Privacy & AVG

TRACIO is ontworpen met privacy als centraal architectuurprincipe. Het systeem identificeert apparaten zonder persoonlijk identificeerbare informatie (PII) te verzamelen. TRACIO is een beheerde clouddienst: het verwerkt gegevens namens jou in de EU (Frankfurt), en je blijft de verwerkingsverantwoordelijke.

Privacy by Design

Geen verzameling van persoonsgegevens

TRACIO verzamelt uitsluitend technische browsersignalen. Geen van de meer dan 300 signalen bevat persoonlijk identificeerbare informatie:

Wat we verzamelen	Wat we NIET verzamelen
Canvas-rendering-hash	Namen, e-mails, adressen
WebGL-GPU-parameters	Telefoonnummers
Kenmerken van audioverwerking	Burgerservicenummers
Beschikbaarheid van lettertypen	Creditcardnummers
Schermresolutie	Wachtwoorden
Browserversie	Formulierinvoerwaarden
Tijdzone	Browsegeschiedenis
Taalvoorkeuren	Toetsaanslagen

De bezoekersidentificatie (visitorId) is een eenwegs-hash die is afgeleid van apparaatkenmerken. Deze kan niet worden omgekeerd om de oorspronkelijke signaalwaarden te herstellen.

Uitsluitend first-party gegevens

TRACIO werkt volledig als een first-party dienst:

Geen third-party cookies: De _vid_t-cookie is een first-party cookie (SameSite=Lax, Secure via HTTPS)
Geen cross-site tracking: Bezoekers-ID's zijn beperkt tot je workspace. Hetzelfde apparaat dat verschillende TRACIO-klanten bezoekt, krijgt verschillende bezoekers-ID's.
Geen gegevensdeling: TRACIO verkoopt of deelt je gegevens niet met derden. Er is geen integratie met adverteerders of datahandelaren.

Verwerkingsverantwoordelijke / verwerker

Je bent de verwerkingsverantwoordelijke; TRACIO is de verwerker die handelt volgens je instructies. Gegevens worden verwerkt en opgeslagen in de EU (Frankfurt) en worden niet buiten de EU gerepliceerd. De bewaartermijn wordt bepaald door je abonnement; toegang wordt beheerd via het dashboard (workspace-rollen).

AVG-naleving

Rechtsgrondslag voor de verwerking

Onder de AVG heb je een rechtsgrondslag nodig om persoonsgegevens te verwerken. Device fingerprinting kan afhankelijk van je rechtsgebied en gebruikssituatie worden beschouwd als verwerking van persoonsgegevens. Veelvoorkomende rechtsgrondslagen zijn:

Rechtsgrondslag	Gebruikssituatie	Opmerkingen
Gerechtvaardigd belang (art. 6(1)(f))	Fraudepreventie, botdetectie, accountbeveiliging	Meest voorkomende grondslag. Vereist een gedocumenteerde belangenafweging.
Toestemming (art. 6(1)(a))	Algemene bezoekerstracking, analytics	Vereist een uitdrukkelijke opt-in via een cookiebanner.
Uitvoering van overeenkomst (art. 6(1)(b))	Essentiële dienstfunctionaliteit	Wanneer identificatie noodzakelijk is om de dienst te leveren.

Cookietoestemming

TRACIO plaatst één first-party cookie (_vid_t) met een geldigheid van 365 dagen. Onder de ePrivacy-richtlijn en de AVG:

Strikt noodzakelijk: Als TRACIO wordt gebruikt voor fraudepreventie of beveiliging, kan de cookie worden geclassificeerd als strikt noodzakelijk en vrijgesteld van toestemmingsvereisten. Raadpleeg je juridische team.
Toestemming vereist: Als TRACIO wordt gebruikt voor analytics of algemene tracking, moet vóór het aanroepen van tracio.getResult() uitdrukkelijke toestemming worden verkregen.

