Nous ne vendons pas de données personnelles. Elles ne sont partagées qu'avec les fournisseurs techniquement nécessaires au fonctionnement du service :

Hébergement et infrastructure – l'application, la base de données et les fichiers téléversés sont hébergés chez Websupport, s.r.o. (Slovaquie), sur une infrastructure située dans l'Union européenne.

Livraison des e-mails et des SMS – lorsqu'un compte connecte sa propre configuration SendGrid, Twilio, SMTP ou Gmail, le contenu de chaque message et l'adresse du destinataire sont transmis à ce fournisseur pour la livraison, selon les propres conditions de ce fournisseur. Les propriétaires de comptes choisissent et configurent ces fournisseurs. Les messages que la plateforme elle-même envoie (codes de connexion, notifications) passent par notre propre fournisseur SMTP. Les codes de vérification du téléphone et nos propres SMS sont envoyés via Twilio (Twilio Inc., États-Unis).

Google Calendar et Google Meet – lorsqu'un gestionnaire connecte Google Calendar et active les réunions en ligne pour un événement ou un service, la date et l'heure, le nom de l'événement ou du service et, pour la réservation d'un service, le nom du client sont inscrits dans l'agenda Google personnel de ce gestionnaire, et Google (Google LLC) crée le lien Google Meet ; voir la section 10.

Cartes et recherche d'adresse – les cartes des paramètres du compte, des événements et des services chargent des tuiles cartographiques depuis OpenStreetMap, et le bouton « Géocoder depuis l'adresse » envoie l'adresse que vous avez saisie au service Nominatim (OpenStreetMap Foundation). Les deux sont demandés directement par votre navigateur, ils voient donc votre adresse IP.

Notifications push – les notifications sont livrées via le service push de l'éditeur de votre navigateur (par exemple Google, Mozilla ou Apple). Leur contenu est chiffré, le service push ne peut donc pas le lire.

Fournisseurs d'IA – voir la section 9.

Analytique – Google Analytics (Google LLC) sur le site marketing, uniquement avec votre consentement ; voir la section 7.

Transferts hors de l'UE – certains de ces fournisseurs (OpenAI, Google, Twilio, et les fournisseurs qu'un compte connecte lui-même) sont établis aux États-Unis ou peuvent y traiter des données. Ces transferts reposent sur les garanties prévues par le RGPD, telles que le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) ou les clauses contractuelles types de la Commission européenne.

Nous pouvons également divulguer des données lorsque la loi l'exige, ou pour protéger les droits, la sécurité ou la propriété du service, de ses utilisateurs ou du public.

7. Cookies et analytique

L'application utilise les cookies et le stockage local strictement nécessaires pour vous maintenir connecté et mémoriser des préférences de base telles que la langue.

Nous exploitons également notre propre analytique interne sur l'ensemble du site marketing, du blog, de l'application et des pages de réservation. Un cookie « micali_track_id » valable deux ans identifie le navigateur, et chaque affichage de page est stocké avec son adresse et son titre, la page d'origine, l'adresse IP, l'identifiant du navigateur, le type d'appareil, la langue, la source de trafic et la durée d'ouverture de la page. Cela repose sur notre intérêt légitime à comprendre comment nos pages sont utilisées et à fournir aux propriétaires de comptes des statistiques pour leurs propres pages de réservation ; ce n'est pas lié à la bannière de cookies. Les requêtes des robots des moteurs de recherche, de notre propre équipe, et des adresses IP que nous avons exclues, ne sont pas enregistrées.

Le site marketing utilise en plus Google Analytics (Google LLC), qui n'est chargé que si vous acceptez l'analytique dans la bannière de cookies. Si vous refusez, Google Analytics n'est pas chargé du tout. Google décrit son propre traitement à l'adresse https://policies.google.com/privacy

8. Statistiques de visiteurs pour les propriétaires de comptes

Les propriétaires de comptes voient les statistiques de leurs propres pages de réservation publiques, construites à partir de l'analytique décrite à la section 7 : nombre de vues par page, source de trafic, type d'appareil et langue, ainsi que la liste des visiteurs derrière ces vues.

Un visiteur déjà présent dans la liste des clients de ce compte apparaît avec son nom et son adresse e-mail. Comme le navigateur est reconnu grâce à son cookie de longue durée, les affichages de page effectués avant que le visiteur ne se connecte ou ne réserve peuvent lui être attribués par la suite, une fois ce navigateur identifié. Tous les autres restent anonymes et ne sont décrits que par le type d'appareil, la source de trafic et la langue.

