Privacybeleid

1. Wie we zijn

Micali.online is een online reserveringssysteem beheerd door REALWEB, s.r.o., met maatschappelijke zetel Vajanského 16/6757, 917 01 Trnava, Slowaakse Republiek, Bedrijfsnummer (IČO) 43899102, Belastingnummer (DIČ) 2022506332, Btw-nummer SK2022506332 (geregistreerd onder §7a van de Slowaakse btw-wet). In dit beleid betekenen "wij", "ons" en "de dienst" dat bedrijf dat Micali.online beheert. Je kunt ons bereiken via support@micali.online.

Accounteigenaren zijn de bedrijven, organisatoren en personen die een account opzetten om reserveringen te ontvangen. Bezoekers zijn de mensen die een tijdslot reserveren via de reserveringspagina van een accounteigenaar.

Voor de gegevens die binnen een account worden aangemaakt – klantenlijsten, reserveringen, formulierantwoorden, berichten – is de accounteigenaar de verwerkingsverantwoordelijke en treden wij op als hun verwerker. Voor de gegevens die wij nodig hebben om het platform zelf te laten draaien – accounts, aanmeldingen, beveiligingslogboeken en onze eigen gebruiksanalyse – zijn wij de verwerkingsverantwoordelijke.

2. Welke gegevens we verzamelen

Accountgegevens: wanneer je een account aanmaakt, verzamelen we je e-mailadres, de accountnaam, taal, tijdzone en elke instelling die je configureert (diensten, evenementen, openingstijden, berichtsjablonen, connectorconfiguratie enzovoort). Beheerders loggen in met een code die per e-mail wordt verstuurd. Een beheerder kan ook een optionele 4-cijferige pincode instellen voor sneller inloggen, die alleen werkt op een apparaat dat al is geverifieerd met een per e-mail verstuurde code; die pincode wordt alleen opgeslagen als bcrypt-hash.

Telefoonverificatie: wanneer je je aanmeldt, of besluit een demo-account te behouden, vragen we om een mobiel telefoonnummer en sturen we daarheen een eenmalige code per sms. We bewaren het nummer, het moment van verificatie en hoeveel codes ernaartoe zijn gestuurd, zodat we kunnen beperken hoeveel accounts worden aangemaakt en misbruik kunnen voorkomen.

Bezoekersgegevens: wanneer een bezoeker een tijdslot reserveert, bepaalt het formulier van de accounteigenaar wat er wordt verzameld. Doorgaans is dat de naam, het e-mailadres en/of telefoonnummer van de bezoeker, de gekozen dienst of het gekozen evenement, en de antwoorden die in het reserveringsformulier zijn ingevuld. De reserveringen, betaalstatus, aanwezigheid en lidmaatschappen van de bezoeker worden ook opgeslagen.

Communicatiegegevens: elke e-mail en sms die het systeem verstuurt, wordt gelogd met de ontvanger, het tijdstip en de bezorgstatus, zodat de accounteigenaar kan zien wat er is bezorgd en zodat wij bezorgingsproblemen kunnen diagnosticeren. Uitgaande e-mails bevatten een kleine tracking-pixel die registreert of het bericht is geopend.

Gekoppelde Google-accounts: als een beheerder Gmail of Google Agenda (Google Calendar) koppelt, bewaren we het e-mailadres van dat Google-account en versleutelde access- en refresh-tokens; voor Google Agenda ook de gekozen agenda, de ID's van de agenda-items die Micali heeft aangemaakt en hun Google Meet-links. Sectie 10 beschrijft dit in detail.

Pushmeldingen: als je meldingen toestaat in je browser of in de geïnstalleerde app, bewaren we het abonnementsadres dat door de pushdienst van je browser is uitgegeven, samen met de bijbehorende versleutelingssleutels, en een logboek van de verzonden meldingen.

