Personvernerklæring

1. Hvem vi er

Micali.online er et online bookingsystem drevet av REALWEB, s.r.o., med registrert forretningsadresse Vajanského 16/6757, 917 01 Trnava, Den slovakiske republikk, organisasjonsnummer (IČO) 43899102, skatte-ID (DIČ) 2022506332, MVA-nummer SK2022506332 (registrert i henhold til §7a i den slovakiske merverdiavgiftsloven). I denne erklæringen viser «vi», «oss» og «tjenesten» til dette selskapet som driver Micali.online. Du kan nå oss på support@micali.online.

Kontoeiere er bedriftene, arrangørene og enkeltpersonene som oppretter en konto for å ta imot bookinger. Besøkende er personene som booker en tidsluke gjennom en kontoeiers bookingside.

For dataene som opprettes i en konto – kundelister, bookinger, skjemasvar, meldinger – er kontoeieren behandlingsansvarlig, og vi opptrer som deres databehandler. For dataene vi selv trenger for å drive plattformen – kontoer, innlogginger, sikkerhetslogger og vår egen bruksanalyse – er vi behandlingsansvarlig.

2. Hvilke data vi samler inn

Kontodata: når du oppretter en konto, samler vi inn e-postadressen din, kontonavnet, språk, tidssone og alle innstillinger du konfigurerer (tjenester, arrangementer, åpningstider, meldingsmaler, konfigurasjon av tilkoblinger og så videre). Administratorer logger inn med en kode sendt per e-post. En administrator kan i tillegg sette en valgfri 4-sifret PIN-kode for raskere innlogging, som bare fungerer på en enhet som allerede er bekreftet med en e-postkode; PIN-koden lagres bare som en bcrypt-hash.

Telefonbekreftelse: når du registrerer deg, eller bestemmer deg for å beholde en demokonto, ber vi om et mobiltelefonnummer og sender en engangskode til det via SMS. Vi lagrer nummeret, når det ble bekreftet og hvor mange koder som er sendt til det, slik at vi kan begrense hvor mange kontoer som opprettes og forhindre misbruk.

Besøksdata: når en besøkende booker en tidsluke, bestemmer kontoeierens skjema hva som samles inn. Vanligvis er det den besøkendes navn, e-postadresse og/eller telefonnummer, den valgte tjenesten eller arrangementet, og svarene fylt ut i bookingskjemaet. Den besøkendes bookinger, betalingsstatus, oppmøte og medlemskap lagres også.

Kommunikasjonsdata: hver e-post og SMS systemet sender, logges med mottaker, tidspunkt og leveringsstatus, slik at kontoeieren kan se hva som ble levert, og slik at vi kan feilsøke leveringsproblemer. Utgående e-poster inneholder en liten sporingspiksel som registrerer om meldingen ble åpnet.

Tilkoblede Google-kontoer: hvis en administrator kobler til Gmail eller Google Kalender (Google Calendar), lagrer vi e-postadressen til den Google-kontoen og krypterte tilgangs- og oppdateringstokener; for Google Kalender også den valgte kalenderen, ID-ene til kalenderhendelsene Micali har opprettet og deres Google Meet-lenker. Avsnitt 10 beskriver dette i detalj.

Pushvarsler: hvis du tillater varsler i nettleseren eller i den installerte appen, lagrer vi abonnementsadressen som er utstedt av nettleserens pushtjeneste, sammen med krypteringsnøklene, og en logg over varslene som er sendt.

Innloggings- og sikkerhetsdata: for hver innlogging lagrer vi IP-adressen, nettleserens user agent, enhetstypen og tidspunktet for siste aktivitet i den økten, for å sikre kontoer og oppdage misbruk.

Bruks- og analysedata: for hver sidevisning på nettstedene våre og på bookingsider, lagrer vår egen analyse sideadressen og -tittelen, henvisende side, IP-adressen, nettleserens user agent, enhetstype, språk, trafikkilde og hvor lenge siden var åpen, knyttet til en to år lang «micali_track_id»-informasjonskapsel. Avsnitt 7 beskriver dette i detalj.

