Pravila privatnosti

1. Tko smo mi

Micali.online je sustav za online rezervacije kojim upravlja REALWEB, s.r.o., sa sjedištem na adresi Vajanského 16/6757, 917 01 Trnava, Slovačka Republika, Company ID (IČO) 43899102, Tax ID (DIČ) 2022506332, VAT ID SK2022506332 (registriran prema §7a slovačkog Zakona o PDV-u). U ovim pravilima „mi“, „nas“ i „usluga“ odnose se na tu tvrtku koja vodi Micali.online. Možete nas kontaktirati na support@micali.online.

Vlasnici računa su tvrtke, organizatori i pojedinci koji otvore račun kako bi primali rezervacije. Posjetitelji su osobe koje rezerviraju termin putem stranice za rezervacije vlasnika računa.

Za podatke koji nastaju unutar računa – popise klijenata, rezervacije, odgovore obrazaca, poruke – vlasnik računa je voditelj obrade podataka, a mi djelujemo kao izvršitelj obrade. Za podatke koji su nam potrebni za rad same platforme – račune, prijave, sigurnosne dnevnike i vlastitu analitiku korištenja – mi smo voditelj obrade.

2. Koje podatke prikupljamo

Podaci o računu: kada otvorite račun, prikupljamo vašu adresu e-pošte, naziv računa, jezik, vremensku zonu i sve postavke koje konfigurirate (usluge, događaje, radno vrijeme, predloške poruka, konfiguraciju konektora i slično). Administratori se prijavljuju kodom poslanim e-poštom. Administrator može postaviti i neobvezni 4-znamenkasti PIN za bržu prijavu, koji djeluje samo na uređaju već potvrđenom kodom poslanim e-poštom; taj PIN pohranjuje se isključivo kao bcrypt sažetak (hash).

Provjera telefona: kada se registrirate ili odlučite zadržati demo račun, tražimo broj mobilnog telefona i šaljemo na njega jednokratni kod putem SMS-a. Pohranjujemo broj, vrijeme njegove provjere i broj kodova poslanih na njega, kako bismo mogli ograničiti broj otvorenih računa i spriječiti zlouporabu.

Podaci o posjetiteljima: kada posjetitelj rezervira termin, obrazac vlasnika računa određuje što se prikuplja. Obično su to ime posjetitelja, adresa e-pošte i/ili telefonski broj, odabrana usluga ili događaj te odgovori uneseni u obrazac za rezervaciju. Pohranjuju se i rezervacije posjetitelja, status plaćanja, prisutnost i članstva.

Komunikacijski podaci: svaka e-poruka i SMS koje sustav pošalje bilježe se s primateljem, vremenom i statusom dostave, kako bi vlasnik računa mogao vidjeti što je dostavljeno i kako bismo mi mogli dijagnosticirati probleme s dostavom. Odlazna e-pošta sadrži mali piksel za praćenje koji bilježi je li poruka otvorena.

Povezani Google računi: ako administrator poveže Gmail ili Google Kalendar, pohranjujemo adresu e-pošte tog Google računa te šifrirane pristupne tokene i tokene za osvježavanje; za Google Kalendar i odabrani kalendar, ID-jeve događaja koje je Micali u njemu stvorilo i njihove poveznice na Google Meet. Pojedinosti opisuje odjeljak 10.

Push obavijesti: ako u pregledniku ili instaliranoj aplikaciji dopustite obavijesti, pohranjujemo adresu pretplate koju je izdala push usluga vašeg preglednika, zajedno s njezinim ključevima za šifriranje, te dnevnik poslanih obavijesti.

Podaci o prijavi i sigurnosti: za svaku prijavu pohranjujemo IP adresu, korisnički agent preglednika, vrstu uređaja i vrijeme posljednje aktivnosti u toj sesiji, radi zaštite računa i otkrivanja zlouporabe.

Podaci o korištenju i analitici: za svaki pregled stranice na našim web stranicama i stranicama za rezervacije, naša vlastita analitika pohranjuje adresu i naslov stranice, referentnu stranicu, IP adresu, korisnički agent preglednika, vrstu uređaja, jezik, izvor prometa i koliko je dugo stranica ostala otvorena, povezano s dvogodišnjim kolačićem „micali_track_id“. Odjeljak 7 to opisuje detaljno.

Podaci AI asistenta: ako u aplikaciji koristite asistenta Ask AI, vaša pitanja i njegovi odgovori pohranjuju se kako bi razgovor zadržao kontekst, a poruke starije od 7 dana uklanjaju se sljedeći put kada otvorite ili koristite asistenta. Odjeljak 9 objašnjava što se šalje pružatelju AI usluge.

