Auftragsverarbeitungsvertrag von Pyxis

Version 1.2, gültig ab 16. Oktober 2026.

Dies ist eine Höflichkeitsübersetzung. Verbindlich ist die portugiesische Fassung (Português); weichen die beiden voneinander ab, gilt die portugiesische Fassung.

Dieser Vertrag ist Anhang 1 der Nutzungsbedingungen von Pyxis und Teil des Vertrags zwischen dir und uns. Er erläutert, wie wir die personenbezogenen Daten verarbeiten, die von deinen Websites zu Pyxis gelangen, nach der Lei Geral de Proteção de Dados Pessoais (LGPD; brasilianisches allgemeines Datenschutzgesetz; Lei nº 13.709/2018). Widerspricht etwas hierin den Nutzungsbedingungen, gilt in Bezug auf personenbezogene Daten dieser Vertrag.

Klausel 1 — Wer die Parteien sind

1.1. Wir: Samuel da Cruz Santana, natürliche Person, eingetragen im CPF (Cadastro de Pessoas Físicas; brasilianisches Steuerregister für natürliche Personen) unter der Nr. 041.318.995-31, mit Anschrift in Rua Teódulo de Albuquerque, 98, Cabula VI, Salvador/BA, CEP 41181-010, der den Dienst unter dem Namen Pyxis anbietet. Kontakt: hello@pyxis-analytics.dev.

1.2. Du: die Person oder das Unternehmen, die bzw. das das gehostete Pyxis unter Annahme der Nutzungsbedingungen beauftragt hat, im Dashboard vertreten durch den Kontoinhaber (Nutzungsbedingungen, Klausel 2.9).

Klausel 2 — In diesem Vertrag verwendete Begriffe

2.1. Die Begriffe personenbezogenes Datum, Verarbeitung, betroffene Person, Verantwortlicher, Auftragsverarbeiter, Anonymisierung, Löschung, internationale Übermittlung und Sicherheitsvorfall haben die Bedeutung der LGPD (Art. 5) und der Beschlüsse der Agência Nacional de Proteção de Dados (ANPD; brasilianische nationale Datenschutzbehörde).

2.2. Besucher ist die Person, die eine Website oder App von dir aufruft, auf der der Tracker von Pyxis installiert ist.

2.3. Ereignis ist jeder Datensatz, den der Tracker an Pyxis sendet, etwa ein Seitenaufruf oder eine Aktion, die du markiert hast.

2.4. Projekt ist die Konfiguration einer deiner Websites in Pyxis: Name, autorisierte Adressen (Origins), Zeitzone, Conversion-Ereignis, Schlüssel und Ereignisse.

2.5. Unterauftragsverarbeiter ist der Anbieter, den wir beauftragen und der in unserem Auftrag personenbezogene Daten dieses Vertrags verarbeitet.

Klausel 3 — Rollen der Parteien

3.1. In Bezug auf die Daten der Besucher deiner Websites bist du der Verantwortliche und sind wir der Auftragsverarbeiter (LGPD, Art. 5 VI und VII). Du entscheidest, ob und wie gemessen wird; wir verarbeiten die Daten, um den Dienst zu erbringen, den du beauftragt hast.

3.2. Wenn du Pyxis nutzt, um Websites Dritter zu messen (zum Beispiel als Agentur), erklärst du, dass du die Erlaubnis des Verantwortlichen dieser Websites hast, uns zu beauftragen und die Weisungen dieses Vertrags zu erteilen. In diesem Fall handeln wir als Unterauftragsverarbeiter, und du gibst an den Verantwortlichen die Informationen dieses Vertrags weiter, die er benötigt.

3.3. In Bezug auf die Daten deines Kontos (die E-Mail-Adressen derjenigen, die auf das Dashboard zugreifen, das Konto und das Abonnement, die Annahme der Bedingungen, den Abrechnungsverlauf, die Verhinderung wiederholter kostenloser Testphasen, die Einträge der App-Verbindungen und die Support-Nachrichten) sind wir der Verantwortliche. Diese Verarbeitung ist in der Datenschutzerklärung von Pyxis (Anhang 2 der Nutzungsbedingungen) geregelt, nicht in diesem Vertrag.

Klausel 4 — Was wir verarbeiten, wofür und wie lange

4.1. Anhang I dieses Vertrags beschreibt die Verarbeitung: Zwecke, betroffene Personen, Datenkategorien, was nicht gespeichert wird, wo die Daten liegen und wie lange.

4.2. Wir verarbeiten die Daten der Besucher ausschließlich, um:

1. die vom Tracker gesendeten Ereignisse zu empfangen und in deinem Projekt zu speichern;
2. dir und den von dir autorisierten Personen die Analyse anzuzeigen, im Dashboard, in der Abfrage-API, im MCP-Server (auch den Apps, die sie verbinden; Anhang I, Punkt 10) und in der wöchentlichen Zusammenfassung per E-Mail;
3. die Anfragen betroffener Personen auf Löschung und Kopie von Daten zu erfüllen (Klausel 10);
4. den Dienst sicher und funktionsfähig zu halten (Grenzen gegen Missbrauch, Fehlerbehebung, Sicherungskopien der Anbieter);
5. eine rechtliche Verpflichtung oder eine Anordnung einer zuständigen Behörde zu erfüllen (Klausel 15);
6. auf Wunsch des Kontoinhabers die Exportdatei der Ereignisse eines Projekts zu erzeugen (Anhang I, Punkt 11);
7. einen Verdacht auf Missbrauch oder auf eine den Nutzungsbedingungen widersprechende Nutzung zu überprüfen und einzudämmen (Klauseln 12 und 18 der Bedingungen), nur mit den Daten, die der Dienst ohnehin speichert, und nur soweit nötig (Klausel 7.2).

4.3. Wir verwenden die Daten deiner Projekte für keinen anderen Zweck. Wir verkaufen sie nicht, vermieten sie nicht, nutzen sie nicht für Werbung, nutzen sie nicht zum Training von Modellen künstlicher Intelligenz und kombinieren sie nicht mit Daten anderer Kunden. Die einzigen Zahlen, die wir für eigene Zwecke aus deinen Projekten ziehen, sind Betriebszählungen, wie die Anzahl der Ereignisse pro Monat jedes Kontos und die Größe der Datenbank, die verwendet werden, um die Monatsgrenze des Tarifs anzuwenden (Nutzungsbedingungen, Klausel 7.2) und die Kapazität des Dienstes zu prüfen.

