Pravila privatnosti

Alvoru pridaje veliku važnost zaštiti osobnih podataka. Ova politika privatnosti sastavljena je u skladu s Općom uredbom o zaštiti podataka (Uredba (EU) 2016/679, u daljnjem tekstu: GDPR) i provedbenim zakonom o GDPR-u, te opisuje kako Alvoru prikuplja, obrađuje, štiti i briše osobne podatke.

1. Voditelj obrade

Voditelj obrade u smislu članka 4. stavka 7. GDPR-a je:

Kontakt osoba za pitanja privatnosti: Yousri putem info@alvoru.com. Alvoru na temelju GDPR-a nije obvezan imenovati službenika za zaštitu podataka (DPO).

2. Koje osobne podatke obrađujemo?

Alvoru obrađuje isključivo osobne podatke koji su nužni za pružanje naše usluge. Ovisno o usluzi može se raditi o:

• Kontakt i poslovni podaci: ime, naziv tvrtke, e-mail adresa, telefonski broj, adresa, KvK-broj i podaci o funkciji.
• Podaci računa: podaci za prijavu, hash lozinke, kolačići sesije, postavke.
• Sadržaj razgovora: poruke i razgovori između krajnjih korisnika i naših AI-kanala (chatbot i e-mail).
• Podaci o rezervacijama i rasporedu: ime, kontakt podaci, vrijeme i tema termina.
• Tehnički podaci: IP-adresa, preglednik i operativni sustav, vremenska oznaka, ponašanje na stranici.
• Podaci kolačića: vidi odjeljak 10.
• Podaci o plaćanju: podaci o računu i povijest plaćanja; podaci o kreditnoj kartici i IBAN-u ne pohranjuje Alvoru nego ih obrađuju isključivo procesori plaćanja Mollie.

3. Svrhe i pravne osnove (članak 6. GDPR-a)

Za obrade na temelju legitimnog interesa (čl. 6. st. 1. tč. f GDPR-a) Alvoru je proveo procjenu legitimnog interesa (LIA). Konkretno za sigurnost, otkrivanje prijevare i sprječavanje zlouporabe: Alvoru ima legitimni interes za zaštitu svojih sustava i podataka klijenata. Tvoji interesi ne prevladavaju nad ovim legitimnim interesom, jer je obrada ograničena na tehničke podatke (IP-adresa, vremenska oznaka), strogo je nužna za zaštitu svih korisnika i o tome si obaviješten putem ove politike privatnosti.

4. Rokovi čuvanja

Alvoru ne čuva osobne podatke dulje nego što je nužno za svrhe za koje su prikupljeni:

• Podaci klijenta (aktivni): tijekom trajanja Ugovora i do 60 dana nakon prestanka (vidi Opće uvjete čl. 11).
• Računi i financijska administracija: 7 godina, u skladu s člankom 52. AWR (porezna obveza čuvanja).
• Zapisi razgovora AI: 12 mjeseci, osim ako Naručitelj pisano ugovori kraći rok.
• Marketinški opt-in: do povlačenja privole.
• Podaci potencijalnih klijenata (nisu klijenti): najviše 12 mjeseci.
• Tehničke datoteke zapisa i sigurnosni zapisi: najviše 12 mjeseci.
• Sigurnosne kopije: najviše 90 dana.

5. Dijeljenje s trećima i prijenos

Alvoru dijeli osobne podatke isključivo s podizvršiteljima obrade koji su strogo nužni za pružanje usluge. Sa svakim podizvršiteljem obrade sklopljen je ugovor o obradi u skladu s člankom 28. GDPR-a.

Prijenos u zemlje izvan EGP-a odvija se isključivo na temelju valjane odluke o primjerenosti, DPF-certifikacije ili EU Standardnih ugovornih klauzula, dopunjenih dodatnim tehničkim i organizacijskim mjerama gdje je potrebno.

6. Prava ispitanika

Na temelju GDPR-a imaš sljedeća prava:

• Pristup (čl. 15) — znati koje podatke o tebi obrađujemo.
• Ispravak i korekcija (čl. 16) — imaš pravo dati ispraviti netočne ili nepotpune osobne podatke. Zahtjev za ispravak možeš podnijeti putem info@alvoru.com s opisom koji su podaci netočni i koji su ispravni podaci. Alvoru obrađuje tvoj zahtjev unutar mjesec dana i pisano potvrđuje provedeni ispravak e-mailom.
• Brisanje (čl. 17, „pravo na zaborav”).
• Ograničenje obrade (čl. 18).
• Prenosivost (čl. 20) — primiti svoje podatke u strojno čitljivom formatu.
• Prigovor (čl. 21) — na obrade na temelju legitimnog interesa ili izravnog marketinga.
• Povlačenje privole (čl. 7. st. 3.) — za obrade na temelju privole, bez utjecaja na raniju zakonitost.
• Ljudska intervencija (čl. 22) pri automatiziranom donošenju odluka (vidi odjeljak 7).

Zahtjev možeš podnijeti putem info@alvoru.com. Alvoru odgovara unutar mjesec dana, u skladu s člankom 12. stavkom 3. GDPR-a. Radi provjere tvog identiteta Alvoru može zatražiti dodatne informacije.

