Política de Privacidad

Alvoru concede gran importancia a la protección de los datos personales. Esta política de privacidad se ha redactado de conformidad con el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, en adelante: RGPD) y la legislación nacional de desarrollo, y describe cómo Alvoru recopila, trata, protege y suprime los datos personales.

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del artículo 4, apartado 7, del RGPD es:

Persona de contacto para asuntos de privacidad: Yousri a través de info@alvoru.com. Alvoru no está obligada, en virtud del RGPD, a nombrar un Delegado de Protección de Datos (DPD).

2. ¿Qué datos personales tratamos?

Alvoru trata exclusivamente los datos personales necesarios para la prestación de nuestros servicios. Según el servicio, puede tratarse de:

• Datos de contacto y de empresa: nombre, nombre de la empresa, dirección de correo electrónico, número de teléfono, dirección, número de registro mercantil (KVK) y datos del cargo.
• Datos de la cuenta: credenciales de acceso, hash de la contraseña, cookies de sesión, preferencias.
• Contenido de las conversaciones: mensajes y conversaciones entre los usuarios finales y nuestros canales de IA (chatbot y correo electrónico).
• Datos de reservas y agenda: nombre, datos de contacto, fecha/hora y asunto de las citas.
• Datos técnicos: dirección IP, navegador y sistema operativo, marca de tiempo, comportamiento de navegación.
• Datos de cookies: véase la sección 10.
• Datos de pago: datos de facturación e historial de pagos; los datos de tarjeta e IBAN no son almacenados por Alvoru, sino tratados exclusivamente por el procesador de pagos Mollie.

3. Finalidades y bases jurídicas (artículo 6 del RGPD)

Para los tratamientos basados en el interés legítimo (art. 6, apdo. 1, letra f, del RGPD), Alvoru ha llevado a cabo una ponderación de interés legítimo (LIA). En concreto, para la seguridad, la detección de fraude y la prevención de abusos: Alvoru tiene un interés legítimo en proteger sus sistemas y los datos de sus clientes. Sus intereses no prevalecen sobre este interés legítimo, ya que el tratamiento se limita a datos técnicos (dirección IP, marca de tiempo), es estrictamente necesario para la protección de todos los usuarios y usted es informado de ello mediante esta política de privacidad.

4. Plazos de conservación

Alvoru no conserva los datos personales más tiempo del necesario para las finalidades para las que se recopilaron:

• Datos de cliente (activos): durante la vigencia del Contrato y hasta 60 días después de su terminación (véase el art. 11 de las Condiciones Generales).
• Facturas y administración financiera: 7 años, conforme a la obligación legal de conservación fiscal.
• Registros de conversaciones de IA: 12 meses, salvo que el Cliente acuerde por escrito un plazo más corto.
• Consentimiento de marketing: hasta la retirada del consentimiento.
• Datos de leads (no clientes): máximo 12 meses.
• Archivos de registro técnicos y registros de seguridad: máximo 12 meses.
• Copias de seguridad: máximo 90 días.

5. Comunicación a terceros y transferencias

Alvoru comparte datos personales únicamente con subencargados del tratamiento estrictamente necesarios para la prestación del servicio. Con cada subencargado se ha suscrito un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.

Las transferencias a países fuera del EEE se realizan únicamente sobre la base de una decisión de adecuación válida, una certificación DPF o las Cláusulas Contractuales Tipo de la UE, complementadas con medidas técnicas y organizativas adicionales cuando sea necesario.

6. Derechos de los interesados

En virtud del RGPD, usted dispone de los siguientes derechos:

• Acceso (art. 15) — saber qué datos suyos tratamos.
• Rectificación y corrección (art. 16) — tiene derecho a que se corrijan los datos personales inexactos o incompletos. Puede presentar una solicitud de corrección a través de info@alvoru.com con una descripción de qué datos son inexactos y cuáles son los datos correctos. Alvoru tramita su solicitud en el plazo de un mes y confirma la corrección efectuada por escrito por correo electrónico.
• Supresión (art. 17, «derecho al olvido»).
• Limitación del tratamiento (art. 18).
• Portabilidad (art. 20) — recibir sus datos en un formato legible por máquina.
• Oposición (art. 21) — a los tratamientos basados en el interés legítimo o el marketing directo.
• Retirada del consentimiento (art. 7, apdo. 3) — para los tratamientos basados en el consentimiento, sin que ello afecte a la licitud anterior.
• Intervención humana (art. 22) en las decisiones automatizadas (véase la sección 7).

Puede presentar una solicitud a través de info@alvoru.com. Alvoru responde en el plazo de un mes, conforme al artículo 12, apartado 3, del RGPD. Para verificar su identidad, Alvoru puede solicitar información adicional.

Si considera que Alvoru infringe el RGPD, tiene derecho a presentar una reclamación ante la Autoridad de Protección de Datos (Postbus 93374, 2509 AJ La Haya, autoriteitpersoonsgegevens.nl).