AI-assistentdata: hvis du bruker Ask AI-assistenten i applikasjonen, lagres spørsmålene dine og svarene, slik at samtalen beholder sammenhengen, og meldinger eldre enn 7 dager fjernes neste gang du åpner eller bruker assistenten. Avsnitt 9 forklarer hva som sendes til AI-leverandøren.

3. Hvordan vi bruker dataene dine

Vi bruker personopplysninger til å drive bookingtjenesten: til å autentisere brukere, til å opprette og administrere bookinger, til å sende bekreftelser, påminnelser og kanselleringsvarsler, til å la kontoeiere administrere kundene, arrangementene og statistikken sin, til å holde systemet pålitelig og sikkert, til å oppdage og forhindre misbruk, og til å besvare supporthenvendelser. Vi selger eller bytter ikke personopplysninger, og vi bruker dem ikke til tredjepartsreklame.

Vi kan også sende kontoeiere og administratorer av og til e-poster eller SMS-er om nyheter og endringer i Micali.online. Hver slik e-post inneholder en avmeldingslenke. Vi registrerer om disse e-postene ble åpnet og hvilke lenker som ble klikket på, og vi oppbevarer adressen til alle som melder seg av på en reservasjonsliste (opt-out-liste), slik at de ikke kontaktes igjen. Besøkende på bookingsider mottar aldri disse meldingene fra oss.

4. Rettslig grunnlag for behandling

Oppfyllelse av tjenesten du eller kontoeieren har bedt om – å opprette en booking, levere bekreftelsen på den, drive kontoen.

Vår berettigede interesse i å holde plattformen i drift, sikker og fri for misbruk, i å forstå hvordan sidene våre brukes, og i å informere kontoeiere om vår egen tjeneste: dette dekker vår egen analyse, besøksstatistikken vi gir kontoeiere, telefonbekreftelse ved registrering, innloggings-, sikkerhets- og leveringsloggene, og nyhetene vi sender til kontoeiere.

Ditt samtykke, der samtykke er det som gjelder – for eksempel Google Analytics-informasjonskapslene på markedsføringsnettstedet, som bare lastes inn hvis du godtar dem, det å koble til din egen Google-konto, eller det å tillate pushvarsler. Du kan trekke det tilbake når som helst.

Overholdelse av rettslige forpliktelser, der de gjelder for oss.

5. Hvor lenge vi oppbevarer data, og hvordan de slettes

Kontodata – og bookingene, kundene, skjemasvarene og meldingsloggene i en konto – oppbevares så lenge kontoen finnes. Vi sletter ikke kontoer på grunn av inaktivitet.

Når en konto slettes, er slettingen permanent. Kontoen, dens brukere, arrangementer, tjenester, bookinger, kundekoblinger, skjemasvar, meldingsmaler, opplastede filer, tilkoblingsinnstillinger og loggene over e-poster og SMS-er sendt fra den, fjernes fra databasen og kan ikke gjenopprettes. En root-administrator kan be om sletting i applikasjonen; den trer i kraft etter 7 dager og kan avbrytes i løpet av den perioden (se vilkårene for bruk). Demokontoer slettes automatisk 7 dager etter at de er opprettet.

Kontoeiere kan når som helst slette enkeltoppføringer – kunder, bookinger, skjemasvar, meldinger – fra applikasjonen.

En besøkendes identitetsoppføring, altså e-postadressen de logger inn med, fjernes ikke sammen med én enkelt konto, fordi den samme personen kan ha bookinger hos andre kontoeiere på plattformen. Skriv til support@micali.online hvis du ønsker at den oppføringen skal fjernes.

Når en administrator kobler fra Google Kalender eller Gmail, sletter vi de lagrede tokenene og tilbakekaller tilgangen vår hos Google. Kalenderhendelser som Micali allerede har opprettet, blir liggende i den kalenderen til du sletter dem. Et telefonnummer som er brukt til bekreftelse, blir stående i registeret selv etter at kontoen er slettet, slik at grensene per nummer ikke kan omgås; skriv til support@micali.online hvis du ønsker at det skal fjernes.

Ask AI-samtaler har et 7-dagers vindu: meldinger eldre enn det fjernes neste gang den administratoren åpner eller bruker assistenten. Innloggings-, sikkerhets- og bruksanalyseoppføringer oppbevares så lenge de er nødvendige for å drive og sikre tjenesten og for å produsere besøksstatistikken beskrevet i avsnitt 8; vi anvender for øyeblikket ingen fast slettefrist for dem.

