Privatlivspolitik

Alvoru lægger stor vægt på beskyttelsen af personoplysninger. Denne privatlivspolitik er udarbejdet i overensstemmelse med databeskyttelsesforordningen (forordning (EU) 2016/679, herefter: GDPR) og den nationale gennemførelseslovgivning og beskriver, hvordan Alvoru indsamler, behandler, sikrer og sletter personoplysninger.

1. Dataansvarlig

Den dataansvarlige i henhold til artikel 4, stk. 7, i GDPR er:

Kontaktperson for privatlivsspørgsmål: Yousri via info@alvoru.com. Alvoru er i henhold til GDPR ikke forpligtet til at udpege en databeskyttelsesrådgiver (DPO).

2. Hvilke personoplysninger behandler vi?

Alvoru behandler udelukkende personoplysninger, der er nødvendige for at levere vores tjeneste. Afhængigt af tjenesten kan det dreje sig om:

• Kontakt- og virksomhedsoplysninger: navn, virksomhedsnavn, e-mailadresse, telefonnummer, adresse, CVR-nummer og stillingsoplysninger.
• Kontooplysninger: loginoplysninger, adgangskodehash, sessionscookies, præferencer.
• Samtaleindhold: beskeder og samtaler mellem slutbrugere og vores AI-kanaler (chatbot og e-mail).
• Booking- og kalenderoplysninger: navn, kontaktoplysninger, tidspunkt og emne for aftaler.
• Tekniske oplysninger: IP-adresse, browser og styresystem, tidsstempel, sideadfærd.
• Cookie-oplysninger: se afsnit 10.
• Betalingsoplysninger: fakturaoplysninger og betalingshistorik; kreditkort- og IBAN-oplysninger gemmes ikke af Alvoru, men behandles udelukkende af betalingsudbyderen Mollie.

3. Formål og retsgrundlag (artikel 6 i GDPR)

For behandlinger på grundlag af legitim interesse (art. 6, stk. 1, litra f, i GDPR) har Alvoru gennemført en interesseafvejning (LIA). Specifikt for sikkerhed, svindeldetektion og forebyggelse af misbrug: Alvoru har en legitim interesse i at beskytte sine systemer og kundedata. Dine interesser går ikke forud for denne legitime interesse, fordi behandlingen er begrænset til tekniske oplysninger (IP-adresse, tidsstempel), er strengt nødvendig for beskyttelsen af alle brugere, og du informeres herom via denne privatlivspolitik.

4. Opbevaringsperioder

Alvoru opbevarer ikke personoplysninger længere end nødvendigt til de formål, hvortil de er indsamlet:

• Kundedata (aktiv): i aftalens løbetid og indtil 60 dage efter ophør (se de generelle betingelser art. 11).
• Fakturaer og finansiel administration: 7 år, i overensstemmelse med den skattemæssige opbevaringspligt.
• AI-samtalelogfiler: 12 måneder, medmindre kunden skriftligt aftaler en kortere frist.
• Marketing opt-in: indtil tilbagekaldelse af samtykke.
• Lead-oplysninger (ikke-kunde): maksimalt 12 måneder.
• Tekniske logfiler og sikkerhedslogfiler: maksimalt 12 måneder.
• Backups: maksimalt 90 dage.

5. Deling med tredjeparter og overførsel

Alvoru deler udelukkende personoplysninger med underdatabehandlere, der er strengt nødvendige for tjenesten. Med hver underdatabehandler er der indgået en databehandleraftale i overensstemmelse med artikel 28 i GDPR.

Overførsel til lande uden for EØS finder udelukkende sted på grundlag af en gyldig tilstrækkelighedsafgørelse, en DPF-certificering eller EU's standardkontraktbestemmelser, suppleret med yderligere tekniske og organisatoriske foranstaltninger, hvor det er påkrævet.

6. De registreredes rettigheder

Du har i henhold til GDPR følgende rettigheder:

• Indsigt (art. 15) — at vide, hvilke oplysninger vi behandler om dig.
• Berigtigelse og korrektion (art. 16) — du har ret til at få rettet urigtige eller ufuldstændige personoplysninger. Du kan indsende en anmodning om berigtigelse via info@alvoru.com med en beskrivelse af, hvilke oplysninger der er urigtige, og hvad de korrekte oplysninger er. Alvoru behandler din anmodning inden for en måned og bekræfter den gennemførte berigtigelse skriftligt pr. e-mail.
• Sletning (art. 17, "retten til at blive glemt").
• Begrænsning af behandlingen (art. 18).
• Dataportabilitet (art. 20) — at modtage dine oplysninger i et maskinlæsbart format.
• Indsigelse (art. 21) — mod behandlinger på grundlag af legitim interesse eller direkte markedsføring.
• Tilbagekaldelse af samtykke (art. 7, stk. 3) — for behandlinger på grundlag af samtykke, uden at dette berører den tidligere lovlighed.
• Menneskelig indgriben (art. 22) ved automatiseret beslutningstagning (se afsnit 7).