Aanmeld- en beveiligingsgegevens: voor elke aanmelding bewaren we het IP-adres, de user-agent van de browser, het apparaattype en het tijdstip van de laatste activiteit in die sessie, om accounts te beveiligen en misbruik op te sporen.

Gebruiks- en analysegegevens: voor elke paginaweergave op onze websites en op reserveringspagina's slaat onze eigen analyse het pagina-adres en de titel op, de verwijzende pagina, het IP-adres, de user-agent van de browser, het apparaattype, de taal, de verkeersbron en hoe lang de pagina open bleef, gekoppeld aan een tweejarige "micali_track_id"-cookie. Sectie 7 beschrijft dit in detail.

AI-assistentgegevens: als je de Ask AI-assistent in de applicatie gebruikt, worden je vragen en de antwoorden ervan opgeslagen zodat het gesprek zijn context behoudt, en berichten die ouder zijn dan 7 dagen worden verwijderd de volgende keer dat je de assistent opent of gebruikt. Sectie 9 legt uit wat naar de AI-aanbieder wordt verzonden.

3. Hoe we je gegevens gebruiken

We gebruiken persoonsgegevens om de reserveringsdienst te laten draaien: om gebruikers te authenticeren, om reserveringen aan te maken en te beheren, om bevestigingen, herinneringen en annuleringsberichten te versturen, om accounteigenaren hun klanten, evenementen en statistieken te laten beheren, om het systeem betrouwbaar en veilig te houden, om misbruik op te sporen en te voorkomen, en om supportvragen te beantwoorden. We verkopen of verhandelen geen persoonsgegevens en we gebruiken ze niet voor advertenties van derden.

We kunnen accounteigenaren en beheerders ook af en toe e-mails of sms'jes sturen over nieuws en wijzigingen in Micali.online. Elke zo'n e-mail bevat een afmeldlink. We registreren of deze e-mails zijn geopend en op welke links is geklikt, en we bewaren het adres van iedereen die zich afmeldt op een uitschrijflijst, zodat die persoon niet opnieuw wordt benaderd. Bezoekers van reserveringspagina's ontvangen deze berichten nooit van ons.

4. Rechtsgrond voor verwerking

De uitvoering van de dienst waar jij of de accounteigenaar om heeft gevraagd – een reservering aanmaken, de bevestiging ervan bezorgen, het account laten draaien.

Ons gerechtvaardigd belang om het platform werkend, veilig en vrij van misbruik te houden, om te begrijpen hoe onze pagina's worden gebruikt, en om accounteigenaren te informeren over onze eigen dienst: dit omvat onze eigen analyse, de bezoekersstatistieken die we aan accounteigenaren leveren, telefoonverificatie bij het aanmelden, de aanmeld-, beveiligings- en bezorgingslogboeken, en het nieuws dat we aan accounteigenaren sturen.

Jouw toestemming, waar toestemming van toepassing is – bijvoorbeeld de Google Analytics-cookies op de marketingwebsite, die alleen worden geladen als je ze accepteert, het koppelen van je eigen Google-account, of het toestaan van pushmeldingen. Je kunt je toestemming op elk moment intrekken.

Naleving van wettelijke verplichtingen, waar deze op ons van toepassing zijn.

5. Hoe lang we gegevens bewaren, en hoe ze worden verwijderd

Accountgegevens – en de reserveringen, klanten, formulierantwoorden en berichtenlogboeken binnen een account – worden bewaard zolang het account bestaat. We verwijderen geen accounts wegens inactiviteit.

Wanneer een account wordt verwijderd, is die verwijdering definitief. Het account, zijn gebruikers, evenementen, diensten, reserveringen, klantkoppelingen, formulierantwoorden, berichtsjablonen, geüploade bestanden, connectorinstellingen en de logboeken van vanuit dat account verzonden e-mails en sms'jes worden uit de database verwijderd en kunnen niet worden hersteld. Een hoofdbeheerder kan verwijdering aanvragen in de applicatie; dit gaat 7 dagen later in en kan tijdens die periode worden geannuleerd (zie de Servicevoorwaarden). Demo-accounts worden automatisch verwijderd 7 dagen na aanmaak.

