Política de Privacidade

1. Quem somos

A Micali.online é um sistema de reservas online operado pela REALWEB, s.r.o., com sede em Vajanského 16/6757, 917 01 Trnava, República Eslovaca, Número de identificação da empresa (IČO) 43899102, Número de identificação fiscal (DIČ) 2022506332, Número de IVA SK2022506332 (registada nos termos do §7a da Lei do IVA eslovaca). Nesta política, «nós», «nos» e «o serviço» designam essa empresa que opera a Micali.online. Pode contactar-nos em support@micali.online.

Os titulares de conta são as empresas, organizadores e pessoas singulares que criam uma conta para aceitar reservas. Os visitantes são as pessoas que reservam um horário através da página de reservas de um titular de conta.

Para os dados criados dentro de uma conta – listas de clientes, reservas, respostas a formulários, mensagens – o titular da conta é o responsável pelo tratamento e nós atuamos como subcontratante. Para os dados de que precisamos para operar a própria plataforma – contas, sessões iniciadas, registos de segurança e a nossa própria análise de utilização – somos nós o responsável pelo tratamento.

2. Que dados recolhemos

Dados da conta: quando cria uma conta, recolhemos o seu endereço de e-mail, o nome da conta, o idioma, o fuso horário e todas as definições que configure (serviços, eventos, horários de funcionamento, modelos de mensagens, configuração de conectores, etc.). Os gestores iniciam sessão com um código enviado por e-mail. Um gestor pode também definir um PIN opcional de 4 dígitos para iniciar sessão mais depressa, que só funciona num dispositivo já verificado por um código enviado por e-mail; esse PIN é armazenado apenas como hash bcrypt.

Verificação do telemóvel: quando se regista, ou decide manter uma conta de demonstração, pedimos-lhe um número de telemóvel e enviamos para esse número um código de utilização única por SMS. Armazenamos o número, o momento em que foi verificado e quantos códigos lhe foram enviados, para podermos limitar o número de contas criadas e prevenir abusos.

Dados do visitante: quando um visitante reserva um horário, o formulário do titular da conta determina o que é recolhido. Normalmente, isso inclui o nome do visitante, o endereço de e-mail e/ou o número de telefone, o serviço ou evento escolhido e as respostas preenchidas no formulário de reserva. As reservas do visitante, o estado do pagamento, a presença e as adesões também são armazenadas.

Dados de comunicação: cada e-mail e SMS enviado pelo sistema é registado com o destinatário, a hora e o estado de entrega, para que o titular da conta possa ver o que foi entregue e para que possamos diagnosticar problemas de entrega. Os e-mails enviados incluem um pequeno pixel de rastreio que regista se a mensagem foi aberta.

Contas Google ligadas: se um gestor ligar o Gmail ou o Google Calendar, armazenamos o endereço de e-mail dessa conta Google e os tokens de acesso e de atualização encriptados; no caso do Google Calendar, também o calendário escolhido, os IDs dos eventos de calendário criados pela Micali e as respetivas ligações do Google Meet. A secção 10 descreve isto em detalhe.

Notificações push: se permitir notificações no seu navegador ou na aplicação instalada, armazenamos o endereço de subscrição emitido pelo serviço push do seu navegador, juntamente com as respetivas chaves de encriptação, e um registo das notificações enviadas.

Dados de início de sessão e de segurança: para cada início de sessão, armazenamos o endereço IP, o user agent do navegador, o tipo de dispositivo e a hora da última atividade nessa sessão, de modo a proteger as contas e detetar abusos.

Dados de utilização e análise: em cada visualização de página nos nossos sites e nas páginas de reservas, a nossa própria análise regista o endereço e o título da página, a página de origem, o endereço IP, o user agent do navegador, o tipo de dispositivo, o idioma, a origem do tráfego e durante quanto tempo a página esteve aberta, associados a uma cookie «micali_track_id» com dois anos de duração. A secção 7 descreve isto em detalhe.

Dados do assistente de IA: se utilizar o assistente Ask AI na aplicação, as suas perguntas e as respostas dele são armazenadas para que a conversa mantenha o contexto, e as mensagens com mais de 7 dias são removidas da próxima vez que abrir ou utilizar o assistente. A secção 9 explica o que é enviado ao fornecedor de IA.