3. Kako koristimo vaše podatke

Osobne podatke koristimo za rad usluge rezervacija: za autentifikaciju korisnika, izradu i upravljanje rezervacijama, slanje potvrda, podsjetnika i obavijesti o otkazivanju, kako bi vlasnici računa mogli upravljati svojim klijentima, događajima i statistikom, kako bi sustav bio pouzdan i siguran, radi otkrivanja i sprječavanja zlouporabe te radi odgovaranja na zahtjeve podrške. Ne prodajemo niti trgujemo osobnim podacima i ne koristimo ih za oglašavanje trećih strana.

Vlasnicima i administratorima računa povremeno možemo slati e-poštu ili SMS o novostima i promjenama u Micali.online. Svaka takva e-poruka sadrži poveznicu za odjavu. Bilježimo jesu li te e-poruke otvorene i na koje je poveznice kliknuto, a adresu svakoga tko se odjavi čuvamo na popisu odjavljenih kako ga ne bismo ponovno kontaktirali. Posjetitelji stranica za rezervacije nikada ne primaju takve poruke od nas.

4. Pravna osnova za obradu

Izvršenje usluge koju ste vi ili vlasnik računa zatražili – stvaranje rezervacije, dostava njezine potvrde, vođenje računa.

Naš legitimni interes za održavanje platforme funkcionalnom, sigurnom i zaštićenom od zlouporabe, za razumijevanje kako se koriste naše stranice te za obavještavanje vlasnika računa o našoj vlastitoj usluzi: to obuhvaća našu vlastitu analitiku, statistiku posjetitelja koju pružamo vlasnicima računa, provjeru telefona pri registraciji, dnevnike prijave, sigurnosti i dostave poruka te novosti koje šaljemo vlasnicima računa.

Vaš pristanak, tamo gdje se on primjenjuje – na primjer kolačići Google Analyticsa na marketinškoj stranici, koji se učitavaju samo ako ih prihvatite, povezivanje vlastitog Google računa ili dopuštanje push obavijesti. Pristanak možete povući u bilo kojem trenutku.

Usklađenost sa zakonskim obvezama, tamo gdje se na nas primjenjuju.

5. Koliko dugo čuvamo podatke, i kako se brišu

Podaci o računu – kao i rezervacije, klijenti, odgovori obrazaca i dnevnici poruka unutar računa – čuvaju se dokle god račun postoji. Ne brišemo račune zbog neaktivnosti.

Kada se račun izbriše, brisanje je trajno. Račun, njegovi korisnici, događaji, usluge, rezervacije, veze s klijentima, odgovori obrazaca, predlošci poruka, učitane datoteke, postavke konektora te dnevnici poslane e-pošte i SMS-a uklanjaju se iz baze podataka i ne mogu se obnoviti. Root-administrator može zatražiti brisanje u aplikaciji; ono stupa na snagu nakon 7 dana i može se otkazati unutar tog razdoblja (pogledajte Uvjete korištenja). Demo računi automatski se brišu 7 dana nakon stvaranja.

Vlasnici računa mogu u bilo kojem trenutku izbrisati pojedinačne zapise – klijente, rezervacije, odgovore obrazaca, poruke – unutar same aplikacije.

Zapis identiteta posjetitelja, odnosno adresa e-pošte kojom se prijavljuje, ne uklanja se zajedno s jednim računom, jer ista osoba može imati rezervacije kod drugih vlasnika računa na platformi. Pišite na support@micali.online ako želite da se taj zapis ukloni.

Kada administrator odspoji Google Kalendar ili Gmail, brišemo pohranjene tokene i opozivamo svoj pristup kod Googlea. Događaji koje je Micali već stvorilo u kalendaru ostaju u njemu dok ih ne izbrišete. Telefonski broj korišten za provjeru ostaje u evidenciji i nakon brisanja računa, kako se ograničenja po broju ne bi mogla zaobići; pišite na support@micali.online ako želite da se ukloni.

Razgovori s Ask AI imaju rok od 7 dana: poruke starije od toga uklanjaju se sljedeći put kada taj administrator otvori ili koristi asistenta. Zapisi o prijavi, sigurnosti i analitici korištenja čuvaju se onoliko dugo koliko je potrebno za rad i sigurnost usluge te za izradu statistike posjetitelja opisane u odjeljku 8; trenutno na njih ne primjenjujemo fiksni rok brisanja.