Implementatie met cookietoestemming

TypeScript

import { Tracio } from "@tracio/sdk"

// Only initialize TRACIO after consent is granted
if (hasConsent("fingerprinting")) {
  const tracio = Tracio.init({ publicKey: "5ca175fc..." })
  const result = await tracio.getResult()
}

Identificatie uitstellen tot toestemming

Je kunt de identificatie uitstellen totdat de gebruiker instemt. Signaalverzameling werkt daarna nog steeds; de betrouwbaarheid is lager voor terugkerende bezoekers wanneer er geen cookiegebaseerde snelkoppeling beschikbaar is:

TypeScript

import { Tracio } from "@tracio/sdk"

const tracio = Tracio.init({ publicKey: "5ca175fc..." })
// call getResult() only after consent is granted

Rechten van betrokkenen

Je bent de verwerkingsverantwoordelijke en behandelt daarom verzoeken van betrokkenen. TRACIO biedt je de hulpmiddelen om deze in te willigen:

Recht	Implementatie
Recht op inzage (art. 15)	Zoek de geschiedenis van een bezoeker op in het dashboard
Recht op vergetelheid (art. 17)	Verwijder de gegevens van een bezoeker uit het dashboard (of via een supportverzoek)
Recht op rectificatie (art. 16)	Werk opgeslagen bezoekersmetadata bij
Recht op dataportabiliteit (art. 20)	Exporteer bezoekersgegevens in een machineleesbaar formaat (JSON)
Recht op beperking (art. 18)	Onderdruk verdere verwerking voor een bezoeker

De gegevens van een bezoeker lokaliseren

Vind de geschiedenis van een bezoeker in het dashboard (Bezoekers), of lees deze programmatisch uit via de Data API met je geheime sleutel:

bash

curl https://api.tracio.ai/v2/visitors/X7fh2Hg9LkMn3pQr5tBvQw3xZa9mK2pL4nR8dT6y \
  -H "Authorization: Bearer tracio_sk_XXXX...XXXX"

Om een volledige export voor een verzoek van een betrokkene samen te stellen, roep je daarna /v2/visitors/{visitor_id}/sessions aan en doorloop je de resultaatpagina's.

Verwerkersovereenkomst (DPA)

TRACIO verwerkt gegevens in de EU (Frankfurt) als jouw verwerker. Een DPA is op verzoek beschikbaar; neem contact met ons op om er een af te sluiten voordat je op grote schaal verwerkt.

Gegevensbewaring

De bewaartermijn wordt vastgesteld door je abonnementsniveau: 7 dagen (Free), 30 dagen (Pro), 90 dagen (Business), 365 dagen (Enterprise). Gegevens die ouder zijn dan het tijdvenster van het abonnement worden automatisch verwijderd. Om de bewaartermijn te verlengen, stap je over op een hoger abonnement.

Aanbevolen bewaartermijnen

Gegevenstype	Aanbevolen bewaartermijn	Reden
Bezoekersgegevens	Tot de limiet van je abonnement	Terugkerende bezoekers hebben geschiedenis nodig voor betrouwbare matching.
Gebeurtenisdetails	30–90 dagen	Voldoende voor fraudeonderzoek en geschillenbeslechting.

Beveiliging

Opgeslagen data (at rest) en data tijdens overdracht

Alle client-servercommunicatie gebruikt TLS 1.2+
Signaal-payloads worden vóór verzending aanvullend versluierd
De _vid_t-cookie bevat een ondoorzichtige, niet-omkeerbare UID (geen PII)
De _vid_t-cookie gebruikt SameSite=Lax en Secure (via HTTPS)

Toegangscontrole

Verzoeken aan de clientzijde authenticeren met je publieke sleutel (veilig om in de browser bloot te geven)
Uitlezingen aan de serverzijde via de Data API authenticeren met je geheime sleutel (tracio_sk_…), die nooit naar de browser mag worden gestuurd
Toegang tot het dashboard en de management-API authenticeert met je dashboardsessie en wordt afgeschermd op basis van workspace-rol (RBAC)

Dataregio's

Bezoekersgegevens worden verwerkt en opgeslagen in de EU (Frankfurt) en worden niet buiten de EU gerepliceerd.

