Integritetspolicy

1. Vilka vi är

Micali.online är ett bokningssystem online som drivs av REALWEB, s.r.o., med säte på Vajanského 16/6757, 917 01 Trnava, Republiken Slovakien, företags-id (IČO) 43899102, skatte-id (DIČ) 2022506332, momsregistreringsnummer SK2022506332 (registrerat enligt § 7a i den slovakiska mervärdesskattelagen). I denna policy avser ”vi”, ”oss” och ”tjänsten” det företag som driver Micali.online. Du når oss på support@micali.online.

Kontoinnehavare är de företag, arrangörer och privatpersoner som skapar ett konto för att ta emot bokningar. Besökare är de personer som bokar en tid via en kontoinnehavares bokningssida.

För de uppgifter som skapas inom ett konto – kundlistor, bokningar, formulärsvar, meddelanden – är kontoinnehavaren personuppgiftsansvarig och vi agerar som personuppgiftsbiträde. För de uppgifter vi behöver för att driva själva plattformen – konton, inloggningar, säkerhetsloggar och vår egen användningsanalys – är vi personuppgiftsansvariga.

2. Vilka uppgifter vi samlar in

Kontouppgifter: när du skapar ett konto samlar vi in din e-postadress, kontonamnet, språk, tidszon och alla inställningar du konfigurerar (tjänster, evenemang, öppettider, meddelandemallar, konfiguration av kopplingar med mera). Administratörer loggar in med en kod som skickas via e-post. En administratör kan även ställa in en valfri 4-siffrig PIN-kod för snabbare inloggning, vilken bara fungerar på en enhet som redan verifierats med en e-postkod; den PIN-koden lagras endast som en bcrypt-hash.

Telefonverifiering: när du registrerar dig, eller bestämmer dig för att behålla ett demokonto, ber vi om ett mobiltelefonnummer och skickar en engångskod till det via SMS. Vi lagrar numret, när det verifierades och hur många koder som skickats till det, så att vi kan begränsa hur många konton som skapas och förhindra missbruk.

Besökaruppgifter: när en besökare bokar en tid avgör kontoinnehavarens formulär vad som samlas in. Vanligtvis är det besökarens namn, e-postadress och/eller telefonnummer, den valda tjänsten eller det valda evenemanget, samt svaren som fyllts i bokningsformuläret. Besökarens bokningar, betalningsstatus, närvaro och medlemskap lagras också.

Kommunikationsuppgifter: varje e-postmeddelande och SMS som systemet skickar loggas med mottagare, tidpunkt och leveransstatus, så att kontoinnehavaren kan se vad som levererats och så att vi kan felsöka leveransproblem. Utgående e-postmeddelanden innehåller en liten spårningspixel som registrerar om meddelandet öppnats.

Anslutna Google-konton: om en administratör kopplar Gmail eller Google Kalender (Google Calendar) lagrar vi e-postadressen för det Google-kontot och krypterade åtkomst- och uppdateringstoken; för Google Kalender även den valda kalendern, ID:n för de kalenderhändelser som Micali skapat och deras Google Meet-länkar. Avsnitt 10 beskriver detta i detalj.

Pushaviseringar: om du tillåter aviseringar i din webbläsare eller i den installerade appen lagrar vi den prenumerationsadress som utfärdats av webbläsarens pushtjänst tillsammans med dess krypteringsnycklar, samt en logg över skickade aviseringar.

Inloggnings- och säkerhetsuppgifter: för varje inloggning lagrar vi IP-adressen, webbläsarens user agent, enhetstypen och tidpunkten för senaste aktivitet i den sessionen, för att skydda konton och upptäcka missbruk.

Användnings- och analysuppgifter: för varje sidvisning på våra webbplatser och bokningssidor lagrar vår egen analys sidans adress och titel, den hänvisande sidan, IP-adressen, webbläsarens user agent, enhetstyp, språk, trafikkälla och hur länge sidan var öppen, kopplat till en tvåårig cookie som heter ”micali_track_id”. Avsnitt 7 beskriver detta i detalj.