6. Hvem andre som behandler dataene

Vi selger ikke personopplysninger. De deles bare med leverandørene som er teknisk nødvendige for å drive tjenesten:

Hosting og infrastruktur – applikasjonen, databasen og opplastede filer er hostet hos Websupport, s.r.o. (Slovakia), på infrastruktur som befinner seg i Den europeiske union.

Levering av e-post og SMS – når en konto kobler til sin egen SendGrid-, Twilio-, SMTP- eller Gmail-konto, overføres innholdet i hver melding og mottakerens adresse til den leverandøren for levering, under leverandørens egne vilkår. Kontoeiere velger og konfigurerer disse leverandørene selv. Meldinger plattformen selv sender (innloggingskoder, varsler) går gjennom vår egen SMTP-leverandør. Bekreftelseskoder for telefonnumre og våre egne SMS-meldinger sendes gjennom Twilio (Twilio Inc., USA).

Google Kalender og Google Meet – når en administrator kobler til Google Kalender og slår på nettmøter for et arrangement eller en tjeneste, skrives dato og klokkeslett, navnet på arrangementet eller tjenesten og, ved en booking av en tjeneste, kundens navn inn i administratorens egen Google-kalender, og Google (Google LLC) oppretter Google Meet-lenken; se avsnitt 10.

Kart og adresseoppslag – kartene i innstillingene for konto, arrangement og tjeneste laster inn kartfliser fra OpenStreetMap, og knappen «Geokod fra adresse» sender adressen du har skrevet til Nominatim-tjenesten (OpenStreetMap Foundation). Begge forespørres direkte av nettleseren din, så de ser IP-adressen din.

Pushvarsler – varsler leveres gjennom pushtjenesten til nettleserens produsent (for eksempel Google, Mozilla eller Apple). Innholdet er kryptert, så pushtjenesten kan ikke lese det.

AI-leverandører – se avsnitt 9.

Analyse – Google Analytics (Google LLC) på markedsføringsnettstedet, bare med ditt samtykke; se avsnitt 7.

Overføringer utenfor EU – noen av disse leverandørene (OpenAI, Google, Twilio og leverandører en konto kobler til selv) har base i USA eller kan behandle data der. Slike overføringer bygger på de garantiene GDPR åpner for, for eksempel rammeverket for personvern mellom EU og USA (EU–US Data Privacy Framework) eller EU-kommisjonens standardkontraktsbestemmelser.

Vi kan også utlevere data der loven krever det, eller for å beskytte rettighetene, sikkerheten eller eiendommen til tjenesten, brukerne eller allmennheten.

7. Informasjonskapsler og analyse

Applikasjonen bruker bare de informasjonskapslene og den lokale lagringen som er strengt nødvendig for å holde deg innlogget og for å huske grunnleggende preferanser som språk.

Vi kjører også vår egen førsteparts analyse på tvers av markedsføringsnettstedet, bloggen, applikasjonen og bookingsidene. En «micali_track_id»-informasjonskapsel, gyldig i to år, identifiserer nettleseren, og hver sidevisning lagres med adressen og tittelen, henvisende side, IP-adressen, nettleserens user agent, enhetstype, språk, trafikkilde og hvor lenge siden var åpen. Dette bygger på vår berettigede interesse i å forstå hvordan sidene våre brukes, og i å gi kontoeiere statistikk for sine egne bookingsider; det er ikke knyttet til cookie-banneret. Forespørsler fra søkemotorroboter, fra våre egne ansatte, og fra IP-adresser vi har utelukket, registreres ikke.

Markedsføringsnettstedet bruker i tillegg Google Analytics (Google LLC), som bare lastes inn hvis du godtar analyse i cookie-banneret. Hvis du avslår, lastes Google Analytics ikke inn i det hele tatt. Google beskriver sin egen behandling på https://policies.google.com/privacy

8. Besøksstatistikk for kontoeiere

Kontoeiere ser statistikk for sine egne offentlige bookingsider, bygget på analysen beskrevet i avsnitt 7: antall visninger per side, trafikkilde, enhetstype og språk, og listen over besøkende bak disse visningene.