Stel de SDK-optie region in ("eu" of "us") zodat de browser communiceert met het bijbehorende regionale endpoint.

Nalevingschecklist

Documenteer je rechtsgrondslag voor de verwerking van fingerprints
Werk je privacybeleid bij om device fingerprinting te vermelden
Implementeer cookietoestemming als je rechtsgrondslag dit vereist
Controleer of dataresidentie in de EU (Frankfurt) aan je eisen voldoet en stel de SDK-optie region in
Sluit een DPA af met TRACIO
Bevestig dat de bewaartermijn van je abonnement aan je eisen voldoet
Voer een DPIA (Data Protection Impact Assessment) uit als je op grote schaal verwerkt
Houd een register van verwerkingsactiviteiten bij (art. 30)

Privacy & AVG

Privacy by Design

Geen verzameling van persoonsgegevens

TRACIO verzamelt uitsluitend technische browsersignalen. Geen van de meer dan 300 signalen bevat persoonlijk identificeerbare informatie:

Wat we verzamelen	Wat we NIET verzamelen
Canvas-rendering-hash	Namen, e-mails, adressen
WebGL-GPU-parameters	Telefoonnummers
Kenmerken van audioverwerking	Burgerservicenummers
Beschikbaarheid van lettertypen	Creditcardnummers
Schermresolutie	Wachtwoorden
Browserversie	Formulierinvoerwaarden
Tijdzone	Browsegeschiedenis
Taalvoorkeuren	Toetsaanslagen

De bezoekersidentificatie (visitorId) is een eenwegs-hash die is afgeleid van apparaatkenmerken. Deze kan niet worden omgekeerd om de oorspronkelijke signaalwaarden te herstellen.

Uitsluitend first-party gegevens

TRACIO werkt volledig als een first-party dienst:

Geen third-party cookies: De _vid_t-cookie is een first-party cookie (SameSite=Lax, Secure via HTTPS)
Geen cross-site tracking: Bezoekers-ID's zijn beperkt tot je workspace. Hetzelfde apparaat dat verschillende TRACIO-klanten bezoekt, krijgt verschillende bezoekers-ID's.
Geen gegevensdeling: TRACIO verkoopt of deelt je gegevens niet met derden. Er is geen integratie met adverteerders of datahandelaren.

Verwerkingsverantwoordelijke / verwerker

AVG-naleving

Rechtsgrondslag voor de verwerking

Rechtsgrondslag	Gebruikssituatie	Opmerkingen
Gerechtvaardigd belang (art. 6(1)(f))	Fraudepreventie, botdetectie, accountbeveiliging	Meest voorkomende grondslag. Vereist een gedocumenteerde belangenafweging.
Toestemming (art. 6(1)(a))	Algemene bezoekerstracking, analytics	Vereist een uitdrukkelijke opt-in via een cookiebanner.
Uitvoering van overeenkomst (art. 6(1)(b))	Essentiële dienstfunctionaliteit	Wanneer identificatie noodzakelijk is om de dienst te leveren.

Cookietoestemming

TRACIO plaatst één first-party cookie (_vid_t) met een geldigheid van 365 dagen. Onder de ePrivacy-richtlijn en de AVG:

Strikt noodzakelijk: Als TRACIO wordt gebruikt voor fraudepreventie of beveiliging, kan de cookie worden geclassificeerd als strikt noodzakelijk en vrijgesteld van toestemmingsvereisten. Raadpleeg je juridische team.
Toestemming vereist: Als TRACIO wordt gebruikt voor analytics of algemene tracking, moet vóór het aanroepen van tracio.getResult() uitdrukkelijke toestemming worden verkregen.

