Integritetspolicy

Alvoru fäster stor vikt vid skyddet av personuppgifter. Denna integritetspolicy har utformats i enlighet med dataskyddsförordningen (förordning (EU) 2016/679, nedan: GDPR) och den nederländska genomförandelagen för GDPR, och beskriver hur Alvoru samlar in, behandlar, skyddar och raderar personuppgifter.

1. Personuppgiftsansvarig

Personuppgiftsansvarig i den mening som avses i artikel 4.7 GDPR är:

Kontaktperson för integritetsfrågor: Yousri via info@alvoru.com. Alvoru är enligt GDPR inte skyldig att utse ett dataskyddsombud (DSO).

2. Vilka personuppgifter behandlar vi?

Alvoru behandlar uteslutande personuppgifter som är nödvändiga för att leverera våra tjänster. Beroende på tjänsten kan det röra sig om:

• Kontakt- och företagsuppgifter: namn, företagsnamn, e-postadress, telefonnummer, adress, organisationsnummer och befattningsuppgifter.
• Kontouppgifter: inloggningsuppgifter, lösenordshash, sessionscookies, inställningar.
• Samtalsinnehåll: meddelanden och samtal mellan slutanvändare och våra AI-kanaler (chatbot och e-post).
• Boknings- och kalenderuppgifter: namn, kontaktuppgifter, tidpunkt och ämne för bokningar.
• Tekniska uppgifter: IP-adress, webbläsare och operativsystem, tidsstämpel, sidbeteende.
• Cookie-uppgifter: se avsnitt 10.
• Betalningsuppgifter: fakturauppgifter och betalningshistorik; kreditkorts- och IBAN-uppgifter lagras inte av Alvoru utan behandlas uteslutande av betalningsförmedlaren Mollie.

3. Ändamål och rättsliga grunder (artikel 6 GDPR)

För behandlingar på grundval av berättigat intresse (art. 6.1 f GDPR) har Alvoru gjort en intresseavvägning (LIA). Specifikt för säkerhet, bedrägeridetektering och missbruksförebyggande: Alvoru har ett berättigat intresse av att skydda sina system och kunddata. Dina intressen väger inte tyngre än detta berättigade intresse, eftersom behandlingen är begränsad till tekniska uppgifter (IP-adress, tidsstämpel), strikt nödvändig för skyddet av alla användare, och du informeras om detta via denna integritetspolicy.

4. Lagringstider

Alvoru lagrar personuppgifter inte längre än nödvändigt för de ändamål för vilka de har samlats in:

• Kunddata (aktiv): under avtalets löptid och upp till 60 dagar efter uppsägning (se Allmänna villkor art. 11).
• Fakturor och finansiell administration: 7 år, i enlighet med artikel 52 AWR (skattemässig arkiveringsplikt).
• AI-samtalsloggar: 12 månader, om inte kunden skriftligen kommer överens om en kortare tid.
• Marknadsförings-opt-in: till dess att samtycket återkallas.
• Lead-uppgifter (icke-kund): högst 12 månader.
• Tekniska loggfiler och säkerhetsloggar: högst 12 månader.
• Säkerhetskopior: högst 90 dagar.

5. Delning med tredje part och överföring

Alvoru delar personuppgifter uteslutande med underbiträden som är strikt nödvändiga för tjänsteleveransen. Med varje underbiträde har ett personuppgiftsbiträdesavtal i enlighet med artikel 28 GDPR ingåtts.

Överföring till länder utanför EES sker uteslutande på grundval av ett giltigt beslut om adekvat skyddsnivå, en DPF-certifiering eller EU:s standardavtalsklausuler, kompletterat med ytterligare tekniska och organisatoriska åtgärder där så krävs.

6. Registrerades rättigheter

Du har enligt GDPR följande rättigheter:

• Tillgång (art. 15) — att få veta vilka uppgifter vi behandlar om dig.
• Rättelse och korrigering (art. 16) — du har rätt att få felaktiga eller ofullständiga personuppgifter rättade. Du kan lämna in en begäran om rättelse via info@alvoru.com med en beskrivning av vilka uppgifter som är felaktiga och vad de korrekta uppgifterna är. Alvoru behandlar din begäran inom en månad och bekräftar den genomförda rättelsen skriftligen via e-post.
• Radering (art. 17, ”rätten att bli bortglömd”).
• Begränsning av behandlingen (art. 18).
• Dataportabilitet (art. 20) — att få dina uppgifter i ett maskinläsbart format.
• Invändning (art. 21) — mot behandlingar på grundval av berättigat intresse eller direktmarknadsföring.
• Återkallande av samtycke (art. 7.3) — för behandlingar på grundval av samtycke, utan att detta påverkar tidigare laglighet.
• Mänsklig inblandning (art. 22) vid automatiserat beslutsfattande (se avsnitt 7).

Du kan lämna in en begäran via info@alvoru.com. Alvoru svarar inom en månad, i enlighet med artikel 12.3 GDPR. För att verifiera din identitet kan Alvoru begära ytterligare information.