Les propriétaires de comptes ne voient jamais les adresses IP ni les identifiants de navigateur. Les affichages de page par les gestionnaires du compte lui-même, ainsi que par les robots des moteurs de recherche, sont exclus. Si vous préférez ne pas être reconnu de cette manière, vous pouvez effacer ou bloquer les cookies dans votre navigateur, ou demander au propriétaire du compte de supprimer votre fiche client.

9. Intelligence artificielle (IA)

L'application propose des fonctionnalités d'IA : un assistant « Ask AI » pour les gestionnaires de compte, la génération de textes de messages de réservation, et AI Insights – des suggestions pour le propriétaire du compte basées sur ses propres chiffres.

Le fournisseur qui traite ces données dépend de la configuration IA du compte. Par défaut, un compte utilise Micali AI, qui fonctionne sur notre propre compte chez OpenAI (OpenAI, L.L.C., États-Unis). Un compte peut à la place connecter sa propre clé API pour OpenAI ou pour Google Gemini (Google LLC), auquel cas les requêtes sont envoyées à ce fournisseur dans le cadre de l'accord propre du compte avec lui.

Ce qui est envoyé : pour l'assistant Ask AI, la question du gestionnaire ainsi qu'un instantané des propres données du compte assemblé pour cette conversation – paramètres, membres de l'équipe, événements et dates, services, adhésions, et jusqu'à 150 contacts de visiteurs du compte, y compris noms, adresses e-mail et numéros de téléphone. Pour la génération de messages, l'invite du gestionnaire et les données de réservation concernées par le message. Pour AI Insights, des chiffres agrégés sur le compte (nombre de réservations et de présences, taux de remplissage, statistiques de livraison des messages) ainsi que les noms des événements et des services – aucun contact de visiteur.

Les données ne sont envoyées que lorsque quelqu'un utilise réellement une fonctionnalité d'IA. AI Insights est désactivé pour un compte tant qu'il n'est pas activé, et ses ébauches sont vérifiées par notre équipe avant d'être publiées au propriétaire du compte. Nous n'utilisons pas le contenu de ces requêtes pour entraîner un quelconque modèle. Ce qu'un fournisseur d'IA fait des données envoyées à son API est régi par les propres conditions de ce fournisseur, que nous ne contrôlons pas : https://openai.com/policies/ et https://policies.google.com/privacy

10. Données utilisateur Google et Utilisation limitée (Limited Use)

Micali.online n'utilise les API Google que lorsqu'un gestionnaire connecte son propre compte Google, et uniquement pour les deux finalités ci-dessous. La connexion s'effectue toujours via l'écran de consentement OAuth standard de Google.

Gmail – afin que les messages de réservation soient envoyés depuis l'adresse propre du gestionnaire. Seule l'autorisation d'envoyer des e-mails est demandée (https://www.googleapis.com/auth/gmail.send), ainsi que l'adresse e-mail du compte connecté. Micali.online ne peut ni lire, ni rechercher, ni télécharger, ni stocker le contenu de votre boîte de messagerie – il peut uniquement envoyer les messages de réservation déclenchés par vous ou par les rappels automatiques de votre compte.

Google Calendar et Google Meet – afin que les événements et services en ligne obtiennent un lien Google Meet. Sont demandées l'autorisation de créer, modifier et supprimer des événements dans les agendas dont vous êtes propriétaire (https://www.googleapis.com/auth/calendar.events.owned), l'autorisation de lister vos agendas afin que vous puissiez en choisir un (https://www.googleapis.com/auth/calendar.calendarlist.readonly), ainsi que l'adresse e-mail du compte connecté. Micali.online ne travaille qu'avec les événements qu'il a lui-même créés – il ne lit, ne modifie ni ne supprime vos autres événements. Pour chaque réservation confirmée d'un service en ligne, et pour chaque date d'un événement en ligne, il crée un événement dans l'agenda choisi avec la date et l'heure, le nom de l'événement ou du service et, pour la réservation d'un service, le nom du client, et demande à Google d'y joindre un lien Google Meet. Ces événements n'ont aucun invité et Google n'envoie aucune invitation ; Micali.online envoie le lien aux participants dans ses propres e-mails de réservation. Lorsqu'une réservation ou une date est déplacée, annulée ou supprimée, Micali.online met à jour ou supprime son événement.