AI-assistentuppgifter: om du använder Ask AI-assistenten i applikationen sparas dina frågor och dess svar så att konversationen behåller sitt sammanhang, och meddelanden äldre än 7 dagar tas bort nästa gång du öppnar eller använder assistenten. Avsnitt 9 förklarar vad som skickas till AI-leverantören.

3. Hur vi använder dina uppgifter

Vi använder personuppgifter för att driva bokningstjänsten: för att autentisera användare, skapa och hantera bokningar, skicka bekräftelser, påminnelser och avbokningsmeddelanden, låta kontoinnehavare hantera sina kunder, evenemang och statistik, hålla systemet tillförlitligt och säkert, upptäcka och förebygga missbruk, samt besvara supportförfrågningar. Vi säljer eller byter inte personuppgifter och vi använder dem inte för tredjepartsreklam.

Vi kan också skicka kontoinnehavare och administratörer enstaka e-postmeddelanden eller SMS om nyheter och förändringar i Micali.online. Varje sådant e-postmeddelande innehåller en avanmälningslänk. Vi registrerar om dessa e-postmeddelanden öppnats och vilka länkar som klickats på, och vi sparar adressen till alla som avanmäler sig på en avanmälningslista så att de inte kontaktas igen. Besökare på bokningssidor får aldrig dessa meddelanden från oss.

4. Rättslig grund för behandling

Fullgörande av den tjänst som du eller kontoinnehavaren har begärt – att skapa en bokning, leverera dess bekräftelse, driva kontot.

Vårt berättigade intresse av att hålla plattformen igång, säker och fri från missbruk, av att förstå hur våra sidor används och av att informera kontoinnehavare om vår egen tjänst: detta omfattar vår egen analys, den besöksstatistik vi tillhandahåller kontoinnehavare, telefonverifiering vid registrering, loggarna för inloggning, säkerhet och leverans, samt de nyheter vi skickar till kontoinnehavare.

Ditt samtycke, där samtycke är det som gäller – till exempel cookies för Google Analytics på marknadsföringswebbplatsen, som endast laddas om du accepterar dem, att koppla ditt eget Google-konto eller att tillåta pushaviseringar. Du kan återkalla det när som helst.

Efterlevnad av rättsliga skyldigheter, där de gäller för oss.

5. Hur länge vi sparar uppgifter, och hur de raderas

Kontouppgifter – och de bokningar, kunder, formulärsvar och meddelandeloggar som finns i ett konto – sparas så länge kontot existerar. Vi raderar inte konton på grund av inaktivitet.

När ett konto raderas är raderingen permanent. Kontot, dess användare, evenemang, tjänster, bokningar, kundkopplingar, formulärsvar, meddelandemallar, uppladdade filer, inställningar för kopplingar samt loggarna för e-post och SMS som skickats från det tas bort från databasen och kan inte återställas. En huvudadministratör kan begära radering i applikationen; den träder i kraft efter 7 dagar och kan avbrytas under den perioden (se användarvillkoren). Demokonton raderas automatiskt 7 dagar efter att de skapats.

Kontoinnehavare kan när som helst radera enskilda poster – kunder, bokningar, formulärsvar, meddelanden – direkt i applikationen.

En besökares identitetspost, det vill säga den e-postadress de loggar in med, tas inte bort tillsammans med ett enskilt konto, eftersom samma person kan ha bokningar hos andra kontoinnehavare på plattformen. Skriv till support@micali.online om du vill att den posten ska tas bort.

När en administratör kopplar bort Google Kalender eller Gmail raderar vi de lagrade token och återkallar vår åtkomst hos Google. Kalenderhändelser som Micali redan har skapat ligger kvar i den kalendern tills du raderar dem. Ett telefonnummer som använts för verifiering finns kvar i registret även efter att kontot raderats, så att gränserna per nummer inte kan kringgås; skriv till support@micali.online om du vill att det ska tas bort.

Ask AI-konversationer har ett 7-dagarsfönster: meddelanden äldre än så tas bort nästa gång administratören öppnar eller använder assistenten. Inloggnings-, säkerhets- och analysdata om användning sparas så länge de behövs för att driva och skydda tjänsten och för att ta fram den besöksstatistik som beskrivs i avsnitt 8; vi tillämpar för närvarande ingen fast raderingsperiod för dem.