Klausel 5 — Deine Weisungen

5.1. Deine Weisungen für die Verarbeitung sind, zusammengenommen:

1. die Nutzungsbedingungen und dieser Vertrag;
2. die Konfiguration deiner Projekte (autorisierte Origins, Zeitzone, Conversion-Ereignis, Schlüssel und Personen mit Zugriff), vorgenommen vom Kontoinhaber im Dashboard oder, auf Anfrage, von uns;
3. das, was der auf deiner Website installierte Tracker sendet (welche Ereignisse, Eigenschaften und ob du die Funktion identify verwendest);
4. die Aktionen des Kontoinhabers im Dashboard (zum Beispiel die Ereignisse exportieren, ein Projekt löschen oder das Konto schließen), die Aufrufe, die du mit deinem geheimen Schlüssel oder mit einem Zugriffstoken an die API richtest, und die App-Verbindungen, die die Personen mit Zugriff im Dashboard zulassen (Anhang I, Punkt 10);
5. die Anfragen, die du uns schriftlich sendest, per E-Mail an hello@pyxis-analytics.dev.

5.2. Erscheint uns eine Weisung von dir als Verstoß gegen die LGPD oder ein anderes Gesetz, benachrichtigen wir dich schriftlich und befolgen sie nicht, bis die Frage geklärt ist: der Auftragsverarbeiter, der eine rechtswidrige Weisung befolgt, haftet zusammen mit dem Verantwortlichen (LGPD, Art. 42 § 1 I).

5.3. Eine Weisung, die eine Änderung der Funktionsweise des Dienstes für alle Kunden erfordert (zum Beispiel ein Datum zu speichern, das Pyxis nicht speichert), ist für uns nicht verbindlich; in diesem Fall kannst du den Vertrag nach den Nutzungsbedingungen beenden.

5.4. Aussetzung der Verarbeitung. Wir können die Verarbeitung eines Projekts ganz oder teilweise aussetzen (normalerweise den Empfang neuer Ereignisse), nach dem Verfahren von Klausel 18 der Nutzungsbedingungen, wenn:

1. das Projekt direkte oder sensible personenbezogene Daten sendet, entgegen Klausel 6.1, Punkte 3 und 4;
2. das Projekt Ereignisse von Personen sendet, die nicht gemessen werden wollen, entgegen Klausel 6.1, Punkt 5;
3. eine Weisung von dir rechtswidrig ist (Klausel 5.2);
4. es zur Eindämmung eines Sicherheitsvorfalls nötig ist (Klausel 11.6); oder
5. ein Gesetz oder eine zuständige Behörde es anordnet (Klausel 15).

Während der Aussetzung bleiben die bereits empfangenen Daten gespeichert, mit denselben Sicherheitsmaßnahmen (Anhang II); im ausgesetzten Teil werden keine neuen Daten empfangen; die Fristen für Aufbewahrung und Löschung aus Klausel 12 gelten weiter; und die entgegen diesem Vertrag empfangenen Daten werden auf deine Weisung gelöscht (Klausel 10.6). Die Aussetzung ändert nichts an deinen Pflichten als Verantwortlicher gegenüber den betroffenen Personen.

Klausel 6 — Was du als Verantwortlicher gewährleistest

6.1. Du gewährleistest, dass du:

1. eine gültige Rechtsgrundlage (LGPD, Art. 7) hast, um die Nutzung deiner Websites mit Pyxis zu messen. Für die Messung ohne Cookies und ohne direkte personenbezogene Daten, die Pyxis vornimmt, ist die häufigste Grundlage das berechtigte Interesse (Art. 7 IX und Art. 10), das Transparenz und die Beachtung der Erwartungen des Besuchers verlangt; die Beurteilung liegt bei dir;
2. die Besucher im Datenschutzhinweis deiner Website klar über die Messung informierst. Anhang IV enthält eine Vorlage;
3. an Pyxis weder direkte personenbezogene Daten noch sensible personenbezogene Daten sendest: keinen Namen, keine E-Mail-Adresse, keine Telefonnummer, keinen CPF, keine Anschrift, keine Ausweisnummer, keinen vom Besucher eingegebenen Text, keine Gesundheitsdaten, keine rassische Herkunft, keine Religion, keine politische Meinung, kein Sexualleben, keine genetischen oder biometrischen Daten und kein Datum, das eine Person für sich allein identifiziert;
4. wenn du die Funktion identify verwendest, nur eine interne und nicht sprechende (opake) Kennung des Kontos in deinem System sendest (zum Beispiel eine zufällige Registrierungsnummer), niemals die E-Mail-Adresse, den CPF, die Telefonnummer oder ein anderes Datum, das die Person direkt identifiziert;
5. die Beachtung der „Nicht verfolgen“-Signale des Browsers (Global Privacy Control und Do Not Track) und der vom Tracker angebotenen Option, nicht gemessen zu werden (optOut), weder abschaltest noch umgehst und Ereignisse von Personen, die nicht gemessen werden wollen, nicht auf anderem Weg sendest;
6. wenn deine Website sich an Kinder oder Jugendliche richtet, die Verarbeitung vor der Installation des Trackers im Lichte von Art. 14 der LGPD und des Kindeswohls geprüft hast;
7. die Anfragen der betroffenen Personen deiner Websites beantwortest, mit unserer Unterstützung (Klausel 10);
8. gegebenenfalls die Informationen zur internationalen Übermittlung veröffentlichst, die Art. 17 § 2 der durch Resolução CD/ANPD nº 19/2024 genehmigten Verordnung verlangt, unter Verwendung der Informationen aus Klausel 9 und Anhang III;
9. den Tracker nur auf deinen Websites oder denen von Personen, die dich autorisiert haben, installierst und nur solche als Origin eines Projekts einträgst (Klausel 3.2).

6.2. Der Server von Pyxis verwirft automatisch Werte, die die Form einer E-Mail-Adresse haben, oder Folgen von 10 oder mehr Ziffern (wie CPF, CNPJ – Cadastro Nacional da Pessoa Jurídica, brasilianische Steuernummer für Unternehmen – und Telefonnummern) in den Eigenschaften der Ereignisse, in den Kampagnenparametern und in der Nutzerkennung. Diese Sperre ist eine zweite Schutzschicht: sie erkennt weder Namen noch Anschriften noch freie Texte. Die Verantwortung für das, was deine Website sendet, liegt bei dir.