6. Tko još obrađuje podatke

Ne prodajemo osobne podatke. Dijelimo ih samo s pružateljima koji su tehnički potrebni za rad usluge:

Hosting i infrastruktura – aplikacija, baza podataka i učitane datoteke hostirane su kod Websupport, s.r.o. (Slovačka), na infrastrukturi smještenoj u Europskoj uniji.

Dostava e-pošte i SMS-a – kada račun poveže vlastiti SendGrid, Twilio, SMTP ili Gmail račun, sadržaj svake poruke i adresa primatelja prenose se tom pružatelju radi dostave, prema uvjetima tog pružatelja. Vlasnici računa sami biraju i konfiguriraju te pružatelje. Poruke koje šalje sama platforma (kodovi za prijavu, obavijesti) šalju se putem našeg vlastitog SMTP pružatelja. Kodove za provjeru telefona i naše vlastite SMS poruke šaljemo putem Twilija (Twilio Inc., Sjedinjene Američke Države).

Google Kalendar i Google Meet – kada administrator poveže Google Kalendar i za događaj ili uslugu uključi online sastanke, u njegov vlastiti Google kalendar upisuju se datum i vrijeme, naziv događaja ili usluge te, kod rezervacije usluge, ime klijenta, a Google (Google LLC) stvara poveznicu na Google Meet; pogledajte odjeljak 10.

Karte i traženje adrese – karte u postavkama računa, događaja i usluga učitavaju pločice karte s OpenStreetMapa, a gumb „Geokodiraj iz adrese“ šalje upisanu adresu usluzi Nominatim (OpenStreetMap Foundation). Oba zahtjeva šalje izravno vaš preglednik, pa te usluge vide vašu IP adresu.

Push obavijesti – obavijesti se dostavljaju putem push usluge proizvođača vašeg preglednika (na primjer Google, Mozilla ili Apple). Njihov je sadržaj šifriran pa ga push usluga ne može pročitati.

Pružatelji AI usluga – pogledajte odjeljak 9.

Analitika – Google Analytics (Google LLC) na marketinškoj stranici, samo uz vaš pristanak; pogledajte odjeljak 7.

Prijenosi izvan EU-a – neki od tih pružatelja (OpenAI, Google, Twilio i pružatelji koje račun povezuje sam) imaju sjedište u Sjedinjenim Američkim Državama ili ondje mogu obrađivati podatke. Takvi se prijenosi oslanjaju na zaštitne mjere koje predviđa GDPR, kao što su Okvir EU–SAD za privatnost podataka (Data Privacy Framework) ili standardne ugovorne klauzule Europske komisije.

Podatke možemo otkriti i kada to zahtijeva zakon, ili radi zaštite prava, sigurnosti ili imovine usluge, njezinih korisnika ili javnosti.

7. Kolačići i analitika

Aplikacija koristi kolačiće i lokalnu pohranu koji su strogo nužni za održavanje vaše prijave i pamćenje osnovnih postavki poput jezika.

Također vodimo vlastitu analitiku prve strane na marketinškoj stranici, blogu, u aplikaciji i na stranicama za rezervacije. Kolačić „micali_track_id“ valjan dvije godine identificira preglednik, a svaki pregled stranice pohranjuje se s njezinom adresom i naslovom, referentnom stranicom, IP adresom, korisničkim agentom preglednika, vrstom uređaja, jezikom, izvorom prometa i koliko je dugo stranica ostala otvorena. Ovo se temelji na našem legitimnom interesu za razumijevanje kako se koriste naše stranice i za pružanje statistike vlasnicima računa za njihove vlastite stranice za rezervacije; nije vezano uz traku za kolačiće. Zahtjevi tražilica, našeg vlastitog osoblja i IP adresa koje smo isključili ne bilježe se.

Marketinška stranica dodatno koristi Google Analytics (Google LLC), koji se učitava samo ako prihvatite analitiku u traci za kolačiće. Ako ga odbijete, Google Analytics se uopće ne učitava. Google opisuje vlastitu obradu na https://policies.google.com/privacy

8. Statistika posjetitelja za vlasnike računa

Vlasnici računa vide statistiku za svoje vlastite javne stranice za rezervacije, izrađenu na temelju analitike opisane u odjeljku 7: broj pregleda po stranici, izvor prometa, vrstu uređaja i jezik, te popis posjetitelja iza tih pregleda.