6. Vem mer som behandlar uppgifterna

Vi säljer inte personuppgifter. De delas endast med de leverantörer som tekniskt krävs för att driva tjänsten:

Hosting och infrastruktur – applikationen, databasen och uppladdade filer är hostade hos Websupport, s.r.o. (Slovakien), på infrastruktur belägen inom Europeiska unionen.

Leverans av e-post och SMS – när ett konto kopplar sitt eget SendGrid-, Twilio-, SMTP- eller Gmail-konto skickas innehållet i varje meddelande och mottagarens adress till den leverantören för leverans enligt den leverantörens egna villkor. Kontoinnehavare väljer och konfigurerar dessa leverantörer själva. Meddelanden som plattformen själv skickar (inloggningskoder, aviseringar) går via vår egen SMTP-leverantör. Verifieringskoder för telefonnummer och våra egna SMS skickas via Twilio (Twilio Inc., USA).

Google Kalender och Google Meet – när en administratör kopplar Google Kalender och slår på onlinemöten för ett evenemang eller en tjänst skrivs datum och tid, namnet på evenemanget eller tjänsten och, vid en bokning av en tjänst, kundens namn in i den administratörens egen Google-kalender, och Google (Google LLC) skapar Google Meet-länken; se avsnitt 10.

Kartor och adressökning – kartorna i inställningarna för konto, evenemang och tjänst hämtar kartrutor från OpenStreetMap, och knappen ”Geokod från adress” skickar den adress du skrivit till tjänsten Nominatim (OpenStreetMap Foundation). Båda begärs direkt av din webbläsare, så de ser din IP-adress.

Pushaviseringar – aviseringar levereras via pushtjänsten hos din webbläsares tillverkare (till exempel Google, Mozilla eller Apple). Innehållet är krypterat, så pushtjänsten kan inte läsa det.

AI-leverantörer – se avsnitt 9.

Analys – Google Analytics (Google LLC) på marknadsföringswebbplatsen, endast med ditt samtycke; se avsnitt 7.

Överföringar utanför EU – vissa av dessa leverantörer (OpenAI, Google, Twilio och leverantörer som ett konto själv kopplar) är baserade i USA eller kan behandla uppgifter där. Sådana överföringar bygger på de skyddsåtgärder som GDPR föreskriver, till exempel dataskyddsramverket mellan EU och USA (EU–US Data Privacy Framework) eller Europeiska kommissionens standardavtalsklausuler.

Vi kan även lämna ut uppgifter där lagen kräver det, eller för att skydda tjänstens, dess användares eller allmänhetens rättigheter, säkerhet eller egendom.

7. Cookies och analys

Applikationen använder de cookies och den lokala lagring som är absolut nödvändiga för att hålla dig inloggad och för att komma ihåg grundläggande inställningar som språk.

Vi driver också vår egen förstapartsanalys på marknadsföringswebbplatsen, bloggen, applikationen och bokningssidorna. En cookie som heter ”micali_track_id” och som gäller i två år identifierar webbläsaren, och varje sidvisning lagras med sin adress och titel, den hänvisande sidan, IP-adressen, webbläsarens user agent, enhetstyp, språk, trafikkälla och hur länge sidan var öppen. Detta sker med stöd av vårt berättigade intresse av att förstå hur våra sidor används och av att ge kontoinnehavare statistik för sina egna bokningssidor; det är inte kopplat till cookie-bannern. Förfrågningar från sökmotorernas robotar, från vår egen personal och från IP-adresser vi har uteslutit registreras inte.

Marknadsföringswebbplatsen använder dessutom Google Analytics (Google LLC), som endast laddas om du accepterar analys i cookie-bannern. Om du avböjer laddas Google Analytics inte alls. Google beskriver sin egen behandling på https://policies.google.com/privacy

8. Besöksstatistik för kontoinnehavare

Kontoinnehavare ser statistik för sina egna offentliga bokningssidor, byggd på den analys som beskrivs i avsnitt 7: antal visningar per sida, trafikkälla, enhetstyp och språk, samt listan över besökare bakom dessa visningar.