6.3. Wenn du bemerkst, dass du direkte personenbezogene Daten an Pyxis gesendet hast, benachrichtige uns. Wir helfen beim Löschen (Klausel 10.6). Bemerken wir es selbst, anhand der Ablehnungsprotokolle der Sperre oder auf andere Weise, benachrichtigen wir dich.

Klausel 7 — Vertraulichkeit

7.1. Derzeit wird Pyxis von einer einzigen Person betrieben: dem in Klausel 1.1 Genannten. Er ist die einzige Person mit administrativem Zugriff auf die Systeme und die Datenbank.

7.2. Wir greifen auf die Daten eines Projekts nur zu, wenn es notwendig ist für: (a) den von dir angeforderten Support; (b) die Untersuchung oder Behebung eines Fehlers oder eines Sicherheitsvorfalls; (c) die Wartung des Dienstes; (d) die Erfüllung einer rechtlichen Verpflichtung oder einer behördlichen Anordnung; oder (e) die Überprüfung eines konkreten Missbrauchsverdachts (Klausel 18 der Nutzungsbedingungen), wobei nur das betrachtet wird, was nötig ist, um ihn zu bestätigen oder auszuräumen.

7.3. Sollte künftig eine weitere Person den Dienst mit uns betreiben, erhält sie erst Zugriff, nachdem sie schriftlich dieselbe Verschwiegenheitspflicht dieses Vertrags übernommen hat, und wir informieren dich.

7.4. Die Verschwiegenheits- und Sicherheitspflicht gilt auch nach dem Ende des Vertrags fort (LGPD, Art. 47).

Klausel 8 — Sicherheit

8.1. Wir ergreifen technische und administrative Maßnahmen, um die Daten vor unbefugtem Zugriff und vor Zerstörung, Verlust, Veränderung, Offenlegung oder jeder unangemessenen oder rechtswidrigen Verarbeitung zu schützen (LGPD, Art. 46). Die geltenden Maßnahmen stehen in Anhang II.

8.2. Wir können eine Maßnahme durch eine gleichwertige oder bessere ersetzen. Während des Vertrags senken wir das in Anhang II beschriebene allgemeine Schutzniveau nicht.

8.3. Der Quellcode von Pyxis ist öffentlich (MIT-Lizenz). Du kannst in den Repositories pyxis-api, pyxis-sdk, pyxis-web und pyxis-mcp auf GitHub überprüfen, wie der Dienst die Daten verarbeitet.

Klausel 9 — Unterauftragsverarbeiter und internationale Übermittlung

9.1. Genehmigung. Du genehmigst, dass wir die in Anhang III aufgeführten Unterauftragsverarbeiter einsetzen. Jeder verarbeitet nur das Nötige für den Teil des Dienstes, den er erbringt.

9.2. Änderungen. Bevor wir einen Unterauftragsverarbeiter, der Daten der Besucher verarbeitet, hinzufügen oder austauschen, benachrichtigen wir dich per E-Mail mindestens 30 Tage im Voraus, mit Angabe, wer es ist, was er tun wird und wo. Wenn du nicht einverstanden bist, kannst du den Vertrag vor der Änderung beenden und erhältst den Betrag anteilig für den bezahlten und nicht genutzten Zeitraum zurück. In einem Notfall (zum Beispiel ein Anbieter, der nicht mehr funktioniert oder unsicher geworden ist) kann der Austausch sofort erfolgen; wir benachrichtigen dich innerhalb von 5 Werktagen, und du hast dasselbe Recht, mit anteiliger Erstattung zu beenden.

9.3. Verträge mit den Unterauftragsverarbeitern. Die Anbieter aus Anhang III sind große Unternehmen, die zu standardisierten Bedingungen kontrahieren, die wir nicht verhandeln. Wir wählen Anbieter, deren Bedingungen Zusagen zu Sicherheit, Vertraulichkeit und Verarbeitung gemäß unseren Weisungen enthalten. Anhang III nennt den Vertrag jedes Anbieters.

9.4. Wo die Daten liegen. Die Ereignisse deiner Projekte werden in Brasilien gespeichert: in der Datenbank von Neon, die in der AWS-Region São Paulo läuft, und von der API in der AWS-Region São Paulo (sa-east-1) verarbeitet.

9.5. Wo es einen Auslandsbezug gibt. Auch wenn die Daten in Brasilien gespeichert sind, gibt es vier Situationen, die du kennen solltest:

1. Verteilnetz von AWS (CloudFront). Die Anfragen aus dem Browser des Besuchers erreichen den ihm nächstgelegenen AWS-Edge-Standort, der außerhalb Brasiliens liegen kann, wenn sich der Besucher außerhalb Brasiliens befindet. Dieser Standort leitet die Anfrage nur nach São Paulo weiter: der Cache ist abgeschaltet, und wir speichern keine Zugriffsprotokolle von CloudFront.
2. Unternehmen mit Sitz in den Vereinigten Staaten. Neon gehört zu Databricks, Inc.; Vercel Inc. hostet das Dashboard. Beide sind US-Unternehmen, und ihre Teams und Systeme können von außerhalb Brasiliens auf Daten zugreifen, um den Betrieb zu führen, Support zu leisten und Sicherungskopien zu erstellen.
3. Dashboard. Die Seiten des Dashboards werden in Funktionen von Vercel in der Region São Paulo (gru1) erzeugt, aber Vercel gibt an, dass seine Hauptverarbeitung in den USA erfolgt. Die technischen Protokolle der Anfragen an das Dashboard bleiben 1 Tag lang bei Vercel.
4. Verbundene Apps. Wenn eine Person mit Zugriff Claude oder Claude Code verbindet, gehen die Daten, die sie bei der App anfragt, an Anthropic in den USA, auf deine Weisung (Klausel 5.1, Punkt 4, und Anhang I, Punkt 10). Anthropic ist nicht unser Unterauftragsverarbeiter.

