Privacy & AVG

TRACIO is ontworpen met privacy als centraal architectuurprincipe. Het systeem identificeert apparaten zonder persoonlijk identificeerbare informatie (PII) te verzamelen. TRACIO is een beheerde clouddienst: het verwerkt gegevens namens u in de regio van uw keuze (EU of VS), en u blijft de verwerkingsverantwoordelijke.

Privacy by Design

Geen verzameling van persoonsgegevens

TRACIO verzamelt uitsluitend technische browsersignalen. Geen van de meer dan 130 signalen bevat persoonlijk identificeerbare informatie:

De bezoekersidentificatie (visitorId) is een eenwegs-hash die is afgeleid van apparaatkenmerken. Deze kan niet worden omgekeerd om de oorspronkelijke signaalwaarden te herstellen.

Uitsluitend first-party gegevens

TRACIO werkt volledig als een first-party dienst:

• Geen third-party cookies: De _vid_t-cookie is een first-party cookie (SameSite=Lax, Secure via HTTPS)
• Geen cross-site tracking: Bezoekers-ID's zijn beperkt tot uw workspace. Hetzelfde apparaat dat verschillende TRACIO-klanten bezoekt, krijgt verschillende bezoekers-ID's.
• Geen gegevensdeling: TRACIO verkoopt of deelt uw gegevens niet met derden. Er is geen integratie met adverteerders of datahandelaren.

Verwerkingsverantwoordelijke / verwerker

U bent de verwerkingsverantwoordelijke; TRACIO is de verwerker die handelt volgens uw instructies. Gegevens worden verwerkt in de regio van uw keuze (EU of VS) en worden niet over regio's gerepliceerd. De bewaartermijn wordt bepaald door uw abonnement; toegang wordt beheerd via het dashboard (workspace-rollen).

AVG-naleving

Rechtsgrondslag voor de verwerking

Onder de AVG hebt u een rechtsgrondslag nodig om persoonsgegevens te verwerken. Device fingerprinting kan afhankelijk van uw rechtsgebied en gebruikssituatie worden beschouwd als verwerking van persoonsgegevens. Veelvoorkomende rechtsgrondslagen zijn:

Cookietoestemming

TRACIO plaatst één first-party cookie (_vid_t) met een geldigheid van 365 dagen. Onder de ePrivacy-richtlijn en de AVG:

• Strikt noodzakelijk: Als TRACIO wordt gebruikt voor fraudepreventie of beveiliging, kan de cookie worden geclassificeerd als strikt noodzakelijk en vrijgesteld van toestemmingsvereisten. Raadpleeg uw juridische team.
• Toestemming vereist: Als TRACIO wordt gebruikt voor analytics of algemene tracking, moet vóór het aanroepen van tracio.getResult() uitdrukkelijke toestemming worden verkregen.

Implementatie met cookietoestemming

import { Tracio } from "@tracio/sdk"

// Only initialize TRACIO after consent is granted
if (hasConsent("fingerprinting")) {
  const tracio = Tracio.init({ publicKey: "5ca175fc..." })
  const result = await tracio.getResult()
}

Identificatie uitstellen tot toestemming

U kunt de identificatie uitstellen totdat de gebruiker instemt. Signaalverzameling werkt daarna nog steeds; de betrouwbaarheid is lager voor terugkerende bezoekers wanneer er geen cookiegebaseerde snelkoppeling beschikbaar is:

import { Tracio } from "@tracio/sdk"

const tracio = Tracio.init({ publicKey: "5ca175fc..." })
// call getResult() only after consent is granted

Rechten van betrokkenen

U bent de verwerkingsverantwoordelijke en behandelt daarom verzoeken van betrokkenen. TRACIO biedt u de hulpmiddelen om deze in te willigen:

De gegevens van een bezoeker lokaliseren

Vind de geschiedenis van een bezoeker in het dashboard (Bezoekers), of gebruik de workspace-gebonden management-API (geverifieerd met uw dashboardsessie — zie Webhooks voor het authenticatiemodel):

curl https://app.tracio.ai/api/v1/workspaces/{workspaceId}/visitors/X7fh2Hg9LkMn3pQr \
  -H "Authorization: Bearer <clerk-session-jwt>"

Verwerkersovereenkomst (DPA)

TRACIO verwerkt gegevens in de regio van uw keuze (EU of VS) als uw verwerker. Een DPA is op verzoek beschikbaar; neem contact met ons op om er een af te sluiten voordat u op grote schaal verwerkt.

Gegevensbewaring

De bewaartermijn wordt vastgesteld door uw abonnementsniveau: 7 dagen (Free), 30 dagen (Pro), 90 dagen (Business), 365 dagen (Enterprise). Gegevens die ouder zijn dan het tijdvenster van het abonnement worden automatisch verwijderd. Om de bewaartermijn te verlengen, stapt u over op een hoger abonnement.

Aanbevolen bewaartermijnen

Beveiliging

Gegevens in rust & tijdens overdracht

• Alle client-servercommunicatie gebruikt TLS 1.2+
• Signaal-payloads worden vóór verzending aanvullend versluierd
• De _vid_t-cookie bevat een ondoorzichtige, niet-omkeerbare UID (geen PII)
• De _vid_t-cookie gebruikt SameSite=Lax en Secure (via HTTPS)

Toegangscontrole

• Verzoeken aan de clientzijde authenticeren met uw publieke sleutel (veilig om in de browser bloot te geven)
• Toegang tot het dashboard en de management-API authenticeert met uw dashboardsessie (Clerk) en wordt afgeschermd op basis van workspace-rol (RBAC)
• Er is geen losstaand API-geheim

Dataregio's

Voor vereisten rond dataresidentie kiest u uw regio bij aanmelding:

Stel de SDK-optie region in ("eu" of "us") zodat de browser communiceert met het bijbehorende regionale endpoint. Gegevens worden verwerkt binnen de regio van uw keuze en worden niet over regio's gerepliceerd.

Nalevingschecklist

• Documenteer uw rechtsgrondslag voor de verwerking van fingerprints
• Werk uw privacybeleid bij om device fingerprinting te vermelden
• Implementeer cookietoestemming als uw rechtsgrondslag dit vereist
• Kies uw dataregio (EU of VS) en stel de SDK-optie region in
• Sluit een DPA af met TRACIO
• Bevestig dat de bewaartermijn van uw abonnement aan uw eisen voldoet
• Voer een DPIA (Data Protection Impact Assessment) uit als u op grote schaal verwerkt
• Houd een register van verwerkingsactiviteiten bij (art. 30)