3. Como utilizamos os seus dados

Utilizamos os dados pessoais para operar o serviço de reservas: para autenticar utilizadores, criar e gerir reservas, enviar confirmações, lembretes e avisos de cancelamento, permitir que os titulares de conta giram os seus clientes, eventos e estatísticas, manter o sistema fiável e seguro, detetar e prevenir abusos, e responder a pedidos de suporte. Não vendemos nem trocamos dados pessoais e não os utilizamos para publicidade de terceiros.

Podemos também enviar aos titulares de conta e aos gestores, ocasionalmente, e-mails ou SMS sobre novidades e alterações na Micali.online. Cada um desses e-mails contém uma ligação para cancelar a subscrição. Registamos se estes e-mails foram abertos e que ligações foram clicadas, e guardamos o endereço de quem cancela a subscrição numa lista de exclusão, para que não volte a ser contactado. Os visitantes das páginas de reservas nunca recebem estas mensagens da nossa parte.

4. Base legal para o tratamento

Execução do serviço que pediu, ou que o titular da conta pediu – criar uma reserva, entregar a respetiva confirmação, operar a conta.

O nosso interesse legítimo em manter a plataforma a funcionar, segura e livre de abusos, em perceber como as nossas páginas são utilizadas e em informar os titulares de conta sobre o nosso próprio serviço: isto abrange a nossa própria análise, as estatísticas de visitantes que fornecemos aos titulares de conta, a verificação do telemóvel no registo, os registos de início de sessão, segurança e entrega, e as novidades que enviamos aos titulares de conta.

O seu consentimento, quando é esse o fundamento aplicável – por exemplo, as cookies do Google Analytics no site de marketing, que só são carregadas se as aceitar, a ligação da sua própria conta Google ou a autorização de notificações push. Pode retirá-lo a qualquer momento.

O cumprimento de obrigações legais, quando estas nos são aplicáveis.

5. Durante quanto tempo conservamos os dados e como são eliminados

Os dados da conta – e as reservas, os clientes, as respostas a formulários e os registos de mensagens dentro de uma conta – são conservados enquanto a conta existir. Não eliminamos contas por inatividade.

Quando uma conta é eliminada, a eliminação é permanente. A conta, os seus utilizadores, eventos, serviços, reservas, ligações a clientes, respostas a formulários, modelos de mensagens, ficheiros carregados, definições de conectores e os registos de e-mails e SMS enviados a partir dela são removidos da base de dados e não podem ser recuperados. Um administrador principal pode pedir a eliminação na aplicação; esta produz efeitos ao fim de 7 dias e pode ser cancelada durante esse período (ver os Termos de Serviço). As contas de demonstração são eliminadas automaticamente 7 dias após serem criadas.

Os titulares de conta podem eliminar registos individuais – clientes, reservas, respostas a formulários, mensagens – a qualquer momento dentro da aplicação.

O registo de identidade de um visitante, ou seja, o endereço de e-mail com que inicia sessão, não é removido juntamente com uma única conta, porque a mesma pessoa pode ter reservas com outros titulares de conta na plataforma. Escreva para support@micali.online se quiser que esse registo seja removido.

Quando um gestor desliga o Google Calendar ou o Gmail, eliminamos os tokens armazenados e revogamos o nosso acesso na Google. Os eventos de calendário que a Micali já criou permanecem nesse calendário até que os elimine. Um número de telefone usado para a verificação permanece registado mesmo depois de a conta ser eliminada, para que os limites por número não possam ser contornados; escreva para support@micali.online se quiser que seja removido.

As conversas do Ask AI têm uma janela de 7 dias: as mensagens mais antigas são removidas da próxima vez que esse gestor abrir ou utilizar o assistente. Os registos de início de sessão, segurança e análise de utilização são conservados enquanto forem necessários para operar e proteger o serviço e para produzir as estatísticas de visitantes descritas na secção 8; atualmente não aplicamos um prazo fixo de eliminação a estes registos.