Die E-Mails des Dienstes, einschließlich der wöchentlichen Zusammenfassung (die nur aggregierte Zahlen des Projekts enthält, ohne Daten identifizierbarer Besucher; Anhang I, Punkt 6), werden über Amazon SES in der AWS-Region São Paulo versendet (Anhang III).

9.6. Übermittlungsmechanismus. Zum Datum dieser Version sehen die Datenverarbeitungsverträge (DPA) von AWS, Databricks (Neon) und Vercel Standardvertragsklauseln der Europäischen Union und Sicherheitszusagen vor, übernehmen aber nicht die von der ANPD genehmigten Standardvertragsklauseln (Resolução CD/ANPD nº 19/2024). Um das, was Brasilien verlässt, auf ein Minimum zu reduzieren (Art. 9, einziger Absatz, der Verordnung), speichert Pyxis keine IP, speichert nicht den vollständigen Browser, verwendet keine Cookies auf deinen Websites und reduziert die Adressen der Seiten auf Vorlagen (Anhang II). Wir verpflichten uns: (a) die Standardvertragsklauseln der ANPD oder einen anderen gültigen Mechanismus nach Art. 33 der LGPD zu übernehmen, sobald einer dieser Anbieter ihn anbietet, oder den Anbieter zu wechseln, wenn es nötig ist; (b) dich über jede Änderung in diesem Punkt zu informieren; und (c) dir auf Anfrage die Informationen zu geben, die du zur Beurteilung der Übermittlung benötigst (Art. 4 § 1 der Verordnung).

Klausel 10 — Anfragen betroffener Personen

10.1. Wer antwortet. Als Verantwortlicher antwortest du den Besuchern und Nutzern deiner Websites, die Bestätigung, Zugang, Berichtigung, Löschung oder eine andere Maßnahme nach Art. 18 der LGPD verlangen. Wir helfen wie unten beschrieben.

10.2. Nur wer identifiziert wurde, kann gefunden werden. Pyxis speichert keine Cookies, keine IP und keine dauerhafte Kennung des anonymen Besuchers. Die Besuchskennung ist zufällig, bleibt nur im Tab des Browsers und wird beim Schließen des Tabs oder nach 30 Minuten ohne Aktivität ausgetauscht. Deshalb ist es nicht möglich, die anonymen Besuche einer Person zu finden. Auffindbar sind nur die Ereignisse einer Person, die deine Website mit der Funktion identify identifiziert hat, anhand der internen Kennung, die du gesendet hast.

10.3. Die Daten einer Person löschen (du selbst, über die API). Rufe DELETE https://api.pyxis-analytics.dev/v1/subjects/{userId} mit dem geheimen Schlüssel des Projekts auf (Header Authorization: Bearer). Pyxis löscht alle Ereignisse mit dieser Kennung und auch die Besuche, in denen die Person identifiziert wurde, einschließlich der anonymen Ereignisse desselben Besuchs, die vor der Identifizierung kamen (zum Beispiel die Einstiegsseite und die Herkunft des Besuchs). Die Antwort gibt an, wie viele Ereignisse gelöscht wurden. Ein erneuter Aufruf antwortet mit null; eine Wiederholung ist unbedenklich.

10.4. Die Daten einer Person kopieren (du selbst, über die API). Rufe GET https://api.pyxis-analytics.dev/v1/subjects/{userId}/events mit dem geheimen Schlüssel auf. Die Antwort enthält dieselben Ereignisse, die die Löschung entfernen würde, in Reihenfolge, bis zu 1.000 pro Seite, in JSON. Gibt es mehr, gibt die Antwort den nächsten Cursor an (next_after), den du als ?after= übergibst, um die folgende Seite abzurufen. Jedes Ereignis enthält Name, Datum und Uhrzeit, Besuchskennung, Seite, Herkunft, Gerät, Land, Bundesstaat und Eigenschaften.

10.5. Grenzen dieser Routen. Beide Routen akzeptieren bis zu 60 Aufrufe pro Minute pro Schlüssel und pro Herkunftsadresse. Der geheime Schlüssel darf nur auf deinem Server verwendet werden, nie im Browser.

10.6. Anfrage an uns. Wenn du möchtest, sende die Anfrage an hello@pyxis-analytics.dev, von der E-Mail-Adresse einer Person mit Zugriff auf das Projekt, mit der Nutzerkennung und dem, was du wünschst (Löschung oder Kopie). Wir erledigen dies innerhalb von 5 Werktagen und antworten mit dem Ergebnis (der Anzahl der gelöschten Ereignisse oder der Datei mit der Kopie). Dasselbe gilt, wenn du versehentlich personenbezogene Daten gesendet hast und sie löschen musst.

10.7. Anfrage, die direkt bei uns eingeht. Wendet sich eine betroffene Person deiner Websites an uns, beantworten wir die Sache nicht an deiner Stelle: innerhalb von 2 Werktagen leiten wir die Anfrage an dich weiter und teilen der betroffenen Person mit, dass du der Verantwortliche bist und welches dein Kanal ist, sofern wir ihn kennen.

10.8. Gesetzliche Fristen. Die Fristen für die Antwort an die betroffene Person sind deine, als Verantwortlicher (zum Beispiel bis zu 15 Tage für die vollständige Erklärung nach Art. 19 II der LGPD oder die abweichende Frist für kleine Verarbeitungsakteure, falls du darunter fällst). Unsere oben genannten Fristen sind so bemessen, dass sie innerhalb dieser Fristen liegen.

Klausel 11 — Sicherheitsvorfälle

11.1. Erlangen wir Kenntnis von einem Sicherheitsvorfall, der personenbezogene Daten eines deiner Projekte betroffen hat oder betroffen haben könnte, benachrichtigen wir dich ohne unangemessene Verzögerung und innerhalb von 48 Stunden ab dieser Kenntnis, über die E-Mail-Adressen der Personen mit Zugriff auf das Projekt.

11.2. Die Benachrichtigung enthält, was wir bis dahin wissen, und wir ergänzen sie später, sobald wir mehr Informationen haben:

1. was geschehen ist, wann es geschehen ist (sofern feststellbar) und wann wir davon erfahren haben;
2. die Art und die Kategorien der betroffenen Daten und, soweit schätzbar, wie viele betroffene Personen;
3. die Sicherheitsmaßnahmen, die die Daten vor dem Vorfall geschützt haben;
4. die möglichen Risiken und Auswirkungen für die betroffenen Personen;
5. was wir bereits getan haben und tun werden, um den Vorfall einzudämmen und die Folgen zu mindern;
6. einen Kontakt zur Verfolgung des Falls.