En besökare som redan finns i kontots kundlista visas med namn och e-postadress. Eftersom webbläsaren känns igen via sin långlivade cookie kan sidvisningar som gjorts innan besökaren loggade in eller bokade tillskrivas denne i efterhand, så snart den webbläsaren identifierats. Alla andra förblir anonyma och beskrivs endast med enhetstyp, trafikkälla och språk.

Kontoinnehavare ser aldrig IP-adresser eller webbläsarnas user agent. Sidvisningar av kontots egna administratörer, och av sökmotorernas robotar, exkluderas. Om du hellre inte vill bli igenkänd på det här sättet kan du rensa eller blockera cookies i din webbläsare, eller be kontoinnehavaren radera din kundpost.

9. Artificiell intelligens (AI)

Applikationen erbjuder AI-funktioner: en ”Ask AI”-assistent för administratörer, generering av texter för bokningsmeddelanden samt AI Insights – förslag till kontoinnehavaren baserade på dennes egna siffror.

Vilken leverantör som behandlar dessa uppgifter beror på kontots AI-inställningar. Som standard använder ett konto Micali AI, som körs på vårt eget konto hos OpenAI (OpenAI, L.L.C., USA). Ett konto kan i stället koppla sin egen API-nyckel för OpenAI eller för Google Gemini (Google LLC), och då går förfrågningarna till den leverantören enligt kontots eget avtal med denne.

Vad som skickas: för Ask AI-assistenten, administratörens fråga tillsammans med en ögonblicksbild av kontots egna uppgifter sammanställd för den konversationen – inställningar, teammedlemmar, evenemang och datum, tjänster, medlemskap, samt upp till 150 av kontots besökarkontakter inklusive namn, e-postadresser och telefonnummer. För meddelandegenerering, administratörens instruktion och bokningsuppgifterna som meddelandet gäller. För AI Insights, sammanställda siffror om kontot (antal bokningar och närvaro, beläggningsgrad, statistik för meddelandeleverans) tillsammans med namnen på evenemang och tjänster – inga besökarkontakter.

Uppgifter skickas endast när någon faktiskt använder en AI-funktion. AI Insights är avstängt för ett konto om det inte har aktiverats, och dess förslag granskas av vår personal innan de publiceras för kontoinnehavaren. Vi använder inte innehållet i dessa förfrågningar för att träna någon modell. Vad en AI-leverantör gör med uppgifter som skickas till dess API styrs av den leverantörens egna villkor, som vi inte kontrollerar: https://openai.com/policies/ och https://policies.google.com/privacy

10. Googles användardata och Limited Use

Micali.online använder Googles API:er endast när en administratör kopplar sitt eget Google-konto, och endast för de två ändamål som anges nedan. Anslutningen görs alltid via Googles vanliga OAuth-samtyckesskärm.

Gmail – så att bokningsmeddelanden skickas från administratörens egen adress. Endast behörigheten att skicka e-post begärs (https://www.googleapis.com/auth/gmail.send) tillsammans med e-postadressen för det anslutna kontot. Micali.online kan inte läsa, söka i, ladda ner eller lagra innehållet i din brevlåda – det kan endast skicka de bokningsmeddelanden som du eller ditt kontos automatiska påminnelser utlöser.

Google Kalender och Google Meet – så att onlineevenemang och onlinetjänster får en Google Meet-länk. Behörigheten att skapa, ändra och radera händelser i kalendrar som du äger begärs (https://www.googleapis.com/auth/calendar.events.owned), liksom behörigheten att lista dina kalendrar så att du kan välja en (https://www.googleapis.com/auth/calendar.calendarlist.readonly), samt e-postadressen för det anslutna kontot. Micali.online arbetar endast med de händelser som det själv har skapat – det läser, ändrar eller raderar inte dina övriga händelser. För varje bekräftad bokning av en onlinetjänst, och för varje datum för ett onlineevenemang, skapar det en händelse i den valda kalendern med datum och tid, namnet på evenemanget eller tjänsten och, vid en bokning av en tjänst, kundens namn, och ber Google bifoga en Google Meet-länk. Dessa händelser har inga gäster och Google skickar inga inbjudningar; Micali.online skickar länken till deltagarna i sina egna bokningsmejl. När en bokning eller ett datum flyttas, avbokas eller raderas uppdaterar eller raderar Micali.online sin händelse.

