Polityka prywatności

Alvoru przywiązuje dużą wagę do ochrony danych osobowych. Niniejsza polityka prywatności została opracowana zgodnie z Ogólnym Rozporządzeniem o Ochronie Danych (Rozporządzenie (UE) 2016/679, dalej: RODO) oraz holenderską ustawą wykonawczą do RODO i opisuje, jak Alvoru zbiera, przetwarza, zabezpiecza i usuwa dane osobowe.

1. Administrator danych

Administratorem danych w rozumieniu art. 4 ust. 7 RODO jest:

Osoba kontaktowa w sprawach prywatności: Yousri przez info@alvoru.com. Alvoru na podstawie RODO nie jest zobowiązane do powołania Inspektora Ochrony Danych (IOD).

2. Jakie dane osobowe przetwarzamy?

Alvoru przetwarza wyłącznie dane osobowe niezbędne do świadczenia naszych usług. W zależności od usługi mogą to być:

• Dane kontaktowe i firmowe: imię i nazwisko, nazwa firmy, adres e-mail, numer telefonu, adres, numer KVK i dane o stanowisku.
• Dane konta: dane logowania, hash hasła, pliki cookie sesji, preferencje.
• Treść rozmów: wiadomości i rozmowy między użytkownikami końcowymi a naszymi kanałami AI (chatbot i e-mail).
• Dane rezerwacji i kalendarza: imię i nazwisko, dane kontaktowe, termin i temat wizyt.
• Dane techniczne: adres IP, przeglądarka i system operacyjny, znacznik czasu, zachowanie na stronie.
• Dane plików cookie: zobacz sekcję 10.
• Dane płatności: dane faktur i historia płatności; dane karty kredytowej i numeru IBAN nie są przechowywane przez Alvoru, lecz przetwarzane wyłącznie przez operatora płatności Mollie.

3. Cele i podstawy prawne (art. 6 RODO)

W przypadku przetwarzania na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO) Alvoru przeprowadziło ocenę prawnie uzasadnionego interesu (LIA). Konkretnie w zakresie bezpieczeństwa, wykrywania oszustw i zapobiegania nadużyciom: Alvoru ma prawnie uzasadniony interes w ochronie swoich systemów i danych klientów. Twoje interesy nie mają pierwszeństwa przed tym prawnie uzasadnionym interesem, ponieważ przetwarzanie ogranicza się do danych technicznych (adres IP, znacznik czasu), jest ściśle niezbędne do ochrony wszystkich użytkowników i jesteś o tym informowany za pośrednictwem niniejszej polityki prywatności.

4. Okresy przechowywania

Alvoru przechowuje dane osobowe nie dłużej, niż jest to konieczne do celów, dla których zostały zebrane:

• Dane klientów (aktywne): przez okres trwania Umowy i do 60 dni po jej zakończeniu (zobacz Ogólne Warunki art. 11).
• Faktury i administracja finansowa: 7 lat, zgodnie z art. 52 holenderskiej ustawy AWR (podatkowy obowiązek przechowywania).
• Logi rozmów AI: 12 miesięcy, chyba że Zleceniodawca pisemnie uzgodni krótszy termin.
• Zgoda marketingowa (opt-in): do wycofania zgody.
• Dane leadów (osoby niebędące klientami): maksymalnie 12 miesięcy.
• Techniczne pliki logów i logi bezpieczeństwa: maksymalnie 12 miesięcy.
• Kopie zapasowe: maksymalnie 90 dni.

5. Udostępnianie osobom trzecim i przekazywanie

Alvoru udostępnia dane osobowe wyłącznie podprzetwarzającym, którzy są ściśle niezbędni do świadczenia usług. Z każdym podprzetwarzającym zawarto umowę powierzenia przetwarzania danych zgodnie z art. 28 RODO.