11.3. Diese Frist wurde gewählt, damit du deine einhalten kannst: der Verantwortliche muss der ANPD und den betroffenen Personen einen Vorfall, der ein erhebliches Risiko oder einen erheblichen Schaden verursachen kann, innerhalb von 3 Werktagen ab Kenntnis mitteilen (Resolução CD/ANPD nº 15/2024, Art. 6 und 9), eine Frist, die für kleine Verarbeitungsakteure doppelt berechnet wird.

11.4. Die Mitteilung an die ANPD und an die betroffenen Personen deiner Websites obliegt dir als Verantwortlichem (LGPD, Art. 48). Wir wirken mit den uns vorliegenden Informationen mit und geben keine öffentliche Mitteilung über die Daten deines Projekts ab, ohne vorher mit dir zu sprechen, außer bei rechtlicher Verpflichtung.

11.5. Wir führen ein Register über jeden Sicherheitsvorfall mit personenbezogenen Daten, auch über die, die nicht mitgeteilt werden mussten, für mindestens 5 Jahre.

11.6. Um einen laufenden Vorfall oder Angriff einzudämmen, können wir Teile des Dienstes sofort aussetzen (zum Beispiel einen Schlüssel widerrufen oder den Ereignisempfang eines Projekts pausieren), soweit erforderlich. Wir benachrichtigen dich wie in Klausel 11.1, wenn personenbezogene Daten betroffen sind, oder wie in Klausel 18.4 der Nutzungsbedingungen, und stellen den Dienst wieder her, sobald das Risiko vorüber ist.

Klausel 12 — Aufbewahrung und Löschung

12.1. Während des Vertrags. Die Ereignisse werden 13 Monate lang gespeichert. Ein täglicher Vorgang löscht die Ereignisse, die älter als 13 Monate sind, aus allen Projekten.

12.2. Ende des Vertrags. 30 Tage nach dem Ende des Zugriffs (das Ende des bezahlten Zeitraums oder der Testphase nach einer Kündigung, die Schließung des Kontos über das Dashboard, das Ende des Abonnements wegen Nichtzahlung oder die Beendigung durch uns; Nutzungsbedingungen, Klauseln 2.10 und 11.4) löscht ein täglicher Vorgang endgültig das Konto, die Projekte und alles, was zu ihnen gehört: Ereignisse, Schlüssel, Konfigurationen, Icon der Website, Versandeinträge der wöchentlichen Zusammenfassung, Exportanfragen und die Zugriffe der Personen auf die Projekte. Wir löschen auch die Registrierung (E-Mail-Adresse, Sitzungen, Tokens und verbundene Apps) des Kontoinhabers und der Personen, die nur Zugriff auf Projekte deines Kontos hatten. Löschst du vorher ein Projekt über das Dashboard, werden die Ereignisse und alles, was zu ihm gehört, sofort gelöscht.

12.3. Kopie vor der Löschung. Bis zum Löschdatum exportiert der Kontoinhaber die Ereignisse jedes Projekts über das Dashboard, in einer komprimierten CSV-Datei, die 7 Tage lang verfügbar ist (Nutzungsbedingungen, Klausel 11.5; Anhang I, Punkt 11). Funktioniert der Export über das Dashboard nicht, senden wir die Datei innerhalb von 10 Werktagen nach der per E-Mail gestellten Anfrage; geht die Anfrage kurz vor dem Löschdatum ein, verschieben wir die Löschung, bis wir die Kopie geliefert haben.

12.4. Kopien der Anbieter. Nach der Löschung können die Daten noch für begrenzte Zeit in den automatischen Sicherungskopien des Datenbankanbieters vorhanden sein: der Wiederherstellungsverlauf von Neon bewahrt die Änderungen bis zu 7 Tage auf, und die Sicherungskopien von Neon werden bis zu 30 Tage aufbewahrt. Diese Kopien werden für nichts anderes als die Wiederherstellung im Katastrophenfall verwendet und verschwinden innerhalb dieser Fristen von selbst. Eine noch nicht abgelaufene Exportdatei verschwindet spätestens 7 Tage nach ihrer Fertigstellung. Die technischen Protokolle der API (die keine Daten der Besucher enthalten; Anhang II, Punkt 9) verschwinden nach 14 Tagen.

12.5. Bestätigung. Der Kontoinhaber erhält eine E-Mail, wenn die Löschung durchgeführt wurde. Auf deine Anfrage bestätigen wir außerdem das Datum und was gelöscht wurde.

12.6. Ausnahme: Aufbewahrung aufgrund von Gesetz oder Anordnung. Daten deiner Projekte bewahren wir über diese Fristen hinaus nur auf, wenn ein Gesetz, eine gerichtliche Anordnung oder ein Ersuchen einer zuständigen Behörde uns dazu verpflichtet oder wenn sie für ein gerichtliches, behördliches oder schiedsgerichtliches Verfahren erforderlich sind (LGPD, Art. 7 VI und Art. 16 I). In diesem Fall bewahren wir nur die betroffenen Daten auf, ohne jede andere Nutzung, für die verlangte Dauer, und löschen sie danach; wir benachrichtigen dich, sofern das Gesetz oder die Anordnung die Benachrichtigung nicht untersagt.

Klausel 13 — Informationen und Audit

13.1. Wenn du es schriftlich verlangst, geben wir dir innerhalb von 15 Tagen die Informationen, die nötig sind, um nachzuweisen, dass wir diesen Vertrag einhalten. Dazu gehört die Beantwortung eines angemessenen Fragebogens zu Sicherheit und Datenschutz, kostenlos, einmal im Jahr und nach jedem Vorfall.

13.2. Da der Code von Pyxis öffentlich ist, kannst du die Funktionsweise des Dienstes direkt überprüfen. Aufgrund der Größe des Dienstes bieten wir weder Vor-Ort-Audits noch Zugriff auf die Produktivsysteme an; die Berichte und Zertifizierungen der Anbieter (AWS, Databricks/Neon, Vercel) sind auf deren Websites verfügbar.

13.3. Wir arbeiten mit der ANPD und anderen zuständigen Behörden bei Prüfungen zusammen, die die Daten deiner Projekte betreffen.

