Privacybeleid

Alvoru hecht groot belang aan de bescherming van persoonsgegevens. Dit privacybeleid is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: AVG) en de Uitvoeringswet AVG, en beschrijft hoe Alvoru persoonsgegevens verzamelt, verwerkt, beveiligt en verwijdert.

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG is:

Contactpersoon voor privacyzaken: Yousri via info@alvoru.com. Alvoru is op grond van de AVG niet verplicht een Functionaris Gegevensbescherming (FG) aan te stellen.

2. Welke persoonsgegevens verwerken wij?

Alvoru verwerkt uitsluitend persoonsgegevens die noodzakelijk zijn voor het leveren van onze dienstverlening. Afhankelijk van de dienst kan het gaan om:

• Contact- en bedrijfsgegevens: naam, bedrijfsnaam, e-mailadres, telefoonnummer, adres, KvK-nummer en functiegegevens.
• Accountgegevens: inloggegevens, wachtwoordhash, sessie-cookies, voorkeuren.
• Gespreksinhoud: berichten en gesprekken tussen eindgebruikers en onze AI-kanalen (chatbot en e-mail).
• Boekings- en agendagegevens: naam, contactgegevens, tijdstip en onderwerp van afspraken.
• Technische gegevens: IP-adres, browser en besturingssysteem, tijdstempel, paginagedrag.
• Cookie-gegevens: zie sectie 10.
• Betalingsgegevens: factuurgegevens en betaalhistorie; creditcard- en IBAN-gegevens worden niet door Alvoru opgeslagen maar uitsluitend verwerkt door betaalverwerkers Mollie.

3. Doeleinden en rechtsgronden (artikel 6 AVG)

Voor verwerkingen op basis van gerechtvaardigd belang (art. 6 lid 1 sub f AVG) heeft Alvoru een gerechtvaardigd belangen-afweging (LIA) uitgevoerd. Specifiek voor beveiliging, fraudedetectie en misbruikpreventie: Alvoru heeft een gerechtvaardigd belang bij het beschermen van haar systemen en klantdata. Uw belangen prevaleren niet boven dit gerechtvaardigd belang, omdat de verwerking beperkt is tot technische gegevens (IP-adres, tijdstempel), strikt noodzakelijk is voor de bescherming van alle gebruikers, en u hiervan op de hoogte wordt gesteld via dit privacybeleid.

4. Bewaartermijnen

Alvoru bewaart persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld:

• Klantdata (actief): gedurende de looptijd van de Overeenkomst en tot 60 dagen na beeindiging (zie Algemene Voorwaarden art. 11).
• Facturen en financiele administratie: 7 jaar, conform artikel 52 AWR (fiscale bewaarplicht).
• Gesprekslogs AI: 12 maanden, tenzij Opdrachtgever schriftelijk een kortere termijn overeenkomt.
• Marketing opt-in: tot intrekking van toestemming.
• Lead-gegevens (niet-klant): maximaal 12 maanden.
• Technische logbestanden en beveiligingslogs: maximaal 12 maanden.
• Backups: maximaal 90 dagen.

5. Delen met derden en doorgifte

Alvoru deelt persoonsgegevens uitsluitend met sub-verwerkers die strikt noodzakelijk zijn voor de dienstverlening. Met elke sub-verwerker is een verwerkersovereenkomst conform artikel 28 AVG gesloten.

Doorgifte naar landen buiten de EER vindt uitsluitend plaats op basis van een geldig adequaatheidsbesluit, een DPF-certificering of de EU Standaard Contractsbepalingen, aangevuld met aanvullende technische en organisatorische maatregelen waar vereist.

6. Rechten van betrokkenen

U heeft op grond van de AVG de volgende rechten:

• Inzage (art. 15) — weten welke gegevens wij van u verwerken.
• Rectificatie en correctie (art. 16) — u heeft het recht onjuiste of onvolledige persoonsgegevens te laten corrigeren. U kunt een correctieverzoek indienen via info@alvoru.com met een omschrijving van welke gegevens onjuist zijn en wat de correcte gegevens zijn. Alvoru verwerkt uw verzoek binnen een maand en bevestigt de doorgevoerde correctie schriftelijk per e-mail.
• Verwijdering (art. 17, "recht op vergetelheid").
• Beperking van de verwerking (art. 18).
• Overdraagbaarheid (art. 20) — uw gegevens in machineleesbaar formaat ontvangen.
• Bezwaar (art. 21) — tegen verwerkingen op basis van gerechtvaardigd belang of direct marketing.
• Intrekken van toestemming (art. 7 lid 3) — voor verwerkingen op basis van toestemming, zonder dat dit afbreuk doet aan eerdere rechtmatigheid.
• Menselijke tussenkomst (art. 22) bij geautomatiseerde besluitvorming (zie sectie 7).

U kunt een verzoek indienen via info@alvoru.com. Alvoru reageert binnen een maand, conform artikel 12 lid 3 AVG. Om uw identiteit te verifieren kan Alvoru aanvullende informatie vragen.