Accounteigenaren kunnen op elk moment afzonderlijke records – klanten, reserveringen, formulierantwoorden, berichten – verwijderen vanuit de applicatie.

Het identiteitsrecord van een bezoeker, dat wil zeggen het e-mailadres waarmee hij inlogt, wordt niet samen met één account verwijderd, omdat dezelfde persoon reserveringen kan hebben bij andere accounteigenaren op het platform. Schrijf naar support@micali.online als je wilt dat dat record wordt verwijderd.

Wanneer een beheerder Google Agenda of Gmail loskoppelt, verwijderen we de opgeslagen tokens en trekken we onze toegang bij Google in. Agenda-items die Micali al heeft aangemaakt, blijven in die agenda staan totdat je ze verwijdert. Een telefoonnummer dat voor verificatie is gebruikt, blijft ook na verwijdering van het account bewaard, zodat de limieten per nummer niet kunnen worden omzeild; schrijf naar support@micali.online als je wilt dat het wordt verwijderd.

Ask AI-gesprekken hebben een venster van 7 dagen: berichten die ouder zijn worden verwijderd de volgende keer dat die beheerder de assistent opent of gebruikt. Aanmeld-, beveiligings- en gebruiksanalysegegevens worden bewaard zolang ze nodig zijn om de dienst te laten draaien en te beveiligen en om de in sectie 8 beschreven bezoekersstatistieken te produceren; we hanteren hiervoor momenteel geen vaste verwijdertermijn.

6. Wie de gegevens nog meer verwerkt

We verkopen geen persoonsgegevens. Ze worden alleen gedeeld met de aanbieders die technisch nodig zijn om de dienst te laten draaien:

Hosting en infrastructuur – de applicatie, de database en geüploade bestanden worden gehost bij Websupport, s.r.o. (Slowakije), op infrastructuur in de Europese Unie.

Bezorging van e-mail en sms – wanneer een account zijn eigen SendGrid-, Twilio-, SMTP- of Gmail-account koppelt, worden de inhoud van elk bericht en het adres van de ontvanger naar die aanbieder verzonden voor bezorging, onder de eigen voorwaarden van die aanbieder. Accounteigenaren kiezen en configureren die aanbieders zelf. Berichten die het platform zelf verstuurt (aanmeldcodes, meldingen) gaan via onze eigen SMTP-aanbieder. Verificatiecodes voor telefoonnummers en onze eigen sms-berichten worden verstuurd via Twilio (Twilio Inc., Verenigde Staten).

Google Agenda en Google Meet – wanneer een beheerder Google Agenda koppelt en online vergaderingen inschakelt voor een evenement of dienst, worden de datum en tijd, de naam van het evenement of de dienst en, bij een reservering van een dienst, de naam van de klant in de eigen Google-agenda van die beheerder geschreven, en maakt Google (Google LLC) de Google Meet-link aan; zie sectie 10.

Kaarten en adreszoeker – de kaarten in de instellingen van account, evenement en dienst laden kaarttegels van OpenStreetMap, en de knop "Geocoderen vanaf adres" stuurt het adres dat je hebt getypt naar de Nominatim-dienst (OpenStreetMap Foundation). Beide worden rechtstreeks door je browser opgevraagd, dus zij zien je IP-adres.

Pushmeldingen – meldingen worden bezorgd via de pushdienst van de maker van je browser (bijvoorbeeld Google, Mozilla of Apple). De inhoud ervan is versleuteld, dus de pushdienst kan die niet lezen.

AI-aanbieders – zie sectie 9.

Analyse – Google Analytics (Google LLC) op de marketingwebsite, alleen met jouw toestemming; zie sectie 7.