Klausel 14 — Haftung

14.1. Jede Partei haftet für die Schäden, die sie durch Verletzung der LGPD oder dieses Vertrags verursacht. Wir haften als Auftragsverarbeiter gegenüber den betroffenen Personen nach Art. 42 der LGPD: wenn wir gegen die Datenschutzvorschriften verstoßen oder deine rechtmäßigen Weisungen nicht befolgen.

14.2. Zwischen dir und uns gilt Klausel 19 (Haftung) der Nutzungsbedingungen. Nichts darin schmälert die Rechte der betroffenen Personen oder das Rückgriffsrecht nach Art. 42 § 4 der LGPD.

Klausel 15 — Anfragen von Behörden

15.1. Wir geben Daten deiner Projekte an eine Behörde nur heraus, wenn eine gerichtliche Anordnung oder ein Ersuchen von jemandem vorliegt, der gesetzlich dafür zuständig ist (Marco Civil da Internet — brasilianisches Internetrahmengesetz —, Lei nº 12.965/2014, Art. 10).

15.2. Vor der Herausgabe benachrichtigen wir dich, sofern das Gesetz oder die Anordnung die Benachrichtigung nicht untersagen. Wir geben nur heraus, was verlangt wird.

Klausel 16 — Laufzeit und Änderungen

16.1. Dieser Vertrag gilt, solange die Nutzungsbedingungen in Kraft sind, und danach, bis die Daten gemäß Klausel 12 gelöscht sind.

16.2. Änderungen dieses Vertrags folgen der Änderungsregel der Nutzungsbedingungen (Benachrichtigung 30 Tage im Voraus und Recht zur Beendigung). Durch Gesetz oder die ANPD vorgeschriebene Änderungen können früher gelten; in diesem Fall kannst du den Vertrag mit anteiliger Erstattung des bezahlten und nicht genutzten Zeitraums beenden.

Anhang I — Beschreibung der Verarbeitung

1. Zweck. Die Nutzung der Websites und Apps des Kunden messen und dem Kunden die Analyse anzeigen; Anfragen betroffener Personen erfüllen; die Sicherheit und die Funktionsfähigkeit des Dienstes aufrechterhalten.

2. Betroffene Personen. (a) Besucher der Websites und Apps des Kunden; (b) Nutzer des Systems des Kunden, die er mit der Funktion identify identifiziert.

3. Daten jedes gespeicherten Ereignisses.

4. Was Pyxis nicht speichert.

• IP-Adresse: nur im Arbeitsspeicher der API-Funktion verwendet, um Missbrauch zu begrenzen, für die Dauer des Begrenzungsfensters (1 Minute beim Senden von Ereignissen; 15 Minuten bei der Anmeldung im Dashboard). Wird nie in der Datenbank oder in den Protokollen gespeichert.
• Vollständiger Browser (User Agent): im Moment gelesen, um die Gerätekategorie, die Familie des Browsers und die des Betriebssystems zu ermitteln; danach verworfen. Besuche bekannter Bots werden verworfen.
• Cookies: der Tracker setzt keine Cookies auf den Websites des Kunden.
• Stadt, vollständige Adresse der Seite, Adressparameter (außer den Kampagnenparametern), Browser-Fingerabdruck: nie.

5. Sensible personenbezogene Daten. Dürfen nicht gesendet werden (Klausel 6.1, Punkt 3). Pyxis ist nicht für ihre Verarbeitung ausgelegt.

6. Wöchentliche Zusammenfassung per E-Mail. Jeden Montag erhält jede Person mit Zugriff auf das Projekt, die die Zusammenfassung nicht abgeschaltet hat, aggregierte Zahlen der Woche: Besuche, identifizierte Personen (nur die Anzahl), Conversions, fehlgeschlagene Schreibzugriffe, Besuche pro Tag, häufigste Seiten und Ereignisse und die Routen mit den meisten Fehlern. Die Zusammenfassung enthält keine Kennungen von Besuchern oder Nutzern.

7. Verarbeitungsvorgänge. Empfang, Validierung, Klassifizierung, Speicherung, Abfrage, Aggregation, Anzeige im Dashboard, Bereitstellung über die Abfrage-API, über den MCP-Server und an die verbundenen Apps, Versand der aggregierten Zusammenfassung per E-Mail, Kopie (Export), Aussetzung des Empfangs (Klausel 5.4) und Löschung.

8. Häufigkeit und Dauer. Fortlaufend, solange der Tracker installiert und der Vertrag in Kraft ist. Ereignisse werden 13 Monate lang gespeichert; Löschung am Ende des Vertrags gemäß Klausel 12.

9. Wo. Datenbank und API in São Paulo (Brasilien). Dashboard in Funktionen in der Region São Paulo. Situationen mit Auslandsbezug in Klausel 9.5.

10. Zugriff über den MCP-Server, über Tokens und über verbundene Apps. Die Daten des Dashboards verlassen Pyxis auf drei Wegen, die alle von einer Person mit Zugriff auf das Projekt gewählt werden, die sie im eigenen Namen nutzt:

1. Token im lokalen MCP-Server oder in einem anderen Programm: die Person erstellt ein Zugriffstoken und verwendet es im MCP-Server von Pyxis (pyxis-mcp), der auf ihrem Computer läuft, oder in einem anderen Programm. Die Daten gehen an diesen Computer und an das Werkzeug künstlicher Intelligenz, das sie gewählt hat.
2. Token an der Adresse https://api.pyxis-analytics.dev/mcp: dasselbe, mit dem MCP-Server, der innerhalb unserer API läuft; die Daten gehen an das Programm, das die Person mit dem Token eingerichtet hat.
3. Verbundene App (Claude-Connector): die Person verbindet Claude oder Claude Code von Anthropic und lässt die Verbindung auf einer Seite des Dashboards zu (Nutzungsbedingungen, Klausel 13.10). Die Daten, die die App anfragt, gehen von unserer API direkt an die Server von Anthropic in den Vereinigten Staaten (Claude) oder an den Computer der Person und von dort an Anthropic (Claude Code).

