Политика за поверителност

Alvoru отдава голямо значение на защитата на личните данни. Тази политика за поверителност е изготвена в съответствие с Общия регламент относно защитата на данните (Регламент (ЕС) 2016/679, наричан по-нататък: GDPR) и Нидерландския закон за прилагане на GDPR, и описва как Alvoru събира, обработва, защитава и изтрива лични данни.

1. Администратор на лични данни

Администраторът на лични данни по смисъла на член 4, параграф 7 от GDPR е:

Лице за контакт по въпроси на поверителността: Yousri чрез info@alvoru.com. Alvoru не е задължена съгласно GDPR да назначи Длъжностно лице по защита на данните (DPO).

2. Какви лични данни обработваме?

Alvoru обработва изключително лични данни, които са необходими за предоставянето на нашите услуги. В зависимост от услугата това може да са:

• Данни за контакт и фирмени данни: име, име на фирмата, имейл адрес, телефонен номер, адрес, KvK номер и данни за длъжност.
• Данни за акаунта: данни за вход, хеш на паролата, сесийни бисквитки, предпочитания.
• Съдържание на разговори: съобщения и разговори между крайни потребители и нашите AI канали (чатбот и имейл).
• Данни за резервации и календар: име, данни за контакт, час и тема на срещите.
• Технически данни: IP адрес, браузър и операционна система, времеви печат, поведение на страницата.
• Данни от бисквитки: виж раздел 10.
• Данни за плащане: данни за фактури и история на плащанията; данните за кредитна карта и IBAN не се съхраняват от Alvoru, а се обработват изключително от платежния оператор Mollie.

3. Цели и правни основания (член 6 от GDPR)

За обработки въз основа на легитимен интерес (чл. 6, параграф 1, буква е от GDPR) Alvoru е извършила оценка на легитимните интереси (LIA). Специфично за сигурност, откриване на измами и предотвратяване на злоупотреби: Alvoru има легитимен интерес да защитава своите системи и клиентски данни. Твоите интереси не надделяват над този легитимен интерес, тъй като обработката е ограничена до технически данни (IP адрес, времеви печат), е строго необходима за защитата на всички потребители, и си информиран за това чрез тази политика за поверителност.

4. Срокове на съхранение

Alvoru съхранява лични данни не по-дълго от необходимото за целите, за които са събрани:

• Клиентски данни (активни): през срока на Споразумението и до 60 дни след прекратяване (виж Общи условия чл. 11).
• Фактури и финансова администрация: 7 години, съгласно член 52 AWR (данъчно задължение за съхранение).
• Логове на AI разговори: 12 месеца, освен ако Възложителят не договори писмено по-кратък срок.
• Маркетингов opt-in: до оттегляне на съгласието.
• Данни за потенциални клиенти (неклиент): максимум 12 месеца.
• Технически лог файлове и логове за сигурност: максимум 12 месеца.
• Резервни копия: максимум 90 дни.

5. Споделяне с трети страни и предаване

Alvoru споделя лични данни изключително с подизпълнители, които са строго необходими за предоставянето на услугите. С всеки подизпълнител е сключен договор за обработка съгласно член 28 от GDPR.

Предаването към държави извън ЕИП се извършва изключително въз основа на валидно решение относно адекватното ниво на защита, DPF сертификация или Стандартните договорни клаузи на ЕС, допълнени с допълнителни технически и организационни мерки, където се изисква.

6. Права на субектите на данни

Съгласно GDPR имаш следните права:

• Достъп (чл. 15) — да знаеш какви данни обработваме за теб.
• Коригиране и поправка (чл. 16) — имаш правото да поискаш коригиране на неточни или непълни лични данни. Можеш да подадеш искане за коригиране чрез info@alvoru.com с описание кои данни са неточни и какви са коректните данни. Alvoru обработва твоето искане в рамките на един месец и потвърждава извършената корекция писмено по имейл.
• Изтриване (чл. 17, „право да бъдеш забравен“).
• Ограничаване на обработката (чл. 18).
• Преносимост (чл. 20) — да получиш данните си в машинночетим формат.
• Възражение (чл. 21) — срещу обработки въз основа на легитимен интерес или директен маркетинг.
• Оттегляне на съгласие (чл. 7, параграф 3) — за обработки въз основа на съгласие, без това да засяга предходната законосъобразност.
• Човешка намеса (чл. 22) при автоматизирано вземане на решения (виж раздел 7).

Можеш да подадеш искане чрез info@alvoru.com. Alvoru отговаря в рамките на един месец, съгласно член 12, параграф 3 от GDPR. За да провери твоята самоличност, Alvoru може да поиска допълнителна информация.