Les jetons d'accès et de rafraîchissement sont stockés de manière chiffrée et utilisés uniquement à ces fins. Vous pouvez déconnecter Gmail ou Google Calendar à tout moment dans l'application – nous supprimons alors les jetons et révoquons l'accès chez Google – ou révoquer l'accès à l'adresse https://myaccount.google.com/permissions.

L'utilisation et le transfert par Micali des informations reçues via les API Google vers toute autre application respecteront la Google API Services User Data Policy (politique relative aux données utilisateur des services API de Google), y compris les exigences d'Utilisation limitée (Limited Use). Cette politique est disponible à l'adresse https://developers.google.com/terms/api-services-user-data-policy.

Les données utilisateur de Google Workspace ne sont ni utilisées, ni transférées, ni vendues pour créer, entraîner ou améliorer des modèles d'intelligence artificielle ou d'apprentissage automatique généralisés ou fondamentaux.

Micali ne fournit ni le contenu des e-mails, ni les données d'agenda, ni d'autres données utilisateur de Google Workspace à des modèles d'AI/ML. Le contenu généré par IA est créé de manière indépendante et n'est envoyé via Gmail qu'après avoir été initié ou approuvé par l'utilisateur.

11. Vos droits

Sous réserve du droit applicable (y compris le RGPD de l'UE), vous avez le droit d'accéder aux données personnelles que nous détenons à votre sujet, de demander leur correction ou leur suppression, de vous opposer à certains traitements ou de les restreindre, et de recevoir vos données dans un format portable. Vous avez également le droit de retirer tout consentement que vous avez donné (par exemple en modifiant votre choix dans la bannière de cookies, en déconnectant un compte Google ou en désactivant les notifications), et de déposer une plainte auprès d'une autorité de protection des données – en Slovaquie, l'Office pour la protection des données personnelles de la République slovaque (https://dataprotection.gov.sk), ou l'autorité du pays de l'UE où vous résidez.

Si vous êtes un visiteur ayant réservé via un compte, le propriétaire du compte est le point de contact principal pour vos données – c'est lui qui décide ce qu'il collecte et combien de temps il le conserve dans son compte. Vous pouvez lui demander de mettre à jour ou de supprimer vos réservations et réponses aux formulaires. Pour les demandes au niveau de la plateforme, écrivez-nous à support@micali.online.

12. Sécurité

Les mesures en place aujourd'hui : les sites, l'application et l'API sont servis via HTTPS ; les gestionnaires se connectent avec un code envoyé par e-mail, et le code PIN de connexion optionnel n'est stocké que sous forme de hash bcrypt, ne fonctionne que sur un appareil déjà vérifié par un code envoyé par e-mail, et est révoqué après trois tentatives erronées ; les jetons d'appareils de confiance ne sont stockés que sous forme de hash SHA-256 ; les jetons d'accès expirent et peuvent être révoqués ; l'API est soumise à une limitation de débit et enregistre l'adresse IP et l'appareil de chaque connexion ; les secrets des connecteurs – mots de passe SMTP, clés API SendGrid et Twilio, jetons OAuth Google (Gmail, Google Calendar), identifiants de webhooks – sont chiffrés au repos avec un chiffrement authentifié (libsodium) ; chaque requête API est limitée à un seul compte, de sorte qu'un compte ne peut atteindre que ses propres données ; et l'accès de l'équipe de la plateforme est distinct de l'accès aux comptes.

Aucun système ne peut promettre une sécurité absolue. En cas de violation affectant des données personnelles, nous la traiterons et informerons les personnes concernées comme la loi l'exige.

Votre export et notre infrastructure sont deux choses différentes. Nous ne proposons pas de restauration par compte – il n'existe aucune fonctionnalité qui ramène un compte à un état antérieur – nous recommandons donc aux propriétaires de comptes d'exporter régulièrement ce qui compte pour eux (l'application exporte les réservations d'événements et de services au format CSV) et de conserver eux-mêmes cette copie.

13. Modifications et contact

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. La version actuelle est toujours publiée sur cette page avec sa date d'entrée en vigueur, et les changements substantiels seront annoncés à l'avance par e-mail ou dans l'application. Si vous avez des questions sur cette politique, ou souhaitez exercer vos droits, écrivez-nous à support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, République slovaque.