Auf jedem dieser Wege liest die App nur, und nur das, was die Person im Dashboard sieht: die aggregierten Zahlen und auch die Besuchslisten und die Zeitleiste jedes Besuchs, mit der über die Funktion identify gesendeten Nutzerkennung (Punkt 3). Diese Übermittlung ist eine Weisung von dir (Klausel 5.1, Punkt 4) und erfolgt auf Veranlassung der Person, innerhalb der von ihr gewählten App: diese App, einschließlich Anthropic, ist nicht unser Unterauftragsverarbeiter, verarbeitet die Daten nach den Bedingungen, die zwischen ihr und ihren Nutzern gelten, und es liegt bei dir, ihre Nutzung zu beurteilen, auch ob eine internationale Übermittlung vorliegt und mit welchem Mechanismus (Art. 4 der durch Resolução CD/ANPD nº 19/2024 genehmigten Verordnung), sowie den Hinweis an die Besucher (Klausel 6.1, Punkte 2 und 8, und Anhang IV). Wir geben dir die uns vorliegenden Informationen für diese Beurteilung (Art. 4 § 1 derselben Verordnung; Klausel 9.6). Jede Person widerruft ihre Verbindungen unter Einstellungen → Verbundene Apps, und der Kontoinhaber kann eine Person aus einem Projekt entfernen (Nutzungsbedingungen, Klausel 13.3).

11. Export der Ereignisse. Auf Wunsch des Kontoinhabers erzeugt ein Vorgang eine komprimierte CSV-Datei mit allen Ereignissen, die das Projekt speichert, mit den Feldern aus Punkt 3. Die Datei liegt in einem privaten und verschlüsselten Speicher von AWS in der Region São Paulo und wird 7 Tage nach ihrer Fertigstellung automatisch gelöscht. Nur der Kontoinhaber lädt die Datei herunter, über das Dashboard, mit einem neuen Link bei jedem Download, der 5 Minuten gültig ist. Nach dem Download liegt die Datei in deiner Verantwortung.

Anhang II — Geltende Sicherheitsmaßnahmen

Überprüft im Code des Dienstes und in der Konfiguration der Infrastruktur am 14.10.2026 und am 15.10.2026.

1. Datenschutz durch Technikgestaltung. Keine Cookies auf den gemessenen Websites; IP und vollständiger Browser nie gespeichert; Seiten auf Vorlagen reduziert; Sperre auf dem Server, die Werte in Form einer E-Mail-Adresse und Zahlen mit 10 oder mehr Ziffern in den Eigenschaften, in den Kampagnenparametern und in der Nutzerkennung verwirft; Bundesstaat des Besuchers, nie die Stadt; „Nicht verfolgen“-Signale des Browsers (Global Privacy Control und Do Not Track) vom Tracker beachtet, der nichts sendet, wenn sie eingeschaltet sind; Option, nicht gemessen zu werden (optOut), für den Besucher; Ereignisse nach 13 Monaten gelöscht.

2. Verschlüsselung bei der Übertragung. Browser → API: HTTPS mit TLS 1.2 oder höher und HSTS von 2 Jahren. Verteilnetz → API-Funktion: nur HTTPS (TLS 1.2). Funktion → Datenbank: TLS mit Prüfung des Serverzertifikats (sslmode=verify-full). Dashboard: nur HTTPS.

3. Verschlüsselung im Ruhezustand. Datenbank von Neon mit AES-256; Protokolle (Logs) von AWS standardmäßig verschlüsselt; Geheimnisse (Datenbankpasswörter und Dienstschlüssel) im AWS Systems Manager Parameter Store, verschlüsselt, nie im Code.

4. Zugriff auf das Dashboard.

• Anmeldung ohne Passwort: ein 6-stelliger Code, der an die autorisierte E-Mail-Adresse gesendet wird, 10 Minuten gültig, nur als Hash (SHA-256) gespeichert, mit bis zu 5 Versuchen pro Code und bis zu 5 Codes pro Stunde pro E-Mail-Adresse; Codeanfragen begrenzt auf 5 alle 15 Minuten pro Herkunftsadresse. Eine E-Mail-Adresse ohne Zugriff erhält keinen Code und wird nicht gespeichert.
• Sitzung: zufälliger 256-Bit-Wert, in der Datenbank nur als Hash gespeichert; Cookie __Host- mit HttpOnly, Secure und SameSite=Lax; Höchstdauer von 7 Tagen und automatisches Ende nach 24 Stunden ohne Nutzung; die Person sieht die offenen Sitzungen und beendet sie einzeln oder alle auf einmal.
• Schreibaktionen des Dashboards werden nur von der Origin des Dashboards selbst akzeptiert.
• Nur der Kontoinhaber ändert Projekte, Origins, Schlüssel und Personen, fordert Exporte an und schließt das Konto; die eingeladenen Personen lesen nur.

5. Trennung zwischen Kunden. Jede Abfrage wird nach dem Projekt und nach der Liste der Personen mit Zugriff darauf gefiltert. Die Anfrage nach einem fremden Projekt wird so beantwortet, als gäbe es es nicht. Dafür gibt es automatische Tests.

6. Schlüssel und Tokens.

• Öffentlicher Schlüssel (kommt auf die Website): identifiziert nur das Projekt und wird nur akzeptiert, wenn die Anfrage von einer im Projekt eingetragenen Origin kommt.
• Geheimer Schlüssel (nur auf dem Server des Kunden): bei der Erstellung ein einziges Mal angezeigt, nur als Hash gespeichert, in konstanter Zeit verglichen, widerrufbar; begrenzt auf 60 Aufrufe pro Minute.
• Zugriffstokens (für Agenten und Programme): nur Lesen; nur als Hash gespeichert; Gültigkeit von 30, 90 oder 365 Tagen; bis zu 10 aktive pro Person; jederzeit im Dashboard widerrufbar; begrenzt auf 60 Abfragen pro Minute und, im MCP-Server der API, auf 120 Nachrichten pro Minute. Sie dienen weder zur Anmeldung noch zum Schreiben noch zum Löschen.
• App-Verbindungen (Claude-Connector): nur Claude und Claude Code, erkannt anhand der Identifikationsdokumente, die Anthropic veröffentlicht, wobei die Rücksprungadresse mit diesen Dokumenten abgeglichen wird; ausdrückliche Einwilligung auf einer Seite des Dashboards, die die App, die Rücksprungadresse und die Projekte anzeigt; Einmalcode, 5 Minuten gültig und an einen kryptografischen Nachweis gebunden (PKCE, S256); Zugriffs-Credential von 1 Stunde und Erneuerungs-Credential, das bei jeder Nutzung ausgetauscht wird, beide nur als Hash gespeichert; ein nach dem Austausch erneut vorgelegtes Erneuerungs-Credential beendet die Verbindung; nur Lesen, über dieselben Abfragen wie das Dashboard; bis zu 10 aktive Verbindungen pro Person; Ende nach 90 Tagen ohne Nutzung; jederzeit im Dashboard widerrufbar; begrenzt auf 120 Nachrichten pro Minute im MCP-Server und auf 60 Abfragen pro Minute. Sie dienen weder zur Anmeldung noch zum Schreiben noch zum Löschen.