Posjetitelj koji je već na popisu klijenata tog računa prikazuje se s imenom i adresom e-pošte. Budući da se preglednik prepoznaje po svom dugotrajnom kolačiću, pregledi stranica napravljeni prije nego što se posjetitelj prijavio ili rezervirao mogu mu se naknadno pripisati, čim se taj preglednik identificira. Svi ostali ostaju anonimni i opisani su samo vrstom uređaja, izvorom prometa i jezikom.

Vlasnici računa nikad ne vide IP adrese niti korisničke agente preglednika. Pregledi stranica od strane administratora samog računa, kao i od strane tražilica, isključeni su. Ako ne želite biti prepoznati na ovaj način, možete izbrisati ili blokirati kolačiće u svom pregledniku, ili zatražiti od vlasnika računa da izbriše vaš zapis klijenta.

9. Umjetna inteligencija (AI)

Aplikacija nudi AI značajke: asistenta „Ask AI“ za administratore računa, izradu tekstova poruka za rezervacije te AI Insights – prijedloge za vlasnika računa na temelju njegovih vlastitih brojki.

Koji pružatelj obrađuje te podatke ovisi o postavkama AI-ja tog računa. Prema zadanim postavkama račun koristi Micali AI, koji radi putem našeg vlastitog računa kod OpenAI-ja (OpenAI, L.L.C., Sjedinjene Američke Države). Račun umjesto toga može povezati vlastiti API ključ za OpenAI ili za Google Gemini (Google LLC), u kojem slučaju se zahtjevi šalju tom pružatelju prema vlastitom dogovoru računa s njim.

Što se šalje: za asistenta Ask AI, pitanje administratora zajedno sa snimkom vlastitih podataka računa sastavljenom za taj razgovor – postavke, članovi tima, događaji i datumi, usluge, članstva, te do 150 kontakata posjetitelja tog računa uključujući imena, adrese e-pošte i telefonske brojeve. Za izradu poruka, upit administratora i podatke o rezervaciji na koje se poruka odnosi. Za AI Insights, agregirane brojke o računu (broj rezervacija i prisutnosti, stope popunjenosti, statistiku dostave poruka) zajedno s nazivima događaja i usluga – bez kontakata posjetitelja.

Podaci se šalju samo kada netko doista koristi neku AI značajku. AI Insights je za račun isključen dok se ne omogući, a njegove nacrte prije objave vlasniku računa pregledava naše osoblje. Ne koristimo sadržaj ovih zahtjeva za treniranje bilo kojeg modela. Što pružatelj AI usluge radi s podacima poslanim njegovom API-ju uređuju vlastiti uvjeti tog pružatelja, koje mi ne kontroliramo: https://openai.com/policies/ i https://policies.google.com/privacy

10. Googleovi korisnički podaci i Limited Use

Micali.online koristi Google API-je samo kada administrator poveže vlastiti Google račun, i to samo u dvije svrhe navedene u nastavku. Povezivanje se uvijek odvija putem Googleovog standardnog OAuth zaslona za pristanak.

Gmail – kako bi se poruke o rezervaciji slale s vlastite adrese administratora. Zahtijeva samo dozvolu za slanje e-pošte (https://www.googleapis.com/auth/gmail.send) zajedno s adresom e-pošte povezanog računa. Micali.online ne može čitati, pretraživati, preuzimati niti pohranjivati sadržaj vašeg poštanskog sandučića – može samo poslati poruke o rezervaciji koje pokrenete vi ili automatski podsjetnici vašeg računa.

Google Kalendar i Google Meet – kako bi online događaji i usluge dobili poveznicu na Google Meet. Zahtijeva dozvolu za stvaranje, izmjenu i brisanje događaja u kalendarima koje posjedujete (https://www.googleapis.com/auth/calendar.events.owned), dozvolu za popis vaših kalendara kako biste mogli odabrati jedan (https://www.googleapis.com/auth/calendar.calendarlist.readonly) te adresu e-pošte povezanog računa. Micali.online radi samo s događajima koje je samo stvorilo – vaše ostale događaje ne čita, ne mijenja niti ne briše. Za svaku potvrđenu rezervaciju online usluge i za svaki termin online događaja stvara jedan događaj u odabranom kalendaru s datumom i vremenom, nazivom događaja ili usluge te, kod rezervacije usluge, imenom klijenta, i traži od Googlea da priloži poveznicu na Google Meet. Ti događaji nemaju goste i Google ne šalje pozivnice; poveznicu sudionicima šalje sam Micali.online u svojim e-porukama o rezervaciji. Kada se rezervacija ili termin premjesti, otkaže ili izbriše, Micali.online ažurira ili briše svoj događaj.