Indien u meent dat Alvoru de AVG overtreedt, heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Geautomatiseerde besluitvorming en AI

De AI-chatbot en e-mailautomatisering van Alvoru verwerken berichten automatisch en kunnen zelfstandig antwoorden genereren. Bij boekingen en geautomatiseerde reserveringen kan dit leiden tot besluiten met rechtsgevolgen voor de eindgebruiker in de zin van artikel 22 AVG.

Eindgebruikers hebben op grond van artikel 22 lid 3 AVG het recht om:

• menselijke tussenkomst te verkrijgen;
• hun standpunt kenbaar te maken;
• het besluit aan te vechten.

Dit recht kan worden uitgeoefend door contact op te nemen met het bedrijf dat de Dienst van Alvoru gebruikt, of met Alvoru zelf via info@alvoru.com.

Verwijdering van chatgesprekken (art. 17): Bezoekers die via de AI-chatbot op een door Alvoru bediende website een gesprek hebben gevoerd, kunnen verwijdering van hun chatgeschiedenis aanvragen door een e-mail te sturen naar info@alvoru.com met vermelding van: de website waarop het gesprek plaatsvond, de datum (bij benadering) en een omschrijving van het gesprek. Alvoru verwerkt het verzoek binnen 30 dagen. Chat-data ouder dan 90 dagen wordt automatisch geanonimiseerd.

Conform artikel 50 van de EU AI-verordening (2024/1689) informeren onze AI-systemen eindgebruikers duidelijk dat zij met een AI-systeem communiceren.

7a. Chatbot-bezoekers van klantwebsites

Onze klanten zetten de Alvoru AI-chatbot in op hun eigen websites. Als bezoeker van een dergelijke klantwebsite worden uw chatgesprekken verwerkt door Alvoru als sub-verwerker. De klant is in dat geval de verwerkingsverantwoordelijke in de zin van de AVG. Alvoru verwerkt uw chatgegevens uitsluitend op instructie van en ten behoeve van de betreffende klant. Zie het privacybeleid van de website waarop u de chatbot gebruikt voor meer informatie over hoe die klant uw gegevens verwerkt.

8. Beveiliging

Alvoru neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige verwerking (artikel 32 AVG), waaronder:

• TLS 1.2+ encryptie voor alle communicatie (HTTPS).
• Salted password hashing (bcrypt) en sessiebeheer met rotatie.
• Firewall en fail2ban op alle servers.
• Rate-limiting op API's en loginpogingen.
• Minimale rechten (principe van least privilege) voor servicegebruikers.
• Restrictieve bestandsrechten (600) op configuratie- en databestanden.
• Automatische dagelijkse backups met encryptie.
• Logging en monitoring van toegang tot gevoelige data.
• Tweefactor-authenticatie voor administratieve toegang.
• Security updates binnen 72 uur na bekendmaking van kritieke kwetsbaarheden.

9. Datalekken

Een datalek wordt gemeld bij de Autoriteit Persoonsgegevens binnen 72 uur na constatering, conform artikel 33 AVG, tenzij het lek waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

Indien het datalek een hoog risico voor betrokkenen met zich meebrengt, informeert Alvoru betrokkenen onverwijld, conform artikel 34 AVG, zodat zij passende maatregelen kunnen nemen.

Alvoru houdt een register van datalekken bij conform artikel 33 lid 5 AVG.

10. Cookies

Alvoru gebruikt cookies en vergelijkbare technieken op basis van artikel 11.7a Telecommunicatiewet:

• Functionele cookies (altijd actief, geen toestemming vereist): sessie, voorkeuren, CSRF-beveiliging, DDoS-bescherming (Cloudflare).
• Analytische en marketing cookies: Alvoru plaatst op dit moment geen analytische of marketing-cookies. Er draait geen Google Analytics, Meta Pixel of vergelijkbare tracker op alvoru.com. De cookiebanner is aanwezig zodat wij, als wij in de toekomst wel analytics willen inzetten, eerst uw expliciete opt-in vragen.

U kunt uw cookievoorkeuren wijzigen via de link onderin elke pagina of de cookiebanner. Voor een volledig overzicht zie de Cookieverklaring.

10a. Gegevensverstrekking verplicht?

U bent niet wettelijk of contractueel verplicht persoonsgegevens aan ons te verstrekken, tenzij anders vermeld. Als u geen gegevens verstrekt, kunnen wij u mogelijk de dienst niet leveren. Zo is het verstrekken van een e-mailadres vereist voor het aanmaken van een account en het ontvangen van serviceberichten, maar is het verstrekken van een telefoonnummer doorgaans optioneel.

11. Wijzigingen

Alvoru kan dit privacybeleid van tijd tot tijd wijzigen. Materiele wijzigingen worden minimaal 30 dagen voor inwerkingtreding aangekondigd per e-mail aan bestaande klanten en op deze pagina. De meest actuele versie is te allen tijde beschikbaar op alvoru.com/privacy.