Przekazywanie do krajów spoza EOG odbywa się wyłącznie na podstawie ważnej decyzji stwierdzającej odpowiedni stopień ochrony, certyfikacji DPF lub Standardowych Klauzul Umownych UE, uzupełnionych o dodatkowe środki techniczne i organizacyjne tam, gdzie jest to wymagane.

6. Prawa osób, których dane dotyczą

Na podstawie RODO przysługują ci następujące prawa:

• Dostęp (art. 15) — wiedzieć, jakie twoje dane przetwarzamy.
• Sprostowanie i poprawa (art. 16) — masz prawo do sprostowania nieprawidłowych lub niekompletnych danych osobowych. Wniosek o sprostowanie możesz złożyć przez info@alvoru.com z opisem, które dane są nieprawidłowe i jakie są prawidłowe dane. Alvoru rozpatruje twój wniosek w ciągu miesiąca i potwierdza wprowadzoną korektę pisemnie drogą e-mailową.
• Usunięcie (art. 17, „prawo do bycia zapomnianym”).
• Ograniczenie przetwarzania (art. 18).
• Przenoszenie danych (art. 20) — otrzymanie twoich danych w formacie nadającym się do odczytu maszynowego.
• Sprzeciw (art. 21) — wobec przetwarzania na podstawie prawnie uzasadnionego interesu lub marketingu bezpośredniego.
• Wycofanie zgody (art. 7 ust. 3) — dla przetwarzania na podstawie zgody, bez wpływu na wcześniejszą zgodność z prawem.
• Interwencja człowieka (art. 22) przy zautomatyzowanym podejmowaniu decyzji (zobacz sekcję 7).

Wniosek możesz złożyć przez info@alvoru.com. Alvoru odpowiada w ciągu miesiąca, zgodnie z art. 12 ust. 3 RODO. W celu weryfikacji twojej tożsamości Alvoru może poprosić o dodatkowe informacje.

Jeśli uważasz, że Alvoru narusza RODO, masz prawo złożyć skargę do organu Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Zautomatyzowane podejmowanie decyzji i AI

Chatbot AI i automatyzacja e-mail Alvoru przetwarzają wiadomości automatycznie i mogą samodzielnie generować odpowiedzi. Przy rezerwacjach i zautomatyzowanych rezerwacjach może to prowadzić do decyzji wywołujących skutki prawne dla użytkownika końcowego w rozumieniu art. 22 RODO.

Użytkownicy końcowi na podstawie art. 22 ust. 3 RODO mają prawo do:

• uzyskania interwencji człowieka;
• wyrażenia swojego stanowiska;
• zakwestionowania decyzji.

Z tego prawa można skorzystać, kontaktując się z firmą korzystającą z Usługi Alvoru lub z samym Alvoru przez info@alvoru.com.

Usunięcie rozmów z czatu (art. 17): Odwiedzający, którzy przeprowadzili rozmowę za pośrednictwem chatbota AI na stronie obsługiwanej przez Alvoru, mogą zażądać usunięcia historii swojego czatu, wysyłając e-mail na adres info@alvoru.com z podaniem: strony internetowej, na której odbyła się rozmowa, daty (w przybliżeniu) oraz opisu rozmowy. Alvoru przetwarza żądanie w ciągu 30 dni. Dane czatu starsze niż 90 dni są automatycznie anonimizowane.

Zgodnie z artykułem 50 unijnego rozporządzenia w sprawie AI (2024/1689) nasze systemy AI wyraźnie informują użytkowników końcowych, że komunikują się z systemem AI.

7a. Odwiedzający chatbota na stronach klientów

Nasi klienci wdrażają chatbota AI Alvoru na własnych stronach internetowych. Jako odwiedzający taką stronę klienta Twoje rozmowy na czacie są przetwarzane przez Alvoru jako podmiot podprzetwarzający. Klient jest w takim przypadku administratorem danych w rozumieniu RODO. Alvoru przetwarza Twoje dane z czatu wyłącznie na polecenie i na rzecz danego klienta. Zapoznaj się z polityką prywatności strony internetowej, na której korzystasz z chatbota, aby dowiedzieć się więcej o tym, jak ten klient przetwarza Twoje dane.

