Privacybeleid

Versie 2.0 · Laatst bijgewerkt: 17 april 2026

Informatieve strekking. Dit privacybeleid is zorgvuldig opgesteld conform de AVG maar vormt geen vervanging voor individueel juridisch advies. Bij specifieke vragen over de verwerking van uw persoonsgegevens raden wij u aan contact op te nemen met Alvoru of zelfstandig juridisch advies in te winnen.

Alvoru hecht groot belang aan de bescherming van persoonsgegevens. Dit privacybeleid is opgesteld in overeenstemming met de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679, hierna: AVG) en de Uitvoeringswet AVG, en beschrijft hoe Alvoru persoonsgegevens verzamelt, verwerkt, beveiligt en verwijdert.

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG is:

Alvoru (eenmanszaak)

Eigenaar: Yousri Ellouzi

Vestigingsplaats: Hengelo, Nederland

Volledig vestigingsadres wordt toegevoegd na KvK-registratie per 1 juni 2026.

KvK-nummer: volgt na 1 juni 2026

E-mail: info@alvoru.com

Telefoon: 06-34783929

Contactpersoon voor privacyzaken: Yousri Ellouzi via info@alvoru.com. Alvoru is op grond van de AVG niet verplicht een Functionaris Gegevensbescherming (FG) aan te stellen.

2. Welke persoonsgegevens verwerken wij?

Alvoru verwerkt uitsluitend persoonsgegevens die noodzakelijk zijn voor het leveren van onze dienstverlening. Afhankelijk van de dienst kan het gaan om:

Contact- en bedrijfsgegevens: naam, bedrijfsnaam, e-mailadres, telefoonnummer, adres, KvK-nummer en functiegegevens.
Accountgegevens: inloggegevens, wachtwoordhash, sessie-cookies, voorkeuren.
Gespreksinhoud: berichten en gesprekken tussen eindgebruikers en onze AI-kanalen (chatbot en e-mail).
Boekings- en agendagegevens: naam, contactgegevens, tijdstip en onderwerp van afspraken.
Technische gegevens: IP-adres, browser en besturingssysteem, tijdstempel, paginagedrag.
Cookie-gegevens: zie sectie 10.
Betalingsgegevens: factuurgegevens en betaalhistorie; creditcard- en IBAN-gegevens worden niet door Alvoru opgeslagen maar uitsluitend verwerkt door betaalverwerkers Mollie.

3. Doeleinden en rechtsgronden (artikel 6 AVG)

Doeleinde	Rechtsgrond
Uitvoering van de Overeenkomst en levering van de Dienst	Uitvoering overeenkomst (art. 6 lid 1 sub b)
Facturatie, betalingen en administratie	Wettelijke verplichting (art. 6 lid 1 sub c) — fiscale bewaarplicht
Klantenservice en ondersteuning	Uitvoering overeenkomst
Beveiliging, fraudedetectie en misbruikpreventie	Gerechtvaardigd belang (art. 6 lid 1 sub f)
Verbetering van de Dienst en product-ontwikkeling	Gerechtvaardigd belang
Marketing e-mail aan bestaande klanten over vergelijkbare diensten	Gerechtvaardigd belang (met opt-out)
Nieuwsbrief aan niet-klanten	Toestemming (art. 6 lid 1 sub a)
Analytische cookies	Toestemming (cookiebanner)

4. Bewaartermijnen

Alvoru bewaart persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor ze zijn verzameld:

Klantdata (actief): gedurende de looptijd van de Overeenkomst en tot 60 dagen na beeindiging (zie Algemene Voorwaarden art. 11).
Facturen en financiele administratie: 7 jaar, conform artikel 52 AWR (fiscale bewaarplicht).
Gesprekslogs AI: 12 maanden, tenzij Opdrachtgever schriftelijk een kortere termijn overeenkomt.
Marketing opt-in: tot intrekking van toestemming.
Lead-gegevens (niet-klant): maximaal 12 maanden.
Technische logbestanden en beveiligingslogs: maximaal 12 maanden.
Backups: maximaal 90 dagen.

5. Delen met derden en doorgifte

Alvoru deelt persoonsgegevens uitsluitend met sub-verwerkers die strikt noodzakelijk zijn voor de dienstverlening. Met elke sub-verwerker is een verwerkersovereenkomst conform artikel 28 AVG gesloten.

Sub-verwerker	Doel	Locatie / waarborg
Anthropic	AI-tekstgeneratie (Claude) — primair	VS — SCC's + aanvullende maatregelen
Voyage AI	Vector embeddings voor RAG-zoeken	Verenigde Staten (SCC)
OpenAI	AI-tekstgeneratie (GPT) — fallback	VS — DPF + SCC's
Resend	Transactionele e-mailverzending	VS — DPF-gecertificeerd
Hetzner Online	Hosting en dataopslag	Duitsland / Finland (EU)
Cloudflare	CDN, DDoS-bescherming, DNS & Email Routing	Wereldwijd — DPF + SCC's
Sentry	Error-monitoring (technische logs, 30 dagen)	Duitsland (EU)
Meta Platforms Ireland	WhatsApp Business API (alleen indien geactiveerd)	Ierland (EU) en VS — SCC's + DPF
Google LLC	Workspace mail-routing en Maps Platform (publieke bedrijfsdata)	VS — DPF + SCC's
Moneybird	Facturatie en boekhouding	Nederland (EU)
Mollie	Betalingsverwerking	Nederland (EU)

Doorgifte naar landen buiten de EER vindt uitsluitend plaats op basis van een geldig adequaatheidsbesluit, een DPF-certificering of de EU Standaard Contractsbepalingen, aangevuld met aanvullende technische en organisatorische maatregelen waar vereist.