En besøkende som allerede er i kontoens kundeliste, vises med navn og e-postadresse. Fordi nettleseren gjenkjennes på sin langvarige informasjonskapsel, kan sidevisninger gjort før den besøkende logget inn eller booket, tilskrives dem i ettertid, når den nettleseren er identifisert. Alle andre forblir anonyme og beskrives bare med enhetstype, trafikkilde og språk.

Kontoeiere ser aldri IP-adresser eller nettleseres user agent. Sidevisninger fra kontoens egne administratorer, og fra søkemotorroboter, er utelukket. Hvis du heller ikke vil bli gjenkjent på denne måten, kan du slette eller blokkere informasjonskapsler i nettleseren din, eller be kontoeieren slette kundeoppføringen din.

9. Kunstig intelligens (AI)

Applikasjonen tilbyr AI-funksjoner: en «Ask AI»-assistent for kontoadministratorer, generering av tekst til bookingmeldinger, og AI Insights – forslag til kontoeieren basert på egne tall.

Hvilken leverandør som behandler disse dataene, avhenger av kontoens AI-oppsett. Som standard bruker en konto Micali AI, som kjører på vår egen konto hos OpenAI (OpenAI, L.L.C., USA). En konto kan i stedet koble til sin egen API-nøkkel for OpenAI eller for Google Gemini (Google LLC), og da går forespørslene til den leverandøren under kontoens egen avtale med dem.

Hva som sendes: for Ask AI-assistenten, administratorens spørsmål sammen med et øyeblikksbilde av kontoens egne data satt sammen for den samtalen – innstillinger, teammedlemmer, arrangementer og datoer, tjenester, medlemskap, og opptil 150 av kontoens besøkskontakter, inkludert navn, e-postadresser og telefonnumre. For meldingsgenerering, administratorens prompt og bookingdataene meldingen gjelder. For AI Insights, aggregerte tall om kontoen (antall bookinger og oppmøter, fyllingsgrad, statistikk for meldingslevering) sammen med navnene på arrangementer og tjenester – ingen besøkskontakter.

Data sendes bare når noen faktisk bruker en AI-funksjon. AI Insights er slått av for en konto med mindre det aktiveres, og utkastene gjennomgås av våre ansatte før de publiseres til kontoeieren. Vi bruker ikke innholdet i disse forespørslene til å trene noen modell. Hva en AI-leverandør gjør med data sendt til deres API, styres av leverandørens egne vilkår, som vi ikke har kontroll over: https://openai.com/policies/ og https://policies.google.com/privacy

10. Googles brukerdata og Limited Use

Micali.online bruker Googles API-er kun når en administrator kobler til sin egen Google-konto, og kun til de to formålene nedenfor. Tilkoblingen skjer alltid gjennom Googles standard OAuth-samtykkeskjerm.

Gmail – slik at bookingmeldinger sendes fra administratorens egen adresse. Det ber kun om tillatelse til å sende e-post (https://www.googleapis.com/auth/gmail.send) sammen med e-postadressen til den tilkoblede kontoen. Micali.online kan ikke lese, søke i, laste ned eller lagre innholdet i innboksen din – det kan bare sende de bookingmeldingene som du eller kontoens automatiske påminnelser utløser.

Google Kalender og Google Meet – slik at nettarrangementer og nettjenester får en Google Meet-lenke. Det ber om tillatelse til å opprette, endre og slette hendelser i kalendere du eier (https://www.googleapis.com/auth/calendar.events.owned), tillatelse til å liste kalenderne dine slik at du kan velge én (https://www.googleapis.com/auth/calendar.calendarlist.readonly), og e-postadressen til den tilkoblede kontoen. Micali.online arbeider kun med hendelsene det selv har opprettet – det leser, endrer eller sletter ikke de andre hendelsene dine. For hver bekreftet booking av en nettjeneste, og for hver dato for et nettarrangement, oppretter det én hendelse i den valgte kalenderen med dato og klokkeslett, navnet på arrangementet eller tjenesten og, ved en booking av en tjeneste, kundens navn, og ber Google legge ved en Google Meet-lenke. Disse hendelsene har ingen gjester, og Google sender ingen invitasjoner; Micali.online sender lenken til deltakerne i sine egne bookingmeldinger på e-post. Når en booking eller dato flyttes, kanselleres eller slettes, oppdaterer eller sletter Micali.online hendelsen sin.