7. Schutz vor Missbrauch. Begrenzung des Sendens von Batches pro Herkunftsadresse und pro Projekt; Batch mit höchstens 50 Ereignissen und 32 KB; strikte Validierung jedes Feldes; ungültige Ereignisse verworfen; Empfang pausiert, wenn das Konto 150 % der monatlichen Ereignisgrenze erreicht; die technischen Protokolle geben an, wann ein Ereignis oder eine Eigenschaft abgelehnt wurde und nach welcher Regel, ohne den abgelehnten Wert zu speichern.

8. Infrastruktur. Die API-Funktion lehnt Aufrufe ab, die nicht über das Verteilnetz kommen (Edge-Geheimnis, in konstanter Zeit geprüft). Der Datenbanknutzer der Anwendung kann die Struktur der Datenbank nicht ändern; die Migrationen verwenden einen separaten Nutzer. Jede Funktion hat ihre eigene Berechtigungsrolle bei AWS, mit dem notwendigen Minimum.

9. Protokolle (Logs). Die Protokolle der API sind strukturiert und enthalten eine Kennung der Anfrage, interne Kennungen (des Projekts, der Person im Dashboard und der Verbindung), Namen von Ereignissen und, bei den Verbindungen, welche App sich verbunden hat; sie enthalten keine E-Mail-Adresse, keine IP, kein Token, keinen Schlüssel und keine Daten von Besuchern. Sie bleiben 14 Tage und verschwinden.

10. Überwachung. Alarme per E-Mail bei: vielen Anmeldeversuchen mit falschem Code, vielen abgelehnten Codeanfragen, unerwarteten Fehlern der API, Ausfällen und Drosselung der API-Funktion und Größe der Datenbank.

11. Entwicklung. Öffentlicher Code mit automatischer Sicherheitsprüfung (CodeQL), Scan nach Geheimnissen mit Push-Sperre, Warnungen und Aktualisierungen für Abhängigkeiten, Audit der Abhängigkeiten und automatische Tests mit vollständiger Abdeckung bei jeder Änderung. Die Veröffentlichung in der Produktion erfolgt nur durch den Betreiber (Klausel 7.1), nach bestandenen Tests.

12. Sicherungskopien. Die von Neon: Wiederherstellungsverlauf von bis zu 7 Tagen und verschlüsselte Sicherungskopien, die bis zu 30 Tage aufbewahrt werden.

13. Reaktion auf Vorfälle. Gemäß Klausel 11, mit Register jedes Vorfalls für 5 Jahre.

Anhang III — Unterauftragsverarbeiter

Stand vom 15.10.2026.

Unterauftragsverarbeiter, die Daten der Besucher deiner Websites verarbeiten:

Anbieter, die keine Daten der Besucher erhalten (zur Transparenz aufgeführt; ihre Verarbeitung ist in der Datenschutzerklärung von Pyxis beschrieben):

Apps, die die Personen mit Zugriff verbinden (keine Unterauftragsverarbeiter; Anhang I, Punkt 10):

Sende keine Daten von Besuchern in den Support-Nachrichten. Wenn du einen Fall zeigen musst, verwende die Kennung des Besuchs oder des Nutzers, nie den Namen oder die E-Mail-Adresse der Person.

Anhang IV — Vorlage für einen Hinweis auf deiner Website

Vorgeschlagener Text für die Datenschutzerklärung deiner Website. Passe ihn an das an, was deine Website tatsächlich sendet. Er ersetzt nicht deine eigene Prüfung.

Messung der Website-Nutzung

Wir verwenden Pyxis, um zu verstehen, wie die Website genutzt wird: welche Seiten aufgerufen werden, woher die Besuche kommen und welche Funktionen genutzt werden. Die Messung verwendet keine Cookies, speichert deine IP-Adresse nicht und speichert deinen vollständigen Browser nicht. Wir erfassen die aufgerufene Seite (ohne die Adressparameter, außer den Kampagnenparametern), die Website, von der du kamst, die Geräteart, die Familie des Browsers und des Betriebssystems, das Land und den Bundesstaat (nie die Stadt) und die Aktionen, die wir auf der Website markiert haben. Jeder Besuch erhält eine Zufallsnummer, die nur im Tab des Browsers bleibt und beim Schließen des Tabs oder nach 30 Minuten ohne Aktivität verworfen wird; es gibt keine Kennung, die dich bei einem anderen Besuch wiedererkennt.

(Füge den folgenden Absatz nur ein, wenn deine Website die Funktion identify verwendet.) Wenn du dich in dein Konto einloggst, verknüpfen wir die Ereignisse dieses Besuchs mit der internen Nummer deines Kontos, nie mit deinem Namen oder deiner E-Mail-Adresse. Wenn du dein Konto löschst oder es verlangst, löschen wir diese Ereignisse.

(Optional: füge dies ein, wenn dein Team Werkzeuge künstlicher Intelligenz mit Pyxis verbindet.) Wir können diese Zahlen mit von uns gewählten Werkzeugen künstlicher Intelligenz abfragen, etwa Claude von Anthropic, die nur das erhalten, was wir bei ihnen anfragen.

Die Daten werden in Brasilien gespeichert und nach 13 Monaten gelöscht. Pyxis verarbeitet diese Daten in unserem Auftrag, als Auftragsverarbeiter. Wenn dein Browser das Signal Global Privacy Control oder „Do Not Track“ sendet, wird nichts gesendet. Um deine Rechte nach der LGPD auszuüben, kontaktiere uns über den in dieser Erklärung angegebenen Kanal.