Personvernerklæring

Alvoru legger stor vekt på beskyttelse av personopplysninger. Denne personvernerklæringen er utarbeidet i samsvar med personvernforordningen (forordning (EU) 2016/679, heretter: GDPR) og den nederlandske gjennomføringsloven for GDPR, og beskriver hvordan Alvoru samler inn, behandler, sikrer og sletter personopplysninger.

1. Behandlingsansvarlig

Den behandlingsansvarlige i henhold til artikkel 4 nr. 7 GDPR er:

Kontaktperson for personvernsaker: Yousri via info@alvoru.com. Alvoru er i henhold til GDPR ikke forpliktet til å utnevne et personvernombud.

2. Hvilke personopplysninger behandler vi?

Alvoru behandler utelukkende personopplysninger som er nødvendige for å levere tjenestene våre. Avhengig av tjenesten kan det dreie seg om:

• Kontakt- og bedriftsopplysninger: navn, firmanavn, e-postadresse, telefonnummer, adresse, KVK-nummer og stillingsopplysninger.
• Kontoopplysninger: innloggingsopplysninger, passordhash, sesjonscookies, preferanser.
• Samtaleinnhold: meldinger og samtaler mellom sluttbrukere og våre AI-kanaler (chatbot og e-post).
• Booking- og kalenderopplysninger: navn, kontaktopplysninger, tidspunkt og emne for avtaler.
• Tekniske opplysninger: IP-adresse, nettleser og operativsystem, tidsstempel, sideatferd.
• Cookie-opplysninger: se seksjon 10.
• Betalingsopplysninger: fakturaopplysninger og betalingshistorikk; kredittkort- og IBAN-opplysninger lagres ikke av Alvoru, men behandles utelukkende av betalingsleverandøren Mollie.

3. Formål og rettsgrunnlag (artikkel 6 GDPR)

For behandlinger på grunnlag av berettiget interesse (art. 6 nr. 1 bokstav f GDPR) har Alvoru gjennomført en interesseavveining (LIA). Spesielt for sikkerhet, svindeldeteksjon og misbruksforebygging: Alvoru har en berettiget interesse i å beskytte systemene og kundedataene sine. Dine interesser går ikke foran denne berettigede interessen, fordi behandlingen er begrenset til tekniske opplysninger (IP-adresse, tidsstempel), er strengt nødvendig for beskyttelsen av alle brukere, og du informeres om dette via denne personvernerklæringen.

4. Oppbevaringstider

Alvoru oppbevarer ikke personopplysninger lenger enn nødvendig for formålene de ble samlet inn for:

• Kundedata (aktiv): i løpet av Avtalens varighet og inntil 60 dager etter opphør (se Alminnelige vilkår art. 11).
• Fakturaer og finansiell administrasjon: 7 år, i samsvar med artikkel 52 AWR (skattemessig oppbevaringsplikt).
• AI-samtalelogger: 12 måneder, med mindre Oppdragsgiveren skriftlig avtaler en kortere frist.
• Markedsførings-opt-in: inntil samtykket trekkes tilbake.
• Lead-opplysninger (ikke-kunde): maksimalt 12 måneder.
• Tekniske loggfiler og sikkerhetslogger: maksimalt 12 måneder.
• Sikkerhetskopier: maksimalt 90 dager.

5. Deling med tredjeparter og overføring

Alvoru deler personopplysninger utelukkende med underdatabehandlere som er strengt nødvendige for tjenestene. Med hver underdatabehandler er det inngått en databehandleravtale i samsvar med artikkel 28 GDPR.

Overføring til land utenfor EØS skjer utelukkende på grunnlag av en gyldig tilstrekkelighetsbeslutning, en DPF-sertifisering eller EUs standard kontraktsbestemmelser, supplert med ytterligere tekniske og organisatoriske tiltak der det kreves.

6. De registrertes rettigheter

Du har i henhold til GDPR følgende rettigheter:

• Innsyn (art. 15) — vite hvilke opplysninger vi behandler om deg.
• Retting og korrigering (art. 16) — du har rett til å få uriktige eller ufullstendige personopplysninger korrigert. Du kan sende inn en korrigeringsforespørsel via info@alvoru.com med en beskrivelse av hvilke opplysninger som er uriktige og hva de korrekte opplysningene er. Alvoru behandler forespørselen din innen en måned og bekrefter den gjennomførte korrigeringen skriftlig per e-post.
• Sletting (art. 17, «retten til å bli glemt»).
• Begrensning av behandlingen (art. 18).
• Dataportabilitet (art. 20) — motta opplysningene dine i et maskinlesbart format.
• Innsigelse (art. 21) — mot behandlinger på grunnlag av berettiget interesse eller direkte markedsføring.
• Tilbaketrekking av samtykke (art. 7 nr. 3) — for behandlinger på grunnlag av samtykke, uten at dette berører tidligere lovlighet.
• Menneskelig inngripen (art. 22) ved automatisert beslutningstaking (se seksjon 7).

Du kan sende inn en forespørsel via info@alvoru.com. Alvoru svarer innen en måned, i samsvar med artikkel 12 nr. 3 GDPR. For å verifisere identiteten din kan Alvoru be om ytterligere informasjon.