Du kan indsende en anmodning via info@alvoru.com. Alvoru svarer inden for en måned, i overensstemmelse med artikel 12, stk. 3, i GDPR. For at verificere din identitet kan Alvoru bede om yderligere oplysninger.

Hvis du mener, at Alvoru overtræder GDPR, har du ret til at indgive en klage til Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Automatiseret beslutningstagning og AI

Alvorus AI-chatbot og e-mailautomatisering behandler beskeder automatisk og kan selvstændigt generere svar. Ved bookinger og automatiserede reservationer kan dette føre til afgørelser med retsvirkning for slutbrugeren i henhold til artikel 22 i GDPR.

Slutbrugere har i henhold til artikel 22, stk. 3, i GDPR ret til at:

• opnå menneskelig indgriben;
• give udtryk for deres synspunkt;
• anfægte afgørelsen.

Denne ret kan udøves ved at kontakte den virksomhed, der bruger Alvorus tjeneste, eller Alvoru selv via info@alvoru.com.

Sletning af chatsamtaler (art. 17): Besøgende, der har haft en samtale via AI-chatbotten på en hjemmeside betjent af Alvoru, kan anmode om sletning af deres chathistorik ved at sende en e-mail til info@alvoru.com med angivelse af: hjemmesiden hvor samtalen fandt sted, datoen (cirka) og en beskrivelse af samtalen. Alvoru behandler anmodningen inden for 30 dage. Chatdata ældre end 90 dage anonymiseres automatisk.

I overensstemmelse med artikel 50 i EU's AI-forordning (2024/1689) informerer vores AI-systemer tydeligt slutbrugere om, at de kommunikerer med et AI-system.

7a. Chatbot-besøgende på kundehjemmesider

Vores kunder anvender Alvoru AI-chatbotten på deres egne hjemmesider. Som besøgende på en sådan kundehjemmeside behandles dine chatsamtaler af Alvoru som underdatabehandler. Kunden er i det tilfælde den dataansvarlige i GDPR's forstand. Alvoru behandler kun dine chatdata efter instruks fra og til fordel for den pågældende kunde. Se privatlivspolitikken på den hjemmeside, hvor du bruger chatbotten, for mere information om, hvordan den kunde behandler dine data.

8. Sikkerhed

Alvoru træffer passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysninger mod tab eller enhver form for ulovlig behandling (artikel 32 GDPR), herunder:

• TLS 1.2+ kryptering til al kommunikation (HTTPS).
• Salted password-hashing (bcrypt) og sessionshåndtering med rotation.
• Firewall og fail2ban på alle servere.
• Rate-limiting på API'er og loginforsøg.
• Minimale rettigheder (princippet om least privilege) for servicebrugere.
• Restriktive filrettigheder (600) på konfigurations- og datafiler.
• Automatiske daglige backups med kryptering.
• Logning og overvågning af adgang til følsomme data.
• Tofaktor-autentificering til administrativ adgang.
• Sikkerhedsopdateringer inden for 72 timer efter offentliggørelse af kritiske sårbarheder.

9. Databrud

Et databrud anmeldes til Autoriteit Persoonsgegevens inden for 72 timer efter konstatering, i overensstemmelse med artikel 33 GDPR, medmindre bruddet sandsynligvis ikke indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder.

Hvis databruddet indebærer en høj risiko for de registrerede, informerer Alvoru de registrerede uden unødig forsinkelse, i overensstemmelse med artikel 34 GDPR, så de kan træffe passende foranstaltninger.

Alvoru fører et register over databrud i overensstemmelse med artikel 33, stk. 5 GDPR.

10. Cookies

Alvoru bruger cookies og lignende teknikker på grundlag af cookiereglerne i lovgivningen:

• Funktionelle cookies (altid aktive, ingen samtykke påkrævet): session, præferencer, CSRF-beskyttelse, DDoS-beskyttelse (Cloudflare).
• Analyse- og marketingcookies: Alvoru placerer i øjeblikket ingen analyse- eller marketingcookies. Der kører ingen Google Analytics, Meta Pixel eller lignende tracker på alvoru.com. Cookiebanneren er til stede, så vi, hvis vi i fremtiden ønsker at anvende analyse, først beder om dit udtrykkelige opt-in.

Du kan ændre dine cookiepræferencer via linket nederst på hver side eller cookiebanneren. For et fuldstændigt overblik se Cookiepolitik.

10a. Er det obligatorisk at afgive oplysninger?

Du er ikke lovmæssigt eller kontraktligt forpligtet til at afgive personoplysninger til os, medmindre andet er angivet. Hvis du ikke afgiver oplysninger, kan vi muligvis ikke levere tjenesten til dig. Angivelse af en e-mailadresse er f.eks. påkrævet for at oprette en konto og modtage servicebeskeder, mens angivelse af et telefonnummer normalt er valgfrit.

11. Ændringer

Alvoru kan fra tid til anden ændre denne privatlivspolitik. Væsentlige ændringer varsles mindst 30 dage før ikrafttræden via e-mail til eksisterende kunder og på denne side. Den mest aktuelle version er til enhver tid tilgængelig på alvoru.com/privacy.