Doorgifte buiten de EU – sommige van deze aanbieders (OpenAI, Google, Twilio en aanbieders die een account zelf koppelt) zijn gevestigd in de Verenigde Staten of verwerken daar mogelijk gegevens. Zulke doorgiften berusten op de waarborgen waarin de AVG voorziet, zoals het EU-VS-privacykader (EU–US Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.

We kunnen gegevens ook openbaar maken wanneer de wet dit vereist, of om de rechten, veiligheid of eigendommen van de dienst, zijn gebruikers of het publiek te beschermen.

7. Cookies en analyse

De applicatie gebruikt alleen de cookies en lokale opslag die strikt nodig zijn om je ingelogd te houden en om basisvoorkeuren zoals taal te onthouden.

We voeren ook onze eigen first-party analyse uit op de marketingwebsite, de blog, de applicatie en de reserveringspagina's. Een "micali_track_id"-cookie die twee jaar geldig is, identificeert de browser, en elke paginaweergave wordt opgeslagen met het adres en de titel ervan, de verwijzende pagina, het IP-adres, de user-agent van de browser, het apparaattype, de taal, de verkeersbron en hoe lang de pagina open bleef. Dit berust op ons gerechtvaardigd belang om te begrijpen hoe onze pagina's worden gebruikt en om accounteigenaren statistieken te geven voor hun eigen reserveringspagina's; het is niet gekoppeld aan de cookiebanner. Verzoeken van zoekmachine-crawlers, van ons eigen personeel, en van IP-adressen die we hebben uitgesloten, worden niet geregistreerd.

De marketingwebsite gebruikt daarnaast Google Analytics (Google LLC), dat alleen wordt geladen als je analyse accepteert in de cookiebanner. Als je weigert, wordt Google Analytics helemaal niet geladen. Google beschrijft zijn eigen verwerking op https://policies.google.com/privacy

8. Bezoekersstatistieken voor accounteigenaren

Accounteigenaren zien statistieken voor hun eigen publieke reserveringspagina's, opgebouwd uit de in sectie 7 beschreven analyse: het aantal weergaven per pagina, verkeersbron, apparaattype en taal, en de lijst van bezoekers achter die weergaven.

Een bezoeker die al in de klantenlijst van dat account staat, wordt getoond met naam en e-mailadres. Omdat de browser wordt herkend aan zijn langlevende cookie, kunnen paginaweergaven die zijn gedaan voordat de bezoeker inlogde of reserveerde, achteraf aan hem worden toegeschreven, zodra die browser is geïdentificeerd. Iedereen anders blijft anoniem en wordt alleen omschreven aan de hand van apparaattype, verkeersbron en taal.

Accounteigenaren zien nooit IP-adressen of user-agents van browsers. Paginaweergaven door de eigen beheerders van het account, en door zoekmachine-crawlers, worden uitgesloten. Als je liever niet op deze manier wordt herkend, kun je cookies in je browser wissen of blokkeren, of de accounteigenaar vragen je klantrecord te verwijderen.

9. Kunstmatige intelligentie (AI)

De applicatie biedt AI-functies: een "Ask AI"-assistent voor accountbeheerders, het genereren van teksten voor reserveringsberichten, en AI Insights – suggesties voor de accounteigenaar op basis van zijn eigen cijfers.

Welke aanbieder die gegevens verwerkt, hangt af van de AI-instelling van het account. Standaard gebruikt een account Micali AI, dat draait op ons eigen account bij OpenAI (OpenAI, L.L.C., Verenigde Staten). Een account kan in plaats daarvan zijn eigen API-sleutel koppelen voor OpenAI of voor Google Gemini (Google LLC), in welk geval de verzoeken naar die aanbieder gaan onder de eigen overeenkomst van het account met hen.