Dersom du mener at Alvoru bryter GDPR, har du rett til å inngi en klage til Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Automatisert beslutningstaking og AI

Alvorus AI-chatbot og e-postautomatisering behandler meldinger automatisk og kan selvstendig generere svar. Ved bookinger og automatiserte reservasjoner kan dette føre til beslutninger med rettsvirkninger for sluttbrukeren i henhold til artikkel 22 GDPR.

Sluttbrukere har i henhold til artikkel 22 nr. 3 GDPR rett til å:

• få menneskelig inngripen;
• gi uttrykk for sitt synspunkt;
• bestride beslutningen.

Denne retten kan utøves ved å ta kontakt med bedriften som bruker Alvorus Tjeneste, eller med Alvoru selv via info@alvoru.com.

Sletting av chatsamtaler (art. 17): Besøkende som har hatt en samtale via AI-chatboten på et nettsted som betjenes av Alvoru, kan be om sletting av chathistorikken sin ved å sende en e-post til info@alvoru.com med angivelse av: nettstedet der samtalen fant sted, datoen (omtrentlig) og en beskrivelse av samtalen. Alvoru behandler forespørselen innen 30 dager. Chatdata eldre enn 90 dager anonymiseres automatisk.

I samsvar med artikkel 50 i EUs AI-forordning (2024/1689) informerer AI-systemene våre sluttbrukere tydelig om at de kommuniserer med et AI-system.

7a. Chatbot-besøkende på kundenettsteder

Kundene våre bruker Alvoru AI-chatboten på sine egne nettsteder. Som besøkende på et slikt kundenettsted behandles chatsamtalene dine av Alvoru som underdatabehandler. Kunden er i så fall behandlingsansvarlig i henhold til GDPR. Alvoru behandler chatdataene dine utelukkende etter instruks fra og til fordel for den aktuelle kunden. Se personvernerklæringen til nettstedet der du bruker chatboten for mer informasjon om hvordan den kunden behandler dine data.

8. Sikkerhet

Alvoru treffer passende tekniske og organisatoriske tiltak for å beskytte personopplysninger mot tap eller enhver form for ulovlig behandling (artikkel 32 GDPR), blant annet:

• TLS 1.2+-kryptering for all kommunikasjon (HTTPS).
• Salted passord-hashing (bcrypt) og øktadministrasjon med rotasjon.
• Brannmur og fail2ban på alle servere.
• Rate-limiting på API-er og innloggingsforsøk.
• Minimale rettigheter (prinsippet om least privilege) for tjenestebrukere.
• Restriktive filrettigheter (600) på konfigurasjons- og datafiler.
• Automatiske daglige sikkerhetskopier med kryptering.
• Logging og overvåking av tilgang til sensitive data.
• Tofaktorautentisering for administrativ tilgang.
• Sikkerhetsoppdateringer innen 72 timer etter offentliggjøring av kritiske sårbarheter.

9. Datainnbrudd

Et datainnbrudd meldes til Autoriteit Persoonsgegevens innen 72 timer etter oppdagelse, i samsvar med artikkel 33 GDPR, med mindre innbruddet sannsynligvis ikke medfører noen risiko for fysiske personers rettigheter og friheter.

Dersom datainnbruddet medfører høy risiko for de registrerte, informerer Alvoru de registrerte uten opphold, i samsvar med artikkel 34 GDPR, slik at de kan treffe passende tiltak.

Alvoru fører et register over datainnbrudd i samsvar med artikkel 33 nr. 5 GDPR.

10. Informasjonskapsler

Alvoru bruker informasjonskapsler og lignende teknikker på grunnlag av artikkel 11.7a i den nederlandske telekommunikasjonsloven:

• Funksjonelle informasjonskapsler (alltid aktive, ingen samtykke kreves): økt, preferanser, CSRF-beskyttelse, DDoS-beskyttelse (Cloudflare).
• Analytiske og markedsføringskapsler: Alvoru plasserer for øyeblikket ingen analytiske eller markedsføringskapsler. Det kjører ingen Google Analytics, Meta Pixel eller lignende sporingsverktøy på alvoru.com. Informasjonskapsel-banneret er til stede slik at vi, dersom vi i fremtiden ønsker å bruke analyse, først ber om ditt uttrykkelige samtykke.

Du kan endre preferansene dine for informasjonskapsler via lenken nederst på hver side eller via banneret. For en fullstendig oversikt, se Informasjonskapselerklæring.

10a. Er det obligatorisk å oppgi opplysninger?

Du er ikke rettslig eller kontraktsmessig forpliktet til å oppgi personopplysninger til oss, med mindre annet er angitt. Hvis du ikke oppgir opplysninger, kan vi muligens ikke levere tjenesten til deg. For eksempel er det å oppgi en e-postadresse påkrevd for å opprette en konto og motta tjenestemeldinger, mens det å oppgi et telefonnummer vanligvis er valgfritt.

11. Endringer

Alvoru kan endre denne personvernerklæringen fra tid til annen. Vesentlige endringer varsles minst 30 dager før ikrafttredelse per e-post til eksisterende kunder og på denne siden. Den nyeste versjonen er til enhver tid tilgjengelig på alvoru.com/privacy.