6. Quem mais trata os dados

Não vendemos dados pessoais. Só os partilhamos com os fornecedores tecnicamente necessários para operar o serviço:

Alojamento e infraestrutura – a aplicação, a base de dados e os ficheiros carregados estão alojados na Websupport, s.r.o. (Eslováquia), em infraestrutura localizada na União Europeia.

Entrega de e-mail e SMS – quando uma conta liga a sua própria conta SendGrid, Twilio, SMTP ou Gmail, o conteúdo de cada mensagem e o endereço do destinatário são transmitidos a esse fornecedor para entrega, segundo os termos do próprio fornecedor. Os titulares de conta escolhem e configuram esses fornecedores. As mensagens que a própria plataforma envia (códigos de início de sessão, notificações) passam pelo nosso próprio fornecedor de SMTP. Os códigos de verificação do telemóvel e as nossas próprias SMS são enviados através do Twilio (Twilio Inc., Estados Unidos).

Google Calendar e Google Meet – quando um gestor liga o Google Calendar e ativa as reuniões online para um evento ou serviço, a data e a hora, o nome do evento ou serviço e, no caso da reserva de um serviço, o nome do cliente são escritos no calendário Google do próprio gestor, e a Google (Google LLC) cria a ligação do Google Meet; ver secção 10.

Mapas e pesquisa de moradas – os mapas nas definições da conta, dos eventos e dos serviços carregam mosaicos de mapa do OpenStreetMap, e o botão «Geocodificar a partir da morada» envia a morada que escreveu ao serviço Nominatim (OpenStreetMap Foundation). Ambos são pedidos diretamente pelo seu navegador, pelo que veem o seu endereço IP.

Notificações push – as notificações são entregues através do serviço push do fabricante do seu navegador (por exemplo Google, Mozilla ou Apple). O seu conteúdo é encriptado, pelo que o serviço push não o consegue ler.

Fornecedores de IA – ver secção 9.

Análise – Google Analytics (Google LLC) no site de marketing, apenas com o seu consentimento; ver secção 7.

Transferências para fora da UE – alguns destes fornecedores (OpenAI, Google, Twilio e os fornecedores que uma conta liga por si própria) estão sediados nos Estados Unidos ou podem tratar dados nesse país. Essas transferências assentam nas garantias previstas no RGPD, como o Quadro de Proteção de Dados UE–EUA (EU–US Data Privacy Framework) ou as cláusulas contratuais-tipo da Comissão Europeia.

Também podemos divulgar dados quando a lei o exigir, ou para proteger os direitos, a segurança ou o património do serviço, dos seus utilizadores ou do público.

7. Cookies e análise

A aplicação utiliza apenas os cookies e o armazenamento local estritamente necessários para manter a sua sessão iniciada e para memorizar preferências básicas, como o idioma.

Também gerimos a nossa própria análise interna em todo o site de marketing, no blogue, na aplicação e nas páginas de reservas. Uma cookie «micali_track_id» válida por dois anos identifica o navegador, e cada visualização de página é armazenada com o respetivo endereço e título, a página de origem, o endereço IP, o user agent do navegador, o tipo de dispositivo, o idioma, a origem do tráfego e durante quanto tempo a página esteve aberta. Isto assenta no nosso interesse legítimo em perceber como as nossas páginas são utilizadas e em fornecer aos titulares de conta estatísticas para as suas próprias páginas de reservas; não está associado ao banner de cookies. Os pedidos de motores de busca (crawlers), da nossa própria equipa e de endereços IP que excluímos não são registados.

O site de marketing utiliza ainda o Google Analytics (Google LLC), que só é carregado se aceitar a análise no banner de cookies. Se recusar, o Google Analytics não é carregado de todo. A Google descreve o seu próprio tratamento de dados em https://policies.google.com/privacy

8. Estatísticas de visitantes para titulares de conta

Os titulares de conta veem estatísticas das suas próprias páginas de reservas públicas, construídas a partir da análise descrita na secção 7: número de visualizações por página, origem do tráfego, tipo de dispositivo e idioma, e a lista de visitantes por trás dessas visualizações.

Um visitante que já esteja na lista de clientes dessa conta é apresentado com nome e endereço de e-mail. Como o navegador é reconhecido pela sua cookie de longa duração, as visualizações de página feitas antes de o visitante iniciar sessão ou fazer uma reserva podem ser-lhe atribuídas mais tarde, assim que esse navegador for identificado. Todos os outros permanecem anónimos e são descritos apenas pelo tipo de dispositivo, origem do tráfego e idioma.