Wat wordt verzonden: voor de Ask AI-assistent, de vraag van de beheerder samen met een momentopname van de eigen gegevens van het account die voor dat gesprek is samengesteld – instellingen, teamleden, evenementen en data, diensten, lidmaatschappen, en tot 150 van de bezoekerscontacten van het account, inclusief namen, e-mailadressen en telefoonnummers. Voor het genereren van berichten, de prompt van de beheerder en de reserveringsgegevens waarop het bericht betrekking heeft. Voor AI Insights, geaggregeerde cijfers over het account (aantallen reserveringen en aanwezigheid, bezettingsgraden, statistieken over berichtbezorging) samen met de namen van evenementen en diensten – geen bezoekerscontacten.

Gegevens worden alleen verzonden wanneer iemand daadwerkelijk een AI-functie gebruikt. AI Insights staat voor een account uitgeschakeld tenzij het is ingeschakeld, en de conceptversies ervan worden door ons personeel beoordeeld voordat ze aan de accounteigenaar worden gepubliceerd. We gebruiken de inhoud van deze verzoeken niet om enig model te trainen. Wat een AI-aanbieder doet met gegevens die naar zijn API worden verzonden, wordt bepaald door de eigen voorwaarden van die aanbieder, die wij niet controleren: https://openai.com/policies/ en https://policies.google.com/privacy

10. Google-gebruikersgegevens en Limited Use (beperkt gebruik)

Micali.online gebruikt Google API's alleen wanneer een beheerder zijn eigen Google-account koppelt, en alleen voor de twee onderstaande doeleinden. De verbinding wordt altijd tot stand gebracht via het standaard OAuth-toestemmingsscherm van Google.

Gmail – zodat boekingsberichten vanuit het eigen adres van de beheerder worden verzonden. Er wordt alleen gevraagd om de toestemming om e-mail te verzenden (https://www.googleapis.com/auth/gmail.send), samen met het e-mailadres van het verbonden account. Micali.online kan de inhoud van je mailbox niet lezen, doorzoeken, downloaden of opslaan – het kan alleen de boekingsberichten verzenden die jij of de automatische herinneringen van je account in gang zetten.

Google Agenda en Google Meet – zodat online evenementen en diensten een Google Meet-link krijgen. Er wordt gevraagd om de toestemming om afspraken te maken, te wijzigen en te verwijderen in agenda's die je zelf bezit (https://www.googleapis.com/auth/calendar.events.owned), de toestemming om je agenda's op te sommen zodat je er een kunt kiezen (https://www.googleapis.com/auth/calendar.calendarlist.readonly), en het e-mailadres van het verbonden account. Micali.online werkt alleen met de afspraken die het zelf heeft aangemaakt – het leest, wijzigt of verwijdert je andere afspraken niet. Voor elke bevestigde boeking van een online dienst, en voor elke datum van een online evenement, maakt het één afspraak aan in de gekozen agenda met de datum en tijd, de naam van het evenement of de dienst en, bij een boeking van een dienst, de naam van de klant, en vraagt het Google om een Google Meet-link toe te voegen. Deze afspraken hebben geen gasten en Google stuurt geen uitnodigingen; Micali.online stuurt de link naar de deelnemers in zijn eigen boekingse-mails. Wanneer een boeking of datum wordt verplaatst, geannuleerd of verwijderd, werkt Micali.online zijn afspraak bij of verwijdert het die.

De access- en refresh-tokens worden versleuteld opgeslagen en uitsluitend voor deze doeleinden gebruikt. Je kunt Gmail of Google Agenda op elk moment loskoppelen in de applicatie – we verwijderen dan de tokens en trekken de toegang bij Google in – of de toegang intrekken via https://myaccount.google.com/permissions.

Het gebruik en de doorgifte door Micali van informatie die via Google API's is verkregen aan een andere app voldoet aan het Google API Services User Data Policy (beleid voor gebruikersgegevens van Google API-diensten), inclusief de Limited Use-vereisten (vereisten voor beperkt gebruik). Dat beleid is beschikbaar op https://developers.google.com/terms/api-services-user-data-policy.

