Политика конфиденциальности

Alvoru придаёт большое значение защите персональных данных. Настоящая политика конфиденциальности составлена в соответствии с Общим регламентом по защите данных (Регламент (ЕС) 2016/679, далее: GDPR) и Законом Нидерландов о применении GDPR, и описывает, как Alvoru собирает, обрабатывает, защищает и удаляет персональные данные.

1. Ответственный за обработку данных

Ответственным за обработку данных в смысле статьи 4 пункт 7 GDPR является:

Контактное лицо по вопросам конфиденциальности: Yousri через info@alvoru.com. Alvoru на основании GDPR не обязана назначать сотрудника по защите данных (DPO).

2. Какие персональные данные мы обрабатываем?

Alvoru обрабатывает исключительно персональные данные, необходимые для предоставления наших услуг. В зависимости от услуги это может быть:

• Контактные и корпоративные данные: имя, название компании, адрес электронной почты, номер телефона, адрес, номер KVK и данные о должности.
• Данные учётной записи: данные для входа, хеш пароля, сессионные cookie, настройки.
• Содержание переписки: сообщения и переписка между конечными пользователями и нашими AI-каналами (чат-бот и электронная почта).
• Данные о бронировании и расписании: имя, контактные данные, время и тема записей.
• Технические данные: IP-адрес, браузер и операционная система, метка времени, поведение на страницах.
• Данные cookie: см. раздел 10.
• Платёжные данные: данные о счетах и история платежей; данные кредитных карт и IBAN не хранятся Alvoru, а обрабатываются исключительно платёжным провайдером Mollie.

3. Цели и правовые основания (статья 6 GDPR)

Для обработок на основании законного интереса (ст. 6 пункт 1 подп. f GDPR) Alvoru провела оценку законного интереса (LIA). В частности, для безопасности, выявления мошенничества и предотвращения злоупотреблений: Alvoru имеет законный интерес в защите своих систем и данных клиентов. Ваши интересы не преобладают над этим законным интересом, поскольку обработка ограничена техническими данными (IP-адрес, метка времени), строго необходима для защиты всех пользователей, и Вы уведомлены об этом настоящей политикой конфиденциальности.

4. Сроки хранения

Alvoru хранит персональные данные не дольше, чем необходимо для целей, ради которых они собраны:

• Данные клиентов (активные): в течение срока действия Соглашения и до 60 дней после прекращения (см. Общие условия ст. 11).
• Счета и финансовая документация: 7 лет, в соответствии со статьёй 52 AWR (налоговая обязанность по хранению).
• Журналы переписки AI: 12 месяцев, если Заказчик письменно не согласует более короткий срок.
• Маркетинговое согласие: до отзыва согласия.
• Данные лидов (не-клиенты): максимум 12 месяцев.
• Технические файлы журналов и журналы безопасности: максимум 12 месяцев.
• Резервные копии: максимум 90 дней.

5. Передача третьим лицам и трансграничная передача

Alvoru передаёт персональные данные исключительно субобработчикам, которые строго необходимы для оказания услуг. С каждым субобработчиком заключено соглашение об обработке данных в соответствии со статьёй 28 GDPR.

Передача в страны за пределами ЕЭП осуществляется исключительно на основании действительного решения об адекватности, сертификации DPF или Стандартных договорных положений ЕС, дополненных дополнительными техническими и организационными мерами, где это требуется.

6. Права субъектов данных

На основании GDPR Вы имеете следующие права:

• Доступ (ст. 15) — знать, какие Ваши данные мы обрабатываем.
• Исправление и корректировка (ст. 16) — Вы имеете право потребовать исправления неверных или неполных персональных данных. Вы можете подать запрос на исправление через info@alvoru.com с описанием того, какие данные неверны и какими являются корректные данные. Alvoru обрабатывает Ваш запрос в течение месяца и письменно подтверждает внесённое исправление по электронной почте.
• Удаление (ст. 17, «право на забвение»).
• Ограничение обработки (ст. 18).
• Переносимость (ст. 20) — получить Ваши данные в машиночитаемом формате.
• Возражение (ст. 21) — против обработок на основании законного интереса или прямого маркетинга.
• Отзыв согласия (ст. 7 пункт 3) — для обработок на основании согласия, без ущерба для правомерности предшествующей обработки.
• Вмешательство человека (ст. 22) при автоматизированном принятии решений (см. раздел 7).

Вы можете подать запрос через info@alvoru.com. Alvoru отвечает в течение месяца, в соответствии со статьёй 12 пункт 3 GDPR. Для проверки Вашей личности Alvoru может запросить дополнительную информацию.