7. Decisiones automatizadas e IA

El chatbot con IA y la automatización de correo de Alvoru tratan los mensajes de forma automática y pueden generar respuestas de manera autónoma. En las reservas y reservas automatizadas, esto puede dar lugar a decisiones con efectos jurídicos para el usuario final en el sentido del artículo 22 del RGPD.

Los usuarios finales tienen, en virtud del artículo 22, apartado 3, del RGPD, derecho a:

• obtener intervención humana;
• expresar su punto de vista;
• impugnar la decisión.

Este derecho puede ejercerse poniéndose en contacto con la empresa que utiliza el Servicio de Alvoru, o con la propia Alvoru a través de info@alvoru.com.

Eliminación de conversaciones de chat (art. 17): Los visitantes que hayan mantenido una conversación a través del chatbot de IA en un sitio web gestionado por Alvoru pueden solicitar la eliminación de su historial de chat enviando un correo electrónico a info@alvoru.com indicando: el sitio web en el que tuvo lugar la conversación, la fecha (aproximada) y una descripción de la conversación. Alvoru tramita la solicitud en un plazo de 30 días. Los datos de chat con más de 90 días de antigüedad se anonimizan automáticamente.

De conformidad con el artículo 50 del Reglamento de IA de la UE (2024/1689), nuestros sistemas de IA informan claramente a los usuarios finales de que están interactuando con un sistema de IA.

7a. Visitantes del chatbot en sitios web de clientes

Nuestros clientes implementan el chatbot de IA de Alvoru en sus propios sitios web. Como visitante de uno de esos sitios web de clientes, sus conversaciones de chat son tratadas por Alvoru en calidad de subencargado del tratamiento. En ese caso, el cliente es el responsable del tratamiento en el sentido del RGPD. Alvoru trata sus datos de chat exclusivamente siguiendo las instrucciones y en beneficio del cliente correspondiente. Consulte la política de privacidad del sitio web en el que utiliza el chatbot para obtener más información sobre cómo ese cliente trata sus datos.

8. Seguridad

Alvoru adopta medidas técnicas y organizativas apropiadas para proteger los datos personales frente a la pérdida o cualquier forma de tratamiento ilícito (artículo 32 del RGPD), entre las que se incluyen:

• Cifrado TLS 1.2+ para todas las comunicaciones (HTTPS).
• Hashing de contraseñas con salt (bcrypt) y gestión de sesiones con rotación.
• Cortafuegos y fail2ban en todos los servidores.
• Limitación de solicitudes (rate limiting) en las API y en los intentos de inicio de sesión.
• Privilegios mínimos (principio de least privilege) para los usuarios de servicio.
• Permisos de archivo restrictivos (600) en los archivos de configuración y de datos.
• Copias de seguridad diarias automáticas con cifrado.
• Registro y monitorización del acceso a datos sensibles.
• Autenticación de dos factores para el acceso administrativo.
• Actualizaciones de seguridad en un plazo de 72 horas tras la divulgación de vulnerabilidades críticas.

9. Violaciones de datos

Una violación de datos se notifica a la Autoridad de Protección de Datos en un plazo de 72 horas tras su constatación, de conformidad con el artículo 33 del RGPD, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas.

Si la violación de datos conlleva un alto riesgo para los interesados, Alvoru informará a los interesados sin dilación indebida, de conformidad con el artículo 34 del RGPD, para que puedan adoptar las medidas adecuadas.

Alvoru mantiene un registro de violaciones de datos de conformidad con el artículo 33, apartado 5, del RGPD.

10. Cookies

Alvoru utiliza cookies y técnicas similares con base en la normativa aplicable de telecomunicaciones:

• Cookies funcionales (siempre activas, no requieren consentimiento): sesión, preferencias, protección CSRF, protección DDoS (Cloudflare).
• Cookies analíticas y de marketing: Alvoru no coloca por el momento no utilizamos cookies analíticas ni de marketing. En alvoru.com no se ejecuta Google Analytics, Meta Pixel ni ningún rastreador similar. El banner de cookies está presente para que, si en el futuro deseamos utilizar analíticas, podamos solicitar primero su consentimiento expreso.

Puede modificar sus preferencias de cookies mediante el enlace situado al pie de cada página o el banner de cookies. Para obtener una visión completa, consulte la Política de cookies.

10a. ¿Es obligatorio facilitar datos?

No está obligado legal ni contractualmente a facilitarnos datos personales, salvo que se indique lo contrario. Si no facilita sus datos, es posible que no podamos prestarle el servicio. Por ejemplo, facilitar una dirección de correo electrónico es necesario para crear una cuenta y recibir mensajes de servicio, mientras que facilitar un número de teléfono suele ser opcional.

11. Cambios

Alvoru puede modificar esta política de privacidad ocasionalmente. Los cambios sustanciales se anunciarán con al menos 30 días de antelación a su entrada en vigor, por correo electrónico a los clientes existentes y en esta página. La versión más actualizada está disponible en todo momento en alvoru.com/privacy.