Pristupni tokeni i tokeni za osvježavanje pohranjuju se šifrirano i koriste se isključivo u te svrhe. Gmail ili Google Kalendar možete odspojiti u bilo kojem trenutku unutar aplikacije – tokene tada brišemo i opozivamo pristup kod Googlea – ili povući pristup na https://myaccount.google.com/permissions.

Micalijeva upotreba i prijenos informacija dobivenih putem Google API-ja u bilo koju drugu aplikaciju bit će u skladu s Google API Services User Data Policy (Pravilima o korisničkim podacima usluga Google API-ja), uključujući zahtjeve Limited Use (ograničene upotrebe). Ta pravila dostupna su na https://developers.google.com/terms/api-services-user-data-policy.

Podaci korisnika usluge Google Workspace ne koriste se, ne prenose niti prodaju radi stvaranja, treniranja ili poboljšanja generaliziranih ili temeljnih modela umjetne inteligencije ili strojnog učenja.

Micali ne dostavlja sadržaj e-pošte, podatke kalendara niti druge podatke korisnika usluge Google Workspace AI/ML modelima. Sadržaj generiran umjetnom inteligencijom stvara se neovisno i šalje se putem Gmaila tek nakon što ga korisnik pokrene ili odobri.

11. Vaša prava

Sukladno primjenjivom pravu (uključujući EU GDPR), imate pravo pristupa osobnim podacima koje o vama čuvamo, zatražiti njihov ispravak ili brisanje, prigovoriti ili ograničiti određene obrade, te primiti svoje podatke u prenosivom formatu. Također imate pravo povući bilo koji pristanak koji ste dali (na primjer promjenom odabira na traci za kolačiće, odspajanjem Google računa ili isključivanjem obavijesti), i podnijeti pritužbu svom tijelu za zaštitu podataka – u Slovačkoj, Uredu za zaštitu osobnih podataka Slovačke Republike (https://dataprotection.gov.sk), ili nadzornom tijelu države članice EU-a u kojoj živite.

Ako ste posjetitelj koji je rezervirao putem nekog računa, vlasnik računa primarna je točka kontakta za vaše podatke – on odlučuje što prikuplja i koliko dugo to čuva unutar svog računa. Možete od njega zatražiti ažuriranje ili brisanje vaših rezervacija i odgovora obrazaca. Za zahtjeve na razini platforme, pišite nam na support@micali.online.

12. Sigurnost

Mjere koje su danas na snazi: web stranice, aplikacija i API poslužuju se putem HTTPS-a; administratori se prijavljuju kodom poslanim e-poštom, a neobvezni PIN za prijavu pohranjuje se isključivo kao bcrypt sažetak, djeluje samo na uređaju prethodno potvrđenom kodom poslanim e-poštom, i opoziva se nakon tri pogrešna pokušaja; tokeni pouzdanog uređaja pohranjuju se isključivo kao SHA-256 sažetak; pristupni tokeni imaju rok trajanja i mogu se opozvati; API ima ograničenje broja zahtjeva i bilježi IP adresu i uređaj svake prijave; tajni podaci konektora – SMTP lozinke, API ključevi za SendGrid i Twilio, Google OAuth tokeni (Gmail, Google Kalendar), vjerodajnice webhookova – šifrirani su u mirovanju autentificiranom enkripcijom (libsodium); svaki API zahtjev ograničen je na jedan račun, tako da račun može pristupiti samo vlastitim podacima; a pristup osoblja platforme odvojen je od pristupa računima.

Nijedan sustav ne može jamčiti apsolutnu sigurnost. Ako dođe do povrede koja utječe na osobne podatke, riješit ćemo je i obavijestiti dotične osobe kako to zahtijeva zakon.

Vaš izvoz i naša infrastruktura dvije su različite stvari. Ne nudimo obnovu na razini pojedinog računa – ne postoji značajka koja vraća jedan račun u prijašnje stanje – stoga preporučujemo vlasnicima računa da redovito izvoze ono što im je važno (aplikacija omogućuje izvoz rezervacija događaja i usluga u CSV) i tu kopiju čuvaju sami.

13. Promjene i kontakt

Ova Pravila privatnosti povremeno možemo ažurirati. Trenutna verzija uvijek je objavljena na ovoj stranici zajedno s datumom stupanja na snagu, a bitne promjene bit će unaprijed najavljene e-poštom ili u aplikaciji. Ako imate pitanja o ovim pravilima, ili želite ostvariti svoja prava, pišite nam na support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, Slovačka Republika.