Åtkomst- och uppdateringstoken lagras krypterade och används enbart för dessa ändamål. Du kan koppla bort Gmail eller Google Kalender när som helst i applikationen – vi raderar då token och återkallar åtkomsten hos Google – eller återkalla åtkomsten på https://myaccount.google.com/permissions.

Micalis användning och överföring av information som tas emot från Googles API:er till någon annan app kommer att följa Google API Services User Data Policy, inklusive kraven för Limited Use (begränsad användning). Den policyn finns tillgänglig på https://developers.google.com/terms/api-services-user-data-policy.

Google Workspace-användardata används, överförs eller säljs inte för att skapa, träna eller förbättra generaliserade eller grundläggande modeller för artificiell intelligens eller maskininlärning.

Micali tillhandahåller inte e-postinnehåll, kalenderdata eller annan Google Workspace-användardata till AI/ML-modeller. AI-genererat innehåll skapas oberoende och skickas via Gmail endast efter att ha initierats eller godkänts av användaren.

11. Dina rättigheter

Med förbehåll för tillämplig lag (inklusive EU:s dataskyddsförordning, GDPR) har du rätt att få tillgång till de personuppgifter vi har om dig, att begära att de rättas eller raderas, att invända mot eller begränsa viss behandling, samt att få dina uppgifter i ett portabelt format. Du har också rätt att återkalla ett samtycke du har gett (till exempel genom att ändra ditt val i cookie-bannern, koppla bort ett Google-konto eller stänga av aviseringar), och att lämna in ett klagomål till en tillsynsmyndighet för dataskydd – i Slovakien, Myndigheten för skydd av personuppgifter i Republiken Slovakien (https://dataprotection.gov.sk), eller myndigheten i det EU-land där du bor.

Om du är en besökare som har bokat via ett konto är kontoinnehavaren den primära kontaktpunkten för dina uppgifter – de bestämmer vad de samlar in och hur länge de sparar det i sitt konto. Du kan be dem uppdatera eller radera dina bokningar och formulärsvar. För förfrågningar på plattformsnivå, skriv till oss på support@micali.online.

12. Säkerhet

De åtgärder vi har på plats i dag: webbplatserna, applikationen och API:et levereras via HTTPS; administratörer loggar in med en kod som skickas via e-post, och den valfria inloggnings-PIN-koden lagras endast som en bcrypt-hash, fungerar bara på en enhet som tidigare verifierats med en e-postkod, och spärras efter tre felaktiga försök; token för betrodda enheter lagras endast som en SHA-256-hash; åtkomsttoken har begränsad giltighetstid och kan återkallas; API:et har hastighetsbegränsning och registrerar IP-adress och enhet för varje inloggning; hemligheter för kopplingar – SMTP-lösenord, API-nycklar för SendGrid och Twilio, Google OAuth-token (Gmail, Google Kalender), autentiseringsuppgifter för webhooks – krypteras vid lagring med autentiserad kryptering (libsodium); varje API-förfrågan är begränsad till ett enskilt konto, så ett konto kan bara nå sina egna uppgifter; och vår personals åtkomst till plattformen är separerad från åtkomsten till konton.

Inget system kan garantera absolut säkerhet. Skulle en incident som påverkar personuppgifter inträffa kommer vi att hantera den och underrätta de berörda i enlighet med vad lagen kräver.

Din export och vår infrastruktur är två olika saker. Vi erbjuder ingen återställning per konto – det finns ingen funktion som återställer ett konto till ett tidigare tillstånd – så vi rekommenderar att kontoinnehavare regelbundet exporterar det som är viktigt för dem (applikationen exporterar bokningar för evenemang och tjänster till CSV) och sparar den kopian själva.

13. Ändringar och kontakt

Vi kan uppdatera denna integritetspolicy då och då. Den aktuella versionen publiceras alltid på denna sida tillsammans med sitt datum för ikraftträdande, och väsentliga ändringar meddelas i förväg via e-post eller i applikationen. Om du har frågor om denna policy, eller vill utöva dina rättigheter, skriv till oss på support@micali.online – REALWEB, s.r.o., Vajanského 16/6757, 917 01 Trnava, Republiken Slovakien.