Os titulares de conta nunca veem endereços IP nem user agents do navegador. As visualizações de página pelos próprios gestores da conta, e por motores de busca (crawlers), são excluídas. Se preferir não ser reconhecido desta forma, pode limpar ou bloquear cookies no seu navegador, ou pedir ao titular da conta que elimine o seu registo de cliente.

9. Inteligência artificial (IA)

A aplicação oferece funcionalidades de IA: um assistente «Ask AI» para os gestores da conta, geração de textos de mensagens de reserva, e AI Insights – sugestões para o titular da conta com base nos seus próprios números.

O fornecedor que trata esses dados depende da configuração de IA da conta. Por predefinição, uma conta utiliza a Micali AI, que funciona através da nossa própria conta junto da OpenAI (OpenAI, L.L.C., Estados Unidos). Em alternativa, uma conta pode ligar a sua própria chave de API para a OpenAI ou para o Google Gemini (Google LLC), caso em que os pedidos são enviados a esse fornecedor ao abrigo do acordo próprio da conta com ele.

O que é enviado: para o assistente Ask AI, a pergunta do gestor juntamente com uma fotografia dos próprios dados da conta reunida para essa conversa – definições, membros da equipa, eventos e datas, serviços, adesões, e até 150 contactos de visitantes da conta, incluindo nomes, endereços de e-mail e números de telefone. Para a geração de mensagens, a indicação (prompt) do gestor e os dados da reserva a que a mensagem diz respeito. Para o AI Insights, números agregados sobre a conta (contagens de reservas e presenças, taxas de ocupação, estatísticas de entrega de mensagens) juntamente com os nomes dos eventos e serviços – sem contactos de visitantes.

Os dados só são enviados quando alguém utiliza mesmo uma funcionalidade de IA. O AI Insights está desativado para uma conta a menos que seja ativado, e as suas propostas são revistas pela nossa equipa antes de serem publicadas para o titular da conta. Não utilizamos o conteúdo destes pedidos para treinar nenhum modelo. O que um fornecedor de IA faz com os dados enviados para a sua API rege-se pelos próprios termos desse fornecedor, que não controlamos: https://openai.com/policies/ e https://policies.google.com/privacy

10. Dados de utilizador do Google e Utilização Limitada (Limited Use)

A Micali.online utiliza as API do Google apenas quando um gestor liga a sua própria conta Google, e apenas para as duas finalidades abaixo. A ligação é sempre efetuada através do ecrã de consentimento OAuth padrão da Google.

Gmail – para que as mensagens de reserva sejam enviadas a partir do endereço do próprio gestor. Solicita apenas a permissão para enviar e-mail (https://www.googleapis.com/auth/gmail.send) juntamente com o endereço de e-mail da conta ligada. A Micali.online não pode ler, pesquisar, descarregar ou armazenar o conteúdo da sua caixa de correio – só pode enviar as mensagens de reserva acionadas por si ou pelos lembretes automáticos da sua conta.

Google Calendar e Google Meet – para que os eventos e serviços online tenham uma ligação do Google Meet. Solicita a permissão para criar, alterar e eliminar eventos nos calendários de que é proprietário (https://www.googleapis.com/auth/calendar.events.owned), a permissão para listar os seus calendários para que possa escolher um (https://www.googleapis.com/auth/calendar.calendarlist.readonly) e o endereço de e-mail da conta ligada. A Micali.online trabalha apenas com os eventos que ela própria criou – não lê, altera nem elimina os seus outros eventos. Por cada reserva confirmada de um serviço online, e por cada data de um evento online, cria um evento no calendário escolhido com a data e a hora, o nome do evento ou serviço e, no caso da reserva de um serviço, o nome do cliente, e pede à Google que anexe uma ligação do Google Meet. Estes eventos não têm convidados e a Google não envia convites; a Micali.online envia a ligação aos participantes nos seus próprios e-mails de reserva. Quando uma reserva ou data é movida, cancelada ou eliminada, a Micali.online atualiza ou elimina o seu evento.