Implementatie met cookietoestemming

TypeScript

import { Tracio } from "@tracio/sdk"

// Only initialize TRACIO after consent is granted
if (hasConsent("fingerprinting")) {
  const tracio = Tracio.init({ publicKey: "5ca175fc..." })
  const result = await tracio.getResult()
}

Identificatie uitstellen tot toestemming

TypeScript

import { Tracio } from "@tracio/sdk"

const tracio = Tracio.init({ publicKey: "5ca175fc..." })
// call getResult() only after consent is granted

Rechten van betrokkenen

Je bent de verwerkingsverantwoordelijke en behandelt daarom verzoeken van betrokkenen. TRACIO biedt je de hulpmiddelen om deze in te willigen:

Recht	Implementatie
Recht op inzage (art. 15)	Zoek de geschiedenis van een bezoeker op in het dashboard
Recht op vergetelheid (art. 17)	Verwijder de gegevens van een bezoeker uit het dashboard (of via een supportverzoek)
Recht op rectificatie (art. 16)	Werk opgeslagen bezoekersmetadata bij
Recht op dataportabiliteit (art. 20)	Exporteer bezoekersgegevens in een machineleesbaar formaat (JSON)
Recht op beperking (art. 18)	Onderdruk verdere verwerking voor een bezoeker

De gegevens van een bezoeker lokaliseren

Vind de geschiedenis van een bezoeker in het dashboard (Bezoekers), of lees deze programmatisch uit via de Data API met je geheime sleutel:

bash

curl https://api.tracio.ai/v2/visitors/X7fh2Hg9LkMn3pQr5tBvQw3xZa9mK2pL4nR8dT6y \
  -H "Authorization: Bearer tracio_sk_XXXX...XXXX"

Om een volledige export voor een verzoek van een betrokkene samen te stellen, roep je daarna /v2/visitors/{visitor_id}/sessions aan en doorloop je de resultaatpagina's.

Verwerkersovereenkomst (DPA)

TRACIO verwerkt gegevens in de EU (Frankfurt) als jouw verwerker. Een DPA is op verzoek beschikbaar; neem contact met ons op om er een af te sluiten voordat je op grote schaal verwerkt.

Gegevensbewaring

Aanbevolen bewaartermijnen

Gegevenstype	Aanbevolen bewaartermijn	Reden
Bezoekersgegevens	Tot de limiet van je abonnement	Terugkerende bezoekers hebben geschiedenis nodig voor betrouwbare matching.
Gebeurtenisdetails	30–90 dagen	Voldoende voor fraudeonderzoek en geschillenbeslechting.

Beveiliging

Opgeslagen data (at rest) en data tijdens overdracht

Alle client-servercommunicatie gebruikt TLS 1.2+
Signaal-payloads worden vóór verzending aanvullend versluierd
De _vid_t-cookie bevat een ondoorzichtige, niet-omkeerbare UID (geen PII)
De _vid_t-cookie gebruikt SameSite=Lax en Secure (via HTTPS)

Toegangscontrole

Verzoeken aan de clientzijde authenticeren met je publieke sleutel (veilig om in de browser bloot te geven)
Uitlezingen aan de serverzijde via de Data API authenticeren met je geheime sleutel (tracio_sk_…), die nooit naar de browser mag worden gestuurd
Toegang tot het dashboard en de management-API authenticeert met je dashboardsessie en wordt afgeschermd op basis van workspace-rol (RBAC)

Dataregio's

Bezoekersgegevens worden verwerkt en opgeslagen in de EU (Frankfurt) en worden niet buiten de EU gerepliceerd.

Stel de SDK-optie region in ("eu" of "us") zodat de browser communiceert met het bijbehorende regionale endpoint.

Nalevingschecklist

Documenteer je rechtsgrondslag voor de verwerking van fingerprints
Werk je privacybeleid bij om device fingerprinting te vermelden
Implementeer cookietoestemming als je rechtsgrondslag dit vereist
Controleer of dataresidentie in de EU (Frankfurt) aan je eisen voldoet en stel de SDK-optie region in
Sluit een DPA af met TRACIO
Bevestig dat de bewaartermijn van je abonnement aan je eisen voldoet
Voer een DPIA (Data Protection Impact Assessment) uit als je op grote schaal verwerkt
Houd een register van verwerkingsactiviteiten bij (art. 30)