6. Rechten van betrokkenen

U heeft op grond van de AVG de volgende rechten:

Inzage (art. 15) — weten welke gegevens wij van u verwerken.
Rectificatie en correctie (art. 16) — u heeft het recht onjuiste of onvolledige persoonsgegevens te laten corrigeren. U kunt een correctieverzoek indienen via info@alvoru.com met een omschrijving van welke gegevens onjuist zijn en wat de correcte gegevens zijn. Alvoru verwerkt uw verzoek binnen een maand en bevestigt de doorgevoerde correctie schriftelijk per e-mail.
Verwijdering (art. 17, "recht op vergetelheid").
Beperking van de verwerking (art. 18).
Overdraagbaarheid (art. 20) — uw gegevens in machineleesbaar formaat ontvangen.
Bezwaar (art. 21) — tegen verwerkingen op basis van gerechtvaardigd belang of direct marketing.
Intrekken van toestemming (art. 7 lid 3) — voor verwerkingen op basis van toestemming, zonder dat dit afbreuk doet aan eerdere rechtmatigheid.
Menselijke tussenkomst (art. 22) bij geautomatiseerde besluitvorming (zie sectie 7).

U kunt een verzoek indienen via info@alvoru.com. Alvoru reageert binnen een maand, conform artikel 12 lid 3 AVG. Om uw identiteit te verifieren kan Alvoru aanvullende informatie vragen.

Indien u meent dat Alvoru de AVG overtreedt, heeft u het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Geautomatiseerde besluitvorming en AI

De AI-chatbot en e-mailautomatisering van Alvoru verwerken berichten automatisch en kunnen zelfstandig antwoorden genereren. Bij boekingen en geautomatiseerde reserveringen kan dit leiden tot besluiten met rechtsgevolgen voor de eindgebruiker in de zin van artikel 22 AVG.

Eindgebruikers hebben op grond van artikel 22 lid 3 AVG het recht om:

menselijke tussenkomst te verkrijgen;
hun standpunt kenbaar te maken;
het besluit aan te vechten.

Dit recht kan worden uitgeoefend door contact op te nemen met het bedrijf dat de Dienst van Alvoru gebruikt, of met Alvoru zelf via info@alvoru.com.

Conform artikel 50 van de EU AI-verordening (2024/1689) informeren onze AI-systemen eindgebruikers duidelijk dat zij met een AI-systeem communiceren.

8. Beveiliging

Alvoru neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies of enige vorm van onrechtmatige verwerking (artikel 32 AVG), waaronder:

TLS 1.2+ encryptie voor alle communicatie (HTTPS).
Salted password hashing (bcrypt) en sessiebeheer met rotatie.
Firewall en fail2ban op alle servers.
Rate-limiting op API's en loginpogingen.
Minimale rechten (principe van least privilege) voor servicegebruikers.
Restrictieve bestandsrechten (600) op configuratie- en databestanden.
Automatische dagelijkse backups met encryptie.
Logging en monitoring van toegang tot gevoelige data.
Tweefactor-authenticatie voor administratieve toegang.
Security updates binnen 72 uur na bekendmaking van kritieke kwetsbaarheden.

9. Datalekken

Een datalek wordt gemeld bij de Autoriteit Persoonsgegevens binnen 72 uur na constatering, conform artikel 33 AVG, tenzij het lek waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

Indien het datalek een hoog risico voor betrokkenen met zich meebrengt, informeert Alvoru betrokkenen onverwijld, conform artikel 34 AVG, zodat zij passende maatregelen kunnen nemen.

Alvoru houdt een register van datalekken bij conform artikel 33 lid 5 AVG.

10. Cookies

Alvoru gebruikt cookies en vergelijkbare technieken op basis van artikel 11.7a Telecommunicatiewet:

Functionele cookies (altijd actief, geen toestemming vereist): sessie, voorkeuren, CSRF-beveiliging, DDoS-bescherming (Cloudflare).
Analytische en marketing cookies: Alvoru plaatst op dit moment geen analytische of marketing-cookies. Er draait geen Google Analytics, Meta Pixel of vergelijkbare tracker op alvoru.com. De cookiebanner is aanwezig zodat wij, als wij in de toekomst wel analytics willen inzetten, eerst uw expliciete opt-in vragen.

U kunt uw cookievoorkeuren wijzigen via de link onderin elke pagina of de cookiebanner. Voor een volledig overzicht zie de Cookieverklaring.

11. Wijzigingen

Alvoru kan dit privacybeleid van tijd tot tijd wijzigen. Materiele wijzigingen worden minimaal 30 dagen voor inwerkingtreding aangekondigd per e-mail aan bestaande klanten en op deze pagina. De meest actuele versie is te allen tijde beschikbaar op alvoru.com/privacy.