Os tokens de acesso e de atualização são armazenados de forma encriptada e são utilizados apenas para estas finalidades. Pode desligar o Gmail ou o Google Calendar a qualquer momento na aplicação – nessa altura eliminamos os tokens e revogamos o acesso na Google – ou revogar o acesso em https://myaccount.google.com/permissions.

A utilização e transferência pela Micali de informações recebidas das API do Google para qualquer outra aplicação respeitará a Google API Services User Data Policy (Política de Dados de Utilizador dos Serviços de API da Google), incluindo os requisitos de Limited Use (Utilização Limitada). Essa política está disponível em https://developers.google.com/terms/api-services-user-data-policy.

Os dados de utilizador do Google Workspace não são utilizados, transferidos nem vendidos para criar, treinar ou melhorar modelos de inteligência artificial ou de aprendizagem automática generalizados ou fundacionais.

A Micali não fornece o conteúdo de e-mails, os dados do calendário nem outros dados de utilizador do Google Workspace a modelos de AI/ML. O conteúdo gerado por IA é criado de forma independente e é enviado através do Gmail apenas depois de ser iniciado ou aprovado pelo utilizador.

11. Os seus direitos

Sujeito à lei aplicável (incluindo o GDPR da UE), tem o direito de aceder aos dados pessoais que temos sobre si, de pedir que sejam corrigidos ou eliminados, de se opor a determinado tratamento ou de o restringir, e de receber os seus dados num formato portátil. Tem também o direito de retirar qualquer consentimento que tenha dado (por exemplo, alterando a sua escolha no banner de cookies, desligando uma conta Google ou desativando as notificações), e de apresentar uma queixa junto de uma autoridade de proteção de dados – na Eslováquia, o Gabinete para a Proteção de Dados Pessoais da República Eslovaca (https://dataprotection.gov.sk), ou a autoridade do país da UE onde reside.

Se for um visitante que reservou através de uma conta, o titular da conta é o principal ponto de contacto para os seus dados – é ele que decide o que recolhe e durante quanto tempo o conserva dentro da sua conta. Pode pedir-lhe que atualize ou elimine as suas reservas e respostas a formulários. Para pedidos ao nível da plataforma, escreva-nos para support@micali.online.

12. Segurança

As medidas atualmente em vigor: os sites, a aplicação e a API são servidos através de HTTPS; os gestores iniciam sessão com um código enviado por e-mail, e o PIN de início de sessão opcional é armazenado apenas como hash bcrypt, só funciona num dispositivo previamente verificado por um código enviado por e-mail, e é revogado ao fim de três tentativas erradas; os tokens de dispositivo de confiança são armazenados apenas como hash SHA-256; os tokens de acesso expiram e podem ser revogados; a API tem limitação de taxa (rate limiting) e regista o endereço IP e o dispositivo de cada início de sessão; os segredos dos conectores – palavras-passe de SMTP, chaves de API do SendGrid e do Twilio, tokens OAuth do Google (Gmail, Google Calendar), credenciais de webhooks – são encriptados em repouso com encriptação autenticada (libsodium); cada pedido à API está limitado a uma única conta, pelo que uma conta só consegue aceder aos seus próprios dados; e o acesso da nossa equipa é separado do acesso às contas.

Nenhum sistema pode prometer segurança absoluta. Caso ocorra uma violação que afete dados pessoais, trataremos dela e notificaremos os interessados conforme a lei exigir.

A sua exportação e a nossa infraestrutura são duas coisas diferentes. Não oferecemos uma restauração por conta – não existe nenhuma funcionalidade que reponha uma conta a um estado anterior – por isso recomendamos que os titulares de conta exportem regularmente o que lhes importa (a aplicação exporta reservas de eventos e serviços para CSV) e guardem essa cópia eles próprios.

13. Alterações e contacto

Podemos atualizar esta Política de Privacidade periodicamente. A versão atual está sempre publicada nesta página, juntamente com a respetiva data de entrada em vigor, e as alterações substanciais serão anunciadas com antecedência por e-mail ou na aplicação. Se tiver questões sobre esta política, ou quiser exercer os seus direitos, escreva-nos para support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, República Eslovaca.