Tilgangs- og oppdateringstokenene lagres kryptert og brukes utelukkende til disse formålene. Du kan koble fra Gmail eller Google Kalender når som helst i applikasjonen – vi sletter da tokenene og tilbakekaller tilgangen hos Google – eller tilbakekalle tilgangen på https://myaccount.google.com/permissions.

Micalis bruk og overføring av informasjon mottatt fra Googles API-er til andre apper vil overholde Google API Services User Data Policy, inkludert kravene for Limited Use (begrenset bruk). Denne retningslinjen er tilgjengelig på https://developers.google.com/terms/api-services-user-data-policy.

Google Workspace-brukerdata brukes, overføres eller selges ikke for å skape, trene eller forbedre generaliserte eller grunnleggende modeller for kunstig intelligens eller maskinlæring.

Micali gir ikke e-postinnhold, kalenderdata eller annen Google Workspace-brukerdata til AI/ML-modeller. KI-generert innhold opprettes uavhengig og sendes gjennom Gmail først etter at det er initiert eller godkjent av brukeren.

11. Dine rettigheter

Med forbehold om gjeldende lov (inkludert EUs GDPR) har du rett til innsyn i personopplysningene vi har om deg, til å be om at de rettes eller slettes, til å motsette deg eller begrense visse behandlinger, og til å motta dataene dine i et portabelt format. Du har også rett til å trekke tilbake ethvert samtykke du har gitt (for eksempel ved å endre valget ditt i cookie-banneret, koble fra en Google-konto eller slå av varsler), og til å klage til en tilsynsmyndighet for personvern – i Slovakia, Kontoret for beskyttelse av personopplysninger i Den slovakiske republikk (https://dataprotection.gov.sk), eller myndigheten i det EU-landet der du bor.

Hvis du er en besøkende som har booket gjennom en konto, er kontoeieren det primære kontaktpunktet for dataene dine – de bestemmer hva de samler inn og hvor lenge de oppbevarer det i kontoen sin. Du kan be dem oppdatere eller slette bookingene og skjemasvarene dine. For henvendelser på plattformnivå, skriv til oss på support@micali.online.

12. Sikkerhet

Tiltakene som er på plass i dag: nettstedene, applikasjonen og API-et leveres over HTTPS; administratorer logger inn med en kode sendt per e-post, og den valgfrie innloggings-PIN-koden lagres bare som en bcrypt-hash, fungerer bare på en enhet som tidligere er bekreftet med en e-postkode, og sperres etter tre feil forsøk; tokener for betrodde enheter lagres bare som en SHA-256-hash; tilgangstokener utløper og kan tilbakekalles; API-et er hastighetsbegrenset og registrerer IP-adressen og enheten for hver innlogging; hemmeligheter for tilkoblinger – SMTP-passord, API-nøkler for SendGrid og Twilio, Google OAuth-tokener (Gmail, Google Kalender), webhook-nøkler – er kryptert i hvile med autentisert kryptering (libsodium); hver API-forespørsel er begrenset til én enkelt konto, slik at en konto bare kan nå sine egne data; og plattformens ansattes tilgang er atskilt fra kontotilgang.

Ingen systemer kan love absolutt sikkerhet. Skulle et brudd som påvirker personopplysninger oppstå, vil vi håndtere det og varsle de berørte slik loven krever.

Din eksport og vår infrastruktur er to forskjellige ting. Vi tilbyr ikke gjenoppretting per konto – det finnes ingen funksjon som tilbakestiller én konto til en tidligere tilstand – så vi anbefaler at kontoeiere jevnlig eksporterer det som betyr noe for dem (applikasjonen eksporterer bookinger for arrangementer og tjenester til CSV) og selv oppbevarer den kopien.

13. Endringer og kontakt

Vi kan oppdatere denne personvernerklæringen fra tid til annen. Den gjeldende versjonen publiseres alltid på denne siden sammen med datoen den trer i kraft, og vesentlige endringer varsles i forkant per e-post eller i applikasjonen. Har du spørsmål om denne erklæringen, eller ønsker å utøve rettighetene dine, skriv til oss på support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, Den slovakiske republikk.