Gegevens van Google Workspace-gebruikers worden niet gebruikt, doorgegeven of verkocht om algemene of fundamentele AI- of machine-learning-modellen te creëren, te trainen of te verbeteren.

Micali verstrekt geen e-mailinhoud, agendagegevens of andere gegevens van Google Workspace-gebruikers aan AI/ML-modellen. Door AI gegenereerde inhoud wordt onafhankelijk gemaakt en wordt pas via Gmail verzonden nadat de gebruiker dit heeft geïnitieerd of goedgekeurd.

11. Je rechten

Onder voorbehoud van toepasselijk recht (waaronder de AVG van de EU) heb je het recht om de persoonsgegevens die we over je bewaren in te zien, om te vragen ze te corrigeren of te verwijderen, om bezwaar te maken tegen of bepaalde verwerkingen te beperken, en om je gegevens in een overdraagbaar formaat te ontvangen. Je hebt ook het recht om elke toestemming die je hebt gegeven in te trekken (bijvoorbeeld door je keuze in de cookiebanner te wijzigen, een Google-account los te koppelen of meldingen uit te schakelen), en om een klacht in te dienen bij een gegevensbeschermingsautoriteit – in Slowakije is dat het Bureau voor de Bescherming van Persoonsgegevens van de Slowaakse Republiek (https://dataprotection.gov.sk), of de autoriteit van het EU-land waar je woont.

Als je een bezoeker bent die via een account heeft gereserveerd, is de accounteigenaar het eerste aanspreekpunt voor je gegevens – zij beslissen wat ze verzamelen en hoe lang ze het binnen hun account bewaren. Je kunt hen vragen je reserveringen en formulierantwoorden bij te werken of te verwijderen. Voor verzoeken op platformniveau kun je schrijven naar support@micali.online.

12. Beveiliging

De maatregelen die vandaag van kracht zijn: de websites, de applicatie en de API worden geleverd via HTTPS; beheerders loggen in met een code die per e-mail wordt verstuurd, en de optionele aanmeldpincode wordt alleen opgeslagen als bcrypt-hash, werkt alleen op een apparaat dat eerder is geverifieerd met een per e-mail verstuurde code, en wordt ingetrokken na drie foutieve pogingen; tokens van vertrouwde apparaten worden alleen opgeslagen als SHA-256-hash; toegangstokens verlopen en kunnen worden ingetrokken; de API heeft een snelheidslimiet en registreert het IP-adres en apparaat van elke aanmelding; connectorgeheimen – SMTP-wachtwoorden, SendGrid- en Twilio-API-sleutels, Google OAuth-tokens (Gmail, Google Agenda), webhookgegevens – worden versleuteld opgeslagen met geauthenticeerde encryptie (libsodium); elk API-verzoek is beperkt tot één account, zodat een account alleen bij zijn eigen gegevens kan komen; en de toegang van platformpersoneel is gescheiden van accounttoegang.

Geen enkel systeem kan absolute veiligheid garanderen. Mocht zich een datalek voordoen dat persoonsgegevens treft, dan pakken we dat aan en informeren we de betrokkenen zoals de wet vereist.

Jouw export en onze infrastructuur zijn twee verschillende dingen. We bieden geen herstel per account – er is geen functie die een account terugzet naar een eerdere staat – dus we raden accounteigenaren aan om regelmatig te exporteren wat voor hen belangrijk is (de applicatie exporteert reserveringen van evenementen en diensten naar CSV) en die kopie zelf te bewaren.

13. Wijzigingen en contact

We kunnen dit privacybeleid van tijd tot tijd bijwerken. De huidige versie wordt altijd samen met de ingangsdatum op deze pagina gepubliceerd, en ingrijpende wijzigingen worden vooraf per e-mail of in de applicatie aangekondigd. Als je vragen hebt over dit beleid, of je rechten wilt uitoefenen, schrijf ons dan op support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, Slowaakse Republiek.