Ako smatraš da Alvoru krši GDPR, imaš pravo podnijeti pritužbu Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Automatizirano donošenje odluka i AI

AI-chatbot i automatizacija e-maila Alvoru automatski obrađuju poruke i mogu samostalno generirati odgovore. Pri rezervacijama i automatiziranim rezerviranjima to može dovesti do odluka s pravnim učincima za krajnjeg korisnika u smislu članka 22. GDPR-a.

Krajnji korisnici na temelju članka 22. stavka 3. GDPR-a imaju pravo:

• dobiti ljudsku intervenciju;
• izraziti svoje stajalište;
• osporiti odluku.

Ovo pravo može se ostvariti stupanjem u kontakt s poduzećem koje koristi Uslugu Alvoru, ili s Alvoru izravno putem info@alvoru.com.

Brisanje razgovora u chatu (čl. 17.): Posjetitelji koji su vodili razgovor putem AI chatbota na web-mjestu kojim upravlja Alvoru mogu zatražiti brisanje svoje povijesti chata slanjem e-pošte na info@alvoru.com uz navođenje: web-mjesta na kojem se razgovor odvijao, datuma (približno) i opisa razgovora. Alvoru obrađuje zahtjev u roku od 30 dana. Podaci chata stariji od 90 dana automatski se anonimiziraju.

Sukladno članku 50. EU Uredbe o umjetnoj inteligenciji (2024/1689), naši AI sustavi jasno obavještavaju krajnje korisnike da komuniciraju s AI sustavom.

7a. Posjetitelji chatbota na web-mjestima klijenata

Naši klijenti postavljaju Alvoru AI chatbot na vlastita web-mjesta. Kao posjetitelj takvog web-mjesta klijenta, tvoje razgovore u chatu obrađuje Alvoru kao podizvršitelj obrade. Klijent je u tom slučaju voditelj obrade u smislu GDPR-a. Alvoru obrađuje tvoje podatke iz chata isključivo prema uputama i u korist dotičnog klijenta. Pogledaj pravila privatnosti web-mjesta na kojem koristiš chatbot za više informacija o tome kako taj klijent obrađuje tvoje podatke.

8. Sigurnost

Alvoru poduzima odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka od gubitka ili bilo kojeg oblika nezakonite obrade (članak 32. GDPR-a), uključujući:

• TLS 1.2+ enkripcija za svu komunikaciju (HTTPS).
• Salted hashiranje lozinki (bcrypt) i upravljanje sesijama s rotacijom.
• Vatrozid i fail2ban na svim poslužiteljima.
• Ograničavanje brzine na API-jima i pokušajima prijave.
• Minimalne ovlasti (načelo least privilege) za servisne korisnike.
• Restriktivne dozvole datoteka (600) na konfiguracijskim i podatkovnim datotekama.
• Automatske dnevne sigurnosne kopije s enkripcijom.
• Bilježenje i praćenje pristupa osjetljivim podacima.
• Dvofaktorska autentifikacija za administrativni pristup.
• Sigurnosna ažuriranja u roku od 72 sata nakon objave kritičnih ranjivosti.

9. Povrede podataka

Povreda podataka prijavljuje se Autoriteit Persoonsgegevens u roku od 72 sata nakon utvrđivanja, sukladno članku 33. GDPR-a, osim ako povreda vjerojatno ne predstavlja rizik za prava i slobode fizičkih osoba.

Ako povreda podataka predstavlja visok rizik za ispitanike, Alvoru bez odgode obavještava ispitanike, sukladno članku 34. GDPR-a, kako bi mogli poduzeti odgovarajuće mjere.

Alvoru vodi evidenciju povreda podataka sukladno članku 33. stavku 5. GDPR-a.

10. Kolačići

Alvoru koristi kolačiće i slične tehnike na temelju članka 11.7a Zakona o telekomunikacijama:

• Funkcionalni kolačići (uvijek aktivni, nije potrebna privola): sesija, postavke, CSRF zaštita, DDoS zaštita (Cloudflare).
• Analitički i marketinški kolačići: Alvoru trenutačno ne postavlja nijedan analitičke ni marketinške kolačiće. Na alvoru.com ne rade Google Analytics, Meta Pixel ni sličan tracker. Baner o kolačićima postoji kako bismo, ako u budućnosti želimo koristiti analitiku, prvo zatražili tvoju izričitu privolu.

Svoje postavke kolačića možeš promijeniti putem poveznice na dnu svake stranice ili putem banera o kolačićima. Za potpun pregled pogledaj Izjava o kolačićima.

10a. Je li pružanje podataka obavezno?

Nisi zakonski ni ugovorno obvezan pružiti nam osobne podatke, osim ako je drukčije navedeno. Ako ne pružiš podatke, možda ti nećemo moći pružiti uslugu. Primjerice, pružanje adrese e-pošte potrebno je za izradu računa i primanje servisnih obavijesti, dok je pružanje telefonskog broja obično neobavezno.

11. Izmjene

Alvoru može s vremena na vrijeme izmijeniti ova pravila privatnosti. Materijalne izmjene najavljuju se najmanje 30 dana prije stupanja na snagu putem e-pošte postojećim klijentima i na ovoj stranici. Najnovija verzija uvijek je dostupna na alvoru.com/privacy.