Если Вы считаете, что Alvoru нарушает GDPR, Вы имеете право подать жалобу в Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Автоматизированное принятие решений и AI

AI-чат-бот и автоматизация электронной почты Alvoru обрабатывают сообщения автоматически и могут самостоятельно генерировать ответы. При бронированиях и автоматизированных резервированиях это может привести к решениям с правовыми последствиями для конечного пользователя в смысле статьи 22 GDPR.

Конечные пользователи на основании статьи 22 пункт 3 GDPR имеют право:

• получить вмешательство человека;
• изложить свою точку зрения;
• оспорить решение.

Это право может быть реализовано путём обращения к компании, которая использует Услугу Alvoru, или к самой Alvoru через info@alvoru.com.

Удаление чат-переписок (ст. 17): Посетители, которые вели переписку через AI-чат-бота на сайте, обслуживаемом Alvoru, могут запросить удаление своей истории чата, отправив письмо на адрес info@alvoru.com с указанием: сайта, на котором состоялась переписка, даты (приблизительно) и описания разговора. Alvoru обрабатывает запрос в течение 30 дней. Данные чата старше 90 дней автоматически анонимизируются.

В соответствии со статьёй 50 Регламента ЕС об искусственном интеллекте (2024/1689) наши AI-системы чётко информируют конечных пользователей о том, что они общаются с AI-системой.

7a. Посетители чат-бота на сайтах клиентов

Наши клиенты размещают AI-чат-бота Alvoru на своих собственных сайтах. Как посетитель такого клиентского сайта, Ваши чат-переписки обрабатываются Alvoru в качестве субобработчика. В этом случае клиент является контролёром данных в смысле GDPR. Alvoru обрабатывает Ваши данные чата исключительно по указанию и в интересах соответствующего клиента. Для получения дополнительной информации о том, как этот клиент обрабатывает Ваши данные, ознакомьтесь с политикой конфиденциальности сайта, на котором Вы используете чат-бота.

8. Безопасность

Alvoru принимает надлежащие технические и организационные меры для защиты персональных данных от потери или любой формы неправомерной обработки (статья 32 GDPR), включая:

• Шифрование TLS 1.2+ для всех коммуникаций (HTTPS).
• Хеширование паролей с солью (bcrypt) и управление сессиями с ротацией.
• Файрвол и fail2ban на всех серверах.
• Ограничение частоты запросов к API и попыток входа.
• Минимальные права (принцип least privilege) для служебных пользователей.
• Ограничительные права доступа к файлам (600) для конфигурационных файлов и файлов данных.
• Автоматические ежедневные резервные копии с шифрованием.
• Журналирование и мониторинг доступа к конфиденциальным данным.
• Двухфакторная аутентификация для административного доступа.
• Обновления безопасности в течение 72 часов после раскрытия критических уязвимостей.

9. Утечки данных

Об утечке данных сообщается в Autoriteit Persoonsgegevens в течение 72 часов после её обнаружения, в соответствии со статьёй 33 GDPR, за исключением случаев, когда утечка, вероятно, не представляет риска для прав и свобод физических лиц.

Если утечка данных влечёт высокий риск для субъектов данных, Alvoru незамедлительно информирует их в соответствии со статьёй 34 GDPR, чтобы они могли принять надлежащие меры.

Alvoru ведёт реестр утечек данных в соответствии со статьёй 33 пункт 5 GDPR.

10. Файлы cookie

Alvoru использует файлы cookie и аналогичные технологии на основании статьи 11.7a Закона о телекоммуникациях:

• Функциональные файлы cookie (всегда активны, согласие не требуется): сессия, настройки, защита от CSRF, защита от DDoS (Cloudflare).
• Аналитические и маркетинговые файлы cookie: на данный момент Alvoru не размещает нет аналитических или маркетинговых файлов cookie. На alvoru.com не работают Google Analytics, Meta Pixel или аналогичный трекер. Баннер о файлах cookie присутствует для того, чтобы в будущем, если мы захотим использовать аналитику, сначала запросить Ваше явное согласие (opt-in).

Вы можете изменить свои настройки файлов cookie по ссылке внизу каждой страницы или через баннер о файлах cookie. Полный обзор смотрите в Заявление о файлах cookie.

10a. Обязательно ли предоставление данных?

Вы не обязаны предоставлять нам персональные данные ни по закону, ни по договору, если не указано иное. Если Вы не предоставите данные, мы, возможно, не сможем оказать Вам услугу. Так, предоставление адреса электронной почты необходимо для создания аккаунта и получения сервисных сообщений, тогда как предоставление номера телефона обычно является необязательным.

11. Изменения

Alvoru может время от времени изменять эту политику конфиденциальности. О существенных изменениях объявляется не менее чем за 30 дней до вступления в силу по электронной почте существующим клиентам и на этой странице. Наиболее актуальная версия всегда доступна по адресу alvoru.com/privacy.