Ако смяташ, че Alvoru нарушава GDPR, имаш правото да подадеш жалба до Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Автоматизирано вземане на решения и AI

AI чатботът и имейл автоматизацията на Alvoru обработват съобщения автоматично и могат самостоятелно да генерират отговори. При резервации и автоматизирани записвания това може да доведе до решения с правни последици за крайния потребител по смисъла на член 22 от GDPR.

Крайните потребители имат съгласно член 22, параграф 3 от GDPR правото да:

• получат човешка намеса;
• изразят своята гледна точка;
• оспорят решението.

Това право може да бъде упражнено, като се свържеш с фирмата, която използва Услугата на Alvoru, или с Alvoru директно чрез info@alvoru.com.

Изтриване на чат разговори (чл. 17): Посетители, които са водили разговор чрез AI чатбота на уебсайт, обслужван от Alvoru, могат да поискат изтриване на историята на своите чатове, като изпратят имейл до info@alvoru.com като посочат: уебсайта, на който се е състоял разговорът, датата (приблизително) и описание на разговора. Alvoru обработва искането в рамките на 30 дни. Чат данни по-стари от 90 дни се анонимизират автоматично.

В съответствие с член 50 от Регламента на ЕС за изкуствения интелект (2024/1689) нашите AI системи ясно информират крайните потребители, че комуникират с AI система.

7a. Посетители на чатбота от клиентски уебсайтове

Нашите клиенти внедряват AI чатбота на Alvoru на собствените си уебсайтове. Като посетител на такъв клиентски уебсайт твоите чат разговори се обработват от Alvoru като подизпълнител. В този случай клиентът е администратор на данните по смисъла на GDPR. Alvoru обработва твоите чат данни изключително по указание на и в полза на съответния клиент. Виж политиката за поверителност на уебсайта, на който използваш чатбота, за повече информация как този клиент обработва твоите данни.

8. Сигурност

Alvoru предприема подходящи технически и организационни мерки за защита на личните данни срещу загуба или каквато и да е форма на неправомерна обработка (член 32 GDPR), сред които:

• TLS 1.2+ криптиране за цялата комуникация (HTTPS).
• Хеширане на пароли със сол (bcrypt) и управление на сесии с ротация.
• Защитна стена и fail2ban на всички сървъри.
• Ограничаване на честотата на API заявките и опитите за вход.
• Минимални права (принцип на least privilege) за сервизните потребители.
• Ограничителни права за файлове (600) върху конфигурационните файлове и файловете с данни.
• Автоматични ежедневни резервни копия с криптиране.
• Регистриране и наблюдение на достъпа до чувствителни данни.
• Двуфакторна автентикация за административен достъп.
• Актуализации за сигурност в рамките на 72 часа след разкриване на критични уязвимости.

9. Изтичане на данни

Изтичане на данни се докладва на Autoriteit Persoonsgegevens в рамките на 72 часа след установяване, в съответствие с член 33 GDPR, освен ако изтичането вероятно не поражда риск за правата и свободите на физическите лица.

Ако изтичането на данни поражда висок риск за засегнатите лица, Alvoru информира засегнатите лица незабавно, в съответствие с член 34 GDPR, за да могат да предприемат подходящи мерки.

Alvoru поддържа регистър на изтичанията на данни в съответствие с член 33, параграф 5 GDPR.

10. Бисквитки

Alvoru използва бисквитки и подобни технологии на основание член 11.7a от Закона за далекосъобщенията:

• Функционални бисквитки (винаги активни, не изискват съгласие): сесия, предпочитания, CSRF защита, DDoS защита (Cloudflare).
• Аналитични и маркетингови бисквитки: Alvoru в момента не поставя никакви аналитични или маркетингови бисквитки. На alvoru.com не работи Google Analytics, Meta Pixel или подобен тракер. Банерът за бисквитки присъства, за да можем, ако в бъдеще пожелаем да използваме аналитика, първо да поискаме твоето изрично съгласие.

Можеш да промениш предпочитанията си за бисквитки чрез връзката в долната част на всяка страница или банера за бисквитки. За пълен преглед виж Декларация за бисквитките.

10a. Задължително ли е предоставянето на данни?

Не си законово или договорно задължен да ни предоставяш лични данни, освен ако не е посочено друго. Ако не предоставиш данни, е възможно да не можем да ти доставим услугата. Например предоставянето на имейл адрес е задължително за създаване на акаунт и получаване на сервизни съобщения, но предоставянето на телефонен номер обикновено е по избор.

11. Промени

Alvoru може периодично да променя тази политика за поверителност. Съществените промени се обявяват минимум 30 дни преди влизането им в сила по имейл до съществуващите клиенти и на тази страница. Най-актуалната версия е винаги достъпна на alvoru.com/privacy.