Integritet & GDPR

TRACIO är utformat med integritet som en central arkitektonisk princip. Systemet identifierar enheter utan att samla in några personuppgifter (PII). TRACIO är en hanterad molntjänst: den behandlar data för din räkning i den region du väljer (EU eller USA), och du förblir personuppgiftsansvarig.

Inbyggt integritetsskydd (Privacy by Design)

Ingen insamling av personuppgifter

TRACIO samlar endast in tekniska webbläsarsignaler. Ingen av de över 130 signalerna innehåller personuppgifter:

Besökaridentifieraren (visitorId) är en enkelriktad hash som härleds från enhetens egenskaper. Den kan inte reverseras för att återskapa de ursprungliga signalvärdena.

Endast förstapartsdata

TRACIO fungerar helt och hållet som en förstapartstjänst:

• Inga tredjepartscookies: Cookien _vid_t är en förstapartscookie (SameSite=Lax, Secure över HTTPS)
• Ingen spårning mellan webbplatser: Besökar-ID:n är begränsade till din workspace. Samma enhet som besöker olika TRACIO-kunder får olika besökar-ID:n.
• Ingen datadelning: TRACIO säljer inte och delar inte dina data med tredje part. Det finns ingen integration med annonsörer eller datamäklare.

Personuppgiftsansvarig / personuppgiftsbiträde

Du är personuppgiftsansvarig; TRACIO är personuppgiftsbiträde som agerar enligt dina instruktioner. Data behandlas i den region du väljer (EU eller USA) och replikeras inte mellan regioner. Lagringstiden bestäms av din prisplan; åtkomst styrs via dashboarden (workspace-roller).

GDPR-efterlevnad

Rättslig grund för behandling

Enligt GDPR behöver du en rättslig grund för att behandla personuppgifter. Enhetsfingeravtryck kan betraktas som behandling av personuppgifter beroende på din jurisdiktion och ditt användningsfall. Vanliga rättsliga grunder är:

Cookie-samtycke

TRACIO sätter en förstapartscookie (_vid_t) med en giltighetstid på 365 dagar. Enligt ePrivacy-direktivet och GDPR:

• Strikt nödvändig: Om TRACIO används för bedrägeriförebyggande eller säkerhet kan cookien klassificeras som strikt nödvändig och undantas från samtyckeskraven. Rådfråga din juridiska avdelning.
• Samtycke krävs: Om TRACIO används för analys eller allmän spårning bör uttryckligt samtycke inhämtas innan tracio.getResult() anropas.

Implementering med cookie-samtycke

import { Tracio } from "@tracio/sdk"

// Only initialize TRACIO after consent is granted
if (hasConsent("fingerprinting")) {
  const tracio = Tracio.init({ publicKey: "5ca175fc..." })
  const result = await tracio.getResult()
}

Skjuta upp identifiering till samtycke ges

Du kan skjuta upp identifieringen tills användaren väljer att delta. Signalinsamlingen fungerar fortfarande därefter; tillförlitligheten är lägre för återkommande besökare när ingen cookiebaserad genväg är tillgänglig:

import { Tracio } from "@tracio/sdk"

const tracio = Tracio.init({ publicKey: "5ca175fc..." })
// call getResult() only after consent is granted

Registrerades rättigheter

Du är personuppgiftsansvarig och hanterar därför förfrågningar från registrerade. TRACIO ger dig verktygen för att uppfylla dem:

Hitta en besökares data

Hitta en besökares historik i dashboarden (Besökare), eller använd det workspace-avgränsade hanterings-API:et (autentiserat med din dashboard-session — se Webhooks för autentiseringsmodellen):

curl https://app.tracio.ai/api/v1/workspaces/{workspaceId}/visitors/X7fh2Hg9LkMn3pQr \
  -H "Authorization: Bearer <clerk-session-jwt>"

Personuppgiftsbiträdesavtal (DPA)

TRACIO behandlar data i den region du väljer (EU eller USA) som ditt personuppgiftsbiträde. Ett DPA finns tillgängligt på begäran; kontakta oss för att upprätta ett innan du behandlar i stor skala.

Datalagring

Lagringstiden fastställs av din prisplansnivå: 7 dagar (Free), 30 dagar (Pro), 90 dagar (Business), 365 dagar (Enterprise). Poster som är äldre än planens tidsfönster rensas automatiskt. För att förlänga lagringen byter du till en högre plan.

Rekommenderade lagringstider

Säkerhet

Data i vila & under överföring

• All kommunikation mellan klient och server använder TLS 1.2+
• Signal-payloads obfuskeras dessutom före överföring
• Cookien _vid_t innehåller ett ogenomskinligt, icke reverserbart UID (inga PII)
• Cookien _vid_t använder SameSite=Lax och Secure (över HTTPS)

Åtkomstkontroll

• Klientsidans förfrågningar autentiseras med din publika nyckel (säker att exponera i webbläsaren)
• Åtkomst till dashboard och hanterings-API autentiseras med din dashboard-session (Clerk) och styrs av workspace-roll (RBAC)
• Det finns ingen fristående API-hemlighet

Dataregioner

För krav på datalagringsplats väljer du din region vid registreringen:

Ställ in SDK-alternativet region ("eu" eller "us") så att webbläsaren kommunicerar med motsvarande regionala slutpunkt. Data behandlas inom den region du väljer och replikeras inte mellan regioner.

Checklista för efterlevnad

• Dokumentera din rättsliga grund för behandling av fingeravtryck
• Uppdatera din integritetspolicy så att den nämner enhetsfingeravtryck
• Implementera cookie-samtycke om din rättsliga grund kräver det
• Välj din dataregion (EU eller USA) och ställ in SDK-alternativet region
• Upprätta ett DPA med TRACIO
• Bekräfta att din plans lagringstid uppfyller dina krav
• Genomför en DPIA (konsekvensbedömning avseende dataskydd) om du behandlar i stor skala
• För register över behandling (art. 30)