Om du anser att Alvoru bryter mot GDPR har du rätt att lämna in ett klagomål till Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Automatiserat beslutsfattande och AI

Alvorus AI-chatbot och e-postautomatisering behandlar meddelanden automatiskt och kan självständigt generera svar. Vid bokningar och automatiserade reservationer kan detta leda till beslut med rättsverkan för slutanvändaren i den mening som avses i artikel 22 GDPR.

Slutanvändare har enligt artikel 22.3 GDPR rätt att:

• erhålla mänsklig inblandning;
• framföra sin ståndpunkt;
• bestrida beslutet.

Denna rätt kan utövas genom att kontakta det företag som använder Alvorus tjänst, eller Alvoru själv via info@alvoru.com.

Radering av chattkonversationer (art. 17): Besökare som har fört en konversation via AI-chatboten på en webbplats som drivs av Alvoru kan begära radering av sin chatthistorik genom att skicka ett e-postmeddelande till info@alvoru.com med angivande av: webbplatsen där konversationen ägde rum, datumet (ungefärligt) och en beskrivning av konversationen. Alvoru behandlar begäran inom 30 dagar. Chattdata äldre än 90 dagar anonymiseras automatiskt.

I enlighet med artikel 50 i EU:s AI-förordning (2024/1689) informerar våra AI-system tydligt slutanvändare om att de kommunicerar med ett AI-system.

7a. Chatbot-besökare på kundwebbplatser

Våra kunder använder Alvoru AI-chatbot på sina egna webbplatser. Som besökare på en sådan kundwebbplats behandlas dina chattkonversationer av Alvoru som underbiträde. Kunden är i det fallet personuppgiftsansvarig i den mening som avses i GDPR. Alvoru behandlar dina chattuppgifter uteslutande på instruktion av och till förmån för den berörda kunden. Se integritetspolicyn för den webbplats där du använder chatboten för mer information om hur den kunden behandlar dina uppgifter.

8. Säkerhet

Alvoru vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot förlust eller någon form av olaglig behandling (artikel 32 GDPR), däribland:

• TLS 1.2+-kryptering för all kommunikation (HTTPS).
• Saltad lösenordshashning (bcrypt) och sessionshantering med rotation.
• Brandvägg och fail2ban på alla servrar.
• Rate-limiting på API:er och inloggningsförsök.
• Minimala rättigheter (principen om least privilege) för tjänsteanvändare.
• Restriktiva filrättigheter (600) på konfigurations- och datafiler.
• Automatiska dagliga säkerhetskopieringar med kryptering.
• Loggning och övervakning av åtkomst till känsliga data.
• Tvåfaktorsautentisering för administrativ åtkomst.
• Säkerhetsuppdateringar inom 72 timmar efter offentliggörande av kritiska sårbarheter.

9. Personuppgiftsincidenter

En personuppgiftsincident rapporteras till dataskyddsmyndigheten inom 72 timmar efter upptäckt, i enlighet med artikel 33 GDPR, om inte incidenten sannolikt inte medför någon risk för fysiska personers rättigheter och friheter.

Om personuppgiftsincidenten medför en hög risk för de registrerade informerar Alvoru de registrerade utan dröjsmål, i enlighet med artikel 34 GDPR, så att de kan vidta lämpliga åtgärder.

Alvoru för ett register över personuppgiftsincidenter i enlighet med artikel 33.5 GDPR.

10. Cookies

Alvoru använder cookies och liknande tekniker med stöd av artikel 11.7a i den nederländska telekommunikationslagen:

• Funktionella cookies (alltid aktiva, inget samtycke krävs): session, inställningar, CSRF-skydd, DDoS-skydd (Cloudflare).
• Analys- och marknadsföringscookies: Alvoru placerar för närvarande inga analys- eller marknadsföringscookies. Ingen Google Analytics, Meta Pixel eller liknande spårare körs på alvoru.com. Cookiebannern finns där så att vi, om vi i framtiden vill använda analys, först ber om ditt uttryckliga samtycke.

Du kan ändra dina cookieinställningar via länken längst ned på varje sida eller via cookiebannern. För en fullständig översikt, se Cookieförklaring.

10a. Är det obligatoriskt att lämna uppgifter?

Du är inte enligt lag eller avtal skyldig att lämna personuppgifter till oss, om inte annat anges. Om du inte lämnar uppgifter kan vi eventuellt inte leverera tjänsten till dig. Att ange en e-postadress krävs till exempel för att skapa ett konto och ta emot servicemeddelanden, medan det vanligtvis är valfritt att ange ett telefonnummer.

11. Ändringar

Alvoru kan från tid till annan ändra denna integritetspolicy. Väsentliga ändringar meddelas minst 30 dagar innan de träder i kraft via e-post till befintliga kunder och på denna sida. Den mest aktuella versionen finns alltid tillgänglig på alvoru.com/privacy.