8. Bezpieczeństwo

Alvoru podejmuje odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed utratą lub jakąkolwiek formą niezgodnego z prawem przetwarzania (artykuł 32 RODO), w tym:

• Szyfrowanie TLS 1.2+ dla całej komunikacji (HTTPS).
• Haszowanie haseł z solą (bcrypt) oraz zarządzanie sesjami z rotacją.
• Firewall oraz fail2ban na wszystkich serwerach.
• Ograniczanie liczby żądań (rate-limiting) na API oraz próbach logowania.
• Minimalne uprawnienia (zasada least privilege) dla użytkowników usług.
• Restrykcyjne uprawnienia do plików (600) dla plików konfiguracyjnych i plików z danymi.
• Automatyczne codzienne kopie zapasowe z szyfrowaniem.
• Rejestrowanie i monitorowanie dostępu do wrażliwych danych.
• Uwierzytelnianie dwuskładnikowe dla dostępu administracyjnego.
• Aktualizacje bezpieczeństwa w ciągu 72 godzin od ujawnienia krytycznych podatności.

9. Naruszenia ochrony danych

Naruszenie ochrony danych jest zgłaszane do Autoriteit Persoonsgegevens w ciągu 72 godzin od stwierdzenia, zgodnie z artykułem 33 RODO, chyba że naruszenie prawdopodobnie nie wiąże się z ryzykiem naruszenia praw i wolności osób fizycznych.

Jeżeli naruszenie ochrony danych wiąże się z wysokim ryzykiem dla osób, których dane dotyczą, Alvoru niezwłocznie informuje te osoby, zgodnie z artykułem 34 RODO, aby mogły podjąć odpowiednie środki.

Alvoru prowadzi rejestr naruszeń ochrony danych zgodnie z artykułem 33 ust. 5 RODO.

10. Pliki cookie

Alvoru wykorzystuje pliki cookie i podobne techniki na podstawie artykułu 11.7a niderlandzkiej ustawy o telekomunikacji (Telecommunicatiewet):

• Funkcjonalne pliki cookie (zawsze aktywne, nie wymagają zgody): sesja, preferencje, zabezpieczenie CSRF, ochrona przed DDoS (Cloudflare).
• Analityczne i marketingowe pliki cookie: Alvoru obecnie nie umieszcza żadnych analitycznych ani marketingowych plików cookie. Na alvoru.com nie działa Google Analytics, Meta Pixel ani podobny tracker. Baner cookie jest obecny po to, aby w przyszłości, gdybyśmy chcieli wdrożyć analitykę, najpierw poprosić Cię o wyraźną zgodę (opt-in).

Możesz zmienić swoje preferencje dotyczące plików cookie za pomocą linku u dołu każdej strony lub baneru cookie. Pełny przegląd znajdziesz w Polityka cookies.

10a. Czy podanie danych jest obowiązkowe?

Nie masz prawnego ani umownego obowiązku podawania nam danych osobowych, o ile nie zaznaczono inaczej. Jeśli nie podasz danych, możemy nie być w stanie świadczyć Ci usługi. Na przykład podanie adresu e-mail jest wymagane do utworzenia konta i otrzymywania wiadomości serwisowych, natomiast podanie numeru telefonu jest zazwyczaj opcjonalne.

11. Zmiany

Alvoru może od czasu do czasu zmieniać niniejszą politykę prywatności. Istotne zmiany są ogłaszane co najmniej 30 dni przed wejściem w życie za pośrednictwem wiadomości e-mail do istniejących klientów oraz na tej stronie. Najbardziej aktualna wersja jest zawsze dostępna na alvoru.com/privacy.